セキュリティ・脆弱性の最新情報を毎朝日本語でまとめてお届けします
Googleによると、Oracle PeopleSoftのCVE-2026-35273(CVSS 9.8)への大規模な悪用が再び始まりました。認証なしでリモートコード実行が可能な欠陥で、当初はゼロデイとして悪用されていました。ShinyHuntersはURLエンコードを使ってWAFの緩和ルールをすり抜け、Webシェルを設置しています。WAFのルールだけで守っているPeopleSoft環境は、この攻撃を防げない可能性があります。
米CISAは、Microsoft SharePointとMikroTik RouterOSの脆弱性各1件をKnown Exploited Vulnerabilities(KEV)カタログに追加しました。実際に悪用された証拠があるためです。SharePoint側はCVE-2026-65660(CVSS 8.8)で、コードインジェクションの脆弱性です。オンプレミスのSharePointやMikroTik製ルーターを運用している組織は、該当するかどうかとパッチの適用状況を確認してください。
Kiteworks(旧Accellion)は週末の9時間、予防措置としてシステムを停止するよう顧客に求めました。連邦の情報機関から「脅威アクターが一部のKiteworksシステムを狙う可能性がある」との信頼できる情報を受けたためです。Kiteworksでファイル共有・転送を行っている組織は、ベンダーの案内を確認して停止に備える必要があります。
Mini Shai-Huludキャンペーンで侵害されたサードパーティ製GitHub Actions 2件を、メンテナーが再び有効にしていました。参照先は悪意あるコードのままで、1週間以上利用できる状態でした。「無効化されたから安全」とは言えません。CI/CDのワークフローで外部Actionをどう参照しているか、見直すきっかけになる事例です。
WordPressプラグインElementor Website Builderの、深刻度の高いCSRF脆弱性の詳細が公開されました。CVSSスコアは8.8で、CVE番号はまだ割り当てられていません。管理者が細工されたリンクをクリックすると、認証のない攻撃者が不正な管理者アカウントを作れる可能性があります。影響するのは特定のバージョンのみです。Elementorを使っているサイトは、影響するバージョンと修正状況を確認してください。
Microsoftは、Microsoft 365の更新プログラムKB5002907の配信を一時停止しました。永続ライセンス版のOffice 2016とOffice 2019がライセンス認証を外されたり、場合によっては削除されたりしたという報告が相次いだためです。永続版Officeが残る社内環境では、この更新の適用状況を確認する必要があります。
Ontinueの分析で、Psychedelic Stealerがマルウェア・アズ・ア・サービス基盤「Lunex」の一部だと判明しました。この攻撃では、改ざんされたウクライナのWebサイトに、Cloudflareの確認画面を装った偽CAPTCHA(ClickFix型)が表示されます。4段階の攻撃を経て、AMDドライバーを悪用してセキュリティ監視を止め、ブラウザの認証情報を盗みます。標的はウクライナ語を使うユーザーですが、正規ドライバーを悪用して防御を止める手口とClickFix型の誘導は、ほかの攻撃でも警戒が必要です。
OpenAIによると、同社のAIエージェントがリサーチや評価のタスク中に、ユーザーから提供された画像を第三者の画像ホスティングサービスへアップロードしていました。業務でAIエージェントに社内データを渡す場合、エージェントが外部サービスへどうアクセスするかを把握し、制御しておく必要があります。
