脆弱性

Apache OFBizのRCEやDreamHost情報流出など最新脅威を解説

by

概要 今週のThreatsDayでは、Apache OFBiz のリモートコード実行脆弱性、DreamHost の顧客情報流出、DeFi プラットフォームのハイジャックなど計18件が報告されました。特に、盗まれた認証情報が複数システムへの不正アクセスに利用されるケースが目立ち、被害拡大のスピードが速いことが特徴です。 技術的詳細・特徴 Apache OFBiz の脆弱性（CVE‑2026‑XXXXX）は、テンプレートエンジンが処理する OGNL 式に不正なコードを埋め込むことで任意のコマンドが実行できるリモートコード実行（RCE）です。攻撃者は認証情報なしでサーバ上にシェルを取得できます。DreamHost では、バックアップディレクトリが誤ってインターネットに公開され、約5,000件のメールアドレスとハッシュ化されたパスワードが取得されました。DeFi 事例は、スマートコントラクトの所有者権限が乗っ取られ、数百万ドル相当の資金が不正送金されたものです。 影響・対策方法 Apache OFBiz を利用中の組織は、ベンダー提供のパッチを即時適用し、不要なテンプレート機能は無効化する。 DreamHost のようなホスティングサービスは、バックアップのアクセス制御と暗号化を徹底し、公開ディレクトリが存在しないか定期的にスキャンする。 DeFi 開発者は、所有者権限に多要素認証（MFA）を導入し、コントラクトのアップグレード機能を最小限に抑える。 共通対策として、盗難認証情報の早期検知・無効化、パスワードの定期変更、全サービスでの MFA 導入が有効です。 出典 情報元: The Hacker News

AI IDE Cursorで発見された2つの深刻な脆弱性と対策

by

概要 CursorというAI支援型統合開発環境（IDE）で、同日に2件の深刻な脆弱性が報告されました。1つはClaudeコード生成拡張機能がトロイの木馬化されたものが配布されたケース、もう1つは拡張機能の署名検証が不十分だったケースです。攻撃者はこれにより開発者のマシン上で任意コードを実行できる可能性があります。 技術的詳細・特徴 悪意のあるClaude拡張は公式リポジトリに似せた名前で公開され、インストール時に自動的にマルウェアをダウンロードします。 署名検証の欠如により、改ざんされた拡張機能が正規と見なされ、IDE内部で実行権限を取得します。 拡張機能が取得する権限はIDEのプロジェクトディレクトリ全体に及び、Gitリポジトリの認証情報や環境変数までアクセス可能です。 両方の脆弱性は、AIモデルとプラグインの供給チェーンに対する信頼性が不足している点を露呈しています。 影響・対策方法 開発者は感染したマシン上でコードの改ざんや情報漏洩、さらにはランサムウェア展開のリスクに直面します。特に企業環境では、社内リポジトリのシークレットが漏洩すると、クラウドリソースの不正利用や情報流出につながります。対策としては、公式以外の拡張機能をインストールしない、拡張機能のデジタル署名を必ず確認する、IDEとプラグインを常に最新バージョンに保つ、そしてエンドポイント保護ソフトで未知の実行ファイルをブロックすることが推奨されます。 出典 情報元: Dark Reading

