IoT OT Security News

脆弱性 HTTP2Shell CVE-2026-111497：PHP が Windows 向けの最新ビルドを公開

PHP Releases New Windows Build Security Updates to Fix Critical HTTP2Shell Vulnerability

2026/10/26 CyberSecurityNews — HTTP2Shell とも呼ばれる深刻な脆弱性を修正するために、PHP チームは Windows 向けの更新版をリリースした。新しいパッケージである PHP 8.5.12-1／8.4.27-1／8.3.36-1／8.2.35-1 は、2026年10月26日に公開された。各ビルドには、CVE-2026-111497 を修正した Brotli 1.2.1 が含まれている。Windows 環境で PHP を使用しているユーザーは、これらのパッケージを速やかにインストールする必要がある。

脆弱性 HTTP2Shell CVE-2026-111497 を調査：.NET／FFmpeg／ClickHouse／Apache Arrow への影響は？

HTTP2Shell Vulnerability Extends Beyond HTTP, Affecting .NET, FFmpeg, ClickHouse, and Apache Arrow

2026/10/26 CyberSecurityNews — 脆弱性 HTTP2Shell の影響範囲は、Web トラフィックだけにとどまらない。新たな調査により判明したのは、同じ Brotli デコーダーの欠陥 (CVE-2026-111497) が、.NET アプリケーション／FFmpeg によるメディア処理／ClickHouse サーバ／Apache Arrow のワークロードにも障害を引き起こす可能性があることだ。今回の調査結果が示すのは、Node.js のバージョンを確認するだけでは、脆弱性の影響を受ける他のソフトウェアを見落とす可能性があることだ。10月25日に公開された調査結果では、JFrog の研究者 Aviv Engelberg／Eddy Tsalolikhin／Ofri Ouzan が明らかにしたのは、複数のソフトウェア・スタックにおける CVE-2026-111497 の影響である。

Brotli の脆弱性 Node2Shell CVE-2026-111497 が FIX：Microsoft／Node.js／Python などへの広範な影響

Node2Shell: Brotli Flaw Triggers Patching Across Microsoft, Node.js, Python Packages

2026/10/26 SecurityWeek — Google のデータ圧縮ライブラリ Brotli に、脆弱性 CVE-2026-111497 が発見された。この Node2Shell と呼ばれる脆弱性を受け、Microsoft／Node.js プロジェクト／2つの Python パッケージのメンテナーが、セキュリティ・アップデートを公開した。Node.js と Python パッケージには前週に修正が適用され、続いて Microsoft が10月25日に .NET／Visual Studio／PowerShell 向けの修正プログラムを公開した。さらに、Bun／Envoy／Istio についてもアップデートが実施されている。

StealMyBitcoin Challenge で実証された PHP2Shell 侵害：PHP RCE の PoC を提供

Hacker Demonstrates PHP Remote Code Execution in StealMyBitcoin Challenge, Shares Exploit

2026/10/26 gbhackers — Steal My Bitcoin チャレンジにおいて、セキュリティ研究者が実証したのは、PHP のリモート・コード実行 (RCE) エクスプロイトの実証である。この概念実証 (PoC) エクスプロイトが示すのは、特別に細工された HTTP リクエストによりメモリ破損を引き起こし、PHP 内部のメモリアドレスを漏えいさせ、脆弱なサーバ上でコマンドを実行できることだ。GitHub で KillaBoi というユーザー名を使用する研究者は、公開リポジトリでエクスプロイトを公開し、PHP 8.4.26 を対象とする攻撃の詳細を説明している。

Palo Alto が PHP2Shell 脆弱性を確認：PAN-OS や各種のネットワーク製品に影響

Palo Alto Confirms PHP RCE Vulnerabilities Impact PAN-OS and Multiple Network Products

2026/10/24 CyberSecurityNews — Palo Alto Networks が確認したのは、PHP に存在する深刻なリモート・コード実行の脆弱性 2件が PAN-OS に影響し、先行して 2つのクラウド・サービスにも影響していたことだ。これらの PHP の脆弱性 CVE-2026-109618／CVE-2026-109619 の悪用を受け、同社はファイアウォール向けホットフィックスの提供を計画する一方で、管理インターフェイスへのアクセスを制限するよう顧客に勧告している。

Linux Kernel の深刻な脆弱性：KSMBD におけるリモート・コード実行の恐れ

Critical Unpatched Linux Kernel Flaws Accidentally Disclosed on Public List

2026/10/23 CyberSecurityNews — 2026年10月、Linux に関連する複数の未修正のセキュリティ脆弱性が公開メーリングリストに投稿され、修正パッチが準備される前に技術的な詳細が明らかになった。Trend Micro の Zero Day Initiative (ZDI) が提出した報告には、Linux カーネルの KSMBD ファイルサーバを使用するシステムに対して、リモートからコードを実行できる可能性がある 2件の深刻な脆弱性が含まれ、いずれも CVSS スコアは 9.0 と評価されている。

