概要
今日の注目セキュリティニュースをまとめました。2026年7月25日時点で、直近24〜48時間に報じられた8件をピックアップしています。今日は「実際に悪用されている境界防御製品のゼロデイ」と「AIエージェントを狙う／使う攻撃」の2軸が特に目立ちました。
主要ニュース
1. Check Point 管理製品のゼロデイ CVE-2026-16232 が実環境で悪用（KEV 対応期限は本日7月25日）
- 影響範囲: Check Point Security Management / Multi-Domain Management
- 概要: 認証バイパスによりアプリケーションのログイントークンを取得され、SmartConsole から管理者権限でログインしてセキュリティポリシーや構成を改ざんされる恐れがあります。Check Point は「管理環境をIP制限なしでインターネットに直接公開していた一部の顧客」で実際の悪用を確認したと発表しました。CISA は7月22日に KEV カタログへ追加し、連邦機関に 7月25日までの対処を指示しています。同時に CVE-2026-62144（認証バイパス＋権限昇格）と CVE-2026-62145（ローカル権限昇格）も修正されました。
- 対応策: 直ちに最新のホットフィックスを適用。管理インターフェースをインターネットに公開している場合は即座に IP 制限をかけ、公開されていた期間については Check Point 提供の IoC でログを突合し、侵害調査を実施してください。
- 参考リンク: https://www.securityweek.com/new-check-point-zero-day-vulnerability-exploited-in-the-wild/
2. Active Directory 証明書サービスの「Certighost」（CVE-2026-54121）PoC が公開
- 影響範囲: AD CS（エンタープライズCA）を運用する Windows Server 2012〜2025 ドメイン、Windows 10 1607/1809 を含む環境
- 概要: 研究者 H0j3n 氏と Aniq Fakhrul 氏が7月24日に実働するエクスプロイトを公開しました。CA の chase フォールバック処理で、リクエスト側が指定した cdc（問い合わせ先ADサーバ）を DC であると検証せずに SMB/LDAP で追跡してしまう不備が原因です。一般の Domain Users 権限だけでドメインコントローラーの証明書を取得でき、PKINIT で DC として認証したうえで DCSync により krbtgt を含む資格情報を抜き出せます。CVSS は 8.8、Microsoft は7月14日の更新プログラムで修正済みです。7月24日時点で実環境での悪用報告はありませんが、完全な PoC が公開状態にあります。
- 対応策: 発行CA・下位CAを含む全 AD CS サーバーに7月の累積更新を適用してください。即時適用が難しい場合の緩和策として certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC を実行後に CertSvc を再起動する方法が示されていますが、正規の登録フローを壊す可能性があるため検証環境での事前確認が必須です。あわせて ms-DS-MachineAccountQuota を 0 にする運用も検討を。
- 参考リンク: https://thehackernews.com/2026/07/certighost-exploit-lets-low-privileged.html
3. ChatGPT Workspace Agents の「AgentForger」— フィッシングリンク1クリックで見えないAIエージェントを社内に設置
- 影響範囲: OpenAI ChatGPT の Workspace Agents（コネクタを認可済みの法人テナント）※修正済み
- 概要: Zenity Labs が発見した CSRF 系の脆弱性です。ChatGPT にログイン済みで Workspace Agents を利用でき、かつ Gmail や Outlook などのコネクタを1つ以上認可している従業員が細工されたリンクを踏むと、攻撃者が制御する自律エージェントが被害組織内に生成されます。エージェントはツール・承認設定・スケジュール・認可済みコネクタへのアクセス権を持ち、件名が「TASK」で始まるメールで指示を受け取り、結果を攻撃者へ返送します。偵察、機密データ探索、資格情報収集、なりすまし、内部フィッシングやBECの下準備に悪用され得ます。6月4日に報告され、OpenAI は6月8日までに修正済みです。
- 対応策: 製品側は修正済みのため追加のパッチ適用は不要ですが、Workspace Agents のエージェント一覧を棚卸しし、身に覚えのないエージェントやスケジュールが登録されていないか確認してください。SaaS コネクタの認可範囲を最小化し、AIエージェントの作成・権限付与を監査ログの監視対象に含めることを推奨します。
- 参考リンク: https://thehackernews.com/2026/07/chatgpt-agentforger-flaw-could-deploy.html
4. 豪 Origin Energy が情報漏えいを公表、攻撃者は「200万人分」を主張
- 影響範囲: オーストラリアの電力・ガス大手 Origin Energy の顧客（総顧客数は約480万人）
- 概要: 同社は7月22日に調査開始を公表し、7月23日に「一部顧客データへの不正アクセス」を認めました。氏名、住所、生年月日、電話番号、アカウント情報に加え、クレジットカード番号の下4桁や銀行口座番号の下3桁といった部分的な決済情報が取得された可能性があります。攻撃者を名乗る人物は現地メディア7News に対し、200万人分を窃取したとして身代金を支払わなければ全件を公開すると主張しています。同社は外部専門家を起用し、豪州の法執行・サイバー・プライバシー当局に通報済みです。
- 対応策: 対象となる利用者は、Origin からの通知連絡を確認しつつ、同社を騙るフィッシングやスミッシングに警戒してください。同じパスワードを他サービスで使い回している場合は変更し、口座・カードの明細を注視することが推奨されます。
- 参考リンク: https://www.securityweek.com/data-breach-confirmed-after-australian-energy-giant-origin-is-hacked/
5. 米当局がイラン系APTによるPLC攻撃の勧告を更新、Siemens・Schneider・Rockwell を名指し
