概要
今日の注目セキュリティニュースをまとめました。
今週は「管理レイヤーが狙われる」という共通項が際立った一週間でした。ファイアウォールの管理コンソール、SharePoint の署名鍵、ワークフロー基盤、PLC の安全ロジック — いずれも「攻撃対象領域」として棚卸しされていなかった、インフラを管理するためのインフラが標的になっています。あわせて WordPress Core の pre-auth RCE 公開エクスプロイトなど、影響範囲の広い案件も動いています。
収集対象期間: 2026年7月18日〜7月25日に報じられたニュースのうち、7月25日〜26日時点で対応が急がれるものを中心に選定しています。
主要ニュース
1. Check Point 管理サーバに認証バイパスの脆弱性（CVE-2026-16232）、実際に悪用 — CISA 是正期限は 7月25日
- 影響範囲: Check Point Security Management / Multi-Domain Security Management（R81.20、R82、R82.10 のほかサポート終了バージョンを含む複数バージョン）
- 概要: 未認証の攻撃者が管理サーバからアプリケーションログイントークンを取得し、SmartConsole にフル管理者権限でログインできてしまう認証バイパス（CVSS 9.1）。セキュリティポリシー、管理者権限、VPN 設定、Threat Prevention 設定、ログ・モニタリング設定といった管理プレーン全体が掌握され得ます。Check Point は実際の悪用を確認し「一部の顧客」に通知済みと発表。CISA は 7月22日に KEV カタログへ追加し、米連邦民間機関に対して 7月25日 までの是正と侵害有無の調査を義務付けました。同時公開の jumbo hotfix では、未認証で管理サーバ上の管理コマンドを実行できる CVE-2026-62144、read-only 権限から root 昇格できる Gaia Portal の CVE-2026-62145 も修正されています。
- 対応策: 該当バージョンの jumbo hotfix を最優先で適用。即時適用できない場合は、Trusted Clients（GUI クライアント）を信頼できる IP / サブネットに限定し、管理サーバへのアクセスをファイアウォールで制限します。Check Point が公開した攻撃元 IP リストを用いて、自組織が既に侵害されていないかログを確認してください。管理サーバがインターネットに直接公開されていない環境でも、脆弱なコード自体は残るため対応を先送りしないこと。
- 参考リンク: https://www.helpnetsecurity.com/2026/07/23/check-point-vulnerability-cve-2026-16232/ / https://support.checkpoint.com/results/sk/sk185169/
2. SharePoint Server の CVE-2026-50522、パッチ適用だけでは不十分 — マシンキー窃取に注意
- 影響範囲: SharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Edition
- 概要: 信頼されないデータのデシリアライズに起因する脆弱性（CVSS 9.8）。7月14日の Patch Tuesday で修正されましたが、7月20日に PoC が公開された直後から watchTowr のハニーポットで実際の悪用が観測され、CISA は 7月22日に KEV へ追加（連邦期限 7月25日）。未認証の攻撃者が細工した HTTP リクエスト 1 発で ASP.NET のマシンキー（ValidationKey / DecryptionKey）を窃取でき、この鍵はパッチを当てても変わらないため、窃取済みの鍵で偽造した認証トークンはパッチ適用後のサーバでも正規のものとして通ってしまいます。SYSTEM を含む任意ユーザへのなりすましが可能です。
- 対応策: パッチ適用に加えて、全 SharePoint Web アプリケーション構成の ValidationKey / DecryptionKey を必ず手動でローテーションしてください（パッチは鍵を再生成しません）。インターネット公開しているオンプレ SharePoint では、PoC 公開前後の期間のアクセスログ・認証ログを遡って侵害有無を確認することを推奨します。3週間で 3 件目の critical RCE であり、個別のパッチ対応ではなく公開構成そのものの見直しが必要な段階です。
- 参考リンク: https://thehackernews.com/2026/07/critical-sharepoint-rce-cve-2026-50522.html / https://www.helpnetsecurity.com/2026/07/22/sharepoint-cve-2026-50522-exploited/
