IoT OT Security News

Palo Alto PAN-OS の 0-day 脆弱性 CVE-2026-0322 が FIX：サイバー攻撃での悪用を確認

Hackers Exploit Palo Alto PAN-OS 0-day Flaw to Gain Root Code Execution on Firewalls

2026/10/15 CyberSecurityNews — Palo Alto Networks のファイアウォール向けの PAN-OS に存在する、深刻度 High の脆弱性が、実際のサイバー攻撃で悪用されていることが明らかになった。PAN-OS の管理インターフェイスに存在する、この脆弱性 CVE-2026-0322 を悪用する認証済みの攻撃者は、影響を受けるファイアウォール上で、root 権限で任意のコードを実行できる可能性がある。Palo Alto Networks が明らかにしているのは、実際の悪用が限定的なものである点だが、顧客に対して可能な限り早急に修正プログラムを適用するよう呼びかけている。

Next.js の脆弱性 CVE-2026-96889 などが FIX：SVG 画像処理を介した RCE

Critical Next.js SVG Image Processing Vulnerability Could Enable Remote Code Execution

2026/10/15 gbhackers — Vercel が公開したのは、Next.js に存在する 2件の Critical なリモート・コード実行 (RCE) の脆弱性と、1件の深刻度 High のサービス拒否 (DoS) の脆弱性を修正する、定例外のセキュリティ・アップデートである。Vercel が公開したセキュリティ情報によると、今回のアップデートは、先週発表されたものであり、2026年9月のセキュリティ・リリースで漏れていた 2 件の修正も含むという。上流の依存ライブラリ側で対応が遅れたことで、これらの修正の公開が延期されていたという。

Fortinet FortiClient EMS の脆弱性 CVE-2026-35616：認証／認可バイパスの PoC が登場

PoC Released for Critical Fortinet FortiClient EMS Authentication Bypass Vulnerability

2026/10/15 CyberSecurityNews — Fortinet の FortiClient Endpoint Management Server (EMS) に存在する、認証と認可を回避できる脆弱性 CVE-2026-35616 に対して、実証コード (PoC) が公開された。セキュリティ担当者は、この実証コードを使用して自組織のシステムが脆弱性の影響を受けるか検証できる。CVE-2026-35616 を悪用する攻撃者は、通常は保護されている API エンドポイントに対して、認証をバイパスするかたちでアクセスする可能性がある。すでに Fortinet は、この脆弱性が実際の攻撃で悪用されたことを確認している。そのため、影響を受けるバージョンを運用する組織には、速やかな修正プログラムの適用が求められる。

Burger King Japan で情報漏えい：公式アプリの会員 1,118万人への不正アクセス

Burger King Japan Confirms Data Breach Exposing 11.18M User Records

2026/10/15 CyberSecurityNews — バーガーキング・ジャパンは、公式アプリの会員情報に関連する約 1,118 万件のデータが漏えいしたことを認めた。日本国内でバーガーキングを運営する BK Japan は、アプリの会員情報を管理するシステムに、外部の第三者が不正アクセスしたと発表した。同社は 2026年10月15日にこのインシデントを公表し、不正アクセスが 10月2日から 7日にかけて発生し、10月13日の時点で情報漏えいを確認したという。

SonicWall NSM のCVE-2026-96540／100232 が FIX：管理者権限奪取と OS コマンド実行の恐れ

SonicWall NSM Bugs Let Attackers Intercept Communications and Execute Commands

2026/10/15 gbhackers — SonicWall が公表したのは、オンプレミス版の Network Security Manager (NSM) に存在する 2 件の脆弱性に関する情報である。これらを悪用する認証済みの攻撃者は、権限昇格を達成し、他のユーザーの通信を傍受したり、OS コマンドを実行したりする可能性がある。同社は 2026年10月14日に、セキュリティ・アドバイザリ SNWLID-2026-0018 を公開し、2 件のうち深刻度が高い脆弱性について、CVSS v3.1 で 8.8 (High) と評価している。

欧州の銀行で発生した攻撃：サードパーティが管理するゲートウェイを介した WSUS 侵害試行

Attackers Breach European Bank Through Third-Party Gateway and Target WSUS Server

2026/10/14 CyberSecurityNews — 欧州の銀行が明らかにしたのは、セキュリティ対策が不十分なサードパーティ管理のゲートウェイを経由して攻撃者が侵入し、Windows Server Update Services (WSUS) インフラの脆弱性を悪用しようとしたことだ。この銀行のセキュリティ・チームは、中央 IT システムで不審な活動を検知したことをきっかけに、数カ月間にわたる VPN への不正なアクセス試行を発見した。調査の結果、厳格な認証が実施されていなかったサードパーティ管理のゲートウェイが侵入経路と判明した。

Zoom Workplace の情報漏えいの脆弱性 CVE-2026-108185：Windows／macOS／Linux／Android／iOS に影響

Zoom Certificate Validation Vulnerability Allows Attackers to Access Sensitive Information

