Security News Daily

Magento未修正ゼロデイとWordPress臨界攻撃、VMエスケープが同時多発

Magento/Adobe Commerceの未修正ゼロデイ、Elementor ProのCVSS 9.8脆弱性、VMwareのVMエスケープ、ブロックチェーン悪用のClickFixキャンペーン、教育機関を狙うPaperCut攻撃など、複数のクリティカルなセキュリティ事象が同時に発生した。

緊急ゼロデイ脆弱性eコマース・CMSVMエスケープブロックチェーン悪用教育機関

今日のハイライト

eコマース基盤（Magento/Adobe Commerce）の未修正ゼロデイと、WordPressプラグイン（Elementor Pro）のCVSS 9.8脆弱性が進行中に大規模に悪用されており、オンラインストアと一般Webサイトの侵害が急増している。さらにVMwareのVMエスケープや、ブロックチェーンを悪用したマルウェア配信など、攻撃者の手法が多層化・高度化している一日となった。

1. MagentoとAdobe Commerceの未修正ゼロデイ、オンラインストアをバックドア化

重要度: 🔴 Critical (10/10) | カテゴリ: ゼロデイ | ソース: The Hacker News

概要

eコマースセキュリティ企業Sansecが発見した、Magento Open SourceとAdobe Commerceの未修正ゼロデイ脆弱性が悪用されている。攻撃者はサーバーへのログインなしに悪意のあるコードを実行可能であり、オンラインストアのバックドア化や顧客データ・決済情報の窃取リスクが極めて高い。9月5日に報告され、現時点でパッチは未公開の状態にある。

考察

eコマースプラットフォームは直接金銭情報と個人情報に関わるため、ゼロデイの影響は致命的と言える。Adobe側のパッチリリースを待つ間、組織はWAF（Web Application Firewall）による仮想パッチや、管理者パネルへのIP制限、Magecartなどの既知スキームに対する外部スクリプト監視を即座に実施すべきである。Sansecの報告に注目が集まる中、攻撃者は顧客データのダンピングや、長期間気づかれない永続化を狙っていると考えられ、ファイル整合性監視（FIM）と不正なコード実行のログ監視の強化が最低限の対策となる。

参照元

2. Elementor ProのCVSS 9.8脆弱性、190,000回以上の攻撃を確認

重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: SecurityWeek

概要

WordPressプラグイン「Elementor Pro」に存在する任意ファイルアップロードの脆弱性（CVE-2026-32475、CVSS 9.8）が、パッチ公開直後から悪用されている。バリデーションループが空のアップロードスロットで早期リターンする論理エラーを突き、PHPペイロードが検証をすり抜けてディスクに書き込まれる。Defiantは190,000回以上の攻撃をブロックしており、Elementorの約1,000万インストールのうち約2/3が脆弱なバージョンを実行していると推定される。修正版は4.2.2（8月19日リリース）。

考察

ファイルアップロード処理における「空要素によるバリデーションバイパス」は、配列入力の境界値処理を見落とした典型的な実装ミスである。影響範囲が600万以上のアクティブインストールに及ぶため、全サイト管理者は即座に4.2.2へのアップデートを行う必要がある。すでに侵害の可能性がある場合は、/wp-content/uploads/elementor/forms/ ディレクトリ内のPHPファイルの有無を確認し、/wp-admin/admin-ajax.php への不審なリクエストログを精査すべきである。WordPress環境ではプラグインの自動更新を有効化しつつ、WebサーバーがアップロードディレクトリでPHPを実行できないよう設定する防御纵深も併せて検討したい。

参照元

3. 5,400以上のサイトが侵害、ブロックチェーン上のClickFixペイロードを配信

重要度: 🔴 Critical (9/10) | カテゴリ: マルウェア・ランサムウェア | ソース: BleepingComputer

概要

5,400以上の中小企業Webサイトが侵害され、訪問者に対してBNB Smart Chain（BSC）のスマートコントラクトに保存されたClickFixペイロードを配信する大規模キャンペーンが進行中である。攻撃者は既存のWebサイトを改竄し、ブロックチェーンを悪意のコンテンツ配信インフラとして悪用している。

