IoT OT Security News

StealC マルウェア管理パネルに XSS の脆弱性：脅威アクターの活動が解析可能に

Security Bug in StealC Malware Panel Let Researchers Spy on Threat Actor Operations

2026/01/19 TheHackerNews — 情報窃取マルウェア StealC の運用者が使用する Web ベース管理パネルに、クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、サイバーセキュリティ研究者たちが明らかにした。この脆弱性を通じて研究者たちは、StealC を運用する脅威アクターの活動に関する重要な情報を収集できた。先週公開されたレポートにおいて CyberArk の研究者 Ari Novick は、「この脆弱性を活用することで、StealC システムのフィンガープリントを収集し、アクティブなセッションを監視し、さらに情報窃取を目的として設計された悪意のインフラから、脅威アクター自身の Cookie を窃取することに成功した」と述べている。

Windows SMB の脆弱性 CVE-2025-33073：認証リレー攻撃による Active Directory 侵害の可能性

Windows SMB Client Vulnerability Enables Attacker to Own Active Directory

2025/01/19 CyberSecurityNews — Windows SMB クライアント認証における深刻な脆弱性を介したNTLM リフレクションの悪用により、Active Directory 環境が侵害される可能性がある。この脆弱性 CVE-2025-33073 は不適切なアクセス制御に分類され、ネットワーク接続上で精巧に構成された認証リレー攻撃を用いる認可済みの攻撃者に対して、権限昇格を許す可能性がある。2025年6月のセキュリティパッチ公開から、すでに 7ヶ月が経過しているが、エンタープライズ・インフラ全体で適用が進んでいない状況が確認されている。

Redis の脆弱性 CVE-2025-62507：RCE エクスプロイトの可能性を JFrog が実証

JFrog Researchers Uncover RCE Exploit for Existing Redis Database Vulnerability

2026/01/17 SecurityBoulevard — 今週、Redis データベースに存在する脆弱性 CVE-2025-62507 の分析結果が公開された。この脆弱性に対するリモートコード実行 (RCE) エクスプロイトへの経路が発見され、当初の想定よりも深刻である可能性が示されている。複数の ID を指定して XACKDEL コマンドを実行することでスタック・オーバーフローが引き起こされ、結果としてリモートコード実行 (RCE) に至る可能性があることが、JFrog の研究者たちにより明らかにされた。

NTLMv1 Admin パスワード・ハッキング：Mandiant の Rainbow Table による検証が不可欠

Mandiant Releases Rainbow Tables Enabling NTLMv1 Admin Password Hacking

2026/01/17 CyberSecurityNews — Google 傘下の Mandiant が公開したのは、Net-NTLMv1 向けの包括的な Rainbow Table データセットである。それにより、レガシー認証プロトコルが抱えるセキュリティ・リスクの実証が大幅に推進されることになる。このデータセットにより Mandiant が強調するのは、Net-NTLMv1 から直ちに移行する必要があるという、ユーザー組織に対する緊急のメッセージである。Net-NTLMv1 は、1999 年の時点で暗号学的に破られており、遅くとも 2012 年からは安全でないことが広く知られている、非推奨のプロトコルである。

Meta Conversions API Gateway における 2 件の深刻な脆弱性：アカウント乗っ取りの可能性

Critical XSS Vulnerabilities in Meta Conversion API Enable Zero-Click Account Takeover

2026/01/17 gbhackers —Meta の Conversions API Gateway に存在する、2 件の深刻なクロスサイト・スクリプティング (XSS) 脆弱性がセキュリティ研究者たちにより発見された。これらの欠陥を悪用する攻撃者は、ユーザー操作を一切必要とせずに Facebook アカウントの大規模な乗っ取りが可能となる。この脆弱性は、Meta 管理下ドメインである “facebook.com” や “meta.com” に影響するだけではなく、オープンソースの Gateway インフラをデプロイしている、最大 1 億件とも言われるサードパーティ環境にも波及する可能性がある。

Google Vertex AI デフォルト・コンフィグによるセキュリティ・リスク：Service Agent ロールの不正取得

Google’s Vertex AI Vulnerability Enables Low-Privileged Users to Gain Service Agent Roles

2026/01/17 CyberSecurityNews — Google Vertex AI のデフォルト・コンフィグには、低権限ユーザーが Service Agent ロールを乗っ取ることで権限昇格を可能にしてしまう問題が存在する。XM Cyber の研究者により、Vertex AI Agent Engine／Ray on Vertex AI における 2 つの攻撃ベクターが特定されているが、Google はこれらを「想定された動作 (Working as Intended)」と位置付けており、防御責任はユーザー側にあるとの見解を示している。

