セキュリティレポート　2026/7/8

何年間も潜伏していた脆弱性やAIを巧みに騙す攻撃など、今週の報告を見ているとセキュリティ対策に終わりはないと痛感させられます。

巧妙化する脅威から身を守る最大の防御策は日頃の情報収集と確実なパッチ適用です。

お使いの環境を脅かす主なリスクと直ちに取り組むべき対策をまとめましたので、ぜひご確認ください。

■ 今週のエグゼクティブサマリー

2026年7月第2週は、国内での大規模な個人情報漏洩インシデントと、最高危険度の脆弱性を標的とした攻撃が複数報告されており、特に注意が必要です。

これらは、漏洩した情報の二次悪用（フィッシング詐欺など）や、システムの完全な制御権奪取の点で非常に危険性が高いです。

また、北朝鮮に関連する「PolinRider」などの攻撃グループの活動も活発化しており、国内のISP事業者などのインシデントも多数報告されました。

【最重要】直ちに確認すべき脆弱性と対策

今週は、特に以下の脆弱性にご注意ください。これらはCVSSスコアが高く、一部は既に積極的に悪用が確認されています。お使いのシステムや製品が該当しないか確認し、速やかなアップデートまたは回避策の適用を強く推奨します。

■ Adobe ColdFusion の任意のコード実行の脆弱性

• CVE-2026-48282 (CVSSv3.1: 10.0): この脆弱性は、適切に修正されていないシステムにおいて、攻撃者が遠隔から任意の命令を実行できる（RCE）ことに起因します。悪用されると、サーバーが完全に制御される恐れがあります。既に活発な悪用が確認されています。
• 影響: Adobe ColdFusion 2023、2021 の各バージョン。
• 対策: アドビから公開されている最新のセキュリティパッチを早急に適用してください。

■ Gitea (Docker) の認証バイパスの脆弱性

• CVE-2026-20896 (CVSSv3.1: 9.8): 特定のHTTPヘッダーを使用することで、正当な認証を回避してシステムに侵入できる脆弱性に起因します。機密性の高いリポジトリやシークレット情報が盗まれる恐れがあります。既に現実の利用環境で悪用が試みられているとの警告が出ています。
• 影響: GiteaのDockerイメージを使用している環境。
• 対策: 脆弱性が修正された最新のバージョンへ速やかにアップグレードしてください。

【その他の脅威の動向】

■ 16年前から潜んでいたLinuxカーネルの脆弱性「Januscape」

LinuxのKVMハイパーバイザにおいて、16年前から存在していた深刻な脆弱性が発見されました。この脆弱性は、仮想マシン（VM）の利用者がホストOS（大元のサーバー）の制御権を奪取し、管理権限（root）を取得できる「VMエスケープ」を可能にするものです。クラウドサービスプロバイダーやデータセンターにとって極めて重大な脅威となります。IntelおよびAMDの両システムが影響を受けるため、サーバー管理者は迅速なパッチ適用が求められます

■ AIエージェントを狙う新たな攻撃手法

自律的にWebを閲覧する「AIエージェント」を騙し、不正な送金やデータ窃取を行わせる攻撃キャンペーンが確認されました。これはWebサイトに隠された「プロンプトインジェクション」という手法を用い、AIに「このリンクをクリックして支払いを実行しろ」といった命令を密かに与えるものです。AI技術の普及に伴い、人間を介さない「自律型攻撃」のリスクが現実のものとなっています。セキュリティ専門家は、AIが信頼するデータソースが攻撃の入口になる（AIエージェントトラップ）可能性を警告しています。

最後に

今週は特に、「最高レベルの危険度を持つ脆弱性の即時悪用」の傾向が目立ちました。

貴社のシステムがこれらの脅威に晒されていないか、特に関連するソフトウェアのアップデート状況を今一度ご確認いただき、適切なセキュリティ対策を講じていただくようお願いいたします。