脆弱性・注意喚起
予防的な注意喚起です。実際の攻撃・情報漏えいが確認された事故とは区別し、インシデントデータベースの事故件数には含めていません。情報は各項目の確認日時点のものです。最新の修正版・影響範囲は公式情報で確認してください。
掲載件数: 100件最新の確認日時:
Apple Safari 27.2のセキュリティ更新（WebKit等のCVE33件、任意コード実行・Web Contentサンドボックス脱出を含む）
公式公表日・状態: Appleは米国時間2026年10月26日にSafari 27.2を公開し、同日付のセキュリティコンテンツ情報で33件のCVEの修正を公表した。修正版の公開は個別端末への適用済みを意味しない。
内容・対応を確認する
- 対象製品: Safari 27.2の提供対象はmacOS SequoiaとmacOS Tahoe。修正対象のコンポーネントはWebKit（Canvas、JavaScript Bindings、Process Modelを含む）、WebRTC、LinkPresentation。
- 想定影響: 細工されたWebコンテンツの処理による任意コード実行のおそれ8件（CVE-2026-112697、112655、112651、112623、112659、112639、112637、112626）、リモートの攻撃者によるWeb Contentサンドボックスからの脱出のおそれ1件（CVE-2026-113897）、プロセスメモリーの開示のおそれ2件（CVE-2026-112699、112680）。ほかにメモリー破壊、プロセスやSafariの予期しない終了、ロックダウンモードで制限されたメディア形式の利用（CVE-2026-113952）など。
- 悪用・被害状況: Apple公式資料には、これらの問題が悪用された可能性についての記載はない。実悪用、特定の被害組織、情報漏えいは確認できない。未確認を未発生と断定しない。
- 対応: 対象のmacOSでSafariを27.2に更新し、適用を確認する。修正版の公開と各端末への適用完了は別々に確認する。
PHP重大脆弱性2件：修正版公開と攻撃試行の観測
PHP公式の10月21日付告知で、CVE-2026-109618・CVE-2026-109619を修正したPHP 8.5.12・8.4.27・8.3.36・8.2.35の公開を確認。認証なしのリモートコード実行につながる重大な脆弱性で、事前予告のCVSS v4.0評価は双方9.2。公開予定から公開済みの情報へ更新した履歴を維持する。
内容・対応を確認する
- 技術詳細と影響: PHP公式はCVE-2026-109618をメモリー不足時の内部リクエストデータの不完全初期化とクリーンアップ処理、CVE-2026-109619を解放済みメモリーに紐づく古いグローバル状態の利用に関連すると説明。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなどWebリクエストを処理するPHP環境が対象で、PHP公式は特にmod_phpのリスクを高いと説明している。CloudflareはPHP 5.4以降のWebサーバーに影響すると記載している。
- 攻撃試行の観測: Cloudflareの2026年10月21日付公式ブログは、自社顧客を標的とする攻撃トラフィックとペイロード変更の試行を観測したと公表。WAFによる検知・遮断の説明であり、侵入成功、特定組織での被害、個人情報漏えいを確認したことにはならない。IPAの事前告知での「悪用した攻撃を確認していない」は、その時点の説明として保持し、後続の観測情報と区別する。
- 追加発信: ユーザー指定の高市早苗氏のX投稿を同じ注意喚起の参照に追加。共同通信の10月21日22:16配信記事は、同氏が同日夜にXで修正プログラムの迅速な適用に向けた準備を呼びかけたと報道している。X原文は直接取得できていないため、投稿内容の確認は報道による補助照合として区別する。
- AWS追加確認（2026年10月21日公表）: Amazon Threat IntelligenceはPHP2Shell（CVE-2026-109618／CVE-2026-109619）の攻撃試行をMadPotで10月17日から観測。10月21日の脆弱性公表・修正版公開後にも多数の試行を検出した。実際の対象システムでの攻撃成功は不明とAWSが明記。脆弱なPHP環境は10月17日以降のアクセスログとプロセス痕跡を点検し、既公開の修正版を適用する。観測された試行と侵害成功・情報漏えいは区別する。
- Unit 42公式の侵害後活動続報（2026年10月23日12:30 PDT更新＝10月24日04:30 JST）: PHP2Shellに関する調査で、欧州の政府機関に対する侵入後、AIエージェント型の挙動を示す攻撃者が初期侵入から約2時間以内にパスワードハッシュとMFAの秘密情報にアクセスし、Active Directoryに向けたNTLMリレートンネルを構築し、Domain Adminへの権限昇格を試みたとUnit 42が観測報告。これは同社の侵害後活動の確認であり、個別CVEによる初期侵入の確定、被害人数や個人情報の流出件数を意味しない。公開済みPHP修正版を適用し、10月17日以降のWeb/PHPワーカーのログ、認証情報アクセス、ADの異常なリレー・権限操作を調査する。Unit 42のハンティングクエリは他のWeb脆弱性にも反応し得るため、検出のみで当該CVEの悪用を断定しない。
- 対応: PHP 8.5.12・8.4.27・8.3.36・8.2.35または提供元の同等修正版を速やかに適用する。PHP公式は完全な緩和策はなく、更新が唯一の確実な対処と説明。PHP 8.1以前はPHP本体によるサポートが終了しており、配布元のバックポートか対応版への移行を確認する。Cloudflareは10月21日03:02 UTC（日本時間12:02）からWAFの既定の保護を提供したと説明するが、WAFのみで更新を代替できるわけではない。
- QNAP製品への影響（2026年10月22日の公式続報）: 同じCVE-2026-109618・CVE-2026-109619は、QNAPのQTS 6.1.0・5.2.11以前、QuTS hero h6.1.0・h6.0.x・h5.2.11以前、QuTScloud c5.2.9以前、QuMagie 2.10.1以前、Note Station 3 3.9.14以前、QNE（ADRA）1.0.7以前、QVR Surveillance 3.0.3以前（ARM32）、TVR OS 1.0.4以前にも影響するとQNAPが発表。PHP本体の修正版は10月21日公開済みだが、QNAP製品向け修正版は10月22日時点で開発中・公開日未定。該当機器はインターネットへの直接公開とルーターのポート転送・UPnPを停止し、VPNまたは信頼済みネットワークからのみアクセスさせ、不要なPHPアプリ・Webサービスを停止して侵害痕跡を確認する。暫定的な緩和策は修正版適用の代替にならない。QNAP製品を標的とする実悪用の報告は同社の公表時点で未確認。
- Cisco製品への影響（Cisco公式セキュリティ告知v1.4、2026年10月22日23:00 GMT＝23日08:00 JST更新）: 既存CVE-2026-109618／CVE-2026-109619について、Ultra-Reliable Wireless Backhaul（URWB）、Expressway Series、Expressway Select Seriesに影響を確認。URWBの修正版予定27.1.1は2027年2月見込み、Expressway系15.5.21の公開日は未定であり、修正済み・配布済みとは扱わない。URWBの悪用には管理者認証が必要で同製品のCisco評価CVSS v3.1は6.6。Catalyst CenterやMeraki Dashboardなどは依然調査中で影響確定ではない。Cisco PSIRTはCisco製品への実悪用を把握していないとしている。同一CVEの製品別続報として既存ADVに追記し、独立事故にはしない。
- ソフトバンクの緊急速報メール停止（2026年10月23日公式公表）: PHPの脆弱性への緊急対応により、ソフトバンクは同日06:47 JSTからソフトバンク、ワイモバイル、LINEMO向け緊急速報メールを一時停止した。緊急地震速報、津波警報、災害・避難情報が当該経路では届かず、Yahoo!防災速報などの代替経路を案内している。10月26日完了は予定であり復旧済みではない。原因CVEや悪用・漏えいの有無を公式告知は特定しておらず、既存CVE-2026-109618／109619との因果関係を断定しない。独立した事故には計上しない。
- NEC Aterm製品は影響なし（2026年10月26日の公式告知）: NECのAtermStationは、CVE-2026-109618／CVE-2026-109619についてAterm製品・サービスへの影響を確認した結果、当該脆弱性の影響を受けないことを確認したと公表した。一部のAtermシリーズではクイック設定Webの画面URLに「/index.php」と表示される場合があるが、当該PHPは使用していないと説明している。新たな情報があれば同ページで公表するとしている。製品別の非該当の続報として既存ADVに追記し、独立事故にはしない。
Windows版.NETのMsQuic HTTP/3に認証不要の遠隔コード実行脆弱性（CVE-2026-105016、CVSS v3.1 9.8）
公式公表日・状態: Microsoft .NETチームが2026年10月13日にCVE-2026-105016の注意喚起を公表した。修正済みパッケージと.NETのセキュリティ更新は公開済み。ただし個別システムへの適用済みは確認していない。公式公表日を侵害発生日と混同しない。
内容・対応を確認する
- 対象製品・成立条件: Windowsで脆弱なMicrosoft QUIC（MsQuic）のHTTP/3通信処理を利用する.NET 8.0／9.0／10.0／11 RC2のアプリケーション。公式の影響パッケージ表はMicrosoft.Native.Quic.MsQuic.Schannel 2.5.11-ci.156755675を列挙。細工されたIPv6 QUICパケットが対象の受信経路に到達できることが成立条件。すべての.NETアプリやWindows端末に一律に成立するとは断定しない。
- CVE・CVSS・想定影響: CVE-2026-105016。Microsoft開発元のCVSS v3.1は9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。ヒープバッファオーバーフロー（CWE-122）により、認証や利用者操作を要さず、ネットワークから任意コード実行に至るおそれがある。
- 悪用・被害状況: 公式資料では脆弱性と修正手段を確認したが、実際の悪用、特定の被害組織、実際の情報漏えいは確認できない。未確認を未発生と断定しない。
- 修正版・回避策・対応: 対象となるサポート対象.NETランタイム／SDKに最新のセキュリティ更新を適用し、アプリケーションを再起動する。直接参照するMicrosoft.Native.Quic.MsQuic.Schannelは2.5.11-ci.159417053以降に更新する。自己完結型（self-contained）アプリは修正版で再ビルド・再配布する。dotnet --info等で利用中バージョンを確認し、修正版公開と実環境での適用完了は別々に検証する。
eMudhra中間CA秘密鍵の問題とFirefox証明書保護更新
公式公表日: 2026-10-20。Mozillaが2026-10-17 20:06 UTCに報告を受けた、eMudhraの中間CA証明書8件に関連する秘密鍵の問題。これらが悪用されると、攻撃者が不正なHTTPS証明書を用いてサイトを偽装できるおそれがある。個別の侵害成功・利用者の情報漏えいは今回確認できない。
内容・対応を確認する
- 影響と不確実性: eMudhraは対象を特定の中間認証局証明書に限定して調査中と公表し、ルートCA秘密鍵への影響はないと説明。鍵の問題そのものに割り当てられたCVEやCVSSの値は確認できない。FirefoxのCVE-2026-113470は証明書ブロックリストの保護機構に関係する別の識別番号。
- 対応状況: Mozillaは10月17日にOneCRLで該当証明書をブロックし、一般的なFirefox設定へ配信した。配信を受け取れない設定向けにFirefox 158.0.1、Firefox ESR 115.43.1および153.5.1を公開し、NSS 3.131.1の信頼証明書リストも更新。
- 推奨対応: Firefox・ESR・NSSを該当修正版へ更新し、独自の信頼ストアやリモート更新を無効化した環境を点検する。該当証明書が不正に利用されたと断定しない。
- 2026年10月22日の重要続報: eMudhraは世界向けSSL/TLS証明書事業からの自主撤退を取締役会が決定したと公式発表。発見から14時間以内に問題の中間CAを失効し、対象CAからエンドエンティティ証明書は発行されず、同社インフラの侵害やデータ漏えいはなかったと説明した。G1 RSAルートは顧客移行完了まで維持し、提携先経由の代替証明書を無償で提供する計画。自主撤退の決定は全顧客の移行・完全停止済みを意味しない。
- Pythonツールへの追加の重要対策（Python Software Foundation側の2026年10月20日発表を10月24日に照合）: eMudhra／emSignの中間CA証明書問題ではPythonのTLS信頼チェーンに影響し得る。Python packaging関係者はcertifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4、pixi 0.82.1以上への更新と、古い証明書を含むコンテナイメージの再構築を推奨。pipはシステムの証明書ストアに加えて組み込みcertifiを利用するため、OS側だけで不審CAを失効させても旧pipの信頼経路は更新されない。既存の仮想環境も点検・更新する。Python 3.15.1／3.14.9／3.13.17の緊急更新はpip 26.2.2を同梱済み。各環境での実際の更新・不正な中間者攻撃成功は未確認であり、このCA問題とLiteLLMの別の配布基盤侵害を混同しない。
- Oracle Java／GraalVMへの同一eMudhra認証局問題の公式続報: Oracleは2026年10月21日、影響を受けた中間CA証明書への信頼を停止するため、JSSEに関するCVE-2026-91403を緊急公表。Oracle評価はCVSS v3.1 9.1（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）。該当JSSE APIに到達できるネットワーク経路では認証不要の攻撃が成立し得て、機微データの不正参照・改変につながる。公式リスク表の影響版はOracle Java SE 8u511／8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1、Oracle GraalVM for JDK 17.0.21／21.0.13、GraalVM Enterprise Edition 21.3.20。同一のCA問題に対応するJava製品固有のCVEであり、個別組織への侵入・漏えいの確認や新たな事故件数は示さない。
- Oracle JDK追加対策（公式手順2026年10月23日更新）: Oracleは最新Java更新と証明書信頼の緩和策を公開。JDK 27.0.1.0.2、25.0.5.0.2、21.0.13.0.2、17.0.21.0.2、11.0.33.0.2または8u511 b32に更新済みでも、JVM再起動前に措置が必要と記載。利用中ランタイムを確認し、キーストアをバックアップ後に該当emsigneccrootcag3／comodoaaacaルートを削除するか、同社手順に従ってTLS失効確認（checkRevocation／CRLDP）を有効化して再起動する。Java Web Startの設定も個別に確認する。修正版公開と各環境への適用済みを区別する。
- Google/Firebase公式ガイド（2026年10月23日更新、10月24日照合）: eMudhra中間CAの問題は独自TLS証明書バンドルを組み込むFlutter/Dart、Firebase Cloud FirestoreクライアントSDK、Firebase App Distribution Gradleプラグインにも影響する。OS/ブラウザーの証明書失効設定のみでは配布済みアプリは保護されない。Android・Windows・Linux向けはDart 3.13.7以降／Flutter 3.47.8以降へ更新し再ビルド・再配布。AppleのFirestore SDKは13.1.1以降または12.19.3、FlutterFire cloud_firestoreは7.1.0以降（Apple向け6.10.1、Windows向け6.10.2も修正版）、Unityは14.1.0以降または13.17.1、C++は14.1.0以降または13.13.1を適用しアプリ再配布と利用者の更新が必要。Android App Distribution Gradleプラグインは5.3.1以降に更新すればよく、その対応のみならアプリ再配布は不要。GoogleによればFirestore／App Distributionバックエンドには影響がない。特定組織での実悪用・パッチ適用成功は確認できない。
- Electron開発元の2026年10月22日公式告知（10月24日照合）: 同じeMudhra問題による製品固有CVE-2026-115570／GHSA-jr5w-w6x2-84p9は、開発元のCVSS v3.1 7.4（High）。影響版は42.11.16未満、43.0.0-alpha.1以上43.8.1未満、44.0.0-alpha.1以上44.9.1未満、45.0.0-alpha.1以上45.0.0-beta.6未満。攻撃者が問題CAからの証明書を利用でき、アプリのTLS通信を傍受できる場合、HTTPS接続先を偽装し情報を閲覧・改変し得る。修正版42.11.16／43.8.1／44.9.1／45.0.0-beta.6ではChromium通信とNode.js tls／https／fetchを防護。開発元はアプリ側の代替回避策がないと明記。実悪用・特定顧客の漏えいは確認できず、既存ADVの続報とし新IDは発行しない。
- Apple公式の追加情報（10月24日照合）: 10月19日から影響する12件のTLS中間証明書を自動遮断し、10月23日からemSign ECC Root CA - G3も遮断。Safari、Mail、Appleの通信フレームワークは自動対策の対象。一方、macOS／Xcode Command Line Toolsのcurl、git、python3等が使用する/etc/ssl/cert.pemの信頼リストは将来のソフトウェア更新で対応予定。Appleは管理者向け暫定削除手順も公開しているが、正当なTLS接続が失敗するリスクがあるため公式手順とバックアップが必要。未来の更新を公開・適用済みと扱わない。
- 2026年10月25日開発元GHSA照合（既存eMudhra事案の続報）: certifiの影響版は2019.03.09以上2026.10.19未満で修正版は2026.10.19以降。uvは0.13.4未満が影響し0.13.4以降で修正。両アドバイザリともGitHub Reviewed評価はCVSS v4.0 9.1（Critical）で、当該2件のGHSAにはCVE未付番。問題の中間CA鍵を利用でき、TLS通信へ介入可能な攻撃者がHTTPS接続先を偽装し得るが、実際の中間者攻撃や特定利用者の被害は未確認。CA証明書ストアを同梱するコンテナ・仮想環境を更新する。同一原因の続報であり新規ADV・事故件数は加算しない。
- Python公式の2026年10月24日続報（CVE-2026-115557）: PythonのsslモジュールがeMudhraの失効済み中間CA鍵を明示的に拒否する防御強化を公表した。GitHub Advisory Database評価はCVSS v4.0 9.4（Critical）。問題の中間CA鍵を利用できTLS通信へ介入できる攻撃者はHTTPSなりすまし・情報の参照や改変が可能となり得るが、実悪用や特定被害は未確認。CPythonのPR #160042は10月24日にmainへマージ済み。ただしPython 3.11〜3.15へのバックポート作業中で競合が報告され、同修正を含む安定版の配布・利用環境での適用は確認できない。公式の修正版公開を確認して適用し、既存のcertifi/pipと信頼ストアの対策も維持する。これは既存eMudhra問題の続報であり新しいADV・事故は追加しない。
Postizのメディアパス突破と認証トークン偽造（CVE-2026-115932／115933、最大CVSS v3.1 9.9）
公式公表日・状態: 2026年10月24日、GitHub Advisory Databaseが両CVEを公開。同日Postiz開発元がPSA-2026-E9AHFV／PSA-2026-YT2HMHを修正したv2.25.3を公開済み。公表日は被害発生日ではない。
内容・対応を確認する
- 対象製品と成立条件: セルフホストPostizで修正前の脆弱なコードを含む版。両件とも一般利用者アカウントが必要だが、自己登録を許可する構成では外部者がアカウントを作成できる。影響開始版の詳細は未確認。
- CVE-2026-115932: 投稿メディアのパス検証不備（CWE-22）により、一般アカウントがサーバー上のアップロード領域外のファイルを参照させ、Discord等の連携先へ添付送信させ得る。GitHub Advisory DatabaseのCVSS v3.1は9.6（Critical）。
- CVE-2026-115933: 信頼できないクライアントの要求内容に署名してしまう問題（CWE-290）で、セッション・招待・パスワードリセット等に関係するトークン偽造や認証・権限回避のおそれ。GitHub Advisory DatabaseのCVSS v3.1は9.9（Critical）。
- 悪用・被害状況: 公開された開発元修正コミットと脆弱性資料は確認できるが、実悪用、特定企業の侵害、実際の情報漏えいは確認できない。
