週刊 CSIRT ブリーフィング：FortiOS実悪用と小田原エンジニアリングのメール侵害【2026年9月第3週】|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月16日更新日時: 2026年09月16日

2026年9月9日から9月16日朝までに公表された情報から、企業・組織のCSIRT（シーサート）が今週優先して確認したい脆弱性、実悪用情報、国内インシデントを整理します。

今週は、Fortinet製品のCVE-2025-25249がCISA Known Exploited Vulnerabilities（KEV）Catalogへ追加され、GitLabでは認証なしで任意ファイルを読み取られる可能性があるCVSS 10.0のCVE-2026-85706が実悪用確認済みとしてKEVへ掲載されました。PAN-OSとIvanti Neurons for ITSMでも、未認証攻撃につながる高深刻度の脆弱性が公表されています。

国内では、デジタル庁のガバメントソリューションサービス（GSS）で、当初CVSS Mediumと評価されていたVPN機器の既知脆弱性が侵入に悪用されました。小田原エンジニアリングでは、メールアカウントへの約5カ月間の継続アクセス後、正規のやり取りを踏まえたなりすましメールによって取引先に実際の金銭被害が発生しています。

前号：週刊CSIRTブリーフィング：Microsoft実悪用ゼロデイとChrome KEV【2026年9月第2週】

今週のCSIRTブリーフィングサマリー

確認できている内容

Fortinet製品のCVE-2025-25249は、未認証のリモート攻撃者によるコードまたはコマンド実行につながる脆弱性です。CISAは9月9日にKEVへ追加しました。2026年1月に修正版が公開済みで、新たに発見されたゼロデイではありません。
GitLab CE／EEのCVE-2026-85706は、条件を満たすSelf-Managed環境で、未認証ユーザーがサーバー上の任意ファイルを読み取れる可能性があります。CVSS v3.1は10.0で、GitLabは19.3.2、19.2.6、19.1.8を公開しました。CISA KEVにも掲載されています。
Palo Alto NetworksはPAN-OSのCVE-2026-0310を公表しました。PA-Seriesでは、管理Webまたはデータプレーンインターフェースへ到達できる未認証攻撃者がroot権限で任意コードを実行できる可能性があります。Palo Alto Networksは悪意ある実悪用を把握していません。
Ivantiは9月8日、Neurons for ITSM、EPMM、Sentryの計10件の脆弱性を公表しました。Neurons for ITSMには未認証RCEにつながる脆弱性が含まれます。Ivantiは公表前の実悪用を確認していません。
デジタル庁GSSでは、第三者がVPN機器の既知脆弱性を悪用して侵入し、その後、保守運用担当者のアカウントを使った大量ファイルアクセスが検知されました。約24.6万件の個人情報に外部漏えいの可能性があります。
GSSへの侵入に悪用された脆弱性は、当初の公表時点ではCVSS Mediumと評価されていました。デジタル庁は一般的な対応より早く対処を進めていたものの、修正プログラムの適用前に悪用されたと説明しています。
小田原エンジニアリングでは、ドイツ子会社へ出向していた従業員1人のメールアカウントへ、3月27日から8月31日まで第三者が継続的にアクセスしていました。約3,500通のメールについて閲覧が確認されています。
小田原エンジニアリングの事案では、第三者が正規のメールのやり取りを閲覧したとみられ、従業員になりすまして取引先へ入金を指示しました。一部の取引先で実際の金銭被害が発生しています。
さくらインターネットは9月10日、第三報を公表しました。販売管理システムでは2023年4月から2026年3月までの間に不正アクセスが発生し、会員情報等が第三者に閲覧または取得された可能性のある対象は最大1,360,563アカウントです。
ドズル社ストアでは、導入されていた外部アプリが原因となり、購入手続き中の利用者が不正な外部決済ページへ誘導される事象が発生しました。ShopifyのEC基盤そのものが侵害されたとは公表されていません。