2026/10/14 gbhackers — Zoom が公表したのは、複数の Zoom Workplace クライアントに影響を及ぼす、My Notes 機能における高深刻度の脆弱性 CVE-2026-108185 に関する情報である。この脆弱性がネットワーク経由で悪用された場合、未認証の攻撃者によって、機密情報が漏えいする可能性がある。2026年10月13日に公開されたセキュリティ情報「ZSB-26022」では、Windows／macOS／Linux／Android／iOS の各プラットフォーム上の影響を受けるバージョンが示され、修正済みソフトウェアへの更新が推奨されている。

Linux vhost の脆弱性 CVE-2026-74580：root 権限昇格と VM エスケープの PoC が公開

PoC Released for Linux Vhost Flaw Enabling Root Privilege Escalation and VM Escape

2026/10/14 CyberSecurityNews — Linux カーネルの vhost に存在する脆弱性 Vghost (CVE-2026-74580) に対して、概念実証 (PoC) が公開された。この脆弱性を悪用するローカル・ユーザーは、root 権限を取得する可能性があるほか、特定の仮想マシン構成では、ゲスト環境から脱出してホスト側に影響を及ぼす恐れがある。CVE-2026-74580 の CVSS v3.1 スコアは 8.8 (High) であり、更新された Linux カーネルで修正されている。

Ivanti Connect Secure の脆弱性 CVE-2026-104935 が FIX：認証なしのコマンド実行の可能性

Ivanti Connect Secure CVE-2026-104935 Flaw Enables Unauthenticated Remote Code Execution

2026/10/14 gbhackers — Ivanti が公開したのは、Ivanti Connect Secure (ICS) に存在する認証バイパスの脆弱性 CVE-2026-104935 を修正するセキュリティ・アップデートである。この脆弱性を悪用する未認証のリモート攻撃者は、任意のコマンド実行を引き起こす可能性がある。2026年10月13日の公表時点で Ivanti は、少数の顧客環境での悪用を確認していた。すでに修正済みバージョンは提供されており、影響を受けるアプライアンスを運用している組織に求められるのは、早急なアップグレードである。

curl 8.23.0で複数の脆弱性が FIX：認証情報の漏えいやサービス停止の恐れ

24 Security Vulnerabilities Patched in curl Used Across 30 Billion Installations

2026/10/14 CyberSecurityNews — 2026年10月14日に curl プロジェクトが公表したのは、広く利用されているデータ転送ツール curl と、その基盤ライブラリである libcurl に影響を及ぼす、24 件のセキュリティ問題を修正する curl 8.23.0 のリリースである。今回修正された脆弱性には、認証情報の漏えい／認証処理の不具合／コマンド・インジェクションなどに加えて、アプリケーションの動作を妨げる問題などが含まれる。また、curl 8.23.0 では、SMB／SMBS プロトコルのサポートが削除されているため、導入前に既存システムとの互換性を確認することが重要となっている。

NGINX の脆弱性 CVE-2026-97205／93479／15176 が FIX：サーバ・クラッシュやコード実行の恐れ

Multiple NGINX Flaws Let Remote Attackers Crash Servers and Execute Malicious Code

2026/10/14 CybersScurityNews — F5 が公表したのは、NGINX Plus／NGINX Open Source に存在する 3 件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性を悪用する未認証のリモート攻撃者は、細工した HTTP リクエストを送信し、ワーカープロセスをクラッシュさせる可能性がある。特定の構成では、これらのメモリ処理に関する不具合がコード実行につながる可能性もある。ただし、F5 によると、そのための前提として、アドレス空間配置のランダム化 (Address Space Layout Randomization：ASLR) の無効化と ASLR バイパスが条件となる。

Chrome で発見された脆弱性とエクスプロイト・チェーンの開発：背景となった AI の活用

Google Pays $250,000 for AI-Assisted Chrome Exploit Enabling Windows Code Execution

2026/10/14 gbhackers — Google が公表したのは、AI を活用して Windows 版 Chrome のレンダラー・サンドボックスの外部でのコード実行を可能にする脆弱性とエクスプロイト・チェーンの情報と、それを開発した XBOW への 25 万ドルの報奨金の授与である。2026年4月に導入された Google の脆弱性報奨金プログラムにおいて、Chrome を対象とするエクスプロイト・チェーン全体に対して支払われた初の報奨金となる。XBOW によると、今回の攻撃チェーンに使用された 3 件の脆弱性は、すでに修正されている。

Docker Hub の脆弱性 CVE-2026-105445：影響を受けたユーザーへの通知とトークン無効化を実施

Critical Docker Hub Flaw Lets Attackers Impersonate Users and Push Container Images

