今週は「自社で動かしているサーバー」と「Microsoft 365」に要注意
PHP、GitLab、Next.jsで、ログイン不要で乗っ取られる欠陥が相次いで公表されました。どれも修正版は出ています。自社や顧客の環境で使っているかを確認し、早めに更新してください。あわせて、AIで自動化された大規模攻撃がMicrosoft 365を狙っています。こちらは設定の見直しと監視で防ぎます。
使っていれば今日〜明日中に更新
定期メンテナンスを待たずに更新
提供元が修正済み。把握のみ
今日やること 3つ
- 自社で運用しているGitLabがあれば、今日中に19.5.1などの修正版へ更新する。GitLab.comの利用分は対応済みです。
- PHPで動くサイト（WordPressを含む）とNext.jsのサイトを洗い出す。受託先の顧客サイトも対象にして、サーバー側の版を確認する。
- Microsoft 365の管理者は、管理者権限の付与履歴と、最近同意したアプリの権限を確認する（下の「AI攻撃」を参照）。
重大度の見方
CVSS（0〜10点）と「実際に悪用されているか」で4段階に分けています。
9.0点以上、または悪用確認済み。ログインなしで乗っ取られるおそれ。使っていれば即日対応
7.0〜8.9点。条件がそろうと情報漏えいや停止につながる。今週中に対応
4.0〜6.9点、または影響が限定的。次回の定期更新で対応
クラウド提供元が修正済み。当社側の作業は不要。記録だけ残す
脆弱性ごとの内容と対策
- 内容
- 細工した文字列を送られると、ログインなしでGitLabサーバー上のプログラムを実行される。
- 影響
- ソースコード、CI/CDの秘密情報（APIキー等）、顧客案件のリポジトリがまとめて盗まれるおそれ。
- 対策
- 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13 へ更新
確認する人：GitLabを自社サーバーで運用している管理者。GitLab.com利用分は対応済み
- 内容
- 特定の条件で、ログインなしにサーバー上でプログラムを実行される欠陥が2件。
- 影響
- WordPressやECサイトの改ざん、顧客情報の流出、サーバーの乗っ取り。
- 対策
- 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 へ更新。8.1以前は公式の修正がないため移行を検討
確認する人：PHPで動くサイト全般（WordPressを含む）。レンタルサーバーなら事業者の対応状況を確認
点数は公表されていません。評価区分のみ表示しています
- 内容
- キャッシュ機能や画像の最適化処理を悪用され、ログインなしで不正なプログラムを実行される。
- 影響
- Webサイトやアプリの改ざん、サーバー内の秘密情報の流出。
- 対策
- 16.4.1 / 15.5.28 へ更新（画像処理側は sharp 0.35.5 以上でも回避可）
確認する人：Next.jsで作ったサイト・アプリの担当者。Vercel利用分も依存パッケージの更新が必要
点数は公表されていません。評価区分のみ表示しています
- 内容
- 国内で広く使われるWebサーバー用WAFで、外部からOSのコマンドを実行される。すでに攻撃に使われている。
- 影響
- サイトを守るはずの製品が入口になり、サーバーごと乗っ取られる。
- 対策
- 開発元の修正版を適用（米国の対応期限は10/23）
確認する人：自社・顧客のWebサーバーで導入している場合のインフラ担当
製品ごとに点数が異なるため、評価区分のみ表示しています
- 内容
- Ivanti Connect Secure、Fortinet、Palo Alto PAN-OS、BeyondTrust Remote Support などで、認証の回避や不正実行が攻撃に使われている。
- 影響
- 社内ネットワークへの侵入口になり、ランサムウェア被害に直結しやすい。
- 対策
- 各社の修正版を適用し、侵害の痕跡がないかログを確認
確認する人：社内・顧客のネットワーク機器の管理者
脆弱性ではなく攻撃キャンペーンのため、点数はありません
- 内容
- 盗まれたアプリ用の鍵とAIによる自動化で、ログイン画面を通らずに侵入し、数時間で管理者権限を奪う。
- 影響
- メール・ファイルの流出、管理者権限の乗っ取り。
- 対策
- アプリ権限の棚卸し、管理者権限の最小化、フィッシングに強いMFA、監視の強化
確認する人：Microsoft 365 / Entra ID の管理者
点数は公表されていません。評価区分のみ表示しています
- 内容
- 圧縮データ（Brotli）の処理の欠陥、通信先の確認（TLS）の抜け穴、DNS処理の不具合など10件。
- 影響
- 細工したデータで不正なプログラムを実行される。または偽のサーバーにつながってしまう。
- 対策
- 22.23.4 / 24.22.1 / 26.12.1 へ更新
確認する人：Node.jsで動くWebアプリ、APIサーバー、AIツールの担当者
点数は公表されていません。評価区分のみ表示しています
- 内容
- 特定の認証設定でパスワード確認をすり抜けられる。HTTP/2やAJPで、別の人の応答が混ざることがある。
- 影響
- 他の利用者の画面や情報が見えてしまう。不正ログイン。
- 対策
- 11.0.27 / 10.1.61 / 9.0.123 へ更新
確認する人：Javaの業務システムやWebアプリの担当者
製品ごとに点数が異なるため、評価区分のみ表示しています
- 内容
- データベース、業務アプリ、Javaなど幅広い製品の定例パッチ。一部はログインなしで悪用される。
- 影響
- 業務システムの停止や不正操作、情報流出。
- 対策
- Java SE 8u503 / 11.0.32.1 / 17.0.20.1 / 21.0.12.1 / 25.0.4.1 / 26.0.2 / 27 など。製品ごとに公式表を確認
確認する人：Javaや Oracle Database を使うシステムの担当者
- 内容
