概要
今日の注目セキュリティニュースをまとめました。Androidのゼロデイ修正、npmサプライチェーン攻撃、大規模データ漏洩、Citrix・Palo Altoなど境界製品の悪用報告まで、攻撃対象が広がっています。
主要ニュース
1. Google Android 6月セキュリティアップデート公開、ゼロデイCVE-2025-48595を修正
- 影響範囲: Android 14 / 15 / 16 / 16 QPR2 を搭載した端末
- 概要: Googleは6月のAndroidセキュリティ情報で計124件の脆弱性を修正。うちCVE-2025-48595（CVSS 8.4）はユーザー操作不要で権限昇格が可能なゼロデイで、すでに悪用が確認されています。FrameworkコンポーネントのリモートCVE-2025-65018もCritical扱いで含まれます。
- 対応策: 端末メーカーから配信され次第、6月セキュリティパッチレベル（2026-06-01 / 2026-06-05）を直ちに適用。CISAのKEVにも登録済みのため、組織端末は緊急対応推奨。
- 参考リンク: https://www.techrepublic.com/article/news-google-june-2026-android-security-update/
2. Red Hatのnpmパッケージ32本を侵害する「Miasma」サプライチェーン攻撃
-
影響範囲:
@redhat-cloud-services名前空間配下の32パッケージ（合計週8万DL前後） - 概要: 6月1日、Red Hat従業員のGitHubアカウントを足掛かりに、攻撃者が72秒間で32パッケージへ悪性版を一斉公開。preinstallフックでGitHub Actions/npm/クラウドの各種シークレット、Kubernetes・Vault資格情報、SSH鍵などを窃取する自己拡散ワーム挙動を持ちます。TeamPCPの「Mini Shai-Hulud」系TTPと一致。
- 対応策: 当該パッケージの利用有無を即時監査し、preinstallで取得された資格情報を全てローテーション。npmロックファイルとビルドログを精査し、不審なバージョンを除去。
- 参考リンク: https://www.wiz.io/blog/miasma-supply-chain-attack-targeting-redhat-npm-packages
3. DentaQuestから2.6Mユーザー分・234GBが流出、ShinyHuntersが暴露
- 影響範囲: 米歯科・視覚給付管理大手DentaQuestの会員約260万人
- 概要: ShinyHuntersがDentaQuestから234GBを窃取したとして、Q2 2026最大級の医療系漏洩を主張。ヘルス・教育・エネルギーセクター標的の漏洩がQ2全体で増加傾向にあります。
- 対応策: 影響を受けた可能性のあるユーザーは信用情報モニタリング、医療データ詐欺への警戒。企業側は社内Help DeskでのMFAリセット詐欺・なりすまし対策のレビューが推奨されます。
- 参考リンク: https://www.breachsense.com/breaches/2026/june/
4. Microsoft 365 Copilot にCritical RCE「CVE-2026-45497」
- 影響範囲: Microsoft 365 Copilot（クラウド側）
- 概要: コマンドインジェクションに起因するクリティカルなリモートコード実行脆弱性。Microsoft側のクラウドサービスで既に緩和済みのため利用者側のパッチ作業は不要ですが、AIワークロードに対する攻撃面の現実性が示された事例として注目されています。
- 対応策: 利用者側パッチは不要だが、Copilot連携を行うテナント設定・データガバナンスとログ監査の見直しを推奨。
- 参考リンク: https://windowsforum.com/threads/cve-2026-45497-microsoft-365-copilot-critical-rce-no-patch-needed-but-review-risk.422846/
5. Citrix NetScaler のout-of-bounds read「CVE-2026-3055」が大規模に悪用
- 影響範囲: Citrix NetScaler ADC / Gateway
- 概要: CVSS 9.8のout-of-bounds read脆弱性に対する大規模な実環境悪用が確認されています。境界機器の悪用は侵入後の横展開につながりやすく、CitrixBleed系の系譜として警戒が必要。
- 対応策: ベンダー提供の最新ビルドへ即時アップデート。既存セッションの強制ログアウト、IOC（不審なセッション固定・管理者作成）をハント。
- 参考リンク: https://threat-modeling.com/vulnerability-intelligence-report-june-2-2026/
6. WordPress プラグイン「Everest Forms Pro」にCVE-2026-3300（CVSS 9.8）
- 影響範囲: Everest Forms Pro 1.9.12以下を導入した約4,000サイト
- 概要: 1.9.12までの全バージョンに影響するリモートコード実行脆弱性が、実環境で積極的に悪用されています。
- 対応策: 1.9.13以降への直ちのアップデート、不要なら一時的に無効化。WAFルールの追加とWebシェル探索を実施。
- 参考リンク: https://thehackernews.com/search/label/Vulnerability
7. Palo Alto PAN-OS GlobalProtect 認証バイパス「CVE-2026-0257」が公開4日で悪用
- 影響範囲: PAN-OS搭載のGlobalProtectポータル/ゲートウェイ
- 概要: 認証バイパスにより外部から境界機器を直接侵害可能。CISAも警告を発出し、組織のリモートアクセス基盤への影響が懸念されています。
- 対応策: PAN-OSの該当バージョンを直ちにパッチ適用し、GlobalProtect認証ログ・新規VPNユーザー作成を緊急レビュー。可能ならMFAを多層化。
- 参考リンク: https://note.com/clever_chives813/n/nb28eefbc4e63
8. オランダ警察、1,700万台規模の住宅プロキシ型ボットネットC2を押収
- 影響範囲: 世界中の家庭用PC・スマートフォン約1,700万台
- 概要: 住宅IPを正規ユーザーになりすますプロキシとして売買され、フィッシング・DDoS・クレデンシャルスタッフィングの隠れ蓑となっていた巨大ボットネットのC2サーバーが差押え。フロントとして「住宅用プロキシサービス」と称し売られていました。
- 対応策: 個人ユーザーはOS・ルーターのファームウェアを最新化、未使用のUPnP/ポート開放を停止。企業は怪しい住宅IP帯からの認証試行に対するレート制限・ボット検知を強化。
- 参考リンク: https://note.com/clever_chives813/n/nb28eefbc4e63
まとめ
今日はモバイルOS、AI製品、境界VPN、WordPressプラグイン、npmレジストリと、攻撃面が広範に及ぶ一日となりました。特にnpmサプライチェーン経由のシークレット窃取と、境界機器（Citrix / PAN-OS）の即時悪用は、検知前提のクレデンシャル管理と緊急パッチ運用の重要性を改めて示しています。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。