IoT OT Security News

Drupal の脆弱性 PSA-2026-05-18 が FIX：コアへの影響とサイト乗っ取りの可能性

Critical Drupal Vulnerability Could Leave Sites Open to Cyberattack

2026/05/21 gbhackers — Drupal Security Team は、Drupal コアに影響を及ぼす、きわめて深刻な脆弱性について警告を発表した。そのためのセキュリティ・リリースは、2026年5月20日 (PSA-2026-05-18) で行われている。この脆弱性の深刻度は、同社の基準で 20/25 (Highly Critical) と評価されており、公開後に攻撃者に悪用されると、機密性／完全性／可用性に大きなリスクが生じる可能性がある。

Cisco Secure Workload の脆弱性 CVE-2026-20223 が FIX：Site Admin 権限奪取の恐れ

Critical Cisco Secure Workload Vulnerability Enables Unauthorized API Access

2026/05/21 CyberSecurityNews — Cisco が公開したのは、同社の Secure Workload プラットフォームで発見された、脆弱性 CVE-2026-20223 (CVSS 10.0) に関する情報である。この脆弱性を悪用する未認証の脅威アクターは、内部 API を介して重要機能に対する認証欠如 (CWE-306) の欠陥を突き、機密性の高いリソースへの不正アクセスを引き起こせる。

AI Agent 活用への 5つの提言：セキュリティとコンプライアンスの実装が AI を加速させる

AI Agents Are Here. Security Must Be an Accelerator for AI Transformation

2026/05/20 InfoSecurity — もはや、AI エージェントは実験段階にはいない。エンタープライズ・システム全体において、ファイル読み取り／ツール呼び出し／ワークフロー実行／他エージェントとの通信を行い、計画立案や意思決定を支援している。さらに言えば、人間の介入が最小限に留められるケースもある。

Anthropic Glasswing パートナー間での情報共有がスタート：透明性の確保なのか？競合圧力なのか？

Anthropic Allows Glasswing Partners to Share Mythos-Based Findings

2026/05/20 SecurityBoulevard — 2026年4月の初旬に Anthropic が Mythos を公開した際に、この先進的 AI モデルがソフトウェア脆弱性検出において高度な能力を持つことが明らかにされた。結果として、攻撃者による迅速なエクスプロイト作成への悪用の懸念から、Mythos へのアクセスが制限された。アクセスを許可されたのは Microsoft／Google／JPMorganChase／Nvidia などであり、Anthropic が立ち上げた Project Glasswing の一環として、AI 脅威に対する防御強化を目的に Mythos を利用することが認められた。ただし、当初においては、研究成果の共有は禁止されていた。

Pardus Linux の脆弱性 CVE-2026-5140：ローカル・サイレント昇格による root 権限の奪取

Pardus Linux Vulnerability Lets Local Attackers Gain Silent Root Access

2026/05/20 gbhackers — Pardus Linux のアップデート・メカニズムにおいて、未認証のローカル・ユーザーが完全な root 権限を取得できる、深刻な権限昇格脆弱性チェーン CVE-2026-5140 (CVSS：8.8 High) が発見された。この問題は、 pardus-update パッケージに影響するものであり、3 つの異なる脆弱性が組み合わさることで、わずか数秒でシステム全体が侵害される恐れがある。

NGINX njs の CVE-2026-8711 が FIX：ヒープバッファ・オーバーフローによる DoS 攻撃の可能性

New NGINX Vulnerability Allow Remote Attackers to Trigger Malicious Code

2026/05/20 CyberSecurityNews — NGINX JavaScript (njs) で新たに発見された脆弱性 CVE-2026-8711 により、未認証のリモート攻撃者がヒープバッファ・オーバーフローを引き起こし、サービス拒否 (DoS) を発生させる可能性がある。さらに特定の条件下では、NGINX ワーカー・プロセスにおけるリモート・コード実行が可能となる。この脆弱性は、NGINX JavaScript の ngx.fetch() 操作において、js_fetch_proxy ディレクティブがクライアント制御変数を処理する際の不備に起因する。