- 修正版・回避策・推奨対応: 開発元が即時更新を要請する2026年10月24日公開のPostiz v2.25.3を適用する。前日のv2.25.2は既登録の別問題CVE-2026-115931に対応するが今回の2件には不十分。更新までは新規登録・メディア連携の露出を制限し、異常な送信と認証トークン使用履歴を点検する。暫定緩和は更新の代替ではなく、配布済みと各環境への適用済みを区別する。
- 集計: 新規CVE2件をADV1項目として記録。既存Postiz ADVとは別問題。AI／LEAKの事故件数には加算しない。
Linux Btrfsの拡張属性更新によるメタデータ破壊（CVE-2026-98959、CVSS v3.1 9.8）
公式公表・更新日時: Linux CNAが2026年10月23日21:19 JSTに公開、10月24日23:09 JSTに更新。公表日と被害発生日は別。
内容・対応を確認する
- 対象製品・成立条件: LinuxカーネルBtrfs（fs/btrfs/xattr.c）。CRC32Cが衝突する複数の拡張属性が同一項目に入った状態で、異なる長さへ値を置換すると一部のメタデータが未初期化となる。CNAは書込可能なNFSv4.2エクスポートとAUTH_SYSを用いた遠隔悪用経路を説明するが、すべてのBtrfs構成に成立するものではない。
- CVE・CVSS・想定影響: CVE-2026-98959、Linux CNA評価CVSS v3.1 9.8（Critical）。メタデータ破壊・トランザクション中断・読み取り専用化に加え、成立条件次第で隣接データの開示やsecurity.capability属性の不正解釈による権限問題の可能性がある。漏えい・権限昇格の実被害は未確認。
- 悪用・被害状況: CNAは再現方法と上流修正を提示。実環境での悪用、侵害組織、影響人数は未確認。
- 修正版・対応: CNAの修正境界は6.6.160、6.12.113、6.18.57、7.2.11。各配布元の修正版とバックポートを確認して更新・再起動する。修正までBtrfs上の書込可能NFS、とくにAUTH_SYS構成の公開範囲とアクセス権を縮小する。修正版公開と適用済みは別。
Linux mlx5eのAF_XDPバッファ二重解放（CVE-2026-99078／99079、CVSS v3.1 9.8）
公式公表・更新日時: Linux CNAは2026年10月23日21:23 JSTに両CVEを公開、10月24日23:10 JST頃に更新。公表・確認日と実際の被害発生日は別。
内容・対応を確認する
- 対象製品・成立条件: LinuxカーネルのMellanox/NVIDIA mlx5eドライバーでAF_XDPゼロコピーとXDPリダイレクトを有効化した環境。CVE-2026-99078はstriding RQのMPWQE再補充、CVE-2026-99079はcyclic RQの再補充で、受信リング逼迫と割当失敗後の再試行で古いXSKバッファポインターを二重解放し得る。通常のLinux環境すべてに成立するものではない。
- CVE・CVSS・想定影響: Linux CNA評価は両CVEともCVSS v3.1 9.8（Critical）。継続的な外部パケットを契機とするバッファの二重所有・カーネルヒープ破壊により、サービス妨害や条件次第でメモリ開示・任意書込のおそれ。影響の技術的可能性と実害確認は別。
- 悪用・被害状況: 修正元は障害注入・ネットワーク負荷試験による再現と修正を記録。実運用での悪用、特定企業への侵害や情報漏えいは一次資料で未確認。
- 修正版・対応: Linux CNAが示す修正境界は6.6.160、6.12.113、6.18.57、7.2.11と上流修正コミット。実際のディストリビューション配布・バックポートを確認し適切なカーネルを更新・再起動する。更新までmlx5eのAF_XDPゼロコピー公開経路を制限する。修正版の存在は個別環境への適用済みを示さない。
WordPress Paytiumの未認証PHPオブジェクト注入（CVE-2026-114196、CVSS v3.1 9.8）
公式公表日時: Patchstack CNAが2026年10月24日17:00:13 JSTにCVE-2026-114196を公開。Paytium開発元は修正版5.0.6を10月21日付で記載。公表日時は被害発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: WordPressプラグインPaytium（paytium）5.0.5以前。開発元はフォームのpt_form_field [x-checkbox-y]パラメーターにあるPHPオブジェクト注入を修正した。任意コード実行の成否はガジェット等の環境に依存する。
- CVE・CVSS・想定影響: CVE-2026-114196、Patchstack CNA評価CVSS v3.1 9.8 Critical。ネットワーク経由・認証不要・利用者操作不要で、機密性・完全性・可用性への重大な影響のおそれ。
- 悪用・被害状況: 公的CVE原本と開発元変更履歴を確認。実悪用、特定サイト侵害、個人情報流出と被害人数は未確認。
- 修正版・対応: 公開済みのPaytium 5.0.6以降に更新し、公開フォームに対する異常リクエストを点検する。修正版公開と個別環境への適用済みは別。
WordPress Product Filter by WBWの未認証Blind SQL注入（CVE-2026-112866、CVSS v3.1 9.3）
公式公表日時: Patchstack CNAが2026年10月24日17:00:11 JSTにCVE-2026-112866を公開。開発元変更履歴には10月20日付の修正版3.4.7でSQL注入を修正したと記載。公表日時は侵害発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: WordPress用Product Filter by WBW（woo-product-filter）3.4.6以前。製品フィルター処理のBlind SQLインジェクションはネットワーク経由・認証不要で成立するおそれ。実際の影響範囲は設置環境に依存。
- CVE・CVSS・想定影響: CVE-2026-112866、Patchstack CNA評価CVSS v3.1 9.3 Critical（スコープ変更あり、機密性High、完全性None、可用性Low）。データベース内の情報が推測・抽出される可能性。
- 悪用・被害状況: 公式CVEと開発元のSQL注入修正履歴を確認。実環境での悪用、特定サイト侵害、情報流出と人数は未確認。
- 修正版・対応: 公開済みの3.4.7以降に更新し、公開フィルターのリクエストとDBログを点検。公開と個別環境への適用は区別する。
Bun HTTP/3 QPACK増幅による未認証サービス妨害（GHSA-cf8x-9m69-3gg3）
公式公表日時: Bun開発元が2026年10月24日にGHSA-cf8x-9m69-3gg3を公表（深刻度High）。CVE番号と数値CVSSは未公表。2026年10月20日の関連研究発表とは区別。
内容・対応を確認する
- 対象製品・成立条件: Bun 1.3.14以上1.4.4未満。HTTP/3を明示的に有効化したBun.serve（http3: true）、またはHTTP/3を指定したfetchが対象。QPACK圧縮ヘッダーの展開量・項目数制限不足が原因。HTTP/3は既定で無効で、HTTP/1.1・HTTP/2はこの問題の対象外。
- CVE・CVSS・想定影響: CVE未割当、数値CVSS未公表（開発元評価High、CWE-770）。認証不要の遠隔通信、または悪意ある接続先によりメモリ枯渇・CPU停止の恐れ。開発元試験では約6MBの通信で2GBメモリ制限に到達し、約20KBの要求で1分超の応答停止を再現した。
- 悪用状況: 開発元の再現試験は確認できるが、実環境での悪用・特定企業の被害や情報流出は確認できない。
- 修正版・対応: 公開済みBun 1.4.4以降に更新し、bun build --compileで旧ランタイムを内蔵した実行ファイルは再ビルドする。修正前は外部公開HTTP/3を無効化し、信頼できない接続先へのHTTP/3 fetchを避ける。
open62541 OPC UAクライアントの整数オーバーフローによるヒープ破壊（CVE-2026-116014、CVSS v4.0 9.2）
公式公表日時: VulnCheck CNAがCVE-2026-116014を2026年10月24日20:40 JSTに公開。開発元修正版open62541 v1.5.7は2026年8月20日に公開済み。CVE公表日と修正リリース日は別。
内容・対応を確認する
- 対象製品・成立条件: open62541 1.5.0以上1.5.7未満のOPC UAクライアント。悪意あるOPC UAサーバーがUA_Client_getRemoteDataTypes()経由で大型カスタムDataTypeを返すと、UA_DataType_fromStructureDescription()の16ビットmemSizeが桁あふれし、decodeBinaryStructure()でヒープ破壊を起こし得る。全OPC UAサーバーが無条件に侵害されるわけではない。
- CVE・CVSS・想定影響: CVE-2026-116014。VulnCheck CNAのCVSS v4.0 9.2（Critical）、v3.1 8.1（High）。クライアントの停止、条件次第で任意コード実行が生じ得る。
- 悪用状況: CVE公式レコードと開発元の修正を確認。実環境での悪用・特定施設の侵害・漏えい件数は未確認。
- 修正版・対応: 公開済みv1.5.7以降へ更新し、依存ライブラリ、組込みSDK、静的リンク済み実行ファイルへの修正取込を確認する。更新までは信頼できないOPC UAサーバーとの通信を制限し、OTネットワークを分離する。
WordPress Newslettersの未認証SQL注入・PHPオブジェクト注入（CVE2件、最大CVSS v3.1 9.8）
公式公表日時: Patchstack CNAがCVE-2026-111402とCVE-2026-94075を2026年10月24日17:00 JSTに公開。開発元は修正版4.18.2をWordPress.orgの更新履歴に記載。公表日は侵害発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: Tribulant SoftwareのWordPress用Newsletters（newsletters-lite）4.18.1以前。前者は購読者プロフィール管理の未認証SQLインジェクション、後者はデータベース更新通知解除処理の未認証PHPオブジェクト注入。実際の攻撃条件は導入設定に依存する。
- CVE・CVSS・想定影響: Patchstack CNA評価CVSS v3.1はCVE-2026-111402が9.3（Critical、機密性と可用性に影響）、CVE-2026-94075が9.8（Critical、機密性・完全性・可用性に重大影響）。あらゆる設置先で無条件にRCE可能とは断定しない。
- 悪用状況: 公式CVEと開発元修正履歴を確認。実環境での悪用、特定サイトの情報流出、被害人数は未確認。
- 修正版・対応: 公開済み4.18.2以降へ更新し、購読者管理のアクセスログと権限を点検する。修正版公開と適用済みは区別する。
Node.jsの10件のセキュリティ修正（Brotli RCE等）
公開日2026年10月21日。対象はNode.js 22.x、24.x、26.x。High 4件、Medium 3件、Low 3件。HighはBrotliデコーダーの遠隔コード実行CVE-2026-111497、DNS処理CVE-2026-105482、TLS検証回避CVE-2026-105483とCVE-2026-106069。CVE-2026-105483は24.x・26.xのみが対象。
内容・対応を確認する
- その他: CVE-2026-105481、CVE-2026-106072、CVE-2026-106074、CVE-2026-106070、CVE-2026-106071、CVE-2026-106073。残る9件の個別CVSS数値は未確認。対応は修正版22.23.4／24.22.1／26.12.1の適用。実悪用と被害企業の公表は未確認。
- 2026年10月23日政府注意喚起（続報）: シンガポールサイバーセキュリティ庁（CSA）はCVE-2026-111497の深刻度をCVSS v3.1 9.8（CSA評価）と公表。攻撃者制御のBrotli圧縮データをアプリケーションがnode:zlibで展開した場合、境界外書き込みによりクラッシュ、プロセスメモリの情報露出、遠隔コード実行が起き得る。影響版はNode.js 22.xの22.23.4未満、24.xの24.22.1未満、26.xの26.12.1未満。これらの修正版は10月21日に公開済みで、最新版への更新を推奨。10月23日の警告は侵害被害・実悪用を新たに確認したものではない。
- 2026年10月23日開発元公式続報（同一CVE・製品横断）: Envoyの公式Security Advisory GHSA-3wvj-j6qm-62mrはCVE-2026-111497がBrotli展開を有効にしたEnvoyにも影響すると確認。影響版はv1.39.2／v1.38.5／v1.37.7／v1.36.11、修正版はv1.40.0／v1.39.3／v1.38.6／v1.37.8／v1.36.12。Envoy開発元アドバイザリ掲載の評価はCVSS v4.0 9.2（Critical）であり、Node.jsに関するCSAのCVSS v3.1 9.8とは評価主体・版が異なる。開発元の当該告知では実悪用・具体的な被害組織は確認されず、同じCVEの続報として既存ADVを更新し、独立事故・ADVは増やさない。
- 2026年10月23日Bun開発元の予防的注意喚起（2026-10-25確認）: Node.js等と同一のBrotliデコーダーのCVE-2026-111497はBun >=1.0.21、<1.4.4にも影響する。Bun開発元GHSA-663w-cv8g-jj2pは重大度Highと評価し、Bun固有のCVSS数値は記載していない。修正版Bun 1.4.4は修正済みBrotli 1.2.1を同梱して公開済み。外部から受信した不正なBrotli圧縮データをfetchの自動展開、node:zlib、DecompressionStream等で処理すると、境界外書き込みが起こり得る。bun build --compileで生成した実行ファイルも修正版Bunで再ビルドする。Bunに対する攻撃成功・実悪用・具体的被害は開発元情報では未確認。fetchのdecompress: falseは該当経路の限定的な回避策であり更新の代替ではない。
- 2026年10月23日Pythonパッケージの公式セキュリティDB続報（2026-10-25確認）: GitHub ReviewedのGHSA-9v8h-qqgm-4m35でも同一CVE-2026-111497をPyPI brotli >=1.0.3、<1.2.1（修正版1.2.1）とbrotlicffi >=1.0.3、<1.2.1.0（修正版1.2.1.0）に適用。信頼できないBrotli圧縮データの展開時にクラッシュ、メモリ内容露出、任意コード実行のおそれがある。GitHub評価はCVSS v4.0 9.2（Critical）。Node.jsに関するCSAのCVSS v3.1 9.8とは版・評価元が異なる。対象パッケージを修正版へ更新する。いずれも既存ADVの製品横断続報であり、独立した脆弱性や被害確認済み事故を増やさない。前回の確認日時は2026-10-24 22:41:53 JST。
lwIP SMTPクライアントの重大バッファオーバーフロー（CVE-2026-15340、CVSS v3.1 9.8）
公式公表日時: CISAは2026年10月6日15:00 JSTにICSA-26-279-02を公開。IPAの2026年10月19日最終更新の制御システム脆弱性一覧でも注意喚起。今回の確認日と事故発生日は異なる。
内容・対応を確認する
- 影響版・成立条件: CISAが対象とするSavannah lwIP SMTP client 2.2.1。入力サイズ検証不備による古典的バッファオーバーフロー（CWE-120）。他の版や下流の製品への影響は未確認。
- CVE・CVSS・影響: CVE-2026-15340、CISA評価CVSS v3.1 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。機器停止やリモートコード実行を引き起こし得る。
- 悪用状況: IPAは攻撃コード「有り」と表示。ただし実環境での悪用成功、具体的被害組織や流出件数は一次資料で確認できない。
- 修正・対応: CISAによればxchglabsが修正patch_125_smtp_txbuf.diffを公開し、Gitコミット614420f82c8729d070e01464c0dddb3c9525c772で入手可能。製品への取込や適用済みは未確認。制御機器のインターネット公開を縮小し、ネットワーク分離と保守元へのパッチ状況確認を実施する。
Viidure Dashcamアプリのクラウドデータ露出と埋込み資格情報（2 CVE、最大CVSS 10.0）
公式公表日時: CISAが2026年9月29日15:00 JSTにICSA-26-272-07を公表。IPAが制御システム脆弱性一覧で注意喚起。確認日時を情報流出発生日とは扱わない。
内容・対応を確認する
- 影響版・成立条件: Viidure Dashcam Android Application 3.3.1.260403以前。CVE-2026-94204はクラウド保存領域の公開読取権限設定により、利用者記録・車載映像・ファームウェア等に第三者がアクセス可能となり得る。CVE-2026-96587はアプリ内に埋め込まれた平文の固定認証情報によりデータの読取・変更・削除が可能となる問題。
- CVE・CVSS・影響: CISA評価CVSS v3.1はCVE-2026-94204が7.5（High）、CVE-2026-96587が10.0（Critical）。アクセス可能性と実際の取得済みデータは別であり、被害人数・流出件数は未確認。
- 悪用状況: CISAは公表時点で両脆弱性を対象とする既知の公開悪用報告がないと明記。特定利用者の侵害・映像流出を確認した記録ではない。
- 修正版・対応: CISAは開発元が調整連絡に応答していないと説明し、修正版は確認できない。該当製品利用者は開発元へ是正状況を照会し、アプリのクラウド連携・アクセス権を点検する。修正版適用済みとは扱わない。
Go EchoのWebSocket拒否時トンネル化による認証・認可回避（GHSA-cxf3-9h37-7rr8、CVSS v4.0 9.1）
公式公表日時: Echo開発元が2026年10月22日にGHSA-cxf3-9h37-7rr8を公表し、GitHub Reviewed情報は10月23日に更新。今回の確認日は侵害発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: Go labstack/echo/v4 4.0.0以上4.16.1未満、v5 5.0.0以上5.4.1未満。外部から到達するEcho Proxy経路、WebSocketアップグレードを拒否しつつ接続維持する上流、独立した上流側認証・認可がない対象リソースが条件。
- CVE・CVSS・想定影響: 当該GHSAではCVE未付番。GitHub Reviewed評価はCVSS v4.0 9.1（Critical）。拒否されたWebSocketアップグレード後の生トンネルで、後続HTTP要求がEchoのルーターとルート固有の認証・認可ミドルウェアを経由せずに上流リソースへ到達し得る。任意ホストへのプロキシ化や上流自身の認証の回避を意味しない。
- 悪用・被害状況: 開発元は影響版の再現と修正を公表。実運用での悪用、特定組織の侵害や情報漏えいは一次資料で確認できない。
- 修正版・対応: 公開済みのEcho v4.16.1またはv5.4.1以降に更新。更新までの間、対象Proxy経路へのWebSocketアップグレードをEcho側で遮断するか、全ての上流リソースに独立した認証・認可を設ける。上流がHTTP 101以外を返すだけでは回避策にならない。公開済みと各環境への適用済みは別。
Postizの認証済み一般利用者からの任意ファイル読取とサービス停止（CVE-2026-115931、CVSS v3.1 9.9）
公式公表日時: Postiz側の調整によるPSA-2026-JNXM56が2026年10月23日に公表され、開発元は同日に修正版v2.25.2を公開。確認日は新規被害の発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: セルフホストのPostiz（gitroomhq/postiz-app）2.23.0以上2.25.2未満。攻撃者には一般利用者アカウントと連携チャネルが必要。新規利用登録が標準で有効な構成では攻撃者自身が通常アカウントを作成可能で、管理者権限や他者の操作は不要。
- CVE・CVSS・想定影響: CVE-2026-115931。調整元GAdvisory評価はCVSS v3.1 9.9（Critical、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）。バックエンドの連携プロバイダー内部メソッドへの呼出制限不備により、プロセスが参照可能な任意ファイルや環境変数に含まれるJWT署名鍵・接続資格情報を読み取り、認証セッションの偽造やバックエンド停止に悪用され得る。
- 悪用・被害状況: 調整元の公開記録に研究者による実証実験と開発元による再現・修正確認あり。実運用環境での悪用、特定顧客の侵害や漏えいはこの公式資料から確認できない。
- 修正版・対応: 開発元公開済みのPostiz v2.25.2以降へ速やかに更新し、更新前の異常なAPI呼出し・ファイルアクセス・停止ログを調査。資格情報へのアクセスが疑われる場合はJWT署名鍵や外部連携資格情報のローテーションを検討する。暫定的なDISABLE_REGISTRATION=trueは新規登録を制限するだけで既存一般利用者経由の攻撃を防げず、修正の代替ではない。公開済み修正版と利用環境への適用済みは別。
WordPress用Prime Moverの未認証PHPオブジェクト注入（CVE-2026-115806、CVSS v3.1 9.8）