考察

従来のマルウェア配信はドメインやCDN、侵害されたサーバー上のファイルに依存するが、ブロックチェーンをペイロードストレージとして利用することで、DNSブロックやURLフィルタリング、テイクダウンといった既存の対策を大幅に回避できる。スマートコントラクトは一度デプロイされると改ざんが困難であり、半永続的なC2/配信基盤として機能する。組織はWebサイトの改竄監視（ファイル整合性監視）に加え、エンドポイントでPowerShellやmshtaなどの予期せぬプロセス起動を監視し、「ブラウザからコピペしたコードを実行させる」Social Engineering手法へのユーザー教育を強化する必要がある。

参照元

4. VMware Workstation/FusionにVMエスケープのクリティカル脆弱性

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

VMware WorkstationとFusionに存在する整数オーバーフロー脆弱性（CVE-2026-59346、CVSS 9.3）が修正された。仮想マシンの管理者権限を持つ攻撃者がホストOS上で任意のコードを実行可能なVMエスケープであり、開発者や企業のテスト環境で広く利用されている製品への影響が大きい。

考察

VMエスケープは、仮想化技術が前提とする「ゲストとホストの厳格な分離」というセキュリティ境界を根本から破壊する。特にWorkstationやFusionは、開発者のローカルPCや社内のテスト環境に導入されることが多く、VM内での検証作業中のマルウェアから企業内網への横展開というシナリオが現実味を帯びる。パッチの適用は最優先だが、それまでの間はVMネットワークをホスト側や社内LANから分離し、ホストOS側のEDR（エンドポイント検出応答）を最大限に強化すべきである。開発者向けツールの脆弱性は、セキュリティ対策が薄いテスト環境を経由した標的型攻撃の足がかりとなりやすい点も留意したい。

参照元

5. PaperCut脆弱性で米欧の教育機関が認証情報窃取被害

重要度: 🟠 High (8/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

米国と欧州の教育機関を標的に、印刷管理ソフト「PaperCut」の新たに開示された認証バイパス脆弱性（CVE-2026-81578およびCVE-2026-82078）が悪用されている。攻撃者はこれらの脆弱性を突いて認証情報を窃取しており、学校・大学などの公共性の高いセクターへの影響が拡大している。

考察

PaperCutは教育機関で広く採用されるため、一度侵害されると多数のユーザー（教職員・学生）の認証情報が一括で漏洩するリスクがある。教育機関はリソース制約からパッチ適用が遅れがちな傾向があり、印刷管理サーバのネットワーク分離と、PaperCutが参照するAD/LDアップやSSOへの異常ログイン監視が即座に実施できる対策となる。認証情報窃取を起点とした後続の攻撃（VPNやメールシステムへの横展開）を防ぐため、漏洩が疑われるアカウントの即座の資格リセットと多要素認証（MFA）の強制適用も併せて行うべきである。

参照元

まとめ

2026年9月6日のセキュリティニュースは、Web層のeコマース/CMS基盤（Magento、WordPress）と仮想化・教育機関インフラが同時に標的となった点で特筆すべきである。未修正のMagentoゼロデイとElementor Proの大規模悪用は、インターネット上のビジネス継続性を直撃する緊急事態である。さらに、ブロックチェーンを悪用したマルウェア配信は従来のネットワーク防御をすり抜ける新たなトレンドとして注視が必要だ。

組織は単なるパッチ管理に留まらず、WAFによる仮想パッチ、ファイル整合性監視、VMネットワークの分離、エンドポイントでのPowerShell/スクリプト実行監視など、多層防御と仮定違反に基づく監視の強化が急務である。特にパッチ未公開のMagentoゼロデイは、今後数日以内の対応が被害規模を左右する。

参照元