2026/10/13 CyberSecurityNews — Docker が公表したのは、Docker Hub の脆弱性 CVE-2026-105445 を悪用して他ユーザーを装う攻撃者が、そのユーザーに関連付けられた名前でコンテナ・イメージを公開する可能性である。この脆弱性は、アカウントの変換処理に伴う Personal Access Token (PAT) の移管処理に存在する。この欠陥を突く攻撃者は、トークンに付与された権限と標的ユーザーのアクセス権に応じて、個人または組織のリポジトリにおけるイメージの取得、公開、削除を引き起こす可能性がある。

Ghostscript の脆弱性 CVE-2026-39919：悪意のある PDF によるリモート・コード実行の恐れ

Critical Ghostscript Vulnerability Lets Malicious PDFs Trigger Remote Code Execution

2026/10/13 gbhackers — Ghostscript に重大な脆弱性 CVE-2026-39919 が発見された。この脆弱性を悪用する攻撃者は、悪意のある JPEG 2000 画像を埋め込んだ PDF ファイルを処理させることで、脆弱なサーバー上で任意のコード実行を引き起こす可能性がある。この脆弱性の深刻度は CVSS v3.1 で 9.8、CVSS v4.0 で 9.3 と評価されており、認証を必要としないリモート・コード実行が可能となる。Wordfence Threat Intelligence が WordPress 7.1 のセキュリティ評価中に、この脆弱性を発見した。非公開での報告を受けた Artifex は、2026年9月8日に修正版の Ghostscript 10.08.0 をリリースした。

CrowdStrike、Anthropic の重要インフラ防衛プログラムに参加：AI を活用した重要インフラの防御強化へ

CrowdStrike Joins Anthropic Defense Program to Advance AI-powered Defense for Critical Infrastructure

2026/10/13 CyberSecurityNews — CrowdStrike が公表したのは、エネルギー／水道／製造／輸送分野のシステムで AI を活用し、サイバーセキュリティの強化を支援する、Anthropic の Critical Infrastructure Defense Program (重要インフラ防衛プログラム) への参加である。2026年10月8日に発表されたこの提携は、企業ネットワークや産業ネットワークの保護に関する CrowdStrike の経験と、Anthropic の高度な Claude モデル／技術サポート／サイバーセキュリティ研究を組み合わせることで、重要インフラが抱えるセキュリティ課題への対応を目的とするものだ。

FortiSandbox の脆弱性 CVE-2026-107656：認証を回避して保護機能にアクセスされる恐れ

Critical FortiSandbox GUI Vulnerability Allows Remote Attackers to Bypass Authentication

2026/10/13 CyberSecurityNews — Fortinet が公開したのは、FortiSandbox の GUI (グラフィカル・ユーザー・インターフェイス) に存在する重大な認証回避の脆弱性に関する情報である。この脆弱性 CVE-2026-107656 は、CVSS v3 のスコアが 9.6 と評価されており、FortiSandbox アプライアンスと一部の FortiSandbox PaaS リリースに影響する。2026年10月13日に公開された、Fortinet のセキュリティ・アドバイザリ FG-IR-26-185 において、この脆弱性の詳細が説明されている。想定される影響として、許可されていないコードやコマンドの実行が挙げられている。

SonicWall SMA 1000 の脆弱性 4 件が FIX：SSRF と OS コマンド・インジェクションの恐れ

SonicWall Fixes 4 SMA 1000 Vulnerabilities, Including Critical CVSS 10.0 SSRF Flaw

2026/10/13 gbhackers — SonicWall が公開したのは、SMA 1000 シリーズのアプライアンスに存在する 4 件の脆弱性に対するセキュリティ更新プログラムである。対象となる脆弱性には、CVSS スコアが 10.0 と評価される深刻なサーバサイド・リクエスト・フォージェリ (SSRF) も含まれている。この脆弱性が悪用されると、未認可の操作／OS コマンドの実行／悪意のあるアーカイブの展開／蓄積型クロスサイト・スクリプティング (XSS) に至る恐れがある。

Progress の MarkLogic に複数の脆弱性：リモート・コード実行や管理者権限奪取の恐れ

Critical Progress MarkLogic Flaws Enable Remote Code Execution and Admin Takeover

2026/10/13 CyberSecurityNews — Progress が公開したのは、MarkLogic Server に存在する複数の脆弱性を修正するための緊急セキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は権限昇格を達成し、不正な管理者アカウントの作成／サーバー上でのコード実行／認証情報の窃取／保護されたデータへのアクセスなどを引き起こす可能性がある。2026年10月12日に公開されたセキュリティ・アラートには、影響を受けるバージョンとして MarkLogic Server 12.0～12.0.3／11.0～11.3.6 が記載されている。すでに Progress は、修正済みバージョンの MarkLogic Server 12.1／11.3.7 を公開し、これらの問題に対処している。