公式公表日時: Wordfence Intelligenceが2026年10月22日に公開し、10月24日に情報更新。確認日を侵害発生日または修正版公開日として扱わない。
内容・対応を確認する
- 対象製品・成立条件: WordPressプラグインPrime Mover – Backup and Migrationの2.2.1以前。攻撃者がWordPressの一般的なコメント投稿経路（wp-comments-post.php）に細工したBase64エンコード済みシリアライズ文字列を残し、その後管理者がプラグインで移行用エクスポートまたは復元を実行して検索・置換処理が当該コメントを処理する場合に成立。
- CVE・CVSS・想定影響: CVE-2026-115806。Wordfence Intelligence評価はCVSS v3.1 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。プラグインの無制限なunserialize()処理と同梱FreemiusのPOPチェーンにより、細工データがPHPオブジェクトとして解釈され、WordPressのオプション操作など不正な副作用を引き起こし得る。単独のコメント送信直後に即時実行されると断定せず、後続の管理者作業を成立条件として明示する。
- 悪用・被害状況: Wordfenceの公開情報から、実運用環境での悪用、特定サイトの侵害や個人情報漏えいは確認できない。
- 修正版・対応: 2026年10月24日更新のWordfence原本では「Patched? No」かつ修正版未公表。脆弱なプラグインの利用停止・削除または代替への切替を優先し、未信頼コメントを含むサイトのエクスポート・復元を避ける。コメント受付制限だけでは過去に保存済みの悪意あるデータを除去できない。開発元が修正版を公開した場合は同一ADVを続報更新する。
Laravel TokenGuardのAPIトークン認証回避（CVE-2026-114509、CVSS v4.0 9.2）
公式公表日時: Laravel開発元が2026年10月19日にGHSA-f9x3-7vq9-cph6を公開。10月24日は本DBの確認日であり、当日の新規侵害・パッチ公開を意味しない。
内容・対応を確認する
- 対象製品・成立条件: laravel/framework 12.68.0未満、および13.0.0以上13.29.0未満。標準のトークンベースAPIガードにTokenGuardを使用し、特定のMySQL／MariaDBデータベース構成となっている場合に影響。
- CVE・CVSS・想定影響: CVE-2026-114509。開発元LaravelのGitHubセキュリティアドバイザリ評価はCVSS v4.0 9.2（Critical）。文字列以外の細工された認証情報が適切に拒否されず、未認証の攻撃者が有効なAPIトークンなしで他ユーザーになりすましてAPIにアクセスする可能性がある。
- 悪用・被害状況: 開発元の確認済みアドバイザリは脆弱性の成立条件を説明しているが、実環境での悪用、特定事業者の侵害や漏えい被害の有無は当該資料から確認できない。
- 修正版・対応: 対象のサポート対象系列でLaravel 12.68.0または13.29.0以降へ更新する。TokenGuard構成、API認可とデータベース接続先を点検し、サポート終了の系列はサポート中の修正版系列へ移行する。公開済みの修正版は個別利用環境への適用済みを意味しない。
Okta Access Gatewayの管理画面入力検証不備によるコマンド実行（CVE-2026-115547、CVSS 9.1）
公式公表日時: Oktaが2026年10月22日にセキュリティアドバイザリを公開。10月24日は本DBの確認日であり、新規侵害の発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: Okta Access Gatewayアプライアンスの2026.10.2未満。攻撃には管理コンソールにアクセスできる認証済み管理者権限が必要であり、未認証の外部攻撃として記録しない。
- CVE・CVSS・想定影響: CVE-2026-115547。Okta公表のCVSS v3.1 9.1（Critical）。管理画面に入力された細工された設定値の検証不備により、管理者がOAGサービスアカウント権限でOSコマンドを実行できる可能性がある。
- 悪用・被害状況: 開発元の公表本文では特定事業者の侵害や実悪用の確認は示されておらず、個別の情報漏えい事故を認定しない。
- 修正版・対応: Okta Access Gateway 2026.10.2以降へ更新し、管理コンソールの認証・操作記録・アクセス制御を点検する。修正版の公開と利用者側の適用完了は区別する。
PillowのFPX画像処理でヒープ破壊・任意コード実行（CVE-2026-112398、修正版13.0.0）
公式公表日時: Pillow開発元が2026年10月17日にGHSA-5x8w-8jj5-q52hを公開。10月24日は本DBの確認日であり、新規発生を意味しない。
内容・対応を確認する
- 対象製品・成立条件: Pillow 12.3.0以前のFlashPix（FPX）JPEGタイルデコーダー。任意の画像を読み込むアプリケーションで、オプション依存ライブラリolefileがインストールされ、攻撃者由来のFPX形式ファイルがImage.open()等で解析される場合。拡張子ではなくファイル内容に基づき認識される。
- CVE・重大度・想定影響: CVE-2026-112398。開発元のGitHubセキュリティアドバイザリはCriticalと分類（当該開発元本文にCVSSの数値・版は未明示）。JPEG画像行のデコードで割り当て済みバッファを超えて書き込み、サービス権限で任意コード実行に至る可能性がある。
- 悪用・被害状況: 公表原文に研究者の再現検証が記載されているが、実運用環境への攻撃や特定組織の情報漏えいは当該資料で未確認。
- 修正版・対応: Pillow 13.0.0以降へ更新し、画像アップロード、サムネイル生成、変換バッチなどで不特定の入力ファイルを自動処理する経路およびolefileの導入有無を確認する。更新まで外部由来FPXの処理を避ける。
WasmtimeのCraneliftコンパイラでWasmサンドボックス脱出（CVE-2026-115889、CVSS 9.9）
公式公表日時: Wasmtime開発元が2026年10月19日にGHSA-897f-g5gm-fmxmを公開。10月24日は本DBの確認日であり、新規悪用や被害の発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: Rust向けWasmtimeの36.0.19未満、および37.0.0以上43.0.0未満。標準設定を含むCraneliftバックエンドを用い、攻撃者が作成した巨大なWasm関数等をコンパイル・実行する場合。アーキテクチャやOS固有の問題とは公表されていない。
- CVE・CVSS・想定影響: CVE-2026-115889。Wasmtime開発元GHSA評価はCVSS v3.1 9.9（Critical）。SSA値インデックスのビット圧縮によるオーバーフローが誤ったコード生成を引き起こし、型混同等を通じてWasmサンドボックスから脱出する恐れがある。
- 悪用・被害状況: 開発元は成立可能なサンドボックス脱出リスクを公表したが、当該公式資料から実環境での攻撃や情報流出の確認はできない。
- 修正版・対応: 保守対象系列の36.0.19、または43.0.0以降へ更新する。Wasmモジュールの信頼境界とホスト権限を点検し、非信頼Wasmの実行基盤は優先的に更新する。修正版の公開と導入済みを混同しない。
OpenCodeのMCP OAuth認証を悪用するWindows／WSLの任意コード実行（CVE未割当、修正版1.18.33）
公式公表・確認日: セキュリティ研究機関Pillar Securityが2026年10月19日に調査結果を公表。開発元Anomalyは2026年9月28日に修正版1.18.33をリリース済み。10月24日は本DBの確認日であり、新規攻撃・新規修正版の発生日ではない。
内容・対応を確認する
- 対象製品・成立条件: AIコーディングエージェントOpenCode（npmパッケージopencode-ai）1.0.137～1.18.32をWindowsまたはWSL上で利用し、攻撃者が管理・侵害したリモートMCPサーバーへのOAuth認証を開始する場合。研究者によればmacOSおよび通常のLinux環境は当該Windows PowerShell経路の影響を受けない。
- 脆弱性・CVSS・想定影響: リモートMCPサーバーから取得したOAuthのauthorization_endpoint値がブラウザー起動時にPowerShellへ安全に渡されず、利用者の追加操作やAIモデルの承認なしに開発者の実行権限で任意コマンドが実行され得る。CVEは未割当。研究機関Pillar Securityによる提案評価はCVSS v3.1基本値9.8（Critical）であり、CNA・開発元の正式採点ではない。
- 悪用・被害状況: 研究機関は脆弱性を再現し開発元への報告経緯を公開したが、実環境での悪用事例や個別組織の情報漏えい被害は、確認した一次資料では公表されていない。
- 修正版・推奨対応: OpenCode 1.18.33以降へ更新し、Windows／WSL上のインストール済み版と外部MCP接続先を点検する。信頼できないリモートMCPサーバーへの接続を避け、疑わしい接続履歴があれば開発環境・認証情報への影響を確認する。開発元のリリース公開を「ユーザー環境への適用済み」とは扱わない。
AgenticSeekのFlaskデバッグサーバー露出によるコード実行（CVE-2026-115727）
公式公表・修正経緯: VulnCheckがCNAとして2026年10月23日20:36 JSTにCVEを公開。開発元は10月15日にPR #558を統合し、コミット409840cで該当Flaskデバッグモードを無効化済み。今回の確認日を脆弱性の発生日とはしない。
内容・対応を確認する
- 対象製品・影響範囲: AgenticSeekの修正コミット409840cより前のコード。llm_server/app.pyがFlaskのdebugモードを有効のまま全ネットワークインターフェースで待ち受け、攻撃者がそのポートへ到達できる構成が問題となる。正式な影響パッケージ版・修正リリース番号は未確認。
- CVE・CVSS: CVE-2026-115727。VulnCheck CNA評価CVSS v4.0基本値9.2（Critical）、v3.1基本値8.1（High）。CVSS v4.0評価では追加成立条件ありとされ、無条件の認証不要RCEと断定しない。
- 想定影響・悪用状況: 到達可能なWerkzeugデバッガーのPINを攻撃者が導出・取得した場合、llm_server権限でPythonコードやOSコマンドを実行し得る。確認したCNA・開発元資料から実悪用や個別の漏えい被害は確認できない。
- 修正版・回避策: 開発元が2026年10月15日にmainへ取り込んだコミット409840c以降の修正を含むコードへ更新し、デバッグサーバーをネットワーク公開しない。公開範囲・ログ・サービス実行権限・使用コードが修正済みかを点検する。特定の修正済みパッケージ版番号は推測しない。
Fortinet FortiSIEMの未認証コード実行（CVE-2026-106173、CVSS v3.1 9.4）
公式公表・続報: FortinetがCNAとして2026年10月13日17:37 UTC（日本時間10月14日02:37）にCVE原簿を公開。カナダ政府サイバーセキュリティセンターは10月23日に注意喚起AV26-1037を更新。10月24日は今回の確認日であり新規発生日ではない。
内容・対応を確認する
- 対象製品・影響版: FortiSIEM 7.5.0、7.4.0～7.4.2、7.3.0～7.3.5、7.2.0～7.2.7、7.1.0～7.1.9、7.0.0～7.0.4（Fortinet発行CVEの影響範囲）。製品系統ごとに修正版が異なるため開発元PSIRTで確認する。
- CVE・CVSS・成立条件: CVE-2026-106173、Fortinet CNA評価CVSS v3.1基本値9.4（Critical）。ネットワークから細工したパケットを送ることで、パストラバーサルを介して認証不要の任意コード・コマンド実行が起こり得る。
- 悪用状況: カナダ政府の2026年10月23日更新は公開情報に基づく実悪用報告を紹介している。Fortinetが個別侵害を独自に確認したという記録や、特定組織の漏えい被害は今回確認できていない。CISA-ADPのPoC評価をCISA KEV登録と混同しない。
- 修正版・推奨対応: カナダ政府はFortiSIEM 7.5.1以前を影響対象として列挙し更新を推奨。使用する製品系列のFortinet公式修正版へ速やかに更新し、ネットワーク公開範囲と侵害兆候・管理ログを点検する。7.5.1を他の全系列の修正番号として扱わない。
Atlassian Data Center 8製品の認証不要の任意ファイル参照（CVE-2026-21589、CVSS v4.0 9.3）
公式公表・確認日: Atlassianは2026年10月5日に脆弱性と修正版を公開。2026年10月24日は今回の確認日であり、新規発生・新規公表日ではない。
内容・対応を確認する
- 影響製品: Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Fisheye。セルフホスト製品の対応系列の未修正版が対象。Atlassian Cloudの該当サービスは開発元による修正済み。
- CVE・CVSS: CVE-2026-21589。開発元評価CVSS v4.0基本値9.3（Critical）。認証不要でWebアプリケーションのルート以下の特定ファイルを閲覧可能となる脆弱性であり、原文はこれ自体を任意コード実行とはしていない。
- 成立条件・悪用状況: 攻撃者は対象ファイルの正確な名称とパスを事前に知る必要があり、ファイル一覧取得・列挙はできない。構成によっては機微情報を含み得る。Atlassianは10月5日の原文でCloud製品について悪用証拠を発見していないと述べていたが、その後CISA-ADPの公式CVE記録は2026年10月15日の既知悪用脆弱性（KEV）カタログ追加を明記している。特定の被害組織・漏えい人数は未確認。
- 修正版: Bitbucket 9.4.26／10.2.8／10.5.1、Confluence 9.2.26／10.2.19、Jira Service Management 5.12.40／10.3.26／11.3.12、Jira Software 9.12.40／10.3.26／11.3.12、Bamboo 10.2.24／12.1.12、Crowd 6.3.7／7.0.3／7.1.7／7.2.4、Crucible 4.9.15、Fisheye 4.9.15。該当系列の修正版以降へ更新する。
- 暫定策・検証: 修正適用までセルフホスト環境の外部公開を制限し、開発元指定のWAFやURL書換えルールを適用可能。アクセスログで不審なファイルパス参照を調査し、個別導入先の対策状況は別途確認する。
F5 BIG-IP APMの悪用確認済み認証不要RCE（CVE-2026-94127、CVSS v3.1 9.8）
公式公表・確認日: F5は2026年9月22日にK000162605を公開し、JPCERT/CCは9月24日に注意喚起を公開。10月24日は今回の確認日。F5原文は閲覧環境で直接表示できず、JPCERT/CCおよびカナダ政府の一次公表本文を照合した。
内容・対応を確認する
- 対象製品・成立条件: BIG-IP APM 21.1.0、17.5.0～17.5.1、17.1.0～17.1.3の該当未修正版。仮想サーバーにAPM access policyとOAuth profileを設定し、APMがOAuth Authorization Serverとして動作する構成で成立する。OAuth Client／Resource Serverのみの構成とは区別する。
- CVE・CVSS: CVE-2026-94127、ヒープベースのバッファオーバーフロー。公的注意喚起で報告されたCVSS v3.1基本値9.8、CVSS v4.0基本値9.3。各スコアの版を区別する。
- 想定影響・悪用状況: 未認証の遠隔攻撃者が細工したトラフィックで任意のコードを実行し得る。JPCERT/CCによればF5は実悪用を認識している。公表文だけから個別組織の侵害件数や漏えい人数を確定できない。
- 修正版・対策: F5の適合するホットフィックスを適用する。カナダ政府の公式資料は21.1系 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG、17.5系 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG、17.1系 Hotfix-BIGIP-17.1.3.5.0.41.14-ENGを列挙。最新版と互換性を開発元資料で再確認する。
- 緩和策・調査: 更新できない場合はF5の提供する一時緩和iRuleを確認する。証拠保全のうえOAuth UserInfo失敗の反復、失敗統計、監査ログ、TMMコアファイル等を点検し、侵害有無を調べる。
Windows Server Netlogonの悪用報告付き認証不要RCE（CVE-2026-41089、CVSS v3.1 9.8）
公式公表・続報: Microsoftは2026年5月12日に修正版を公開。CERT-EUは6月10日に脆弱性への注意喚起を出し、ベルギーのサイバーセキュリティ当局からの実悪用報告を紹介した。10月24日は本DBの確認日。
内容・対応を確認する
- 対象・成立条件: ドメインコントローラーとして動作するWindows Server 2012／2012 R2、2016、2019、2022、2022 23H2、2025の該当未修正版。ドメインコントローラー以外のWindows全体が同一条件で影響するとは判断しない。延長セキュリティ更新の適用可否はライフサイクル条件に従う。
- CVE・CVSS: CVE-2026-41089、Windows Netlogonのスタックベースのバッファオーバーフロー。NHS England等の公的機関がCVSS v3.1基本値9.8と公表。
- 想定影響・悪用状況: 未認証のネットワーク攻撃者がドメインコントローラーでSYSTEM権限のコード実行に至る可能性がある。CERT-EUとNHS Englandはベルギー当局の実悪用報告を引用している。Microsoft自身が悪用を確認したとは断定せず、特定組織の漏えい人数やレコード件数は確認されていない。
- 修正版・対応: Windows Serverの対象系列に対応する2026年5月以降の累積セキュリティ更新を適用し、更新と再起動の成否を検証する。対象版、更新KBおよび修正済みビルドはMicrosoftのSecurity Update Guideで環境ごとに確認する。
- 暫定緩和: ドメインコントローラーへの不要なネットワーク到達性を制限し、Netlogon関連イベントと不審な認証・管理操作を監視する。これは修正版の代替策ではない。
Palo Alto Networks PAN-OS GlobalProtectの悪用確認済み認証回避（CVE-2026-0257、CVSS v4.0 7.8）
公式公表・続報: 開発元Palo Alto Networksは2026年5月13日に公表し6月3日に更新。Unit 42は10月19日にQilin／Inc等のランサムウェア攻撃者による実悪用状況を更新し、10月20日に設定確認・対策情報を追記。10月24日の新規発生と誤記しない。
内容・対応を確認する
- 製品・成立条件: PAN-OSのGlobalProtect portal／gatewayでAuthentication Override Cookieが有効で、開発元告知に記載する証明書構成条件を満たす場合、未認証の第三者が認証を回避してVPN接続を確立し得る。PanoramaとCloud NGFWは対象外。
- CVE・CVSS: CVE-2026-0257。開発元評価CVSS v4.0基本値7.8（High）、対応優先度HIGHEST、Exploit MaturityはATTACKED。CVSS v3.1の値はこの開発元告知で確認できず推測しない。
- 影響版・修正版: PAN-OS 12.1／11.2／11.1／10.2の該当未修正ビルド、およびPrisma Access 11.2／10.2の該当版。修正例は12.1.7、11.2.12、11.1.15、10.2.18-h6、Prisma Access 11.2.7-h13／10.2.10-h36。枝番別のホットフィックスを含め対象版・修正版は開発元のProduct Status表で確認する。
- 悪用状況・想定影響: Unit 42は2026年6月以降の悪用を観測し、10月19日の続報でQilinおよびInc系ランサムウェア攻撃者による初期侵入、VPN接続後の内部探索・横展開・認証情報取得・仮想基盤への侵入を記載。全検査対象で侵入成功したわけではなく、被害組織数・漏えいレコード数の確定値はない。
- 修正版・暫定対応: 影響するGlobalProtect portalとgatewayを対応済みビルドへ更新。直ちに更新できない場合はAuthentication Overrideを無効化、または同機能専用の証明書を新規に割り当てる。VPN接続履歴・MFA対応記録・不審な管理画面の外部露出を調査し、改変や侵害兆候があれば初動対応する。
Cisco ISE／ISE-PICの実悪用確認済み認証回避（CVE-2026-76460、CVSS 10.0）
公式公表日時: Ciscoが2026年9月16日16:00 GMT（9月17日01:00 JST）に公表。10月24日の新規発生ではなく、既知の脆弱性を今回確認したもの。
内容・対応を確認する
- 対象製品・影響版: Cisco Identity Services Engine（ISE）／ISE Passive Identity Connector（ISE-PIC）。構成にかかわらず影響し得る。ISE 3.1～3.5の未修正ビルド。ISE 3.0は保守終了、ISE-PICは3.4が最終サポート系列。
- CVE・CVSS: CVE-2026-76460、CVSS v3.1基本値10.0（Cisco PSIRT評価）。APIの認証制御不備。
