概要
今日の注目セキュリティニュースをまとめました。2026年8月27日〜28日にかけて、実際に悪用が確認されたゼロデイ・既知脆弱性の報告と、大規模なデータ漏洩の公表が相次ぎました。特にインターネットに公開された業務アプライアンス（印刷管理・VPN・Gitホスティング）への攻撃が目立ちます。
主要ニュース
1. PaperCut NG / MF のゼロデイ脆弱性が悪用中
- 影響範囲: PaperCut NG および PaperCut MF の全バージョン（印刷管理サーバー）
- 概要: PaperCut社は8月27日、同社製品の脆弱性がゼロデイ攻撃で実際に悪用されているとして緊急アドバイザリを公開しました。すでに複数の顧客での被害が確認されており、脆弱性の詳細や攻撃者の正体は現時点で未公開です。同社は大学の利用者から提供された情報をもとに脆弱性を再現したとしています。
-
対応策: 公開サーバー向けの緊急パッチが提供済みです。適用が難しい場合は、ファイアウォールやネットワークACLでApplication Serverの管理Web画面へのアクセスを信頼できるIPに限定してください。
server.logの欠損・改ざんやpc-app.exeの不審な挙動、ERROR No suitable driver found for jdbc:no:x等のログをIoCとして確認しましょう。 - 参考リンク: https://www.bleepingcomputer.com/news/security/papercut-warns-of-ng-mf-flaw-exploited-in-zero-day-attacks/
2. Citrix NetScaler ADC / Gateway の CVE-2026-8452 が実環境で悪用
- 影響範囲: NetScaler ADC / Gateway（Gateway構成：SSL VPN、ICA Proxy、CVPN、RDP Proxy、またはAAA仮想サーバーとして構成されている場合）
-
概要: 6月30日に修正済みだったメモリオーバーフローの脆弱性 CVE-2026-8452 が、PoC公開後に攻撃へ転用されました。当初はDoSと説明されていましたが、認証不要のリモートコード実行に悪用可能であることが示され、
x.php/z.phpといったWebシェルの設置が観測されています。CISAは8月26日にKEVカタログへ追加し、米連邦機関に8月29日までの修正を指示しました。 - 対応策: 14.1-72.61 / 13.1-63.18 / 13.1-37.272 以降へ直ちに更新してください。パッチ適用後もWebシェルの設置痕跡や不審なセッションの調査を推奨します。
- 参考リンク: https://www.bleepingcomputer.com/news/security/cisa-hackers-now-exploiting-citrix-netscaler-rce-flaw-in-attacks/
3. Gitea の CVE-2026-60004 が悪用され暗号採掘に利用
- 影響範囲: Gitea 1.27.1 未満のセルフホスト環境
- 概要: GiteaのdiffpatchエンドポイントにおけるコードインジェクションCVE-2026-60004が実際に悪用されています。リポジトリ書き込み権限を持つユーザーが細工したパッチを送ることで、Giteaサービスアカウント権限で任意のシェルコマンドを実行できます。既定でセルフ登録が有効なため、実質的に未認証攻撃者でも悪用可能です。侵害されたインスタンスで暗号採掘ソフトが実行された事例が報告されています。
- 対応策: 7月末にリリースされた Gitea 1.27.1 以降へ更新してください。あわせてセルフ登録の無効化、およびGitフックや不審なプロセスの点検を行ってください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/hackers-now-exploit-critical-gitea-flaw-in-code-injection-attacks/
4. WordPressテーマ Avada の脆弱性チェーンでゼロクリックRCE（CVE-2026-18431）
- 影響範囲: Avadaテーマ 7.16 以前、Fusion Builderプラグイン 3.16 以前（販売実績100万件以上）
- 概要: 認可・入力検証・信頼境界・ファイル処理にまたがる6つの不具合を特定の順序で連鎖させることで、未認証の攻撃者がサーバー上で任意のPHPコードを実行できます。CVSSは9.8。Wordfenceが自社のエージェント型フレームワーク「Argus」を用いて約2時間で発見し、PoCまで作成したと報告しています。
- 対応策: ThemeFusionが8月25日に公開した Avada 7.16.1 へ更新してください。不正な管理者アカウントの追加やWebシェルの設置有無も確認しましょう。
- 参考リンク: https://www.bleepingcomputer.com/news/security/critical-avada-wordpress-theme-flaw-enables-zero-click-rce/
5. Carhartt から約1,290万アカウントの情報が流出
- 影響範囲: 米アパレル大手Carharttの顧客・従業員（12,900,000アカウント超）
- 概要: 恐喝グループShinyHuntersが8月13日に攻撃を主張し、身代金交渉が決裂した後、約50GBのデータをリークサイトで公開しました。Have I Been Pwnedの分析では、同社のDatabricks分析基盤の侵害に起因し、メールアドレス・氏名・電話番号・住所が含まれます。@carhartt.com のメールを持つ従業員1万5千件以上も確認されました。
- 対応策: Carharttに登録したメールアドレスをHave I Been Pwnedで確認し、使い回しパスワードを変更してください。今後この情報を悪用したフィッシングに注意が必要です。SaaS分析基盤（Databricks等）を利用する組織は認証設定とトークン管理の棚卸しを推奨します。