Ubuntu と Canonical の Web サイトに DDoS 攻撃：約 4時間後に復旧

DDoS Attack Takes Ubuntu Websites and Security Services Offline for Over 4 Hours

2026/10/13 gbhackers — Ubuntu と Canonical の Web サイトが DDoS 攻撃を受け、公開 Web サイトやセキュリティ情報サービスへのアクセスが 4時間12分にわたって妨害されたが、すでに問題は解消されている。今回の攻撃は、canonical.com／ubuntu.com／blog.ubuntu.com／developer.ubuntu.com などの主要ドメインに加え、Ubuntu Security API やセキュリティ通知ページにも影響を及ぼした。

Ivanti Connect Secure のゼロデイ脆弱性 CVE-2026-104935：実環境での悪用を確認

Ivanti Connect Secure 0-Day Vulnerability Actively Exploited in the Wild

2026/10/13 CyberSecurityNews — Ivanti が公表したのは、Ivanti Connect Secure (ICS) に存在し、実環境で悪用されているゼロデイ脆弱性に関する情報である。この脆弱性 CVE-2026-104935 は、CVSS スコア 8.6、深刻度 High と評価されている。Ivanti は 2026年10月13日に公開したセキュリティ・アドバイザリで、この脆弱性が実際に悪用され、限られた数の顧客が影響を受けたことを明らかにした。脆弱性 CVE-2026-104935 は、認証の不適切な検証に関する CWE-290 に分類されており、認証情報やユーザー操作を必要としないリモートの攻撃者に、任意のコマンド実行を可能にする恐れがある。

MariaDB の複数の脆弱性が FIX：リモート・コード実行／権限昇格の恐れ

Critical MariaDB Vulnerabilities Could Enable Remote Code Execution and Privilege Escalation

2026/10/13 gbhackers — MariaDB のメンテナが公開した、データベースサーバーの構成要素、Linux パッケージ、Connector/C に影響する 10 件の脆弱性は、特定の条件下においてリモート・コード実行／権限昇格／未認可テーブルへのアクセスにつながる可能性があるものだ。一連の脆弱性は、6 件が High、4 件が Moderate に分類されている。

Microsoft 2026-10 月例アップデート：3 件のゼロデイを含む 1,411 件の脆弱性に対応（SecNews 10/16配信済み）

Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days

2026/10/13 BleepingComputer — Microsoft は 2026年10月13日に、月例セキュリティ更新プログラム Patch Tuesday を公開し、過去最多となる 1,411 件の脆弱性に対処した。この中には、実環境で悪用されているゼロデイ脆弱性 1 件と、一般公開済みのゼロデイ脆弱性 2 件が含まれている。今回の Patch Tuesday では、深刻度 Critical に分類される脆弱性 70 件が修正された。その内訳は、リモート・コード実行が 57 件、権限昇格が 11 件、なりすましが 2 件となっている。

Citrix NetScaler の脆弱性 CVE-2026-88771／88772：実環境で RCE を確認

CISA Warns of Hackers Exploiting Two Citrix NetScaler 0-Days to Execute Code Remotely

2026/10/13 CyberSecurityNews — Citrix の NetScaler ADC／NetScaler Gateway アプライアンスに存在する 2 件の深刻なゼロデイ脆弱性を悪用する攻撃者が、外部公開されたシステム上でコードを実行している。これらの脆弱性は、CVE-2026-88771／CVE-2026-88772 として追跡されており、CVSS v4 の深刻度スコアは 9.5 と評価されている。また、米国 Cybersecurity and Infrastructure Security Agency (CISA) の Known Exploited Vulnerabilities (KEV) カタログにも追加されている。CISA は、世界各地で悪用活動が行われていることを示す報告や、パートナーからの脅威インテリジェンスを受け取ったことを確認している。

WordPress Bricksforge の脆弱性 CVE-2026-85097 (CVSS 10.0) が FIX：任意の PHP コード実行の可能性

Critical WordPress Bricksforge Flaw Lets Unauthenticated Attackers Execute Remote Code

2026/10/12 gbhackers — WordPress プラグイン Bricksforge に存在する深刻な脆弱性を、攻撃者が積極的に悪用を試みている。この脆弱性を悪用する未認証のユーザーは、悪意のファイルをアップロードし、任意の PHP コードを実行する可能性がある。この脆弱性 CVE-2026-85097 (CVSS 10.0) は、バージョン 3.1.8.9 以下に影響を及ぼすものであり、管理者に推奨されるのはバージョン 3.1.8.10 以降へのアップグレードとなる。この問題を 2026年10月8日に公表した Patchstack は、悪用の試みが 10月7日21時47分17秒 (UTC) から確認されていると報告した。