FreePBX の脆弱性 CVE-2026-46376 が FIX：ユーザーポータルへの不正アクセスを招く恐れ

FreePBX Security Flaw Lets Attackers Access User Portals

2026/05/20 gbhackers — 広く利用されているオープンソース・プラットフォーム FreePBX において、特定の条件下で未認証の攻撃者に対してユーザーポータルへのアクセスを許す、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2026-46376 (CVSS v4：9.1) を悪用する攻撃者は、userman モジュールを介して User Control Panel (UCP) に影響を及ぼす。

Linux Kernel の脆弱性 DirtyDecrypt CVE-2026-31635 が FIX：root 権限昇格と PoC の提供

DirtyDecrypt Linux Kernel Vulnerability PoC Exploit Code Released

2026/05/20 CyberSecurityNews — Linux カーネルに存在する高深刻度のローカル権限昇格の脆弱性 DirtyDecrypt (別名 DirtyCBC) に対する、PoC (proof-of-concept) エクスプロイトが、セキュリティアナリスト Will Dormann により公開された。この脆弱性 CVE-2026-31635 を悪用するローカル攻撃者は、root 権限の取得が可能となる。なお、この脆弱性に対する修正パッチは、2026年4月25日の時点でアップストリームにマージされている。

CISA の認証情報／機密データが GitHub リポジトリに漏洩：GitGuardian が指摘した問題とは？

CISA Credentials, Sensitive Data Exposed in GitHub Repository

2026/05/19 SecurityBoulevard — CISA における深刻な情報漏洩が明らかにされた。同組織の外部契約者が、Amazon Web Services (AWS) 上に保存されている、連邦政府の最高サイバーセキュリティ機関のシステムに関する認証情報および高権限政府アカウントを、不適切に公開していたことが露見した。

PostgreSQL pgcrypto の RCE 脆弱性 CVE-2026-2005：PoC が登場

20-Year-Old PostgreSQL Flaw Gets Public PoC Exploit for Remote Code Execution

2026/05/19 gbhackers — PostgreSQL の pgcrypto エクステンションで発見された、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2026-2005 に対して PoC (proof-of-concept) エクスプロイトが公開された。セキュリティ研究者によると、この問題は約 20年前に遡るレガシーコードに起因し、攻撃者に対して権限昇格および任意のコマンド実行を許す可能性がある。

Apache Flink の脆弱性 CVE-2026-35194 が FIX：SQL コード生成の欠陥と任意のコード実行

Critical Apache Flink Vulnerability Enables Remote code execution Attacks

2026/05/19 CyberSecurityNews — 新たに公開された Apache Flink の深刻な脆弱性 CVE-2026-35194 により、SQL インジェクションを起点とするリモート・コード実行 (RCE) 攻撃の危険性に、分散データ処理環境がさらされている。この脆弱性は Apache Flink の SQL コード生成メカニズムに存在し、動的に生成される Java コードへ埋め込まれるユーザー入力データが、適切にサニタイズされないことに起因する。その結果、クエリ実行権限を持つ認証済みユーザーは、文字列境界をエスケープする悪意のペイロードを注入して、任意のコード実行を可能にする。

PostgreSQL の深刻な 11 件の脆弱性が修正：任意のコード実行や SQLi の恐れ

Critical PostgreSQL Vulnerabilities Enables Code Execution and SQL Injections

2026/05/19 CyberSecurityNews — PostgreSQL Global Development Group が公開したのは、11 件の脆弱性に対する修正の情報である。すべてのサポート対象ブランチ向けに、PostgreSQL の 18.4／17.10／16.14／15.18／14.23 が、セキュリティ／メンテナンス・アップデートとしてリリースされた。

SEPPmail Secure E-Mail Gateway に複数の脆弱性：認証不要の RCE とトラフィック傍受

SEPPmail Gateway Flaws Expose Organizations to RCE and Email Traffic Interception

2026/05/19 gbhackers — SEPPmail Secure E-Mail Gateway に存在する複数の深刻な脆弱性により、数千の組織における暗号化電子メール通信が、リモート・コード実行 (RCE) ／機密メール傍受のリスクにさらされている。これらの脆弱性は、特に DACH 地域 (ドイツ／オーストリア／スイス) で広く導入されている SEPPmail アプライアンスに影響することが判明した。

