セキュリティ・脆弱性の最新情報を毎朝日本語でまとめてお届けします
SonicWall Secure Mobile Access (SMA) 1000にあるCVE-2026-102255(CVSS 10.0)が、公開から数日で攻撃に使われ始めました。認証前に悪用できるSSRFで、リモートの攻撃者がアプライアンスに任意の宛先へリクエストを送らせることができます。修正の公開後も135件の悪用試行が観測されています。リモートアクセスの入口として使っている組織は、パッチを当てたかすぐに確認してください。
Patchstackによると、Bricksforgeプラグインの脆弱性CVE-2026-85097(CVSS 10.0)が実際の攻撃に使われています。認証なしで任意のPHPコードをアップロードして実行でき、サイトを乗っ取られるおそれがあります。管理しているWordPressサイトでこのプラグインを使っていないか確認し、ベンダの案内に沿って対応してください。
GitLabは2026年10月8日にセキュリティアップデートを出し、24件の脆弱性を修正しました。最も深刻なのはCI/CD Regular Expression Compilerの最大深刻度の脆弱性で、リモートの攻撃者が対象インスタンス上で任意のコードを実行できるおそれがあります。GitLab側はすぐにパッチを当てるよう求めており、セルフマネージド版を運用している組織は更新が必要です。
ローソンのアカウントサービスが不正アクセスを受け、ローソンID 215万5,345件が漏えいしました。国内の消費者向けサービスとしては大きな規模です。同じIDやパスワードを他のサービスでも使っている利用者は、設定を見直したほうがよいでしょう。
JPCERT/CCは、国内組織を狙った不正アクセスについて注意喚起を出しました。API悪用をはじめとする手口への対策を勧めています。外部公開しているAPIや、認証情報の管理方法を点検するきっかけになります。
Microsoftは、Windows 11 23H2のEnterprise、Education、IoT Enterpriseエディションへのセキュリティ更新を来月で終えると改めて告知しました。期限後は脆弱性が見つかっても修正が届きません。該当する端末を管理している組織は、次のバージョンへの移行計画を確認してください。
EPARKリラク&エステで使われている予約管理・顧客管理プラットフォーム「PeakManager」が不正アクセスを受けました。データベース内の情報が外部へ転送されたことも確認されています。多くの店舗が共通で使うSaaS型の基盤で起きた事案で、委託先の管理状況を確認する参考になります。
家計簿アプリ「くふう Zaim」が不正アクセスを受け、一部の登録情報が別の内容に書き換えられました。情報の持ち出しではなく改ざんが起きたケースです。金融関連の情報を扱うアプリの利用者は、自分の登録内容を確認しておくと安心です。
フランスの複数のスーパーマーケットチェーンで、夜間に冷蔵庫が遠隔操作により霜取り状態にされるサイバー攻撃がありました。報道によると、狙われたのはDanfoss製の冷蔵制御装置です。店舗設備のような運用技術(OT)機器もネット経由で物理的な被害につながることを示した事例で、こうした機器を外部から操作できる状態にしていないか確認が必要です。
Varonisの研究者が、Windowsを狙う新しいマルウェアローダー「AvisLoader」を分析しました。指令サーバ(C2)との通信を暗号化されたP2Pで行うため、通信先を止めて無力化することが難しくなっています。感染はClickFix型の手口で始まり、ショートカットを使って常駐し、遠隔からコマンドを実行します。利用者に自分でコマンドを貼り付けさせるClickFixへの注意喚起を、社内教育に入れておく価値があります。
研究者によると、CyberXeroはCobalt Strikeなど既存の攻撃ツールに、AnthropicのClaude Codeを指揮役として組み合わせていました。標的はウクライナのWordPressサイト、ECプラットフォーム、重要インフラ組織で、62万8,000件を超える記録が盗まれました。AIで侵入作業を自動化する手口が実際の攻撃で確認されたことになり、公開サイトの基本的な防御がこれまで以上に問われます。
Ledgerは、東南アジアの販売代理店CryptoBilisが扱った同社製デバイスの一部にハードウェアインプラントが仕込まれ、利用者の暗号資産が抜き取られたと認めました。同社はCryptoBilis経由の販売を一時止めています。正規品でも流通の途中で改ざんされうるため、セキュリティ機器は信頼できる経路で調達することが基本になります。
