未認証のリモート攻撃者がアプリケーションログイントークンを取得し、完全な管理者権限で認証できる認証バイパス。セキュリティポリシーや設定の改変が可能。Check Point は少数の顧客が標的型攻撃を受けたことを確認している。Management Server の IP へ到達でき、Trusted Clients による制限をしていない構成が悪用条件。
Zimbra Classic UI の格納型XSS。細工したHTMLメールが CSS の @import 処理を悪用し、メールを閲覧するだけでJavaScript が実行される zero-click 攻撃。直近90日分のメール、組織のメールディレクトリ、ブラウザ保存パスワード、2FAリカバリコードを窃取。2025年7月以降、欧米の政府・民間組織を侵害。BleepingComputer は攻撃者を Laundry Bear（Void Blizzard）と報じている。
非特権ローカルユーザーが XFS 上の root 所有ファイルを上書きできる。RHEL とその派生・Fedora Server・Amazon Linux のデフォルト構成が悪用条件を満たす。上書きはブロック層で発生するため所有者・パーミッション・タイムスタンプ・setuid ビットが保たれ、改変された setuid-root バイナリがそのまま root で動く。修正は 7/16 マージ済み、各ベンダがバックポート済みカーネルを提供開始。
侵害された GitHub リポジトリを分散攻撃インフラ化する活動。7/12〜13 に正規の PHP／DevOps 開発者アカウント配下の Packagist 10パッケージに悪性の開発版が投入された。Socket は「PHP ライブラリ自体は実行経路ではなく、攻撃者が追加した GitHub Actions が実行経路だった」と指摘している。
豪 Origin Energy が顧客の個人識別情報の不正アクセスと流出を確認（7/23）。韓国・国立外交院のオンライン教育システムが10か月にわたり侵害され、在外公館の外交官を含む外務省の現・元職員の個人情報が流出（7/22）。スイスの鉄道車両メーカー Stadler Rail がサプライヤと共用のデータ交換基盤を侵害され、Everest から約1,230万ドルの身代金を要求されたが拒否（7/22）。Upbound Group は窃取データを使った1,300万ドル分の不正 Acima リース被害を開示（7/22）。
未認証の攻撃者がネットワーク経由でコードを実行できる。連邦機関の対応期限は本日 7/25。BOD 26-04 に基づき、緩和策の適用またはクラウドサービス向けガイダンスの適用が求められる。
未認証のリモート攻撃者がアプリケーションログイントークンを取得して完全な管理者権限で認証できる。実際の悪用が確認済み。対応期限は本日 7/25。
SQLインジェクションを経て RCE に至る。CISA は CVE-2026-60137 と連鎖可能と明記。修正は WordPress 7.0.2。 ［CRA Art.14 要注目］広く使われるOSSであり、同梱・依存する製品側の影響範囲が広い。
プラグインやテーマが信頼できない入力をパラメータに渡した場合に成立。CVE-2026-63030 と連鎖させることでデフォルト構成の WordPress で未認証RCEが可能。 ［CRA Art.14 要注目］
リモート攻撃者が影響を受けるインストール上で任意コードを実行できる。修正は v1.9.0。 ［CRA Art.14 要注目］AIワークフロー系OSSであり、AI機能を組み込んだ製品のサプライチェーン依存として要注意。
UPnP が使用する内部バッファをオーバーフローさせ、未認証の攻撃者がコード実行に至る。CISA は「共通のOSSコンポーネント／プロトコルに影響するため、個別ベンダのパッチ状況を確認せよ」と注記している。 ［CRA Art.14 要注目］ルータ／組込み向けOSSファームウェアで、EOL機器が大量に残存する典型例。
3億1,400万ユーザーを抱える拡張機能（ID: efaidnbmnnnibpcajpcglclefindmkaj）の 26.5.2.2 以前が該当。同一オリジンポリシーを回避してオリジン横断でセッション関連データにアクセスでき、WhatsApp Web のデータを窃取可能だった。修正済み。悪用にはユーザーが細工URLを開く操作が必要。
Ubuntu Desktop 24.04／25.10／26.04 のデフォルト構成が該当。サンドボックス初期化時の競合状態により、非特権ユーザーが root を取得して環境を完全に制御できる。セキュリティハードニングの変更が意図せず競合状態を生んだもの。