3. WordPress Core の「wp2shell」pre-auth RCE、公開エクスプロイトが出回り実際の悪用も
- 影響範囲: WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1（SQL インジェクション単体では 6.8.0〜6.8.5 も対象）
-
概要: Searchlight Cyber の Adam Kues 氏が発見した 2 つの脆弱性の連鎖攻撃。CVE-2026-63030 は WordPress 6.9 で導入された REST API バッチルートの route confusion による認証バイパス、CVE-2026-60137 は
WP_Queryのauthor__not_inパラメータにおける SQL インジェクションで、これらを繋げるとプラグイン無しの素の WordPress に対して匿名ユーザが未認証 RCE を達成できます。GitHub に複数の PoC が公開され、watchTowr は既に in-the-wild の悪用を確認。管理者アカウントの不正作成、悪性プラグインのインストール、Web シェル設置、DB 認証情報の窃取などが報告されています。Wiz によれば CVE 公開時点で WordPress 利用組織の 60% に脆弱なインスタンスが 1 つ以上存在していました。 -
対応策: WordPress 7.0.2 または 6.9.5 へ即時更新（WordPress.org は事の重大性から強制自動更新を有効化済み）。すぐに更新できない場合の暫定策として、REST API への匿名アクセスをブロックするプラグインの導入、または WAF で
/wp-json/batch/v1と?rest_route=/batch/v1を遮断します。Cloudflare は無料プランを含む全プランで WAF ルールを配信済みですが、あくまでパッチの代替にはなりません。wp2shell.comで自サイトの脆弱性有無をテストできます。 - 参考リンク: https://www.bleepingcomputer.com/news/security/wordpress-core-wp2shell-rce-flaws-get-public-exploits-patch-now/ / https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
4. ServiceNow AI Platform の pre-auth サンドボックスエスケープ RCE（CVE-2026-6875）が悪用段階へ
- 影響範囲: ServiceNow AI Platform（旧 Now Platform）。特にセルフホスト環境。Fortune 500 の 85% が利用し、年間 1,000 億件超のワークフローを処理するプラットフォーム
-
概要: Searchlight Cyber が 4月1日に報告した、GlideRecord クエリエンジンにおける未認証のサンドボックスエスケープ RCE。
/assessment_thanks.doエンドポイントが攻撃者制御の JavaScript を評価し、gadget chain 経由でサンドボックスを脱出してアプリケーションサーバ権限でコード実行に至ります。ServiceNow はホスト型インスタンスを 4月から順次修正、セルフホスト向けパッチを 7月13日に公開しましたが、脅威インテリジェンス企業 Defused が 7月18日に in-the-wild の悪用を確認。一方で ServiceNow の公式アドバイザリは 7月20日時点でも「悪用は認識していない」と記載しており、ベンダー告知と実態に乖離がありました。さらに公開 PoC とは別ルートのバイパス gadget も確認されています。 -
対応策: セルフホスト環境は 7月13日公開の修正パッチを直ちに適用。ホスト型も適用状況を確認してください。ベンダーの「悪用未確認」という文言を優先度判断の根拠にしないことが重要です。パッチ適用が 7月13日以降になった環境では、その期間の
/assessment_thanks.doへのアクセスログを含むテレメトリを遡って調査してください。 - 参考リンク: https://www.bleepingcomputer.com/news/security/critical-servicenow-code-execution-flaw-now-exploited-in-attacks/ / https://nvd.nist.gov/vuln/detail/CVE-2026-6875