Anthropic Glasswing プロジェクト：AI によるエクスプロイト生成と問題点 – Cloudflare

Mythos Preview Builds PoC Exploits in Automated Vulnerability Research

2026/05/19 CyberSecurityNews — Anthropic の Mythos Preview は、セキュリティ特化型 AI モデルとして、自動化された脆弱性リサーチにおける重要な転換点へ到達しつつある。単にバグを発見するだけではなく、それらを連鎖させ、実際に動作する PoC エクスプロイトを構築する段階に達している。これは、Cloudflare のセキュリティ・チームによる知見である。同社のチームは、Anthropic の招待制プロジェクト Project Glasswing に参加し、50 を超える内部リポジトリに対し、数週間にわたりこのモデルを実行した。

GitHub Action を標的としたサプライ・チェーン攻撃：認証情報窃取ペイロードを確認

Compromised GitHub Action Steals Workflow Credentials

2026/05/19 gbhackers — 広く利用されている GitHub Actions の actions-cool/issues-helper が、サプライ・チェーン攻撃により侵害され、機密性の高い CI/CD シークレットが攻撃者が管理するドメインへと流出するリスクが生じている。この攻撃は、Git タグに対する巧妙な操作を悪用するものであり、攻撃者は目に見える commit 履歴を改竄するのではなく、すべてのリリースタグを偽の commit (1c9e803) へ移動させた。この偽 commit は、リポジトリ内の正規ブランチに属していない。

AI の成長速度を Moore の法則と比較する：そのスピードはシリコンの約 5〜6 倍

Beyond Moore’s Law: The Hyper-Acceleration of Autonomous AI Cyber Capabilities

2026/05/18 SecurityBoulevard — 英国の AI Security Institute (AISI) は、すべての CISO と取締役会が再構築すべき、脅威モデルとリスク議論に関する事実を示した。最先端の AI モデルが、自律的に完遂できる複雑なサイバー・タスクは、数ヶ月ごとに倍増している。このシンプルな視点が示すのは、テクノロジー・リスクの物理的な前提の変化である。

WordPress Avada の脆弱性 CVE-2026-4782／4798 が FIX：任意のファイル読み取りと SQLi の恐れ

1 Million WordPress Websites Exposed by Avada Builder Security Vulnerabilities

2026/05/18 gbhackers — WordPress Avada Builder プラグインに、2 つの深刻なセキュリティ欠陥が発見され、機密性の高いデータやサーバ・ファイルの露出の可能性が生じている。この 100万以上の Web サイトで利用されている、プラグインの脆弱性を悪用する攻撃者は、影響を受けるサイトの侵害が可能であると、セキュリティ研究者が警告している。

Linus Torvalds の警告：AI によるバグ報告が Linux セキュリティ運用を圧迫

Linus Torvalds Says AI Bug Reports Have Made Linux Security Mailing List Unmanageable

2026/05/18 CyberSecurityNews — Linus Torvalds が警告するのは、AI により生成されたバグ報告の “継続的な洪水” や “絶え間ない殺到” により、Linux のセキュリティ・メーリング・リストが、ほぼ完全に管理不能になり始めていることだ。現在、Linux プロジェクトは、AI により発見された問題の報告／処理の方法に関するルールを厳格化している。

Marimo Python notebook の脆弱性 CVE-2026-39987 が FIX ：未認証 RCE の恐れ

Critical Marimo RCE Flaw Could Let Attackers Execute Malicious Code Remotely

2026/05/18 gbhackers — 新たに公表された Marimo Python notebook フレームワークの、深刻な脆弱性 CVE-2026-39987 (CVSS：9.8) が、サイバー・セキュリティ・コミュニティ全体で強い懸念を引き起こしている。この脆弱性は WebSocket エンドポイントを露出させており、認証を必要としない攻撃者による、リモートからの任意のコマンド実行が可能になるだけではなく、システム・レベルのシェルの生成や、インフラ全体の侵害につながる可能性がある。

