2026-10-17（土）配信
セキュリティ脅威情報
■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEVFortinet製品におけるパス・トラバーサルの脆弱性 (CVE-2025-61624)
Fortinetが提供する複数のネットワーク管理製品（FortiOS、FortiPAM、FortiProxy、FortiSwitchManager）において、パス・トラバーサルの脆弱性が確認された。本脆弱性は、米国CISAの「既知の悪用された脆弱性カタログ（KEV）」に登録されており、実際の攻撃キャンペーンにおいて悪用されている事実があるため、極めて重大な脅威と見なされる。特定のCLIコマンドを実行可能な環境において、管理者プロファイルかつ読み書き権限を持つ認証済みの攻撃者が、システム内の任意のファイルを書き換え、あるいは削除することが可能となる。CISA は米国の連邦政府機関に、2026年10月19日までの対応を求めている。
なぜご自身の組織で確認すべきか自組織のFortinet製品において、CISA KEVに登録された既知の悪用脆弱性が存在しないか確認し、速やかに修正対応を適用する必要があるため。
影響
認証済みの攻撃者によってシステム上の任意のファイルが書き換えまたは削除される恐れがあり、システムの完全性が損なわれたり、サービスが停止したりする可能性がある。
対応策
ベンダーの公開情報: https://fortiguard.fortinet.com/psirt/FG-IR-26-122
KEVBeyondTrust Remote Support における認証回避の脆弱性
BeyondTrust Remote Support において、スプーフィング（なりすまし）による認証回避の脆弱性が存在する。この脆弱性を悪用されると、リモートの攻撃者が正当な認証プロセスを通ることなく、アプライアンス上でファイル操作を不正に実行する可能性がある。CISA は本脆弱性が実際に悪用されていることを確認し、既知の脆弱性カタログ（KEV）に追加した。影響が大きいため、早期の確認と対応が必要である。CISA は米国の連邦政府機関に、2026年10月19日までの対応を求めている。
なぜご自身の組織で確認すべきか自組織で利用するBeyondTrust Remote Supportにおいて、悪用が確認されている認証回避の脆弱性への対策やログ確認が必要なため。
影響
認証されていない攻撃者によって、アプライアンス内のファイルの読み取り、書き込み、削除などの操作が行われる恐れがある。これにより、機密情報の窃取やシステムの不正な操作、さらなる攻撃の踏み台とされるリスクがある。
対応策
ベンダーが発行したアドバイザリ（BT26-05）を確認し、速やかに修正パッチを適用すること。
ベンダーの公開情報: https://www.beyondtrust.com/trust-center/security-advisories/bt26-05
AOMEI Backupperの更新サーバーが一時改ざん
AOMEI Backupperの公式更新サーバーが短時間の間書き換えられ、ソフトウェアの自動更新機能を通じてバックドアが配信される事案が発生しました。Google Threat Intelligence GroupやMandiantなどの調査により、2026年5月から7月にかけて複数回の改ざんが確認されています。
なぜご自身の組織で確認すべきか自組織の端末で該当ソフトウェアが利用されていないか、バックドア配信の痕跡がないか緊急調査を行う必要があるため。
攻撃手法（確認済み）
攻撃者がAOMEI Backupperの公式更新サーバー上の設定ファイルを数分間（5〜10分間）にわたり書き換え、自動更新機能を悪用してバックドアのパッケージをクライアントにダウンロード・実行させました。
自組織チェックポイント
自組織の端末でAOMEI BackupperやAnyViewerなどのAOMEI製ソフトが運用されていないか
2026年4月から7月の期間中に、該当ソフトの更新処理や不審なスケジュールタスク（RadminComponentRuntime等）が実行されていないか
端末のローカルアプリケーションデータフォルダに不審なRadmin関連ファイルや未署名の実行ファイルが残っていないか
■ 脅威動向
脆弱性Oracle WebLogic Serverにおけるアクセス制御に関する脆弱性
Oracle Fusion MiddlewareのOracle WebLogic Server製品におけるTopLink Integrationコンポーネントにアクセス制御に関する脆弱性が存在する。ネットワーク経由でHTTPを介してアクセス可能な権限の低い攻撃者がこの脆弱性を容易に悪用可能であり、Oracle WebLogic Serverが侵害されるおそれがある。攻撃によって他の製品にも大きな影響を及ぼす可能性があり、スコープが変更される場合もある。CVSS v3.1基本スコアは9.9と評価されており、機密性、完全性、可用性に重大な影響を与える。
対象ソフト
Oracle WebLogic Serverは、Java EEアプリケーションの開発・デプロイ・実行を行うためのエンタープライズ向けアプリケーションサーバーであり、多くの企業システムやWebアプリケーションの基盤として利用されている。