- 想定影響・悪用状況: 認証されていない遠隔攻撃者が細工したAPIリクエストにより管理認証を回避し、機器へ不正アクセスできる。成功時はroot権限でコード実行する可能性がある。Cisco PSIRTは実悪用を認識しているが、個別組織の侵害や漏えい人数はこの告知で確認できない。
- 修正版・推奨対応: ISE 3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7、3.5 Patch 4以降に更新する。完全な回避策はなく、管理・制御通信のiACL制限は暫定緩和策。全ノードのaccess.logと外部FW・ネットワークログを確認し、侵害が疑われるノードは再イメージ化を検討する。
Cisco ISE／ISE-PICのREST API認証回避・SQL注入等6件（最大CVSS 10.0）
公式公表日時: Ciscoが2026年9月16日16:00 GMT（9月17日01:00 JST）に公表。10月24日の新規発生ではない。
内容・対応を確認する
- 対象製品・影響版: CVE-2026-76423／76426／76428はISEとISE-PIC、CVE-2026-76424／76425／76427はISEのみ。設定に依存せず影響するが、対象ビルドはCVEごとに異なる。
- CVE・CVSS: CVE-2026-76423（CVSS v3.1 10.0、未認証REST API管理者権限取得）、CVE-2026-76424（7.2、管理者認証後の任意ファイル操作・root実行）、CVE-2026-76425（7.6、管理者認証後のSQL注入・SSRF）、CVE-2026-76426（4.9、監視DB閲覧）、CVE-2026-76427（4.9、XXEファイル取得）、CVE-2026-76428（4.9、セッションDB閲覧）。すべてCisco公表のCVSS v3.1基本値。
- 想定影響・悪用状況: 認証回避、DBやファイルの不正閲覧、SQL注入、管理者権限でのroot実行など。6件は独立したCVEで、実悪用確認済みのCVE-2026-76460とは別。Cisco PSIRTはこの6件の悪用を認識していないと公表。
- 修正版・推奨対応: CVE-2026-76423は3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7、3.5 Patch 4で修正。その他5件について、3.1／3.2は修正版のある系列への移行が必要。3.3 Patch 12／3.4 Patch 7／3.5 Patch 4以降を使用する。完全な回避策はない。
Express系body-parserの圧縮リクエスト処理による認証不要DoS（CVE-2026-111181）
公表・更新: Expressのbody-parser開発元が2026年10月22日にGitHubアドバイザリを公表し、10月23日にGitHub Advisory Databaseへ収録。
内容・対応を確認する
- 対象製品・影響版: npm body-parser 1.20.9未満および2.0.0以上2.4.0未満。圧縮されたHTTPリクエスト本文の自動展開を有効にした構成が対象。
- CVE・CVSS・想定影響: CVE-2026-111181、GitHub Advisory DatabaseのCVSS v3.1 7.5。正常な圧縮フレームの末尾に不正データがあると、処理済み展開ストリームの未捕捉例外がNode.jsプロセスを異常終了させ得る。ルートの一致やログインを要しないケースがある。
- 悪用状況: 開発元告知で機序と修正を確認。実環境での悪用・具体的な被害は確認できない。
- 修正版・回避策: 1.x系列は1.20.9以上、2.x系列は2.4.0以上へ更新。圧縮リクエスト本文が不要ならinflate: falseで展開を無効化する。
Happy DOMのESM import aliasからホストコード実行（CVE-2026-115895、CVSS 8.8）
公表・更新: 開発元が2026年10月20日にGitHubセキュリティアドバイザリを公開、10月23日に更新。今回の確認日を新規侵害発生日と扱わない。
内容・対応を確認する
- 対象製品・影響版・成立条件: npm happy-dom 17.0.0以上21.0.3以下。JavaScript評価（enableJavaScriptEvaluation: true）が有効で、攻撃者が制御するHTMLまたはESモジュールソースを読み込むSSR・プレビュー・スクレイピング等の構成で成立し得る。
- CVE・CVSS・想定影響: CVE-2026-115895、GitHub Advisory DatabaseのCVSS v3.1 8.8。未検証のESM import別名が生成コードへ挿入され、ホスト側Node.jsのファイル・環境情報へのアクセスや任意コード実行に至り得る。既存CVE-2026-33943とは別の残存経路。
- 悪用状況: 開発元アドバイザリは再現実験を示すが、一般環境での実悪用や被害組織は確認できない。実際の情報漏えいとして事故件数には加算しない。
- 修正版・対応: GitHubの修正版メタデータでは21.0.4。使用版を確認して21.0.4以降へ更新し、信頼できないHTMLでのJavaScript評価を停止する。説明文中に古い「修正版なし」の記述が残っているため、修正有無はリリース情報との照合が必要。
Microsoft MSAL NodeのOAuth認可コード処理で情報漏えいリスク（CVE-2026-109461）
公表・更新: Microsoft Authentication Library for JavaScriptの開発元が2026年10月16日にアドバイザリを公開、10月23日にGitHub Advisory Databaseへ収録・更新。
内容・対応を確認する
- 対象製品・影響版: npm @azure/msal-node 5.0.0-beta.0以上7.1.0未満。OAuth 2.0の認可コードフロー（auth_code / acquireTokenByCode）を用いる構成。
- CVE・CVSS・想定影響: CVE-2026-109461、GitHub Advisory DatabaseのCVSS v3.1 7.5。オリジン検証不備により、特定の認可コード処理パラメーターが攻撃者制御のネットワーク先へ開示されるおそれ。
- 悪用状況: 開発元告知で脆弱性を確認。実悪用や利用者情報流出の確認は示されていない。
- 修正版・回避策: @azure/msal-node 7.1.0以上へ更新。未更新の場合、acquireTokenByCodeには必要なauth_code値だけを渡すよう開発元が推奨。
Strands Agents SDKのA2Aセッション分離不備による会話漏えい（CVE-2026-115419）
公式公表: AWSが2026年10月22日（米国時間）にSecurity Bulletin 2026-146-AWSを公表。10月23日にGitHub Advisory Databaseへ収録。侵害の発生日ではない。
内容・対応を確認する
- 対象製品・影響版: Python strands-agentsのmultiagent.a2aモジュールを含む1.43.0未満、およびTypeScript @strands-agents/sdk 1.5.0未満。A2Aサーバーに複数利用者・複数テナントがアクセス可能な構成が問題。
- CVE・CVSS・想定影響: CVE-2026-115419、GitHub Advisory DatabaseのCVSS v4.0 8.6。認証済みの別利用者が異なるcontext_idに属する会話履歴を閲覧し、他ユーザーのエージェント動作へ影響し得る（CWE-488）。認証不要の攻撃とは記載されていない。
- 悪用状況: 公式告知に実悪用・個別の漏えい被害は記載されない。予防的注意喚起であり事故に計上しない。
- 修正版・回避策: Python 1.43.0およびTypeScript 1.5.0で修正済み。更新前はA2Aサーバーを複数ユーザーやテナントへ公開しない。必要な場合はユーザー・テナント別にサーバーを分離する。
Node.js undiciの過剰Content-Encoding応答によるリモートDoS（CVE-2026-109869）
公表・更新: undici開発元が2026年10月15日にGitHubアドバイザリを公開、GitHub Advisory Databaseには10月23日に収録。
内容・対応を確認する
- 対象製品・影響版: npm undici 6.23.0以上6.29.1未満、7.18.0以上7.30.1未満、8.0.0以上8.12.2未満。アプリケーションが攻撃者支配下または侵害されたHTTPサーバーへfetchでアクセスする場合に成立し得る。
- CVE・CVSS・想定影響: CVE-2026-109869、GitHub Advisory DatabaseのCVSS v3.1 7.5。5件を超えるContent-Encoding指定と途中切断の組合せで内部ストリームが未捕捉エラーとなり、Node.jsプロセス停止のリスク。
- 悪用状況: 脆弱性と修正は開発元公表済み。個別の実悪用・漏えい事故は確認できない。
- 修正版・対応: undici 6.29.1／7.30.1／8.12.2以降へ更新。公式には完全な回避策なし。Node.js組込版の適用状況は使用するNode.jsリリースで別途確認する。
vLLMのマルチモーダルAPI入力によるリモートDoS（CVE-2026-114055）
公表・更新: vLLM開発元が2026年10月6日にアドバイザリを公表、10月23日にGitHub Advisory Databaseへ収録・更新。新規被害報告ではない。
内容・対応を確認する
- 影響版・条件: Python vllm 0.7.3以上0.31.0未満。APIクライアントがmm_processor_kwargsを指定でき、画像・動画用プロセッサが入力値に応じて大きなメモリを確保する構成。認証の有無はAPI公開設定に依存する。
- CVE・CVSS・想定影響: CVE-2026-114055、GitHub Advisory DatabaseのCVSS v3.1 7.5。細工したリクエストでCPU/GPUメモリ枯渇を誘発し、共有APIワーカーやサービスを停止させ得る。
- 悪用状況: 開発元による脆弱性公表を確認。実環境での悪用被害・情報漏えいは原文で確認できない。
- 修正版・対応: vLLM 0.31.0以降へ更新。未更新環境はAPI認証・アクセス制限を設け、利用者が任意のmm_processor_kwargsを指定できないよう検討する。
Citrix NetScaler ADC／Gatewayの重大脆弱性8件（うち2件は悪用確認）
公式公表日: Citrix（Cloud Software Group）が2026年9月27日にCTX697096を公開。10月24日は今回の照合日であり、新規発生ではない。
内容・対応を確認する
- 影響範囲: 顧客管理のNetScaler ADC／Gateway 14.1-73.37未満、13.1-64.23未満、14.1-FIPS 14.1-73.37未満、13.1-FIPS／NDcPP 13.1-37.279未満。Secure Private Access Hybridで同機器を使う構成も対象。成立条件はCVE別に異なる。
- 脆弱性とCVSS: Citrix評価のv4.0基本値。CVE-2026-88771（9.5、既定構成で認証不要コマンド実行）、CVE-2026-88772（9.5、DTLS有効時のRCE／DoS）、CVE-2026-88773（9.3、HTTPリクエストスマグリング）、CVE-2026-88774（7.0、HTTP URLポリシー回避）、CVE-2026-88775（8.8、Gateway／AAAのメモリ破損）、CVE-2026-88776（8.8、Oracle型LBのメモリ破損）、CVE-2026-88777（8.8、非HTTP L7／NAT等のメモリ破損）、CVE-2026-88778（8.8、TCPシーケンス番号予測）。
- 悪用状況: CitrixはCVE-2026-88771と88772の未緩和機器への実悪用を確認。個別被害企業・漏えい件数は未確認。ほか6件の悪用状況も本公式告知からは未確定。
- 修正・対応: 本8件には14.1-73.37、13.1-64.23と対応FIPS版以降が公開済み。後続脆弱性も併せて対処するには14.1-73.46、13.1-64.29と対応FIPS版以降への更新を推奨。DTLS・HTTP・VPN／AAA・LB／CS・TCPの構成を点検し、88778ではEnhanced ISN Generationを確認。公開済みと適用済みは異なる。
Citrix NetScalerのSAML構成におけるDoS（CVE-2026-88779、CVSS 8.7）
公式公表日: Citrixが2026年10月3日（PST）にCTX697174を公開。10月24日の新規事故ではない。
内容・対応を確認する
- 対象・条件: NetScaler ADC／GatewayのSAML SPまたはSAML IdP構成。14.1-73.41未満、13.1-64.28未満、14.1-FIPS 14.1-73.41未満、13.1-FIPS／NDcPP 13.1-37.282未満。
- CVE・CVSS・影響: CVE-2026-88779はメモリオーバーフローによるリモートDoS。CitrixによるCVSS v4.0基本値8.7（AV:N、PR:N、UI:N）。個別の実悪用・被害は公式情報で未確認。
- 修正版・対処: 14.1-73.41、13.1-64.28と対応FIPS／NDcPP版以降が公開済み。SAMLの設定・稼働版を確認し、後続のCTX697191で指定された新しい修正版も検討する。適用済みかどうかは別途確認する。
Citrix NetScalerのSAML設定時RCE／DoS（CVE-2026-107406、CVSS 9.5）
公式公表日: Citrixが2026年10月8日にCTX697191を公開。10月24日の新規発生ではない。
内容・対応を確認する
- 脆弱性・評価: CVE-2026-107406はNetScaler ADC／Gatewayのメモリ破損でRCEまたはDoSに至り得る。CitrixのCVSS v4.0基本値9.5（AV:N／AC:H／PR:N／UI:N）。実悪用・個別漏えい被害は本告知では未確認。
- 影響条件: SAML構成が前提。14.1-73.37〜73.41と13.1-64.23〜64.28および対応FIPS中間ビルドはSAML IdPで影響。それ以前の該当ビルドはSAML SPまたはIdPの構成で影響。詳細条件は公式資料による。
- 修正版・対応: 14.1-73.46以降、13.1-64.29以降、14.1-FIPS 14.1-73.46以降、13.1-FIPS／NDcPP 13.1-37.283以降が公開済み。導入版とSAML SP／IdP設定を確認し速やかに更新する。実際の適用状況は未確認。
Siemens Industrial Edge App Publisherの証明書検証不備と連鎖RCE（2件）
公式公表・更新日: Siemens ProductCERT SSA-968435の初公表は2026年10月13日。CISAは10月22日にICSA-26-295-02として再公表し、JVNは10月23日にICS注意喚起一覧に掲載。10月24日を脆弱性の発生日とは扱わない。
内容・対応を確認する
- 対象・条件: Industrial Edge App PublisherのV1.27.9未満。CVE-2026-78556はサーバー証明書の検証不備により中間者が管理サーバーを偽装できる問題。CVE-2026-78557はバックエンド応答を適切にエスケープせず表示し、Node.js統合のため任意JavaScriptからローカル端末のRCEに至り得る問題。攻撃者が通信経路に介入し、細工した応答をUIへ表示させるなどの成立条件があり、全環境で無条件の認証不要RCEではない。
- CVSS: Siemens評価でCVE-2026-78556はv3.1 7.4／v4.0 7.6、CVE-2026-78557はv3.1 8.3／v4.0 7.7。重大脆弱性2件を注意喚起1項目として集計する。
- 修正・推奨対応: Siemensの修正版V1.27.9以降が公開済み。開発端末のApp Publisherを更新し、管理サーバーとの通信経路と不審な端末操作を点検する。ネットワークを信頼できる経路に限定する。実悪用や個別企業の侵害は確認した公式告知には記載されていない。
Siemens Industrial Edge機器のパストラバーサル・認可不備（未修正機種を含む）
公式公表・更新日: Siemens ProductCERT SSA-832641は2026年10月13日公表。CISAは10月22日にICSA-26-295-17として再公表し、JVNは10月23日に掲載した。10月24日は確認日時であり、既知の脆弱性の新規発生日ではない。
内容・対応を確認する
- CVE・CVSS・条件: CVE-2026-44414はSiemens評価CVSS v3.1 6.8／v4.0 6.9、CVE-2026-44415はv3.1 9.1／v4.0 8.9。いずれも認証済み利用者に対する内部APIやパスの制限不足が原因で、リモートの高権限認証済み攻撃者が内部情報を参照し、後者ではデータ削除にも至り得る。認証不要の遠隔コード実行や実侵害が確認されたとは説明しない。
- 対象: Industrial Edge Cloud/Own/Virtual DeviceのV1.28.1未満などはCVE-2026-44414の影響を受け、当該系列には修正版V1.28.1以降がある。SIMATIC IPCやIoT2050等は機種別にV3.2.0-17またはV1.28.1-2以降等の修正版がある。一方CVE-2026-44415の対象となる複数のSIMATIC HMI Unified Comfort Panel／SIPLUS HMIなどには公式公表時点で修正版がない。
- 推奨対応: 機種とCVEごとの影響有無・修正版を公式一覧で照合して更新。未修正の装置はネットワーク到達を信頼できる管理者に限定し、認証アカウント・内部APIアクセスと操作ログを監視する。脆弱性2件を一注意喚起にまとめ、特定企業の流出事故とは計上しない。
Siemens RUGGEDCOM CROSSBOWのSQL注入・管理認証情報露出など11件
公式公表・更新日: Siemens ProductCERT SSA-508506は2026年10月13日に公表。CISAは10月22日にICSA-26-295-12として再公表し、JVNは10月23日に関連注意喚起を掲載。10月24日の確認日時を脆弱性公表日・侵害日としない。
内容・対応を確認する
- 対象・CVE: インフラ用の遠隔機器アクセス管理製品RUGGEDCOM CROSSBOW V6.0未満が影響。CVE-2026-89196、89197、89198、89199、89200、89201、89202、89203、89204、89205、89206の11件を扱う。該当する入力のSQL注入、認可不備による管理者認証情報・構成情報の露出、権限昇格、操作改変、セッション切断によるDoSなど、CVEごとに条件・影響が異なる。
- 成立条件・評価: 重大なCVE-2026-89196／89197／89198／89199は特定機能を利用できる認証済み低権限アカウントなどを必要とする。Siemensによる注意喚起全体の最大評価はCVSS v3.1 8.8、v4.0 8.7。未認証攻撃者が必ず任意SQLを実行できるという意味ではない。
- 修正・推奨対応: SiemensはV6.0以降の修正版を公開済み。V6.0以降へ更新、運用管理ネットワークの到達制限、認証情報・操作履歴の点検と必要な資格情報の更新を推奨。一次資料で特定組織への実悪用や漏えいは確認できていない。11件のCVEを注意喚起1項目とし、事故表には追加しない。
SolarWinds Observability Self-Hostedの権限不備（CVE-2026-28328、CVSS 8.8）
公式公表日時: SolarWindsは2026年10月20日にCVE-2026-28328を初公表。カナダ政府サイバーセキュリティセンターは10月21日に更新を推奨。
内容・対応を確認する
- 対象製品・影響版: SolarWinds Observability Self-Hosted 2026.2.3以前。影響範囲の境界について開発元の指定と政府の「2026.4より前」の更新推奨を区別する。
- CVE・CVSS・成立条件: CVE-2026-28328。SolarWinds評価8.8（High）。開発元の提示ベクトルはCVSS v3.1形式AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H。権限の低い認証済み利用者による悪用が前提であり、認証不要とは扱わない。
- 想定影響・悪用状況: 権限の低い利用者が本来許可されていない情報を参照・変更し得る。公式告知だけでは現実の悪用や特定企業のデータ漏えいを確認できない。
- 修正版・推奨対応: 公開済みSolarWinds Observability Self-Hosted 2026.4へ更新し、アクセス権・監査ログと管理者以外の利用者権限を点検。専用回避策は公式告知で確認できない。
Splunk Enterpriseのアクセス制御等に関する重大脆弱性4件（最大CVSS 9.9）
公式公表日時: Splunkが2026年10月21日にSVD-2026-1008を公開。既知の公表を10月24日の新規発生とは扱わない。
内容・対応を確認する
- 対象製品・影響版: Splunk Enterprise 10.4.0〜10.4.3、10.2.0〜10.2.7、10.0.0〜10.0.10、9.4.0〜9.4.15。製品構成ごとの成立条件は公式告知に具体的な記載がないため一律の認証不要RCEとは判断しない。
- CVE・CVSS: CVE-2026-76299（CVSS v3.1 9.9、アクセス制御）、CVE-2026-76300（8.8、リソースライフサイクル制御）、CVE-2026-76301（7.6、保護機構）、CVE-2026-76302（9.9、入力の不適切な無害化）。いずれもSplunkが公表した各分類の最大スコアであり、計4件のCVE。