暗号化実行前の Windows 端末で発見された Rust 製インプラント。自前の外向き通信を一切行わず、プロセスは 127.0.0.1 とのみ通信する。Chrome または Edge をヘッドレス起動し Chrome DevTools Protocol で操作、C2 通信は WebRTC データチャネルを Twilio の TURN サービス経由で中継する。防御側の通信ログには「ブラウザが Cloudflare と Twilio に通信している」ようにしか見えず、攻撃者サーバのアドレスは一切現れない。
Bing 検索の広告枠を使ったマルバタイジング。配布元が正規ドメイン上にあるため、ドメイン名による真正性判断が機能しない。AIツールの人気に便乗した配布手口として、7/20 の FakeGit キャンペーン（偽GitHubリポジトリ約7,600件）と同系統の潮流。
正規の Notepad++ 本体と、プラグインを装った悪性ユーティリティ LunchPoke を同梱したアーカイブを配布する攻撃をウクライナ CERT が確認。正規アプリのプラグイン機構を持続化の器として使う手口。
感染端末のユーザーをAIでプロファイリングしてスコア付け・順位付けし、どの被害者を優先して攻撃すべきか犯罪者側に提示する機能を謳う新しいリモートアクセス型トロイの木馬。攻撃側の運用効率化にAIが組み込まれつつある一例。
2026年上半期は米国が世界のランサムウェア攻撃の約半数を占め、Qilin や Akira の活動が特に活発。EMEA の医療分野については、2024〜2026年のリークサイト活動の分析から、医療機関本体だけでなくサプライチェーン全体が標的化されているとの指摘がある。
WordPress のリモートコード実行につながる脆弱性、Google Chrome、VMware Avi Load Balancer、Splunk 製品、Cisco 製品、Drupal core、Zoom 製品、SonicWall SMA1000 シリーズ、Fortinet 製品、SAP 製品、Firefox、Adobe 製品の脆弱性を掲載。あわせて JPCERT/CC 四半期レポート（4〜6月）と「APT-C-60による2026年の攻撃」の公開が案内されている。
Logto の認証・認可に影響する複数の脆弱性（JVNVU#99418634）、ISC BIND 複数（JVNVU#97496543）、Duplicati の不適切な権限割当（JVNVU#98636554）、Analog Way Picturall のローカル権限昇格（JVNVU#98875819）、リコー製プリンター／複合機のSSH通信機能におけるアクセス制御不備（JVN#32082029）、Plane の認可回避（JVNVU#90683587）、CISA ICSアドバイザリ 7/21分・7/23分（JVNVU#98832565／JVNVU#93636354）。
エージェントが動作する Linux VM から脱出し、ホストの macOS 上の任意の場所のファイルを読み書きできた。接続したフォルダの外側にも権限プロンプトなしでアクセスできたとされ、パッチ適用前は約50万人の macOS ローカルセッション利用者が対象だった。AIエージェント実行基盤そのものが攻撃面になる例。
7/27 以降、全深刻度で公開プログラムの報奨金が少なくとも半減し、Critical は $20,000〜$30,000+ から固定 $10,000 に。招待制の VIP ティアは $30,000 以上を支払う。7/27 より前に提出済みの報告は従来条件が維持される。脆弱性報告のインセンティブ設計に関わる動きとして記録。
今日中に確認：SharePoint（CVE-2026-50522）と Check Point Security Management / MDSM（CVE-2026-16232）のパッチ適用状況。両者の連邦機関向け対応期限は本日 7/25 で、SmartConsole は実際の悪用が確認されている。SmartConsole については、暫定的に Management Server の IP へのインターネット到達性を遮断し、Trusted Clients による接続元制限を設定する。
WordPress の棚卸し：CVE-2026-63030 と CVE-2026-60137 は連鎖でデフォルト構成の未認証RCEに至る。WordPress 7.0.2 への更新を最優先とし、制作会社任せ・部門管理のサイトを含めて自社ドメイン配下の WordPress 環境を洗い出す。プラグイン／テーマ経由で入力が渡る構成が悪用条件に関わるため、不要プラグインの削除も併せて行う。
