タグ / 対象技術
すべての面から16件。公開日の新しい順。（管理ツール・管理機能・管理インターフェース・管理基盤・管理アカウント のタグが付いた記事を含みます）キーワードと組み合わせて探す →
LINE連携のマーケティング基盤「TONARIWA」で、システム基盤の管理アカウントの認証情報が漏えいし、不正アクセスと権限昇格を受けた。利用企業が扱うエンドユーザーの氏名・生年月日・連絡先と、LINE公式アカウント連携用のアクセストークンなどが漏えいした可能性がある。11月12日の第二報で、外部への持ち出しを示すログを確認し、導入企業2社で個人情報の漏えいを確認したと公表した。件数とほかの導入企業への影響は調査中。
簿記など8種類のネット試験で使う外部サーバー（試験管理システム）に11月1日に不正なプログラムが置かれ、2022年4月〜2026年11月4日の受験者最大約98万人分（約197万件）の氏名・生年月日・合否結果・得点などが漏えいした可能性がある。漏えいや不正利用は確認されていない。
Xen Orchestraで、Cookieに空のJSONオブジェクト（authenticationToken=j:{}）を入れるだけで既存のログイントークンの持ち主として認証され、管理者権限で操作できる欠陥（VSA-2026-062、CVE未採番）が見つかった。Vatesは攻撃者による悪用を確認し、Xen Orchestra 6.9.2（stable）と6.10.1（latest）で修正した。
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
シグナルトークは2026年11月7日、オンライン麻雀「Maru-Jan」への不正アクセスで全会員185万5,578人分のメールアドレスとパスワードが流出したと発表した。管理システムの機能が悪用され、11月4日15時頃までにデータが外部へダウンロードされていた。悪用箇所への対策後、同日16時にサービスを再開した。
QiAnXin XLab が、CWP のパネル用サーバー cwpsrv を差し替えた受動型バックドア CWPdoor を報告。専用ヘッダーと署名で命令を受け、該当要求のアクセスログを抑止する。Hunter 上で公開 CWP は34万超。初期感染経路は未解明。
花キューピットは2026年10月28日、「インターネット花キューピット」「ビジネス花キューピット」の管理システムに10月14〜15日に不正アクセスがあり、公式ECサイトでメールアドレスを登録した会員423万8242件のユーザーID、ハッシュ化パスワード、PC用・携帯用メールアドレスが漏えいしたと公表した。氏名・住所・電話番号・カード情報・お届け先は含まれない。
Lumen Black Lotus Labs が3年間追跡した Volt Typhoon の中継網「Silent Train」を公表した。27種類超のSOHO・IoT・企業機器を必要なときだけ乗っ取って4〜6段のSSH中継を組み、使い終わると痕跡を消す。この網を通じて Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestrator のゼロデイ4件（ほかに Quest KACE の可能性）が悪用され、ハワイ・カリフォルニア・テキサスの通信・防衛・重要インフラが狙われた。
ベーシックは2026年10月27日、マーケティング基盤「ferret One」の内部管理機能の不備を突かれ、10月14日に第三者が不正なアカウントを作成していたと公表した。導入企業のログイン用メールアドレスが閲覧・取得された可能性があり、同社と顧客の計6アカウントで不正ログインを確認したため、2段階認証を必須化した。
ニフティは10月19日、社内で申込情報を登録するための管理用ツール「回線申込・受付管理システム」に外部から不正アクセスがあったと公表した。同日10時20分頃に確認して通信元を遮断した。2019年以降に同社Webサイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客の、会員ID・氏名・性別・生年月日・住所・電話番号・メールアドレスが最大542,513件、漏えいした可能性がある。口座やクレジットカードの情報はこのシステムにない。光回線の「回線申込・受付管理システム」に不正アクセス、自社サイト以外から申し込んだ2019年以降の顧客、最大54万2513件に漏えいの可能性。
Unit 42が、通信事業者のマネージドサービス企業への長期侵入（CL-STA-0954、別名UNC5820）を公表した。攻撃者はFortiManagerの欠陥FortiJump（CVE-2024-47575）から500台超のFortiGateの設定・暗号鍵・シリアル番号を持ち出し、設定から復元した正規の認証情報でSSL-VPNに入り、FortiOSのCLIのパストラバーサル（CVE-2025-61624）で管理者からrootへ上がって、メモリ常駐型のARM64マルウェアPEERSTITCHを入れた。CVE-2025-61624は2026年4月に修正済みで、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。FortiOS CVE-2025-61624とPEERSTITCH。FortiManager 1台から500台超のFortiGateの設定と鍵が抜かれ、ディスクにもネットにも跡を残さない常駐型の実装へ。
