週刊CSIRTブリーフィング：PaperCut実悪用とJFrog認証バイパス【2026年9月第1週】|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月02日更新日時: 2026年09月02日

2026年8月24日から9月2日朝までにセキュリティ対策Labで取り上げたニュースから、企業・組織のCSIRT（シーサート）が今週優先して確認したい脆弱性、攻撃活動、国内インシデントを整理します。

今週は、PaperCut NG/MFで実際の攻撃による脆弱性悪用が確認されたほか、JFrog Artifactoryでは認証不要で管理者権限取得につながるCritical脆弱性CVE-2026-82329が公表され、watchTowrが実悪用を観測したと報告しました。Microsoft SharePoint Serverでも、実悪用確認済みの認証回避脆弱性とRCE脆弱性を組み合わせた攻撃チェーンを意識した対応が必要です。

国内では、フィッシング後に正規アカウントから顧客情報が一括取得された事例、ファイルサーバーや外部クラウドサービスへの不正アクセス、サービス事業者側に保存されていたサーバーパスワードへの影響可能性などが確認されました。個別事件の詳細ではなく、自組織で今週確認すべきポイントを中心に整理します。

今週のCSIRTブリーフィングサマリー

確認済みの主な動き

PaperCut NG/MFではCVE-2026-81578、CVE-2026-82078に関連する実悪用と顧客インシデントが確認されています。利用組織では緊急パッチだけでなく、パッチ適用前の外部公開期間まで遡った侵害確認が必要です。
JFrogは8月28日、Artifactoryの認証バイパス脆弱性CVE-2026-82329を公表しました。CVSS v3.1は9.8で、デフォルト構成ではネットワークアクセス可能な未認証攻撃者が管理者権限を取得できる可能性があります。JFrog Cloudは対策済みですが、Self-Hosted環境は修正版への更新が必要です。
watchTowrは9月1日、CVE-2026-82329の実悪用を観測したと報告しました。SecurityWeekによると、攻撃者が管理者トークンを生成する動きが確認されています。現時点でJFrog自身による実悪用の公式確認は確認できず、CISA KEVにも未掲載です。
Microsoft SharePoint ServerのCVE-2026-55040は実悪用確認済みでCISA KEVに掲載されています。CVE-2026-63520との組み合わせで認証不要RCEが成立しますが、CVE-2026-63520によるコード実行そのものの実悪用は確認されていません。
カインドオルの事例では、フィッシング後に正規のスタッフアカウントから顧客情報の一括エクスポートが実行されました。認証ログだけでなく、認証成功後の大量取得操作を検知できるかが確認ポイントです。
アンビションDXホールディングスでは、ファイルサーバーへの不正アクセスについて、調査の進展により一部情報資産の漏えい確認へ評価が更新されました。初期段階で持ち出しの明確な痕跡がなくても、ログ欠損時は流出を否定する材料にしないことが重要です。
コロナでは施工情報を管理する外部クラウドサービスへの不正アクセスが確認されました。自社サーバーだけでなく、業務データを保存するSaaS・クラウドの監査ログ取得可否も確認対象です。
チャームでは約39万件の個人情報漏えいが確認されました。一般消費者向けサービスの大規模漏えいについても、社員のパスワード使い回しやフィッシングへの注意喚起要否をCSIRT側で判断する必要があります。
PTCは8月26日、Windchill／FlexPLMのCVE-2026-12569に関連する新たなIOCを追加しました。最新IOCだけではなく、過去IOCとWebシェルの命名パターンを含めた再検索が必要です。
さくらインターネットは販売管理システムへの不正アクセスに関連し、一部顧客のサーバーパスワードを変更しました。対象利用者はパスワード変更と侵害有無の確認を別の対応として扱う必要があります。

