今週の世界版ニュースで最も件数が多かったのはCitrix NetScalerのゼロデイ大量悪用、次いでAIエージェントが絡む事件でした。この2つは日本への影響が特に大きいため、別記事「日本×世界 横断分析」で詳しく扱います。この記事では、それ以外で日本にも当てはまる教訓を持つ3件を取り上げます。

どうやってすり抜けたか

1. 6月：PeopleSoftの「Environment Management Hub（PSEMHUB）」という部分に、ログインなしで命令を実行できる穴が見つかり、ゼロデイとして悪用。Oracleは6月11日に修正を公開。
2. その後：多くの組織は、すぐにパッチを当てる代わりにWAFで /PSEMHUB/ への通信を止める対策をとりました。
3. 9月：ShinyHuntersと関係するとされる攻撃者（UNC6240）が、/PSEMHUB/ の「P」をURLエンコードした %50 に置き換えて /%50SEMHUB/ と送信。多くのWAFは「文字のまま」照合するので素通り。一方、裏のWebLogicサーバーは %50 を「P」に戻してから処理するため、穴のある部分に届きました。
4. 侵入後：Webシェル（外から操作するための裏口ファイル）x.jsp・u.jsp を設置し、バックドア「SIDEEYE」や通信を中継する道具を送り込みました。

これが起こるとどうなるか：FBIへの攻撃を主張

ShinyHuntersは9月22日ごろ、PeopleSoftの穴を使ってFBIの採用サイト関連システムに侵入し、2〜3TBのデータを盗んだと主張しました。FBIは「FBIjobs.govに影響する不正な活動の主張を把握し、調査している」とコメントしていますが、侵入やデータ窃取は確認していません。ShinyHuntersは、WAF回避に加えて「新しい未知の脆弱性」も使ったと主張していますが、これも未確認です。

何が起きたか

1. 入口：Bitgetが使っていた外部のセキュリティ製品に、修正プログラムがまだ存在しない穴（ゼロデイ）があり、そこを突かれて社内の高い権限の認証情報を奪われました。製品名は公表されていません。
2. 9月24日：攻撃者は、ウォレットを管理するバックエンドに不正な出金命令を差し込みました。
3. 18時31分（UTC）：まず少額のテスト送金を2回。リスク判定の基準額を下回っていたため、警報は鳴りませんでした。
4. 約30分後：大口の送金を実行。CEOは「正規の認証情報を使い、いつもの管理作業に見せかけていた」と説明しています。

🏢 企業の担当者

1. 「WAFで止めているだけ」のシステムを洗い出し、パッチ期限を決める。PeopleSoftを使っていれば、ログで /PSEMHUB/ と /%50SEMHUB/ などの変形を検索。
2. セキュリティ製品・境界機器を「守られる側」としても管理する。更新状況、管理者アカウント、製品が持つ権限を棚卸し。
3. 社用のiPhone・iPad・Macを今週中に修正版へ。役員・広報・研究部門を優先。

👤 個人

1. 今日、iPhone・iPad・Macをアップデートする。iOS／iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1。
2. 自動アップデートをオンにする。次のゼロデイに間に合わせるため。
3. 暗号資産は「取引所に置きっぱなし」にしない選択肢も考える。今回は補填されましたが、どの事業者でも同じとは限りません。

金額は報道で差があります（The Hacker News「$388M」「$351.6M」、Infosecurity「$387.5m」）。本文では「約3.9億ドル（約3.5億〜3.9億ドル）」と表記しました。