5. Clop が PTC Windchill / FlexPLM を標的にした大規模データ窃取・恐喝キャンペーン（CVE-2026-12569）
- 影響範囲: インターネットに公開された PTC Windchill および FlexPLM インスタンス。被害セクターは製造、自動車、航空宇宙、小売・アパレル
-
概要: Clop（Cl0p）が、CVSS 9.8 の未認証 RCE 脆弱性 CVE-2026-12569 を悪用。FlexPLM の WSDL エンドポイントにおける pre-auth 情報漏えいと Windchill ログインサーブレットのサーバサイド不備を連鎖させ、
/Windchill/login/配下に 16進数名の JSP Web シェルを設置します。侵入後はflst.txtによるファイルシステム列挙、設計・エンジニアリングデータのステージングを経て、二重恐喝型のデータ窃取に至ります。Clop は 2026年6月上旬にゼロデイとして悪用していたとみられ、PTC が 6月17日からパッチ公開、6月26日に「脅威活動の増加」を警告、CISA も KEV に追加。7月20日頃から本格的な恐喝フェーズに入り、「Windchill PDMLink module serious data leak」という件名のメールが被害組織の大規模な社内配信リストに送りつけられています。 -
対応策: PTC が公開した CVE-2026-12569 のパッチを適用。Windchill / FlexPLM をインターネットに公開しない構成へ見直し、
/Windchill/login/配下の見慣れない JSP ファイルやflst.txtの有無を確認してください。製造業では製品設計データという事業の中核資産が対象のため、侵害調査を優先度高く実施することを推奨します。 - 参考リンク: https://www.bleepingcomputer.com/news/security/clop-ransomware-targets-windchill-flexplm-in-data-theft-attacks/ / https://thehackernews.com/2026/07/cl0p-affiliates-target-internet-exposed.html
6. イラン系国家関与アクターが PLC の安全ロジックを改ざん — CISA が AA26-097A を更新し Siemens / Schneider を追加
- 影響範囲: Rockwell Automation Studio 5000 に加え、Siemens TIA Portal、Schneider Electric EcoStruxure Control Expert で管理される PLC。米国の上下水道、エネルギー、政府施設で被害を確認
- 概要: 7月22日、CISA・FBI・NSA・EPA・エネルギー省・米サイバー軍が共同アドバイザリ AA26-097A を更新し、対象 ICS ベンダーを拡大しました。攻撃者はプラント技術者が日常的に使う正規のエンジニアリングソフトウェアでインターネット公開された PLC に直接接続し、プロジェクトファイルをダウンロード、シャットダウントリガ・アラーム閾値・インターロック条件といった安全制約を記述したロジックブロックを書き換えて再アップロードします。HMI 上の表示は正常なまま、過圧・過熱時に働くはずの安全インターロックが機能しない、あるいは攻撃者が設定した閾値で作動する状態になります。マルウェアバイナリも異常な通信プロトコルも残らないため、従来の IT セキュリティ監視では検知できません。
- 対応策: PLC のプログラミングポート（Rockwell EtherNet/IP の TCP/44818、Siemens S7 の TCP/102、Schneider の Modbus TCP）のインターネット公開を解消。エンジニアリングソフトウェアへのアクセスに多要素認証を必須化し、PLC プロジェクトのアップロードに変更管理プロセスを導入して、想定外の変更がプロセス挙動に反映される前にアラートが上がるようにします。保守ウィンドウ外のプロジェクトファイル送受信を検知できる OT 専用のネットワーク監視の導入も有効です。パッチでは解決しない（正規機能の悪用である）点に注意してください。
- 参考リンク: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a / https://www.securityweek.com/us-warns-of-iranian-hackers-targeting-siemens-schneider-and-rockwell-ics-devices/
7. Windows のゼロデイ「LegacyHive」PoC が公開 — 一般ユーザから管理者権限へ