GhostPoster エクステンションの長期潜伏キャンペーン：840,000 件のブラウザ・マルウェアを検出

GhostPoster Browser Malware Hid for 5 Years With 840,000 Installs

2026/01/16 hackread — 単一のブラウザ・エクステンションにおけるインシデントとして始まった事象は、多くのユーザーが予期しない大規模なサイバーセキュリティ上の懸念へと発展している。2025年12月に Koi Security が公開した分析結果によると、GhostPoster と名付けられた Firefox エクステンションは、ブラウザ・エクステンションの審査担当者が通常確認する警告サインを回避する悪意ある手法を採用していたことが明らかになった。

Modular DS WordPress プラグインの脆弱性 CVE-2026-23550 が FIX：積極的な悪用を確認

Actively exploited critical flaw in Modular DS WordPress plugin enables admin takeover

2026/01/16 SecurityAffairs — WordPress の Modular DS WordPress プラグインに存在する深刻な脆弱性 CVE-2026-23550 (CVSS 10) が、脅威アクターにより積極的に悪用されている。この脆弱性はバージョン 2.5.1 以下に影響し、認証チェックをバイパスして管理者として自動ログインすることを可能にするものである。これにより、攻撃者は Web サイトの完全な制御権を掌握できる。

Cisco Email Gateway の脆弱性 CVE-2025-20393：APT による積極的な悪用を観測

Cisco 0-Day RCE Secure Email Gateway Vulnerability Exploited in the Wild

2026/01/16 CyberSecurityNews — Cisco が認めたのは、Secure Email Gateway／Secure Email and Web Manager アプライアンスにおける深刻なゼロデイ・リモートコード実行の脆弱性が、実環境で悪用されている状況である。この脆弱性 CVE-2025-20393 を悪用する未認証の攻撃者は、スパム隔離機能に対する細工された HTTP リクエストを介して、ルート権限での任意のコマンド実行を可能にする。

Go 1.25.6 がリリース：メモリ枯渇／不適切なセッション管理／認証バイパスの問題などに対処

Go 1.26 Released With Fixes for Multiple Vulnerabilities Causing Memory Exhaustion

2026/01/16 gbhackers — Go 開発チームが公表したのは、サービス拒否攻撃／任意のコード実行／不正なセッション再開を引き起こす可能性のある、６件の深刻なセキュリティ脆弱性を修正するバージョン 1.25.6／1.24.12 のリリースである。これらのマイナー・アップデートは Go セキュリティ・ポリシーに準拠しており、暗号化／ネットワーク／ツールチェーンといったコア・コンポーネント全体をカバーする重要な強化が含まれている。

Cal.com の脆弱性 CVE-2026-23478 が FIX：認証バイパスと任意のユーザー・アカウント乗っ取り

Critical Cal.com Vulnerability Let Attackers Bypass Authentication and Hijack any User Account

2026/01/15 CyberSecurityNews — Cal.com のスケジュール管理プラットフォームに、深刻な認証バイパスの脆弱性が発見された。この脆弱性 CVE-2026-23478 を悪用する攻撃者は、NextAuth JWT コールバック機構の欠陥を悪用することで、任意のユーザー・アカウントを乗っ取ることが可能になる。この脆弱性は、バージョン 3.1.6 〜 6.0.7 未満に影響を及ぼし、バージョン 6.0.7 以降で修正されている。

HPE Aruba Instant On の複数の脆弱性が FIX：機密情報の不正取得や DoS 攻撃の恐れ

HPE Aruba Vulnerabilities Enables Unauthorized Access To Sensitive Information

2026/01/15 gbhackers — HPE が公表したのは、HPE Aruba Networking Instant On デバイスに存在する複数の深刻な脆弱性に対するセキュリティ・パッチのリリースである。これらの脆弱性を悪用するリモート攻撃者は、内部 VLAN コンフィグ・データの窃取／ワイヤレス・ネットワークの妨害／機密ネットワーク情報の不正取得を行う可能性がある。一連の脆弱性が影響を及ぼす範囲は、Instant On アクセス・ポイントおよび 1930 スイッチのソフトウェア・バージョン 3.3.1.0 以下であり、修正はバージョン 3.3.2.0 以降で提供されている。

