Trivy Compromised: Everything You Need to Know about the Latest Supply Chain Attack ⭐
Severity: 98/100
TeamPCPと名乗る攻撃者がAqua SecurityのTrivyを供給網経由で侵害し、コアscanner、trivy-action、setup-trivyにcredential stealerを混入した。v0.69.4タグやGitHub Actionsのタグが不正に差し替えられ、GitHub Releases、Docker Hub、GHCR、ECRに悪性アーティファクトが公開された。悪性ワークフローはRunner.Workerのメモリからsecretを抽出し、SSH鍵、クラウド認証情報、Kubernetesトークン、暗号資産ウォレットを収集してAES-256-CBCとRSA-4096で暗号化後、scan.aquasecurtiy[.]org、45.148.10.212、plug-tab-protective-relay.trycloudflare.comへ送信した。失敗時はtpcp-docsリポジトリ作成で流出を試み、開発端末ではsystemd永続化も行う。対処としてTrivy v0.69.4と関連Actionsの利用有無を監査し、March 19-20の実行ログを確認し、GitHub ActionsはタグではなくSHA固定が求められる。
Daily Threat Intel - 2026-03-20 ⭐
Severity: 97/100
本号では、Google Threat Intelligence GroupがDarkSwordと呼ぶiOSフルチェーン攻撃を確認し、CVE-2025-31277、CVE-2025-43529、CVE-2026-20700などを連鎖してiOS 18.4〜18.7端末を完全侵害し、商用監視ベンダーや国家支援系とみられる複数攻撃者がサウジアラビア、トルコ、マレーシア、ウクライナを標的にしたと報告した。あわせて、GlassWormによるGitHub、npm、VSCode/OpenVSXをまたぐ供給網侵害、InterlockによるCisco Secure FMCのゼロデイ悪用、ZimbraやSharePointの既知悪用、UniFiのパストラバーサル、Ubuntuのローカル権限昇格など、実運用系プラットフォームへの攻撃が並ぶ。IOCやTTPでは、1クリック誘導、force-push、難読化コード、保存型XSS、未認証RCE、権限昇格が目立つ。対策として、各ベンダーの修正適用、iOS更新とLockdown Mode有効化、関連ドメイン遮断、サポート切れ製品の廃止が挙げられている。
Millions of iPhones can be hacked with a new tool found in the wild ⭐
Severity: 92/100
Google、iVerify、Lookoutは、DarkSwordと呼ばれるiPhone侵害技術がロシア系ハッカーのキャンペーンで実使用されていると公表した。これは感染済みの正規Webサイトに埋め込まれ、訪問したiOS端末を即時かつ静かに侵害する手口で、iOS 18系の複数バージョンに対する2つのエクスプロイトチェーンを含む。影響は最新のiOSには及ばない一方、古いiPhoneを含む多数の端末が対象となり、ウクライナのニュースサイトや政府機関サイト、さらにサウジアラビア、トルコ、マレーシアの被害が確認されている。収集対象はパスワード、写真、iMessage、WhatsApp、Telegramのログ、ブラウザ履歴、Calendar、Notes、Healthアプリのデータ、暗号資産ウォレット認証情報で、感染は再起動で持続しないファイルレス型の“smash-and-grab”とされる。Appleは更新適用とLockdown Modeを案内し、iVerifyとLookoutは検知可能としている。
偽のGitHubページを悪用し新種の情報窃取型マルウェア「BoryptGrab」を配信、Windowsユーザが標的に ⭐
Severity: 92/100
Trend Micro は、ロシア語のコメントやログ、ロシア所在のIPを伴う攻撃キャンペーンを観測し、SEOで上位表示させた偽GitHubリポジトリ経由でWindowsユーザにBoryptGrabを配信していたと報告した。攻撃は偽のダウンロードページからZIPを取得させ、DLLサイドローディング、VBScript、Base64/XOR/AESによる難読化、スケジュールタスクを用いてTunnesshClientやHeaconLoad、Vidar亜種を展開する。BoryptGrabはChromeやFirefoxなど複数ブラウザ、暗号資産ウォレット、Telegram、Discordトークン、パスワード、共通ディレクトリのファイル、スクリーンショット、システム情報を収集し、C2へ送信する。関連IOCとして45.93.20.61:5466、193.143.1.104:5000、45.93.20.195:5000や/api/custom_exe?build=、/api/x32_chromiumが示された。
How CISOs Can Survive the Era of Geopolitical Cyberattacks ⭐
Severity: 86/100
本稿は、イラン系の破壊的攻撃キャンペーンを行うHandala／Void Manticoreを例に、地政学的サイバー攻撃への対処を論じている。攻撃は主に窃取されたVPN認証情報で侵入し、RDP、PowerShell remoting、WMI、SMB、SSHなどの管理系機能を使って手動で横展開し、NetBirdのようなトンネリングツールで秘匿接続を維持する。被害例として、2026年3月にStrykerが攻撃され、世界79か国で業務に影響し、数万台規模の端末が消去されたとされる。対策として、アイデンティティ認識型アクセス制御、管理サービスへのMFA、管理ポートのデフォルト拒否、特権アカウントの利用範囲制限、東西通信の可視化、異常な接続経路やトンネルの検知、そして迅速な隔離とリングフェンシングによる封じ込めが挙げられている。
New ‘Perseus’ Android malware checks user notes for secrets ⭐
Severity: 78/100
ThreatFabricが確認した新しいAndroidマルウェア「Perseus」は、非公式ストアでIPTVアプリを装って配布され、主にトルコとイタリアの金融機関、加えて暗号資産サービスを狙っている。Android Accessibility Servicesを悪用して端末を完全制御し、スクリーンショット取得、UI階層送信、タップや入力の自動化、ブラックスクリーン表示、オーバーレイ攻撃、キー入力記録を行う。特徴的なのは、Google Keep、Samsung Notes、Evernote、OneNoteなどのノートアプリを順に開き、パスワードやリカバリーフレーズ、金融情報を含む個人メモを探索する点で、Androidマルウェアとしては初確認とされる。実行前にはroot、エミュレータ、SIM、ハードウェア、バッテリー、Bluetooth、アプリ数、Google Play Servicesの有無などを検査し、C2へ疑わしさスコアを送る。対策として、疑わしいAPKのサイドロードを避け、正規のGoogle Playからのみ入手し、Play Protectを有効化して定期スキャンすることが挙げられている。
