Threat Intelligence Daily · 2026-09-24

昨日からの変化

NEW — WSO2:CISAはCVE-2026-5430を、悪用の証拠に基づいてKEVへ追加した。JWT検証の不備により、未認証アクセスや管理者アカウントの乗っ取りにつながる。
NEW — Adobe Commerce:Adobe Commerce / Magento Open SourceのCVE-2026-71362が、悪用報告を受けてCISA KEVへ追加された。
NEW — WordPress:7.1.2で修正されたCVE-2026-87902について悪用報告が出た。特定のサーバー・テーマ条件がそろうと、ローカルPHPファイルのincludeからRCEへ進める。
NEW — Roundcube:virtuser_queryの認証前SQLインジェクションCVE-2026-48842が、インターネット公開Webmailを対象に悪用されている。
NEW — Storm-2570:MicrosoftはQilin、DragonForce、Anubis、BERTをまたいで使われるランサムウェアaffiliateの共通TTPを公開した。
NEW — SolarWinds:Platform 2026.2.3でCVE-2026-28324とCVE-2026-28325が修正された。前者はCVSS 9.8の認証不要RCE。

JWT認証で、サポートされていない署名アルゴリズムのtokenが誤って有効と判定される。未認証アクセスから管理者アカウントの乗っ取りまで到達できる。CISAは9月24日にKEVへ追加した。

WSO2の修正版を適用し、新規管理者、異常なJWT認証、高権限設定の変更を確認する。

Sources (2)

不適切な認可処理の脆弱性。Adobeの初期情報では悪用は報告されていなかったが、Canadian Cyber Centreは後に実環境での悪用と、9月24日のCISA KEV追加を記録した。

APSB26-92の修正を適用し、公開Commerce環境の管理者、連携資格情報、設定やコンテンツの不審な変更を確認する。

Sources (2)

未認証の攻撃者がpage template解決を操作し、active theme外の読み取り可能なローカルPHPファイルをincludeさせられる。必要条件がそろうとRCEにつながる。

すぐに更新し、Web/Applicationログの異常なtemplate resolutionや新規PHPファイルを確認する。修正前に公開されていた該当環境は侵害調査の対象にする。

Sources (2)

認証前SQLインジェクションにより、リモート攻撃者がDBクエリを改変しRoundcubeのデータへアクセスできる。9月24日にactive exploitationが報告された。

公開Roundcubeを更新し、認証・DBログの異常なクエリを確認する。すぐ更新できない場合は対象pluginの削除または無効化を行う。

Sources (1)

Severity: High
Status: Confirmed ransomware-affiliate activity
Threat actor: Storm-2570
Malware / RaaS: Qilin、DragonForce、Anubis、BERT

Microsoftは2025年4月からStorm-2570を追跡している。最終payloadは変わる一方、RMM、資格情報アクセス、横展開、セキュリティ機能の妨害、クラウド経由の持ち出しは複数インシデントで繰り返されている。

検知は最終payloadの家族名だけでなく、これらの共通挙動を中心に組み立てる。

Sources (1)

CVE-2026-28324は整合性チェック不足による認証不要RCEで、非デフォルトかつ安全でない構成が前提となりCVSS 9.8。CVE-2026-28325は特定通信モードでの信頼できないデータのdeserializationによる認証不要RCE。

Platform 2026.2.3へ更新し、各脆弱性の構成前提に該当するか確認する。

Sources (1)