現時点で未確定・未公表の内容

CVE-2025-25249を悪用した攻撃について、日本国内での被害状況は確認できませんでした。
GitLab CVE-2026-85706の実悪用について、攻撃主体や全体の被害規模は確認できませんでした。
PAN-OS CVE-2026-0310について、Palo Alto Networksは悪意ある実悪用を把握していません。
Ivantiが9月に公表した今回の脆弱性について、Ivantiは実悪用の証拠を確認していません。
GSSで悪用されたVPN機器の製品名やCVE番号は公表されていません。約24.6万件は「漏えい確認件数」ではなく、漏えいした可能性のある個人情報の件数です。
小田原エンジニアリングのメールアカウントへ最初に侵入した方法、認証情報の取得経路、金銭被害の総額は公表されていません。
さくらインターネットは、対象データが外部へ持ち出されたことを裏付ける明確な事実を確認していません。
ドズル社ストアで原因となった外部アプリの名称や、アプリが不正誘導を行う状態になった経緯は公表されていません。

今週の対応優先度

優先度	対象	判断理由	CSIRTの確認ポイント
緊急	Fortinet CVE-2025-25249	実悪用確認、CISA KEV掲載	対象バージョン、外部到達性、更新、侵害痕跡
緊急	GitLab Self-Managed CVE-2026-85706	CVSS 10.0、未認証、KEV掲載	修正版、外部公開、ファイル参照痕跡、シークレット影響
高	PAN-OS CVE-2026-0310	PA-Seriesで未認証root RCE	管理面・データプレーン到達性、修正版
高	Ivanti Neurons for ITSM On-Premises	未認証RCEを含む	September Security Patch、公開面、管理権限
高	GSS型のVPN・境界機器	CVSS Mediumの既知脆弱性が実際に侵入へ悪用	外部公開、資産重要度、パッチ待ち期間、特権経路
インシデント対応	メール・Microsoft 365・Google Workspace	小田原エンジニアリングで長期侵害と金銭被害	MFA、セッション失効、監査ログ、転送・ルール、送金確認
調査設計	ログ保存	さくらインターネットで過去活動の客観確認に制約	保存期間、ログ種別、改ざん耐性、検索可能性
SaaS統制	EC・外部アプリ	ドズル社で外部アプリが不正ページ誘導の原因	アプリ棚卸し、権限、管理者、緊急失効手順

FortiOS CVE-2025-25249、実悪用確認後は更新だけで終了しない

CVE-2025-25249は、Fortinet製品のcw_acdに存在するヒープベースのバッファオーバーフロー脆弱性です。未認証のリモート攻撃者が細工した通信を送信することで、コードまたはコマンドを実行できる可能性があります。

この脆弱性は2026年1月に公表され、Fortinetは修正版を提供済みです。9月に新たに見つかったゼロデイではありません。CISAは9月9日、実際の攻撃で悪用されている脆弱性としてCVE-2025-25249をKEV Catalogへ追加しました。

CSIRTでは、パッチ未適用のFortiGate等が残っているかを確認するだけでは不十分です。修正版が公開されてから実悪用確認まで期間があるため、外部から到達可能だった対象機器については、更新前の期間まで遡って侵害有無を確認します。

確認対象は次のとおりです。

CVE-2025-25249の影響を受ける製品・バージョンが残っていないか
インターネットから対象サービスへ到達可能だったか
修正版適用日より前の管理ログやシステムログを保存しているか
身に覚えのない管理操作や設定変更がないか
不審な外部通信や新規プロセスなど、侵害後の活動を示す痕跡がないか

実悪用済みの境界製品では、「最新版へ更新済み」であることと「更新前に侵害されていなかった」ことを分けて確認します。

GitLab CVE-2026-85706、Self-Managedは任意ファイル参照の影響を確認

GitLabは9月10日、GitLab CE／EE 19.3.2、19.2.6、19.1.8を公開しました。このうちCVE-2026-85706は、Repository Commits APIのパストラバーサルと認証制御の不備により、条件を満たす環境で未認証ユーザーがGitLabサーバー上の任意ファイルを読み取れる可能性がある脆弱性です。

CVSS v3.1は10.0です。影響範囲は、18.7以降19.1.8未満、19.2系の19.2.6未満、19.3系の19.3.2未満です。GitLab.comは修正済みで、GitLab Dedicated利用者の対応は不要とされています。