PDF悪用のフィッシング攻撃が急増、検知困難な新手口と対策 ⭐
Severity: 76/100
Security Boulevardは、PDFを起点にしたフィッシングが増加していると指摘した。攻撃者はPDF内のリンク、ボタン、画像、フォーム、QRコード、さらにJavaScriptや文書オブジェクトのURL割り当てを悪用し、企業の書式やロゴを模倣した請求書、支払い確認、契約書、社内通知などで認証情報入力先へ誘導する。標的は企業の従業員や取引先で、窃取情報はアカウント乗っ取り、内部情報閲覧、金銭詐取、個人情報悪用に流用され、被害が連鎖する。PDF内リンクの難読化やQRコードの画像埋め込み、一時的に無害化した誘導先を後から悪性化させる手口により自動検知は困難とされる。対策として、送信元認証、仮想環境での添付解析、URLのリアルタイム判定、従業員教育、疑わしいメールの迅速な報告が挙げられている。
[tl;dr sec] #320 - Ramp’s Security Agents, How Datadog Caught Malicious OSS Contributions, Obliterating Model Refusals ⭐
Severity: 74/100
Datadogは、OSSリポジトリへの悪意ある貢献を試みたAIエージェント「hackerbot-claw」をBewAIreで検知し、GitHub Actionsを狙った攻撃を分析した。攻撃者はファイル名経由のコマンドインジェクションで一部ワークフローでコード実行に成功したが、組織全体のGitHub rulesetsによるmainブランチへの直接push禁止、GITHUB_TOKEN権限の制限、機密シークレットを置かない設計により、影響は保護対象外ブランチへの無害なコミットに抑えられた。記事は、OSSリポジトリとGitHub Actionsに対する防御の層を厚くし、悪意あるPRをLLM支援レビューで早期に見つける重要性を示している。
GSocket Backdoor Delivered Through Bash Script - SANS ISC ⭐
Severity: 64/100
SANS ISCは、出所不明の悪意あるBashスクリプトがGSocket/gs-netcatを用いるバックドアを配布すると報告した。スクリプトはLinuxやmacOSを含むUNIX系で動作し、GSocketのリレー網経由で通信する。永続化にはcronジョブと .profile への追記を使い、実体を .ssh/putty に置き、GSocketの共有秘密鍵を偽のSSH鍵ファイル id_rsa に保存する。さらに、ファイル操作のタイムスタンプを記録して復元する仕組みで変更痕跡を隠す抗フォレンジック手法を実装している。IOCとして、BashスクリプトのSHA256 6ce69f0a0db6c5e1479d2b05fb361846957f5ad8170f5e43c7d66928a43f3286 と、gs-netcat本体のSHA256 d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa が示された。
AI Conundrum: Why MCP Security Can’t Be Patched Away ⭐
Severity: 62/100
Netskopeの研究者Gianpietro Cutolo氏は、MCPを介してLLMが外部データやサービスに接続すると、単なる応答生成ではなく実際の操作を実行するため、従来の防御では扱えない構造的リスクが生じると指摘した。攻撃手法としては、メールや文書に悪性命令を紛れ込ませる間接的プロンプトインジェクション、MCPサーバーのツール説明や入力要件に命令を埋め込むtool poisoning、既存サーバーが悪意ある更新で改変されるrug pullが挙げられた。影響範囲は、メール、Jira、Google Drive、ローカルファイルなどに接続された企業向けLLM環境で、ファイル流出や代理送信などの不正動作が起こり得る。対策として、私用・公開データの分離、命令らしいパターンや隠し文字の検査、重要操作での人手確認、MCPサーバーの棚卸しと最小権限、全トラフィックの記録、挙動ベースラインの作成、導入前のツールメタデータ検査が挙げられた。
You have to invite them in ⭐
Severity: 60/100
Talosは、攻撃者が正面突破よりも「正規利用者として招き入れられる」ことを狙う傾向が強まっていると指摘した。手口としては、ITサポートや信頼できるベンダーを装ってMFAのワンタイムコードを電話で聞き出すソーシャルエンジニアリングや、正規ログインページを中継してコードを奪うadversary-in-the-middle型フィッシングが挙げられる。2025年にはMFAスプレー攻撃の約3分の1がIAMアプリを狙い、偽のデバイス登録イベントも178%増加した。別項では、Strykerへの最近の攻撃は医療分野全体を狙う体系的変化ではなく機会的侵害の可能性が高いとしつつ、イランでの軍事行動に伴い破壊的活動の脅威環境は依然高いと述べた。対策として、計画・準備・検知・対応の見直し、堅牢なパッチ適用、EOS/EOL機器の可視化と更新計画、遠隔アクセスおよび重要サービスへのMFA強制、外部公開機器のRCE/DoS修正の優先適用を求めている。
TrendAI™、国際的な法執行機関の取り組みを支援 ⭐
Severity: 60/100
国際的なサイバー犯罪組織に対し、TrendAI™とTrend MicroのリサーチャーがINTERPOLのOperation Synergia IIIを支援した。対象はロマンス詐欺、セクストーション、ビジネスメール詐欺、投資詐欺、偽のカジノを装うフィッシング、融資詐欺、求人詐欺などで、45,000件超の悪意あるIPアドレスとサーバが無力化された。結果として容疑者94名が逮捕され、110名が捜査中、電子機器とサーバ212台が押収された。TrendAI™は、フィッシングページやマルウェア配信、C2に使われるインフラを特定するため、ドメイン、IPアドレス、WHOIS情報、ISPリストを精査し、実在人物や犯罪ネットワークとの関連付けを行った。記事は、INTERPOLや業界パートナーとの継続的連携によるインフラの特定と無力化を重要な対応として示している。
Redefining identity security for the modern enterprise ⭐
Severity: 38/100