- 影響範囲: サポート対象の Windows デスクトップ / サーバ全バージョン（報告時点）。CVE 未採番、公式パッチ未提供
-
概要: 「Nightmare Eclipse」を名乗る研究者が、7月の Patch Tuesday 公開の数時間後に PoC を公開。Windows User Profile Service（ProfSvc）を悪用し、低権限ユーザが他ユーザの
UsrClass.datレジストリハイブを自分のHKEY_CLASSES_ROOTにマウントできてしまいます。これにより他ユーザのアプリケーションデータや設定を参照でき、classes ハイブを書き換えておくことで管理者アカウントがログオンした瞬間に任意コードが実行される状態を作れます。Microsoft は報告を認知し調査中ですが、本稿執筆時点で CVE も正式アップデートも出ていません。 - 対応策: ローカルアクセスが前提のため、まず初期侵入を防ぐこと（フィッシング対策、認証情報の保護、EDR による低権限アカウントの挙動監視）が実質的な緩和策です。0patch などから非公式マイクロパッチが提供されているため、適用可否を検討してください。管理者アカウントでの日常的なログオンを避け、特権アクセスを専用の管理ワークステーションに限定する運用が有効です。Microsoft の公式修正が出次第、速やかに適用してください。
- 参考リンク: https://www.bleepingcomputer.com/news/security/new-windows-legacyhive-zero-day-exploit-grants-hackers-admin-access/ / https://www.bleepingcomputer.com/news/security/windows-legacyhive-zero-day-flaw-gets-free-unofficial-patches/
8. Claude Artifacts を悪用した偽ダウンロードページで SectopRAT を配布 — 29組織が被害
- 影響範囲: Claude デスクトップアプリを検索してスポンサー広告経由でアクセスしたユーザ。Huntress は 2日間で少なくとも 29 組織の従業員が侵害されたと報告
-
概要: 攻撃者が Claude.ai の Artifacts 機能（生成物を公開リンクとして共有できる機能）を悪用し、正規の
claude.aiドメイン上に本物そっくりの偽ダウンロードページを公開。Bing のスポンサー広告から誘導しました。ドメインは正真正銘の claude.ai であるため URL 確認では見抜けず、左上に小さく表示される「Content is user-generated and unverified」という注記が唯一の手がかりでした。ダウンロードボタンは外部ドメイン（claude.ai.download-app[.]us→downloading-api.it[.]com）へ転送し、DLL サイドローディング可能な正規署名済み JetBrains バイナリ、マルウェア本体を仕込んだ改ざん版libcef.dll、スケジュールタスクとして永続化するDockerDesktop.exeを含むバンドルを配布。最終ペイロードはクレジットカード情報・個人情報・ファイル・パスワードを窃取する RAT「SectopRAT」です。Huntress の報告を受け Anthropic は 7月22日の公表前に該当 Artifact を削除しましたが、その時点で 7,100 回閲覧されていました。 - 対応策: 検索エンジンの広告からソフトウェアをダウンロードしないこと。ソフトウェアは必ずベンダーの公式サイトを直接ブックマークして入手してください。正規ドメイン上にホストされているという事実は、コンテンツの正当性を何ら保証しません。組織としては、DLL サイドローディングの検知、スケジュールタスクの新規登録監視、および広告ブロッカーの配布が有効です。Huntress は同一アクターが 2025年12月以降の 10 ドメイン、および Docker Hub を悪用した 2026年4月のキャンペーンと繋がっていると指摘しています。
- 参考リンク: https://www.helpnetsecurity.com/2026/07/23/anthropic-claude-artifacts-download-malware/
9. Ernst & Young、サードパーティ ITSM 基盤の侵害で税務・財務データが流出
- 影響範囲: EY の税務・ファイナンシャルプランニング部門のクライアント対応に使われていたサードパーティ製 IT サービス管理（ITSM）プラットフォーム