現時点で確認できない事項

PaperCutを狙う攻撃主体やキャンペーン全体の被害規模は確認できませんでした。
CVE-2026-82329について、JFrog自身による実悪用の公式確認は確認できませんでした。
CVE-2026-82329は2026年9月2日朝時点でCISA KEVへの掲載を確認できませんでした。
SharePointのCVE-2026-63520について、コード実行まで成功した実悪用は確認できませんでした。
アンビションDXホールディングスへの攻撃について、侵入経路や攻撃主体は公式には特定されていません。
コロナへの不正アクセスについて、ランサムウェア感染や特定の攻撃グループへの帰属は公式確認されていません。
チャームから漏えいした情報に特定企業の法人メールアドレスが含まれていることや、漏えい情報を利用した企業への二次攻撃は確認されていません。

今週の対応優先度

優先度	対象	判断理由	今週の確認ポイント
緊急	PaperCut NG/MF	ベンダーが実悪用・顧客インシデントを確認	外部公開期間、緊急パッチ、EDR・server.log
緊急	JFrog Artifactory Self-Hosted	認証不要で管理者権限取得、watchTowrが実悪用を報告	修正版、外部公開、管理者トークン・権限変更、成果物改変
緊急	SharePoint Server	CVE-2026-55040実悪用、KEV掲載	更新状況、外部公開、認証回避後の活動
高	EC・SaaS管理アカウント	フィッシング後に大量エクスポート	MFA、接続元、管理操作、大量取得
高	ファイルサーバー・クラウドストレージ	国内で業務データ保管環境への侵入	大量参照・取得、ログ欠損、外部共有
高	取引先関連情報	取引先・施工関連情報が影響対象	標的型メール、フィッシング、BEC
社員周知判断	大規模toCサービス漏えい	二次攻撃へ利用可能な情報を含む	パスワード使い回し、フィッシング注意喚起
継続監視	PTC Windchill／FlexPLM	IOC更新が継続	過去IOC、Webシェルパターン、外部通信

PaperCutはパッチ適用前の外部公開期間まで遡って確認

PaperCutはPaperCut NG/MFに対するactive exploitationと顧客インシデントを確認し、Emergency Patch Release 2を公開しています。

CSIRTが今週最初に確認したいのは、現在のバージョンだけではありません。PaperCut Application Serverがパッチ適用前にインターネットから到達可能だった期間を特定し、その期間をThreat Huntの調査範囲に含める必要があります。

PaperCutは侵害の手掛かりとして、pc-app.exeに関連する不審な活動、server.logの削除・欠損・不自然な切り詰めなどを案内しています。既に実悪用が確認されているため、「緊急パッチを適用した日」を対応終了日にはできません。

JFrog ArtifactoryはSelf-Hostedを緊急確認、管理者権限取得後まで見る

JFrogは8月28日、Artifactoryの認証バイパス脆弱性CVE-2026-82329を公表しました。デフォルト構成では、ネットワークから到達可能な未認証攻撃者が管理者権限を取得できる可能性があります。

JFrog Cloudは影響を受ける環境へ対策済みで、利用者側の追加対応は不要とされています。一方、Self-Hosted環境では利用中のリリース系列に対応する修正版へ更新する必要があります。

さらにwatchTowrは9月1日、CVE-2026-82329の実悪用を観測したと報告しました。SecurityWeekはwatchTowrの観測として、攻撃者が自身に管理者トークンを発行する動きが確認されたと報じています。ただし、JFrog自身による実悪用の公式確認は現時点で確認できず、CISA KEVにも9月2日朝時点で未掲載です。

CSIRTではKEV掲載を待つのではなく、Self-Hosted Artifactoryがインターネットや信頼されていないネットワークから到達可能だった場合は、修正版への更新と侵害確認を同時に進めるべき状況です。

確認したいのは、脆弱性を突かれたHTTPリクエストそのものだけではありません。管理者権限取得後の活動として、次のような変更がないかを監査ログやアクセスログから確認します。

身に覚えのない管理者ユーザーや権限変更
不審なアクセストークンの作成
リポジトリ権限や設定の変更
成果物の追加、差し替え、削除
リモートリポジトリ設定の変更
CI/CDで利用する認証情報やシークレットへの不審なアクセス
通常とは異なるIPアドレスからの管理操作
大量のデータ取得や設定エクスポート