Microsoftは、現代の企業ではアイデンティティが侵入後の横展開と権限昇格の主要経路であるとして、Defender XDRのIdentity Securityを拡張すると発表した。新機能では、Kerberosの活動をETWで可視化し、改ざんや偽造の疑いがあるチケットをより正確に検知する「Possible golden ticket attack (suspicious ticket)」を一般提供したほか、Entra ID同期アプリを狙う異常、Entra/Intuneでの不審なデバイス登録・参加、OAuth Authorization Flowを悪用するブラウザ攻撃「ConsentFix」などの検知を追加した。対象はActive Directory、Entra ID、SaaS、クラウド、非人間IDを含む広範なハイブリッド環境である。対策として、統合リスクスコアを条件付きアクセスに反映する仕組み、Security Copilotによる自律的トリアージ、RemoteOpsとRemote Registryのハードニング、予測的シールドによるリアルタイム防御を挙げている。
With Government’s Role Uncertain, Businesses Unite to Combat Fraud ⭐
Severity: 34/100
複数の大手企業は、政府の関与が不透明な中で、オンライン詐欺と不正対策を強化するための業界協定に署名した。Google、OpenAI、Microsoft、Adobe、Amazon、Meta、LinkedIn、Pinterest、Target、Levi Straussなど11社が参加し、世界中の何十億人もの利用者に影響する詐欺への対応として、脅威インテリジェンスと知見の共有、強固な対策の実装に取り組む。記事では、詐欺手口としてクレデンシャルスタッフィング、偽広告、フィッシング、ギフトカード詐欺、ロマンス詐欺が挙げられた。協定は予防、協力と共同学習、レジリエンス、利用者啓発を柱とし、政府には scam prevention を国家優先事項とし、資金、法執行支援、暗号資産追跡能力、報告基盤の近代化を求めている。
Secure access in the age of AI: Key findings from our 2026 Report ⭐
Severity: 18/100
Microsoftの調査報告で、AI活用の拡大に伴いアクセス環境が複雑化し、既存の管理モデルに負荷がかかっていると指摘している。脅威の特徴として、AIツールやエージェントが新たなID、権限、アクセス経路を生み、AI支援型フィッシングやエージェントの権限昇格が実際の脅威として現れている。調査では、過去1年に97%の組織がIDまたはネットワークアクセスのインシデントを経験し、その70%がAI関連だった。多くの組織は平均5つのIDソリューションと4つのネットワークアクセスソリューションを併用し、ベンダー分散と可視性不足が問題化している。対策として、IDを一貫した判断点とするaccess fabric、ツール統合、リアルタイムに近いポリシー適用、エンドツーエンドの信号共有、より少ない統合的なアクセス基盤への移行が挙げられている。
Microsoft Entra innovations announced at RSAC 2026 ⭐
Severity: 12/100
特定の脅威アクターや侵害事例は示されていないが、MicrosoftはRSAC 2026で、AI時代のIDとアクセス保護を強化するMicrosoft Entraの新機能を発表した。対象は従業員、ワークロード、AIエージェント、マルチテナント環境で、影響範囲はクラウドとハイブリッド全体に及ぶ。主な技術要素として、Entra Agent IDによるエージェントID保護、Shadow AI検出、Prompt injection protection、Conditional Access、パスキー、外部MFA、適応的リスク修復、Tenant Governance、Backup and Recovery、クロステナントグループ同期、統合リスク分析が挙げられる。記事では、未承認AIの監視と制御、悪意あるプロンプトの遮断、フィッシング耐性のある認証の展開、最小権限化、テナント設定の継続的ガバナンス、重要IDオブジェクトの復旧能力確保を推奨している。
Zero Trust Purdue Model: What It Is and Why OT Needs It ⭐
Severity: 5/100
本記事はZscalerによるOTセキュリティ解説で、Purdue Modelを維持しつつZero Trustで近代化する考え方を提示している。対象は工場などの製造環境で、IT/OTの境界が事実上なくなり、クラウドや企業ITと接続する機会が増えたことで、従来の前提が崩れていると指摘する。ファイアウォール、VLAN、NACは北南通信には有効でも、工場内の東西通信やレガシー機器を十分に制御できず、横展開を許しやすい。AIにより偵察、脆弱性探索、ネットワーク列挙、横展開、情報流出が高速化している点も挙げる。対策として、個々の資産単位のセグメンテーション、VPNの代替となるブラウザベースの特権アクセス、外向き通信の保護、デコイを用いた欺瞞技術を紹介している。
RSA 2026: What’s new in Microsoft Defender? ⭐
Severity: 3/100
MicrosoftはRSA 2026で、Microsoft DefenderとSecurity Copilotの機能拡張を発表した。脅威アクターや具体的な侵害事例の記載はないが、対象はID、Teams、マルチクラウド、コンテナ、AIモデルまで広がる。IDセキュリティでは新たなID固有検知、全アカウントとID種別を横断する統合リスクスコア、可視化を集約するダッシュボードを追加し、Security Alert Triage AgentをIDアラートへ拡張する。Predictive shieldingによりRemoteOps hardeningとRemote Registry hardeningを用いて、資格情報やトークンを起点とするピボットや横展開の阻止を狙う。Teamsでは音声ベースのソーシャルエンジニアリングを検知し、通話中警告、Advanced Hunting、脅威/ポスチャー可視化を提供する。
Post-Quantum Web Could be Safer, Faster ⭐
Severity: 2/100
本記事は、GoogleやCloudflareなどの主要インターネット基盤事業者が、量子耐性のあるHTTPS実装としてIETF草案のMerkle tree certificates（MTCs）を試験していると伝える。従来のTLSでは、ML-KEMは「store now, decrypt later」対策に有効だが、将来のCRQC出現後にはサイトなりすましを防げず、ML-DSAは証明書チェーンの肥大化により帯域と遅延を増やし、WAF、ロードバランサ、IDSなどのmiddle boxで不具合を起こし得る。Cloudflareの測定では、通常の接続は3.1KBだがML-DSAでは14.7KB、MTCsでは約840バイトとされ、ChromeはMTCs支持に向けた検証を進めている。移行には最新のWebサーバ利用、ソフトウェア更新、相互運用性の検証が必要とされる。
What’s new in Microsoft Sentinel: RSAC 2026 ⭐
Severity: 1/100
