デイリーブリーフィング
Adobe Campaign ClassicのCVSSスコア10.0、Adformスクリプトの侵害、ホテルWi-Fiの乗っ取り
本日のブリーフィングでは、Adobeの重要な修正、Adformにおけるサプライチェーンの改ざん、ホテルネットワークの乗っ取り、Amgenにおけるクラウドデータの盗難、そしてArch LinuxのAURにおけるパッケージ採用の一時停止について取り上げます。
5件のニュース読了時間 1分
企業インフラとサードパーティサービスは、現在、差し迫った運用上の脅威に直面している。AdobeはCampaign Classicの重大度の高い脆弱性に対するパッチをリリースした一方、Adformの広告技術サプライチェーンにおける侵害により、パートナーウェブサイト間で仮想通貨ウォレットアドレスがインラインで入れ替わる事態が発生した。
Adobe Campaign ClassicのCVSS 10.0脆弱性により、ユーザーの操作なしにコードが実行される可能性
Adobeは、Adobe Campaign Classicにおける最大深刻度の脆弱性（CVE-2026-48449）と、深刻度の高いSQLインジェクションの脆弱性（CVE-2026-48448）に対処するセキュリティパッチをリリースしました。これらの脆弱性により、ユーザーの操作なしに任意のコードがリモートで実行されたり、不正にファイルシステムから任意のコードを読み取られたりする可能性があります。
- 重要な理由
- パッチが適用されていないAdobe Campaign Classicサーバーを使用している組織は、認証不要のゼロクリックによるリモートコード実行や機密ファイルの漏洩といった脅威に直面する。
ハッカーがAdformスクリプトを悪用し、顧客サイト間で暗号通貨ウォレットアドレスを交換する
攻撃者は、広告技術企業Adformが提供するtrackpoint-async.jsスクリプトを侵害し、コピーまたは入力されたビットコイン、イーサリアム、トロンのウォレットアドレスを、攻撃者が制御するアドレスに動的に置き換えるように改変しました。Adformは2026年7月27日にこの悪意のあるコードを削除し、ユーザーにブラウザのキャッシュをクリアするよう促しました。
- 取るべき対応
- トランザクションを実行する前に、エンドポイント全体でブラウザのキャッシュをクリアし、すべての対象の暗号通貨ウォレットアドレスを手動で確認してください。
乗っ取られたホテルのWi-Fiが偽のアップデートを配信し、監視マルウェアを送り込む
攻撃者Storm-2945は、DNSリゾルバとして機能するホテルのキャプティブポータルゲートウェイを乗っ取り、ユーザーのWebトラフィックを偽のブラウザ更新ページにリダイレクトしました。CaptiveCrunchと呼ばれるこのキャンペーンは、ClickFixのソーシャルエンジニアリングの手法を用いて、WindowsエンドポイントにCornFlake RATを感染させ、音声、動画、キーストロークの監視を行っています。
アムジェン社は、クラウドデータの漏洩により患者の健康情報や機密情報が流出したと発表した。
製薬大手のアムジェンは、複数のサードパーティ製クラウドサービスプロバイダーに分散して保存されていた企業データおよび患者の健康記録への不正アクセスにより、データ漏洩が発生したことを確認した。
Arch Linuxはマルウェアの氾濫を防ぐため、AURパッケージの採用を無効化した。
Arch Linuxプロジェクトは、放置されたメンテナーの枠を標的とした悪意のあるパッケージ乗っ取りの波を阻止するため、Arch User Repository（AUR）内のパッケージ採用機能を一時的に停止しました。
- 取るべき対応
- AURパッケージの現在の依存関係を確認して固定し、最近採用または更新されたサードパーティ製ソフトウェアのビルドスクリプトを監査します。
要点
- Adobe Campaign Classicをバージョンv7:7.4.3ビルド9398にパッチ適用して、CVE-2026-48449およびCVE-2026-48448の脆弱性を解決してください。
- 2026年7月27日にAdformのtrackpoint-async.jsをホストしているサイトを訪問したユーザーに対し、ブラウザのキャッシュをクリアし、ウォレットアドレスを確認するよう指示してください。
- Arch Linuxは、悪意のあるパッケージの乗っ取りが多発したことを受け、AURにおけるパッケージの採用を一時的に停止しました。