Splunk Enterprise／SOAR の深刻な脆弱性 24件が FIX：RCE や DoS などの恐れ

Splunk Fixes 24 Security Flaws, Including Four Critical Vulnerabilities in Enterprise and SOAR

2026/10/23 CyberSecurityNews — Splunk が公開したのは、Splunk Enterprise／Splunk SOAR に存在する 24件の脆弱性に対するセキュリティ・アップデートであり、そのうち 4件の脆弱性は、CVSS スコアが 9.3～9.9 と評価されている。2026年10月21日に Splunk は、3 件のセキュリティ・アドバイザリを通じて修正プログラムを公開した。対象となる問題には、アクセス制御／入力データ処理／ファイル外部公開／リモート・コード実行／サービス拒否 (DoS)／不適切な認可チェックなどが含まれる。

Citrix NetScaler RCE 脆弱性 CVE-2026-88771：Web シェルやマルウェアの配布で悪用

Hackers Exploit Critical Citrix NetScaler RCE Flaw to Deploy Web Shells and Malware

2026/10/23 CyberSecurityNews — Citrix の NetScaler ADC／NetScaler Gateway に存在する、深刻な脆弱性を悪用する攻撃者が、インターネットに公開されたアプライアンス上で、コマンド実行や Web シェルの設置、マルウェアの配布などを行っている。この脆弱性 CVE-2026-88771 を悪用する未認証のリモート攻撃者は、任意のコマンドを実行できる。Citrix は 2026年9月27日の時点で、この脆弱性を公表し、セキュリティ・アップデートが適用されていないアプライアンスでの悪用を確認していた。Zscaler ThreatLabz のレポートによると、この脆弱性の深刻度は CVSS v3.1 で 9.8、CVSS v4.0 で 9.5 と評価されている。

HPE Aruba Networking の脆弱性群が FIX：8件の CVSS 10.0 が含まれる

HPE Warns Critical Aruba Networking Flaws Could Let Hackers Take Complete Control of Devices

2026/10/23 CyberSecurityNews — Hewlett Packard Enterprise (HPE) が公開したのは、Aruba Networking の無線ネットワーク・ソフトウェアに存在する複数の脆弱性に対するセキュリティ・パッチである。これらの脆弱性を悪用する攻撃者は、影響を受けるデバイスを完全に制御する可能性がある。それらの脆弱性は、Mobility Conductor／コントローラー／ゲートウェイ／アクセスポイントで使用される AOS-8 と AOS-10 に影響する。複数の脆弱性は、有効な認証情報がなくても悪用できるため、ネットワーク管理者には速やかなパッチ適用が求められる。

Oracle Java の脆弱性 CVE-2026-91403 が FIX：未認証のリモート攻撃の恐れ

Critical Oracle Java Flaw With CVSS 9.1 Allows Unauthenticated Remote Attacks

2026/10/23 gbhackers — Oracle が公表したのは、Oracle Java SE／GraalVM に影響を及ぼす深刻な脆弱性 CVE-2026-91403 に対するセキュリティ・アラートである。この脆弱性は、未認証のリモート攻撃者により悪用される可能性がある。2026年10月21日のアドバイザリは、この脆弱性の CVSS v3.1 スコアを 9.1 と評価しており、eMudhra に関連する中間認証局 (CA) のうち、影響を受けた証明書を信頼しないよう勧告している。

Okta Access Gateway の脆弱性 CVE-2026-115547 が FIX：システム・コマンド実行の恐れ

Critical Okta Access Gateway Flaw Lets Attackers With Admin Access Execute System Commands

2026/10/23 CyberSecurityNews — Okta が公表したのは、アプライアンスの管理コンソールを通じたシステム・コマンド実行を、認証済みの管理者に対して許す可能性がある、Okta Access Gateway に存在する脆弱性に関する情報である。この脆弱性 CVE-2026-115547 は、Okta Access Gateway (OAG) のバージョン 2026.10.2 未満のリリースに影響する。2026年10月22日に公開されたアドバイザリによると、CVSS v3.1 スコアは 9.1 である。この問題は、Admin Console において、特別に細工された設定値が処理される際の、入力値に対する不十分な検証に起因する。

LiteLLM にサプライチェーン侵害が発生：PyPI を介した認証情報窃取マルウェアの配布

LiteLLM Supply Chain Compromise Exposes AI Developer Credentials to Malware Attacks