Fortinet FortiSIEM の RCE 脆弱性 CVE-2025-64155 が FIX：PoC の公開と積極的な悪用

Fortinet FortiSIEM Vulnerability CVE-2025-64155 Actively Exploited in Attacks

2026/01/15 CyberSecurityNews — Fortinet FortiSIEM の脆弱性 CVE-2025-64155 が、現在も実環境で積極的に悪用されていることが、Defused によるハニーポット展開の結果として確認された。この脆弱性が未認証のリモート攻撃者に悪用された場合には、深刻な OS コマンド・インジェクションにより、認証不要のリモート・コード実行 (RCE) を許す恐れがあるため、企業のセキュリティ監視基盤に深刻なリスクが生じている。

AWS CodeBuild のミスコンフィグ：GitHub リポジトリ侵害とサプライチェーン攻撃

AWS CodeBuild Misconfiguration Exposed GitHub Repos to Potential Supply Chain Attacks

2026/01/15 TheHackerNews — Amazon Web Services (AWS) の CodeBuild における深刻なミスコンフィグにより、AWS JavaScript SDK を含むクラウドサービス・プロバイダー独自の GitHub リポジトリが完全に乗っ取られ、すべての AWS 環境が危険にさらされるという可能性があった。この脆弱性は、クラウド・セキュリティ企業 Wiz により CodeBreach というコードネームで呼ばれている。この脆弱性は、2025年8月25日の責任ある情報開示を受け、2025年9月に AWS により修正された。

Azure SSO の深刻な脆弱性 CVE-2026-20965 が FIX：Windows Admin Center 全体への侵害の恐れ

Azure Identity Token Vulnerability Enables Tenant-Wide Compromise in Windows Admin Center

2026/01/15 CyberSecurityNews — Windows Admin Center の Azure Single Sign-On (SSO) 実装に、深刻度の高い脆弱性 CVE-2026-20965 が発見された。それにより、Azure VM および Arc 接続システムが、テナント全体にわたる不正アクセスのリスクにさらされている。この脆弱性が示すのは、不適切なトークン検証により、個々のマシンと Azure 環境全体との間に存在すべきセキュリティ境界が崩壊する恐れである。

Palo Alto Networks Firewall の脆弱性 CVE-2026-0227：DoS 攻撃と PoC の登場

Palo Alto Networks Firewall Vulnerability Allows Attacker to Trigger DoS Attacks

2026/01/15 CyberSecurityNews — Palo Alto Networks が 2026年1月14日に公表したのは、PAN-OS ファイアウォール・ソフトウェアに存在する深刻なサービス拒否 (DoS) の脆弱性 CVE-2026-0227 (CVSS v4.0：7.7：HIGH) の修正に関する情報である。この脆弱性を悪用する未認証の攻撃者は、GlobalProtect (VPN) のゲートウェイおよびポータルに対する妨害を引き起こせる。

偽の PayPal 警告に御用心：従業員の個人情報窃取から企業の侵害へとエスカレート

Hackers Use Fake PayPal Notices to Steal Credentials, Deploy RMMs

2026/01/15 InfoSecurity — 正規の Remote Monitoring and Management (RMM) ツールを悪用し、フィッシングによる侵入を試みる新たなキャンペーンが検出された。この攻撃者は、偽の PayPal アラートを介して、個人および企業へのアクセスを取得している。1月13日 (火) に Cyberproof が公開したアドバイザリによると、この活動は季節的にタイムリーなルアーから、緊急性の高い金融関連テーマへの移行を示しているという。信頼されるリモートアクセス・ソフトウェアが、検出回避のために依然として武器化されている状況を浮き彫りにしている。

CISA KEV 警告 26/01/13：Windows の脆弱性 CVE-2026-20805 を登録

U.S. CISA adds a flaw in Microsoft Windows to its Known Exploited Vulnerabilities catalog

2026/01/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Windows の脆弱性 CVE-2026-20805 (CVSS：5.5) を、Known Exploited Vulnerabilities (KEV) に登録した。Microsoft の 2026年1月の Patch Tuesday では、Windows／Office／Azure／Edge／SharePoint／SQL Server／SMB／Windows 管理サービスに影響を与える 112 件の CVE がリリースされた。サードパーティ製の Chromium 修正プログラムを含めると、脆弱性の総数は 114 件となる。

LLM がランサムウェアを強化：攻撃の速度／規模／範囲が大きく変化している

LLMs Supercharge Ransomware Speed, Scale, and Global Reach

2026/01/14 gbhackers — LLM は、ランサムウェア攻撃を根本から変革するものではない。しかし、攻撃の速度／規模／多言語対応能力といった点での進化により、脅威のランドスケープを大幅に加速させている。SentinelLABS の調査によると、偵察／フィッシング／ツール支援、データトリアージ／身代金交渉といった複数の工程で攻撃者は LLM を活用しており、より高速でノイズの多い脅威環境を形成している。それにより防御側にとっては、新たな脅威に対する迅速な対応が不可欠となっている。

