早稲田大学 ― MyWasedaのユーザー管理システムに侵入され情報取得
早稲田大学は、学内ポータル「MyWaseda」のログイン用ユーザー情報を管理するシステムが8月31日に不正アクセスを受け、教職員番号・氏名・Wasedaメールアドレス・暗号化したパスワードなど計3,342件が取得されたと発表した。PHPの脆弱性への対応で学内システムを点検する中で痕跡を見つけた。
← タグ一覧へ
タグ / 対象技術
メール
すべての面から13件。公開日の新しい順。（メールサーバー・メール配信・Microsoft Exchange・Zimbra・FortiMail・メールセキュリティ・メールアカウント のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Barracuda ESG ― 連鎖でroot権限を奪える2件の脆弱性を修正
Barracudaは11月2日、Email Security Gatewayの認証回避（CVE-2026-116606、CVSS 9.3）と、ESG・WAF・Load Balancer ADCなど6製品のコマンドインジェクション（CVE-2026-111560、CVSS 8.6）を公表した。組み合わせると管理画面からroot権限を得られる。悪用の報告はまだない。
アララ メッセージ ― 不正アクセスで配信リストのメールアドレスが流出
メール配信「アララ メッセージ」への不正アクセス。11月6日の第3報で、別クラウド環境Bからメールアドレス324万9492件の持ち出しが追加判明し、重複除外で81,329,467件（約8100万件）と更新。対象企業は最大約380社（精査中）。サービスは10月31日から全停止・再開未定。
So-net ― 会員データベースに不正アクセス、会員情報が漏えい
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが10月19日に不正アクセスを受け、So-net会員214万1986件とplala（Sコース）会員44万3495件の氏名・電話番号・メールアドレス・生年月日などが漏えいしたと公表した。一部メールサービスの5万4401アドレスはメールパスワードも漏えいして初期化され、銀行口座情報16件も対象で、原因は調査中。
ワイメール ― ポータルから持ち出されたスクリプトでフィッシング配信
メール配信サービス「ワイメール」を運営するイグレックスは2026年10月24日未明、ポータルサイトのサーバーで攻撃を検知した。持ち出された「お客様環境のセットアップ用スクリプト」などの認証情報で一部の利用者の配信環境に侵入され、双葉町や南魚沼市、かたしな高原などのメルマガ登録者に、宛名入りのカード会社を装うフィッシングメールが送られた。同社は全配信環境の管理者ログイン情報を更新し、DKIM鍵の再作成とDMARCのreject化を進めている。送信件数と個人情報の漏えいの有無は調査中。ワイメール（イグレックス）。メール配信サービスのポータルサーバーから「顧客環境のセットアップ用スクリプト」が持ち出され、自治体・企業のメルマガ配信環境からカード会社を装うフィッシングメール。
ブラストメール ― APIサーバーに侵入され契約者情報が流出
ラクスの子会社ラクスライトクラウドのメール配信サービス「ブラストメール」で、外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出した。全契約者の会社名・担当者名・連絡先・契約と支払いの履歴が持ち出され、一部の契約者では配信先リストの漏えいも確認された。サービスは10月21日0時30分から停止中で、再開は未定。新潟日報（最大約25万3000人）、名鉄観光サービス（約13万人）、JR四国（約3万件）、岡崎市（約2万6000件）など、利用する企業・自治体の公表が続いている。ブラストメール（ラクスライトクラウド）。API用サーバー2台に侵入され、全契約者の情報と一部の配信先リストが持ち出された、新潟日報25万人・名鉄観光13万人など利用組織の公表が相次ぐ。
ユミルリンク「Cuenote FC」 ― サポート担当者の認証情報を窃取され漏洩
メール配信サービス「Cuenote」を提供するユミルリンク（東証グロース）は10月19日、「Cuenote FC」の一部サーバーが不正アクセスを受け、個人情報が外部に持ち出されたと公表した。10月16日未明に担当者が気づき、ログからはプログラムの脆弱性を突いてサポート・品質管理担当者の認証情報を取得し、不正プログラムでデータベースからデータを出力、さらにその認証情報で他のシステムへの認証を試みていたことがわかった。対象は「Cuenote FC 専用ASPプラン」の5システムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。利用企業の山陽新聞社は10月18日午後からメール配信を止めている。10月26日の第二報では、新たに45システムで不正プログラムを介したデータ参照やセッション情報を使った不正ログインを確認し、情報漏洩が起きたCuenote FCのシステムは49、件数は延べ51,628,280件（16システムは調査中）に増えた。同日、JR東海・JR西日本・JR九州が「エクスプレス予約」「スマートEX」の会員のメールアドレス等の漏えいを発表した。メール配信基盤の脆弱性からサポート担当者の認証情報を奪われ、第二報で漏洩は49システム・延べ約5163万件に拡大。