- 想定影響・悪用状況: 権限や保護機構に関するセキュリティ侵害のリスク。Splunkは社内で確認した複数の問題をCWE単位にまとめてCVEを採番。確認した公表文だけでは実悪用の有無や個別攻撃の前提条件を確定できず、被害や漏えいを確認済みとは扱わない。
- 修正版・推奨対応: 対応する系列の10.4.4、10.2.8、10.0.11、9.4.16以降へ更新し、インストール済み版・更新の成否とアクセス権設定を点検する。公式告知に専用の回避策は明示されていない。
Splunk SOARの権限制御・ファイル公開等の脆弱性8件（最大CVSS 9.9）
公式公表日時: Splunkが2026年10月21日にSVD-2026-1011を公表。10月24日は今回の確認日時であり、新たな被害の発生日ではない。
内容・対応を確認する
- 対象製品・影響版: Splunk SOAR 8.7.0未満。攻撃の具体的な成立条件は脆弱性ごとに異なる可能性があり、すべてを認証不要攻撃と断定しない。
- CVE・CVSS: CVE-2026-76407（CVSS v3.1 9.3）、CVE-2026-76408（8.8）、CVE-2026-76526（8.8）、CVE-2026-76527（5.5）、CVE-2026-76528（6.2）、CVE-2026-76529（7.5）、CVE-2026-76530（8.8）、CVE-2026-76531（9.9）。Splunk公表値。8件のCVEごとに同じCWEに属する複数の問題を集約している。
- 想定影響: アクセス制御の不備、外部からのファイル到達、不適切なパス認可、入力の無害化不備などに起因する不正アクセス・情報露出のリスク。実悪用や特定組織の侵害について当該公式告知による確認はないため、未確認として扱う。
- 修正版・推奨対応: Splunk SOAR 8.7.0以降への更新を優先し、外部公開範囲、SOARの権限とファイルアクセス設定、監査ログを確認。専用回避策の確定情報は告知にない。
Metabaseの悪用確認済み未認証SQLインジェクション（CVE-2026-72898、CVSS 10.0）
公式公表・更新: Metabase開発元は2026年8月6日に本脆弱性を公表。JPCERT/CCは8月14日に専用の注意喚起を公開し、10月23日に更新した国内不正アクセス注意喚起でも本CVEの悪用・点検を参照している。8月の公表を10月24日の新規発生と扱わない。
内容・対応を確認する
- 対象製品・影響範囲: Metabase 58〜63系の修正前の自己ホスト版。開発元は58未満を非該当とし、Metabase Cloud環境は対応済みと発表。個別環境の適用状況は別途確認が必要。
- CVE・CVSS: CVE-2026-72898。Metabase開発元のGitHub Security Advisory評価によるCVSS v3.1基本値10.0（Critical）。本注意喚起はCVE1件であり、他のMetabase CVEとは別問題。
- 成立条件・影響: 認証を要しないパスワードリセットAPI経路に対する細工した要求からアプリケーションDBへのSQLインジェクションが成立し、管理者権限の取得、接続先データベースの資格情報やデータの窃取・エクスポートにつながるおそれ。
- 悪用状況: 開発元は実際のゼロデイ悪用を確認。個々の国内事業者について本CVEによる侵害や追加の個人情報漏えいを一律に推定しない。
- 修正版・回避策: 58系0.58.24、59系0.59.21、60系0.60.17、61系0.61.11、62系0.62.9、63系0.63.5以降の対応版へ更新。直ちに更新できない間は/api/session/reset_passwordへの外部到達を遮断する。更新未適用の環境を「適用済み」とは扱わない。
- 推奨対応: 利用中の系列・ビルドと外部公開範囲を点検。POST /api/session/reset_password（HTTP 400）に続くGET /api/user/current（HTTP 200）などの不審なアクセス系列、管理者アカウントやAPIキー、データウェアハウスの監査ログを調査し、必要に応じ全セッション失効と接続先DBの認証情報を更新する。
- 集計: 重大脆弱性の注意喚起1項目（CVE1件）であり、実際の侵害が確認された特定企業のLEAK事故行を新設しない。
PHPの新たなセッションアップロード進捗機能RCEリスク（CVE-2026-115560、修正版未公表）
公表・識別子: PHP開発チームは2026年10月23日、CVE-2026-115560として別のリモートコード実行（RCE）経路に関する予防的注意喚起を公表。10月21日に修正されたPHP2ShellのCVE-2026-109618・CVE-2026-109619とは別の脆弱性であり、旧2件の緊急修正版が本件も修正したとは扱わない。
内容・対応を確認する
- 成立条件・影響: アプリケーションの設定でsession.serialize_handlerがphp_binaryまたはphp_serializeになっており、session_start()より前にini_set()でphpへ切り替える実装を行い、さらにsession.upload_progress.enabledが有効な場合に成立し得る。通常は珍しい組み合わせで、全PHP環境が無条件に同様の危険を持つとの公式発表ではない。条件が一致する環境ではRCEの可能性。
- 影響版・CVSS・悪用状況: PHP公式は本件の影響するバージョン範囲、修正済み版、CVSSの版・値、実悪用確認を今回の予防告知に示していないため推測しない。10月21日に公表された2件の攻撃試行はこの新CVEの悪用確認とは区別する。
- 修正状況と対応: 2026年10月23日時点では本件の修正版は未公開。PHP開発チームは次の通常バグ修正リリースで詳細アドバイザリを公開すると予告し、それまでsession.upload_progress.enabled=0をphp.iniまたはサーバー設定に適用し、ワーカープロセスの再起動と設定有効化の確認を推奨。10月21日の旧2件については別途公開済み修正版への更新が必要で、当設定のみで旧2件全体への完全な防御にならない。
- 集計: CVE-2026-115560は未修正の別問題として既存のPHP2Shell注意喚起とIDを分けた予防的ADV1件。個別企業の侵害や個人情報漏えいとして事故表へ追加しない。
Apache Pulsar Managerの未認証管理者作成・管理トークン漏えい（CVSS 10.0、修正版なし）
公式公表日時: Apache CNAのCVE原本は2026-10-21 18:17 UTC（10月22日03:17 JST）に公開。実際の侵害発生日ではない。
内容・対応を確認する
- 対象・影響版: Apache Pulsar Manager 0.1.0〜0.4.0（最終版）の全版。Apache Pulsar本体や代替UIを同一の脆弱性対象と混同しない。
- CVE・CVSS: CVE-2026-105944、Apache Software Foundation評価のCVSS v4.0基本値10.0（Critical）。1つの注意喚起にCVE 1件。
- 成立条件・影響: 管理画面へ到達可能な未認証攻撃者が初期管理者の登録機能を悪用できる（0.3.0以降）。Pulsar管理APIの認証制御不備により、設定済み管理認証情報を攻撃者の指定先へ転送させ、管理操作に利用するおそれがある。影響はトークン設定・配備に依存。
- 悪用状況: 確認したApache公式告知には特定組織の侵害成功・漏えい人数の記載なし。悪用の不存在は断定しない。
- 修正版・予定: Apache Pulsar Managerは完全にサポート終了。修正版はなく、今後のセキュリティ更新も予定されていない。
- 推奨対応: 当該管理画面の運用を停止し、代替UIへ移行して既存デプロイを撤去。暫定的に信頼できる管理者のみ接続を許可。過去の外部公開があれば管理トークン・署名鍵の更新やログ監査を検討。
Apache Traffic Serverのtsmemcacheプラグインで未認証キャッシュ操作（CVSS 9.4）
公式公表日時: Apache CNAのCVE原本は2026-10-21 19:17 UTC（10月22日04:17 JST）に公開。被害発生日とは異なる。
内容・対応を確認する
- 対象・影響版: 実験的tsmemcacheプラグインを使用するApache Traffic Server 8.0.0〜8.1.11、9.0.0〜9.2.15、10.0.0〜10.1.4、および10.2.0。プラグインを使用していない環境に同じ影響を断定しない。
- CVE・CVSS: CVE-2026-111811、Apache CNA評価CVSS v4.0基本値9.4（Critical）、v3.1基本値9.0（Critical）。1注意喚起・1CVE。
- 成立条件・影響: 問題のtsmemcacheプラグインへネットワーク到達可能な未認証攻撃者が、共有プロキシキャッシュを読み取り・書き換え・削除でき、情報露出・キャッシュ汚染・サービス妨害につながるおそれがある。任意コード実行が確認されたという報告ではない。
- 悪用状況: Apache CNA一次記録は特定被害者の実悪用や漏えいを確認していない。攻撃がないと断定しない。
- 修正版・回避策: 9.2.16、10.1.5、10.2.1で修正済み。8.xの修正版は当該CVE記録に記載されていない。更新できない場合は実験的プラグインを無効化するかアクセスを信頼ネットワークに制限。
- 推奨対応: 利用系列とtsmemcacheの有効化を確認し、修正済み系列への更新・キャッシュ監査・外部到達性の点検を行う。
onPhase Formsの認証回避・OSコマンド実行とSSRF（2件、最大CVSS 9.3）
公式公表日時: MON-CSIRT CNAのCVE原本でCVE-2026-19677は2026-10-23 01:21 UTC（10:21 JST）、CVE-2026-19678は同01:23 UTC（10:23 JST）に公開。侵害日時ではない。
内容・対応を確認する
- 対象・影響版: onPhase（旧frevvo）Forms 11.0.14。公開登録フォームや公開フォームサービスの配備を点検。ほかの版への影響は推測しない。
- CVE・CVSS: CVE-2026-19677はMON-CSIRT CNA評価のCVSS v4.0 9.3（Critical）、CVE-2026-19678は同8.7（High）。2CVEを関連する1注意喚起として集約。
- 成立条件・影響: 19677は有効なテナント名と既存ユーザー識別子を含む公開登録パラメータで無認証の遠隔攻撃者がTenantAdmin・Designer権限を獲得しOSコマンドを実行し得る。19678は公開フォームのSSRFにより内部Apache Solrの機微情報へアクセスし得る。
- 悪用状況: 一次CVE記録に特定組織の実悪用・漏えい件数の確証なし。悪用がないとは断定しない。
- 修正版・回避策: 両CVEのCNA記録は11.0.17へ更新を推奨。直ちに更新できなければリバースプロキシ/WAFで/frevvo/web/webapp/registerと/frevvo/web/**/serviceを遮断。11.0.17で未認証登録経路削除、ルールのサンドボックス化、Document Service既定無効化と説明。
- 推奨対応: 公開範囲と版数を確認し修正適用を検証、管理者資格情報の点検、登録・内部URL・コマンド実行に関する不審ログの調査を行う。
CISA Malcolmの認証回避・SSRF・監視停止等7件の脆弱性（最大CVSS 8.1）
公表・更新: CISA ICSA-26-280-01は2026年10月7日に初版、10月15日に改訂。改訂日を被害発生日と扱わない。
内容・対応を確認する
- 対象・影響版: ネットワーク解析・監視基盤CISA Malcolm。影響する版はCVEによって異なり、v26.08.0とv26.09.0で修正されている。全7件の修正にはv26.09.0以降を確認する。
- CVE: CVE-2026-107336、CVE-2026-107333、CVE-2026-107362、CVE-2026-107361、CVE-2026-107337、CVE-2026-107335、CVE-2026-107334（7件）。
- CVSS: CISAによるCVSS v3.1基本値は最大8.1（High、CVE-2026-107333）。CVE-2026-107362とCVE-2026-107337は各7.1。評価値はCVEごとに異なる。
- 成立条件・影響: nginx認証回避からArkimeへの偽装アクセス、低権限認証ユーザーによるRBAC回避、SSRF、利用者操作を介したCSRFによる監視停止・記録削除、圧縮ファイル経由のストレージ枯渇など。必要な認証・操作はCVEにより異なる。
- 悪用状況: CISAの一次告知から特定組織への悪用成功や漏えい件数は確認できない。未確認を攻撃不存在と断定しない。
- 修正版・対応: Malcolm v26.09.0以降への更新、管理画面とArkimeポートへのアクセス制限、ネットワーク分離、監視停止や収集記録の削除兆候の点検を推奨。予防的注意喚起1項目であり事故行に加算しない。
LINE LIFF SDKのDOM型XSS（CVE-2026-112148、2.31.1で修正）
公式公表・更新: LY Corporationの公式脆弱性情報は2026年10月20日更新。修正版は公開済みであり、実際の被害確認を示すものではない。
内容・対応を確認する
- 対象・影響版: LINE LIFF SDK 2.20.0以上2.31.1未満（2.20.0〜2.31.0）。LIFFアプリ自身が読み込むSDK版を確認する。
- CVE・CVSS: CVE-2026-112148。開発元評価のCVSS v4.0基本値5.1。数値はHigh/Criticalではないが、認証関連データの潜在的露出を踏まえ予防的に記録。
- 成立条件・影響: 利用者が攻撃者の細工したURLを外部ブラウザーで開くと、LIFFアプリのオリジンで任意のJavaScriptが実行され、JavaScript参照可能な認証トークン・アプリデータの露出や利用者セッションによる不正操作の可能性がある。
- 悪用状況: 開発元の一次公表から実際の悪用成功や被害件数は確認できない。
- 修正版・対応: LIFF SDK 2.31.1以降に更新。npm版は依存関係・ロックファイル更新と再ビルド・デプロイ、固定版CDN URL・組込みSDKは差し替え、edge CDNの実際の読込版とキャッシュも確認する。事故件数には加算しない。
InterSystems IRIS for HealthのTLS未有効化による機微通信情報の露出リスク（CVE-2026-111594）
公式公表日: 米CISAは2026年10月22日に医療ICS注意喚起ICSMA-26-295-01を公表。実侵害の発生日を示すものではない。
内容・対応を確認する
- 対象: InterSystems IRIS for Health 2025.3.0.226、2026.1.0.235、2026.2.0.221（CISAの対象製品表）。該当構成を公式資料で確認する。
- CVE・深刻度: CVE-2026-111594、CWE-319（機微情報の平文送信）。CISA評価CVSS v3.1基本値8.1（High）。
- 成立条件・影響: 初期状態でSuperServer接続のTLS/SSL暗号化が無効である場合、通信が傍受され、得られた認証情報が不正ログインに悪用されるおそれがある。認証不要RCEを意味しない。
- 悪用・修正状況: 公式注意喚起は特定顧客の被害確定を示していない。修正済み製品番号・個別のパッチ公開時刻は本資料から確定できず、未公表として扱う。
- 推奨対応: InterSystems公式の安全な運用手順に従いSuperServer TLSを単なるEnabledではなくRequiredとして設定し、証明書・クライアント設定を確認する。該当環境の通信経路、アクセス記録、認証情報の保護を点検する。
Kiloview E3 NDI Encoderの9件の重大脆弱性（root権限でのコマンド実行・認証回避）
公式公表: 米CISAの産業制御システム注意喚起ICSA-26-295-01は2026年10月22日公表。修正版の公開と公表日は区別する。
内容・対応を確認する
- 対象製品・バージョン: Kiloview E3 NDI Encoderの対象ファームウェア。CISAは影響版を1.30未満とし、開発元が公開したV1.30への更新を案内している。対象機種・構成を公式資料で確認する。
- CVE: CVE-2026-109122、CVE-2026-111100、CVE-2026-96616、CVE-2026-105265、CVE-2026-110491、CVE-2026-107861、CVE-2026-110243、CVE-2026-92450、CVE-2026-110825（9件）。
- CVSS: CVE-2026-110243はCISA評価のCVSS v3.1基本値9.9（Critical）。9件がすべて同じスコアという意味ではない。
- 成立条件・想定影響: ネットワーク設定権限を持つ認証済み利用者によるOSコマンド注入からroot権限での実行、固定のJWT署名鍵を用いた認証回避と管理機能へのアクセスなど。各CVEで必要な権限と影響が異なる。
- 悪用状況: 公表資料から実環境での悪用成功は確認できない。未確認は攻撃不存在の証明ではなく、個別侵害や情報漏えいが確定したことも意味しない。
- 修正版・推奨対応: 開発元公開のファームウェアV1.30の適用を検討し、管理画面と機器を外部ネットワークへ直接公開しない。管理資格情報・ログを点検し、ファームウェアと機種の適合性を確認する。
Siemens SIMATIC S7 PLCのWebサーバーに8件の重大脆弱性（修正準備中）
公式公表日: Siemens ProductCERTはSSA-591731を2026年10月13日に公開。後続の公的機関の掲載日を脆弱性の初公開日や事故発生日として扱わない。
内容・対応を確認する
- 対象: SIMATIC S7-1500 CPU、SIMATIC Drive Controller、ET 200SP Open Controller、SIPLUS関連機種、S7-PLCSIM Advancedなど。影響するCVEとバージョンは各機種によって異なるため開発元の製品表を参照する。
- CVE: CVE-2026-63350、CVE-2026-63351、CVE-2026-63352、CVE-2026-63353、CVE-2026-63354、CVE-2026-63355、CVE-2026-63356、CVE-2026-63357（計8件）。
- CVSS: Siemens ProductCERT評価で最大CVSS v3.1基本値9.6、CVSS v4.0基本値9.4。すべてのCVEが同一スコアではない。
- 成立条件・影響: Webサーバーの脆弱性によって正規利用者のブラウザーセッションで悪意あるコードが実行され、その利用者の許可範囲内でPLC操作が行われるおそれがある。無条件に認証不要のPLC root RCEが成立するとの主張ではない。
- 悪用・修正状況: 個別組織の侵害・漏えい成功を開発元はこの通知で公表していない。2026年10月13日時点で多数の影響機種に利用可能な修正版はなく、Siemensは修正を準備中。現時点の製品別対策状況は原文で再確認する。
- 回避策・対応: 不要なWebサーバーを無効化し、TCP/80・443へのアクセスを信頼できるIPアドレスに限定する。信頼できるトレースファイルだけをアップロードし、Webサーバー操作を認可担当者に限定する。
JPCERT/CCが国内連続不正アクセスとAIペネトレーションテスト基盤の悪用試行を警告
公式公表・更新: JPCERT-AT-2026-0030は2026年10月8日公開、10月23日に更新。10月23日の続報でAIペネトレーションテスト基盤を悪用した攻撃試行（ケースE）とAPI不正操作の追加指標（ケースB）を公表。更新日と攻撃の発生日を混同しない。
内容・対応を確認する
- 対象: インターネット公開Webアプリ、業務API、管理API、BIや従業員向け管理システム、公開されたWSUSサーバー等。攻撃に悪用されたツールとしてCairn、CyberStrikeAI、ARTEXを挙げるが、各ツール自体の脆弱性が報告されたわけではない。
- 手口・影響: 既知の脆弱性や設定不備を探索し、環境設定・バックアップファイル取得を試みるほか、公開スマホアプリを解析してAPIエンドポイント・キーを探し、権限変更、不正アカウント作成、NoSQLインジェクションなどを試みる。複数の不正アクセス・漏えい事例に関する横断注意喚起であり、すべての試行で侵害成功や同一の脆弱性が確認されたわけではない。
- CVE・CVSS・修正版: 横断的な注意喚起全体を表す単一のCVE、CVSS評価、影響版、修正版はない。ケースCではMetabaseのCVE-2026-72898を別途参照。個々の製品の修正状況は開発元の原文で確認する。
- 観測・対応: 10月23日に追加された不審なアクセス元IP等の兆候はJPCERT/CC本文を参照。IPやTLS指標の単独一致は侵害確定を意味しない。全APIの認可・レート制限、APIキー最小権限と失効、既知脆弱性の修正、管理面の公開制限、アクセスログ点検と初動対応を実施する。
三菱電機GENESIS・ICONICS等の認証回避／任意操作／コード実行（4 CVE）
公式公表日: 三菱電機PSIRTの2026-006は2026年10月15日初回公開。JVNは10月23日にJVNVU#93251594を公開。これらの日付を実際の攻撃発生日としない。
内容・対応を確認する
- 対象製品: GENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32、BizViz。影響製品・版はCVEにより異なる。
- CVE・CVSS: CVE-2023-4863（細工ファイル取込時のlibwebp由来コード実行、三菱電機CVSS v4.0 9.3）、CVE-2026-16436（固定チャレンジレスポンスによる認証回避、同9.2）、CVE-2026-16437（保存されたチャレンジレスポンスの管理者による改ざん、同7.1）、CVE-2026-16438（過剰DCOM権限、同9.4）。