GitLab自身もCVE-2026-85706がCISA KEVへ追加されたことを案内し、Self-Managed利用者向けに悪用試行を検知するための情報を公開しています。

Self-Managed GitLabをインターネットへ公開していた場合、確認対象はパッチ適用だけではありません。GitLabサーバー上には、設定ファイル、CI/CD関連設定、トークンやシークレットにつながる情報が存在する場合があります。

CSIRTでは、修正版適用前のアクセスログを確認し、不審なファイル参照の痕跡がある場合は、読み取られた可能性のある情報を特定します。認証情報、APIトークン、CI/CD用シークレット等への影響を否定できない場合は、関連する資格情報の失効・ローテーションまで対応範囲に含めます。

PAN-OS・Ivanti、未認証で到達可能な管理面を優先確認

Palo Alto Networksは9月9日、PAN-OSのXML処理機能に存在するCVE-2026-0310を公表しました。

PA-Seriesでは、管理Webインターフェースまたはデータプレーンインターフェースへネットワークアクセスできる未認証攻撃者がroot権限で任意コードを実行できる可能性があります。VM-Seriesで確認されている影響はDoSです。Panoramaも影響を受けます。

Palo Alto Networksは9月9日時点で悪意ある実悪用を把握しておらず、既知の回避策はありません。管理インターフェースへのアクセスをJump Boxのみに制限することでリスクを下げられるとしていますが、恒久対応は修正版への更新です。

CSIRTでは「PAN-OSを利用しているか」だけでなく、PA-Seriesの管理面やデータプレーンへ、インターネットや信頼性の低いネットワークから到達できる構成がないかを確認します。

Ivantiは9月8日、Neurons for ITSM、Endpoint Manager Mobile（EPMM）、Sentryの計10件の脆弱性を公表しました。Neurons for ITSMでは8件が修正され、CVE-2026-12744、CVE-2026-12745など未認証攻撃につながる高深刻度の脆弱性が含まれています。

Ivantiは、今回公表した脆弱性について開示前の実悪用を確認していません。Neurons for ITSMのCloud／SaaS環境には8月9日に修正が適用済みで、オンプレミス利用者は該当バージョン向けのSeptember 2026 Security Patchを適用する必要があります。

ITSMは、問い合わせ履歴、内部システム情報、担当者、変更管理、承認履歴などが集まる管理基盤です。オンプレミス版を外部公開している場合は、修正版適用と併せて、管理者ロールの変更、通常と異なる管理操作、APIや外部連携設定の変更がないかを確認します。

デジタル庁GSS、CVSS MediumでもVPN脆弱性が侵入に悪用

デジタル庁は9月11日、GSSへの不正アクセスにより、個人情報を含むファイルの一部が外部へ漏えいした可能性があると公表しました。

6月25日、保守運用担当者のアカウントを利用したサーバー上の大量ファイルアクセスを検知して調査を開始し、7月9日に第三者がVPN機器の脆弱性を悪用して侵入していたことが判明しました。

漏えいした可能性がある個人情報は約24.6万件です。氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件などが対象となっています。一般の方の個人情報は含まれていません。

9月12日に公開されたQ&Aでは、侵入に悪用された脆弱性について、当初公表されていた評価がCVSS Mediumだったことも明らかになりました。デジタル庁は、一般的な対応より早く対処を進めていたものの、修正プログラム適用前に悪用されたと説明しています。

※セキュリティ上何の製品の何の脆弱性が悪用されたかは公表されていません。

この事案を自社の脆弱性管理へ置き換える場合、CVSSだけでパッチ期限を決めていないかを確認します。

同じMediumの脆弱性でも、

VPNやリモートアクセス機器などインターネットから到達可能な資産か
管理ネットワークや共通基盤への入口か
悪用後に特権アカウントや重要データへ到達できるか
PoCやスキャン、実悪用情報が出ているか
修正版の公開から適用まで何日空くか

によって組織側の優先順位は変わります。

GSSでは侵入後に保守運用担当者のアカウントを使った大量ファイルアクセスが検知されています。境界機器の脆弱性管理と、侵入後の特権アカウント監視を別々の統制として扱わず、入口から重要データまでの経路で評価する必要があります。