NGINX の深刻な RCE 脆弱性 CVE-2026-42945：公開直後から実環境での悪用を確認

Hackers Actively Exploiting Critical NGINX RCE Vulnerability in the Wild

2026/05/18 CyberSecurityNews — 新たに公開された NGINX の深刻な脆弱性 CVE-2026-42945 (CVSS：8.1) に対して、すでにハッカーたちは悪用に即座に着手しており、公開から数日で実環境における攻撃を開始している。VulnCheck のセキュリティ研究者 Patrick Garrity は、脅威アクターが CVE-2026-42945 を積極的に標的としていることを明らかにした。この脆弱性はヒープバッファ・オーバーフローの欠陥であり、NGINX Open Source／NGINX Plus に影響するものである。

WooCommerce Funnel の脆弱性 CVE-2026-47100 が FIX：4万サイト超に決済情報窃取のリスク

Critical FunnelKit Vulnerability Puts 40,000+ WooCommerce Sites at Risk

2026/05/18 gbhackers — WooCommerce の Funnel Builder プラグインに存在する深刻なセキュリティ脆弱性 CVE-2026-47100 (CVSS 8.7) が、FunnelKit を悪用する脅威アクターに現在進行形で悪用されており、4万以上の Webサイトが決済データ窃取のリスクにさらされている。この脆弱性が影響を及ぼす範囲は、Funnel Builder バージョン 3.15.0.3 未満であり、未認証の攻撃者に対して、WooCommerce のチェックアウト・ページへの任意の JavaScript 注入を許すものである。

WordPress プラグイン Burst Statistics の脆弱性 CVE-2026-8181 が FIX：20万以上の Web サイトに影響

Critical WordPress Plugin Vulnerability Exposes Websites to Authentication Bypass Attacks

2026/05/18 CyberSecurityNews — WordPress の Burst Statistics プラグインに存在する深刻な脆弱性 CVE-2026-8181 (CVSS：9.8) により、20万以上の Web サイトにおいて完全なアカウント乗っ取りのリスクが生じ、セキュリティ・コミュニティ全体で緊急の懸念が高まっている。

n8n の深刻な脆弱性 CVE-2026-44789／44790／44791 が FIX：連鎖による RCE の可能性

n8n Security Flaws Could Let Attackers Achieve Remote Code Execution

2026/05/18 gbhackers — ワークフロー自動化プラットフォーム n8n に存在する一連の深刻な脆弱性が、重大なセキュリティ懸念を引き起こしている。研究者たちが警告するのは、複数の欠陥を連鎖させる攻撃者が、標的システム上で完全なリモートコード実行 (RCE) を達成する可能性である。

Grafana Labs で発生した侵害：GitHub Action の脆弱性 Pwn Request が侵入口と判明

Grafana Labs Security Breach – Hackers Access GitHub and Download Codebase

2026/05/17 CyberSecurityNews — Grafana Labs の GitHub 環境に侵入した脅威アクターが、特権トークンを窃取してプライベート・コードベースをダウンロードした上で、恐喝と身代金の要求を試みた。2026年5月16日に Grafana Labs が開示したのは、GitHub 環境へのアクセス権を持つトークンが不正に取得され、攻撃者によるコードベースのダウンロードが可能な状態であったことだ。

Linux の脆弱性 ssh-keysign-pwn CVE-2026-46333 が FIX：深刻な情報漏洩と PoC の登場

Linux “ssh-keysign-pwn” Flaw Exposing Critical Authentication Files

2026/05/15 gbhackers — Linux カーネルに存在する脆弱性 ssh-keysign-pwn により、SSH 秘密鍵および “/etc/shadow” に格納されたハッシュ化パスワードへの不正アクセスのリスクが生じている。この数百万規模の Linux システムに影響を及ぼす脆弱性 CVE-2026-46333 (GHSA-pm8f-4p6p-6×53) は、約 6 年間にわたり未検知で存在し、2026年5月15日に National Vulnerability Database へ公開された。