KFC を侵害：Gentlemen ランサムウェア・グループが犯行を主張

KFC Named in Gentlemen Ransomware Group’s Latest Breach Claim

2026/10/12 CyberSecurityNews — KFC を侵害したとする主張を、ランサムウェア・グループ The Gentlemen が明らかにした。この主張に関する掲載情報は、2026年10月10日に確認された。公開されたアラートでは、標的業種を外食産業とし、米国の KFC を侵害したとしている。ただし、この主張は現時点で検証されておらず、KFC の米国内のシステムが実際に侵害されたことは、入手可能な資料からは確認できない。なお、公開ランサムウェア追跡サイトにも、The Gentlemen が 10月10日に KFC を掲載した記録が残されている。

CISA KEV 警告 26/10/08：Apache Struts の脆弱性 CVE-2016-3081 を登録

CISA Adds Actively Exploited Apache Struts Command Injection Flaw to KEV Catalog

2026/10/12 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Apache Struts に存在する深刻なコマンド・インジェクションの脆弱性 CVE-2016-3081 (CWE-77) が、実環境で悪用されたとする証拠を確認し、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、Dynamic Method Invocation (DMI：動的メソッド呼び出し) が有効化されている Apache Struts 環境に影響を及ぼす。

GitLab の脆弱性は CVE-2026-97229 が (CVSS 10.0) FIX：認証不要の深刻な RCE

Critical GitLab Vulnerability Enables Arbitrary Code Execution Attacks on Servers

2026/10/12 CyberSecurityNews — GitLab が公開したのは、未認証の攻撃者に対して、影響を受けるサーバ上での任意のコード実行を許す可能性がある、深刻な脆弱性を修正するための緊急セキュリティ更新である。この脆弱性 CVE-2026-97229 (CVSS 10.0) は、GitLab Community Edition (CE) と Enterprise Edition (EE) に影響するものであり、同社により 2026年10月12日に修正パッチが公開されている。この脆弱性は、GitLab の CI/CD 正規表現コンパイラに存在する、整数オーバーフローの欠陥に起因する。

Discourse の脆弱性 CVE-2026-55420 が FIX：ファイル・アップロード機能とImageMagick の干渉

Discourse ImageMagick Vulnerability Enables Arbitrary File Read Through Malicious Image Uploads

2026/10/12 gbhackers — Discourse に存在する重大な脆弱性 CVE-2026-55420 を、セキュリティ研究者が明らかにした。この脆弱性を悪用する権限の低いユーザーは、プラットフォームの ImageMagick ベースのアップロード処理を通じて、基盤となるサーバ上のファイルを読み書きする可能性がある。この問題は、ホスティング・サービスの利用者向けには 2026年6月に修正され、同月30日に一般公開された。

IBM Security Verify Access の 22 件の脆弱性が FIX：深刻な RCE などの恐れ

IBM Patches 22 Verify Access Flaws, Including Critical Remote Code Execution Bugs

2026/10/12 CyberSecurityNews — IBM が公表したのは、IBM Verify Identity Access および IBM Security Verify Access に存在する 22 件の脆弱性の修正に関する情報である。この中には、アプライアンス版およびコンテナ版に影響し、未認証のリモート・コード実行を可能にする、2件の深刻な脆弱性が含まれている。両方とも、信頼できないデータに対するデシリアライズの問題である。デシリアライズとは、保存または送信されたデータを、ソフトウェアがオブジェクトとして再構築する処理を指す。今回の脆弱性では、データの安全性に関する不適切な検証が問題となっている。

NVIDIA DCGM の脆弱性 CVE-2026-47483 が FIX：AI ワークロード妨害の可能性

NVIDIA DCGM Exporter Bug Exposes GPU Servers to Resource Exhaustion Attacks

2026/10/12 CyberSecurityNews — NVIDIA の DCGM Exporter に存在する、深刻度の高い脆弱性 CVE-2026-47483 に関する情報を Lava が公表した。この脆弱性を悪用する未認証のリモート攻撃者はサーバのリソースを枯渇させ、GPU の監視機能をクラッシュさせ、AI ワークロードの動作を妨害する可能性がある。DCGM Exporter とは、GPU サーバや Kubernetes クラスタで広く利用されている監視ツールである。GPU の機種／温度／メモリ使用量／消費電力／エラー／ワークロードの稼働状況などを取得し、Prometheus が利用できる形式で HTTP 経由で提供する。

Palo Alto Networks の VPN 脆弱性 CVE-2026-0257 を悪用：ReliaQuest が侵害指標を公開

Ransomware Hackers Exploit Palo Alto Networks GlobalProtect VPN Authentication Bypass Vulnerability

2026/10/12 gbhackers — Palo Alto Networks の PAN-OS GlobalProtect／Prisma Access に影響を及ぼす認証バイパスの脆弱性 CVE-2026-0257 を、ランサムウェア攻撃者が積極的に悪用している。Qilin／Settra など、複数のランサムウェア関連グループによる悪用を、ReliaQuest が確認している。この脆弱性の悪用に成功した攻撃者たちは、不正な VPN セッションを確立し、内部ネットワークへ侵入している。