2026/10/22 gbhackers — LiteLLM バージョン 1.107.0 がサプライチェーン攻撃により侵害され、PyPI のホイール・パッケージとコンテナ・イメージを通じて、認証情報を窃取するマルウェアが配布された。2026年10月21日に Socket の研究者たちが報告したのは、アプリケーションが LiteLLM をインポートしていなくても、悪意のある Python 起動フックが実行され、クラウドの認証情報／開発者の機密情報／AI 関連の認証ファイルが漏えいする可能性である。

Atlassian が大規模なセキュリティ更新を公開：Jira／Confluenceなどの 176件の脆弱性に対応

Atlassian Releases Massive Security Update Addressing 176 Flaw Entries in Jira and Confluence

2026/10/22 CyberSecurityNews — Atlassian が公開したのは、Jira／Confluence／Bamboo／Bitbucket／Crowd などの製品に存在する、176 件の脆弱性に対応する 2026年10月のセキュリティ情報である。このアドバイザリは 10月20日に公開され、深刻度 High の脆弱性 162 件と、サードパーティ製コンポーネントに存在する深刻度 Critical の脆弱性 14 件が記載されている。

GitLab に 12年前から存在する脆弱性：セルフマネージド・サーバでコード実行の恐れ

12-Year-Old GitLab Vulnerability Allows Remote Code Execution on Self-Managed Server

2026/10/22 CyberSecurityNews — GitLab が公開したのは、セルフ・マネージド環境で運用されるサーバ上で、未認証の攻撃者に任意のコード実行を許す可能性がある、深刻度 Critical の脆弱性 CVE-2026-110264 (CVSS 10.0) に対するセキュリティ・アップデートである。この脆弱性は、GitLab Community Edition (CE)／Enterprise Edition (EE) に影響するものであり、2026年10月21日の時点で修正版が公開されている。

FortiGate／FortiWeb／GlobalProtect の侵害リスク：認証情報窃取やデータ流出を確認

Hackers Are Breaking Into FortiGate, FortiWeb and Palo Alto GlobalProtect Systems to Steal Passwords

2026/10/22 CyberSecurityNews — インターネットに公開されたファイアウォールや VPN システムが、認証情報の窃取と企業ネットワークへの継続的なアクセスを目的とする攻撃キャンペーンの標的となっている。この活動では、Fortinet の FortiGate と FortiWeb、Palo Alto Networks の GlobalProtect ポータルが狙われており、侵入後の攻撃者により、デバイスの設定情報に保存されたパスワードが収集され、それらの認証情報を悪用し、ネットワーク内部でのアクセス範囲を拡大する恐れがある。

Cisco Expressway の CVE-2026-76466：未認証の攻撃者による root 権限の取得リスク

Critical Cisco Expressway Flaw Lets Attackers Execute Commands as Root

2026/10/22 gbhackers — Cisco が公開したのは、Expressway シリーズに存在する深刻度の高い脆弱性 CVE-2026-76466 に対処するセキュリティ・アップデートである。この脆弱性の CVSS v3.1 基本スコアは 9.8 であり、クラスタ構成で運用される Expressway 環境に影響するほか、未認証のリモート攻撃者が root 権限で任意の OS コマンドを実行できる可能性がある。

FortiOS／FortiManager／FortiAnalyzer におけるパッチ適用スケジュール：顧客に求められる速やかな対応

Fortinet Urges Customers to Patch Critical Flaws Affecting FortiOS, FortiManager, and FortiAnalyzer

2026/10/22 CyberSecurityNews — Fortinet は顧客に対して、2026年10月22日に公開予定の FortiOS／FortiManager／FortiAnalyzer 向けセキュリティ・アップデートを優先して適用するよう呼びかけている。今回の一斉リリースに含まれるのは、AI を活用したセキュリティ・テストにより発見された、深刻度が Critical／High の脆弱性への修正である。インターネットからアクセス可能なデバイスを最優先で対応すべきだと、同社は強く求めている。

Apache Tomcat に 8 件の脆弱性：認証回避やユーザーデータ漏えいの恐れ

Apache Tomcat Security Flaws Allow Attackers to Bypass Authentication and Expose User Data

2026/10/21 gbhackers —

Apache Software Foundation が公開したのは、Tomcat に存在する 8 件の脆弱性に関する情報である。このうちの 3 件は深刻度 High、5 件は Low と評価されており、影響を受けるバージョン系列に応じて、Tomcat 11.0.27／10.1.61／9.0.123 で修正されている。これらの脆弱性が悪用されると、認証回避、ユーザー間のデータ漏えい、不適切なソケットアクセス、暗号化設定の不備などにつながる恐れがある。