小田原エンジニアリング、5カ月のメール侵害から取引先の金銭被害へ

小田原エンジニアリングは9月15日、ドイツ子会社Odawara Automation Deutschland GmbHへ出向していた従業員1人のメールアカウントが第三者による不正アクセスを受けたと公表しました。

調査の結果、第三者は3月27日から8月31日まで継続的にアカウントへアクセスし、メールを閲覧していました。現時点で閲覧が確認されているメールは約3,500通です。アカウントへの不正アクセスが始まる前からメールボックスに保存されていた過去のメールも対象となり、最も古いものには2018年のメールが含まれています。

今回の事案では、メール情報の閲覧だけでなく二次被害が発生しました。

第三者は小田原エンジニアリングの従業員になりすまし、取引先へ入金を指示するメールを送信しました。同社は第三者が正規のやり取りを閲覧していたとみており、一部の取引先で実際の金銭被害が発生しています。

同社は発覚後、対象アカウントのパスワード変更に加え、全セッションの強制ログアウト、拠点外アクセス時のMFA必須化、不正に用いられたドメインのメール送受信ブロック、監査ログ解析などを実施しました。

CSIRTでは、メールアカウント侵害時の初動を「パスワード変更」だけにしない運用を確認します。

既存セッションを強制失効できるか
MFAを必須化する範囲に例外が残っていないか
不審なログイン元や端末を遡って確認できるか
メール転送、受信ルール、委任設定などの変更を監査できるか
過去メールをどの程度保存しているか
海外子会社・海外拠点でも本社と同等の認証・ログ基準を適用しているか

今回、侵入期間は約5カ月ですが、影響範囲には2018年の過去メールまで含まれました。メールの保存期間が長いほど、1アカウントの侵害で過去の取引履歴や担当者情報まで攻撃者に利用される可能性があります。

さらに経理・購買部門では、振込先、支払条件、担当者、連絡先の変更をメールだけで確定しない手順を確認します。正規のメール履歴を読まれた場合、案件名や過去のやり取りが一致していても正規連絡の証明にはなりません。送金条件の変更は、あらかじめ把握している電話番号など別経路で取引先へ確認します。

小田原エンジニアリングは今回の事案を「BEC」とは表現していません。ただし、正規のメールを閲覧したうえで担当者になりすまし、送金を指示する手口は、ビジネスメール詐欺で確認される手口と共通します。

さくらインターネット、長期調査で問われたログ保存期間

さくらインターネットは9月10日、同社システムへの不正アクセスについて第三報を公表し、一連の調査が完了したとしました。

販売管理システムでは、2023年4月から2026年3月までの間に不正アクセスが発生していたことが確認されました。同システムに保存されていた会員情報等が第三者に閲覧または取得された可能性があり、対象となる可能性のある会員情報は最大1,360,563アカウントです。

「さくらのレンタルサーバ」では、2025年7月以降のものとみられる不審な活動痕跡も確認されました。ただし、時間の経過に伴う記録の制約などにより、本件との同一性、具体的な侵入経路、顧客情報への影響を客観的に確認できなかったとしています。

この点は、CSIRTのログ保存設計に直接関係します。

インシデント発生後に過去数カ月から数年へ調査範囲が広がった場合、必要なログが既に削除されていれば、「侵害されていない」とも「侵害された」とも客観的に判断できない領域が残ります。

確認したいのは保存日数だけではありません。

境界機器、認証、サーバー、EDR、クラウド、管理操作の各ログを何日保存しているか
日次ログだけでなく、過去の検索に必要な項目が残っているか
SIEM等へ転送したログを元システム削除後も検索できるか
管理者による削除や改ざんからログを保護できるか
M&Aやシステム更改後も旧環境の証跡へアクセスできるか
事故調査で必要になった場合に、保存期間を延長できる手順があるか

さくらインターネットは、データが外部へ持ち出されたことを裏付ける明確な事実は確認されなかったとしています。最大1,360,563アカウントは「漏えい確認件数」ではなく、第三者による閲覧または取得の可能性がある対象総数です。