日本コロムビアのマルウェア感染：カラオケ利用者など 870 万件超の個人情報に漏洩のリスク

Nippon Columbia malware incident exposes 8.6 million karaoke fan records

2026/10/11 BleepingComputer — 日本最大のカラオケ機器メーカーである第一興商は、国内有数のカラオケボックスチェーン BIG ECHO を含め、全国で 521店舗のカラオケ施設を運営している。同社が明らかにしたのは、業務委託先の日本コロムビアでマルウェア感染が発生し、顧客および従業員の個人情報を含む 870 万件以上の記録が、漏えいのリスクにさらされたことである。第一興商が、顧客の個人情報の取り扱いを委託する日本コロムビア・グループ (NCG) は、音楽／映像／ゲームソフト制作と販売に加えて、アーティストのマネジメントなどを手掛ける日本のエンターテインメント・グループである。

Claude がソフトウェアの脆弱性を悪用：実際のサーバ上でコマンドを実行

Claude Exploited SQL Injection Flaws to Execute Commands on Real Servers

2026/10/11 CyberSecurityNews — Anthropic が明らかにしたのは、社内テストにおいて Claude モデルがソフトウェアの脆弱性を悪用し、実際のサーバ上でコマンドを実行し、運用中のフォームへの情報送信や Web アクセス制限の回避も行っていたことだ。被害は軽微だったが、こうした事例が示すのは、インターネットにアクセスできる AI エージェントに対して、適切なアクセス制限／明確な作業範囲の設定／継続的な監視が必要であることだ。

Criminal IP：次世代の攻撃対象領域管理プラットフォームとして AITEM を導入

Criminal IP Introduces AITEM as the Next Evolution of Attack Surface Management

2026/10/10 BleepingComputer — サイバー脅威インテリジェンス・プラットフォーム「Criminal IP」を提供する AI SPERA は、シンガポールで開催される GovWare 2026 に参加した。同社が提供する脅威インテリジェンスと攻撃対象領域を可視化する機能により、世界中のセキュリティチームは、より的確な意思決定を行える。セキュリティ運用が単なる資産の発見から、外部に露出したリスクの把握／優先順位付け／対応へと移行する中、同社は次世代の攻撃対象領域管理を目指す仕組みとして、AITEM (AI-Powered Threat Exposure Management：AI を活用した脅威エクスポージャー管理) である。

2026 State of Agent Security Report：新たなサードパーティ・リスクについて考えるべきだ

The Third-Party Agent Problem: Why Security Built for AI You Chose Misses the Agents You Didn’t

2026/10/10 TheHackerNews — 2026 State of Agent Security Report の調査対象となった環境で明らかにされたのは、現時点で約 1,280 のサードパーティ製品に AI が組み込まれている状況である。そのうち、シングルサインオン (SSO) の管理下にある製品は約 282 に留まる。残る約 1,000 の製品は、デフォルトでは ID 管理基盤から可視化できない状態にある。これは、誰かが意図的に隠した結果ではない。ID 管理基盤が統制できるのは、その基盤を経由して認証する対象だけであり、多くのエージェントが、その認証経路を利用しないためである。

Reverse Engineer Anything というプロジェクト：AI コーディング・エージェントを Ghidra／IDA Pro などに接続

REA Tool Connects Claude Code and Cursor to Ghidra and IDA Pro to Reverse Engineer Anything

2026/10/10 CyberSecurityNews — REA (Reverse Engineer Anything) というオープンソースプロジェクトにより、Claude Code／Cursor などの AI コーディングエージェントと、ソースコードを参照せずにソフトウェアを解析するツールを連携できる。このプロジェクトは、Ghidra／IDA Pro／Hopper を AI エージェント主導のワークフローに統合することで研究者を支援し、プログラムの動作を追跡するとともに、解析結果を裏付ける証拠を示しながら、その内容を説明できるようにする。

Amazon Bedrock AgentCore エージェントの脆弱性？ 1 件のプロンプト送信で広範な侵害に至る

One Prompt Could Hijack AWS AI Agents and Steal Cloud Credentials

2026/10/10 CyberSecurityNews — すべての Amazon Bedrock AgentCore エージェントへの攻撃が、外部公開された特定の AI エージェントにプロンプトを 1件送信するだけで、同じ AWS アカウントおよびリージョン内の複数の AgentCore エージェントに影響が及ぶ可能性があることが、Zenity Labs の調査で判明した。AgentCorruption と名付けられた、この攻撃チェーンを用いる研究者は、非公開のチャット／ソースコード／長期メモリ／API キー／OAuth トークン／AWS Secrets Manager に保存されたシークレットにアクセスできた。