- 影響版: 2023-4863はGENESIS64／ICONICS 10.97～10.97.2。16436／16437はGENESIS 11.03以前、GENESIS64・ICONICS・Hyper Historian・AnalytiX・MobileHMI・IoTWorX 10.97.3以前、MC Works64・GENESIS32・BizViz全版。16438はGENESIS64・ICONICS・Hyper Historian・AnalytiX・MobileHMI 10.97.3以前、MC Works64全版。
- 成立条件と影響: 2023-4863には攻撃用ファイルを管理者として取り込む等の条件がある。16436は遠隔攻撃前に共通チャレンジレスポンスの入手が必要、16437はPC管理者権限、16438は製品管理者アカウントが前提。情報窃取・改ざん・破壊・稼働停止の可能性があるが全件を無認証RCEとは扱わない。
- 公開済み修正版: 2023-4863はICONICS Suite 10.97.3以降、16436／16437はICONICS Suite 10.98以降・IoTWorX 10.98以降・GENESIS 11.04以降、16438はICONICS Suite 10.98以降で製品別に修正。該当製品へ適切な版を適用する。
- 未修正のレガシー製品: 三菱電機はMC Works64、GENESIS32、BizVizの修正版を予定しないと公表。公式の製品別緩和策を適用し、必要に応じGENESIS64／GENESISへの置換を検討する。
- 悪用・件数: 公式本文では特定組織への悪用成功・情報流出の件数を確認できない。4 CVEをまとめた予防的注意喚起1項目で、事故行を新設しない。
プリザンターのLDAP認証回避（CVE-2026-113438、修正版公開済み）
公式公表: 株式会社インプリムとJVNが2026年10月23日に公表。特定構成のLDAP認証で細工した要求に対するパスワード検証が欠落する脆弱性。公表日は攻撃発生日を意味しない。
内容・対応を確認する
- CVE・CVSS: CVE-2026-113438（CWE-304）。JVN評価でCVSS v4.0基本値6.9、v3.0基本値6.5。認証回避の影響があるがCriticalスコアとは扱わない。
- 対象版と成立条件: Pleasanter 1.1.0.0～1.5.9.0（Community／Enterprise）。認証がLDAPまたはLDAP+Localで、Linux（Dockerを含む）またはDsProvider=Novellを指定したWindows上で動作し、接続先がActive Directoryか匿名バインドを許可するOpenLDAP・389 Directory Server等の場合に該当。LDAP+LocalではLDAPログイン経路が対象。
- 非該当: DsProviderが既定値nullのWindows構成、LDAP未使用のローカル・SAML・パスキー・二段階・統合Windows認証、開発元がLDAP未設定と確認したPleasanter.netとプライベートクラウド。全インストールが影響を受けるわけではない。
- 想定影響・悪用: 有効なログインIDを知る第三者がパスワードなしでなりすまし、当該ユーザー権限で情報を閲覧・改ざん・削除するおそれ。特定組織の侵害成功や漏えい人数は公式本文で確認できない。
- 修正・対応: 開発元は2026年10月23日に修正版1.5.9.1を公開。対象システムは1.5.9.1以降へ更新しLDAP設定と認証ログを点検。1.5.9.0は未修正であり、更新できない場合の環境別回避策は開発元へ相談する。
Arista VeloCloud Orchestratorの悪用確認済み権限昇格（CVE-2026-114625）
公式公表: Arista Networksが2026年10月22日付Security Advisory 0199を公開。製品はVeloCloud Orchestrator（VCO）のオンプレミス版。
内容・対応を確認する
- CVE・CVSS: CVE-2026-114625（SQLインジェクション、CWE-89）。Arista評価でCVSS v3.1基本値9.9、v4.0基本値9.4（いずれもCritical）。
- 対象・成立条件: 5.2.xの5.2.3.18未満、6.1.xの6.1.3.10未満、6.4.xの6.4.2.12未満。VCO Web画面へのネットワーク到達と有効な認証済みセッション（Enterprise Read Only以上）が必要。無認証攻撃とは扱わない。
- 想定影響・悪用: 低権限の認証済み利用者がoperator権限や内部専用機能へアクセスできる。Aristaは実際の悪用を確認したと明記。これだけで特定組織の情報流出確定を意味しない。
- 修正版・対応: VCO 5.2.3.18、6.1.3.10、6.4.2.12で修正済み。Hosted／Dedicated版は提供元がパッチ適用済み。オンプレミス版は更新、管理画面の到達制限、アクセスログと不審な操作を点検し、必要に応じ証跡を保全する。
CISA・FBI等のSafePayランサムウェア共同注意喚起（少なくとも600組織）
公的公表: 米CISAが2026年10月20日（米東部時間）にFBI・米シークレットサービス等とのSafePayランサムウェア共同注意喚起を案内。米国時間の公表日を日本での事故発生日に読み替えない。
内容・対応を確認する
- 確認された動向: 2024年8月以降に複数地域・重要インフラ分野で少なくとも600組織に影響したと公表。これは単一事故の漏えい件数や日本国内の被害数ではない。
- 侵入・影響: 認証情報の侵害、総当たり、VPNや境界機器の既知脆弱性の悪用を経て、情報窃取・暗号化・シャドウコピー削除・NASバックアップ初期化等の復旧妨害につながる可能性を警告。
- CVE・CVSS・更新版: 複数攻撃手法に対する公的注意喚起であり単一のCVE・CVSS・共通修正版は指定されていない。各機器の既知悪用脆弱性を個別に確認する。
- 推奨対応: VPN・ファイアウォール等の緊急パッチ、MFAと認証情報保護、管理者権限の制限、バックアップの分離・復元確認、監視と痕跡調査を優先する。
HTTP/3 QPACKヘッダー伸長による複数実装のリモートDoS
研究の一次公表: FoxIOが2026年10月20日、HTTP/3のQPACK圧縮ヘッダーを展開する際のメモリ使用量制限不備により、未認証のリモート利用者が少量の通信で大規模なメモリ確保やCPU負荷を起こし、サービス妨害に至る問題を報告。検証した10実装のうち7実装で脆弱またはクラッシュする動作を確認。
内容・対応を確認する
- 修正済みとして確認した版: quic-go 0.57.0（CVE-2025-64702）、Cloudflare quiche 0.29.3（CVE-2026-12523）、lsquic 4.9.0（CVEなし）、Wireshark 4.6.2／4.4.12（CVE-2025-13945）。これらは研究対象の特定ケースに対応するものであり、異なる変種の修正まで一括保証しない。
- 当時の未修正実装: 公表時点のBun 1.4.3、hyperium h3、aioquic／mitmproxyは未修正と報告。10月20日以降にリリースされた版の修正有無は個別に確認する。IIS、Envoy、ngtcp2/nghttp3について当該研究は影響なしとする。CVSS値・評価版・評価元は各製品ごとに異なり、本一次研究では統一評価を確認できない。
- 影響・回避策: 主な影響はDoSであり、RCEや情報漏えいの実害を示したものではない。最新版のセキュリティ修正を適用し、未修正のBunではHTTP/3の公開を避け、mitmproxyではHTTP/3を無効化し、h3ではmax_field_section_sizeを制限する。これは複数実装に関する同一研究の予防的注意喚起1項目として集計する。
Linuxカーネル「Infinity Core」6件の権限昇格・DoS脆弱性
一次公表: 発見者Hyunwoo Kim氏が10月17日01:00 JSTにoss-securityへ公開。Timer・Signal・メモリ管理・Futex・Scheduler・SLABの6サブシステムが対象。
内容・対応を確認する
- CVE: CVE-2026-98260（Timer UAF）、CVE-2026-98256（Signal UAF）、CVE-2026-89754（mincore()の範囲外書き込み）、CVE-2026-80775（Futex UAF）、CVE-2026-98385（Scheduler UAF）、CVE-2026-97941（SLABリスト破損によるカーネルパニック）。
- 成立条件と影響: ローカル権限昇格、条件付きのコンテナ脱出やAndroid権限昇格、DoSの可能性がある。原則ローカル実行等の前提が必要で、無条件の認証不要ネットワークRCEではない。Schedulerの問題はCONFIG_SCHED_CACHE・実行時設定・CPUトポロジーの条件に依存。
- 修正・評価: 研究者は6件のupstream修正コミットを公開。ディストリビューションとAndroidの適用済み版は個別確認が必要であり、普遍的な修正済みバージョンを推測しない。CVSSの数値・バージョン・評価元は確認した一次資料では未掲載。
- 推奨措置・悪用: Linuxホスト・コンテナホスト・Android等の製品ベンダーのセキュリティ修正を照合し、共有ホストやローカル権限境界を点検する。実環境での攻撃成功、被害組織、流出人数は今回の一次報告から確認できない。6件をまとめた予防的注意喚起1項目として扱い、LEAK件数には加算しない。
- 2026年10月25日13:46 JST追記（Linux CNAのCVE原文6件と研究者リポジトリを直接照合）: Linux CNAはCVE-2026-98260・98256・89754・98385・97941の5件をCVSS v3.1 7.8（High、CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）と評価し、CVE-2026-80775にはCVSS記載がない。CNAが示す修正境界は、98260が6.6.158・6.12.112・6.18.54・7.2.8（5.7以降が影響）、98256が6.18.54・7.2.8（6.15以降）、89754が6.18.50・7.2.4、80775が6.18.47・7.1.11・7.2.1（6.17以降）、98385が7.2.9（7.2系のみ）、97941が7.2.7（7.2系のみ）。いずれも上流安定版の境界であり、ディストリビューションのバックポート適用状況は別に確認する。研究者リポジトリは6件すべてのPoCを公開済みで、5件はUbuntu 26.04（7.0.0-30-generic）またはArch Linux（7.2.4-arch1-2）で非特権ユーザーからroot取得を実証、97941はカーネルパニックのみ。Android（Galaxy S26 Ultra）向けexploitはハッシュのみ公開。実環境での悪用・被害組織・流出件数は引き続き一次資料で未確認。ADV件数・事故件数は変更しない。
Linux KSMBDの未修正RCE報告2件（ZDI-CAN-33774／33549）
公表・識別: 2026年10月21日にTrendAI Zero Day Initiativeの公開予定案件一覧およびLinuxカーネル公開メーリングリストに2件の報告が現れた。ZDI-CAN-33774とZDI-CAN-33549はいずれもZDIがCVSS 9.0と表示する候補識別子であり、現時点でCVE番号は確認できない。CVSSのバージョンもZDI一覧本文からは未確認。
内容・対応を確認する
- 対象・影響: Linuxカーネル内蔵のSMBサーバーKSMBDが対象で、Samba利用のみの構成へ無条件には適用しない。報告上、ZDI-CAN-33774はSMB1/SMB2の処理競合で未認証のリモートコード実行につながる可能性。ZDI-CAN-33549はSMB DirectのRDMA転送における整数アンダーフローからメモリ破損・RCEにつながる可能性。
- 成立条件: 前者はKSMBDが有効化されネットワークから到達可能な場合、後者はSMB Direct、RDMA対応構成、共有先への書き込み権限など条件が必要と報じられた。すべてのLinuxカーネルや共有サービスが無条件に攻撃可能ではない。
- 修正・悪用: 10月22日時点の公開報道ではmainline未修正とされ、一部パッチは開発ブランチ段階。配布済み修正版・導入済みと断定しない。実環境の悪用確認や情報漏えいは一次情報では確認できない。公開Linuxメーリングリスト本文は本調査環境で403となったため、詳細は報道との照合に基づき、一次原文を直接取得済みとは扱わない。
- 推奨対応: KSMBDの稼働有無とTCP 445の露出を点検し、未使用なら停止、必要な場合はアクセス制限・セグメント分離・最小権限化を行う。Linuxディストリビューションとカーネル開発元の修正提供状況を継続確認する。
Cisco Expresswayクラスタのroot権限RCE（CVE-2026-76466、CVSS 9.8）
公式公表・評価: Ciscoが2026年10月21日16:00 GMT（22日01:00 JST）に公表したCVE-2026-76466はCVSS v3.1 9.8（Cisco評価、Critical）。確認日と攻撃発生日は区別する。
内容・対応を確認する
- 対象・成立条件: Expressway-C／Eの脆弱なクラスタ構成（仮想版と機器版）。データベースへのネットワーク接続と永続Cookieの入手を前提に、クライアント証明書検証の不備とRPC操作によるroot権限のOSコマンド実行のおそれ。無条件の認証不要RCEとは扱わない。
- 修正版・対応: X15.5.3以前→X15.5.20、X14以前→修正版系列への移行。該当する環境の版・設定をCisco表と照合し至急更新。完全な回避策はないためデータベース露出制限・Cookie監査は補助策。修正版の公開と個別機器への適用完了は別。
- 悪用状況: Cisco PSIRTは10月21日時点で公の悪用報告・不正利用を把握していない。攻撃が存在しない証明ではなく、個別の侵害・漏えい確認もない。
- 集計: CVE1件を注意喚起1項目。LEAKの事故件数には加算しない。
Snort 3とCiscoセキュリティ製品の重大脆弱性（CVSS最高9.0）
公表・続報: Ciscoは2026年10月21日16:00 GMTに発表し、22日19:03 GMT（23日04:03 JST）にIOS XE UTDの修正版表を更新。確認日・続報日を事故発生日としない。
内容・対応を確認する
- CVE・重要度: CVE-2026-20236とCVE-2026-20043は各CVSS v3.1 9.0、CVE-2026-20291は7.8、CVE-2026-20356は7.5。CiscoによるCWE分類ごとの最大評価であり、すべてが無条件の認証不要RCEと立証されたわけではない。
- 対象: Snort 3、Cisco Secure Firewall Threat Defense、Cyber Vision、Meraki MX、Cloud-delivered Firewall、Secure Access、IOS XE Unified Threat Defense。Snort 2は当該問題の対象外。
- 修正版・対応: Open Source Snort 3.xは3.12.4.0、FTDの系列別修正版は7.0.10／7.2.12／7.4.8／7.6.6／7.7.13／10.0.2／10.1.0。Ciscoは10月21日までにクラウド側と当時オンラインのMeraki機器に更新したと公表したが、オフライン機・個別管理環境で適用完了を保証しない。完全な回避策はなく、製品別表を確認してパッチを適用する。
- 悪用状況: Ciscoは把握する限り悪用を認識していない。悪用がないと断定せず、漏えい事故へは計上しない。
- 集計: CVE4件を注意喚起1項目にまとめる。
Cisco Unified Communications 6製品の重大セキュリティ更新
公表・評価: Ciscoは2026年10月21日16:00 GMTにCritical/Highの修正を発表。最高CVSS v3.1 9.8（Cisco評価）。異なる内部問題をCWE別にCVEグループへまとめており、8件のCVEを8個の独立侵入とみなさない。
内容・対応を確認する
- 対象・影響: Emergency Responder、Prime Collaboration Deployment、Unified Communications Manager、Unified CM IM & Presence、Unified CM Session Management Edition、Unity Connection。対象版では設定にかかわらず影響する。認証不備、入力処理、SQL、アクセス制御等の問題を含むが全件をRCEと断定しない。
- CVEとスコア: CVE-2026-76473・CVE-2026-76474（各9.8）、CVE-2026-76475（9.3）、CVE-2026-76476・76477・76478（各8.8）、CVE-2026-76479（7.8）、CVE-2026-76481（7.5）。すべてCiscoのCVSS v3.1によるCWEグループ内の最大値。
- 修正版・対応: 15系は15SU5、14系は修正版系列への移行。Ciscoは完全な回避策なしと記載。公開済み更新の適用と管理画面の制限を優先し、自環境の適用済みは別途確認する。
- 悪用状況: Ciscoは10月21日時点で公の悪用・不正利用を把握していない。悪用不存在や漏えい発生を断定しない。
- 集計: CVE8件を注意喚起1項目。既存のCisco別製品への注意喚起とは重複しない。
Oracle APEXの認証不要Critical脆弱性（CVE-2026-101521）
公表と評価: Oracleは2026年10月20日付Critical Patch UpdateでAPEXの修正2件を公開。CVE-2026-101521はCVSS v3.1 9.8（Oracle Risk Matrix）、認証なしのHTTPS経由で悪用可能性があり機密性・完全性・可用性への深刻な影響が想定される。実際のRCE・侵害成功の確認を意味しない。
内容・対応を確認する
- 影響バージョン: CVE-2026-101521は24.1.0～24.1.21、24.2.0～24.2.20、26.1.0～26.1.4。関連CVE-2026-66010（DOMPurify、CVSS v3.1 6.1、ユーザー操作必要）は24.1.0～24.1.19、24.2.0～24.2.18、26.1.0～26.1.2。2件の範囲と前提を区別する。
- 修正版・推奨対応: Oracle 10月CPUの修正版は公開済み。実際の修正ビルドはOracleサポートおよび製品別パッチ表で照合し、インターネット公開APEXを優先更新。接続制限とログ確認は暫定策。修正版番号・悪用状況を推測しない。
- 悪用状況: Oracle公式Risk Matrixでは個別CVEの実悪用・特定組織の情報漏えいを確認できない。攻撃がない証拠ではない。
- 集計: APEXのCVE2件（うちCritical1件）を注意喚起1項目。既存Oracle Java SE注意喚起とは対象が異なる。Oracle CPU全体1,295パッチと個別CVE数・事故数を混同しない。
Juniper Junos OS／Junos OS Evolvedの重大脆弱性9件（認証回避・root権限RCE）
公式公表・評価: シンガポール政府Cyber Security Agency（CSA）は2026年10月19日にセキュリティ更新を緊急勧告。9件の対象脆弱性についてCVSS v3.1 9.8（Critical、CSA公表値）と記載。10月23日は確認日であり、脆弱性の公表日や攻撃発生日ではない。
内容・対応を確認する
- CVE: CVE-2026-102178、CVE-2026-102175、CVE-2026-101990、CVE-2026-101986、CVE-2026-101983、CVE-2026-101982、CVE-2026-101954、CVE-2026-33796、CVE-2026-33789。
- 成立条件・影響: J-Webがネットワークから到達可能な場合にCVE-2026-101986で認証回避と高権限CGI実行、CVE-2026-101954でroot権限の機器設定操作・乗っ取り、CVE-2026-101983で認証不要のHTTPデーモンRCE・DoSが起こり得る。その他はBGP/EVPNピア、BMP設定、SDX/SRC接続の制御・傍受などの個別条件がある。9件すべてが無条件の認証不要RCEではない。
- 修正版と影響系列: Junos OSの系列別修正境界は23.2R2-S7.7、23.4R2-S8.13、24.2R2-S5.5、24.4R2-S5、25.2R2-S2、25.4R1-S3、26.2R1-S2。Junos OS Evolvedは23.2R2-S7.7-EVO、23.4R2-S8.11-EVO、24.2R2-S5.6-EVO、24.4R2-S5-EVO、25.2R2-S2-EVO、25.4R1-S3-EVO、26.2R1-S2-EVO、25.2X100-D35-EVO、25.4X300-D40-EVO。該当する旧版・構成をメーカー表で照合。23.4X100-EVOの修正版は個別確認する。
- 悪用状況・対応: 確認したCSA公式資料だけでは実悪用や特定組織の侵害は確定できないが、攻撃がないことを意味しない。公開J-Webを制限し、対応する修正版を至急適用、設定・ログ・適用状況を確認する。公開予定・公開済み・自環境への適用済みを区別する。
- 集計: CVE9件を注意喚起1項目に集約。AI/LEAK事故件数には加算しない。
Nextcloud内蔵Collabora CODE Serverの認証不要OSコマンド実行（悪用報告、CVE-2026-110447）
公式公表・評価: 開発元Collabora Onlineの公式GitHub Security Advisory GHSA-g3vx-3m76-fghhは2026年10月14日公開。CVE-2026-110447、CVSS v4.0 9.2（Critical、GitHub Advisory Database掲載値）。10月23日を公表日や事故発生日にはしない。
内容・対応を確認する
- 影響製品・成立条件: NextcloudのCollabora Online - Built-in CODE Serverアプリrichdocumentscode 26.4.303未満。内蔵CODEサーバーが停止している間（コンテナ再起動・更新・クラッシュなど）にproxy.phpへの細工した未認証リクエストでWebサーバーユーザー権限のOSコマンド実行のおそれ。単独のCollabora Onlineサーバーは対象外。