本記事はMicrosoft SentinelのRSAC 2026向け更新であり、特定の攻撃者や脆弱性を扱っていない。対象はSentinelを利用する企業SOC、MSSP、パートナーで、AI駆動のplaybook generator、GDAPと統合RBAC、行レベルRBAC、データフェデレーション、データコネクタ拡充、データフィルタリング/分割、ワークブックのデータレイク直接利用、カスタムgraph、MCP entity analyzer、Threat Intelligence Briefing AgentのCVEs of interestなどが紹介された。技術面ではKQL、GQL、MCP、Fabric連携、GitHub audit logやGKE、A365 Observabilityなどのコネクタが挙げられ、分析の迅速化、可視性向上、アクセス制御の精緻化、コスト最適化を狙う内容となっている。
Agentic Use Cases for Developers on the Microsoft Sentinel Platform ⭐
Severity: 1/100
Microsoft は、Security Copilot エージェントを Microsoft Sentinel プラットフォーム上で構築するための代表的なユースケースを整理している。内容は、ID/アクセス、バックアップと復旧、ネットワークと接続性、エンドポイントと実行時挙動、露出と悪用可能性、脅威インテリジェンスと敵対者コンテキストの6分野で、インシデントやエンティティ、KQL、各種コネクタ、補強・相関ロジックを組み合わせて調査と対応を自動化する流れを示す。各例では、サインイン異常、バックアップ脅威、疑わしい接続、PowerShell 実行、露出評価、ATT&CK と IOC の照合を通じて、証拠に基づく判断と推奨対処を生成する。
Security Copilot in Defender: empowering the SOC with assistive and autonomous AI ⭐
Severity: 0/100
MicrosoftはRSA Conference 2026に合わせ、Security CopilotをMicrosoft Defenderに拡張し、SOC向けの自律型AIと支援型AIを強化すると発表した。Security Alert Triage Agentはフィッシング、ID、クラウドのアラートを自然言語の判断と段階的な推論で自律的にトリアージし、IDではパスワードスプレーやBEC関連の不審な受信トレイルール、クラウドでは30種超のコンテナ関連アラートに対応する。Security Analyst AgentはDefenderとSentinelのテレメトリを対象に最大約100MBのデータを相関し、多段階の調査で高優先リスクを抽出する。さらにDefender内のチャットでインシデント、アラート、ID、デバイス、IPなどを横断して対話的に調査でき、第三者Agentとの連携ではXBOWのPentest Analysis Agentが脆弱性の悪用可能性評価を支援するとしている。
CISA orders feds to patch max-severity Cisco flaw by Sunday
Severity: 98/100
CISAは、Cisco Secure Firewall Management CenterのCVE-2026-20131について、Interlockランサムウェア系の脅威アクターによる悪用が確認されているとして、連邦民間行政部門機関に3月22日までの修正を命じた。脆弱性はWebベース管理画面の不正なデシリアライズに起因し、認証不要のリモート攻撃者が細工したJavaシリアライズオブジェクトを送ることで、影響機器上でroot権限の任意Javaコード実行が可能となる。Ciscoは3月4日に修正を公開し、回避策はないと案内した。Amazonの脅威情報では、同脆弱性は少なくとも1月末からゼロデイとして使われ、CISAはKEVに追加してRansomware campaignsでの既知悪用と位置付けた。
Critical Microsoft SharePoint flaw now exploited in attacks
Severity: 96/100
CISAは、1月に修正されたMicrosoft SharePointの重大脆弱性CVE-2026-20963が攻撃で悪用されていると警告した。対象はSharePoint Enterprise Server 2016、2019、Subscription Editionで、SharePoint Server 2007、2010、2013も影響を受けるがサポート終了済みである。未認証の攻撃者は、信頼できないデータのデシリアライズ欠陥を悪用して、未修正サーバー上で権限なしのリモートコード実行を行える。Microsoftはネットワークベースの低複雑度攻撃で任意コードを注入・実行できると説明し、CISAはKEVに追加してFCEB機関に3月21日までの対処を命じた。対策として、パッチ適用、サポート版への移行、ベンダー指示に従う緩和策の適用、緩和策がない場合の利用停止が挙げられた。
Max severity Ubiquiti UniFi flaw may allow account takeover
Severity: 93/100
UbiquitiはUniFi Network Applicationの脆弱性2件を修正した。CVE-2026-22557は10.1.85以前に影響する権限不要のパストラバーサルで、ネットワーク上からファイルへアクセスし、低複雑度かつ非対話型の攻撃でユーザーアカウント乗っ取りにつながる可能性がある。別の認証済みNoSQLインジェクションは、低権限の攻撃者による権限昇格を可能にする。影響範囲はUniFi Network管理基盤で、Censysは約29,000のインターネット公開エンドポイントを追跡しており、その大半は米国にある。Ubiquitiは10.1.89以降への更新を案内している。
FBI seizes Handala data leak site after Stryker cyberattack
Severity: 93/100
FBIは、イラン関連の親パレスチナ系ハクティビスト集団Handala（Handala Hack Team/Hatef/Hamsa）の2つのクレアネットドメイン、handala-redwanted[.]to と handala-hack[.]to を押収した。これは、同グループが医療技術大手Strykerに対して破壊的攻撃を行い、約8万台の端末を消去した事案を受けた措置である。記事によれば、攻撃者はWindowsのドメイン管理者アカウントを侵害し、新たなGlobal Administratorアカウントを作成した上で、Microsoft Intuneのwipeコマンドを使ってPCやモバイル端末を初期化した。ドメインのネームサーバーは ns1.fbi.seized.gov と ns2.fbi.seized.gov に変更されている。MicrosoftとCISAは、同種攻撃を防ぐためWindowsドメインの強化とIntuneの保護に関する指針を公表した。
Russian hackers exploit Zimbra flaw in Ukrainian govt attacks
Severity: 92/100