Zimbra 利用組織：CVE-2025-66376 は閲覧のみで発火する zero-click。パッチ適用に加え、Classic UI の無効化を検討し、窃取対象に2FAリカバリコードとブラウザ保存パスワードが含まれることを踏まえて該当ユーザーの MFA 再登録・リカバリコード再発行・パスワードリセットを行う。侵害兆候の調査期間は2025年7月まで遡る必要がある。
Linux サーバ：RefluXFS（CVE-2026-64600）は RHEL 派生・Fedora Server・Amazon Linux のデフォルト構成が該当。ベンダ提供のバックポート済みカーネルへ更新する。上書きが所有者・パーミッション・タイムスタンプ・setuid ビットを保つため、通常のファイル改変検知では見つけにくい点に留意し、setuid-root バイナリのハッシュ検証を行う。
ネットワーク／出口監視の見直し：msaRAT のように「ブラウザにC2通信を代行させる」実装は、宛先ドメイン（Cloudflare・Twilio TURN 等）だけを見る検知を回避する。ヘッドレス起動のブラウザプロセスや、通常のユーザー操作を伴わない Chrome DevTools Protocol の利用を検知対象に加える。
開発・調達プロセス：正規ドメイン上にホストされた偽インストーラ（偽Claudeアプリ）、Packagist／GitHub Actions 経由の侵害、偽プラグインなど、配布経路の真正性だけでは判別できない事例が続いている。AIツールを含むソフトウェア導入は公式配布元の直接確認とハッシュ検証を必須とし、CI のランナー権限とサードパーティ Action の棚卸しを行う。
警察庁サイバー局（7/21・新着）：その他お知らせ「家庭用IoT機器を悪用したサイバー攻撃への官民一体となった対策の推進について」。「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」を公開し、あわせて「レジデンシャルプロキシ対策アライアンス」を設立。総務省・NICT等との連携によるもの。令和6年のインターネットバンキング不正送金被害額のうち少なくとも約30億円がレジデンシャルプロキシ経由の攻撃によるものと判明した旨が明記されている。 | 元記事
JVN（7/22〜7/24・新着8件）：Logto 認証・認可の複数脆弱性（JVNVU#99418634、7/24）、CISA ICSアドバイザリ7/23分（JVNVU#93636354、7/24）、ISC BIND 複数（JVNVU#97496543、7/23）、Duplicati 不適切な権限割当（JVNVU#98636554、7/23）、Analog Way Picturall ローカル権限昇格（JVNVU#98875819、7/23）、リコー製プリンターおよび複合機のSSH通信機能におけるアクセス制御不備（JVN#32082029、7/23）、Plane 認可回避（JVNVU#90683587、7/22）、CISA ICSアドバイザリ7/21分（JVNVU#98832565、7/22）。 | JVN
JPCERT/CC（7/23・新着）：Weekly Report 2026-07-23号を公開（15件）。注意喚起は7/15の「2026年7月マイクロソフトセキュリティ更新プログラム」が最新のままで新規なし。届出制度・早期警戒パートナーシップ関連の制度改訂も確認できず。 | Weekly Report
新着なし：IPA（最新7/17「東北サイバーセキュリティシンポジウム2026」）、経産省サイバーセキュリティ政策（最新5/20 SCS特設サイト）、経産省プレスリリース（7/24分まで取得できたがサイバー関連の新着は7/17が最新）、デジタル庁（セキュリティ関連の新着なし。政策ページ最終更新4/7、サイト新着は7/14）。
障害記録：(1) Chrome MCP が未接続のため NCO トップページの新着欄を取得できず。NCO ニュース一覧は WebFetch では本文がJSレンダリングのため空で、本日は NCO の差分を確認できていない（前回記録は7/17）。(2) CISA公式 KEV JSON が空応答（継続）→ cvefeed.io ミラーで代替。(3) cybersecuritynews.com RSS がバイナリ応答で解析不可（継続）。(4) Microsoftセキュリティブログ一覧は継続障害のため本日は未取得。(5) 解消：BleepingComputer RSS のキャッシュ固定と経産省プレスリリース一覧のJS制限は、いずれも本日は正常取得。
