週次まとめ: Scattered Spider メンバーの実刑判決──TfL攻撃で禁錮5年6ヶ月 | 2026年7月20日

東京セキュリティブリーフィング 週次まとめ 2026年07月20日（月曜日）

オープニング

こんにちは。東京セキュリティブリーフィングへようこそ。本日は2026年07月20日、月曜日の配信です。

今週は先週1週間のセキュリティニュースを振り返る週次まとめ回となります。実は先週は、大型のセキュリティインシデント、そして深刻度の高い脆弱性情報が集中した、非常に濃い1週間でした。サイバー犯罪の摘発から、AIを悪用した新たな攻撃手法、さらには複数の企業が明かした重大なセキュリティ侵害まで。今回は先週の重要トピックをまとめてお届けします。それでは、先週の重要ニュースからお伝えします。

重要ニュースTOP

Scattered Spider メンバーの実刑判決──TfL攻撃で禁錮5年6ヶ月

先週の最大級のニュースは、英国での重大なサイバー犯罪摘発です。サイバー犯罪集団「Scattered Spider」のメンバー2人、当時20歳のThalha Jubair容疑者と18歳のOwen Flowers容疑者が、禁錮5年6ヶ月の判決を言い渡されました。

この判決の根拠となった事件は、2024年8月31日から9月3日のわずか3日間に、ロンドン交通局（TfL）に対して実行されたサイバー攻撃です。この攻撃により、148のシステムがオフラインに陥り、TfLの全従業員27,000人がパスワード再設定を強要されました。直接的な被害額は2,900万ポンド、すなわち約3,000万ドル相当です。

さらに重大なのは、攻撃がほぼ完全な交通網停止に至らなかった場合の推定損失額です。当局の試算によれば、ロンドンの交通ネットワークが完全に停止していた場合、その経済的損失は560億ポンドに上っていたと見られています。

英国の検察当局はこの事件を「英国史上最大規模のサイバー犯罪訴追」と位置づけており、コンピュータ不正使用法第3ZA条に基づく有罪判決は、英国では2件目となります。

WordPress コア に認証不要のリモートコード実行──「wp2shell」脆弱性

次に、オンラインサイトを支えるWordPressコアに、極めて危険な脆弱性が発見されました。通称「wp2shell」と呼ばれる脆弱性で、CVE-2026-63030およびCVE-2026-60137という2つのCVEが割り当てられています。

この脆弱性の最大の危険性は、認証を必要としないという点です。つまり、WordPressサイトにログインしていないユーザーでも、この脆弱性を悪用してリモートコード実行が可能になってしまうということです。

影響を受けるのはWordPress 6.9.0から6.9.4まで、そしてWordPress 7.0.0から7.0.1までのバージョンです。この広範なバージョンレンジが影響を受けるということは、世界で5億以上のWordPressサイトが潜在的なリスクを抱えていることを意味します。

既にセキュリティパッチが公開されており、修正済みバージョンはWordPress 7.0.2、6.9.5、6.8.6です。さらに懸念すべきは、既に公開エクスプロイトが出回り始めているという報告もあります。WordPress管理者の皆様には、直ちにアップデートを実施することを強く推奨します。

Zoom アカウント乗っ取り脆弱性──CVSSスコア9.8 の深刻度

オンラインコミュニケーションツールの代表格であるZoomにも、極めて危険な脆弱性が発見されました。CVE-2026-53412と追跡されるこの脆弱性は、CVSSスコアが9.8という最高水準の深刻度に評価されています。

この脆弱性の問題は、ネットワークアクセスのみで、認証なしに未認証攻撃者がユーザーのアカウントを乗っ取ることが可能という点です。Windows版のZoom WorkplaceおよびそのSDKが影響を受けており、複数のセキュリティアップデートが公開されています。

SharePoint Server の複数脆弱性が実際に悪用中

マイクロソフトのSharePoint Serverについても、複数の深刻な脆弱性が報告されており、既に攻撃者に実際に悪用されていることが確認されています。CVE-2026-32201、CVE-2026-45659、CVE-2026-56164といった識別子が割り当てられています。

これらの脆弱性を悪用することで、攻撃者は認証をバイパスしてリモートコード実行を行い、IISマシンキーを窃取したり、Webシェルをサーバーに設置することが可能になります。既知の悪用済み脆弱性として、CISAのカタログにも追加されています。

SonicWall SMA のゼロデイ脆弱性──実環境での悪用を確認

セキュアアクセスアプライアンスとして広く使用されているSonicWall SMA 1000シリーズに、ゼロデイ脆弱性が発見されました。CVE-2026-15409（CVSS 10.0のSSRF）とCVE-2026-15410（高深刻度のコードインジェクション）の2件です。