PAN-OSの管理インターフェースに、認証済みの攻撃者がroot権限で任意のコードを実行できるコードインジェクション（CWE-94）がある。Palo Alto Networksは「ごく限られた悪用」を確認し、攻撃元とされる3つのIPアドレスを公表した。CISAは10月14日（米国時間）にKEVへ追加し、対処期限を10月17日とした。PA-Series・VM-Series・Panoramaが対象で、回避策はない。管理画面に届く経路を絞り、修正版へ更新し、管理者アカウントの不審なログインを確かめる。Palo Alto Networks PAN-OS CVE-2026-0322。管理画面にログインできる者がファイアウォールのrootに、「認証が必要」なコードインジェクションが悪用されてKEV入り。
イーシーキューブは10月14日、EC-CUBE 4系向けの公式「AmazonPayプラグイン」に緊急度「高」の脆弱性（CVE-2026-103671）があると公表した。JVNは「不変と想定しているWebパラメータの外部制御」（CWE-472、CVSS v3.0 4.7）とし、注文手続き中に任意のサイトへリダイレクトされアカウント情報などを窃取される可能性があると説明する一方、イーシーキューブは危険度を「高」とした理由を「不正管理者アカウントが登録でき、管理画面にログインできるため」と書いている。開発者によると悪用はすでに確認されている。Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（バンドル版を含む）、同（4.0/4.1系）v1.1.12以前、CV1版のAmazon Payプラグイン（4.0系）v1.3.0以前が対象で、最新版への更新で修正される。CV1版のv1.2.9以前は最新版に上げられないため、CV2版への移行が強く推奨されている。EC-CUBE公式AmazonPayプラグイン CVE-2026-103671。JVNは「注文中のリダイレクト」、開発元は「不正な管理者アカウントの登録」、悪用確認済みの脆弱性。
ユーザベースは10月8日、ソーシャル経済メディア「NewsPicks」が業務で使う管理ツールが不正アクセスを受け、利用者の個人情報が漏えいした可能性があると公表した。10月9日の第二報で、原因は管理ツールの脆弱性で、サービス本体や社内の他システムへの侵入は確認されていないとし、最大想定件数としてメールアドレス32.3万件、所属6.5万件、氏名5.9万件、カード名義・番号の下3桁または下4桁など36.2万件などを示した。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない。管理ツールの種類と脆弱性の内容は公表されていない。NewsPicks（ユーザベース）。業務用の管理ツールの脆弱性から、メールアドレス32.3万件・カード情報の一部36.2万件が漏えいの可能性。
旅行比較予約サイト「skyticket」を運営するアドベンチャーは10月9日、経路の違う3件の不正アクセスを公表した。10月2〜4日には一部の管理機能を不正に操作され、他のサーバーやクラウド上のデータから約1464万件（うち約413万件はハッシュ化したログインパスワードを含む）が流出した。9月20日には業務管理システムの脆弱性を突かれ返金先口座情報など1万7780件、8月3日〜10月1日にはログインなしで表示できたバス予約完了ページが機械的に閲覧され約1万2000件の予約情報が見られた。10月16日の第2報で、旧方式時代のログに残っていた「skyticketプレミアム」会費支払い用のクレジットカード情報最大6,140名分（番号・名義・有効期限）とベネフィット・ステーションの会員ID・パスワードも10月3日に取得されていたと公表し、第1報の「カード情報の流出なし」を訂正した。skyticket（アドベンチャー）。経路の違う3件の不正アクセスで約1464万件、管理機能の不正操作からクラウド上のデータへ。
楽天モバイルは10月6日、クラウドストレージ「楽天ドライブ」で使う一部システムの管理用アカウントの認証情報を第三者が不正に取得してシステムにアクセスし、利用者が保存した写真・文書などのデータ（1万5382アカウント分、2026年1月29日〜9月17日）や、アカウント名・暗号化されたパスワードなど（計1000アカウント分、8月27日）が取得・閲覧されたと公表した。楽天ドライブでは7月30日にも、アプリから送られたように見える不審なプッシュ通知が表示される事象が起きていたが、両者の関係は説明されていない。