メールセキュリティ
このタグの記事 3 件
CVE-2026-116606・CVE-2026-111560 — Barracuda Email Security Gatewayの認証回避とOSコマンド実行の脆弱性の解説と対応策（KEV掲載・期限11月13日・侵害の確認が必要）
Barracudaは2026年11月2日、Email Security Gateway（ESG）の認証回避（CVE-2026-116606、CVSS 9.3）と、ESG・ADC・BMA・WCC・WAF・WSGのOSコマンド実行（CVE-2026-111560、CVSS 8.6）を公表した。どちらも攻撃には管理画面への到達が要り、組み合わせるとroot権限に至り得る。勧告は、少数の組織への悪用を確認したと書いている（11月9日追記）。CISAはKEVに11月10日に追加し、期限は3日後の11月13日で、侵害の確認（フォレンジック）も求めている。当サイトの結論：更新だけで終わらせず、管理画面の到達範囲を絞り、証拠を残してから更新し、侵害の痕跡を確かめる。
DreamHostのインシデント（2026年10月）：File Manager経由のFTP・SFTPログイン情報が漏えい、一部のWebメールの認証情報も、契約者が今日やること
DreamHostは2026年10月29日、10月23日にWebベースのFile Manager（files.dreamhost.com）を動かすサーバーへの不正アクセスを見つけたと発表した。File Managerが使うサードパーティ製ソフトウェアの脆弱性が悪用され、8月ごろから10月23日までにFile Managerへログインした利用者のFTP・SFTPのユーザー名とパスワードが取得された。限られた数のWebメール利用者の認証情報も取得され、ごく一部ではWebメールの認証情報でメールボックスの内容が見られた可能性があり、同社は該当者に個別に連絡している。コントロールパネルのログイン情報と請求情報へのアクセスの証拠は見つかっておらず、カード番号の全桁は保存していないという。影響は、メールとFTP・SFTPのアカウントの約10%をかなり下回る割合とされ、件数は公表されていない。同社は11月2日にカリフォルニア州司法長官へ届出を行い、通知書の見本は1年間のID盗難対策サービスを案内している。10月23日からは予防措置として一部のパスワードを再設定済みで、契約者が管理画面で新しいパスワードを設定するまで、該当のメール・FTP・SFTPは使えない。当サイトの結論：8月以降にFile Managerを使ったなら、再設定の連絡がなくてもFTP・SFTPのパスワードを変え、保存先のツールも直し、メールの転送とフィルター、サイトのファイルに身に覚えのない変更がないかを確かめる。
フィッシングとは：手口の種類と、見分けるより確実な防御
フィッシングは、信頼できる相手になりすまして偽のログイン画面などへ誘導し、認証情報や個人情報を盗む（またはマルウェアを実行させる）詐欺。ソフトの脆弱性ではなく『人の判断』を突くのが特徴で、ランサムウェアや情報漏えいの最大の侵入経路。今は本物そっくりの偽サイトでワンタイムコードまで中継する中間者型(AiTM)があり、SMS/アプリのMFAも突破されうる。確実な防御は『見破る注意力』ではなく、ドメインに紐づくフィッシング耐性MFA(パスキー/物理キー)・リンクを踏まず公式へ直接・メール認証(SPF/DKIM/DMARC)。