タグ / 攻撃手法
すべての面から13件。公開日の新しい順。キーワードと組み合わせて探す →
Check Pointは11月12日、Security GatewayのMobile AccessポータルがPHP2Shell（CVE-2026-109618・109619、CVSS 9.2）で侵入され、Gaia OSのDynamicCLIの権限昇格CVE-2026-123039（CVSS 7.8）でrootを取られたと公表した。10月30日と11月2日の2回の攻撃で未修正の数十台が侵害され、一部ではESXiに移ってワイパーが実行された。対策は11月のJumbo Hotfix。
Arctic Wolfは、オープンソースのAI自動ペネトレーションテスト基盤AntiFoxを載せたAlibaba Cloudのサーバーから、IISアプリへのWebシェル設置と、正規のAWS認証情報によるサービスの総当たり的な列挙が行われ、本番のシークレット取得（GetSecretValue）やS3オブジェクトの読み出し・削除に成功した例があると報告した。IISへの侵入に使われた脆弱性は分かっていない。
ソフト99公式オンラインショップで、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、外部から命令を送れるファイルを置かれてサーバー内の調査や設定ファイルの読み取りをされた。会員・購入者最大136,968人の氏名・住所・購買情報やカード番号下4桁・有効期限・名義が流出した可能性がある。
WordPress・Joomla!向けテーマ／ページビルダーYOOtheme Pro 5.0.0〜5.0.52の画像処理に、ログインなしでPHPファイルを書き込める脆弱性（CVE-2026-102785、CVSS v4 10.0）がある。Unit 42は修正版5.0.53公開の2日後から自動化された悪用を観測し、JPCERT/CCも11月5日の週報で取り上げた。
Siemensが8月に修正したSIMATIC IoT2050 Advancedの脆弱性（CVE-2026-58115、CVSS 10.0、V4.3.4.1未満でNode-REDを入れた機器が対象）について、VulnCheckは10月30日以降、認証なしでNode-REDのフローを送り込みLinux用ボットの導入やWebシェルの設置を図る攻撃を観測したと11月2日に公表した。CISAのKEVには未登録。
ShinyHunters が5月から悪用している PeopleTools 8.61／8.62 の CVE-2026-35273（CVSS 9.8、認証なしRCE）について、報告者の ZDI が中身を公開した。PSIGW のSSRFで 127.0.0.1 から PSEMHUB を呼ぶと、既定で localhost を信頼する接続元チェックを通り、ログ書き込み機能でのWebシェル設置か、再起動時の XMLDecoder による逆シリアル化でコードが動く。9月の攻撃では /%50SEMHUB/ とURLエンコードしてWAFを回避していた。
BeyondTrust Remote Support（旧Bomgar）の内部コンポーネントが、受け取ったメッセージの送り主を正しく確かめておらず、ログインなしで装置上のファイル操作ができた（CVE-2026-102764、CVSS 4.0で9.3）。中国系とされるARMORY CASTLE（旧UNC5221）が8月29日にゼロデイとして悪用し、Webシェルからrootを取り、装置に保管された認証情報と「Jump Item」の権限を使って社内の端末へ遠隔セッションを張った。自前運用の装置は BT26-05-RS パッチの適用が必要で、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。BeyondTrust Remote Support CVE-2026-102764。内部メッセージの「送り主」を確かめない欠陥で、遠隔サポート装置ごと奪われ社内の端末へ。
Nextcloudの任意アプリ「Collabora Online - Built-in CODE Server」（richdocumentscode）のproxy.phpが、ローカルのCODEサーバを起動するとき、リクエストのパスを含む文字列を二重引用符のbashコマンドに埋め込んでいた。サーバが止まっている間だけ、認証なしのHTTPリクエストでOSコマンドがWebサーバ権限で走る。2026年9月10日から悪用が確認され、Webシェルの設置と資格情報・暗号資産ウォレットの探索が行われた。修正は26.4.303。アプリの無効化では足りず、更新か削除が必要。Nextcloud Collabora Built-in CODE CVE-2026-110447。文書サーバが止まっている一瞬だけ、proxy.phpがリクエストのパスをbashに渡しWebシェルが生えた。
WordPressのページビルダーBricksの拡張プラグインBricksforgeのPro Formsで、アップロード時に検査した画像ファイルを、送信時にクライアントが指定したPHPの名前で保存してしまう欠陥（CVE-2026-85097）が見つかった。3.1.8.9以前が対象で3.1.8.10で修正。Patchstackは10月7日21時47分（UTC）から悪用の試みを観測している。検査済みの画像を「.php」の名前で置き直させる、WordPressフォーム機能の認証なしRCEが悪用中。
9月前後から国内で不正アクセスによる大量の個人情報漏えいの公表が相次いだことを受け、10月7日から9日にかけて個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室（NCO）、総務省、経済産業省、IPA、金融庁が注意喚起を出した。JPCERT/CCは既知の脆弱性の探索、管理用APIへの不正なリクエスト、MetabaseのSQLインジェクション、アプリケーションサーバーへのWebシェル設置の4類型と不審なIPアドレスを公開した。IPAは「特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていない」とし、直近1か月から段階的にログを点検するよう求めている。10月20日には、GMOサイバーセキュリティ byイエラエが日本企業を狙う攻撃元インフラでAIによる自律型ペネトレーションテストツール「ARTEX」の使用を確認したとする調査（10月19日公開）が報じられた。木原官房長官は同日午後、AI使用の有無について「現時点で確たることを申し上げる段階にはない」とし、国家サイバー統括室を司令塔に被害企業へのヒアリングなどを踏まえて分析していると説明した。調査結果を公表するかは今後判断するとしている。相次ぐ国内の不正アクセスに各機関が一斉に注意喚起。JPCERT/CCが示した4つの攻撃類型と、国家サイバー統括室・IPAが求める点検。
Patchstackが、WordPressプラグイン Ninja Forms（CVE-2026-94504）と WPC Product Bundles for WooCommerce（CVE-2026-93836）の蓄積型XSSを使い、管理者のブラウザ上で偽プラグインのインストールと管理者作成を行う攻撃を10月4日から観測。ユーザー一覧に出ない管理者、元の管理者として入れる裏口URL、認証なしのファイルマネージャーが残り、プラグインを更新しても消えない。Ninja Forms／WPC Product Bundles の蓄積型XSS悪用。管理者が投稿を開いた瞬間に、一覧に出ない管理者と裏口ログインが作られる。
DTLSの断片長を信じたパケットエンジンと、パッチ後に残る足場。NetScaler ADC / Gateway の認証前RCE脆弱性 CVE-2026-88772（DTLS処理のメモリオーバーフロー）と CVE-2026-88771（入力検証不備によるコマンド実行）が、2026年9月27日のパッチ公開前からゼロデイとして悪用された。CVSS v4.0はどちらも9.5。
1通のSMTPがSNMP通知を経てシェルになる、パッチから公表までの「隙間」の悪用。Zimbra Collaboration Suite（ZCS）のSNMP通知処理に、認証不要のOSコマンドインジェクション CVE-2026-73570（CVSS 8.9）がある。オプションの zimbra-snmp パッケージを導入し、SNMP通知を有効にした環境では、細工したSMTPリクエスト（メール）だけで、ユーザー操作なしにzimbraサービスアカウント権限でコマンドを実行される。