Elastic の脆弱性 CVE-2026-0530／0531／0532／0543 が FIX：任意のファイル窃取／ DoS 攻撃の恐れ

Elastic Patches Multiple Vulnerabilities That Enables Arbitrary File Theft and DoS Attacks

2026/01/14 CyberSecurityNews — Elastic がリリースした重要なセキュリティ・アップデートは、スタック全体に影響を及ぼす 4 件の脆弱性に対処するものである。このアップデートには、悪意のコネクタ・コンフィグを通じて任意のファイル漏洩を引き起こし得る High の深刻度を持つ欠陥が含まれている。Kibana および関連コンポーネントにおける、ファイル処理／入力検証／リソース割り当てメカニズムの問題を、このアップデートにより修正した。

Spring CLI VSCode エクステンションの脆弱性 CVE-2026-22718：削除が必須の EOL

Spring CLI Vulnerability Allows Attackers to Execute Commands on User Systems

2026/01/14 gbhackers — Spring CLI VSCode エクステンションには、影響を受けるユーザーのマシン上で攻撃者が任意のコマンドを実行できる、コマンド・インジェクションの脆弱性 CVE-2026-22718 が存在する。この脆弱性が影響を及ぼす範囲は、同エクステンションのバージョン 0.9.0 以下であり、すでにサポートが終了したツールを継続して使用している開発者に深刻なリスクをもたらす。

Fortinet FortiSIEM の脆弱性 CVE-2025-64155 が FIX：TCP パケット経由での任意のコマンド実行

Critical FortiSIEM Vulnerability Enables Arbitrary Commands Execution via Crafted TCP Packets

2026/01/14 CyberSecurityNews — 2026年1月13日に Fortinet が公表したのは、FortiSIEM に存在する深刻な OS コマンド・インジェクション脆弱性に関する情報である。この脆弱性 CVE-2025-64155 が悪用された場合、未認証の攻撃者によって任意のコードが実行される可能性がある。この問題は、ポート 7900 で動作する phMonitor コンポーネントにおける OS コマンドのメタ文字に対する不適切な無効化 (CWE-78) に起因する。具体的には、Super ノードおよび Worker ノードに対して悪意ある TCP リクエストを送信する攻撃者により、システム全体が侵害される恐れがある。

大規模な Magecart スキミング・キャンペーンを検出：オンライン決済時にクレジットカード情報を窃取

New Magecart Campaign Steals Credit Card Details During Online Checkouts

2026/01/14 gbhackers — 遅くとも 2022年1月から、e コマース Web サイトからクレジットカード情報を積極的に窃取する、大規模かつ高度な Web・スキミング・キャンペーンが展開されている。このキャンペーンは Magecart 攻撃の一種であり、American Express／Diners Club／Discover／Mastercard／JCB／UnionPay など、複数の主要決済ネットワークを標的としており、オンライン・ショッピング利用者および e コマース・プラットフォームの双方を深刻なリスクにさらしている。この活動は Silent Push Preemptive Cyber Defense のサイバーセキュリティ研究者により特定されたものであり、オンライン・コマースを標的とした高度に組織化され、技術的成熟度の高い脅威と言える。

Fortinet 製品群の脆弱性 CVE-2025-25249 が FIX：cw_acd デーモンにおける深刻な RCE の可能性

FortiOS and FortiSwitchManager Flaw Allows Remote Code Execution

2026/01/14 gbhackers — FortiOS および FortiSwitchManager に搭載されている “cw_acd” デーモン・コンポーネントにおいて、ヒープバッファ・オーバーフローの脆弱性が発見／公表された。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるシステム上で任意のコードを実行する可能性がある。この脆弱性 CVE-2025-25249 は、CVSS v3.1 スコア 7.4 と評価されており、企業ネットワーク・インフラに対して深刻なリスクをもたらす。

AI Agent が作り出す権限昇格パス：ユーザーからエージェントに移行するアクセス権を把握するには？

AI Agents Are Becoming Privilege Escalation Paths

2026/01/14 TheHackerNews — AI エージェントは、実験的なツールから、セキュリティ／エンジニアリング／IT／運用にわたる日常的なワークフローの中核コンポーネントへと急速に移行し始めている。個人用コード・アシスタント／チャットボット／コパイロットといった、個別の生産性向上ツールとして始まったものが、組織全体で共有されるエージェントへと進化し、重要なプロセスに組み込まれようとしている。

