【セキュリティニュース】2026年08月29日 - 今日の注目トピック

概要

今日の注目セキュリティニュースをまとめました。今週は「攻撃者に既に悪用されている脆弱性」が一気に増えた週です。印刷管理のPaperCut、ホスティング基盤のcPanel、SaaSのServiceNow、セルフホストGitのGiteaと、社内インフラの中核を担う製品で緊急対応レベルの問題が相次いでいます。加えて、AIコーディング支援を攻撃計画に使うランサムウェア攻撃者や、MFAを回避するPhaaSキットなど、防御側の前提を崩す動きも報告されています。

主要ニュース

1. PaperCut NG/MF のゼロデイ脆弱性が実攻撃で悪用（CVE-2026-82078 / CVE-2026-81578）

• 影響範囲: PaperCut NG / PaperCut MF（バージョン25系・26系を含む全バージョン）の Application Server
• 概要: 印刷管理ソフト PaperCut の2つの脆弱性が連鎖的に悪用され、実際の顧客環境での侵害が確認されました。CVE-2026-81578 は Web管理インターフェースのアクセス制御不備で、未認証のリモート攻撃者がシステム設定を変更可能。CVE-2026-82078 はDB接続ユーティリティの安全でない動的クラスローディングに起因し、任意のJavaバイトコード実行につながります。Huntress は素の PaperCut NG 25.0.11.75758 に対して事前認証なしの完全なRCEチェーンを再現したと報告しています。
• 対応策: 緊急パッチ Release 2 を適用してください（初回の緊急パッチを適用済みでも Release 2 が必要です）。Application Server がインターネットに露出している場合は、ファイアウォールで信頼できるIPのみに即座に制限を。server.log の消失・切り詰めや、ERROR No suitable driver found for jdbc:no:x といったログの有無を確認してください。2023年には同製品の脆弱性が Clop / LockBit に悪用された前例があります。
• 参考リンク: https://www.helpnetsecurity.com/2026/08/27/papercut-ng-mf-vulnerability-attack/

2. cPanel に root 権限奪取につながるクリティカルな脆弱性（CVE-2026-65643）

• 影響範囲: cPanel & WHM のサポート対象全バージョン
• 概要: ドメインパーキング機能に起因する脆弱性で、パークドメイン／アドオンドメインを追加できる権限を持つ認証済みアカウントであれば、サーバー上の任意の場所に任意のファイルを作成でき、最終的に root としてのコード実行が可能になります。共有ホスティングやリセラー環境では該当機能がほぼ確実に有効なため、1つの契約者が同居する全サイトを掌握できる構図になります。
• 対応策: 11.110.0.141 / 11.134.0.53 / 11.136.0.37 / 11.138.0.2 以降（WP2 は 11.138.1.7 以降）へ更新してください。共有ホスティングの利用者は、事業者側の適用状況を確認することを推奨します。
• 参考リンク: https://thehackernews.com/2026/08/critical-cpanel-flaw-could-let-one.html

3. ServiceNow が CVSS 10.0 の脆弱性3件を含む4件を修正

• 影響範囲: ServiceNow AI Platform / Now Platform
• 概要: 8月27日に公開されたアドバイザリで、CVSS 10.0 が3件修正されました。CVE-2026-18885 は GraphQL Composite Data API のコードインジェクションで、未認証ユーザーによる任意コード実行とインスタンスデータの窃取・改ざんが可能。CVE-2026-18886 は設定画像アップロード処理のアクセス制御不備による権限昇格、CVE-2026-74820 は SQL インジェクションです。
• 対応策: ホスティング版インスタンスには ServiceNow 側で更新が適用済みですが、セルフホスト環境は自組織での適用が必要です。ITSM/CMDB は認証情報や資産情報の集約点になりがちなため、適用状況の確認を優先度高で。
• 参考リンク: https://thehackernews.com/2026/08/three-cvss-100-servicenow-flaws-could.html