- 悪用状況: GitHub Advisory DatabaseのCVE情報は2026年9月と10月の実悪用を報告。開発元公式告知で影響と修正は裏付けられるが、個別企業の侵害・漏えい人数は確認できない。
- 公開済み修正版と対応: richdocumentscode 26.4.303以上へ更新、またはアプリを完全に削除。単にアプリを無効化しても防御にならない。サポート終了のNextcloud 29以前はNextcloudを更新するかアプリ削除。過去のCVE-2025-66208向け修正では本件を防げない。
- 推奨調査: インストールされた版とCODEサーバー停止期間、proxy.phpリクエスト、Webサーバーでのコマンド実行履歴・資格情報の不審利用を確認する。修正版配布と自環境への適用済みを区別する。
- 集計: CriticalのCVE1件を注意喚起1項目とし、未確認の利用企業の被害をLEAK事故として計上しない。
Fortinet 5製品のCritical/High脆弱性への緊急セキュリティ更新（個別CVE公表前）
公式告知・重要度: Fortinetは2026年10月21日付で、FortiOS、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticatorの複数製品を対象とするCritical/Highのセキュリティ修正を発表。FortiOS・FortiManager・FortiAnalyzerの修正版は10月22日提供予定と記載し、インターネット公開機器の優先更新を勧告した。公開予定日を迎えたことのみをもって、全顧客への配布完了や適用完了とは判定しない。
内容・対応を確認する
- FortiOSの対象版と修正版: 8.0.0～8.0.1→8.0.2以上、7.6.0～7.6.7→7.6.8以上、7.4.0～7.4.12→7.4.13以上、7.2.0～7.2.13→7.2.14以上。公式告知ではこれらの修正版の提供予定日を10月22日としている。
- FortiManager／FortiAnalyzerの対象版と修正版: 両製品とも8.0.0～8.0.1→8.0.2以上、7.6.0～7.6.7→7.6.8以上、7.4.0～7.4.11→7.4.12以上、7.2.0～7.2.12→7.2.13以上。公式告知上の提供予定日は10月22日。FortiManager Cloudは手動更新が必要となる場合がある。
- FortiMail／FortiAuthenticatorの対象版と修正版: FortiMailは8.0.0～8.0.1→8.0.2以上、7.6.0～7.6.6→7.6.7以上、7.4.0～7.4.8→7.4.9以上、7.2.0～7.2.9→7.4系以降への移行。FortiAuthenticatorは8.0.0～8.0.3→8.0.4以上、6.6.0～6.6.10→6.6.11以上。10月21日付告知ではこれらを当日利用可能と記述。ただし本確認ではダウンロード済み・機器適用済みという実測確認はない。
- 識別子・成立条件・悪用状況: 各修正の個別CVE、CVSSの版・値・評価元、攻撃前提条件は当該公式告知に未掲載。Fortinetは詳細PSIRT告知を2026年11月10日公開予定と明記する。想定リスクはCritical/High脆弱性の悪用であるが、特定CVEのRCE・認証回避や実悪用、侵害・漏えい発生を本告知だけから断定しない。
- 対応と検証: 公開管理画面の露出を削減し、管理HTTPS/SSHを信頼IPへ制限、FortiManagerの管理面をインターネットへ直接公開せず、管理者MFA・設定バックアップ・監査ログ確認を実施。機種別の実際の配布・修正版をFortinetサポート／リリースノートと照合して早急に更新する。FortiSASEの自動更新やクラウド配布は予告と実際の適用完了を区別する。
- 件数上の扱い: 複数製品を含む予防的注意喚起1項目。個別CVEの詳細公表や修正版配布確認は同一ADVの続報として更新し、独立した情報漏えい事故として計上しない。
NGINX Webサーバーの重大メモリ破損脆弱性3件と修正版（条件付きRCE・DoS）
公表・修正版: nginx開発元は2026年10月14日にOpen Sourceのstable 1.30.6とmainline 1.31.7を公開し、5件の脆弱性を修正。シンガポール政府CSAは10月21日に、そのうち重大な3件に関する緊急更新を勧告。mainline 1.31.8は10月21日公開済みで、対象修正は1.31.7から含まれる。
内容・対応を確認する
- 主な識別子・評価: CVE-2026-15176（aliasとrewriteの組合せにおけるバッファオーバーフロー）、CVE-2026-93479（map等の式評価におけるバッファオーバーフロー）、CVE-2026-97205（AIO・SSI併用時のuse-after-free）。CSAが示す評価はそれぞれCVSS v4.0 9.2（Critical）。nginx.orgは独自の重要度でmediumとしており、評価主体・指標の相違に注意する。同時修正にはCVE-2026-95101とCVE-2026-97629も含まれる。
- 影響範囲・成立条件: nginx.orgによるOpen Source対象はCVE-2026-15176が0.1.29～1.31.6、CVE-2026-93479が1.30.0～1.30.5・1.31.2～1.31.6、CVE-2026-97205が0.8.11～1.31.6の該当構成。F5製NGINX Plus等は製品ごとに影響・修正版を照合。いずれも設定依存で全環境が無条件に攻撃可能なわけではない。
- 想定影響・悪用状況: 認証不要のネットワーク入力によりワーカープロセスのクラッシュやメモリ破損・サービス妨害が発生し得る。ASLRが無効化・回避される等の条件下では任意コード実行の可能性がある。参照した公式本文から実際の悪用確認は特定できないが、攻撃がないという意味ではない。
- 推奨対応: NGINX Open Sourceをstable 1.30.6以上またはmainline 1.31.7以上に更新し、必要に応じ10月21日公開の1.31.8等の新しい修正版を適用する。F5派生製品は別途製品対応表を確認。暫定的に影響するalias/変数、AIO・SSI、mapのキャプチャ設定を見直す。
- 件数上の扱い: 重大CVE3件を主対象とする注意喚起1項目（同時修正の関連CVE2件も併記）。被害が確認されたセキュリティ事故としてAI/LEAKの件数には加算しない。
Palo Alto Networks PAN-OS管理画面の悪用確認済みroot権限RCE（CVE-2026-0322）
公式公表と評価: Palo Alto Networksは2026年10月14日にCVE-2026-0322を公表し10月15日に更新。開発元評価はCVSS v4.0 8.6（High）、対応緊急度HIGHEST。管理インターフェースのコードインジェクションによりroot権限で任意のコードを実行され得る。
内容・対応を確認する
- 対象・成立条件: PAN-OSを使うPA-Series、VM-SeriesおよびPanorama（仮想版・M-Series）の該当旧版が対象。管理画面へネットワーク到達でき、認証された攻撃者であることが条件で、認証不要RCEではない。Cloud NGFWとPrisma Accessは対象外。
- 影響版と公開済み修正版: 12.2系は12.2.4未満、12.1系は12.1.10-h2等の対応hotfix以前、11.2系は11.2.16等以前、11.1系は11.1.16-h3等以前、10.2系は10.2.18-h12等以前の該当ビルド。厳密な影響・修正版は開発元のProduct Status表で保守枝ごとに照合する。
- 悪用状況: 開発元は管理インターフェースを標的とする非常に限定的な実悪用を観測したと明示。これだけでは特定組織の侵害や漏えい件数を証明しない。
- 推奨対応・緩和策: 該当修正版を速やかに適用し、管理インターフェースへの接続を信頼できる内部IPや踏み台ホストに制限。IoC、管理操作ログ、不審な認証履歴を確認する。Threat Prevention署名の防御効果は限定的で、完全な回避策ではない。
- 件数上の扱い: CVE1件の実悪用確認済み注意喚起1項目。確認されていない組織別LEAK事故は追加しない。
SAP Cloud SDK for Pythonの認証情報窃取につながるCritical SSRF（CVE-2026-89111）
公式公表と評価: SAPが2026年10月13日にGitHub Security Advisory GHSA-4mv3-jxxm-9cx2で公表。CVE-2026-89111の開発元提示CVSS v3.1は10.0（Critical）。Pythonパッケージsap-cloud-sdkのOAuth2トークン取得処理で成立するSSRF。
内容・対応を確認する
- 影響版・成立条件: sap-cloud-sdk 0.45.2未満を使うマルチテナントSAP BTPアプリで、攻撃者がtenant_subdomainパラメータを制御できる場合。トークン取得要求が攻撃者のサーバーへ転送され、OAuth2クライアント認証情報を窃取され得る。SAP製品すべてが無条件に影響するわけではない。
- 修正版と回避策: 修正版0.45.2が公開済みで、tenant_subdomainをRFC 1123に基づくDNSラベルとして検証。アプリ側でも登録済みテナントのサブドメインを許可リストで検証し、SDKを0.45.2以上に更新する。
- 悪用状況・事故との区別: 一次告知から実悪用や特定企業の侵害、実際の認証情報窃取件数は確認できない。未確認であることを悪用なしとは断定しない。
- 件数上の扱い: CVE1件の予防的注意喚起1項目。LEAK事例に偽装せず事故件数に加算しない。
GitLab CE/EEの認証不要RCE（CVE-2026-110264、CVSS 10.0）の緊急修正版
公式公表日: GitLabは2026年10月21日、GitLab CE/EEの正規表現コンパイラにおける整数オーバーフローに起因する脆弱性CVE-2026-110264の修正版を公開した。GitLab公式評価はCVSS v3.1 10.0（Critical）。
内容・対応を確認する
- 成立条件・想定影響: 細工された正規表現のコンパイルに至る条件が成立すると、認証されていない遠隔の攻撃者がGitLabサーバー上で任意コードを実行できるおそれがある。GitLabは「特定条件下」と説明しており、すべてのインスタンスが常時無条件に攻撃可能とは断定しない。
- 影響版と修正版: GitLab CE/EE 7.0以降の該当旧版が対象。18.11系は18.11.13未満、19.0系は19.0.10未満、19.1系は19.1.9未満、19.2系は19.2.9未満、19.3系は19.3.6未満、19.4系は19.4.3未満、19.5系は19.5.1未満が影響する。該当各系列の修正版は10月21日に公開済み。
- 対応と悪用状況: 自己管理GitLabを直ちに該当系列の修正版以上へ更新し、アクセスログ・不審な正規表現入力・コード実行痕跡を調べる。GitLab.comは既に修正版稼働と開発元が説明。公表本文から本CVEの実悪用や特定企業の侵害を確認できないため被害確定として記録しない。
- 集計: 重大脆弱性に関する予防的注意喚起1項目として登録する。GitLabの公式リリースには他にも高・中・低の脆弱性修正が含まれるが、別々のセキュリティ事故としてLEAK件数へ計上しない。
LiteLLM 1.107.0の配布経路侵害と認証情報窃取マルウェア混入
公式公表と状況: LiteLLM開発元は2026年10月21日、リリース基盤が侵害され、攻撃者が作成したマルウェア入りPythonパッケージ・コンテナ画像が正規配布先で公開されたと発表した。同日20:30 UTC（10月22日05:30 JST）の更新時点で配布は停止・差し替え済み、調査は継続中。これは配布基盤への侵害確認であり、利用者全員の情報漏えい確認ではない。
内容・対応を確認する
- 影響対象と配布期間: PyPIのlitellm==1.107.0全7 wheelは10月21日11:39～13:23 UTC（20:39～22:23 JST）に公開。Docker HubおよびGHCRのv1.107.0、latest、main-latest、main-stableタグも同日11:46 UTC以降の該当期間に汚染されていた。Docker Hubは14:20 UTC（23:20 JST）まで、GHCRは13:51 UTC（22:51 JST）まで影響した。タグ名だけではなく取得時刻・イメージdigestを照合する。
- 影響・成立条件: 該当配布物をインストールまたは起動すると、マルウェアが環境変数・API鍵・クラウド資格情報などへアクセスし、外部送信や遠隔コード実行用機能の読込を試みる。開発元は該当環境を侵害済みとして扱うよう推奨。個々の利用企業での窃取成功件数は未公表。通常の事前バージョンとプライベートEnterprise配布は対象外。
- 対応: 影響環境ではPython起動やpip installを先に実行すると不正ファイルが再実行され得るため、まず環境を隔離して痕跡を確保し、汚染された仮想環境・コンテナをクリーンなイメージから再構築する。開発元は暫定的に1.106.2など侵害以前の固定版を推奨。影響ホストが参照できたクラウド権限・LLM API鍵・LiteLLMマスターキー・DBパスワード等を失効・再発行して利用痕跡を調査する。
- 識別子・集計: 開発元の2026年10月21日告知には本件全体に付されたCVEやCVSS数値はないため推測しない。既知の供給網侵害として本注意喚起1項目に記録し、確認できていない下流企業の被害をLEAK行として重複計上しない。
Signal RingRTCの通話終了を妨げ音声・映像が継続し得る重大脆弱性
公表日と識別子: CVE-2026-113380は2026年10月20日に公開。GitHub Advisory Databaseの掲載評価はCVSS v4.0 9.3（Critical、同DBの項目はUnreviewed）。この数値をSignal開発元による独自評価と誤認しない。
内容・対応を確認する
- 対象・成立条件: Signalで用いられるRingRTCライブラリ2.72.0未満が対象。通話中の相手側が有限状態機械（FSM）のイベントキューを飽和させた場合に、ローカル利用者の通話終了操作が通話を完全に破棄できないおそれがある。通話相手との接続が前提で、無関係な第三者が遠隔から任意の端末のマイクを無条件に起動できるとの意味ではない。
- 想定影響: 利用者が切断操作を実行しても音声トラック、場合によっては映像トラックが残る可能性があり、会話の意図しない送信につながり得る。公開アドバイザリは潜在的な動作上の問題を示すもので、実際の盗聴や流出の被害件数を確定していない。
- 修正・対策: RingRTC 2.72.0で終了処理を確実に完了させるための修正が導入されている。RingRTCを組み込むアプリはライブラリ依存関係を更新し、Signal利用者は対応するアプリ最新版を適用する。個々のSignalアプリの影響版番号はこの資料だけから断定しない。
- 集計: CVE1件に関する重大脆弱性の注意喚起1項目。特定組織の漏えい確認としてAI/LEAKの事故表には追加しない。
アツミ電氣の録画機DVRで管理者権限からコマンド実行・不正ファームウェア更新
公式公表日: JVN#88864366は2026年10月20日に公開。CVE-2026-97627はJVN評価CVSS v4.0 8.6／v3.0 7.2、CVE-2026-100737はv4.0 6.9／v3.0 4.9。どちらも管理者権限でログインできる者による悪用が前提であり、認証不要RCEではない。
内容・対応を確認する
- 影響製品: ADX5004・ADX5008・ADX404・ADX3004・ADX3008・ADX3016・ADX204の10.8.237未満、およびADX1004・ADX1008・ADX2016の全バージョン。CVE-2026-97627では任意OSコマンド実行、CVE-2026-100737では不正ファームウェアへ更新される可能性がある。
- 修正・回避策: サポート中の7モデルは開発元提供の対策ファームウェア10.8.237以降へ更新する。サポート終了のADX1004・ADX1008・ADX2016には修正版が提供されないため、開発元はネットワークからの切断、遠隔利用が必要なら機種交換を推奨。
- 悪用状況: 開発元とJVNの告知は潜在影響を示すもので、実際の侵入成功や録画情報流出を確認したとまでは記載していない。
Bishengの認証回避・他テナント情報取得など3件（SSOの未修正問題を含む）
公式公表日: CERT/CC VU#166125は2026年10月14日に公開、JVNは10月15日にJVNVU#94697946を公開。BishengはLLMアプリケーション開発・運用基盤。CVE-2026-96679、CVE-2026-96681、CVE-2026-100156の3件を同一注意喚起として扱う。CERT/CC公表文にCVSSの数値・評価版は記載されておらず推定しない。
内容・対応を確認する
- CVE-2026-96679: レガシーSSOのPOST /user/ssoで認証検証なしにユーザー名からJWTを発行し、管理者の乗っ取りや未登録の最初のアカウントへのスーパー管理者権限付与につながり得る。CERT/CCの公開時点でこの問題の公式修正版は確認できず、実行条件はレガシーSSOエンドポイントの利用状況による。
- CVE-2026-96681: 認証済みユーザーが他アカウントのワークフローDSL設定を参照できるIDOR。開発元による修正はBisheng 3.0.0。CVE-2026-100156: 2.5.0未満で認証済みユーザーが他者のAIアシスタント資格情報や実行権限を悪用し、LLM API費用・設定の漏えいが発生し得る。こちらは2.5.0で修正。
- 推奨対応: 利用版を監査し修正済みバージョンへ更新する。特に未修正の旧SSOはBISHENG_PRO=trueを避け、旧SSOエンドポイントの無効化、JWT検証・ネットワーク到達制限を実施する。既存導入環境の設定を検査し、API資格情報の流出痕跡・不審請求を調査する。
- 悪用状況: 公式公表は潜在的な攻撃経路を示すもので、特定の企業で実際の侵害・漏えいが発生したという一次情報は確認できていない。
Google BoringSSL証明書の名前制約検証不一致（修正済み・調整中・非該当を区別）
公表日: CERT/CC VU#410595は2026年10月14日公開、10月19日更新。JVNは10月15日にJVNVU#95613365を公開。X.509証明書のSubject Alternative Nameに適用するName Constraintsの検証に関する5件の異なる指摘であり、5件全てが未修正の確定脆弱性ではない。
内容・対応を確認する
- 影響条件: 制限付き下位CAが発行した証明書と、該当する名前形式・検証経路をアプリケーションが使用する場合に、許可対象外のホストを受理するおそれ。レガシーcrypto/x509経路と新しいpki経路は区別される。BoringSSLをリンクする全製品（ChromeやAndroid等）が一律に悪用可能とは判断できない。
- 対応状況: VU#410595.8と.12は2026年3月4日のコミット5774ecaで修正済み。.9は受理され調整中。.10は異議ありとして扱われ、.11はベンダがセキュリティ問題として採用せず。今回のCERT/CC資料では統一CVE、CVSSスコア、全製品共通の修正版番号は示されていない。
- 推奨対応: 証明書用途・SAN形式・ライブラリの検証経路を洗い出し、該当製品のベンダ更新を適用。発行ポリシーを第一の管理策とし、証明書検証を複数実装へ委ねる場合は同一入力でfail-closedとなるか確認。実悪用は公式資料から確認できない。
EC-CUBE4系AmazonPayプラグインの悪用確認済み決済途中リダイレクト
公式公表日: JVN#43511918は2026年10月14日公開、JVNは緊急として案内。CVE-2026-103671はCVSS v4.0 5.3／v3.0 4.7（JVN評価）。スコア自体は中程度だが、開発元は当該脆弱性を悪用した攻撃を既に確認していると報告したため掲載する。
内容・対応を確認する
- 影響製品: EC-CUBE4系AmazonPay V2プラグイン（4.0/4.1系）v1.0.0〜v1.1.12、4.2/4.3系v4.2.0〜v4.3.1（バンドル版v4.3.1を含む）、AmazonPayプラグインCV1版v1.3.0以前（4.0系）。対象バージョンは適用しているプラグイン系列に依存する。
- 成立条件・影響: 認証不要のWebパラメータ制御により、注文手続き中に利用者を攻撃者の任意サイトへリダイレクトさせ、誘導先でアカウント情報を窃取する攻撃に利用される可能性。JVNはユーザー操作を伴う前提（CVSS v4 UI:P／v3 UI:R）を示す。カード情報漏えいの確認や実被害人数を推定しない。
- 対応: 開発元の告知に基づき利用版に合致したパッチを適用し、決済画面からの遷移先や不審な誘導URLを監視する。一次資料では全バージョン共通の単一修正版番号は提示されていない。実際の攻撃試行と個別の侵害成功は区別する。
Ivanti Connect Secureの悪用確認済み認証回避CVE-2026-104935（緊急更新）
公表と状況: Ivantiは2026年10月13日にConnect Secureの脆弱性を公表し、限定的な実悪用を確認したと明示。CISAは同日CVE-2026-104935を既知悪用脆弱性（KEV）に登録。カナダ政府の注意喚起は10月16日に更新された。今回の確認日10月22日を脆弱性の公表日・侵害発生日とは扱わない。
内容・対応を確認する
- 識別子・影響: CVE-2026-104935。CVSS v3.1基本値8.6（High、公開CVE評価値）。影響するConnect Secureを利用する環境では、遠隔の認証されていない攻撃者が認証回避を経て任意コマンドを実行できるおそれがある。特定企業の個人情報流出件数を示すものではない。