- 影響範囲: Rockwell Automation CompactLogix / Micro850、Schneider Electric Modicon M340 (BMX P34)、Siemens S7-1200 シリーズなどのPLCと、Studio 5000 Logix Designer、EcoStruxure Control Expert、TIA Portal といったベンダー設定ソフト
- 概要: 米連邦機関は7月22日、4月に公開した重要インフラ向け勧告を更新しました。イラン系APTがインターネットに露出したPLCへベンダー純正の設定ソフトから接続し、悪意あるプロジェクトファイルを書き込んでいたことがFBIの調査で判明しています。あるケースでは下流の機能を維持するラダーロジックを残しつつ、安全な運転パラメータを維持する命令セットを上書きし、緊急停止やアラームのロジックを無効化して、オペレーターに気づかせないまま危険な状態に至らせる設計になっていました。狙われたポートは 44818、2222、102、502、22 です。
- 対応策: PLC をインターネットから直接到達できない構成に変更し、上記ポートの外部公開を遮断してください。プロジェクトファイルのバージョン管理とハッシュ照合、安全系ロジックの定期検証、勧告に追加された新しい IoC と検知ガイダンスの適用が有効です。
- 参考リンク: https://www.securityweek.com/us-warns-of-iranian-hackers-targeting-siemens-schneider-and-rockwell-ics-devices/
6. Anubis ランサムウェアが Coca-Cola 子会社 Fairlife への攻撃を犯行声明、1TB の窃取データ公開を予告
- 影響範囲: Coca-Cola 傘下の乳製品企業 Fairlife（米国内の生産が停止）
- 概要: Fairlife は7月16日にIT環境への不正アクセスを検知し、米国内での Ultra-Filtered Milk、Core Power、Nutrition Plan の生産を一時停止しました（カナダの生産と製品の品質・安全性には影響なしと説明）。Anubis グループは7月20日にリークサイトへ Coca-Cola と Fairlife を掲載し、サーバーを「ロック」して1TBの機密データを持ち出したと主張、1週間以内に支払わなければ公開すると予告しています。同グループはファイルを復元不能にする「ワイパーモード」を備えることで知られており、暗号化＋暴露の二重恐喝だけでは済まない点が厄介です。
- 対応策: 製造業・OT を持つ組織は、IT 側の侵害が生産停止に直結する経路（共有認証基盤、MES/ERP連携、リモート保守）を洗い出し、オフラインまたはイミュータブルなバックアップの復旧演習を実施してください。ワイパー機能を前提に、暗号化前提の復旧計画では不十分である点に注意が必要です。
- 参考リンク: https://www.securityweek.com/ransomware-group-threatening-to-leak-data-stolen-from-coca-colas-fairlife/
7. Chick-fil-A、パスワードリスト型攻撃で会員アカウントが乗っ取られたと通知
- 影響範囲: Chick-fil-A One（ロイヤルティプログラム）の一部利用者
- 概要: 攻撃者は第三者から入手した資格情報を用い、2026年6月17日から19日にかけて同社サイトとモバイルアプリへ自動ログインを試行しました。同社は7月13日に、アカウント内に保存された顧客情報へアクセスされた可能性があると判断しています。氏名、メールアドレス、会員情報、リワード残高、決済関連情報などが対象です。全体の被害者数は非公表ですが、テキサス州司法長官への届出では同州で2,182人とされています。同社への直接侵入ではなく、過去の漏えい由来の使い回しパスワードが原因です。
- 対応策: 利用者はパスワードの使い回しをやめ、パスワードマネージャーと多要素認証を有効化してください。事業者側は、レートリミット、デバイス／IP評価、漏えいパスワードのブロックリスト照合、リワード残高の異常利用検知といったクレデンシャルスタッフィング対策の実装が有効です。
- 参考リンク: https://www.bleepingcomputer.com/news/security/chick-fil-a-discloses-data-breach-after-credential-stuffing-attacks/
8. Suno（5,530万件）と Paidwork（2,330万件）の漏えいデータが公開、HIBP へ登録
- 影響範囲: AI 音楽生成サービス Suno の利用者、および Paidwork の利用者
- 概要: Suno は2025年11月に発生した侵害が2026年7月に公になったもので、Have I Been Pwned には7月20日に5,530万件のユニークアカウントとして登録されました。氏名、メールアドレス、電話番号、住所、購入履歴、Stripe 経由の部分的なカード情報が含まれます。攻撃者は従業員1名の資格情報を窃取し、古いソースコードへアクセスしたと説明しています。Paidwork は約11GB のデータセットが7月に公開され、7月19日に2,330万件として登録されました。こちらは氏名、パスワードハッシュ、住所、生年月日、電話番号、銀行口座情報を含みます。
- 対応策: 両サービスの利用者は Have I Been Pwned で自身のアドレスを確認し、当該パスワードを使い回している全サービスで変更してください。Paidwork は口座情報を含むため、金融機関の明細確認と、当該情報を悪用した「なりすまし連絡」への警戒も必要です。
- 参考リンク: https://www.securityweek.com/suno-paidwork-data-breaches-affect-tens-of-millions-of-accounts/
まとめ
今日の傾向は大きく2つです。1つは、Check Point の管理コンソールや AD CS のように「侵害されると即座にドメイン／ネットワーク全体の掌握につながる管理系コンポーネント」が実際に狙われている点で、境界防御製品の管理画面をインターネットに露出させないという基本が改めて問われています。もう1つは AI エージェントの二面性で、AgentForger はエージェント基盤そのものが新たな侵入経路になり得ることを示し、7月初旬に報告された JADEPUFFER のような LLM 主導の自律型ランサムウェアは攻撃側の運用速度を押し上げています。加えて Origin Energy、Fairlife、Suno、Paidwork、Chick-fil-A と、消費者データと生産ラインの両方が同時に人質になる構図が続いており、パスワードの使い回し廃止と多要素認証という個人側の基本対策も引き続き有効です。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。