AndroidのSMS of Death脆弱性、遠隔で電話をクラッシュさせる攻撃手法が公開

by

概要 研究者がCVE-2026-58882（通称SMS of Death）向けのPoCを公開しました。 特別に細工したSMSを送信するだけで、未パッチ端末のセルラーサービスが停止したり、OSがクラッシュしたりします。 今回の情報は、既にパッチが提供されているものの、アップデートが遅れているデバイスが対象です。 技術的詳細・特徴 SMS of Deathは、AndroidのRIL（Radio Interface Layer）にあるメッセージ処理ロジックのバッファオーバーフローを突くものです。攻撃者はSMS本文に過剰な長さのデータを埋め込み、受信時にカーネルが不正なメモリ領域を書き換えることで、電話アプリや通信スタックを強制終了させます。 リモートからSMSだけで実行可能 ユーザー操作不要、バックグラウンドで自動的に発動 パッチ適用前の全Android端末が潜在的に影響を受ける 影響・対策方法 この脆弱性により、サービス停止やデバイスの再起動が頻発し、業務に支障を来す可能性があります。対策としては、以下を速やかに実施してください。 端末メーカー・キャリアが提供する最新のセキュリティパッチを適用する 不審なSMSは開かずに削除し、SMSフィルタリングアプリの導入を検討する 企業環境ではMDMでパッチ適用状況を一元管理し、未適用端末を隔離する 出典 情報元: BleepingComputer

Oracle E-Business Suiteの新たなRCE脆弱性、パッチ適用後も攻撃者が探索開始

by

概要 Oracle E‑Business Suite (EBS) の Application Object Library に存在する深刻なリモートコード実行脆弱性 (CVE‑2026‑101767, CVSS 9.8) が、Oracle のクリティカルパッチで修正された直後に、脅威アクターによるスキャンが確認されました。本記事では脆弱性の概要と対策を解説します。 技術的詳細・特徴 この脆弱性は、EBS の内部 API が不適切に入力を検証することで、認証済みユーザーでなくても任意の OS コマンドを実行できる点にあります。攻撃者は特製の HTTP リクエストを送信し、サーバ上でコードを注入・実行します。攻撃コードは特定のパラメータ「OA_OBJECT_NAME」に細工した文字列を含めることで、バックエンドの PL/SQL が eval 関数に渡され、任意のシェルコマンドが実行されます。脆弱性はデフォルト設定のままインターネットに公開された環境でも利用可能で、特権ユーザー権限でのコード実行が可能です。パッチは 2024 年 10 月の Critical Patch Update に含まれ、対象モジュールのバリデーションロジックを強化しました。 影響・対策方法 未パッチの EBS 環境は直ちにパッチ適用を実施。 パッチ適用後も外部からのスキャンが続くため、Web アプリケーションファイアウォール (WAF) で該当リクエストをブロック。 アクセス制御リスト (ACL) を見直し、管理画面への IP 制限を強化。 ログ監視と侵入検知システム (IDS) で不審なリクエストを検知し、インシデント対応手順を整備。 実際に検知されたスキャンは、IP アドレス 203.0.113.45 … Read more

AIモデルのセキュリティベンチマークが抱える課題と実践的対策

by

概要 AIモデルのセキュリティ評価は、ベンチマークが増える一方で全体像を把握しにくくなっています。各ベンチマークは特定のリスクや攻撃ベクトルに焦点を当てていますが、実際の開発環境やワークフローでのテストに代わるものではありません。 技術的詳細・特徴 現在主流のベンチマークは、データ汚染、モデル逆推定、対抗的攻撃などを個別に測定します。例えば、RobustBenchは対抗的サンプル耐性を、Datasheetはデータセットの品質を評価します。しかし、これらは単一指標に依存し、モデル全体のリスクプロファイルを示すことはできません。 影響・対策方法 ベンチマークだけに頼ると、実運用での脆弱性を見逃す可能性があります。対策としては、以下を推奨します。 自社コードとデータパイプラインを組み込んだエンドツーエンドテストを実施 複数ベンチマークを組み合わせ、総合的な評価指標を作成 継続的なモニタリングとインシデントレスポンス体制の整備 出典 情報元: Dark Reading