PraisonAI の脆弱性 CVE-2026-44338 が FIX：デフォルトでの認証無効化が引き起こす問題とは？

PraisonAI Vulnerability Exploited Within Hours of Public Disclosure

2026/05/15 CyberSecurityNews — 多くのエンタープライズにおいて AI フレームワークが中核となり始めているが、人気の高い AI プラットフォームに存在する脆弱性を悪用する脅威アクターが、深刻なセキュリティ・リスクをもたらしている。PraisonAI のレガシー API サーバに存在する、深刻な脆弱性 CVE-2026-44338 が開発者コミュニティに大きな衝撃を与えている。

VMware Fusion の脆弱性 CVE-2026-41702 が FIX：root 権限奪取の恐れ

VMware Fusion Flaw Could Allow Attackers to Gain Root Privileges

2026/05/15 gbhackers — 新たに公表された VMware Fusion の脆弱性を悪用する攻撃者は、影響を受けるシステム上で権限を昇格し、root 権限を取得できることが確認された。この脆弱性 CVE-2026-41702 (CVSS：7.8：High) は、実環境における潜在的な影響が大きいため、深刻なセキュリティ上の懸念が生じている。

Amazon Redshift JDBC の脆弱性 CVE-2026-8178 が FIX：URL 処理不備による任意のコード実行

Amazon Redshift JDBC Driver Vulnerabilities Enables Remote Code Execution Attacks

2026/05/15 CyberSecurityNews — Amazon Redshift JDBC ドライバーに存在する深刻な脆弱性 CVE-2026-8178 により、エンタープライズ・アプリケーションがリモート・コード実行 (RCE) の深刻なリスクに晒されている。データベース接続 URL を操作する攻撃者は、この新たに公開された脆弱性の悪用が可能となる。この脆弱性により、アプリケーション・プロセスの内部からの乗っ取りが生じ、機密性の高いエンタープライズ・データへの不正アクセスや、システム全体の侵害に至る恐れがある。

npm ライブラリ node-ipc にサプライチェーン攻撃：Cloud 認証情報／SSH キーを窃取

2026/05/15 gbhackers — 週次のダウンロード数 822,000 件を超える npm パッケージが、深刻なサプライチェーン攻撃の中心となり、JavaScript エコシステム全体に新たな懸念を引き起こしている。人気ライブラリ node-ipc に存在する、ステルス性の高い認証情報窃取マルウェア／バックドアなどを取り込んだ複数の悪意のバージョンを、Socket のセキュリティ研究者が発見した。影響を受けるバージョン node-ipc@9.1.6／9.2.3／12.0.1 が、公開後の数分以内に検知された。

TanStack npm サプライチェーン攻撃：OpenAI が受けた侵害の内容と背景

OpenAI Confirms Security Breach Via TanStack npm Supply Chain Attack

2026/05/15 CyberSecurityNews — TanStack npm を標的とする大規模なソフトウェア・サプライチェーン攻撃により、OpenAI の従業員端末 2 台が侵害された。同社は、ユーザーデータ／本番システム／知的財産への影響はなかったと確認している。2026年5月11日 (UTC) に、脅威アクターは Mini Shai-Hulud と呼ばれるキャンペーンを開始した。それは、TeamPCP 恐喝グループによりオーケストレーションされる協調的なサプライチェーン攻撃である。

Next.js の脆弱性 CVE-2026-44578 が FIX：クラウド認証情報への不正アクセスの恐れ

Next.js Security Flaw Leaks Cloud Credentials, API Keys, and Admin Interfaces

2026/05/15 gbhackers — Next.js の深刻な脆弱性 CVE-2026-44578 を悪用する攻撃者は、機密性の高いクラウド認証情報／API キー／内部管理インターフェイスに対して不正にアクセスできる。広く利用される React フレームワークの 1つである Next.js の、特定のサーバサイド・デプロイメントにおける WebSocket アップグレード・リクエスト処理に、この脆弱性は起因する。