ロシア軍情報機関GRUに関連付けられたAPT28が、ウクライナ政府機関を狙う攻撃でZimbra Collaboration Suiteの脆弱性CVE-2025-66376を悪用している。これは認証不要で悪用可能な保存型XSSで、脆弱なZimbra Webmailでメールを開くとRCEに至り、Zimbraサーバーと対象のメールアカウントが侵害される。攻撃はOperation GhostMailと呼ばれ、ウクライナ国家水文庁が標的の一つだった。悪意あるメールには添付ファイルやリンク、マクロはなく、HTML本文内の難読化JavaScriptだけで成立する。スクリプトは資格情報、セッショントークン、バックアップ2FAコード、ブラウザ保存パスワード、直近90日分のメールを収集し、DNSとHTTPSで持ち出す。CISAは同脆弱性を既知悪用脆弱性カタログに追加し、連邦民間行政機関に2週間以内の保護を求めた。
New ‘PolyShell’ flaw allows unauthenticated RCE on Magento e-stores
Severity: 92/100
Sansecが新たに「PolyShell」と名付けた脆弱性を公表し、Magento Open SourceおよびAdobe Commerceのstable版2系インストール全般に影響すると報告した。MagentoのREST APIがカート商品オプションの一部としてファイルアップロードを受け付ける実装に起因し、file型オプションのembedded file_infoにbase64化されたファイルデータ、MIME type、ファイル名が含まれる。環境によっては、この欠陥により認証不要のRCE、または保存型XSS経由のアカウント乗っ取りが可能で、Sansecが調査した多くのストアに影響が及ぶ。ポリグロットファイルを用いる手法で、アップロードディレクトリの公開設定が鍵となる。現時点で野生での悪用確認はないが、攻撃手法は流通しており自動化攻撃の開始が予想される。対処として、pub/media/custom_options/へのアクセス制限、nginx/Apacheの保護設定確認、アップロード済みシェルやバックドア、その他マルウェアのスキャンが求められている。
Feds Disrupt IoT Botnets Behind Huge DDoS Attacks
Severity: 92/100
米司法省とカナダ、ドイツ当局は、Aisuru、Kimwolf、JackSkid、Mossadの4つのIoTボットネットのオンライン基盤を解体した。運用者は特定されていないが、当局はこれらがルータやWebカメラなど300万台超のIoT機器を侵害し、近時の記録的なDDoS攻撃を実行していたと説明した。DCISはDoD所有のIPアドレスを狙った攻撃に関与した複数の米国登録ドメイン、仮想サーバー、その他のインフラを押収し、FBIアンカレッジも捜査を支援した。Aisuruは200,000回超、JackSkidは少なくとも90,000回、Kimwolfは25,000回超、Mossadは約1,000回の攻撃命令を発したとされる。Kimwolfは内部ネットワーク内の機器も狙う新しい拡散手法を用い、Synthientが2026年1月2日にその脆弱性を公表して拡散抑制に寄与した。
International joint action disrupts world’s largest DDoS botnets
Severity: 91/100
米独加の当局は、Aisuru、KimWolf、JackSkid、Mossadの各ボットネットに関連するC2基盤を停止し、IoT機器への感染拡大を狙う通信を妨害した。これらは世界中の被害者に対して大量のDDoS攻撃を実行し、国防総省情報ネットワークのIPアドレスも標的に含まれていた。Aisuruは12月に31.4Tbps・2億rpsの攻撃、過去には29.7Tbps、Microsoftが同系統とした事案では15.72Tbpsを記録した。四つのボットネットは合計300万台超のIoT機器を感染させ、IPカメラ、DVR、Wi‑Fiルーターを含んでいた。運用者はサイバー犯罪サービスとしてアクセスを販売し、継続的なDDoS命令送信を行っていた。
CISA urges US orgs to secure Microsoft Intune systems after Stryker breach
Severity: 90/100
CISAは、米国の医療技術企業Strykerへの侵害を受け、Microsoft Intuneを含むエンドポイント管理基盤の強化を米国組織に呼びかけた。攻撃を主張したのは、イラン関連とされる親パレスチナのハクティビスト集団Handalaで、管理者アカウントを侵害した後に新しいGlobal Administratorアカウントを作成し、Intuneの組み込みwipeコマンドを悪用したとされる。報道では、約50TBのデータ窃取と、3月11日に約8万台の端末が消去されたとされる。CISAとMicrosoftは、RBACによる最小権限化、MFAとConditional Accessやリスクシグナルを含む特権アクセス管理、多管理者承認を用いた端末消去やRBAC変更の統制を推奨している。
Multiple Privilege Escalation Vulnerabilities in Arturia Software Center MacOS
Severity: 83/100
SEC Consultは、Arturia Software Center MacOS 2.12.0.3157 に複数の権限昇格脆弱性を報告した。CVE-2026-24062 は Privileged Helper が XPC 接続元のコード署名検証を十分に行わず、任意プロセスがヘルパーに接続して特権操作を実行できる問題である。CVE-2026-24063 は、プラグイン導入時に root 所有パスへ配置される uninstall.sh が 777 で書き込まれ、アンインストール時に root として実行されるため、改ざんで権限昇格につながる問題である。例として /Library/Arturia/ のシンボリックリンク操作や /Library/Arturia/Acid V/Acid V.vst3/Contents/Resources/uninstall.sh の実行が示されている。対象は Mac 上の Arturia Software Center と関連プラグインで、公開時点でパッチはなく、ワークアラウンドも提示されていない。
Bitrefill blames North Korean Lazarus group for cyberattack
Severity: 79/100
Bitrefillは、3月初旬の侵害について北朝鮮系Lazarus、特にBluenoroff（APT38）による攻撃の可能性が高いと説明した。調査では、過去のDPRK系攻撃と一致する戦術、マルウェア、IPおよびメールアドレス、オンチェーントレース、再利用されたIP/メールの痕跡が確認された。侵入は従業員のコンピューターの侵害から始まり、レガシー認証情報の窃取、プロダクション秘密情報のスナップショットへのアクセス、さらに社内基盤、データベース、暗号資産ウォレットへの権限拡大へ進んだ。Bitrefillのサイトとアプリは一時停止され、約18,500件の購入記録と1,000件分の氏名が露出したが、ユーザーバランスは影響を受けなかった。現在はセキュリティレビュー、ペンテスト、アクセス制御、ログ監視、緊急停止機構の強化を進めている。