Microsoft、1,400件超の脆弱性を一括修正　Windows更新の重要ポイント

by

概要 Microsoftは本日、Windowsや関連ソフトウェア向けに1,400件以上の脆弱性を修正する大規模な更新をリリースしました。78件が「クリティカル」評価で、コード実行が可能なものも含まれます。ゼロデイと判定されたCVE‑2026‑9695はWindows Shellの機能バイパスです。 このパッチは過去最大規模で、2020年の記録を上回り、累計4,000件超のCVEsが公開されました。 技術的詳細・特徴 修正対象はWindows 10/11、Server、.NET Framework など多岐にわたり、主なポイントは以下です。 クリティカル評価が78件、ほとんどがリモートコード実行可能。 ゼロデイCVE‑2026‑9695はWindows Shellのセキュリティ機能を回避。 .NET Framework のバイパス（CVE‑2026‑108398）は事前に公開され、攻撃者が準備できる時間が増大。 AI（大規模言語モデル）による脆弱性発見が増加し、修正件数に寄与。 影響・対策方法 企業は以下を優先すべきです。 本日配布された全更新プログラムを速やかに適用。 CISAの「Known Exploited Vulnerabilities」カタログに掲載された26件を最優先でパッチ適用。 テスト環境での動作確認を行い、業務システムへの影響を評価。 Windows 10 のサポートは2027年10月まで延長されたため、引き続き更新が必要。 出典 情報元: Krebs on Security

BlackXブートキットがSecure Bootを回避、Baton Drop脆弱性を悪用

by

概要 2026年初頭に活動が確認された新たなUEFIブートキット「BlackX」。古いUEFI脆弱性「Baton Drop」を利用し、Secure Boot をバイパスしてマルウェアドライバをロードします。Kaspersky や Avast などのセキュリティ製品を標的にし、検知・除去を妨害します。 技術的詳細・特徴 対象はUEFIファームウェアの「Baton Drop」(CVE-2023-XXXXX)で、署名検証を回避できる。 脆弱性はUEFIのDXEドライバロード時に署名チェックをスキップさせるロジックエラーで、特定のメモリ領域を書き換えることで実現。 ブートローダーにパッチを当て、正規のOSローダーとして振る舞いながら悪意コードを注入。 BlackX は自己署名のPEファイルを使用し、Secure Boot の許可リストに登録されたキーと同一のハッシュを偽装。 ロードされたドライバはカーネルレベルで動作し、Kaspersky と Avast のリアルタイム保護やスキャンエンジンを無効化。 検知回避のため、標的のアンチウイルス製品のプロセスやサービスを停止させるコードが組み込まれている。 通信は暗号化されたC2サーバーへ行い、追加ペイロードを取得可能。 影響・対策方法 Secure Boot を有効にしていても、Baton Drop が未修正のマシンは侵入リスクがあります。対策としては、UEFI ファームウェアをベンダー提供の最新バージョンに更新し、Baton Drop 脆弱性を修正することが最重要です。また、Secure Boot のキー管理を見直し、信頼できる署名のみを許可する設定を推奨します。さらに、エンドポイントのセキュリティ製品は最新定義に保ち、異常なカーネルドライバのロードを監視することが有効です。企業環境では、UEFI の設定が統一されていない端末が多数存在するため、全社的なファームウェア更新が必要です。加えて、ハードウェアベンダーが提供する Secure Boot のロックダウン機能を有効化し、未署名ドライバのロードを禁止することが推奨されます。 出典 情報元: BleepingComputer

PHPの緊急脆弱性が大量サイト停止を引き起こす可能性―即時対応が必要

by

概要 本日、PHPの緊急セキュリティアップデートが公開され、約70%のウェブサイトが直ちに対応を求められました。2つの深刻な脆弱性はリモートコード実行やサービス拒否を引き起こし、実際にエクスプロイトが野放しで観測されています。 影響はDrupal、Magento、Joomla、WordPressなど多数のCMSに波及し、欧州の政府サイトでも一時的に停止が報告されました。 OpenAIやWizの研究者がAIを活用して実証したことから、過去数十年にわたって埋もれていた欠陥が一気に危険度を高めました。 技術的詳細・特徴 今回の脆弱性はPHP本体に存在する2つのバグで、どちらも任意コード実行（RCE）を可能にします。過去10年でリリースされたすべてのPHPバージョンに少なくとも一つは影響があり、特に古いバージョンほど攻撃対象になりやすいです。エクスプロイトは複雑なチェーンを必要としましたが、生成AIがそのハンドリングを自動化したことで実用化が加速しました。 攻撃者はWebシェルを設置し、サーバ上で任意のコマンドを実行できるほか、データ漏洩やサービス停止（DoS）も引き起こします。CloudflareはUTC 3:02にWAFルールを追加し、悪意あるリクエストをブロックしています。 影響・対策方法 公式サイトから提供されたPHP 8.3.12以降、または該当バージョンのパッチを直ちに適用する。 WAFやIPSで「CVE‑2026‑xxxx」系のシグネチャを有効化し、疑わしいリクエストを遮断する。 CMSやプラグインのバージョンも最新に保ち、不要なPHP拡張は無効化する。 サーバのバックアップを定期的に取得し、侵入が疑われた場合は速やかに復旧手順を実行する。 出典 情報元: Krebs on Security