Cisco Catalyst SD-WAN の脆弱性 CVE-2026-20182 が FIX：Admin 奪取の可能性

Cisco Catalyst SD-WAN Controller 0-Day Actively Exploited to Gain Admin Access

2026/05/15 CyberSecurityNews — Cisco Catalyst SD-WAN Controller における、脆弱性 CVE-2026-20182 (CVSS：10.0：Critical) が積極的に悪用されている。この脆弱性を悪用する未認証のリモート攻撃者は、認証を完全にバイパスし、エンタープライズ・ネットワーク基盤の管理権限を掌握できる状態にある。この脆弱性により、オンプレミス／クラウド／政府環境を含む SD-WAN 展開全体が重大なリスクにさらされている。

Palo Alto Firewall の脆弱性 CVE-2026-0300：未認証 root での任意のコード実行と PoC の登場

Palo Alto Firewalls Hit by Zero-Day Allowing Arbitrary Code Execution as Root

2026/05/15 gbhackers — Palo Alto Networks のファイアウォールにおけるゼロデイ脆弱性が積極的に悪用され、国家に支援されると推測される未認証の攻撃者が、エンタープライズのセキュリティ基盤を完全に掌握するリスクが生じている。この脆弱性 CVE-2026-0300 (CVSS：9.3：Critical) は、PAN-OS ソフトウェアの User-ID Authentication Portal サービスに存在し、遅くとも 2026年4月9日には武器化されている。2026年5月6日に情報が公開される前から、攻撃者は数週間にわたり露出システムを侵害する機会を有していた。

Google Chrome の脆弱性 79件が FIX：Critical 14 件 High 38件

79 Chrome Vulnerabilities Patched, Including 14 Critical One’s – Update Now!

2026/05/15 CyberSecurityNews — Google は Chrome ブラウザの 79件の脆弱性を修正し、攻撃者による悪用を緩和した。そのうち 14件は Critical に分類されており、未修正のバージョンで Web を閲覧すると、システム全体への深刻なサイバー攻撃に至る可能性がある。最新の stable リリースでは、Windows／Mac 向けの 148.0.7778.167／168 と、Linux 向けの 148.0.7778.167 が提供されている。

cPanel の CVE-2026-41940 に関する注意事項：5月の脆弱性群との連鎖の可能性

Multiple cPanel Vulnerabilities Could Lead to Sensitive Resource Exposure

2026/05/15 gbhackers — cPanel & WHM で先日に公開された脆弱性 CVE-2026-41940 (Critical) や、2026年5月に公開された脆弱性群を悪用する攻撃者が、標的サーバ上の機密性の高いリソースやホスティング・アカウントへアクセスするリスクが生じている。それらの脆弱性の中の少なくとも 1件が、すでに積極的に悪用されているため、インターネットに公開された cPanel インスタンスを運用する組織は、ただちに更新を実施する必要がある。

GitLab の脆弱性群が FIX：高深刻度の XSS や DoS の可能性に対応

GitLab Security Flaw Allows Cross-Site Scripting and Unauthenticated DoS

2026/05/14 gbhackers — GitLab が公開したのは、大規模な脆弱性群に対する緊急セキュリティ・アップデートである。これらの新規の脆弱性を悪用する脅威アクターは、開発者セッションの乗っ取り、未認証攻撃による CI/CD パイプラインの完全な停止などを可能にする。

macOS のメモリ整合性保護バイパスの脆弱性：Anthropic Mythos による発見とエクスプロイト生成

Anthropic’s Mythos AI Reportedly Found macOS Vulnerabilities that Could Bypass Apple Security

2026/05/14 CyberSecurityNews — Apple macOS における 2件の脆弱性が、Anthropic の非公開 AI モデル Mythos の初期バージョンの手法を用いて発見された。これらのバグが連鎖的に悪用されると、Apple の高度なメモリ整合性保護をバイパスする権限昇格のエクスプロイトが生じ、本来はアクセス不可とされるシステム領域への不正アクセスが可能になる。サイバー・セキュリティ企業 Calif から提出された 55ページのレポートを、Apple が精査している最中であり、検証が完了後にパッチが提供される見込みである。