Multiple vulnerabilities in PEGA Infinity platform
Severity: 72/100
SEC Consultは、PEGA Infinity Platformに2件の脆弱性を報告した。CVE-2025-62181はログインフォームのブルートフォース対策が弱く、同一パスワードを多数のユーザーに試すパスワードスプレーと、応答時間差を利用したユーザー名列挙を許す。CVE-2025-9559はIDORにより、認可不備を伴って他ユーザーの画像ファイルを直接参照できる。影響範囲はPega Platform 7.1.0からInfinity 25.1.0、または8.7.5からInfinity 24.2.2までで、公開PoCでは1分未満に8,000件の失敗試行と、ファイル名推測による画像取得が示された。ベンダーはCVE-2025-62181に24.1.4、24.2.4、25.1.1 patch、CVE-2025-9559に24.2.3を提示し、即時適用を推奨している。回避策は示されていない。
Aura confirms data breach exposing 900,000 marketing contacts
Severity: 68/100
身代金要求型の脅迫で知られるShinyHuntersが関与を主張した一方、Auraは、従業員を狙ったボイスフィッシングにより不正アクセスが発生したと確認した。侵害されたのは、2021年に買収した企業のマーケティングツール由来の記録で、約90万件の名前とメールアドレスが含まれ、20,000人の現顧客と15,000人の元顧客に関連する住所、電話番号、顧客対応メモ、IPアドレスも露出した。SSN、パスワード、金融情報は含まれていない。Auraは外部のサイバーセキュリティ専門家と内部調査を進め、法執行機関へ通報し、影響を受けた個人へ個別通知を送るとしている。
Navia discloses data breach impacting 2.7 million people
Severity: 68/100
Navia Benefit Solutionsは、攻撃者を特定していないデータ侵害を公表した。調査では、2025年12月22日から2026年1月15日まで不正な主体が同社システムへアクセスし、1月23日に疑わしい活動を検知した。影響は約270万人に及び、氏名、生年月日、SSN、電話番号、メールアドレス、HRA、FSA、COBRAの参加・加入情報が取得された可能性がある。請求情報や金融情報は露出していないとしている。Naviaは連邦法執行機関へ通報し、セキュリティ態勢とデータ保持方針を見直したほか、対象者に12か月の本人確認保護と信用監視を提供し、該当者には不正利用警戒と信用凍結の検討を案内した。
Just a moment…
Severity: 66/100
Interlock ransomware が Cisco のエンタープライズ・ファイアウォールを標的としていると伝える記事で、攻撃対象は Cisco 製ファイアウォールを利用する企業環境に及ぶ。公開された見出しからは、特定の脆弱性名、侵入手口、IOC、TTP、MITRE ATT&CK の対応付け、緩和策の詳細までは確認できない。境界機器を狙うランサムウェア活動としての位置づけのみが示される。
Ex-data analyst stole company data in $2.5M extortion scheme
Severity: 63/100
北カロライナ州の元データ分析契約者 Cameron Curry（別名Loot）が、在職中にBrightly Softwareの給与情報や社内データへのアクセスを悪用し、機密文書と従業員のPIIを窃取して脅迫した。標的は米DC拠点のSaaS企業Brightlyで、従業員名、生年月日、自宅住所、報酬情報を含むスプレッドシートのスクリーンショットを添付し、2023年8月から12月に盗んだ情報を漏えいさせると警告した。12月10日の契約終了後、lootsoftware@outlook.com から60通超の恐喝メールを送信し、2.5百万ドルを要求、SECへの未報告通告も示唆した。Brightlyはビットコイン7,540ドルを支払ったが、FBIが1月24日に自宅を捜索し電子機器を押収した。
警察庁が詐欺対策アプリを初認定 - 「詐欺対策 by NTTタウンページ」など
Severity: 62/100
警察庁は特殊詐欺の増加を受け、携帯電話用の「警察庁推奨制度」を導入し、NTTタウンページとトビラシステムズの「詐欺対策 by NTTタウンページ」と、トレンドマイクロの「トレンドマイクロ詐欺バスターLite」を初認定した。記事では、特殊詐欺被害額が令和7年中に約1414億円へ急増し、若年層や携帯電話を使う偽警察詐欺にも被害が広がっていると説明する。該当アプリは、警察庁が把握する特殊詐欺に使用された番号情報と独自DBを用い、着信時の警告・遮断、発信時の注意喚起、詐欺関連の防犯情報通知を提供する。無料提供で、App StoreとGoogle Playから入手可能とされる。
APPLE-SA-03-17-2026-1 Background Security Improvements for iOS 26.3.1, iPadOS 26.3.1, macOS 26.3.1, and macOS 26.3.2
Severity: 60/100
AppleはiOS 26.3.1、iPadOS 26.3.1、macOS 26.3.1/26.3.2向けにWebKitの背景セキュリティ改善を公開した。悪意あるWebコンテンツによりSame Origin Policyを回避できる問題で、Navigation APIのクロスオリジン不備を入力検証強化で修正した。対象は上記OS上のWebKitで、CVE-2026-20643、WebKit Bugzilla 306050として公開され、Thomas Espachが報告した。Appleは該当版への更新を案内している。
Interesting Message Stored in Cowrie Logs - SANS ISC
Severity: 43/100
本件は、DShield の Cowrie ログで確認されたボット活動の記録で、攻撃者属性は明示されていないが、ログ内には「iranbot_was_here」を含むメッセージが残されていた。少なくとも 2026-02-19 に複数センサーで検知され、送信元 64.89.161.198 から 2026-01-30 〜 02-22 にかけてポートスキャン、Telnet(TCP/23) での成功ログイン、Web アクセスが観測された。2 回の Telnet ログイン後、19 日にはシェルスクリプトがアップロードされ、IoT 機器と 64-bit Linux システムの悪用を試みた。IOC として 64.89.161.198、188.214.30.5、http[:]//188.214.30.5/r.sh、SHA-256 f1c0e109640d154246d27ff05074365740e994f142ef9846634bec7b18e3b715 が示されている。