新着なし。経産省「審議会・研究会（新着情報）」の最新掲載は2026年6月26日開催分で、産業サイバーセキュリティ研究会 関連は WG3（サイバーセキュリティ・サービス事業者の信頼性強化に向けた検討会）中間とりまとめ（6/5）が最新のまま。AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG／次世代セキュリティアーキテクチャ検討会、AI・半導体WG、サイバーセキュリティ戦略本部のいずれも前回からの差分を確認できず。 | 経産省 審議会・研究会
警察庁と総務省が NICT 等と連携し、家庭用IoT機器を踏み台に発信元を一般家庭に偽装する「レジデンシャルプロキシ」の悪用実態と対策を取りまとめて公開、あわせて業界団体・電気通信事業者・セキュリティ事業者が参加するアライアンスを設立した。令和6年のインターネットバンキング不正送金被害額のうち少なくとも約30億円がレジデンシャルプロキシ経由の攻撃によるものと判明しており、被害額という具体的な数字が政策文書に出た点が重要。利用者が自分の機器の悪用に気づいていないという構造上、単独の企業対策では止まらず「官民一体」の枠組みが必要になった経緯を、JC-STAR や IoT製品のセキュリティラベリング政策と接続して論じる価値がある。
リコー製プリンターおよび複合機のSSH通信機能にアクセス制御不備の脆弱性が JVN で公表された。複合機は「社内ネットワークに常時つながっているのに資産管理から漏れやすい」典型的な機器で、SSH という管理系インターフェースの不備は横展開の足がかりになり得る。情報セキュリティ早期警戒パートナーシップに基づく届出→調整→公表という国内制度が国内メーカーの組込み製品で機能した事例であり、EU CRA が求める脆弱性ハンドリング体制（受付・修正・公表）を国内メーカーがどう運用しているかを読み解く教材として扱える。
ロシア国家支援のスパイ集団が Zimbra Classic UI の格納型XSS（CVE-2025-66376）を2025年7月から悪用し、メールを閲覧するだけでJavaScriptが実行される zero-click 攻撃で欧米の政府・民間組織からメールを窃取していた。窃取対象に直近90日分のメールと組織のメールディレクトリだけでなく、ブラウザ保存パスワードと2FAリカバリコードが含まれていた点が肝で、「MFAを入れたから大丈夫」という前提がリカバリ経路から崩れる構図を示している。webmail クライアントというレガシー資産の棚卸しと、リカバリコードの保管方法という2つの実務論点に落とし込める題材。
CVE-2026-63030（解釈の衝突、CVSS 9.8）と CVE-2026-60137（SQLインジェクション、CVSS 9.1）が同日にKEV収載され、CISA は両者を連鎖させるとデフォルト構成の WordPress で未認証のリモートコード実行に至ると明記している。単体のCVSSやCVE単位の判断では危険度を読み違える典型例で、「脆弱性の連鎖」を前提にした優先度付けが必要になる。コーポレートサイトやオウンドメディアを WordPress で運用している組織にとっては、自社管理外の制作会社任せの環境をどう棚卸しするかという運用論に直結する。
本日は土曜のため週次（月曜）・月次（第1月曜）チェックは対象外。日次分（CISA KEV＝1-2、JVN/JPCERT＝2-1）のみ実施し、CRA Art.14「積極的に悪用されている脆弱性」観点で以下をマークした。
KEV 新規追加のうち CRA 観点で要注目（4件）：
・CVE-2021-27137 DD-WRT（7/21追加）— ルータ／組込み向けOSSファームウェア。UPnP経由の未認証コード実行で、CISA自身が「共通OSSコンポーネントのため個別ベンダのパッチ状況を確認せよ」と注記。EOL機器が大量残存する構造は CRA のサポート期間・アップデート提供義務の議論に直結する。
・CVE-2026-63030／CVE-2026-60137 WordPress Core（7/21追加）— 広く使われるOSS。連鎖で未認証RCEに至るため、CRA対象製品が同梱・依存している場合の影響範囲が広い。
・CVE-2026-0770 Langflow（7/21追加）— AIワークフロー系OSS。AI機能を組み込んだ製品のサプライチェーン依存として要注意。
国内メーカー組込み製品：JVN#32082029（リコー製プリンター／複合機のSSH通信機能におけるアクセス制御不備、7/23公表）は悪用観測は未報告だが、国内メーカーの組込み製品に対する脆弱性ハンドリングの実務例として継続観測対象にマーク。なお前回マークした FeliCa 脆弱性（CVE-2026-59776）についても、本日時点で悪用観測の報道は確認できず。