Artifactoryはソフトウェアパッケージ、コンテナイメージ、ライブラリなどの成果物をビルドや配布工程へ供給する基盤です。今回の攻撃で成果物改ざんやソフトウェアサプライチェーン侵害が確認されたわけではありませんが、管理者権限を第三者に取得された可能性がある環境では、Artifactory単体ではなく下流のCI/CDやデプロイ環境への影響も評価する必要があります。

SharePointはCVE単体ではなく攻撃チェーンで評価

SharePoint Serverでは、実悪用確認済みの認証回避脆弱性CVE-2026-55040と、RCE脆弱性CVE-2026-63520を分けて扱う必要があります。

CVE-2026-55040はCISA KEV掲載済みです。一方、CVE-2026-63520については、認証回避後に対象機能を探索する活動は観測されていますが、コード実行そのものの実悪用が確認されたわけではありません。

CSIRTでは「KEVに掲載されているCVEだけを検索する」のではなく、実悪用済みの脆弱性を足掛かりに別の脆弱性へ進む攻撃チェーンを想定します。オンプレミスSharePointを外部公開していた場合は、更新適用日より前のWebアクセスや管理操作まで調査対象を広げる必要があります。

Detection / Threat Hunt：認証後の大量取得を監視する

カインドオルの事例では、フィッシングを起点にECプラットフォームのスタッフアカウントが侵害され、その後、顧客情報の一括エクスポートが実行されました。

この事例からCSIRTが確認したいのは、フィッシングメールの検知だけではありません。正しい認証情報でログインされた後に、通常とは異なる接続元、管理設定変更、顧客情報の大量参照、一括エクスポートといった操作を検知できるかが重要です。

SaaSやEC管理画面では「ログイン成功」を正常イベントとして終わらせず、特権アカウントの認証ログと操作ログを紐付けて確認できる状態にしておく必要があります。

ファイルサーバー・クラウドへの不正アクセスが多発

短期間でBOXやセールスフォースへの不正アクセスによる情報漏洩が発生しました。2事案ともに侵入経路は不明ですが

MFAの設定
退職者や外部者の不要なアカウントを削除

が必要になります。

特にBOXやグーグルドライブなどは、フォルダの公開権限を誤ると一般公開されますので注意が必要です。

取引先の侵害後は標的型メールとフィッシングを警戒

ファイルサーバーや業務クラウドには、取引先名、担当者名、案件資料、見積書、請求書、施工資料などが保存されている場合があります。

こうした情報が流出した場合、実在する取引関係を使った標的型メールやフィッシングの材料になる可能性があります。

自社の取引先で情報漏えいが確認または疑われる場合は、実在する取引先担当者を装ったメール、見積書・請求書の再送、振込先変更、Microsoft 365やファイル共有サービスへの再認証、過去案件名を引用したメールなどへの警戒を強めます。

重要な手続き変更や認証操作を求められた場合は、受信メールへの返信ではなく、既知の電話番号や従来利用している別の連絡経路で確認します。

なお、アンビションDXホールディングスやコロナの事案について、漏えい情報を利用したこうした二次攻撃が実際に発生したとの公式確認はありません。現時点では今後想定されるリスクとしての注意です。

大規模toCサービス漏えいは社員周知の要否を判断

チャームは9月1日、約39万件の個人情報漏えいを確認し、別途約4万件について漏えいのおそれがあると公表しました。第三者による不正ログインも239名で確認されていますが、不正ログインに使用された認証情報の入手経路は特定されていません。

週刊CSIRTでは、toCサービス側の事件詳細を繰り返すのではなく、企業側で社員周知が必要かを判断します。

大規模なtoCサービスのインシデントでは、会社のメールアドレスを利用してサービスを利用していたと思われる方を複数確認しております。

そのためtoCサービスの大規模な漏洩は、インシデント自体の注意喚起、同一・類似パスワードの使い回し確認と、サービス事業者や配送会社などを装ったフィッシングへの注意喚起を検討します。

企業アカウントでも同じパスワードを利用していることが判明した場合は、Microsoft 365、Google Workspace、VPNなど企業側の認証情報も変更対象です。