Chrome 144 がリリース：V8 JavaScript Engine に関連する脆弱性などが FIX

Chrome 144 Released With Fix for 10 Vulnerabilities in V8 JavaScript Engine

2026/01/14 CyberSecurityNews — Google は、Windows／Mac／Linux 向けの安定版チャンネルに Chrome 144 を正式にリリースした。このバージョンでは、V8 JavaScript エンジンを中心とする 10 件のセキュリティ脆弱性が修正されている。Linux 向けには Chrome バージョン 144.0.7559.59 が提供され、Windows／Mac 向けには Chrome バージョン 144.0.7559.59/60 が提供される。いずれも複数のセキュリティ強化が行われており、修正された脆弱性の 6 件は V8 JavaScript エンジンに直接影響する。ロールアウトは、今後の数日から数週間をかけて段階的にユーザーに提供される予定だ。

Window DWM のゼロデイ脆弱性 CVE-2026-20805 が FIX：実環境での情報漏洩を確認

Microsoft Desktop Window Manager 0-Day Vulnerability Exploited in the wild

2026/01/14 CyberSecurityNews — 2026年1月13日の月例パッチで、Microsoft は Desktop Window Manager (DWM) に存在する深刻なゼロデイ情報漏洩の脆弱性を修正した。この脆弱性 CVE-2026-20805 を悪用するローカル攻撃者は、ALPC ポートを介して機密性の高いセクション・アドレスをはじめとするユーザーモード・メモリを露出させる恐れがある。この脆弱性は、すでに実環境での悪用が検知されており、さらなる権限昇格の連鎖を容易にするため、Windows システム全体に対する緊急のパッチ適用が求められている。

バイブ・コーディングのための SHIELD Governance Framework：Palo Alto Networks が提供

Palo Alto Networks Introduces New Vibe Coding Security Governance Framework

2026/01/13 InfoSecurity — バイブ・コーディングとは、自然言語による AI プロンプトを介してコードを記述し、アプリケーションを開発する手法である。この手法の一般化により、すでに深刻なセキュリティ・インシデントが生じていると、Palo Alto Networks が警鐘を鳴らしている。その背景として挙げられるのは、一般ユーザーから経験が豊富な開発者に至るまで、この手法が幅広く採用されているという現実である。

Adobe ColdFusion の深刻な脆弱性 CVE-2025-66516 が FIX：Apache Tika の XXE を修正

Adobe Patches Critical Apache Tika Bug in ColdFusion

2026/01/13 SecurityWeek — Adobe が発表したのは、2026年1月の月例パッチにおいて 11 製品を対象としたセキュリティ・アップデートのリリースと、合計 25 件に及ぶ脆弱性の修正である。その中で、最も深刻な脆弱性 CVE-2025-66516 (CVSS：10) は、Apache Tika モジュールにおける XML 外部エンティティ (XXE) インジェクションに起因するものだ。具体的には、PDF ドキュメント内に配置された XFA ファイルを介して悪用される可能性がある。

FortiSandbox の脆弱性 CVE-2025-67685：SSRF によるネットワーク・セグメント破壊

FortiSandbox SSRF Vulnerability Allow Attacker to proxy Internal Traffic via Crafted HTTP Requests

2026/01/13 CyberSecurityNews — Fortinet が 2026年1月13日に公開したのは、FortiSandbox アプライアンスにおけるサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性である。この脆弱性 CVE-2025-67685 (FG-IR-25-783) は、GUI コンポーネントに存在し、CWE-918 に起因する。認証済みの攻撃者は、この脆弱性を悪用することで、内部の非TLS (プレーンテキスト) エンドポイントに対してトラフィックをプロキシする HTTP リクエストを作成できる。Fortinet は、内部ネットワークへの影響リスクを踏まえ、ユーザーに対して速やかなアップデートの適用を促している。

Node.js における 7 件の脆弱性が FIX：メモリ・リーク／DoS／権限バイパスなどの恐れ

Node.js Security Release Patches 7 Vulnerabilities Across All Release Lines

2026/01/13 CyberSecurityNews — 2026年1月13日に Node.js が公表したのは、すべてのアクティブなリリース・ラインを対象とするセキュリティ・アップデートであり、メモリ・リーク／サービス拒否攻撃 (DoS) ／権限バイパスにつながる可能性のある複数の脆弱性が修正されている。特に深刻度が High の脆弱性は 3 件確認されており、影響を受けるシステムに対しては直ちにアップグレードすることが強く推奨される。

