セキュリティ・脆弱性の最新情報を毎朝日本語でまとめてお届けします
BeyondTrust Remote Support(旧Bomgar)の脆弱性CVE-2026-102764(CVSSスコア9.3)が、8月下旬からゼロデイとして悪用されていました。悪用したのは中国系のスパイ活動グループ「Armory Castle」(旧称UNC5221、Warp Panda)です。BeyondTrustは10月15日(米国時間)、顧客に修正版の適用を呼びかけました。リモート保守サーバは社内端末に広く入れる経路になるため、利用中ならパッチの適用に加えて、8月以降に侵害されていないかも確認してください。
高度な攻撃者とみられる集団が、FortiOSの脆弱性CVE-2025-61624を悪用し、これまで報告のなかったARM64向けのメモリ常駐型マルウェア「PEERSTITCH」を送り込んでいました。この脆弱性はFortiOS、FortiPAM、FortiProxy、FortiSwitchManagerのコマンドラインインタプリタにあるパストラバーサルです。CVSSスコアは5.4と中程度ですが、実際に攻撃で使われています。スコアだけで後回しにせず、該当製品のバージョンを確認してください。
2026年5月から7月にかけて、Windows向けバックアップソフト「AOMEI Backupper」の公式更新サーバ上のファイルが繰り返し差し替えられていました。差し替えは1回あたり5〜10分で、その間に更新を確認したソフトはバックドアをダウンロードして実行していました。Google Threat Intelligence Group、Mandiant、ManageEngineが報告しています。正規の配信元からの更新だったため、従来の検知では気付きにくい手口です。この期間に同製品を使っていた端末は調査の対象になります。
MagentoとAdobe Commerceに、深刻度が最大と評価された脆弱性CVE-2026-103849(通称BlockStrap)が見つかりました。悪用されると、ストアのサーバ上で任意のPHPコードを実行される可能性があります。研究者は、近いうちに悪用が始まるおそれがあると警告しています。ECサイトを運営している場合は、ベンダの情報で対象バージョンと修正状況を確認してください。
バーガーキング・ジャパンは、1118万件の顧客記録を含むサーバに攻撃者がアクセスしたと公表しました。国内の報道では、公式アプリが不正アクセスを受け、アプリ会員の個人情報が流出したとされています。詳細は調査中です。利用者が多い飲食チェーンの会員情報のため、件数は国内でも大きな規模になります。
ソフトウェア販売のソースネクストで会員情報管理システムが侵害され、約2252万件の会員情報が流出した可能性があります。同社の製品は個人だけでなく企業でも購入されています。社用アドレスで会員登録していた場合も含め、同社をかたるメールに注意が必要です。
米CISAは、Atlassian製品や複数ベンダーのネットワークセキュリティ製品などの脆弱性5件について、悪用を確認したとして注意を呼びかけました。境界防御の製品と業務基盤の製品が両方含まれています。自社で使っている製品が対象かどうか、CISAの公表内容と照らし合わせて確認してください。
Adobeは2026年10月13日(現地時間)、「Adobe ColdFusion」「Adobe Commerce」「Adobe Experience Manager」など11製品のセキュリティアドバイザリを公開しました。同社は即時のアップデートを求めていませんが、深刻な脆弱性も含まれています。Webサーバ側で動く製品が多いため、通常のパッチサイクルで漏れなく適用してください。
Cloud Software Groupは、仮想化基盤「XenServer」と「Citrix UniconOS」「Citrix Workspace app」の3製品で脆弱性が見つかったとして、それぞれアップデートを公開しました。仮想化基盤とクライアントの両方が対象です。サーバ側だけでなく、利用者の端末に入っているWorkspace appのバージョンも確認してください。
Microsoftによると、今月のWindows 11セキュリティ更新プログラムKB5127648をインストールすると、一部の環境で「Smart App Control」を有効にできなくなることがあります。同機能を防御策として使っている組織は、更新を配布した後に設定が有効になっているかを確認してください。
組織からの情報流出が相次いでいることを受け、情報処理推進機構(IPA)はサイバー攻撃による情報流出の被害を受けた企業・組織を支援する「不正アクセス特別相談窓口」を開設しました。電話とメールで受け付け、被害が確定する前の疑いの段階でも相談できます。自社だけで判断がつかない初動の段階で使える窓口です。
シューズメーカーのムーンスターは、自社サーバが外部から侵害され、顧客の個人情報が流出したことを明らかにしました。顧客に届いたなりすましメールには、過去の注文情報が記載されていました。本物の取引内容が書かれたメールは見分けにくく、流出した情報が詐欺の材料として使われた例です。