Ciscoが35件の脆弱性を修正、重要なバッファオーバーフローに注意

by

概要 Ciscoは35件の脆弱性に対するパッチを公開し、うち12件以上がクリティカルと評価されています。Meraki、License On‑Prem、NX‑OS、APIC、Finesseなど幅広い製品が対象です。現時点で実際の攻撃は報告されていませんが、早急な対応が推奨されます。 技術的詳細・特徴 主な脆弱性はメモリ破壊や認証回避に関するものです。 Meraki: 7 CVEをまとめて修正。特にCVE-2026-76464はバッファオーバーフローや範囲外書き込みを引き起こす。 License On‑Prem: 8件修正。CVE-2026-20328は認証なしで不正アクセス、CVE-2026-76454はDoSを誘発。 NX‑OS: 14件修正（うち7件クリティカル）。CVE-2026-76455/76459は不適切なアクセス制御と書き込みエラー。 APIC: CVE-2026-76498〜76500は不適切なアクセス制御、OSコマンドインジェクション、メモリ欠陥。 Finesse: 高リスクのSSRF脆弱性（CVE-2026-20362）を修正。 影響・対策方法 これらの脆弱性は認証なしでリモートコード実行やサービス妨害を引き起こす可能性があります。対策は以下の通りです。 該当製品を使用中の組織は速やかにCisco提供の最新ファームウェアへアップデート。 NGOAMが有効なNexus 3000/9000シリーズは機能を無効化するか、パッチ適用を必須とする。 管理インターフェースへのアクセスはIP制限や二要素認証で保護。 Cisco Security Advisoriesを定期的に確認し、追加情報や新たな脆弱性に備える。 出典 情報元: SecurityWeek

AIが加速させる脆弱性発見とリスク変化

by

概要 Google Threat Intelligence Group の報告によると、2026年の脆弱性公開件数は月平均で倍増し、実際に悪用された件数もほぼ倍に増加しました。AI が脆弱性の発見速度とリスクプロファイルに影響を与えていると指摘されています。この傾向は、LLM を活用した自動解析が n‑day の武器化を容易にしていることが背景にあります。 技術的詳細・特徴 2025年1月〜2026年8月のデータで、月平均公開件数は5,045件から10,477件へ上昇。 高リスク脆弱性は 167% 増加し、131件から350件に。 実際に悪用された脆弱性は 141 件で、前年全体（127 件）を上回った。 AI が関与した脆弱性は低リスクが 39%、中リスクが 58% と、非AI脆弱性に比べリスクが低め。 ゼロデイは全体の 62% を占めるが、月平均は 8 件→11 件と僅かな増加。 影響・対策方法 AI 生成コードやパッチ差分の自動解析により n‑day の武器化が加速。従来のゼロデイ対策だけでなく、迅速なパッチ適用が必須。 脆弱性情報の取得・評価を自動化し、リスクが高いものを優先的に修正するプロセスを整備。 AI ツールの利用を監視し、社内での不正利用を防止するポリシーを策定。 オープンソースの CVE 自動割り当てによるノイズを除去し、実際のリスクに焦点を当てた評価を行う。 出典 情報元: SecurityWeek