Node.js の 10件の脆弱性が FIX：TLS／ DNS／Brotli などの深刻な問題に対応

Node.js Releases Security Updates to Fix High-Severity TLS, DNS and Brotli Vulnerabilities

2026/10/21 CyberSecurityNews — Node.js が公開したのは、DNS の名前解決／TLS 証明書の検証／Brotli の解凍に影響する深刻度 High の 4 件の脆弱性を含む、計 10 件の脆弱性に対処する 26.x／24.x／22.x の各ブランチ向けのセキュリティ・アップデートである。提供されたリリース情報によると、最も深刻な潜在的影響は Brotli デコーダを介したリモート・コード実行 (RCE) であり、修正済みバージョンは 26.12.1／24.22.1／22.23.4 である。

Oracle の 2026年10月の Critical Patch Update：1,295 の脆弱性に対応

Oracle Releases 1,295 Security Patches to Fix Critical Vulnerabilities Across Multiple Products

2026/10/21 gbhackers — Oracle が公表した 2026年10月の Critical Patch Update (CPU) において、エンタープライズ製品全体を対象とする 1,295 件のセキュリティ・パッチが提供された。今回のアドバイザリは、Oracle ソフトウェアの脆弱性に加え、サードパーティ製コンポーネントの脆弱性にも対処している。未認証のリモート攻撃者が悪用できる、緊急度の高い脆弱性が含まれている点に注意する必要がある。影響を受ける製品には、データベース／ミドルウェア／業務アプリケーション／Java／MySQL／仮想化プラットフォームなどが含まれる。

Fortinet FortiSIEM の脆弱性 CVE-2026-106173：未認証 RCE の PoC が登場

Fortinet FortiSIEM RCE Vulnerability Gets Public Exploit That Requires No Login

2026/10/21 CyberSecurityNews — Fortinet FortiSIEM に存在する緊急度の高い脆弱性 CVE-2026-106173 に対して、公開された概念実証コード (PoC) が提供された。この脆弱性を悪用する未認証のリモート攻撃者は、ファイルを書き込み、コード実行を引き起こす可能性がある。この脆弱性は FortiSIEM 7.5.0 に影響する。すでに Fortinet は、バージョン 7.5.1 で修正を提供しており、バージョン 7.6 は影響を受けないと、公開されたアドバイザリに記されている。2026年10月13日に Fortinet は、FortiGuard に関するセキュリティ・アドバイザリを公開し、この脆弱性について詳述している。その後、Horizon3.ai が、技術的な調査結果と PoC エクスプロイトを GitHub で公開した。

PHP の RCE 脆弱性 2 件を watchTowr が報告：Web サーバにリスクをもたらす恐れ

Two Critical PHP RCE Vulnerabilities With CVSS 9.2 Score Put Web Servers at Risk

2026/10/21 gbhackers — PHP セキュリティチームが公表したのは、CVSS v4.0 で 9.2 と評価された 2 件の緊急度の高い脆弱性に対処するための、セキュリティ・アップデートの計画である。2026年10月20日付けのアドバイザリが、管理者に対して強く推奨するのは、アップデートが公開され次第、速やかに適用できるよう準備しておくことである。その一方で watchTowr が、リモート・コード実行 (RCE) につながる可能性のある 2 件の脆弱性を報告しているが、現時点において PHP メンテナー側は、これらの脆弱性の識別子や技術的な詳細を確認していない。

CISA が SafePay の攻撃活動について警告：MFAやネットワーク分割などの対策を推奨

CISA Warns SafePay Ransomware Has Hit 600+ Organizations and Destroyed Backup Systems

2026/10/21 gbhackers — SafePay ランサムウェアの攻撃者が、各種の重要インフラ分野における 600 以上の組織を侵害し、データの窃取や暗号化に成功しただけでなく、復旧を妨害するためにバックアップ・システムも意図的に破壊していると、CISA が警告している。2026年10月20日に公開されたアドバイザリでは、2024年8月以降、北米／南米／欧州／オーストラリアで展開されてきた攻撃活動が説明されている。このアドバイザリは、FBI／米国シークレットサービス／ドイツと英国の法執行機関と共同で公開され、2026年8月までに収集された調査結果が盛り込まれている。

GitHub のリポジトリ 790 件で被害：クラウド証明書や AI API キーを窃取する GhostAction

Hackers Hijack 790 GitHub Repositories to Steal Cloud Credentials and AI API Keys