今回のチャーム事案について、特定企業の法人メールアドレスが漏えいしたことや、漏えい情報を利用した企業への二次攻撃は確認されていません。

攻撃キャンペーン追跡：Windchillは過去IOCも再検索

PTCは8月26日、Windchill／FlexPLMのCVE-2026-12569に関連する新たなIOCを追加しました。

今回の更新で重要なのは、新しいIPアドレスだけをブロックすることではありません。PTCは6月以降に共有した既存IOCも含めて環境を検索するよう求めており、既知Webシェル名に加えて、一定の命名パターンを使った未知のJSPファイルも探索対象としています。

CSIRTではIOCを「現在のブロックリスト」ではなく「過去ログを検索するための手掛かり」として利用します。修正前にWindchill／FlexPLMをインターネットへ公開していた場合は、最新IOCだけでなく、過去IOC、Webシェルのパターン、ファイル作成、HTTPアクセス、外部通信を再確認する必要があります。

一連の活動についてClopとの関連が報告されていますが、PTCやCISAが攻撃主体をClopと公式に帰属したものではありません。

さくらインターネット利用者はパスワード変更と侵害確認を分ける

さくらインターネットは販売管理システムへの不正アクセスに関連し、一部顧客についてサーバーパスワードを同社側で変更しました。対象者には個別に通知しています。

利用組織では、対象通知を受けた場合にパスワードを変更して終わりにせず、FTP、SSH、サーバーコントロールパネルなどで過去に不審なアクセスがなかったかを確認します。

認証情報の変更は将来の不正ログインを防ぐ措置であり、過去にその認証情報が悪用されたかを確認する作業とは別です。

関連記事：さくらインターネット、一部顧客のサーバーパスワードを同社側で変更

来週までのWatchlist

対象	現在の状況	次に確認する内容
JFrog Artifactory	watchTowrが実悪用報告、JFrog公式確認・KEVは未確認	JFrogの更新、KEV、IOC、追加の攻撃観測
PaperCut NG/MF	実悪用・追加IOCあり	正式リリース、新IOC、攻撃規模
SharePoint Server	CVE-2026-55040実悪用	RCEチェーンの実悪用、新IOC
PTC Windchill／FlexPLM	IOC更新継続	追加IOC、Webシェル、キャンペーン変化
アンビションDX	一部情報資産の漏えい確認	対象件数、情報範囲、侵入経路
コロナ	最大3万5,000名に漏えいの可能性	被害範囲、侵入経路、不正利用
チャーム	約39万件の漏えい確認	退会済み顧客を含む最終影響範囲、二次被害
さくらインターネット	一部顧客のサーバーパスワード変更	実際の閲覧・取得、影響範囲、続報
Microsoft／Chrome	9月定例更新予定	実悪用、KEV、対応優先度

次回はMicrosoftの9月月例セキュリティ更新とChrome Stable更新について、修正件数だけではなく、実悪用、CISA KEV、外部公開製品、認証不要RCEなどを基準に対応優先度を整理します。

情報システム部門・CSIRTへの示唆

今週の事例で共通しているのは、「対策を実施したか」だけでなく、「既に侵害されていなかったか」を確認する必要がある点です。

PaperCutではパッチ適用前の外部公開期間、JFrog Artifactoryでは管理者権限取得後のトークン・設定・成果物変更、SharePointでは複数CVEを組み合わせた攻撃チェーン、カインドオルでは認証成功後の大量エクスポート、アンビションDXではログ欠損下での情報流出評価、さくらインターネットでは認証情報変更前のアクセス履歴が、それぞれ調査範囲を決める材料になります。

JFrog Artifactoryのように、CI/CDやソフトウェア供給プロセスの信頼点となるシステムでは、脆弱なサーバー単体の復旧だけでなく、そのサーバーを信頼している下流環境への影響まで評価する必要があります。

また、自社が直接侵害されたケースだけを監視対象にするのは不十分です。取引先の業務データ漏えいは標的型メールやフィッシングの精度を高める可能性があり、一般消費者向けサービスの大規模漏えいは社員アカウントへの認証攻撃につながる可能性があります。

週次の情報収集では、ニュースの規模ではなく、「この事案を受けて自組織で今週確認・監視・周知する具体的な項目があるか」を掲載基準とすることが重要です。