ServiceNow AI プラットフォームの脆弱性 CVE-2025-12420 が FIX：認証不要の権限昇格

ServiceNow Vulnerability Enables Privilege Escalation Without Authentication

2026/01/13 gbhackers — ServiceNow の AI プラットフォームで発見された、深刻な権限昇格の脆弱性 CVE-2025-12420 が、世界中の企業ユーザーに深刻なリスクをもたらしている。この脆弱性を悪用する未認証の攻撃者は、他のユーザーになりすますことでアカウントを侵害し、その権限を用いて不正な操作を実行できる。重要なビジネス・オペレーションに ServiceNow の AI 機能を利用している組織にとって、この脆弱性は深刻な脅威となる。

Angular の XSS 脆弱性 CVE-2026-22610 が FIX：サニタイズ・スキーマのバグと悪意のペイロード挿入

New Angular Vulnerability Enables an Attacker to Execute Malicious Payload

2026/01/13 CyberSecurityNews — Angular のテンプレート・コンパイラに、深刻なクロス・サイト・スクリプティング (XSS) の脆弱性 CVE-2026-22610 が発見された。この脆弱性の影響が及ぶ範囲は、@angular/compiler および @angular/core パッケージの複数のバージョンとなる。この脆弱性を悪用する攻撃者は、Angular に組み込まれたセキュリティ保護を回避しながら、標的とするブラウザ内で任意の JavaScript コードを実行できる。

MEXC API Automator という悪意の Chrome エクステンション：仮想通貨取引所へのアクセスを窃取

Malicious Chrome Extension Steals Wallet Login Credentials and Enables Automated Trading

2026/01/13 CyberSecurityNews — MEXC API Automator と呼ばれる悪意の Chrome エクステンションは、ブラウザ・アドオンに対する信頼を悪用し、MEXC ユーザーから仮想通貨取引所へのアクセスを窃取する。このエクステンションは、トレーディングと API キー作成を自動化するツールを装い、新たに作成された API キーを密かに乗っ取る。結果として、通常のブラウザ・セッションがアカウント乗っ取りのチャネルへと変貌する。

Microsoft 2026-01 月例アップデート：３件のゼロデイを含む 114件の脆弱性に対応

Microsoft January 2026 Patch Tuesday fixes 3 zero-days, 114 flaws

2026/01/13 BleepingComputer — Microsoft が公表した 2026年1月の Patch Tuesday では、114 件の脆弱性に対するセキュリティ・アップデートが提供されている。その中には、現時点で悪用されている１件の脆弱性と、公開済みの２件のゼロデイ脆弱性が含まれている。今月の Patch Tuesday では、深刻度 Critical に分類される８件の脆弱性が修正された。その内訳は、リモートコード実行の脆弱性が６件、権限昇格の脆弱性が２件である。

CISA KEV 警告 26/01/12：Gogs のパス・トラバーサル脆弱性 CVE-2025-8110 を登録

U.S. CISA adds a flaw in Gogs to its Known Exploited Vulnerabilities catalog

2026/01/12 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Gogs のパス・トラバーサルの脆弱性 CVE-2025-8110 (CVSS：8.7) を Known Exploited Vulnerabilities (KEV) カタログに登録した。Gogs (Go Git Service) は、Go で記述された軽量なオープンソースのセルフホスト型 Git サービスである。この脆弱性は、Gogs の PutContents API における不適切なシンボリックリンク処理に起因し、ローカルでのコード実行を引き起こすものである。

InvisibleJS が実証するステガノグラフィ攻撃：JavaScript を介してゼロ幅フォントを生成

InvisibleJS Tool Hides Executable ES Modules in Empty Files Using Zero-Width Steganography

2026/01/12 CyberSecurityNews — 目に見えないゼロ幅 Unicode 文字を用いて JavaScript コードを隠蔽するオープンソース・ツール InvisibleJS は、マルウェア攻撃における悪用のリスクを明らかにし、警鐘を鳴らすものである。GitHub 上で開発者 oscarmine がホストする InvisibleJS は、ファイル内の空白に見える場所に、ステガノグラフィを用いてソースコードを埋め込む仕組みである。このプロセスでは、JavaScript がバイナリ文字列へ変換され、”０” がゼロ幅スペース (U+200B) に、”１” がゼロ幅非結合文字 (U+200C) にマッピングされる。

n8n を攻撃する武器化された npm パッケージ：コミュニティノード・エコシステムを侵害

Hackers Infiltrated n8n’s Community Node Ecosystem With a Weaponized npm Package

2026/01/12 CyberSecurityNews — 正規の Google 広告統合ツールを装う悪意の npm パッケージにより、n8n のコミュニティノード・エコシステムを標的とする攻撃が展開されている。この攻撃は、ワークフロー自動化プラットフォームにおけるサードパーティ統合の信頼モデルを悪用するものであり、ユーザー認証情報の処理プロセスに潜むセキュリティ上の死角を明らかにしている。具体的な手口として確認されたのは、正規の認証フォームを精巧に模倣した UI を表示する悪意のパッケージ “n8n-nodes-hfgjf-irtuinvcm-lasdqewriit” により、 Google 広告の OAuth 認証情報を開発者から窃取する仕組みである。