2026/10/20 CyberSecurityNews — GhostAction と呼ばれる攻撃キャンペーンによって、790 件の GitHub リポジトリに悪意のある GitHub Actions ワークフローが配置され、クラウドの認証情報／ソフトウェア公開用トークン／AI サービスの API キーが漏洩するリスクが生じている。この 790 件という数字は、2026年10月9日までの公開情報から OpenSourceMalware が検証したリポジトリの件数である。つまり、すべてのリポジトリにおいて、認証情報の漏洩などの被害が確認されたわけではない。

Snowflake の PostgreSQL を介したサーバ権限奪取：問題の連鎖が生み出す攻撃経路

Researchers Hack Snowflake PostgreSQL Database to Gain Full Server-Level Code Execution

2026/10/19 gbhackers — Snowflake が管理する PostgreSQL のセキュリティ・テストにより判明したのは、権限が制限されたデータベース・ロールを悪用することで、データベースが稼働するサーバの制御権を奪われる可能性があることだ。研究者たちが実証したのは、PostgreSQL に組み込まれた複数の機能を連鎖的に利用することで、オペレーティング・システムのコマンドを実行できることだ。Snowflake は、SQL を介したコマンド実行やファイル・アクセスといった、一般的な手段をブロックしていたが、これらの制限を回避する経路が存在していた。

NSA／CISA／NIST が AI エージェントに共同セキュリティ・ガイドラインを公表：人間による監督の維持を重視

NSA, CISA and NIST Release New Security Guidelines to Detect and Shut Down Rogue AI Agents

2026/10/19 CyberSecurityNews — NSA／CISA／NIST が公表したのは、承認されたタスクの範囲を超えて動作する AI エージェントに対する、検出、封じ込め、停止のための共同セキュリティ・ガイドラインである。この任意のガイダンスは 2026年10月16日に公表され、超知能の訓練および評価中に発生するインシデントを管理するための、10 の実践事項を定めている。重点が置かれているのは、人間による監督の維持である。

Microsoft における AI エージェントの制御：潜在的な内部脅威として扱うための構想とは？

Microsoft Says AI Agents Cannot Be Trusted and Could Become Insider Security Threats

2026/10/19 CyberSecurityNews — Microsoft は企業や組織に対して、AI エージェントを潜在的な内部脅威として扱うよう警告している。その理由は、AI エージェントが自動的に悪意を持つからではなく、企業のデータ／アプリケーション／ツールにアクセスし、その権限を利用することで、高速に操作を実行する能力を備えているためである。この警告が公表されたのは 2026年10月19日であるが、現時点における多くの企業は、コードの作成／文書のレビュー／経費精算などの業務で、AI エージェントを活用している状況にある。

Drupal の脆弱性 CVE-2026-108097／108099 が FIX：Core と Entity List の RCE

Drupal patches critical RCE flaws, warns exploits may emerge soon

2026/10/17 BleepingComputer — Drupal に存在する、2 件のリモート・コード実行 (RCE) の脆弱性が修正された。このオープンソース CMS の問題は、Drupal コアの Field UI と、追加モジュールの Entity List に存在する。それぞれの脆弱性は、CVE-2026-108097 と CVE-2026-108099 として識別されており、特定の追加モジュールやカスタム・コードとの組み合わせによって、認証なしで悪用できる攻撃経路を生み出すという。

OpenCode で発生したセキュリティ侵害：OpenAI／Anthropic などの API キー漏洩の可能性

OpenCode Security Breach Exposes Third-Party API Keys of its Console Users

2026/10/17 CyberSecurityNews — AI コーディング・ツールを提供する OpenCode が公表したのは、Console ユーザーの 1.4% に影響するセキュリティ侵害に関する情報である。影響を受けたユーザーのワークスペースに保存されていた、OpenAI や Anthropic などの外部 AI プロバイダーの API キーが漏洩した可能性があるという。10月17日に公開した声明で OpenCode は、今回のインシデントが大規模な AI モデル蒸留攻撃 (Distillation Attack) に関連していると説明した。同社は、Anthropic／OpenAI／Google と協力しながら、問題への対応を進めている。

WordPress コアに対する攻撃チェーン WP2Shell：2つの脆弱性の連鎖による RCE

Critical WordPress Flaws Allow Attackers to Execute Remote Code Without Authentication

2026/10/17 gbhackers — WordPress のコア機能に存在する 2件の脆弱性を組み合わせることで、認証を必要とせずにリモートコード実行 (RCE) へ到達できる攻撃チェーンが報告された。この WP2Shell と呼ばれる攻撃チェーンは、REST API のルーティング処理に関する問題と SQL インジェクションを組み合わせて悪用するものだと、セキュリティ企業 Seqrite の研究者 Amruta Wagh は説明している。WP2Shell は 2026年7月に確認されたとされており、攻撃者は有効な WordPress の認証情報を必要とせずに、公開されている API エンドポイントを起点としてサーバを侵害する可能性がある。報告された攻撃チェーンは、WordPress 6.9.0～6.9.4 および 7.0.0～7.0.1 に影響する。

