ISSコラム

Metabase CVE-2026-72898  【CVSS：10.0　緊急】

確認済み事実：認証不要のリモート攻撃者が /api/session/reset_password を介して任意SQLを実行し、Metabase管理者権限を取得できます。Metabaseはゼロデイ悪用を確認し、JPCERT/CCも8月2日時点の悪用公表例とPoC情報を確認した。影響する58〜63系には修正版が提供され、Metabase Cloudは対策済みとされています。

実務上の影響：Metabaseは分析用データベース、APIキー、管理者セッション、接続先DB資格情報の集約点です。侵害時は更新だけでなく、POST /api/session/reset_password が400、その後 GET /api/user/current が200となる通信、管理者追加、APIキー発行、ダッシュボード・SQL実行、接続先DBへの異常アクセスを確認します。侵害疑いがあれば全セッション、APIキー、管理者資格情報、接続先DB資格情報をローテーションすることを推奨します。

JetBrains TeamCity CVE-2026-63077  【CVSS：9.8　緊急】

確認済み事実：オンプレミス版TeamCityに未認証RCEが存在し、JetBrainsは8月7日に悪用報告が公表されました。Rapid7は8月8日にエクスプロイトコードを公開し、2026.1.3および2025.11.7より前が対象でクラウド版は利用者対応不要とされています。

実務上の影響：TeamCityが保持するVCSトークン、クラウドキー、署名鍵、成果物、環境変数、ビルドエージェントへの制御が奪われるとサプライチェーン侵害へ直結します。更新とセキュリティプラグイン適用に加え、サーバーログ、未知プロセス、ジョブ定義変更、管理者追加、シークレット参照、成果物ハッシュ差分を確認し、重要シークレットが侵害されている前提で失効させます。

Citrix NetScaler CVE-2026-8452  【CVSS：9.8　高】

確認済み事実：watchTowr LabsはSAML SPまたはIdP構成で認証なしでRCEに至る分析とWebshell設置PoCを公開しました。JPCERT/CCは8月15日時点で悪用情報を確認していない一方、国内で広く利用されるとして注意喚起しています。ベンダーは修正版への更新を推奨し、回避策は提供していません。

調査ポイント：SAML ACSへの異常に大きいPOST、SignedInfoやInclusiveNamespacesの異常長、nsppeプロセスのクラッシュ・再生成、/var/vpn/theme/配下などの未知PHP、/bin/shパーミッション変更を確認します。PoCのファイル名に限定せず、同等挙動を横断的に探索することが必要です。

Windows AFD CVE-2026-68820  【CVSS：7.0　緊急】

確認済み事実：Windows Ancillary Function Driver for WinSockのuse-after-freeによるローカル権限昇格であり、Microsoftは実悪用を確認しています。攻撃には既存の低権限アクセスが必要ですが、成功すればSYSTEM相当の権限取得につながり得ます。8月のセキュリティ更新で修正され、JPCERT/CCも優先対応対象として案内されています。

実務上の影響：フィッシング、情報窃取マルウェア、RMM侵害などで得た足場を管理者権限へ引き上げる後段手段として利用されます。端末だけでなく踏み台サーバー、VDI、共有端末へ優先配信し、ドライバー悪用後の資格情報窃取、EDR停止、サービス作成、LSASSアクセスなど広く横展開されます。

Rails Active Storage CVE-2026-66066 【CVSS：9.5　高】

確認済み事実：KindaRails2Shellは、特定のActive Storageとlibvips構成で細工した画像をアップロードしてから任意ファイル読み取りとRCEに至る可能性があります。複数のPoCが公開され、Rails側は修正版とフォレンジック手順を提供しました。8月3日時点のJPCERT/CC情報では広範な実悪用は確認事項として示されていません。

実務上の影響：direct uploadが外部から利用可能な環境では、明示的な画像投稿機能がなくても影響し得えます。更新に加え、アップロードログ、libvips子プロセス、環境変数・設定ファイル参照、クラウドメタデータ、Webプロセスからの外向き通信を確認する必要があります。アプリケーション秘密鍵、DB・クラウド資格情報の漏えい可能性を調査します。

本コラムについて

インターネットセキュアサービス㈱（以下、ISS）が提供する脆弱性情報は、全ての脆弱性情報を対象にせず、ISSが次の基準で判断しています。
・インターネット上で悪用が確認されている脆弱性
・CVEスコアが低くても対応が必要と判断した脆弱性
・ISSが対応したインシデントの経験から危険性が高いと判断される脆弱性
なお、記載内容は全てを保証するものではありません。

ISSは、皆様のセキュリティ対策のお役に立つ情報を積極的に発信してまいります。