SaaS・外部アプリも自社の攻撃面として管理

ドズル社は9月12日、公式ECサイト「ドズル社ストア」で、商品購入手続き中に利用者が正規ではない外部ページへ誘導される事象が発生したと公表しました。

発生推定期間は9月11日15時頃から17時50分です。ドズル社とShopifyの調査では、ストアに導入されていた外部アプリが不正ページへの誘導原因だったことが特定され、同日20時23分に原因アプリが削除されました。

現時点で、ShopifyのEC基盤そのものが侵害されたとは説明されていません。また、原因となったアプリの名称や、不正誘導を行う状態になった経緯も公表されていません。

CSIRTでは、SaaSを利用しているかだけでなく、SaaSへ追加した外部アプリや連携サービスも資産として管理します。

確認対象は次のとおりです。

SaaSへ導入されている外部アプリを一覧化できるか
各アプリに付与した権限・スコープを確認しているか
利用を終了したアプリの権限が残っていないか
アプリを追加・承認できる管理者を限定しているか
不審な挙動があった際にアプリの権限を即時失効できるか
ECや決済では正規ドメイン外への遷移を監視できるか

SaaS本体が修正済み・安全であっても、追加した外部アプリが別の攻撃面になる場合があります。SaaS台帳にはサービス本体だけでなく、OAuth連携、マーケットプレイスアプリ、API連携まで含めて管理する必要があります。

関連記事：ドズル社公式ECストアで不正な決済ページへ誘導　原因は外部アプリ

来週までのWatchlist

対象	現在の状況	次に確認する内容
Fortinet CVE-2025-25249	実悪用、KEV掲載	追加IOC、攻撃規模、国内観測
GitLab CVE-2026-85706	CVSS 10.0、KEV掲載	攻撃主体、悪用規模、追加検知情報
PAN-OS CVE-2026-0310	未認証root RCEの可能性、実悪用未確認	PoC、実悪用、KEV、追加修正
Ivanti Neurons for ITSM	未認証RCEを含む、実悪用未確認	PoC、KEV、オンプレミス更新状況
デジタル庁GSS	約24.6万件に漏えいの可能性	VPN脆弱性の追加情報、調査続報、再発防止策
小田原エンジニアリング	約3,500通の閲覧確認、取引先に金銭被害	侵入経路、最終対象範囲、被害額
さくらインターネット	第三報、調査完了	再発防止策の運用、対象者対応
ドズル社	外部アプリを原因とする不正誘導	顧客情報への影響、原因アプリの侵害経緯
Check Point VPN	CVSS 9.8の脆弱性2件が公表	PoC、実悪用、KEV、更新状況

情報システム部門・CSIRTへの示唆

今週は、「境界機器へ侵入される前」と「正規アカウントを奪われた後」を同じ対応フローで見る必要があります。

Fortinet、PAN-OS、デジタル庁GSSでは、VPNやファイアウォールなど外部から到達可能な機器の脆弱性が論点になりました。CVSSだけでパッチ順序を決めず、外部到達性、資産の役割、侵害後に到達できる権限・データを合わせて評価する必要があります。

GitLabでは、認証不要の任意ファイル参照によって、ソースコード管理サーバー内の情報だけでなく、CI/CDや周辺システムで使われるシークレットへの影響を調べる必要があります。修正済みであっても、更新前のアクセス履歴から侵害有無を評価します。

小田原エンジニアリングの事案では、メールアカウントへの侵入が約5カ月継続し、攻撃者が正規のやり取りを把握したうえで取引先への送金指示に進みました。メールセキュリティ、MFA、セッション管理、経理の支払承認を別々に管理している組織では、アカウント侵害が金銭被害へつながる経路を横断的に確認する必要があります。

さくらインターネットの第三報は、過去のインシデントを調べる際にログ保存期間が調査結果そのものを左右することを示しています。保存コストだけで期間を決めるのではなく、「重大インシデントで何カ月、何年遡る可能性があるか」を基準に、認証、境界、管理操作、EDR等の保存期間を見直します。

ドズル社の事案では、SaaS本体だけでなく外部アプリが攻撃面になりました。SaaS、OAuth連携、マーケットプレイスアプリ、API連携を一つの資産群として棚卸しし、緊急時に権限を失効できる状態にしておく必要があります。