- 参考リンク: https://www.bleepingcomputer.com/news/security/carhartt-data-breach-exposes-information-of-129-million-accounts/
6. Manchester Airports Group（英）が旅客データの窃取を公表
- 影響範囲: マンチェスター、スタンステッド、イースト・ミッドランズ各空港の利用者（Wi-Fi登録、駐車場・ラウンジ・Fast Track予約）
- 概要: 英国最大の空港運営会社MAGが8月27日、システム侵害により顧客データが窃取されたと公表しました。流出情報はメールアドレス、電話番号、車両登録番号、郵便番号で、決済情報へのアクセスはなく空港運営への影響もないとしています。現地報道では最大890万人分との報道もありますが、確認は取れていません。
- 対応策: MAGは「Manage My Booking」を一時停止し、不審なメール・SMSのリンクを開かないよう呼びかけています。同社が支払情報やパスワードを尋ねることはないため、そうした連絡は詐欺として扱ってください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/manchester-airports-group-says-hackers-stole-travelers-data/
7. 米ATFがQilinランサムウェアによる「重大インシデント」を確認
- 影響範囲: 米アルコール・タバコ・火器及び爆発物取締局（ATF）のスタンドアロンシステム
- 概要: QilinがダークウェブのリークサイトにATFを掲載したことを受け、ATFは8月26日にシステム1台の侵害を確認し「major incident」として司法省と共同で調査中と発表しました。当該システムは基幹ネットワークやeFormsとは分離されており、捜査関連情報が含まれていたとされます。データ窃取の有無や侵入時期は公表されていません。
- 対応策: 直接の対処が必要なユーザーは限られますが、Qilinは初期侵入にVPN・境界機器の脆弱性や有効な認証情報を多用します。境界機器のパッチ適用状況とMFAの網羅性を改めて確認してください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/atf-confirms-major-incident-after-recent-qilin-breach-claims/
8. サプライチェーン攻撃グループ「TeamPCP」の2名がオーストラリアで起訴
- 影響範囲: OSSエコシステム全般（Trivy、LiteLLM、Telnyx、SAP、TanStack等の関連パッケージ利用者）
- 概要: 豪州連邦警察と西オーストラリア州警察は、TeamPCPのメンバーとされる23歳と21歳の男2名を逮捕・起訴しました。同グループはOSSリポジトリに悪性コードを混入させて認証情報・シークレット・ソースコードを窃取する手口で、欧州委員会、Mistral AI、OpenAI、GitHubへの侵害にも関与したとされます。合計14件の容疑で、最大3〜20年の刑が科される可能性があります。
- 対応策: 依存パッケージのバージョン固定（lockfile）とインストール時スクリプトの制限、CI/CDに置かれたトークンの定期ローテーションを徹底してください。過去に影響を受けた可能性がある場合は認証情報を侵害前提で再発行しましょう。
- 参考リンク: https://www.bleepingcomputer.com/news/security/australia-arrests-alleged-teampcp-hackers-behind-supply-chain-attacks/
9. Ubiquitiが最大深刻度の脆弱性3件を修正
- 影響範囲: Ubiquiti製ネットワーク機器・管理ソフトウェア
- 概要: Ubiquitiは、権限なしでリモートから悪用可能な最大深刻度（CVSS 10.0クラス）の脆弱性3件に対するパッチを公開しました。現時点で実環境での悪用報告はありませんが、境界に置かれることが多い製品であり優先度は高いと考えられます。
- 対応策: 管理コンソールから直ちに最新ファームウェア／ソフトウェアへ更新し、管理インターフェイスをインターネットに直接公開しないよう構成を見直してください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/ubiquiti-patches-three-max-severity-security-vulnerabilities/
10. NVIDIA GPUのECC保護を破る新たなRowhammer攻撃「GPUThor」
- 影響範囲: ECC保護を有効にしたNVIDIA GPU（共有GPU環境・クラウドGPUを含む）
- 概要: 新たに公表されたRowhammer攻撃GPUThorは、NVIDIA GPUの誤り訂正符号（ECC）による保護を回避し、サービス拒否やroot権限への昇格を引き起こし得ます。マルチテナントのGPU基盤でのリスクが特に懸念されます。
- 対応策: ベンダーの緩和策・ドライバ更新情報を注視し、共有GPU環境ではテナント分離とジョブの権限最小化を見直してください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/new-gputhor-attack-defeats-nvidia-ecc-protection-for-root-access/
まとめ
今日の傾向は明確で、「インターネットに露出した業務アプライアンスの脆弱性が、パッチ公開やPoC公開の直後に実際の攻撃へ転用される」流れが続いています（PaperCut、NetScaler、Gitea）。修正済みの脆弱性であっても、適用が遅れた組織が狙われている点が共通しています。もう一つの軸はサードパーティ・SaaS経由の情報流出で、CarharttのDatabricks侵害のように、自社システムではなく分析基盤や外部連携が起点になるケースが増えています。境界機器の棚卸しと迅速なパッチ適用、そして外部サービスに預けたデータとトークンの管理を、いま一度点検することをおすすめします。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。