React Router の脆弱性 CVE-2025-61686 が FIX：サーバ・ファイルの窃取／改変が可能

Critical React Router Vulnerability Let Attackers Access or Modify Server Files

2026/01/12 CyberSecurityNews — React Router に深刻な脆弱性 CVE-2025-61686 が発見された。このディレクトリトラバーサル脆弱性を悪用する攻撃者は、サーバファイルに対する窃取／改変を引き起こす可能性がある。この脆弱性は React Router エコシステム内の複数のパッケージに影響し、CVSS v3.1 スコアは 9.8 (Critical) と評価されている。

Apache Struts 2 の脆弱性 CVE-2025-68493 が FIX：機密データ窃取の可能性

Critical Apache Struts 2 Flaw Could Let Attackers Steal Sensitive Data

2026/01/12 gbhackers — Apache Struts 2 の XWork コンポーネントに、脆弱性 CVE-2025-68493 が発見された。この脆弱性は Important と評価されており、Struts 2.0.0 〜 2.3.37 (EOL)／2.5.0 〜 2.5.33 (EOL)／6.0.0 〜 6.1.0 までの広範なバージョンに影響を及ぼし、多くの Java Web アプリケーションに深刻なリスクをもたらす。この脆弱性が悪用されると、Java Web アプリケーションにおける機密データの漏洩／サービス拒否攻撃／サーバサイド・リクエスト・フォージェリ (SSRF) 攻撃につながる可能性がある。

InputPlumber の脆弱性 CVE-2025-66005／14338 が FIX：UI 入力インジェクションと DoS の可能性

Critical InputPlumber Vulnerabilities Allows UI Input Injection and Denial-of-Service

2026/01/12 CyberSecurityNews — SteamOS で使用される Linux 入力デバイス・ユーティリティ InputPlumber に発見されたのは、不十分な D-Bus 認証メカニズムに起因する深刻な脆弱性 CVE-2025-66005／CVE-2025-14338 である。この脆弱性を悪用した攻撃者は UI 入力を不正に挿入することで、影響を受けるシステム上でサービス拒否状態を引き起こす可能性がある。SUSE の研究者により調査された 2 件の脆弱性が、InputPlumber バージョン 0.69.0 未満に影響を及ぼすことが確認されている。

ハッキング・グループ Everest が Nissan への大規模サイバー攻撃を主張：1 TB 規模の機密データ窃取？

Hacking Group “Everest” Allegedly Claims Nissan Motor Breach

2026/01/12 gbhackers — Everest ハッキング・グループが、日本の大手自動車メーカーである Nissan Motor Corporation に対する大規模サイバー攻撃について、犯行声明を出したと報じられている。2026年1月10日に確認された脅威インテリジェンス・レポートによると、このサイバー犯罪組織は、同社のシステムから約 900 GB の機密データを窃取したと主張しているが、侵害の真偽は現在も検証段階にある。

zlib untgz ユーティリティのバッファ・オーバーフローの脆弱性 CVE-N/A：メモリ破損の恐れ

Critical Zlib Vulnerability Let Attackers Trigger Buffer Overflow by Invoking untgz

2026/01/12 CyberSecurityNews — zlib に同梱される untgz ユーティリティのバージョン 1.3.1.2 に発見されたのは、深刻なグローバルバッファ・オーバーフローの脆弱性 CVE-N/A である。攻撃者は、細工したコマンドライン入力を介してメモリを破壊し、悪意あるコードを実行する可能性がある。この欠陥は、untgz ユーティリティの TGZfname() 関数に存在する。この関数は、ユーザーが指定したアーカイブ名を処理する際、入力サイズの検証を行わずに strcpy() を呼び出す実装となっている。その結果、1,024 バイト固定長の静的グローバル・バッファに対して境界を超えるデータコピーが発生し、メモリ破壊が引き起こされる。

