Security Digest

セキュリティ・脆弱性の最新情報を毎朝日本語でまとめてお届けします

ホーム › 2026-10-18

セキュリティ・脆弱性の最新ニュース（2026-10-18）

ConnectWise Cloud Backup(旧SkyKick)が侵害され、顧客のMicrosoft 365テナントへの不正アクセスが起きた。サービス経由で顧客環境に入られる、MSPを狙ったサプライチェーン型の攻撃である。ほかにDrupalの重大なリモートコード実行の脆弱性の修正と、npmで見つかった悪性パッケージがあり、いずれも自分の環境で使っているかの確認が要る。

ConnectWise Cloud Backupの侵害でMicrosoft 365テナント173件に不正サインイン

必読攻撃・インシデントThe Hacker News · Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants

正体不明の攻撃者が、ConnectWise Cloud Backup(旧SkyKick)のMicrosoft 365資格情報を悪用している。この資格情報で顧客のM365環境に入り込む攻撃が続いており、サインインされたテナントは173件にのぼる。ConnectWiseは攻撃者がアプリケーションIDにアクセスしたことを受け、Cloud Backupへの顧客のアクセスを止めた。このサービスはMSP向けのバックアップ製品なので、利用中のMSPと、MSPにM365の管理を任せている組織は、自社テナントへのサインイン履歴とアプリの権限を確認する必要がある。

Drupal、リモートコード実行の重大な脆弱性2件を修正 エクスプロイト出現が近いと警告

必読脆弱性/CVEBleepingComputer · Drupal patches critical RCE flaws, warns exploits may emerge soon

Drupalが、リモートでコードを実行される重大な脆弱性2件を修正した。影響を受けるのはサポート中のすべてのバージョンである。Drupal自身が、近いうちにエクスプロイトが出てくる可能性があると警告している。Drupalでサイトを運用している場合は、悪用が始まる前に修正版を当てておきたい。

npmの悪性パッケージ「imgdecode」、Windowsネイティブアドオンにシェルコードローダーを隠す MALFEXキャンペーンの一部

注目マルウェア/ランサムThe Hacker News · MALFEX npm Package 'imgdecode' Hides Shellcode Loader in Windows Native Addon

研究者が、サプライチェーン攻撃キャンペーン「MALFEX」に属する悪性npmパッケージ「imgdecode」を見つけた。Windows向けのネイティブアドオンの中にシェルコードローダーが仕込まれている。2026年9月30日にユーザー「malfexteste8」が公開し、記事の執筆時点で979回ダウンロードされ、まだnpmから入手できる状態だった。依存関係やロックファイルにこのパッケージが入っていないか確認してほしい。