Hacktivist campaigns increase as United States, Iran, and Israel conflict intensifies
Severity: 42/100
Sophos CTUは、2月28日の米国・イスラエルによる対イラン攻撃後、Telegram、X、地下フォーラム上でイラン系ハクティビストの発信が増加していると報告した。Handala Hack Team、APTIran、Cyber Toufan、Cyber Support Front、Iranian Avenger、Cyb3r Drag0nz、BaqiyatLockなどが活動を活発化させ、イスラエル政府・軍・関連組織への攻撃や報復を扇動している。手口は主にWeb改ざん、DDoS、個人のドキシング、情報操作で、Israeli critical infrastructure や water control への侵害を主張する投稿もあるが、現時点で多くは未検証で、影響は限定的とされる。CTUは、フィッシング、パスワードスプレー、公開脆弱性の悪用に警戒し、インターネット露出サービスの最小化、KEV掲載脆弱性の迅速な修正、AV/EDRの維持、BCPと復旧手順の確認を推奨している。
サムスン製Windows 11 PCで「Cドライブにアクセスできない」不具合、Microsoftが復旧手順を公開
Severity: 32/100
Microsoftは、Samsung Galaxy ConnectまたはSamsung Continuity Serviceの権限設定が原因で、サムスン製Windows 11 PCでCドライブにアクセスできなくなる不具合への復旧手順を公開した。影響端末では「C:\ is not accessible – Access denied」が表示され、Outlook、Office、Webブラウザ、システムユーティリティ、クイックアシストなどの起動が阻害される。復旧には、該当アプリのアンインストール後にCドライブの権限を修復し、所有者をTrustedInstallerに戻す必要がある。Microsoftは管理者権限で実施する26ステップの手順を案内しており、手順完了後も解消しない場合はSamsungサポートへの問い合わせを推奨している。
Musician admits to $10M streaming royalty fraud using AI bots
Severity: 30/100
ノースカロライナ州のミュージシャン、Michael Smithが、共謀者から入手したAI生成楽曲をSpotify、Apple Music、Amazon Music、YouTube Musicに大量投入し、AIボットで数十億回再生させて1000万ドル超のロイヤルティを不正取得したとして有罪を認めた。2017年から2024年にかけて、未詳の音楽プロモーターとAI音楽企業のCEOと連携し、検知回避のためVPNを利用した。ピーク時には1000超のボットアカウントと52件のクラウドサービスアカウント配下の各20ボットを運用し、1日約66万1440回の再生を見込むと自ら試算していた。検察は2019年以降で40億回超の再生と1200万ドル相当の収益に言及している。
Just a moment…
Severity: 28/100
記事は、EUが中国およびイランに関係する企業を、サイバー攻撃への関与を理由に制裁対象に加えたと伝えている。特定の脅威アクターや攻撃手法の詳細は示されていないが、国家レベルの対立を背景にした制裁措置として位置付けられている。影響対象は個別の被害組織というより、制裁を受けた企業群と、その活動に関連するサイバー作戦全般である。IOCやMITRE ATT&CKの具体的な記載はなく、技術的なTTPも本文からは確認できない。記事中で明示された緩和策や対応手順もないため、主眼は攻撃対策というより政治的・経済的な圧力措置にある。
Police take down 373,000 fake CSAM sites in Operation Alice
Severity: 22/100
国際的な法執行機関によるOperation Aliceが、ドイツ主導・Europol支援のもと、中国在住の35歳の容疑者が運営した「Alice with Violence CP」を摘発した。対象はダークウェブ上の373,000超の偽CSAMサイトで、CSAMパッケージの販売を装い、盗難クレジットカード情報や侵害済みシステムへのアクセスなどのサイバー犯罪サービスも宣伝していた。サイトはプレビューで利用者を誘導し、メールアドレス入力とBitcoinでのEUR 17～250支払いを求めたが、実際の配布はなかった。約10,000人が合計約40万ドルを支払い、当局は23か国で440人を特定し、そのうち100人を捜査中としている。ピーク時のインフラは287台のサーバーで、そのうち105台はドイツにあり、全て押収された。ドイツ当局は中国の運営者に対して国際逮捕状を発行した。
Androidの仕様変更でアクセシビリティ制限、既存アプリに影響広がる可能性
Severity: 20/100
Malwarebytesによると、GoogleはAndroid 17 Beta 2でアクセシビリティーサービスの利用制限を導入した。高度な保護機能モード（AAPM）有効時は、アクセシビリティツールに分類されないアプリからのAPI利用を禁止し、対象外アプリの許可は自動的に取り消される。画面操作の取得や入力監視に悪用されてきたアクセシビリティAPIへの対策だが、正当な用途で同機能を使う既存アプリにも影響し、設定次第で機能が失われる可能性がある。Googleは影響を受ける開発者に対し、Android 17.2正式版までに代替手段への移行を検討するよう求めている。
Microsoft: March Windows updates break Teams, OneDrive sign-ins
Severity: 5/100
Microsoftは、3月のWindows 11累積更新KB5079473適用後に、Microsoftアカウントを使うサインイン処理がTeams、OneDrive、Microsoft Edge、Excel、Word、Microsoft 365 Copilotなどで失敗する不具合を確認した。影響を受けた端末では、実際には接続されていても「インターネットに接続する必要があります。接続されていないようです」という警告が表示される。影響範囲はMicrosoftアカウントによる認証に限られ、Entra IDを使う業務環境は対象外とされる。Microsoftは、端末が特定のネットワーク接続状態に入ると発生し、自然に解消する場合があるとしている。暫定対処として、インターネット接続を維持したままPCを再起動するよう案内しており、オフラインで再起動すると再発する可能性がある。
Extending App Assure’s Sentinel Promise through the Sentinel Advisory Service
Severity: 5/100
