こんにちは
公開情報から収集した日々のセキュリティインテリジェンス。
ConoHa WING は一部顧客の Web サーバー領域への第三者による不正アクセスを公表し、426アカウントへの影響を確認した。Checkmarx は実行点を install script から通常の library runtime に移した npm malware campaign を報告。Linux kernel では修正済みの4件の local root 脆弱性について動作する exploit が公開された。
ConoHa WING は一部顧客の Web サーバー領域への第三者による不正アクセスを公表し、426アカウントへの影響を確認した。Checkmarx は実行点を install script から通常の library runtime に移した npm malware campaign を報告。Linux kernel では修正済みの4件の local root 脆弱性について動作する exploit が公開された。
CISA は実悪用が確認された Linux kernel の3件を KEV に追加し、9月21日を対処期限とした。WordPress 7.1.1 は後に Click2Shell として実証された crafted URL 経由のテーマ導入経路を修正。Chrome 153 は Dawn と WebGL の Critical なメモリ安全性問題を修正し、vm2 3.11.7 はホストプロセスでのコード実行や TLS trust store 変更を含む複数の sandbox 境界不備を修正した。
日本と各国機関は、偽の採用活動を使う WaterPlum を北朝鮮に帰属させ、3万台を超える端末の感染を公表した。AIR は主要 AI コーディングエージェントに影響する Plugin4Shell を公開。Check Point は管理サーバーの未認証 root RCE を修正し、Microsoft は CVSS 10.0 の Azure AI Foundry 脆弱性をサービス側で緩和した。Zscaler は APT36 の RapidRust ツール群を報告した。
Cisco は、実際の攻撃で悪用されている CVSS 10.0 の ISE 認証バイパス脆弱性を公開した。ESET は FamousSparrow が中南米の政府機関に新型バックドア SparroWocky を展開していることを報告し、CrowdStrike は npm 経由で配布された PhantomRaven 情報窃取マルウェアを分析した。Malwarebytes は大規模な T-Mobile テーマの SMS フィッシングを追跡し、JVN は東北電力「よりそうeねっと」の修正済みハードコード鍵問題を公開した。
Google の9月 Pixel Bulletin は CVE-2026-58704 が限定的な標的型攻撃で悪用されている可能性を確認した。英国 NCSC、米 FBI、オランダ AIVD はイラン関連の CHOSEN BRICK スパイウェアの技術情報を公開し、Kaspersky は窃取 VPN 認証情報、GhostContainer、RDP トンネル、BlueKeep を使う NightEagle のロシア企業侵害を報告した。OPSWAT は修正済みの TP-Link Tapo C200 脆弱性2件も詳報した。
9月15日の主な更新は、N-able N-centralのゼロデイ悪用からランサムウェア配備準備へ至る具体的な攻撃チェーン、FreeRDP 3.31.0で修正された新たな認証前ポリシーバイパスとヒープオーバーフロー、JFrogが3,022個まで拡大したGemStuffer関連RubyGemsパッケージ、機密コンピューティングのメモリ完全性を狙うDDRopの協調開示です。Linux RPC/RDMAとSUNRPCの修正も、該当機能を利用する環境では確認が必要です。
9月14日に最も緊急度が高かった新規脅威は Cisco Secure Email Gateway の CVE-2026-76461 です。未認証のリモート攻撃者が細工したメールを通じて root 権限で任意コマンドを実行でき、Cisco は実際の悪用を確認、CISA も同日に KEV へ追加しました。ほかに Metabase CVE-2026-72898 を悪用した Mathspace の情報漏えい、IDScan.net の本人確認データ侵害の続報、日本の JVN が公開した FLEXLAN、YAMAP、ExLlamaV3 の脆弱性が注目されます。
2026-09-13 時点で最も注目すべき脅威は、実際に悪用が確認された DevOps、リモート管理、エッジ機器の脆弱性と、複数の国家背景クラスタが急速に採用した BlueMoon の Chrome/Windows ゼロデイ連鎖です。CISA は 5 件の KEV を追加し、PaperCut と GitLab でも実攻撃が確認されました。一方で Check Point は 2 件の重大な VPN RCE を公開し、Brevo の事案は Trezor ユーザーを狙ったフィッシングにつながりました。