タグ: JPCERT/CC
- テクノロジー
圧縮ソフト「Brotli」に深刻な欠陥 米政府が悪用を確認、Node.jsなどに影響
米グーグルが開発するデータ圧縮ソフト「Brotli」のC言語版に、細工した圧縮データを展開させると任意のプログラムを実行されるおそれのある欠陥が見つかった。グーグルは10月21日に修正版を公開し、JPCERT/CCは26日に注意喚起を出した。米CISAは27日、悪用が確認された脆弱性の目録に加えた。Node.jsやPython向けの部品も影響を受ける。
- テクノロジー
ソフト製品の脆弱性届出、7〜9月は179件 前年同期の1.4倍 IPA集計
情報処理推進機構（IPA）は10月22日、JPCERTコーディネーションセンター（JPCERT/CC）と取りまとめた2026年7〜9月の脆弱性関連情報の届出状況を公表した。届出は240件で、ソフトウェア製品が179件と、前年同期の126件の約1.4倍だった。ウェブサイトは61件。通知から90日以上たっても修正の報告が無いウェブサイトの届出は1067件で、取扱い中の半数にあたる。
- テクノロジー
ヤマハの無線LANルーター「NWR100」に深刻な欠陥 深刻度9.8、VPNソフトなど計3製品
脆弱性対策情報ポータルJVNは10月28日、ヤマハのネットワーク製品3つの脆弱性を公表した。小規模オフィス向け無線LANルーターNWR100は、特定のリクエストで任意のOSコマンドを実行されるおそれがあり、深刻度は10点満点の9.8。対策版のRev.26.00.08が出ている。VPNソフトYMS-VPN8と監視ソフトLAN Monitorのインストーラにも欠陥があった。
- テクノロジー
ウェブメール「Roundcube」に欠陥20件 更新版1.6.20と1.7.5を公開
オープンソースのウェブメールソフト「Roundcube Webmail」の開発元は10月19日、20件のセキュリティ上の欠陥を修正した更新版1.6.20と1.7.5を公開した。メールサーバーへの不正な命令の挿入やメールヘッダーの改ざん、外部画像の読み込み防止機能のすり抜けなどを直した。開発元は1.6系と1.7系を使うすべての環境に更新を強く勧めている。JPCERT/CCも10月28日の週報で取り上げた。
- テクノロジー
社内wiki「GROWI」に欠陥3件 閲覧権限のないページを読まれるおそれ v8.0.7で修正
脆弱性対策情報ポータルJVNは10月27日、オープンソースのwikiソフト「GROWI」に3件の脆弱性があると公表した。ログインできる利用者が閲覧権限のないページの本文やコメントを取得したり、閲覧のみの利用者が下書きを書き換えたりできるおそれがある。対象はv8.0.6以前で、開発元の株式会社GROWIはv8.0.7への更新を求めている。3件のうち2件には回避策が無い。
- テクノロジー
サイト改ざんの報告、7〜9月は603件で前期の3倍超 JPCERT/CC四半期報告
JPCERTコーディネーションセンター（JPCERT/CC）は10月22日、7〜9月の活動四半期レポートを公表した。寄せられたインシデント報告は1万2932件で前期より8％減った一方、ウェブサイト改ざんは603件と前期の181件から3倍超に増えた。国内の通販サイトにカード情報を盗むとみられる不正なコードが埋め込まれた事例もあった。
- テクノロジー
富士電機の操作盤画面ソフト「V-SFT」に欠陥7件 細工ファイルで任意コード実行のおそれ
脆弱性対策情報ポータルJVNは10月26日、富士電機の作画ソフト「V-SFT」に7件の脆弱性があると公表した。細工されたV7形式ファイルを開くと、情報が漏れたり任意のコードを実行されたりするおそれがある。対象はver 6.2.11.0以前で、富士電機は修正を含む6.2.12.0を出した。同ソフトの欠陥の公表は4月に続き今年2回目で、報告者はいずれも同じ研究者。
- テクノロジー
ソフトバンクの緊急速報メール、10月26日夜に全面再開 PHPの欠陥対応で災害・避難情報は88時間停止
ソフトバンクは、PHPの脆弱性への対応で10月23日午前6時47分から止めていた緊急速報メールについて、国・地方公共団体による災害・避難情報の配信を26日午後11時17分に再開した。緊急地震速報と津波警報は25日午前9時25分に再開済みで、ソフトバンク、ワイモバイル、LINEMOの利用者は全ての情報を受信できる状態に戻った。災害・避難情報が止まっていたのは約88時間半になる。
- テクノロジー
JPCERT/CC、AI侵入試験ツールを悪用した攻撃を追加 相次ぐ不正アクセスの注意喚起
JPCERT/CCは10月23日、国内組織で相次ぐ不正アクセスへの注意喚起を更新し、AIを使った侵入試験（ペネトレーションテスト）の基盤「Cairn」などを悪用した攻撃の試行を5つ目の類型に加えた。公開されたWebアプリケーションの脆弱性を探って悪用を試み、ソフト更新を配るWSUSサーバーも狙っていた。攻撃元とみられるIPアドレス9件を公表し、接続記録の点検を求めている。
- テクノロジー
大規模漏えい相次ぎ、国と専門機関が3日で注意喚起 委託先の点検や不要データの消去を要求
個人情報の大量漏えいが相次いでいることを受け、個人情報保護委員会が10月7日、JPCERT/CCが8日、内閣官房国家サイバー統括室が9日にそれぞれ注意喚起を出した。委託先を含めた安全管理、不要になった個人データの消去、多要素認証の導入などを事業者に求めている。総務省も9日、所管事業者と関係団体に同じ内容を伝えた。