Magento の深刻な脆弱性 BlockStrap CVE-2026-103849：大規模な攻撃キャンペーンの可能性を Sansec が警告

Critical BlockStrap flaw lets hackers run code on Magento servers

2026/10/16 BleepingComputer — Magento Open Source／Adobe Commerce に存在する深刻度の高い脆弱性 CVE-2026-103849 が、サイバー攻撃で悪用される可能性があると、EC サイト向けセキュリティ企業 Sansec が警告している。この BlockStrap と呼ばれる脆弱性を悪用する攻撃者は、EC サイトのサーバ上で任意の PHP コード実行を引き起こす恐れがある。Sansec によると、現時点では BlockStrap を悪用した実際の攻撃は確認されていない。しかし、すでに研究者たちは 4 つの潜在的な攻撃経路を特定しており、攻撃者が悪用方法を発見するのは時間の問題だと予測している。

Google Chrome 10件の脆弱性が FIX：Critical 1件／High 6件／Medium 3件を修正

Google Chrome 155 Patches Critical Use-After-Free Flaw and Nine Additional Security Bugs

2026/10/16 gbhackers — 2026年10月15日に Google が Stable チャネルで公開したのは、Chrome の 10件のセキュリティ脆弱性を修正する Chrome 155 のリリースである。今回のアップデートでは、ページの事前読み込み機能 Prerender に存在する、深刻度 Critical の脆弱性 CVE-2026-110922 が修正されている。この脆弱性は、解放済みメモリを使用する Use-After-Free (UAF) に起因するものであり、悪用に成功すると、攻撃者によって、メモリ破損やコード実行が引き起こされる恐れがある。すでに Google は、修正済みバージョンの配信を開始しており、今後、数日から数週間かけて順次展開すると説明している。

GitLab のゼロデイ脆弱性 CVE-2026-97229 が FIX：RCE の PoC コードも登場

PoC Exploit Released for Critical GitLab RCE Vulnerability (CVE-2026-97229)

2026/10/16 CyberSecurityNews — GitLab の CI/CD 機能に存在する深刻な脆弱性 CVE-2026-97229 に対して、セキュリティ研究者の Jonah Burgess が概念実証 (PoC) コードを公開した。この脆弱性は、CI/CD の正規表現コンパイラで発生する整数オーバーフロー欠陥であり、悪用された場合には、脆弱な GitLab サーバ上での任意のコマンド実行に至る可能性がある。GitLab は、この問題を Critical に分類し、CVSS スコア 10.0 と評価している。エクスプロイト・コードがすでに一般公開されているため、未修正の組織は速やかに対応する必要がある。

MITRE ATT&CK v20 が公開：AI を悪用するプロンプト・インジェクションやデータ窃取に対応

MITRE ATT&CK v20 Adds New AI Attack Techniques for Prompt Injection and Data Theft

2026/10/16 gbhackers — 2026年10月13日に MITRE は、サイバー攻撃者の戦術／技術／手順 (TTP) を体系化するフレームワーク MITRE ATT&CK の、ATT&CK v20 を公開した。今回のアップデートでは、プロンプト・インジェクション／AI を悪用する情報流出／AI の処理結果を汚染する攻撃といった、AI に関連する攻撃手法が Enterprise 領域に初めて追加されている。また、Enterprise／Mobile／ICS (Industrial Control System) などの領域をカバーするかたちで、攻撃手法／攻撃グループ／キャンペーン／ソフトウェアに関する情報が更新されている。

Progress MOVEit Transfer の 12 件の脆弱性が FIX：認証バイパスや権限昇格などの恐れ

Progress Warns of MOVEit Transfer Vulnerabilities Allowing Authentication Bypass and Privilege Escalation

2026/10/16 gbhackers — Progress Software が公表したのは、マネージド・ファイル転送 (MFT) プラットフォーム MOVEit Transfer に存在する、12 件のセキュリティ脆弱性に関する情報と修正版のリリースである。これらの脆弱性には、認証回避／セッション乗っ取り／管理者権限の取得につながる問題が含まれる。同社は 2026年10月15日に公開した「2026年9月の重大なセキュリティ情報」で、顧客に速やかなアップグレードを求めている。

Adobe Acrobat の脆弱性 CVE-2026-81983 と PoC：悪意のある PDF を開くだけでコード実行

Critical Adobe Acrobat Flaw Lets Malicious PDFs Trigger One-Click Memory Corruption