- 概要: 不正アクセス期間は 2026年3月28日〜4月12日の 15日間で、EY が検知したのは期間終了から 11日後の 4月23日でした。流出データには社会保障番号、納税者番号、確定申告書、金融口座コード、クレジット / デビットカード情報、政府発行の身分証明書が含まれます。カリフォルニア、テキサス、マサチューセッツ、バーモントの各州司法長官に侵害通知が提出されました。本質的な問題は、ヘルプデスクのチケットシステムが「機微データの保管庫」としてモデリングされていなかった点にあります。顧客が問い合わせに応じて送信した確定申告書や身分証がチケット添付ファイルとして蓄積し、自社ではなくベンダー側のデータ保持ポリシーとアクセス制御の下に置かれていました。EY にとってはこの 3年弱で 3件目のベンダー起因の情報漏えいです（2023年 MOVEit、2025年 Azure ホスト環境、そして今回）。
- 対応策: 自組織のヘルプデスク / チケットシステム、ファイル共有ワークフロー、顧客ポータルに、どのような機微データが「業務の副産物として」蓄積しているかを棚卸ししてください。サードパーティ SaaS の保持期間設定・アクセス制御・ログ保全を契約レベルで確認し、添付ファイルの自動削除ポリシーを検討します。専門サービス事業者に機微文書を提出している側の組織は、提出履歴を把握しておくことが実質的なリスク管理になります。
- 参考リンク: https://www.bleepingcomputer.com/news/security/ernst-and-young-discloses-data-breach-after-support-system-hack/ / https://www.securityweek.com/ernst-young-data-breach-affects-personal-financial-information/
10. 7-Zip 26.02 が RCE 脆弱性を修正 — 自動更新機能がないため手動更新が必須
- 影響範囲: 7-Zip 26.02 より前のバージョン（Windows を中心に広く利用）
- 概要: Lunbun の研究者 Landon Peng 氏が報告した、XZ 圧縮データの処理におけるリモートコード実行の脆弱性。開発者は技術的詳細を公開していませんが、26.02 のソース変更を見る限り、XZ デコード時の出力バッファ残量チェックの追加、すなわちヒープベースのバッファオーバーフロー対策と見られます。悪意あるアーカイブを開く、または細工されたページを閲覧するといったユーザ操作が必要です。現時点で実際の悪用は報告されていません。
- 対応策: 7-Zip には自動更新機能がないため、修正が自動的に降ってくることはありません。公式サイト（7-zip.org）から 26.02 を手動でダウンロードして更新してください。組織内で配布している場合は、資産管理台帳でバージョンを洗い出し、配布パッケージを更新する必要があります。出所不明のアーカイブファイルを開かない運用も引き続き有効です。
- 参考リンク: https://www.bleepingcomputer.com/news/security/update-now-7-zip-fixes-rce-flaw-exploitable-with-malicious-archives/
まとめ
今週の共通項は「組織が攻撃対象領域として棚卸ししていなかった管理レイヤー」です。ファイアウォールそのものではなく管理コンソール（Check Point）、ワークフローではなくその実行基盤（ServiceNow）、パケット処理ではなく署名鍵（SharePoint）、そしてプロセス制御ではなく安全ロジック（PLC）。守っている対象の一段裏側が狙われており、パッチ適用だけで完結しないケース（SharePoint のマシンキーローテーション、PLC の正規機能悪用）が複数含まれる点は特に注意が必要です。
ランサムウェア動向としては、Black Kite の 2026年レポートで 2025年4月〜2026年3月の被害組織が 7,551 件、2026年6月時点の活動グループ数が 146 に達したと報告されています（新規参入は週1グループ超のペース）。上位 5 グループで全被害の 43.6% を占める一方で市場は明確に分散化しており、SaaS・ERP・CRM・OAuth トークン・リモートアクセスツールといったサードパーティ経路が主要な侵入口になっています。自社の内部統制が強固でも、取引先やベンダー経由の露出が残るという前提で対策を組み立てる必要があります。
対応の優先順位としては、①CISA KEV 期限を過ぎた Check Point・SharePoint、②公開エクスプロイトが出回っている WordPress、③恐喝フェーズに入っている Windchill / FlexPLM の順で確認することをおすすめします。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。