- 影響バージョン・成立条件: 公式CERT-FRが列挙する対象は22.8R2.5未満の22.8Rx、25.1.1.2未満の25.1.1.x、25.1.3.1未満の25.1.3.x。製品系列・配布パッケージによって修正リリースが異なるため、すべての旧版が等しく脆弱と断定しない。Ivanti Connect Secure 22.7R2.14以前は当該CVEの影響対象外とされる。
- 修正版・推奨対応: 22.8R2.5、25.1.1.2、25.1.3.1など対象系列に応じた修正版は公開済み。ベンダーのアプライアンス・バージョン別指示に従って直ちに更新し、Integrity Checker Toolとログ・侵害痕跡の確認を行う。修正を適用した事実だけで既に侵害を受けていないと判断しない。包括的な回避策は公式資料で確認できていない。
- 集計: 悪用は公式に確認されているが、ここでは製品の重大脆弱性1項目・CVE 1件として記録する。個別の企業事故を根拠なくLEAK行へ追加しない。
Komodo Peripheryの権限昇格からホストrootコマンド実行CVE-2026-110005
公式公表日: CERT/CC VU#456950は2026年10月13日公開。CVE-2026-110005は開発元声明にCVSS v3.1 9.9（Critical）と記載。Docker管理基盤KomodoのPeripheryエージェント2.3.0未満でOSコマンドインジェクションが成立し得る。
内容・対応を確認する
- 成立条件・影響: 権限の限定された認証済み利用者でも、サーバー等へのLogs権限または特定の実行権限を持てば、コンテナ名・検索語等がシェルに渡され、Peripheryプロセスの権限（通常root）で任意コマンドを実行できる。認証不要で任意のインターネット利用者が実行可能とは断定しない。
- 修正と対策: 開発元は2.3.0で修正済みと回答。利用者は2.3.0以降へアップグレードし、Logs・Execute等の付与を監査。開発元は代替となる完全なワークアラウンドを提示せず、更新を推奨する。
- 悪用状況: 公式CERT/CC資料は具体的な攻撃成功事案や外部流出を確認したものではない。
Lenovo製タブレットのAndroid Verified Bootで公開テスト鍵を使用
公式公表日: JVN#33436631は2026年10月20日公開。CVE-2026-92777、JVN評価CVSS v4.0 7.0／v3.0 6.6。複数のLenovoタブレットにおいてAndroid Verified Bootに既知のAOSPテスト秘密鍵が使われている。
内容・対応を確認する
- 成立条件・影響: 攻撃者が該当端末へ物理的にアクセスした場合、細工したシステムイメージをインストールできるおそれがある。遠隔から全端末のブートを改ざんできる脆弱性と誤解しない。対象モデルとファームウェアはLenovoベンダ告知で個別確認する。
- 修正・回避策: Lenovoの最新ファームウェアを適用する。サポート終了モデルには修正版がないため交換を検討し、デバイスの物理的管理を強化する。公式公表は対象全モデルの固定版番号を一律に示していない。
- 悪用状況: 実悪用・特定組織での侵害・個人情報漏えいの確認情報は公式公表にない。
Lowcoder Query Library APIのテナント間認可回避とデータ取得CVE-2026-16753
公式公表日: CERT/CC VU#382143は2026年10月13日公開、10月14日更新。CVE-2026-16753はLowcoder 2.4.10で確認されたテナント分離違反。公式CERT/CC本文にCVSSの数値・版はなく推測しない。
内容・対応を確認する
- 成立条件: マルチテナントLowcoderで認証済みのadminまたはdev権限があれば、別組織のQuery Libraryのメタデータ取得やクエリ実行で所有者・組織スコープの検証を回避できる。メール登録とワークスペース作成を許す特定設定では、自己登録ユーザーがこの権限を取得し得る。全構成で認証不要という意味ではない。
- 影響: 他組織のQuery Library設定・データソース識別子の読み取りと、他組織のバックエンドに向けたクエリ実行による情報閲覧・更新・削除や費用発生の可能性。特定テナントで実際に漏えいしたという裏付けはない。
- 対応: CERT/CC公表時点で開発元から修正版・回答が得られていない。公式パッチを推測せず、影響するAPIの外部露出を制限し、admin/dev付与を監査、必要ならテナントごとに分離したインスタンス運用または組織単位の認可チェックを追加する。
複数のTLSライブラリにおけるX.509名前制約の適用不一致
公表日: CERT/CC VU#948176は2026年10月14日公開、JVNは10月15日にJVNVU#95474776を公開。主要TLSライブラリのX.509 Name Constraintsに関する13件のライブラリ固有の指摘（VU#948176.6、.8〜.19）を集約。指摘件数をCVE採番数・実際の攻撃件数として数えない。
内容・対応を確認する
- 主な対象とCVE: GnuTLSでDNS名の大文字・小文字比較の問題（CVE-2026-3833、3.8.13で修正）。pyca/cryptographyのワイルドカード制約（CVE-2026-34073）やwolfSSLのURI制約（CVE-2026-3547）なども扱われている。Apple Security.framework、Mozilla NSS、LibreSSL、AWS-LC、s2n-tls、Mbed TLSなどの項目には調整中・非該当・修正済みが混在する。
- 成立条件と影響: 信頼する制約付きCAが発行した証明書と、問題となるDNS・URI・IP名等を検証する特定処理経路を使用する際に、証明書を実装間で異なる基準で受理することがある。全TLS通信の認証回避や無条件の中間者攻撃を意味しない。CERT/CC告知に13件統一のCVSS値はない。
- 対応: 実際に使用するTLSライブラリと検証経路を特定し、各開発元が提供する修正版・バックポートへ更新する。証明書発行を厳密に管理し、リーフ証明書で明示的なSANを使用。二重検証を採る場合、同じ入力に対してfail-closedになるか検査。公式な実悪用・特定組織の被害は未確認。
Claude Agent SDK Pythonの引数注入による任意コマンド実行CVE-2026-96620
公開日と更新履歴: Anthropicの公式GitHub Security Advisory GHSA-h4mw-j7qp-8mwmは2026年9月12日に公開され、2026年10月16日に更新された。2026年10月22日に再確認。新規発生日や公表日を10月22日と誤記しない。
内容・対応を確認する
- CVE-2026-96620: Python用claude-agent-sdkのresumeオプションに未信頼のセッションIDを渡す実装で、CLI引数として解釈される値を通じて意図しないMCP設定が読み込まれ、SDKの権限制御を回避する任意コマンド実行につながる可能性。攻撃成立にはアプリケーションが攻撃者の制御できる値をresumeに渡す条件が必要。
- 対象と修正: claude-agent-sdk Pythonパッケージの0.2.121未満が影響対象。修正版0.2.121が公開済み。GitHub公式評価はCriticalだが、CVSSの数値・版は今回の公式本文から確認できず記載しない。TypeScript版やClaude Codeの全環境へ一律に拡大解釈しない。
- 対応と悪用状況: 0.2.121以降へ更新し、外部入力をセッション再開識別子としてそのまま渡さない。今回確認した公表本文では実際の悪用成功や情報漏えいは確認できないため、事故表に登録しない。
ISC BIND 9の重大脆弱性4件（認証前のDNSサービス妨害と条件付きRCEの可能性）
公式公表日: ISCは2026年10月21日に4件を公開。JVNは2026年10月22日にJVNVU#91196958として注意喚起。DNSの権威サーバー・リゾルバーを運用する組織は利用状況を確認する。
内容・対応を確認する
- CVEと重要度: CVE-2026-19630は不正なDNSメッセージによるCPU・メモリー資源枯渇（ISC評価High、CVSS v3.1 7.5）。CVE-2026-94300はGSS-TSIG署名済みUDPメッセージを有効期限内に再送された場合のメモリー破損・異常終了、条件によって遠隔コード実行の可能性（High、CVSS v3.1 8.1）。CVE-2026-96888はredirectゾーンとstrict QNAME minimizationの同時設定での異常終了（High、7.5）。CVE-2026-97313は特定の2つ以上のRPZ設定と問い合わせ順序での異常終了（High、7.5）。一律に全構成が同じ影響を受けるわけではない。
- 影響バージョン: ISCが示す対象範囲はBIND 9.11.0～9.18.50、9.20.0～9.20.29、9.21.0～9.21.26（CVEによって対象下限・条件が異なる）。特にGSS-TSIGの問題は過去の署名済みトラフィックの入手など成立条件があり、無条件の認証不要RCEと断定しない。
- 修正版と推奨対応: ISCの公開済み修正版BIND 9.20.30（安定版）または9.21.27（開発系列）、Supported Preview Editionの9.20.30-S1へ適切に更新する。配布元のバックポート状況とDNS設定を確認する。ISC公式は完全な回避策を示していない。
- 悪用状況: ISCの10月21日付資料は公表時点で実際の悪用を把握していないとしている。攻撃が存在しないと断言せず、特定企業の侵害や個人情報漏えいとして事故表へ重複登録しない。4件のCVEを注意喚起1項目として集計する。
Xerj Console APIの認証回避CVE-2026-97406（修正版未公表）
公式公表日: CERT/CCのVU#645818は2026年10月20日付、JVNのJVNVU#92078426は10月21日付。CVE-2026-97406、CVSSの数値とバージョンはCERT/CC公表本文では未提示。
内容・対応を確認する
- 成立条件: XerjはAIエージェント向けの検索・インデックス基盤。攻撃者が既存の有効なAPIトークンを入手している場合、Console APIのトークン発行処理がパスキー認証済みセッションかを十分に検証せず、同等権限の後続トークンを発行できる。完全に認証情報のない攻撃者による無条件の認証回避ではない。
- 影響: 後続トークンには親トークンを失効させても影響しない構造があり、不正アクセスの持続や、所有者権限の場合の管理者操作・攻撃者自身のパスキー登録につながるおそれ。特定組織への実悪用・情報漏えいは公式資料で確認できない。
- 修正状況・対応: CERT/CCは公開時点で開発元の修正パッチ・声明を確認できなかった。修正版のバージョンを推測しない。対象環境はConsole APIへのアクセス制限、既存トークンの監査、発行済み後続トークンの調査を行い、公式の修正版公開を継続確認する。親トークンの単純な失効だけで封じ込め完了とは扱わない。
- 集計: 1件のCVEを含む重大な予防的注意喚起1項目。確認済みの企業インシデントとしては計上しない。
Google Chrome 156で重大6件を含む353件のセキュリティ修正
公式公表日: 2026-10-20（米国時間）。Google公式はChrome 156で353件のセキュリティ修正を実施したと公表し、Critical 6件を明記。修正件数はCVE数や攻撃被害件数と同義ではない。
内容・対応を確認する
- 重大脆弱性: CVE-2026-113341（Skiaのメモリー破損）、CVE-2026-113279（Accessibility）、CVE-2026-113072（CSS）、CVE-2026-113280（Paint）、CVE-2026-113271（Accessibilityの解放後使用）、CVE-2026-113303（WebRTC）。Google公式発表に個別CVSSの数値と版の記載は今回確認できない。
- 修正版: Windows・macOSは156.0.8078.47/.48、Linuxは156.0.8078.47。Android 156.0.8078.47には、原則として対応するデスクトップ版のセキュリティ修正が含まれる。段階配信のため実際の導入バージョンを確認する。
- 悪用と対応: 今回確認した公式資料には、この6件の悪用成功が確認されたという記載はない。速やかにChromeを更新し、再起動後の適用版を検証する。特定企業の漏えい事案として扱わない。
Thunderbird 158.0.1で認証情報露出を含む8件の脆弱性を修正
公式公表・修正版公開日: 2026-10-20。MozillaはThunderbird 158.0.1で8件のCVEを修正し、High 5件、Moderate 2件、Low 1件と分類。個別CVSSの数値・版は今回の公式資料では未確認。
内容・対応を確認する
- 主な問題: CVE-2026-113866はExchangeアカウント設定のAutoDiscover時に入力パスワードが平文HTTP要求に含まれ、通信経路上の攻撃者に取得されるおそれ。CVE-2026-113867はXMPPでの不正なスタンザ注入、CVE-2026-113868はPOP3/SMTPのNTLM認証時に未初期化メモリーが開示されたり異常終了するおそれ。
- 影響・対応: Exchangeの設定時、XMPP利用、NTLMまたはGSSAPI認証の構成など、各CVEの成立条件は異なる。Thunderbird 158.0.1以降へ更新し、該当構成では認証情報と接続ログの安全性を調べる。
- 悪用状況: Mozillaの公表から特定の利用者への実攻撃成功や個人情報漏えいは確認できない。実際の認証情報や秘密値は収集・保存しない。
BeyondTrust Remote SupportのCritical脆弱性
2026年10月15日公表。Remote Supportの内部メッセージ受信元検証不備CVE-2026-102764（CWE-290）により認証不要の遠隔ファイル操作のおそれ。開発元CVSS v4.0は9.3（Critical）。影響版は26.2.3以前。
内容・対応を確認する
- 修正BT26-05-RSパッチは24.3.1〜26.2.3に対応。より古い版はアップグレードが必要。SaaSには10月9日までに適用済みと説明。自己管理機器は適用を確認。実悪用・特定被害組織は確認できていない。
Next.js：認証不要RCE 2件とDoSの修正
2026年10月14日公表。App RouterのCache Componentsでuse cacheが複数型付き配列を返す条件で認証不要RCE（GHSA-673q-mjm6-r5xr）。glibc Linux上のSVG画像最適化のRCE（CVE-2026-96889）。いずれも開発元評価Critical。
内容・対応を確認する
- Server Actionsを使うApp RouterでリクエストによるCPU枯渇DoS（GHSA-p3m5-59mp-jv5r、High）。修正版はNext.js 16.4.1／15.5.28。SVGの暫定策はsharp 0.35.5以降。CVSS数値と実悪用は公表資料で確認できず未確認。
Plex Media Serverの4件の脆弱性（実悪用確認）
2026年9月に修正版を公開、10月19日に開発元が実悪用を公表。CVE-2026-96652（認証不要SSRF）、CVE-2026-96654（内部機能アクセス）、CVE-2026-96655（管理者トークン露出）、CVE-2026-96656（任意ファイル書込）。4件を連鎖すると認証不要の遠隔コード実行につながる。
内容・対応を確認する
- 対象はPlex Media Server 1.43.2以前。1.43.3.10861以降へ更新し公開状態・不審なプロセスを点検する。侵害済み機器では更新のみで除去できるとは限らない。CVSS数値・被害人数は未確認。
Siemens Software CenterのDLLサイドロード（実悪用確認）
2026年10月15日にCVE-2026-110936を公表し19日に実悪用を確認。正規署名済みSiemens Software Centerに攻撃者のDLLを隣接配置するサイドロード攻撃。開発元評価CVSS v4.0は8.4、v3.1は6.7。製品や更新サーバーの侵害とは区別する。
内容・対応を確認する
- 4.0.9.8未満が影響。4.0.9.8以降へ更新し、不審なインストーラー・DLLを確認する。被害人数・漏えい件数は未公表。
SiteGuard Server Edition OSコマンド注入（悪用確認）
2026年10月14日公表。SiteGuard Server Editionの統計機能（既定で有効）にOSコマンド注入CVE-2026-106931。JVN評価CVSS v4.0は8.5、v3.0は7.8。低権限のローカル攻撃者がrootまたはSYSTEM権限でコマンド実行できる可能性。実悪用を確認。
内容・対応を確認する
- 影響はVer2.20以降。IISのVer3.10〜Ver4.00 Update4は対象外。修正版はApache／Nginx／IIS版8.00 Update5、FreeBSD版7.00 Update6。更新または公式パッチ適用が必要。被害件数は不明。
Apache Tomcatの8件の脆弱性（最大CVSS 9.1）
Apache Software Foundationは2026年10月20日に8件の脆弱性を公表。修正版Tomcat 9.0.123、10.1.61、11.0.27は10月12日に公開済み。JVNは10月21日に注意喚起。全8件が同じ系列に影響するわけではない。
内容・対応を確認する
- 重要: CVE-2026-101296は非GSSAPI SASL構成のJNDIRealm認証回避、CVE-2026-101356はHTTP/2非同期処理での要求・応答混在、CVE-2026-103119は11.xのAJP応答混在。他5件はCVE-2026-93446、88041、74049、74048、80353。CVSS v3.1／v4.0最大9.1とASFのImportant評価は別物。該当修正版へ更新し構成を点検。実悪用未確認。
Cisco Secure Email Gatewayの重大脆弱性CVE-2026-76519（実悪用確認）
Cisco Secure Email GatewayのAMP（Advanced Malware Protection）のFile Reputationに関するCVE-2026-76519（Cisco評価CVSS v3.1 9.8）。攻撃者は認証なしで細工したメール添付ファイルを送ることで、任意のファイルを書き込み、最終的に機器のroot権限でコマンドを実行できるおそれがある。
内容・対応を確認する
- 影響条件: 脆弱なAsyncOSを使う物理・仮想Secure Email Gatewayで、File Reputationがメールポリシーに割り当てられ有効、かつContent Scanner Toolsが25.3.0.5525未満。CiscoはSecure Email and Web ManagerおよびSecure Web Applianceを非該当と明記。
- 悪用状況: Cisco PSIRTは2026年10月に実際の悪用を把握したと公表。CISAも既知の悪用された脆弱性（KEV）へ登録。これだけで特定の被害組織数・漏えい人数が確定するわけではない。
- 修正と対応: AsyncOS 15.5系列は15.5.5-014、16.5系列は16.5.0-780へ更新し、16.0系列は修正版系列への移行を確認する。サポート対象ではContent Scanner Tools 25.3.0.5525以降への更新でも修正できる。Ciscoは回避策なしと説明しており、機器と外部ネットワークのログを点検し、侵害疑いはCisco TACと調査する。
Microsoft Windows Shellのセキュリティ機能回避CVE-2026-96951（悪用確認）
Windows Shellのセキュリティ機能回避の脆弱性CVE-2026-96951。IPAはMicrosoftが実悪用を確認したと明記し、被害拡大のおそれがあるため2026年10月のセキュリティ更新プログラムを至急適用するよう要請している。
内容・対応を確認する
- 影響: Windowsのセキュリティ保護が回避されるおそれがある。対象のWindows版、個別更新パッケージ、CVSSの確定情報は利用環境ごとにMicrosoft Security Update Guideを参照する。悪用が確認されたことと、特定企業の情報漏えいが確認されたことを混同しない。
- 対応: Windows Updateまたは組織の更新管理によって修正版を速やかに適用し、必要な再起動と適用状況を確認する。今回の公的注意喚起には特定組織の被害人数・漏えい件数は記載されていない。
Oracle Java SEの2026年10月セキュリティ更新（IPA注意喚起）
Oracle 2026年10月Critical Patch UpdateのJava SEリスク表は、新たなセキュリティパッチ55件と、そのうち49件の脆弱性に認証不要のネットワーク経由で悪用できる可能性があることを示す。影響や悪用の成立条件は脆弱性ごとに異なり、全てのJava導入環境が無条件に外部から侵害できる意味ではない。
内容・対応を確認する
- 代表例: OracleのJava SEリスク表にはCVE-2026-43660（JavaFX WebKitGTK、CVSS v3.1 7.5、ユーザー操作が必要）およびCVE-2026-91484（Java plugin、CVSS v3.1 7.5、ローカル経路）などがある。これらのCVSSは個別脆弱性の評価であり、更新全体を単一スコアで示したものではない。
- 対象: IPAはOracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503 / 503-perfの系列を列挙。実際の影響範囲と適切な修正版はOracleの製品別更新情報および配布元で確認する。
- 対応: 利用しているJavaランタイムや同梱Java・JavaFX・関連製品を棚卸しし、該当する最新セキュリティ更新を速やかに適用する。商用利用のライセンス条件も確認する。今回の注意喚起だけから実悪用や特定企業での漏えいを断定しない。
訂正・削除の依頼
掲載内容に誤りがある場合や、訂正・削除を希望する場合は、お問い合わせからご連絡ください。
お問い合わせ