日本郵便 ― 国際郵便の調査請求Web受付が乗っ取られスパム送信
日本郵便は10月16日、9月25日に不正アクセスの可能性を公表していた「国際郵便物の調査請求Web受付サービス」について調査結果を公表した。同サービスのサーバーが不正アクセスを受け、登録された約600件の利用者情報が第三者に閲覧可能な状態にあったほか、同サービスのメールアカウントからスパムメールが送信されていた。報道によると送信は7月15日から9月25日までの約52万件。実際の閲覧や不正利用は確認されていない。日本郵便「国際郵便物の調査請求Web受付サービス」。乗っ取られたサーバーから2か月以上スパム送信、報道では約52万通、利用者約600件の情報も閲覧可能に。
Cisco Secure Email Gateway ― 添付ファイル1通でroot、ゼロデイ悪用
Cisco Secure Email Gateway（旧ESA）で、AMPのファイルレピュテーション機能が添付ファイルを処理する際のパストラバーサルにより、認証なしの送信者が任意のファイルを書き込み、root権限でコマンドを実行できる。Ciscoは10月に悪用を確認し、CISAはKEVに追加して10月17日を期限とした。修正は9月14日の「ハードニングリリース」にすでに含まれていたが、悪用確認を機に単独のCVEとして公表された。9月のSQLインジェクション（CVE-2026-76461）に続き、同製品で1か月に2件目の悪用確認となる。Cisco Secure Email Gateway CVE-2026-76519。添付ファイル1通でroot、マルウェア対策の「ファイルレピュテーション」が攻撃の入口になった今年2件目のゼロデイ。
あっぷらぼ ― 設定不備でメールサーバのDB管理用パスワード突破
メールサービスを提供する株式会社あっぷらぼは10月12日、同社が運用するメールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを10月11日に確認したと公表した。原因は管理用の経路が絞られていなかった同社の設定上の不備で、メールアドレスと暗号化して保存しているパスワード情報の一部が参照された可能性がある。短い・単純なパスワードは時間をかけて解読されるおそれがあるとして、利用者にパスワードの変更を求めている。対象のアカウント数と、管理用パスワードが突破された方法は公表されていない。メールサーバのデータベース管理用パスワードが外部から突破、「管理用経路が絞られていなかった」設定の不備でメールアドレスと暗号化パスワードが参照の可能性。
Exchange Server CVE-2026-96940 ― 他人のメールボックスを読める欠陥
Microsoftがオンプレミスの Exchange Server に、認証済みの攻撃者が同じ組織内の他人のメールボックスのメールと添付ファイルを読める脆弱性CVE-2026-96940（CVSS 8.8）を公表。9月の更新に追加した「V2」として予定より前倒しで配布した。悪用は未確認だが「悪用される可能性が高い」評価。Microsoft Exchange Server CVE-2026-96940。社内の一般ユーザーが他人のメールボックスを読める認可の不備、予定より前倒しで「V2」更新を配布。
FortiMail CVE-2026-104286 ― 管理GUIの任意ファイル書き込み
認証不要で管理GUIから任意ファイルを書けるFortiMailのゼロデイ。修正版は未出荷で、IBE無効化か管理面の到達制限が当面の手段。Fortinet FortiMail CVE-2026-104286。管理GUIのパストラバーサルとNULLバイトで任意ファイル書き込み、修正版未出荷のままKEV入り。
Zimbra CVE-2026-73570 ― SMTP経由でシェル、公表前の隙間に悪用
1通のSMTPがSNMP通知を経てシェルになる、パッチから公表までの「隙間」の悪用。Zimbra Collaboration Suite（ZCS）のSNMP通知処理に、認証不要のOSコマンドインジェクション CVE-2026-73570（CVSS 8.9）がある。オプションの zimbra-snmp パッケージを導入し、SNMP通知を有効にした環境では、細工したSMTPリクエスト（メール）だけで、ユーザー操作なしにzimbraサービスアカウント権限でコマンドを実行される。