セキュリティ脅威情報

Podmanにおいて、コンテナのチェックポイント機能に起因する重大なセキュリティ上の欠陥が存在する。v4.4.0以降のPodmanでは、OCIレジストリ経由で取得したコンテナチェックポイントを `podman run` コマンドで直接実行する機能が追加されていた。しかし、特定のイメージアノテーション（io.podman.annotations.checkpoint.runtime.name）が含まれている場合、Podmanはそのイメージをチェックポイントとして認識し、コンテナ作成時のユーザー入力を暗黙的に無視してチェックポイント側の設定を優先する。これにより、ユーザーが指定したサンドボックス設定や権限制限（--cap-drop=ALL など）が無効化され、攻撃者が用意した悪意あるチェックポイントイメージによってサンドボックスが完全にバイパスされるおそれがある。

Argo CDにおいて、PreDeleteおよびPostDeleteリソースフックの処理に不備が存在する。同期時にはAppProjectによる宛先ネームスペースやリソースの制限チェックが行われるが、アプリケーション削除時に実行されるPreDeleteおよびPostDeleteフックはこのチェックをスキップする。これにより、Gitリポジトリへのプッシュ権限を持つ攻撃者が、AppProjectで本来許可されていないネームスペースへのリソース作成やクラスタースコープオブジェクトの不正作成を行うおそれがある。

Next.jsの開発チームは、未認証の遠隔コード実行（RCE）につながる2件の重大な脆弱性と、サービス妨害（DoS）の脆弱性を修正するセキュリティアップデートを公開しました。対象となるNext.js 16および15の各バージョンに向けて修正版が提供されています。

Linux カーネルのネットワーク機能に、管理者権限の奪取を可能とする脆弱性（CVE-2026-43503）が報告されました。ネットワークソケット処理におけるデータ検証の不備によりページキャッシュの上書きが可能となるもので、すでに悪用のためのエクスプロイトコードが公開されています。

NGINXは安定版1.30.6およびメインライン版1.31.7を公開し、リモートコード実行の可能性を含む5件の脆弱性を修正しました。F5によると、メモリ管理やTLSセッション処理などに不具合があり、特定の構成で影響を受けます。

Mozilla Foundationは、ウェブブラウザの最新版「Firefox 158」および延長サポート版を公開しました。計77件の脆弱性が修正されており、重要度「高」の脆弱性にはネットワークコンポーネントにおける解放後メモリの使用や境界条件の不備などが含まれています。

JPCERT/CCおよびIPAは、EC-CUBE4系用の「AmazonPayプラグイン」におけるWebパラメータの外部制御に関する脆弱性（CVE-2026-103671）についてJVNで発表しました。注文手続き中に任意のウェブサイトへリダイレクトされ、アカウント情報などが窃取されるおそれがあり、既に悪用も確認されています。

DrupalコアのフィールドUIモジュールに、リモートコード実行（RCE）につながる重大な脆弱性が発見されました。Drupalセキュリティチームは修正版を公開し、一部の寄与モジュールを経由した攻撃経路では認証なしで悪用されるおそれがあるとして警戒を呼びかけています。

Zoomは、「Zoom Workplace」や「Zoom Rooms」などに複数の脆弱性が確認されたことを明らかにしました。重要度はいずれも「高」と評価されており、同社は最新版へ更新するよう呼びかけています。

ソースネクストは、同社の会員情報を管理するシステムが第三者による不正アクセスを受け、最大22,519,960件の会員情報（メールアドレス、パスワード、氏名、住所など）が外部に流出した可能性があると公表しました。会員情報取得APIが不正利用されたもので、同社は不正な通信を遮断し封じ込めを完了しています。

株式会社ビューティガレージは、運営するECサイトのサーバーが不正アクセスを受け、お客様情報775,725件が外部に流出したことを確認したと公表しました。会社名、サロン名、お客様名、パスワードのハッシュ値などが対象となっていますが、クレジットカード情報の漏洩や不正利用は確認されていないとしています。

イエローハットは、「イエローハットWEB作業予約システム」に対する不正アクセス事案について、第三者調査機関による調査結果と今後の対応を最終報として公表しました。システムへの不正侵入により、会員179万余名の氏名や住所、パスワードなどの顧客データが外部へ流出したことを確認しています。

大分県は、県民安全・安心メール等配信システムのシステム業者に対する不正アクセスに伴い、情報漏えいの可能性があるとして、システムの新規登録や変更、配信解除を一時停止しました。登録者のメールアドレス2万7667件が漏えいした可能性があるとしており、気象警報の配信等は通常通り行われています。

釧路市は、市立小中学校の学習用端末の管理運用を委託している株式会社ポータスの社内サーバーがランサムウェアによる攻撃を受けたと公表しました。児童生徒や教職員の学校名、氏名、アカウント名、パスワードなどの情報が流出した可能性が否定できないとしています。