DigiCert ― 外部公開された社内システムから顧客情報が閲覧された
認証局のDigiCertは、2025年2月の基盤移行でVPNの内側から外に出た社内システムに、多要素認証のない自己登録アカウントが作られ、2026年6月27日〜7月2日に顧客担当者の連絡先と一部の本人確認書類が閲覧されたとMozillaのBugzillaで報告した。証明書の発行や検証には影響していない。
← タグ一覧へ
タグ / 攻撃手法
認可不備
すべての面から7件。公開日の新しい順。（権限の誤付与・権限管理・設計上の欠陥 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Puppet・OpenVox ― サーバーでのコード実行とノードなりすましの脆弱性を修正
構成管理ツールPuppetとフォークのOpenVoxで、署名済み証明書を持つクライアントがサーバー上でコードを実行できる脆弱性（CVE-2026-115731、CVSS 4.0で9.4）と、似た名前の証明書で別ノードになりすませる脆弱性（CVE-2026-115732、同9.0）が11月3日に修正された。証明書の自動署名を有効にしていると認証なしでも狙える。悪用の報告はまだない。
Drupal Commerce ― 認可の欠陥が悪用され修正版を公開
Drupalは2026年10月28日（米国時間）、EC機能を提供するCommerce Coreモジュールで一部のルートとエンティティのフィールドの保護が不十分なアクセス制御の欠陥（CVE-2026-118539、Drupalの評価で25点中21点の「Highly critical」）を修正し、悪用が確認されているとした。影響は8.x-2.41未満と3.0.0〜3.3.13未満で、注文の不整合の確認も求めている。
台東区「ささえ～る」 ― 委託先で不正な管理者が作られ情報流出
東京都台東区は2026年10月26日、障害者支援アプリ「ささえ～る」の運営委託事業者である株式会社ミラボのシステムで、不正に管理者アカウントが作成され、会員登録情報がダウンロードされたと公表した。アカウント登録と権限管理の仕組みに設計段階で想定していなかった不備があり、本来付与されないはずの管理者権限が不正アカウントに付いた。流出が確認されたのは208人分で、メールアドレス208件、障害児者との関係195件、障害のカテゴリー158件。不正アカウントは削除され、システムは修正済みで、新規会員登録を一時停止している。台東区障害者支援アプリ「ささえ～る」。委託先ミラボのシステムで不正に管理者アカウントが作られ、208人のメールアドレスと障害のカテゴリーなどがダウンロードされた。
Docker Hub「GhostPat」 ― 自分のトークンが他人として通る欠陥
Docker Hubで、個人アカウントを組織に変換するときに、そのアカウントの個人用アクセストークン（PAT）が、秘密の値を変えないまま新しい所有者に付け替えられていた。攻撃者は捨てアカウントでPATを作り、他人を所有者に指定して変換するだけで、その人としてレジストリにログインしイメージのpush・pull・削除ができた。2024年8月26日から2026年9月30日の修正まで約2年間開いていた。Dockerは悪用の証拠はないとしている。Docker Hub CVE-2026-105445「GhostPat」。アカウントを組織に変えて他人を所有者に指定すると、自分のアクセストークンがその人として通った。
npm Trusted Publishing「SlugFest」 ― 他人のパッケージを公開できた
npmのTrusted Publishing（OIDCによるトークン不要の公開）は、信頼するGitHubリポジトリを、最初の公開が済むまで変わらない数値IDではなく「owner/repo」という名前だけで覚えていた。リポジトリの改名・移管・削除で空いた名前を攻撃者が取り直すと、認証情報を何も盗まずに他人のパッケージの新しい版を公開できた。Bloom Securityは1,500超のパッケージが該当したとし、GitHubは10月2日、未検証の設定を作成48時間で失効させる変更を入れた。
Exchange Server CVE-2026-96940 ― 他人のメールボックスを読める欠陥
Microsoftがオンプレミスの Exchange Server に、認証済みの攻撃者が同じ組織内の他人のメールボックスのメールと添付ファイルを読める脆弱性CVE-2026-96940（CVSS 8.8）を公表。9月の更新に追加した「V2」として予定より前倒しで配布した。悪用は未確認だが「悪用される可能性が高い」評価。Microsoft Exchange Server CVE-2026-96940。社内の一般ユーザーが他人のメールボックスを読める認可の不備、予定より前倒しで「V2」更新を配布。