テーマ
Web とアプリの脆弱性を突く攻撃
Web アプリやソフトウェア部品、クラウドの設定の弱点を突く攻撃です。SQL インジェクション、ゼロデイ、サプライチェーン攻撃と、それが大きな被害につながった事例をまとめました。
要点
- このテーマ Web アプリやソフトウェア部品、クラウドの設定の弱点を突く攻撃です。
- 収録 手口 6 種、グループ 1 組、事例 4 件を、このページから引けます。
- 日本の数字 情報セキュリティ10大脅威2026 組織向けの順位（サプライチェーンや委託先を狙った攻撃）は 2026年に 2位でした（IPA）。
最終確認日 （このテーマのページのうち最新）
手口
- サプライチェーン
攻撃(ソフトウェア 事例 1・グループ 0供給網) - ゼロデイ攻撃 事例 1・グループ 0
- SQLインジェクション 事例 1・グループ 0
- クロスサイトスクリプティング 収録データにはまだ出ていない
- DDoS攻撃 収録データにはまだ出ていない
- クラウドの
設定不備 収録データにはまだ出ていない
2位
情報セキュリティ10大脅威2026 組織向けの順位（サプライチェーンや委託先を狙った攻撃）（2026年、サプライチェーン攻撃(ソフトウェア供給網)）
出典 IPA
9位
情報セキュリティ10大脅威2026 組織向けの順位（DDoS攻撃（分散型サービス妨害攻撃））（2026年、DDoS攻撃）
事例
-
MOVEit Transfer の脆弱性の大規模悪用
侵入口 インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた
-
Log4Shell (Apache Log4j の脆弱性)
侵入口 Log4j 2 の JNDI 機能が攻撃者の用意した LDAP などの接続先を防げず、ログに書かせた文字列から任意のコードを読み込んで実行させられた
-
SolarWinds Orion のサプライチェーン侵害
侵入口 Orion のソフトウェアのビルドシステムが侵害され、2020年3月から6月に出た正規の更新に悪意あるコードが入った
-
Equifax の個人情報流出
侵入口 2017年3月7日に公開された Apache Struts の脆弱性を修正しないまま、オンラインの苦情受付ポータル (ACIS) で使い続け、そこを突かれた
関係する自社データ
Web の攻撃は、使われている CMS やサーバーの弱点を狙います。国内企業の公式サイトで何が使われているかを数えた一次データです。