YARA-X 1.11.0 がリリース：ルールの信頼性向上と誤検出の削減を推進

YARA-X 1.11.0 Released With a New Hash Function Warnings

2026/01/12 CyberSecurityNews — VirusTotal が公開したのは、マルウェアの識別や分類に広く利用される検出エンジンの次世代版、YARA-X バージョン 1.11.0 である。今回のアップデートでは、ルールの信頼性向上と誤検出 (False Positive) の削減を目的とした重要な新機能が追加されている。特に、ハッシュ関数利用時の警告機能が実装されたことで、セキュリティ研究者がルール作成時に陥りやすい記述ミスを自動的に検知し、より精度の高い検出ルールの構築が支援される。

エンタープライズにおける GenAI：セキュリティ・リスクを可視化できているだろうか？

Generative AI in Enterprises: Security Risks Most Companies Are Not Measuring

2026/01/11 SecurityBoulevard — GenAI は、実験段階から企業環境全体への広範な導入段階へと急速に移行している。社内コパイロットやカスタマーサポート・チャットボットから、コード生成やデータ分析に至るまで、組織は重要なビジネス・ワークフローに LLM を組み込んでいる。生産性向上は比較的定量化しやすい。その一方で、導入に伴うセキュリティ・リスクの測定は遥かに困難である。現時点で GenAI を導入している多くの組織は、これらのテクノロジーから生じる新たな攻撃対象領域を、特定／評価／軽減するための体系的フレームワークを整備していない。その結果、セキュリティ・インシデントが発生するまで、深刻なリスクが顕在化しないというケースも少なくない。

BreachForums ユーザー 323,986人のデータベースが漏洩：侵害を否定する脅威アクターの主張とは？

Database of 323,986 BreachForums Users Leaked as Admin Disputes Scope

2026/01/10 hackread — 2026年1月9日に、悪名高いサイバー犯罪者とハッカーのフォーラム BreachForums で情報漏洩が発生した。このダークウェブのデータベースが公開されたことで、32 万人以上のユーザーに対して注目が集まっている。周知の通り、これまでにも BreachForums は数々のインシデントに見舞われてきた。このプラットフォームは、法執行機関による押収や、消滅した後の再登場などの経緯を持つ。2022年に、前身である RaidForums への警察による閉鎖が行われたが、その後に BreachForums が活動の拠点となっていた。さらに2025年4月の初旬に、このフォーラムは理由も示さないまま忽然と姿を消した。

GoBruteforcer ボットネットの積極的な活動：５万台以上の公開 Linux サーバが攻撃領域

GoBruteforcer Botnet Targets Linux Servers

2026/01/09 InfoSecurity — インターネットに公開されている Linux サーバを標的とする、GoBruteforcer と呼ばれるボットネットが、FTP／MySQL／PostgreSQL／phpMyAdmin などの一般的なサービスに対して大規模なブルートフォース攻撃を仕掛けている。1月7日 (水) に Check Point Research が公開した新たなアドバイザリが推定するのは、不適切な認証情報やソフトウェア・コンフィグにより、５万台以上の公開サーバが脆弱な状況にあるという可能性である。

Fortinet VPN の偽サイトに要注意：AI 検索サマリーなどを介したフィッシング攻撃が横行

Fake Fortinet Sites Steal VPN Credentials in Sophisticated Phishing Attack

2026/01/09 CyberSecurityNews — Fortinet VPN の公式ダウンロード・ポータルを偽装し、リモートワーカーや IT 管理者を標的とする、巧妙なフィッシング攻撃キャンペーンが出現した。この攻撃の特徴は、検索エンジン最適化 (SEO：Search Engine Optimization) と、AI が生成した検索サマリーを悪用して被害者を誘導する点にあり、きわめて危険性が高い。この攻撃キャンペーンは、信頼できるドメインから始まる多段階のリダイレクト・メカニズムも採用しており、初期フェーズにおけるセキュリティ・フィルターを回避する。その結果として、VPN 認証情報の窃取とマルウェアの配布に至るという。

ChatGPT の新たな脆弱性が FIX：Gmail／Outlook／GitHub などからのデータ窃取の恐れ

New ChatGPT Vulnerabilities Enable Data Exfiltration from Gmail, Outlook, and GitHub

2026/01/09 gbhackers — ChatGPT が、外部サービスや自身のメモリ・システムと連携する方法に、複数の深刻な脆弱性が存在することが新たな調査により明らかになった。これにより生じるのは、クロスプラットフォームでのデータ窃盗や長期的なアカウント侵害につながる、新たな攻撃経路である。これらの脆弱性は、侵害された１回のチャット・セッションが、メール／クラウド・ストレージ／コード・リポジトリや、他ユーザーへの侵入経路となり得ることを示している。