AhsayCBS バックアップ・ソフトウェアの脆弱性 CVE-2026-105133／105134：実環境での悪用を確認

Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge

2026/10/09 TheHackerNews — バックアップ・ソフトウェア AhsayCBS に存在する、前日に公開された 2 件の脆弱性を悪用する攻撃者が、影響を受けるシステムを乗っ取り、Web シェルや XMRig 暗号資産マイナーを展開していることが確認された。脆弱性の詳細は以下のとおりである。

CVE-2026-105133 (CVSS v4 スコア：5.5) – com/ahsay/obs/api/ApiStructsAction.java コンポーネント内の checkSysPwd() 関数に存在する、不適切な認証の脆弱性。
CVE-2026-105134 (CVSS v4 スコア：9.3) – Replication Receiver コンポーネントに存在する、OS コマンド・インジェクションの脆弱性。

Anthropic の OSS Scanner がリリース：オープンソースのメンテナに AI を活用した脆弱性スキャンを提供

Anthropic offers free AI security scans to open-source maintainers

2026/10/09 HelpNetSecurity — Anthropic の OSS Scanner は、同社の最も高性能な AI モデルを使用し、オープンソース・ソフトウェアのセキュリティ脆弱性を検出する新たな無料サービスである。メンテナたちはオプトインすることで、定期的なスキャンを実行し、脆弱性の疑いがある問題、その再現方法、修正方法 (提示可能な場合) を説明するレポートを受け取る。このサービスは、Claude を使用してソフトウェアの脆弱性を発見する、Project Glasswing で Anthropic が得た知見を基盤としている。

Let’s Encrypt における TLS 証明書の有効期間の変更：2027年2月より有効期間を 90日から 64日に短縮

Let’s Encrypt Cuts TLS Certificate Lifetimes From 90 to 64 Days Starting February 2027

2026/10/09 CyberSecurityNews — Let’s Encrypt は、TLS 証明書の有効期間のデフォルトを 90日から 64日に短縮する。この 2027年2月10日からの変更に合わせて、Web サイトの運営者は、証明書の自動更新設定が新しい有効期間に対応しているか確認する必要がある。この変更は、同日以降に発行または更新される証明書に適用される。その一方で、利用者は引き続き、有効期間が 45日または約 6日の、より短い証明書プロファイルの選択も可能である。

Flax Typhoon が悪用する 5つの古い脆弱性：中国由来の脅威アクター Flax Typhoon が悪用

Flax Typhoon Exploits Five Flaws as CISA Sets October 11 Deadline for Federal Agencies

2026/10/09 TheHackerNews — 10月8日に米国の Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、中国に関連する脅威アクター Flax Typhoon によって悪用された 5 件の脆弱性の情報と、Known Exploited Vulnerabilities (KEV) カタログへの追加である。対象となる脆弱性は、ProFTPD／ONLYOFFICE Docs／Strapi／Apache Struts／ISC BIND に存在する、古い脆弱性である。

SonicWall SMA1000 の脆弱性 CVE-2026-102255：実環境での悪用を観測

Max severity SonicWall SMA1000 flaw now exploited in attacks

2026/10/09 BleepingComputer — SonicWall SMA1000 アプライアンスの脆弱性 CVE-2026-102255 は、10月6日 (火) に修正された、深刻度が最高レベルの脆弱性であるが、すでに攻撃者に悪用されている。この脆弱性 CVE-2026-102255 は、SMA1000 の 6210／7210／8200v モデルに搭載された Appliance WorkPlace インターフェースに影響する。ただし、SMA 100 シリーズ製品／SonicWall ファイアウォール上で動作する SSL-VPN は影響を受けない。

AnyDesk Linux の脆弱性 CVE-N/A：未認証かつ root 権限での RCE

AnyDesk Linux Flaw Lets Remote Attackers Execute Code as Root Without Authentication

2026/10/09 CyberSecurityNews — AnyDesk Linux の脆弱性に対して、リモート攻撃者が認証や利用者の承認を経ずに root 権限でコマンドを実行できることを実証する、再現性のある概念実証 (PoC) が公開された。AnyPwn と名付けられたこの脆弱性は AnyDesk Linux 8.0.2 に影響を及ぼすものであり、バージョン 8.0.3 で修正された。Linux 版 AnyDesk を使用する組織に求められるのは、速やかなアップデートの適用と、TCP ポート7070が信頼できないネットワークからアクセス可能な状態になっていないことを確認する必要がある。

AI エージェントによる自律的な攻撃：サイバー攻撃の所要時間を月単位から時間単位へ短縮

Cisco Talos Warns AI Agent Swarms Can Compress Cyberattacks From Months to Hours

2026/10/09 gbhackers — AI エージェント群の連携により、高度なサイバー攻撃の実行に必要な時間が大幅に短縮される可能性について、Cisco Talos が警告している。従来、レッドチームによる計画立案、偵察、インフラ整備に数カ月を要していた攻撃活動が、数時間にまで圧縮される恐れがある。現在の最大の懸念は、AI がサイバー攻撃に利用されるかどうかではなく、持続的かつ大規模に活動しながら自律性を増していく攻撃者に対して、組織がどのように耐え抜くかという点に移っている。