影響
攻撃が成功した場合、Oracle WebLogic Serverが乗っ取られる可能性があるほか、スコープの変更を伴い他の製品にも大きな影響を及ぼすおそれがある。機密性、完全性、可用性のすべてにおいて重大な影響を受ける。
脆弱性JetBrains TeamCityにおけるリモートコード実行の脆弱性
JetBrains TeamCityのビルドメッセージプロトコルにおいて、ホワイトリストのバイパスによるリモートコード実行の脆弱性が存在する。攻撃者はネットワーク経由で認証なしに細工されたリクエストを送信することが可能であり、影響を受けるシステム上で任意のコードを実行する恐れがある。CVSS v3.1の基本値は9.8（Critical）と評価されており、システム全体に対する深刻な影響をもたらす可能性がある。
10/10 報告と同じ JetBrains TeamCity について、別のリモートコード実行の脆弱性が発見されました。利用環境ではパッチ適用状況の確認を推奨します。
対象ソフト
JetBrains TeamCityは、継続的インテグレーション（CI）およびビルド管理を行うためのサーバー製品であり、ソフトウェア開発組織のビルドやデプロイプロセスの自動化において広く利用されている。
影響
攻撃が成功した場合、認証なしでリモートから任意のコードが実行され、システムの乗っ取りや機密情報の窃取、改ざん、サービス停止などの深刻な被害が生じるおそれがある。
脆弱性Electronのelectronにおける複数の脆弱性
Electronは、JavaScript、HTML、CSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークである。対象バージョンでは、サンドボックスが無効な埋め込み側がNode.js統合を無効にしている場合でも、ElectronのwebviewゲストがWeb Workerに対してnodeIntegrationInWorkerを有効にすることができた。これにより、信頼されていないゲストコンテンツが、埋め込み側の権限よりも高い権限を持つNode対応のワーカーを作成できる可能性があった。
対象ソフト
Electronは、JavaScript、HTML、CSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークである。
影響
信頼されていないゲストコンテンツが、埋め込み側の権限よりも高い権限を持つNode対応のワーカーを作成し、任意のコード実行やシステムへの不正アクセスが行われる可能性がある。
対応策
バージョン 41.10.6、42.9.2、43.4.1、および 44.0.0-beta.5 にアップデートすること。
脆弱性gitea project Giteaにおける認証回避の脆弱性
Giteaの組み込みSSHサーバーが有効な場合、提示された公開鍵はそのエンコードされた内容に対してSQLのLIKE比較で照合されていました。この比較はデフォルトのSQLiteを含む一部のデータベースで大文字小文字を区別しません。攻撃者が別のユーザーの登録済みRSA公開鍵の大文字小文字バリエーションを作成し、その秘密鍵を導出できた場合、その鍵が被害者のアカウントに一致し、攻撃者はそのユーザーとしてSSH認証を行う可能性があります。現在は、鍵はフィンガープリントによって照合されています。
対象ソフト
Giteaは、軽量で自己ホスト型のオープンソースGitサービスであり、組織や開発チームのソースコード管理やコラボレーションのために利用されている。
影響
攻撃者が被害者のアカウントに一致する鍵を使用してSSH認証を行い、不正にアクセスする可能性があります。
対応策
鍵はフィンガープリントによって照合されるように変更されています。
Google、Chromeにセキュリティアップデート公開
Googleはウェブブラウザ「Chrome」のセキュリティアップデートを公開しました。10件の脆弱性が修正されており、なかでもPrerenderにおける解放済みメモリの使用に起因するCVE-2026-110922は、重要度が「クリティカル」と評価されています。
10/14 報告と同じ Google Chrome について、別の脆弱性へのセキュリティアップデートが公開されました。最新版への更新状況の確認を推奨します。
脅威の概要
Google Chromeの「Prerender」において、解放済みメモリを使用することに起因する脆弱性（CVE-2026-110922）など10件の脆弱性が存在します。CVE-2026-110922は、重要度が「クリティカル」と評価されています。
対象となる組織・利用者
Windows、macOS、Linux向けの「Google Chrome」を業務端末等で利用している組織。
推奨される防御アクション
WindowsおよびmacOS向けに「Chrome 155.0.8059.85」「同155.0.8059.84」へアップデートを適用する
Linux向けに「Chrome 155.0.8059.84」へアップデートを適用する
🔄 [続報] Adobe、ColdFusionなど11製品の脆弱性アドバイザリ公開
📰 過去報告：10/14