2026/10/16 CyberSecurityNews — Adobe Acrobat／Reader に存在する深刻な脆弱性 CVE-2026-81983 を悪用する攻撃者は、悪意のある PDF を開かせるだけでコード実行を引き起こせるという。すでに Adobe は、このメモリ破損を引き起こす脆弱性を修正している。この脆弱性の原因は、境界外書き込み (Out-of-Bounds Write) にあり、CVSS スコアは 7.8 と評価されている。攻撃に成功すると、被害者のユーザー権限で任意のコードが実行される可能性があるが、現時点で実際の攻撃における悪用事例は確認されていないと、Adobe は述べている。

ランサムウェア被害組織の 84％が AI 関与の攻撃を報告：87％が ID 基盤への攻撃を経験

AI Used in 84% of Ransomware Attacks as Identity Infrastructure Comes Under Fire.

2026/10/15 gbhackers — ランサムウェア攻撃の被害を受けた組織を対象とする調査において、84% が AI の関与した攻撃を経験し、87% が ID 基盤を標的とする攻撃を報告したことが明らかになった。これらの結果が示すのは、AI によるサイバー犯罪の高度化と、企業の認証／認可を支える ID 基盤のセキュリティ上の課題が密接に関係している状況である。この調査は、9 カ国／8 業種に属する 1,200 人の IT／セキュリティ専門家を対象に実施された。ただし、調査対象はランサムウェア攻撃が成功し、実際に業務の中断が発生した組織に限定されている。

Cisco Secure Email Gateway のゼロデイ脆弱性 CVE-2026-76519：実環境の攻撃で悪用を確認

Cisco Secure Email Gateway 0-Day Vulnerability Actively Exploited in Attacks

2026/10/15 CyberSecurityNews — メールセキュリティ製品 Cisco Secure Email Gateway に存在する深刻なゼロデイ脆弱性 CVE-2026-76519 (CVSS 9.8) が、実際のサイバー攻撃で悪用されていると、Cisco が警告している。メールに添付される特別に細工されたファイルを添付したメールを送信する攻撃者は、認証を必要とせずに影響を受けるアプライアンス上で root 権限を取得する可能性がある。

Citrix XenServer の脆弱性 4 件が FIX：ホストシステムの侵害やクラッシュにつながる恐れ

Citrix Patches XenServer Vulnerabilities That Could Enable Host Compromise

2026/10/15 gbhackers — Citrix が公開したのは、XenServer 8.4／XenServer 9 に存在する複数の脆弱性を修正するセキュリティ更新プログラムである。今回修正された 4 件の脆弱性のうち 3 件は、ゲスト仮想マシン (VM) 内で管理者権限を持つ悪意のユーザーに悪用されると、基盤となるホストシステムの侵害やクラッシュにつながる恐れがある。Cloud Software Group は、一連のセキュリティ情報の深刻度を High と評価している。

Palo Alto PAN-OS の 0-day 脆弱性 CVE-2026-0322 が FIX：サイバー攻撃での悪用を確認

Hackers Exploit Palo Alto PAN-OS 0-day Flaw to Gain Root Code Execution on Firewalls

2026/10/15 CyberSecurityNews — Palo Alto Networks のファイアウォール向けの PAN-OS に存在する、深刻度 High の脆弱性が、実際のサイバー攻撃で悪用されていることが明らかになった。PAN-OS の管理インターフェイスに存在する、この脆弱性 CVE-2026-0322 を悪用する認証済みの攻撃者は、影響を受けるファイアウォール上で、root 権限で任意のコードを実行できる可能性がある。Palo Alto Networks が明らかにしているのは、実際の悪用が限定的なものである点だが、顧客に対して可能な限り早急に修正プログラムを適用するよう呼びかけている。

Next.js の脆弱性 CVE-2026-96889 などが FIX：SVG 画像処理を介した RCE

Critical Next.js SVG Image Processing Vulnerability Could Enable Remote Code Execution

2026/10/15 gbhackers — Vercel が公開したのは、Next.js に存在する 2件の Critical なリモート・コード実行 (RCE) の脆弱性と、1件の深刻度 High のサービス拒否 (DoS) の脆弱性を修正する、定例外のセキュリティ・アップデートである。Vercel が公開したセキュリティ情報によると、今回のアップデートは、先週発表されたものであり、2026年9月のセキュリティ・リリースで漏れていた 2 件の修正も含むという。上流の依存ライブラリ側で対応が遅れたことで、これらの修正の公開が延期されていたという。

Fortinet FortiClient EMS の脆弱性 CVE-2026-35616：認証／認可バイパスの PoC が登場

PoC Released for Critical Fortinet FortiClient EMS Authentication Bypass Vulnerability

