【セキュリティニュース】2026年4月30日号｜2りんかんアプリで会員情報漏えいの可能性／CrowdStrike LogScaleに認証不要の任意ファイル読取脆弱性／Fortinetが計11件の脆弱性をまとめて修正
secure
セキュリティニュース
2026年4月30日
編集部
2026年4月30日
編集部
【セキュリティニュース】2026年4月30日号｜2りんかんアプリで会員情報漏えいの可能性／CrowdStrike LogScaleに認証不要の任意ファイル読取脆弱性／Fortinetが計11件の脆弱性をまとめて修正
ゴールデンウィーク連休中の中盤に差し掛かる本日、注視しておくべき動きが3件あります。第1にイエローハット子会社「2りんかんイエローハット」が4月20日夕刻に検知した不正アクセスについて、4月23日にアプリ会員情報の漏えいの可能性を公表しました。アプリパスワードが漏えい範囲に含まれている点が中小企業にも示唆的な事案です。第2にCrowdStrikeが自社運用型ログ管理製品「Falcon LogScale」に認証不要で任意ファイルを読み取れる脆弱性CVE-2026-40050（CVSS 9.8）を公表、自社ホストで運用している組織は連休中もパッチ適用を急ぐ必要があります。第3にFortinetが4月14日にFortiSandbox／FortiAnalyzerなどに計11件の脆弱性をまとめて修正、Critical 2件・High 2件を含み、境界機器・セキュリティ運用基盤の点検対象に加わります。
編集部まとめ
本日の3件は、いずれも「守る側のシステム」が侵害／脆弱性の対象になっている点で共通します。会員アプリのパスワードDB、ログ集約基盤、サンドボックス／アナライザ——どれも本来は「攻撃から身を守るための仕組み」であるはずが、設計・運用の隙を突かれれば最も大きな打撃を受ける急所になります。中小企業にとっての教訓は、セキュリティ製品の導入をもって対策完了とせず、製品自身のパッチ管理と運用権限の最小化を平時から運用に組み込むことです。
連休中も保守ベンダー・委託先と連絡が取れるか、緊急時の連絡フロー（インシデント検知→ネットワーク遮断→経営層報告→個人情報保護委員会報告）が機能するかを、各社の連休最終日までに改めて確認しておきましょう。次号は5月1日連休中ニュース号で、引き続き重要動向をお届けします。
参考情報
- →株式会社イエローハット「当社連結子会社（株式会社2りんかんイエローハット）における個人情報漏えいの可能性に関するご報告」（2026年4月23日）
- →2りんかんイエローハット「【重要】『2りんかんアプリ』をご利用のお客様へ：個人情報漏えいの可能性に関するお詫びとご報告」（2026年4月23日）
- →Security NEXT「『2りんかん』でサーバ侵害——顧客情報が流出した可能性」（2026年4月）
- →INTERNET Watch「イエローハットグループの二輪用品店『2りんかん』に不正アクセス、会員の個人情報漏えいの可能性」（2026年4月）
- →日本経済新聞「イエローハット、子会社の顧客情報漏洩か 不正アクセス被害を発表」（2026年4月23日）
- →CrowdStrike セキュリティアドバイザリ CVE-2026-40050（Falcon LogScale Self-Hosted）
- →NVD CVE-2026-40050 詳細（CVSS v3.1: 9.1）
- →SecurityAffairs「Critical bug in CrowdStrike LogScale let Qualyreles lef Attackers access files」（2026年4月）
- →Fortinet PSIRT 月次アドバイザリ（2026年4月14日）
- →iototsecnews「Fortinetの11件の脆弱性がFIX：FortiSandbox／FortiOS／FortiAnalyzer／FortiManagerに影響」（2026年4月14日）
yle="font-size:.88rem; color:#444; margin-bottom:.3em; padding-left:1.2em;">→The420.in「Unauthenticated File Access Flaw in CrowdStrike LogScale: CVE-2026-40050 Raises Alarm」（2026年4月）