WordPress Burst Statistics の脆弱性 CVE-2026-8181 が FIX：管理者権限奪取の可能性

Critical WordPress Plugin Flaw Allows Unauthorized Access to Websites

2026/05/14 gbhackers — 広く使用されている WordPress プラグインにおける重大な脆弱性 CVE-2026-8181 (CVSS 9.8) により、20万以上の Web サイトが乗っ取りの危険にさらされており、セキュリティ・コミュニティ全体で緊急の懸念が高まっている。AI 駆動の PRISM プラットフォームを用いる Wordfence のセキュリティ研究者が、プライバシーのための分析ツール Burst Statistics プラグインの深刻な認証バイパスの脆弱性を発見した。この脆弱性を悪用する攻撃者は、正当な認証情報を必要とせずに管理者レベルのアクセスを取得できる。

Canon GUARDIANWALL MailSuite に深刻な RCE 脆弱性：サーバ完全侵害の恐れ

Critical Canon MailSuite Vulnerability Enables Remote Code Execution Attacks

2026/05/14 CyberSecurityNews — Canon の GUARDIANWALL MailSuite において、企業ネットワークが壊滅的なリモート・コード実行 (RCE) 攻撃にさらされる危険性のある、きわめて深刻なセキュリティ脆弱性が発見された。エンタープライズ向けメール・インフラは、依然としてサイバー犯罪者にとって最も重要かつ脆弱な標的の一つである。この脆弱性を容易に悪用する脅威アクターは、影響を受ける Web サービスを完全に制御できるため、組織データを防御する観点から早急な修正と対応が最優先事項となる。

Deed RAT／Terndoor を用いる中国の FamousSparrow：Exchange の悪用とエネルギー企業への長期侵害

Chinese APT Exploits Microsoft Exchange to Breach Energy Sector Network

2026/05/14 gbhackers — 中国と関係する国家支援ハッカー FamousSparrow が、大手エネルギー企業の Microsoft Exchange サーバを侵害した。同一の侵入口を繰り返して再悪用した攻撃者は、数か月にわたるスパイ活動を実行し、Deed RAT／Terndoor バックドアを展開することでネットワーク全体への深いアクセスを維持した。

Langflow の RCE 脆弱性 CVE-2026-33017 を悪用：AWS 侵害キャンペーンを Sysdig が観測

Langflow CVE-2026-33017 Exploited to Steal AWS Keys, Deploy NATS Worker

2026/05/14 gbhackers — Langflow の脆弱性 CVE-2026-33017 に対する、パッチを適用していないインスタンスが積極的に悪用されている。一連の攻撃は、単なるリモート・コード実行や AWS キーの窃取に留まらず、”KeyHunter” と呼ばれる NATS ベースのボットネット型ワーカー・プールへの参加基盤としての悪用も展開されている。

NGINX の深刻な脆弱性 CVE-2026-42945 が FIX：RCE と PoC の登場

Critical 18-Year-Old NGINX Vulnerability Enables Remote Code Execution Attacks

2026/05/14 CyberSecurityNews — NGINX のソース・コードにおいて、2008年から存在していた深刻なヒープバッファ・オーバーフローの脆弱性 CVE-2026-42945 (CVSS 9.2) が発見された。この脆弱性に対しては、すでに PoC エクスプロイトが公開され、認証を必要としないリモート・コード実行 (RCE) が実証されている。NGINX は、世界で最も広く利用される Web サーバの 1つであるため、その影響は広範に及ぶ。

MongoDB の脆弱性 CVE-2026-8053 が FIX：セルフホスト環境で RCE の可能性

Critical MongoDB Vulnerability Allow Attackers to Execute Arbitrary Code

2026/05/14 CyberSecurityNews — MongoDB の深刻な脆弱性を悪用するリモートの攻撃者は、任意のコード実行を達成し、対象サーバを完全に制御する可能性がある。この脆弱性 CVE-2026-8053 は、MongoDB Server のデプロイメントへ直接影響するものであり、数百万件規模のデータ窃取のリスクを引き起こしている。

Sysdig が提供する Headless クラウド・セキュリティ：AI Agent からの呼び出しを前提に再設計

Sysdig Launches Headless Cloud Security Platform Designed for AI Agents

2026/05/13 SecurityBoulevard — Sysdig が公表したのは、自社のクラウド・セキュリティ・プラットフォームにおける Headless サービス実装に関する情報である。この実装は、より大規模なワークフロー内でセキュリティ・タスクを自動化する、AI エージェントから呼び出されることを前提として設計されている。