- クライアント証明書の確認をすり抜けられる、他人の認証済み接続を流用される、などの欠陥が8件。
- 影響
- 本来は社内や特定の相手だけが使えるシステムに、外から入られる。
- 対策
- 2.11.58 / 3.7.14 へ更新
確認する人：DockerやKubernetesで Traefik を使っている開発・インフラ担当
- 内容
- mistune（Markdown変換）でサーバー内のファイルを読まれる、またはサーバーを停止させられる。mem0ai（LLMの記憶機能）ではデータベースを不正に操作される。
- 影響
- AIチャットの出力表示やメモリ機能を経由して、設定ファイルや顧客データが漏れる。
- 対策
- mistune 3.3.0、mem0ai 1.0.8 へ更新
確認する人：AIソリューション案件の開発担当
点数は公表されていません。評価区分のみ表示しています
- 内容
- 認証処理と入力チェックの不具合を修正（3件）。
- 影響
- 条件次第で認証まわりの誤動作。現時点で悪用の報告はない。
- 対策
- 8.4.13 へ更新
確認する人：MySQLを自社で運用している担当者。クラウドのマネージド版は提供元の更新を確認
- 内容
- Azure Kubernetes 構成サービス、Entra アプリケーションプロキシ、Azure AI Foundry で権限昇格の欠陥。
- 影響
- Microsoft側で修正済み。利用者がパッチを当てる必要はない。
- 対策
- 作業不要。利用中なら監査ログに不審な操作がないかだけ確認
確認する人：Azure / Entra の管理者（記録のみ）
複数製品のため、評価区分のみ表示しています
- 内容
- 2021〜2024年の古い欠陥に、今回まとめて番号が振られたもの。
- 影響
- 当社の標準構成では使っていない製品がほとんど。
- 対策
- 顧客サイトで該当するWordPressプラグインがないか、一度だけ確認
確認する人：WordPress案件の担当者（念のため）
AIを使った攻撃が Microsoft 365 を狙っている
Microsoft 公表（2026年10月21日）
中国政府系とされる攻撃グループ「Storm-0940」が、AIのエージェント（自動で作業を進めるAI）を使い、多数の企業へ同時に攻撃を仕掛けました。ConnectWise社のバックアップサービスから盗んだ「アプリ用の鍵」を入口にしています。人がパスワードを入力しなくても入れてしまう経路でした。
2,250は「狙われた数」です。実際に被害を受けたのは8組織・327アカウントと報告されています。ほとんどの攻撃は失敗しました。ただ、成功したケースでは数時間で管理者権限まで奪われています。
攻撃の流れ
- 外部サービス（ConnectWise関連）のアプリ用の鍵が盗まれる
- その鍵で、ログイン画面を通らずに Microsoft 365 へ入る
- Microsoft Graph（社内データにアクセスする仕組み）で社内を調べ、権限を広げる
- 新しい鍵や管理者権限を追加し、居座る
- メールやファイルを持ち出そうとする
管理者がすぐ確認すること
- 全体管理者（Global Administrator）が新しく付与されていないか
- 外部アプリに強い権限（Mail.Read、Files.Read.All など）を許可していないか
- アプリやサービスプリンシパルに、見覚えのない資格情報が追加されていないか
- 短時間にログイン失敗が大量に出ていないか
- 多要素認証（MFA）がフィッシングに強い方式（パスキー等）になっているか
担当ごとのやること
経営・責任者判断と予算
- 「緊急」の更新では、業務を一時止めることを許可する
- 夜間・休日に誰が判断し、誰が止めるかを決めておく
- 顧客環境に影響がある場合の連絡方針を決める
IT・クラウド管理者Microsoft 365、サーバー
- 上のチェック項目を今日中に確認する
- 不要な管理者権限とアプリ権限を削除する
- VPN・FW機器の版を確認する（悪用確認済みの欠陥あり）
開発・案件担当社内外のシステム
- 担当案件で使っているPHP、Node.js、Next.js、Java、Tomcat、MySQLの版を報告する
- 修正版へ更新し、動作とログを確認する
- AI案件で使うライブラリ（mem0ai等）も確認する
全社員日常の行動
- 見覚えのない「アプリへの許可」画面では同意しない
- 身に覚えのないログイン通知や承認依頼が来たら情シスへ連絡する
- 更新を促すメールのリンクは開かず、公式サイトから確認する
参考資料との違い
出回っているまとめ画像を、公式情報と照合した結果です。
| 項目 | まとめ画像の記載 | 公式情報での確認結果 |
|---|---|---|
| GitLab | SAML/LDAP、OAuthの不備で遠隔実行 | CVSS 10.0の欠陥は「正規表現の処理」の問題でした。SAML/LDAP関連は別の欠陥で、点数は8.2です。修正版は画像のとおりです |
| Next.js | CVSS 9.5 | 公式は「Critical」とだけ公表していて、点数は出ていません。修正版16.4.1 / 15.5.28は正しいです |
| Tomcat | AJP通信で情報漏えい | 実際は、前の応答の内容が別のリクエストに混ざる問題です。9系・10系の修正版（9.0.123 / 10.1.61）もあります |
| Oracle Java | Java 8/11/17/21/25/27 | 26系も対象です。パッチ総数1,295件は正しいです |
| Microsoft 365 | 2,250超のテナント | これは狙われた数で、被害は8組織・327アカウントでした |
用語メモ
CVSSや修正版は、各社の公式発表とNVDの値をそのまま載せています。自社環境が該当するかどうかは、技術担当の確認をもって確定してください。
出典： PHP ／ Node.js ／ Next.js ／ GitLab ／ Apache Tomcat ／ Oracle CPU ／ IPA ／ MySQL ／ Microsoft Security Blog ／ CISA KEV ／ NVD