React の脆弱性 CVE-2026-23870 が FIX：CPU リソースの消費による Next.js サーバの停止の恐れ

React Server Components Flaw Lets Attackers Freeze Next.js Servers With a Single POST Request

2026/10/09 CyberSecurityNews — React Server Components に存在する、深刻度の高いサービス拒否 (DoS) の脆弱性 CVE-2026-23870 を悪用するリモートの攻撃者が、Server Function エンドポイントに細工した POST リクエストを送信し、脆弱な Next.js サーバを応答不能にする可能性がある。この脆弱性の CVSS スコアは 7.5 であり、React 19.x アプリケーションで使用される React Server Components パッケージに影響を及ぼす。対象には、Server Actions を使用する多くの Next.js 環境も含まれる。

Citrix NetScaler の脆弱性 CVE-2026-107406 が FIX：RCE の可能性について警告

Citrix warns admins to patch new NetScaler RCE flaw immediately

2026/10/09 BleepingComputer — Citrix が IT 管理者に警告したのは、NetScaler ADC ネットワーク・アプライアンス／NetScaler Gateway のセキュア・リモート・アクセス・ソリューションに影響を及ぼす、深刻かつ新たな脆弱性であり、直ちにパッチを適用するよう求めている。このメモリ・オーバーフローの脆弱性 CVE-2026-107406 を悪用する攻撃者は、標的デバイス上でのリモート・コード実行 (RCE) と、サービス拒否 (DoS) 状態によるクラッシュを引き起こす可能性がある。

wolfSSH 1.6.0 がリリース：中間者攻撃による認証バイパスなどに対応

wolfSSH 1.6.0 Fixes 5 Security Flaws Including Critical MITM Host Key Verification Bypass

2026/10/08 CyberSecurityNews — wolfSSL がリリースしたのは、5 件のセキュリティ脆弱性を修正する wolfSSH 1.6.0 であり、ホスト鍵の検証を回避され、攻撃者が SSH サーバになりすます可能性があると警告している。2026年10月6日に公開されたアップデートでは、Windows における権限昇格／未認証での鍵交換処理の悪用／許可されていない転送チャネル／SFTP のメモリ破損の脆弱性が修正されている。5 件の脆弱性の深刻度は、Critical が 1 件、High が 1 件、Medium が 3 件となっている。

LMCache の RCE 脆弱性 CVE-2026-105192：未修正環境での侵害を実証する PoC が登場

Critical LMCache RCE Vulnerability Remains Unpatched, Public PoC Exploit Available

2026/10/08 gbhackers — LMCache に存在する深刻な脆弱性 CVE-2026-105192 (CVSS 9.8) を悪用する未認証の攻撃者は、安全でない Python pickle のデシリアライズを介して、ネットワーク経由でアクセス可能なマルチプロセス環境で任意のコード実行を引き起こす可能性がある。JFrog は 2026年10月7日に、この脆弱性に関するセキュリティ・アドバイザリと概念実証 (PoC) コードを公開したが、その時点で修正版は提供されていないと説明している。

Cisco NX-OS の 5件の脆弱性が FIX：Nexus スイッチ root 権限による任意のコード実行の恐れ

Cisco warns of critical flaws allowing Nexus switch takeover

2026/10/08 BleepingComputer — Cisco が公開したのは、データセンター向け NX-OS に存在する 5 件の重大な脆弱性に関するセキュリティ・アドバイザリである。これらの脆弱性を悪用する攻撃者は、Nexus スイッチ上で root 権限による任意のコード実行を引き起こす恐れがある。リモートコード実行に至らなくても、攻撃者はプロセスをクラッシュさせ、脆弱なデバイスを強制的に再起動させることで、サービス拒否 (DoS) 状態を引き起こす可能性がある。影響を受けるのは、Nexus 3000／Nexus 9000 シリーズスイッチの NX-API／Next Generation OAM (NGOAM)／MPLS OAM 機能である。

Gitea の 27件の脆弱性が FIX：深刻な SSH 認証バイパスや SSRF の恐れ

Gitea Patches 27 Security Flaws, Including Critical SSH Authentication Bypass and SSRF

2026/10/08 CyberSecurityNews — Gitea がリリースしたのは、バージョン 28.0.0 以下に存在する 27 件の脆弱性を修正する、28.1.0 へのセキュリティ・アップデートであり、深刻な SSH 認証バイパス／サーバサイド・リクエスト・フォージェリ (SSRF) などの欠陥に対応するものだ。修正の対象に含まれるのは、アカウントへのアクセス／リポジトリの権限／自動化されたワークフロー／内部システムへの接続などである。管理者に求められるのは、開発インフラにおけるアップデートを、緊急性の高い優先事項として扱うことである。