SandboxJS Escape の脆弱性は CVE-2026-43898 が FIX：ホスト上での任意のコード実行と PoC

Critical SandboxJS Escape Vulnerability Enables Host Takeover

2026/05/13 CyberSecurityNews — npm 上で広く利用されている JavaScript サンドボックス・ライブラリ SandboxJS において、深刻なセキュリティ欠陥が発見された。この脆弱性 CVE-2026-43898 (CVSS 10.0) を悪用する攻撃者は、サンドボックスを完全に突破し、ホストシステム上での任意のコード実行を可能にする。

WordPress Avada プラグインの脆弱性 CVE-2026-4782／4798 が FIX：100万件のサイトが危険な状態

Avada Builder Flaws Expose One Million WordPress Sites

2026/05/13 InfoSecurity — Avada Builder WordPress プラグインにおいて新たに 2件の脆弱性 CVE-2026-4782／4798 が公表され、約 100 万のサイトが任意のファイル読み取り／SQL インジェクション攻撃のリスクにさらされている。2026年5月12日に公開された Wordfence の分析によると、これらの脆弱性は 2026年3月21日に独立研究者 Rafie Muhammad により、Wordfence Bug Bounty Program を通じて報告された。

Linux カーネルの脆弱性 Fragnesia CVE-N/A：root 権限奪取と PoC の公開

Fragnesia Linux Vulnerability Let Attackers Gain Root Privileges – PoC Released

2026/05/13 CyberSecurityNews — 新たに公開された Linux Kernel 脆弱性 Fragnesia により、ローカルの非特権ユーザーであっても、競合状態を必要とせずに root 権限へ昇格可能となることが判明した。その特性から、近年確認されたローカル権限昇格エクスプロイトの中でも、特に信頼性の高いものとみられている。この脆弱性は、V12 Security チームの William Bowling により発見されたものであり、Linux セキュリティの前提を静かに変化させる、危険な Kernel バグ群の一つである。

Exim の GnuTLS バックエンドに深刻な UAF 脆弱性 CVE-N/A：認証不要の任意のコード実行

New Exim BDAT GnuTLS Vulnerability Enables Code Execution Attacks

2026/05/13 CyberSecurityNews — 現在インターネット上で最も広く導入されている Mail Transfer Agent である Exim において、深刻なセキュリティ欠陥が発見された。この EXIM-Security-2026-05-01.1 で公開された脆弱性を悪用するリモート攻撃者は、特権／認証情報／事前アクセスを一切必要とせずにサーバ・メモリを破壊し、悪意のコード実行を可能にする。2026年5月初旬からの協調的な責任開示プロセスを経て、2026年5月12日に今回のアドバイザリが公開された。

Microsoft Teams の脆弱性 CVE-2026-32185 が FIX：未認証ローカル攻撃者がスプーフィング攻撃を実行

Microsoft Teams Vulnerability Allows Hackers to Perform Spoofing Attacks

2026/05/12 CyberSecurityNews — Microsoft Teams の新たなセキュリティ脆弱性を悪用する脅威アクターが、ローカル・デバイスを偽装するというリスクが判明した。それにより、このプラットフォームを、日常的なコミュニケーションで利用している企業／個人ユーザーの間で懸念が高まっている。

AI が生体認証を容易に突破する時代：Liveness Detection の導入が望まれる

Biometric Authentication is Easier to Fake Than You Think

2026/05/12 InfoSecurity — GenAI の進展が、なりすましの経済性を根本的に変えている。もはや攻撃者は、認証情報の窃取やインフラの侵害を必要とせずに、単にユーザーになりすますだけでよい。合成動画／音声クローン／高品質な生体情報スプーフなどにより、ID ベースの攻撃は高速／低コスト／高精度を兼ね備えるものとなっている。World Economic Forum が指摘するように、音声／画像／動画を複製するツールは、低い技術力でも利用が可能であるため、この種の攻撃が急増している。