4. Gitea の重大な脆弱性が実際に悪用（CVE-2026-60004）

• 影響範囲: Gitea v1.27.1 未満のセルフホストインスタンス
• 概要: diffpatch エンドポイントを悪用してリポジトリ管理下のコンテンツから Git hook を設置・実行できる脆弱性です。リポジトリへの通常の書き込み権限があれば Gitea OS ユーザーとして任意のシェルコマンドを実行可能で、オープン登録が有効な場合は未認証の訪問者がアカウント登録→リポジトリ作成の流れで攻撃できます。実際に自動スキャナに登録され、約11秒でクリプトマイナーを設置された被害報告が公開されました。CISA は8月25日に KEV カタログへ追加しています。
• 対応策: v1.27.2 へアップグレードし、オープン登録の無効化、全シークレット・トークンのローテーション、コンテナからの外向き通信の制限を実施してください。CPU使用率の異常やコンテナ内の不審プロセスも確認を。
• 参考リンク: https://www.helpnetsecurity.com/2026/08/26/gitea-cve-2026-60004-exploited-in-the-wild/

5. CISA が KEV カタログに3件を追加（8月27日）

• 影響範囲: ownCloud、Linux Kernel、JFrog Artifactory
• 概要: 米CISA は悪用の証拠に基づき、CVE-2023-49105（ownCloud の不適切な認証）、CVE-2026-53362（Linux Kernel）、CVE-2026-66384（JFrog Artifactory のパス制限不備）を Known Exploited Vulnerabilities カタログへ追加しました。ownCloud のものは2023年公開の古い脆弱性であり、未対応のまま放置されたインスタンスが狙われ続けていることを示しています。
• 対応策: KEV は「実際に攻撃されている」ことの公的な裏付けです。自組織の資産棚卸しと突き合わせ、該当製品があれば最優先でパッチ適用を。Artifactory のようなアーティファクトリポジトリはサプライチェーンの起点になるため特に注意してください。
• 参考リンク: https://www.cisa.gov/news-events/alerts/2026/08/27/cisa-adds-three-known-exploited-vulnerabilities-catalog

6. Aurora ランサムウェアの実行犯が AI コーディング支援を攻撃計画に利用

• 影響範囲: 製造業、食品、農業、専門サービス業を中心とした20組織以上（9か国）
• 概要: CloudSEK の調査により、設定ミスで露出したサーバーから Aurora ランサムウェアのアフィリエイトの活動記録が発見されました。2026年4月〜7月の活動で17組織へのドメインレベル／対話的アクセスを獲得。特筆すべきは、Cursor のチャット履歴が含まれていた点で、攻撃者はロシア語で Active Directory 証明書サービス（AD CS）の悪用手順を対話的に詰めていました。使われた手法自体は NetExec、ASREPRoasting、Kerberoasting、BloodHound、noPac、PetitPotam などの既知のものですが、偵察結果から次の一手への変換が高速化している点が脅威です。
• 対応策: LLMNR / NBT-NS の無効化、SMB署名と Extended Protection for Authentication の有効化、WinRM の管理ホスト限定、SMBv1 の撤去。証明書テンプレートの危険な設定を点検し、証明書の要求・発行をログ化してください。ドメイン侵害が疑われる場合は krbtgt パスワードを（完全なレプリケーションを挟んで）2回ローテーションします。バックアップは別資格情報・別セグメントで運用を。
• 参考リンク: https://cybersecuritynews.com/ransomware-hacker-uses-ai/

7. MFA を回避する PhaaS キット「Mirage2FA」が3,500組織以上を標的に

• 影響範囲: Microsoft 365 利用組織（3,518組織・9,426アドレスが標的、うち約48%が侵害の可能性）
• 概要: ANY.RUN の分析によると、Mirage2FA は マルウェアを一切落とさず、HTML / XHTML / SVG 添付ファイルから AiTM（中間者）リバースプロキシ経由の偽 Microsoft ログインページへ誘導します。ID・パスワード・ワンタイムコードをリアルタイムで正規サービスへ中継し、返ってきた認証済みセッションCookieを窃取するため、MFA を突破されます。記録された9,332件の侵害イベントのうち51%がセッションCookieの窃取で、パスワードリセットだけでは攻撃者を排除できません。米国が被害の63.7%を占め、技術系・製造業が中心です。
• 対応策: メールゲートウェイで .htm / .xhtml / .svg 添付をブロックまたは隔離し、HTMLスマグリングと難読化JavaScriptの検知を追加してください。管理者・経営層・財務部門など高リスクユーザーには FIDO2/WebAuthn やパスキーといったフィッシング耐性のあるMFAを。侵害時は「資格情報インシデント」ではなく「ID インシデント」として扱い、全セッション・トークンの失効、メール転送ルールと OAuth 付与の見直し、当該IDによる全操作の監査を行ってください。
• 参考リンク: https://cybersecuritynews.com/mirage2fa-phishing-kit-bypasses-mfa-to-hijack-microsoft-365-sessions-targeting-3500-organizations/