特に懸念すべきは、これらの脆弱性が既に実環境で悪用されているという報告です。攻撃者がSSRFを悪用して内部限定サービスにアクセスした後、パストラバーサル脆弱性を使用してroot権限を奪取するという連鎖的な攻撃が確認されています。

Fortinet FortiSandbox でのコマンド実行脆弱性

マルウェア分析ツールとして使用されるFortinet FortiSandboxについても、深刻な脆弱性が報告されています。CVE-2026-39808およびCVE-2026-25089で、CVSSスコアは9.1です。

これらはOSコマンドインジェクション脆弱性で、認証なしの攻撃者が不正なコマンド実行を可能にするものです。CISAが既知の悪用済み脆弱性カタログに追加しており、連邦政府機関には7月19日までのパッチ適用を命じています。

macOS 向け情報窃取マルウェア「ClickLock Stealer」

新たなmacOS向けマルウェア「ClickLock Stealer」が発見されました。5月頃から活動しており、33カ国で少なくとも100人以上の被害者が確認されています。

このマルウェアの特徴は、ClickFixと呼ばれるソーシャルエンジニアリング手法を組み合わせているという点です。被害者に虚偽のCloudflare認証画面を見せ、ターミナルコマンドを実行させるよう誘導します。コマンド実行後、キーチェーン、ブラウザのデータ、暗号資産ウォレット情報が窃取され、Telegramのボットを通じて外部に送信されます。

OpenSSL の DoS 脆弱性「HollowByte」

広く使用されるOpenSSLライブラリに、サービス拒否脆弱性が発見されました。「HollowByte」と命名されたこの脆弱性は、認証なしの攻撃者がわずか11バイトのペイロードで、サーバーに不釣り合いなメモリ割り当てを引き起こすことができます。

修正済みバージョンはOpenSSL 4.0.1、3.6.3、3.5.7、3.4.6、3.0.21です。

7-Zip の RCE 脆弱性

ファイル圧縮ツール7-Zipにも、リモートコード実行脆弱性が発見されました。CVE-2026-14266で、XZチャンク処理におけるヒープベースバッファオーバーフロー脆弱性です。攻撃者が特別に細工した圧縮ファイルをユーザーに開かせることで、コード実行が可能になります。

カテゴリ別まとめ

脆弱性情報

今週報告された脆弱性の特徴は、深刻度が非常に高いものが集中していたという点です。WordPressの認証不要RCE、SonicWallのCVSS 10.0のSSRF、Zoomのアカウント乗っ取り脆弱性など、いずれも企業の基盤システムに関わるものばかりです。

これらの脆弱性のうち、SharePoint、Fortinet FortiSandbox、SonicWall SMAについては、既に攻撃者による実際の悪用が確認されています。

インシデント・侵害報告

セキュリティ侵害も複数報告されました。遺伝子検査企業23andMeのデータ漏洩和解（1,800万ドル）、会計事務所EYのサードパーティITプラットフォーム侵害、そしてコカ・コーラ傘下のFairlifeがランサムウェア攻撃を受けて米国内生産を停止するなど、大手企業での侵害が目立ちました。

AI 関連のセキュリティ動向

一方、AI関連では、OpenAIのGPT-5.6 Codexがファイル削除問題を引き起こしたこと、さらにロシア系の脅威アクターがGoogleのGemini CLIを悪用してボットネット構築を行ったという事例が報告されました。これらは、AI技術の強力さと同時に、その悪用リスクの増大を示唆しています。

今週の注目ポイント

先週のニュースを踏まえて、今週特に注目すべき点は3つです。

第1に、WordPress「wp2shell」脆弱性への対応です。5億以上のサイトが影響を受ける可能性があり、既に公開エクスプロイトが出回っているという状況は、極めて緊急性が高いです。

第2に、複数の脆弱性が既に実環境で悪用されているという事実です。SharePoint、SonicWall SMA、Fortinet FortiSandboxなど、企業が依存するシステムの脆弱性が既に悪用されています。

第3に、AIを利用した新たな攻撃手法の台頭です。Gemini CLIの悪用、GPT-5.6による予期しない行動など、AI技術そのものがセキュリティリスクとなり始めています。

クロージング

今週もセキュリティ脅威は多方面から押し寄せています。脆弱性対応、インシデント対応、そしてAIを含む新たな脅威への備え。これらすべてに組織的に取り組む必要がある時代になってきました。

それでは、今週も安全なIT運用を心がけていきましょう。東京セキュリティブリーフィングでした。また次回お会いしましょう。