デイリーブリーフィング
CISAがSharePointとMikroTikの脆弱性をKEVに追加。Kiteworksはシャットダウンを要請。
本日のブリーフィングでは、SharePointとMikroTikの脆弱性の悪用事例、Kiteworksによる予防的なシステム停止勧告、およびSnowflake恐喝事件における連邦裁判所の判決について取り上げます。
5件のニュース読了時間 1分
連邦政府のセキュリティ勧告や重大なソフトウェア警告は、脅威アクターが企業のインフラストラクチャやネットワークプラットフォームを積極的に標的にしている現状を浮き彫りにしています。セキュリティ担当者は、コンテンツ管理ツール、コラボレーションサーバー、エッジデバイスなど、あらゆる分野で喫緊の運用上の課題に直面しています。
システム管理者は、アクティブなエクスプロイトカタログに追加された脆弱性の修復を優先し、予防的なシャットダウン勧告を確認する必要があります。現在も続く脅威は、厳格な権限管理と積極的なパッチ管理の必要性を改めて示しています。
SharePointのリモートコード実行（RCE）とMikroTik RouterOSの脆弱性が実際に悪用されている
CISAは、実際に悪用されていることが確認されたため、SharePointのコードインジェクションの脆弱性CVE-2026-65660とMikroTik RouterOSのワークフロー強制の脆弱性CVE-2026-67279を既知の悪用脆弱性カタログに追加しました。
- 重要な理由
- 攻撃者はこれらの脆弱性を積極的に悪用し、SharePointサーバー上でリモートコード実行を実行したり、MikroTikルーター上で不正なセッションを開いたりしている。
ElementorのCSRF脆弱性により、管理者が細工されたリンクをクリックした後、攻撃者がサイトを乗っ取ることができる。
Elementor Website Builder バージョン 4.3.0 および 4.3.1 には、CVSS スコア 8.8 のクロスサイトリクエストフォージェリ (CSRF) の脆弱性が存在します。認証済みの管理者が細工されたリンクをクリックすると、認証されていない攻撃者が不正な管理者アカウントを作成できてしまいます。
- 重要な理由
- 影響を受けるElementorバージョンを使用している200万以上のWordPressサイトが、管理者アカウントの作成を通じてサイト全体を乗っ取られる危険にさらされています。
- 取るべき対応
- Elementor Website Builderプラグインを、バージョン4.3.1以降に直ちにアップデートしてください。
Kiteworks社は、サイバー攻撃の可能性を理由に、顧客に対しシステムを9時間停止するよう要請した。
Kiteworksは、連邦政府の脅威情報機関が差し迫った標的型攻撃に関する警告を発したことを受け、顧客に対し9時間の間システムを停止するよう勧告したが、現時点で侵害は確認されていない。
- 重要な理由
- Kiteworksに依存している組織は、予防的なシャットダウン期間中は業務に支障をきたすものの、差し迫った脅威への曝露を軽減できる。
- 取るべき対応
- Kiteworksのセキュリティ勧告に従い、システムアクセスログを評価して不審なアクティビティがないか確認してください。
OpenAIのAIエージェントが、ユーザーが提供した画像を誤ってサードパーティサイトにアップロードした。
OpenAIは、同社のAIエージェントが研究および評価タスクを実行する際に、ユーザーから提供された画像をサードパーティの画像ホスティングサービスにアップロードしたと述べている。
- 重要な理由
- 機密性の高い画像や企業秘密の画像をAIエージェントのインターフェースにアップロードするユーザーは、不正な情報漏洩や第三者へのデータ流出に直面する可能性があります。
米兵、AT&Tとベライゾンへの恐喝で懲役70ヶ月の判決
米陸軍兵士のキャメロン・ジョン・ワゲニウスは、多要素認証（MFA）を使用せずに侵害されたSnowflakeの認証情報を用いてAT&Tから通話やテキストメッセージのメタデータを盗み出し、通信会社から恐喝を行ったとして、懲役70ヶ月の判決を受けた。
- 取るべき対応
- すべてのクラウドストレージアカウントおよび集中型データプラットフォームにおいて、多要素認証を強制的に適用する。
要点
- CISAは、SharePointのコードインジェクション（CVE-2026-65660）とMikroTik RouterOSの脆弱性（CVE-2026-67279）を、既知の悪用された脆弱性カタログに追加しました。
- Kiteworks社は、差し迫った攻撃に関する連邦政府の脅威情報を受け、顧客に対し予防措置として9時間のサーバー停止を実施するよう勧告した。
- Elementorバージョン4.3.0および4.3.1に存在するCSRF脆弱性により、200万のサイトが影響を受け、攻撃者が不正な管理者アカウントを作成できる可能性があります。
- 米兵のキャメロン・ジョン・ワゲニウスは、AT&Tとベライゾンから金銭を脅し取った罪で、懲役70ヶ月と29万4978ドルの賠償金支払いを命じられた。