commune-2026 · 公表 2026-10-08

Commune：招待リンクと管理者権限の悪用による会員情報漏えい

提供元はシステムの不備を突いた一般会員・管理者へのなりすましを公表しました。漏えいした会員は約30.7万人の推計で、従業員・デモアカウントも含みます。メンテナンス中の残存経路も悪用されました。

実装の脆弱性

確認範囲: 侵害を確認

侵入経路と確認できたこと

公表で確認
非公開コミュニティの招待リンクを不正に取得して登録し、管理者になりすまして閲覧・取得・上書きを行ったと公表しました。
[s1]§3 原因
公表で確認
漏えいした会員は約30.7万人の推計です。同一会員IDの重複と攻撃者のアカウントを除き、従業員・デモアカウントも含みます。
[s1]§2 影響範囲および漏えいした情報
公表で確認
10月7日にはメンテナンス中に残った通信経路で不正登録・閲覧があり、14時58分に遮断しました。
[s1]§1 経緯
公表で確認
パスワードとダイレクトメッセージの漏えいは確認していません。144人のパスワードが本人の操作によらず変更されました。
[s1]§2 影響範囲および漏えいした情報

未評価。この事例には編集者の仮説をまだ追加していません。安全性や原因の確定を示すものではありません。

運用・設定を点検

認可とメンテナンス時の遮断を点検する事例です。修正対象の実装や、更新前の具体的な認可条件は非公表です。

編集上の評価。責任や過失の認定ではありません。 [s1]

AIの関与不明

確認した一次資料からは、攻撃者によるAI利用を判断できません。

製品依存のCVE、招待リンクの取得方法、管理者になりすました詳細は未公表です。約30.7万人は調査で変わる推計です。