セキュリティ脅威情報

Cisco製品群において、内部セキュリティレビューやデータベースサービス機能に起因する複数の重大な脆弱性（合計5件）が公表された。最上位のCVSS基本値は9.8であり、Cisco Expressway Seriesのデータベースサービス機能における脆弱性では、認証されていない遠隔の攻撃者がネットワーク経由で任意のオペレーティングシステムコマンドをroot権限で実行する可能性がある。この問題は永続的Cookieの使用およびクラスタリング時のTLS検証モードにおけるクライアント証明書の不十分な検証に起因している。

Apache Software Foundationの製品群において、合計10件の深刻な脆弱性が公表された。Apache Pulsar Managerでは、初期管理者アカウントの作成機能が認証なしで利用可能であり、初期化後も維持されるため、第三者が管理者アカウントを自由に追加できる問題が存在する。また、Apache Traffic Serverにおいては、認証情報の不正利用、プラグインの不適切な設定による外部コマンド制御、TLSセッションの誤用やSNI仮想ホスト間でのクライアント証明書の検証不備、リクエストスマグリング、キャッシュポイズニングにつながる問題など、多岐にわたる重大な脆弱性が含まれている。

Storybookのプレビュー環境においてオリジン検証が欠如している問題が存在する。開発サーバーが稼働している状態で悪意あるWebサイトを訪問すると、攻撃者がプレビュー用iframeを介して開発サーバーへ不正なリクエストやイベントを送信するおそれがある。最悪の場合、開発者のプロジェクト内のファイルが不正に書き換えられ、ローカルランタイムによって実行されることで、開発者の権限で任意のコードが実行される危険性がある。

Python用画像処理ライブラリの Pillow において、EPS画像の処理時に Ghostscript を呼び出す際、入力ファイルパスのサニタイジングが不十分であるという脆弱性が存在する。攻撃者が Pillow に渡されるファイル名を制御可能な場合、ファイル名にハイフンやアットマークを含めることで Ghostscript のコマンドライン引数を不正にインジェクトし、任意のコマンド実行へと発展させるおそれがある。

米CISAは、Plex Media Serverの4つの脆弱性（総称してPlex2Shell）や、Siemens Software Center、SiteGuard Server Editionの脆弱性など計6件をKnown Exploited Vulnerabilitiesカタログに追加し、連邦機関に対応を求めました。

10月上旬、300を超えるTorの出口リレーが乗っ取られ、SSH接続を傍受してパスワードを窃取するサーバーにリダイレクトされる事案が発生しました。Torプロジェクトや研究者の調査により、リレーの設定書き換えやバックドアを悪用した手口が判明し、10月5日までに該当リレーはすべてネットワークから排除されました。

セキュリティ企業が、新規に確認された中国関連の脅威グループ「Bronze Sandcastle」に関する詳細を公表しました。同グループは2025年中頃からアジアやアフリカの組織を標的に、複数種の正規ソフトウェアを悪用したDLLサイドローディング手法を用いてバックドアを展開しています。

インドの認証局eMudhraの中間証明書8件について、署名用秘密鍵が極めて容易に復元できる状態にあったことが判明しました。主要ブラウザやクラウド事業者などは該当証明書を緊急遮断し、ルート証明書の信頼取り消しなどの対応を進めています。

Mozilla Foundationは、セキュリティアップデート「Firefox 158.0.1」を公開しました。CVEベースで4件の脆弱性に対処したほか、侵害された「eMudhra」の中間証明書をブロックするためのリスト更新を行っています。

大阪大学は、全学教育用電子計算機システムの運用を委託している日本電気（NEC）から、個人情報を含むファイルが第三者によりダウンロードされていたとの報告を受けたと発表しました。NECが契約に反して無断で協力会社に関与させ、クラウドストレージ上でファイルを共有および保持していたことが原因で、卒業生や在学生、教職員など計77,851人分の個人情報が漏えいしました。

デジタルアーツは、クラウドサービスの運用環境および社内環境に対する不正アクセスの痕跡を発見したと公表しました。サービス運用に用いる認証情報が第三者に不正に取得されたもので、一部のお客様情報が閲覧された可能性があります。なお、お客様情報の外部への持ち出しや情報の悪用、二次被害は確認されていません。

P2C Studio株式会社は、運営する「Creator Store」で利用している外部アプリが不正アクセスを受け、ストアフロントの一部ページに不正なスクリプトが読み込まれたと公表しました。これにより、指定の時間帯に対象導線で決済を試みた一部のお客様が偽の決済画面に誘導され、クレジットカード情報が漏洩した可能性があります。

PingCAPは、第三者が不正取得したアカウントの認証情報を使用して社内システムにアクセスし、データを複製したことにより、日本国内で最大約5万件の個人情報が漏洩したと公表しました。同社は影響を受けた認証情報の無効化やキーのローテーションを実施しています。

トラストバンクが運営する「ふるさとチョイス」において第三者による不正アクセスが発生し、会員情報が外部に流出したことが判明しました。被害拡大防止のため、関連サービスを一時停止して外部専門家とともに調査が進められています。

ヤマト運輸は、「クロネコ代金後払いサービス」がサイバー攻撃を受け、顧客や加盟店の個人情報が流出したことを明らかにしました。2026年9月28日に侵害を確認し調査を進めていたもので、顧客の氏名や住所、電話番号、商品明細など約526万件や、届け先情報約5万件、加盟店情報約4100件の流出が確認されています。

岩井コスモ証券は、インターネット取引システムにおいて顧客4975人の氏名やメールアドレスなどの個人情報が流出したことを明らかにしました。システムの運用や保守業務を委託しているトレードワークスのシステムが第三者によって侵害されたもので、意図しない取り引きも確認されています。また、同日には売買管理システムも攻撃を受けたことが判明しています。

TeamUpdraftのウェブサイトが不正アクセスを受け、UpdraftCentralなどの接続キーが不正に取得された可能性があると公表されました。攻撃者は有効なキーを使用して接続されたWordPressサイトにバックドアプラグインをインストールし、管理者アカウントを作成するなどの不正な操作を行ったことが確認されています。

株式会社レスキューナウは、利用していたStudio株式会社のクラウド環境において第三者による不正アクセスが発生し、imatomeの「トライアル申込フォーム」に入力された会社名、担当者名、メールアドレスなどの顧客情報が外部に漏洩した可能性があると公表しました。

リクルートは、中古車情報サイト「カーセンサーnet」や業務支援サービス「C-MATCH」などが外部から不正アクセスを受け、利用者や取引先の個人情報が最大370万9551件漏えいした可能性があると発表しました。関連システムへの不審なアクセスを検知したため、関連する全サービスを一時停止して調査を進めています。