Adobeは、ColdFusionやCommerce、Experience Managerなど11製品に関するセキュリティアドバイザリを公開しました。任意のコード実行や権限昇格につながる深刻な脆弱性が含まれており、ColdFusionの2件の脆弱性はCVSSv3.1のベーススコアが最高値の10.0と評価されています。
10/14 に報告した脆弱性（CVE-2026-105899）に関する続報です。
脅威の概要
AdobeがColdFusionやCommerce、Experience Managerなど11製品に関するセキュリティアドバイザリを公開しました。任意のコード実行や権限昇格、セキュリティ機能の回避などにつながるおそれのある深刻な脆弱性が多数含まれており、ColdFusionの2件の脆弱性はCVSSv3.1のベーススコアが最高値の10.0と評価されています。
対象となる組織・利用者
「Adobe ColdFusion」「Adobe Commerce」「Adobe Experience Manager」「Photoshop」「Bridge」「FrameMaker」「Dimension」「Substance 3D」「Content Credentials SDK」などの対象製品を運用している組織。
推奨される防御アクション
Adobeが公開した各製品のセキュリティアドバイザリを確認し、必要に応じてアップデートを実施する
台湾の研究機関を狙うAI活用型Google AitMフィッシング
シスコのTalosは、台湾の研究機関を標的としたスピアフィッシングキャンペーン「UAT-11985」の詳細を公表しました。AIを活用したコンテンツ生成により、実在の学術・政策機関になりすました偽のイベント案内や偽のQRコード（クッシング）を用いて、Google AitMフィッシングフレームワークへ誘導し、アカウント認証情報やMFAコードを窃取しています。
脅威の概要
攻撃グループ「UAT-11985」による、AIを活用したスピアフィッシングおよびクッシング（QRコードフィッシング）キャンペーンです。実在の台湾の学術・政策機関になりすました偽のイベント案内を送り、Google Formsを模したAitM（Adversary-in-the-Middle）プロキシサイトへ誘導することで、認証情報とMFAコードをリアルタイムに窃取してアカウントを乗っ取ります。
主要なTTP
AIを活用したテンプレートによる文面の自動生成と、実在の学術・政策機関へのなりすまし
イベント案内メール内での偽装URLや、ポスター上のQRコードを悪用したクッシング（Quishing）
Google FormsおよびGoogleログイン画面を精巧に模したAitMプロキシサイトによる認証情報とMFAコードのリアルタイム窃取
WebSocketおよびPOSTリクエストを用いた動的な認証セッションのミラーリング
対象となる組織・利用者
Google Workspaceなどのクラウドサービスを利用しており、学術機関や政策関連の組織・関係者とやり取りを行う組織。
推奨される防御アクション
フィッシング耐性のある認証方式（FIDO2/WebAuthnベースのパスキーなど）を導入し、AitM攻撃による認証情報やMFAコードの窃取を防ぐ
メール内のリンクにマウスオーバーした際の表示URLと、実際のリンク先ドメインが一致しているか確認するよう従業員を教育する
イベントポスター等に掲載されたQRコードを不用意にスキャンしないよう注意を促す
■ 注目事例
🔄 [続報] ソースネクスト、不正アクセスで最大約2257万件の情報流出
📰 過去報告：10/16
ソースネクストは、同社の会員情報管理システムに対する不正アクセスにより、最大約2257万件の顧客個人情報が外部に流出したことを公表しました。会員情報取得APIが不正利用されたもので、同社は外部からの通信遮断やパスワードリセットなどの対応を実施しています。
10/16 報告分の続報。流出の可能性から流出公表へと進展し、対象件数は最大約2257万件と発表されました。同社はパスワードリセットなどの対応を実施しています。
攻撃手法（確認済み）
第三者が会員情報管理システムに対し、会員情報取得APIを不正利用して情報を取得した。具体的な脆弱性や侵入の詳細は公表文に記載されていない。
攻撃手法（推測）
会員情報取得APIの不備や認証・アクセス制御の不備を突いた不正アクセスが行われた可能性があります。（根拠：公表文に「会員情報取得APIを不正に利用し、お客様の情報を取得した」と記載されているためです。）
自組織チェックポイント
外部公開しているAPIやエンドポイントに対するアクセス制御や認証・認可が適切に実装されているか
APIの脆弱性や不正利用を検知・防御する仕組み（WAFやAPIゲートウェイ等）が導入されているか
🔄 [続報] Eストアー、ショップサーブ不正アクセスの最終報を公開
📰 過去報告：8/12, 8/3
Eストアーは、運営するECサイト構築・運営支援サービス「ショップサーブ」に対する不正アクセスの最終報を公表しました。外部の専門機関によるフォレンジック調査の結果、サーバー上のアプリケーションの脆弱性を悪用された不正プログラムの実行により、購入者情報やクレジットカード情報の一部などが漏洩したことを確認しています。
