IoT OT Security News

Critical N-Able PassPortal Extension Flaw Gives Attackers Full Password Vault Access

2026/08/21 gbhackers — N-able の PassPortal ブラウザ・エクステンションに存在する深刻な脆弱性 CVE-2026-15580 (CVSS：6.9) を、サイバーセキュリティ研究者が明らかにした。この脆弱性を突く攻撃者は、悪意ある Web サイトまたは埋め込まれた iframe により認証情報を取得し、ユーザーのパスワード保管庫を制御する可能性がある。PassPortal バージョン 3.49.6 未満が影響を受けるが、すでにバージョン 3.49.6 で修正されている。

CISA orders feds to patch actively exploited TrueConf Server flaws

2026/08/21 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、TrueConf Server の自社運用型通信プラットフォームの脆弱性 CVE-2026-72529／CVE-2026-72530 を Known Exploited Vulnerabilities (KEV) カタログに追加し、米国連邦機関に対して優先的に対策を講じるよう命じた。TrueConf Server は、企業向けのメッセージング／ビデオ会議用に設計されており、Zoom／Microsoft Teams などのクラウド型ソフトウェアとは異なり、組織のローカル・ネットワーク (LAN) 内で動作する。

Critical GitLab Code Injection Vulnerability Actively Exploited in Attacks

2026/08/21 CyberSecurityNews — 自己管理型 GitLab Community Edition／Enterprise Edition インスタンスに影響を及ぼす、認証を必要としない深刻なコード・インジェクションの脆弱性 CVE-2026-19478 (CVSS 9.4) の悪用試行をセキュリティ研究者が確認した。この脆弱性を悪用するリモート攻撃者は、GitLab の GraphQL インターフェイスを介して、公開プロジェクトおよび関連するユーザー・データを変更または削除する可能性がある。GitLab は通常のセキュリティ・リリース・スケジュールとは別に、2026年8月17日に緊急アップデートをリリースしており、GitLab の管理者には速やかなパッチ適用が求められる。

Google Chrome 151 Update Fixes 7 Security Flaws Enabling Remote Code Execution and Sandbox Escape

2026/08/21 gbhackers — Google が公表したデスクトップ版 Chrome バージョン 151 では 7 件のセキュリティ脆弱性が修正され、Stable 版チャネル向けにリリースされている。これらの脆弱性には、深刻度 Critical の解放後使用の脆弱性に加えて、V8／DOM／Workers／ネットワーク／Linux Toolkit Theming など、複数のブラウザ・コンポーネントに影響を及ぼす深刻度 High の問題が含まれている。今回のアップデートでは、Windows／macOS 向けのバージョン 151.0.7922.173／174 と、Linux 向けのバージョン 151.0.7922.173 が順次展開される。

Microsoft Entra ID Remote Code Execution Vulnerability Exploited in the Wild

2026/08/21 CyberSecurityNews — Microsoft が確認したのは、同社のクラウドベースの ID／アクセス管理プラットフォーム Entra ID に存在する、深刻なリモート・コード実行 (RCE) 脆弱性がすでに実環境で悪用されていることである。この脆弱性 CVE-2026-69836 は、2026年8月20日に公表され、最も深刻な Critical と評価されている。Microsoft 365／Azure／多数のサードパーティ・アプリケーション上で、ユーザー認証を Entra ID に依存する組織にとって、この脆弱性は極めて危険である。

Critical Spring Security LDAP Flaw Lets Remote Attackers Read and Modify Directory Data

2026/08/21 gbhackers — Spring Security に組み込まれている UnboundID LDAP サーバに、深刻な脆弱性が確認された。この欠陥を突くリモート攻撃者は、既知の Admin バインド DN を悪用して認証を回避し、アプリケーションのインメモリ LDAP ディレクトリに保存されたデータの読み取り／変更を行う可能性がある。2026年8月20日に公表された脆弱性 CVE-2026-59270 が影響を及ぼす範囲は、Spring Security の UnboundIdContainer を直接使用するアプリケーションおよび、Spring Boot の組み込み LDAP 自動設定を介して使用されるアプリケーションである。

Hackers poison arrayref Rust crate to push infostealer malware

2026/08/20 BleepingComputer — 広く利用される Rust クレート arrayref のメンテナ・アカウントを侵害した攻撃者が、開発者のシステム上でコンパイル時に実行されるマルウェアを仕込んだ。同じサプライ・チェーン攻撃の一環として、append-only-vec／internment という 2 つのクレートも 23 分の間に汚染された。arrayref クレートは、暗号技術／グラフィック／ブロックチェーン・ツールで使用される人気の Rust ライブラリであり、過去 90 日間で 5,300 万回もダウンロードされている。

Critical Zimbra RCE Vulnerability Actively Exploited in the Wild

2026/08/20 CyberSecurityNews — Zimbra Collaboration Suite に存在する、深刻なリモート・コード実行 (RCE) の脆弱性が実環境で悪用されていると CERT Polska が警告している。この脆弱性 CVE-2026-73570 を悪用する未認証の攻撃者は、影響を受けるサーバ上で zimbra ユーザーの権限で、任意の OS コマンドを実行する可能性がある。