MicrosoftはApp AssureのSentinel Promiseを拡張し、Microsoft SentinelとSentinel data lake上でコネクタやエージェント型AIのセキュリティソリューションを構築するソフトウェア企業向けに、Sentinel Advisory Serviceを発表した。対象は既存コネクタの強化やデータモデル設計、AI駆動の分析活用を進める開発者で、技術ワークショップ、アドバイザリ、コードサンプル、設計レビュー、break/fix支援とMicrosoftエンジニアへのエスカレーションを無償で提供する。記事ではZscaler、Tanium、RSA、Upwindとの初期連携例が挙げられ、Security Copilot向けの統合や、データレイクを使った相関分析、トリアージ、管理者脅威対応の改善が示されている。
Native Launches With Security Control Plane for Multicloud
Severity: 3/100
Nativeは、AWS、Microsoft Azure、Google Cloud、Oracle Cloud Infrastructureを横断してセキュリティ意図を各クラウドのネイティブ制御へ変換し、統一的に適用するマルチクラウド向けセキュリティ・コントロールプレーンを公開した。記事では、AIによる脆弱性発見と悪用の加速、ゼロデイ悪用の増加を背景に、企業がクラウド環境へセキュリティを組み込む必要性が高まっていると説明している。Nativeは、組織が定義したポリシーをプロバイダー固有の設定に落とし込み、実環境へ反映することで、クラウドごとにばらつく制御を抑える狙いを示した。金融、テクノロジー、メディア分野の組織で利用されており、適用前の影響シミュレーション、段階的なロールアウト、承認ワークフローも備える。
How Granular Delegated Admin Privileges (GDAP) allows Sentinel customers to delegate access
Severity: 3/100
Microsoft は、Microsoft Sentinel と Defender の統合運用に向けて、GDAP を全 Sentinel/Defender 顧客に拡張し、非 CSP 組織も含めた委任アクセスを提供すると発表した。対象は MSSP と複数テナントを運用する企業で、公開プレビューは 2026 年 4 月予定。アクセス確立は、被管理テナントが関係を開始し、管理テナントが MTO ポータルから権限付き要求を送信し、被管理テナントが最終承認する三段階のハンドシェイクで行われる。GDAP は Entra ID のロールと Unified RBAC のカスタム権限を用いて、テナント境界をまたぐ可視性と制御を維持しつつ、Defender ポータル上で Sentinel の委任管理を可能にする。従来 Azure Lighthouse で扱っていた Sentinel の委任アクセスを、Defender ポータルで統合管理できる点が強調されている。
Microsoft Sentinel is now supported in Unified RBAC with row-level access
Severity: 1/100
MicrosoftはMicrosoft SentinelのPublic Previewとして、Unified RBAC（URBAC）と行レベルのスコープ機能を発表した。DefenderポータルからSentinel権限を一元管理でき、既存ロールのインポートや将来のデータソース自動包含にも対応する。行レベルでは、スコープタグを作成してユーザーやグループに割り当て、Table ManagementでKQLベースのルールによりテーブル行へタグ付けすることで、各チームが共有環境内でも自分の範囲のデータのみを扱える。対象はアラート、インシデント、ハンティング、Sentinel lakeで、最新の取り込みデータにのみ適用され、過去データは対象外。Sentinel Analyticsとlake workspacesの両方をサポートし、必要に応じて従来のAzure RBACへ戻すことも可能とされている。
ISC Stormcast For Thursday, March 19th, 2026 https://isc.sans.edu/podcastdetail/9856
Severity: 0/100
SANS Internet Storm Center の「ISC Stormcast」掲載ページで、2026年3月19日配信分のポッドキャスト案内が中心であり、本文内には特定の脅威アクター、脆弱性、攻撃手法、対象組織や被害範囲に関する具体的な技術情報は示されていない。ページ上では Threat Level が green とされ、コメント欄、前後回へのリンク、ISC の各種資料やデータ、ツールへの導線が並ぶのみで、IOC、TTP、MITRE ATT&CK への言及もない。記載されている対応策や緩和策もない。
ISC Stormcast For Friday, March 20th, 2026 https://isc.sans.edu/podcastdetail/9858
Severity: 0/100
SANS Internet Storm CenterのISC Stormcast配信ページで、担当はXavier Mertens、Threat Levelはgreenと記載されている。提供本文には、特定の脅威アクター、悪用された脆弱性、攻撃手法、対象組織や被害範囲、IOC、TTP、MITRE ATT&CKの対応付けは示されていない。また、記事内に具体的な緩和策や対応手順の説明もない。現時点で確認できるのは、2026年3月20日付のポッドキャスト案内とサイト内ナビゲーション情報のみであり、個別インシデントやアクティブな攻撃の解説は含まれていない。
RSAC 2026: New Microsoft Sentinel Connectors Announcement
Severity: 0/100
本記事はMicrosoftによるMicrosoft Sentinelの新規・強化コネクタ発表であり、特定の脅威アクターや脆弱性、攻撃キャンペーンの報告ではない。Acronis、CyberArk、Cyera、Gigamon、Halcyon、Illumio、Lookout、Pathlock、Zscalerなどのパートナー連携に加え、Microsoft提供のGitHub Enterprise Audit Logsコネクタが紹介されている。対象はSentinelを中核とするSOC運用で、バックアップ、ID/認証、SaaS、モバイル、ネットワーク、SAP、クラウド、データガバナンスの各種テレメトリを取り込み、相関分析、調査、ハンティング、SOARを支援する。技術面ではCodeless Connector Framework、Sentinel playbooks、IOCの自動配信、data lake、packet-level evidence、APIベースの強制適用などが挙げられる。MicrosoftはApp Assure、Sentinel Promise、Sentinel Advisory Service、問い合わせフォームを案内している。