8. npm サプライチェーンワーム（keyv / cacheable 系）の影響が継続

• 影響範囲: keyv、cacheable 系を中心とする約444パッケージ、2,200以上の悪性バージョン（合計で月間20億ダウンロード規模）
• 概要: 8月上旬に発生した自己増殖型ワーム（Shai-Hulud 系の亜種、ChainDrop とも呼称）による大規模インシデントです。悪性な preinstall フック（setup.mjs）が Bun ランタイムを取得して難読化された第2ステージを実行し、クラウドおよびCIの認証情報を収集した上で、盗んだ npm トークンで到達可能な他パッケージにトロイの木馬版を再公開して拡散しました。起点はメンテナアカウントの侵害と見られています。
• 対応策: 影響期間中に依存関係をインストールした環境では、npm トークン、クラウド認証情報、CIシークレットを全てローテーションしてください。lockfile を用いた再現可能なインストール、--ignore-scripts の活用、依存関係のバージョン固定、CI の権限最小化を推奨します。ビルドログに不審な preinstall 実行がないか遡って確認を。
• 参考リンク: https://www.microsoft.com/en-us/security/blog/2026/08/04/chaindrop-supply-chain-compromise-anatomy-self-propagating-worm/

9. Microsoft 8月の月例更新：421件のCVEと悪用済みゼロデイ1件（CVE-2026-68820）

• 影響範囲: Windows 11 / Windows Server 各バージョン、Microsoft Office、Exchange、SQL Server、Azure、.NET、Visual Studio ほか
• 概要: 8月の Patch Tuesday では421件のCVEが修正され、うち1件（CVE-2026-68820、WinSock 用 Windows Ancillary Function Driver / afd.sys の解放済みメモリ使用に起因する特権昇格）は修正前に悪用が確認されていました。CISA も KEV に追加し、期限を8月25日として適用を求めています。ほかに CVE-2026-62893（Windows Deployment Services TFTP、CVSS 9.8）や CVE-2026-62815（Microsoft QUIC、CVSS 9.8）など未認証RCEも含まれます。
• 対応策: 未適用の環境は速やかに Windows Update を実行してください。特に WDS や DNS Server 役割を持つサーバー、インターネットに面した QUIC 対応サービスは優先度を上げて対応を。
• 参考リンク: https://www.jpcert.or.jp/at/2026/at260022.html

まとめ

今週の傾向は明確で、「境界に置かれた業務アプリケーションが侵入口になる」流れが続いています。PaperCut、cPanel、Gitea、ServiceNow はいずれも、セキュリティ製品ではなく日常業務のインフラであり、資産管理から漏れやすい領域です。まずは自組織のこれらの製品を棚卸しし、管理インターフェースがインターネットに露出していないかを確認するところから始めるのが現実的でしょう。

もう一つの軸は認証の突破です。Mirage2FA によるセッションCookie窃取と、Aurora の AD CS 悪用は、いずれも「パスワードを変えるだけでは終わらない」タイプの侵害です。フィッシング耐性のあるMFAへの移行と、侵害時にセッション・トークン・証明書まで含めて失効させる手順の整備が、そのまま被害の封じ込め速度に直結します。

そして npm ワームや AI コーディング支援の悪用が示すのは、攻撃の自動化と高速化です。Gitea の事例では侵入からマイナー設置までわずか11秒でした。人手による検知を前提とした運用は、そろそろ見直しの時期に来ています。

---

この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。