8/3・8/12 報告の「ショップサーブ」不正アクセスの最終報です。これまで侵入経路の詳細は公表されていませんでしたが、外部の専門機関によるフォレンジック調査の結果、サーバー上のアプリケーションの脆弱性を悪用されて不正プログラムが実行されたことが確認されました。
攻撃手法（確認済み）
サーバー上で稼働するアプリケーションの脆弱性を外部の第三者に悪用され、不正なプログラムを実行されてデータベース内の情報を外部へ送信された。
自組織チェックポイント
サーバー上で稼働するアプリケーションや公開システムに既知の脆弱性が残っていないか定期的な脆弱性診断を実施しているか
管理画面等のアクセスにおいて二要素認証や二段階認証が導入されているか
ファンケルとアテニアで不正アクセス
株式会社ファンケルおよび株式会社アテニアは、両社のECサイトが外部からの不正アクセスを受け、会員情報の一部が外部に漏えいしたことを公表しました。ファンケルで393,785件、アテニアで441,162件の会員情報が対象となっており、原因となった機能は停止されています。
攻撃手法（確認済み）
外部からの不正アクセスによるECサイトの侵害。具体的な侵入経路や手口については、被害拡大防止の観点から公表されていません。
攻撃手法（推測）
ECサイトの機能に起因する不正アクセスとされていることから、Webアプリケーションの脆弱性（SQLインジェクションやOSコマンドインジェクション等）の悪用、あるいは管理機能の不備を突かれた可能性があります。（根拠：公表文において「原因となった機能を特定し、その機能を停止しました」と記載されているため、特定のWeb機能に脆弱性や設定上の問題があったと考えられます。）
自組織チェックポイント
自組織で運用するECサイトやWebアプリケーションにおいて、外部から不正アクセスを受ける可能性のある脆弱な機能や設定が存在しないか
バーガーキング、公式アプリ会員約1118万件の個人情報流出
ビーケー・ジャパンが運営するバーガーキングの公式アプリ会員情報管理システムが第三者による不正アクセスを受けました。約1118万件の会員の個人情報が流出したことが判明し、同社は通信の遮断や調査などの対応を行っています。
攻撃手法（確認済み）
公式アプリの会員情報を管理するシステムが第三者によって侵害され、不正アクセスが行われたことのみ公表されており、具体的な侵入経路や手口は不明。
攻撃手法（推測）
会員管理システムや連携するAPI等の脆弱性、あるいは認証情報の不正使用などを経由して侵入された可能性があります。（根拠：公式アプリの会員情報管理システムが第三者に侵害され不正アクセスを受けたと公表されていることから、システム上の脆弱性や認証不備などが悪用されたことが想起されます。）
自組織チェックポイント
会員情報管理システムや関連するAPIへのアクセスログに不審な通信や大量アクセスが記録されていないか
会員情報管理システムに適用されているソフトウェアやフレームワークに既知の脆弱性が残っていないか
管理画面やAPIのエンドポイントに対するアクセス制御や認証方式が適切に設定されているか
アエナ、ECアプリ不正アクセスで最大81万人分流出か
アエナは、ECアプリが不正アクセスを受け、最大81万7215人分の会員情報が流出した可能性があると公表しました。システムログの解析により、第三者によるマイページの不正閲覧が判明しています。なお、情報の改ざんや不正決済、退会手続きなどは確認されていないとしています。
攻撃手法（確認済み）
eコマースアプリが不正アクセスを受け、第三者によって会員のマイページが不正に閲覧されていたことがシステムログの解析により判明した。具体的な侵入経路や手口は公表時点では不明。
攻撃手法（推測）
リスト型攻撃や、会員アカウントの認証情報を標的にした不正ログインによりマイページが閲覧された可能性があります。（根拠：eコマースアプリの会員マイページが不正に閲覧された事案であることから、認証情報の不正利用やアカウントへの不正なログイン手法が背景にあったことが想起されます。）
自組織チェックポイント
ECアプリや会員向けシステムのログイン認証において、リスト型攻撃や不正なアクセス試行を検知・ブロックできる仕組みが導入されているか
アカウントのログイン試行回数の制限や多要素認証の導入など、不正ログイン対策が適切に実施されているか
システムログにおいて、短期間での大量のマイページ閲覧や不審なアクセス挙動の監視が行われているか
フラー、Studio不正アクセスで情報流出の可能性
フラー株式会社は、利用しているWebサイト制作プラットフォーム「Studio」において第三者による不正アクセスが発生し、コーポレートサイトおよび高専キャラバン公式サイトのお問い合わせフォームに送信されたお客様の情報が外部へ流出した可能性があると公表しました。
攻撃手法（確認済み）
Studio株式会社が提供するノーコードWebサイト制作プラットフォーム「Studio」の一部機能の脆弱性を悪用した第三者による不正アクセスが行われ、クラウド環境内のデータが外部から取得可能な状態になっていました。
自組織チェックポイント
外部のSaaSやWebサイト制作プラットフォームを利用している場合、提供元における脆弱性や不正アクセスの発生状況を把握する仕組みがあるか
■ レポート・解説
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-10-17 に配信されました。