2026/10/15 CyberSecurityNews — Fortinet の FortiClient Endpoint Management Server (EMS) に存在する、認証と認可を回避できる脆弱性 CVE-2026-35616 に対して、実証コード (PoC) が公開された。セキュリティ担当者は、この実証コードを使用して自組織のシステムが脆弱性の影響を受けるか検証できる。CVE-2026-35616 を悪用する攻撃者は、通常は保護されている API エンドポイントに対して、認証をバイパスするかたちでアクセスする可能性がある。すでに Fortinet は、この脆弱性が実際の攻撃で悪用されたことを確認している。そのため、影響を受けるバージョンを運用する組織には、速やかな修正プログラムの適用が求められる。

Burger King Japan で情報漏えい：公式アプリの会員 1,118万人への不正アクセス

Burger King Japan Confirms Data Breach Exposing 11.18M User Records

2026/10/15 CyberSecurityNews — バーガーキング・ジャパンは、公式アプリの会員情報に関連する約 1,118 万件のデータが漏えいしたことを認めた。日本国内でバーガーキングを運営する BK Japan は、アプリの会員情報を管理するシステムに、外部の第三者が不正アクセスしたと発表した。同社は 2026年10月15日にこのインシデントを公表し、不正アクセスが 10月2日から 7日にかけて発生し、10月13日の時点で情報漏えいを確認したという。

SonicWall NSM のCVE-2026-96540／100232 が FIX：管理者権限奪取と OS コマンド実行の恐れ

SonicWall NSM Bugs Let Attackers Intercept Communications and Execute Commands

2026/10/15 gbhackers — SonicWall が公表したのは、オンプレミス版の Network Security Manager (NSM) に存在する 2 件の脆弱性に関する情報である。これらを悪用する認証済みの攻撃者は、権限昇格を達成し、他のユーザーの通信を傍受したり、OS コマンドを実行したりする可能性がある。同社は 2026年10月14日に、セキュリティ・アドバイザリ SNWLID-2026-0018 を公開し、2 件のうち深刻度が高い脆弱性について、CVSS v3.1 で 8.8 (High) と評価している。

欧州の銀行で発生した攻撃：サードパーティが管理するゲートウェイを介した WSUS 侵害試行

Attackers Breach European Bank Through Third-Party Gateway and Target WSUS Server

2026/10/14 CyberSecurityNews — 欧州の銀行が明らかにしたのは、セキュリティ対策が不十分なサードパーティ管理のゲートウェイを経由して攻撃者が侵入し、Windows Server Update Services (WSUS) インフラの脆弱性を悪用しようとしたことだ。この銀行のセキュリティ・チームは、中央 IT システムで不審な活動を検知したことをきっかけに、数カ月間にわたる VPN への不正なアクセス試行を発見した。調査の結果、厳格な認証が実施されていなかったサードパーティ管理のゲートウェイが侵入経路と判明した。

Zoom Workplace の情報漏えいの脆弱性 CVE-2026-108185：Windows／macOS／Linux／Android／iOS に影響

Zoom Certificate Validation Vulnerability Allows Attackers to Access Sensitive Information

2026/10/14 gbhackers — Zoom が公表したのは、複数の Zoom Workplace クライアントに影響を及ぼす、My Notes 機能における高深刻度の脆弱性 CVE-2026-108185 に関する情報である。この脆弱性がネットワーク経由で悪用された場合、未認証の攻撃者によって、機密情報が漏えいする可能性がある。2026年10月13日に公開されたセキュリティ情報「ZSB-26022」では、Windows／macOS／Linux／Android／iOS の各プラットフォーム上の影響を受けるバージョンが示され、修正済みソフトウェアへの更新が推奨されている。

Linux vhost の脆弱性 CVE-2026-74580：root 権限昇格と VM エスケープの PoC が公開

PoC Released for Linux Vhost Flaw Enabling Root Privilege Escalation and VM Escape

2026/10/14 CyberSecurityNews — Linux カーネルの vhost に存在する脆弱性 Vghost (CVE-2026-74580) に対して、概念実証 (PoC) が公開された。この脆弱性を悪用するローカル・ユーザーは、root 権限を取得する可能性があるほか、特定の仮想マシン構成では、ゲスト環境から脱出してホスト側に影響を及ぼす恐れがある。CVE-2026-74580 の CVSS v3.1 スコアは 8.8 (High) であり、更新された Linux カーネルで修正されている。

Ivanti Connect Secure の脆弱性 CVE-2026-104935 が FIX：認証なしのコマンド実行の可能性

Ivanti Connect Secure CVE-2026-104935 Flaw Enables Unauthenticated Remote Code Execution

2026/10/14 gbhackers — Ivanti が公開したのは、Ivanti Connect Secure (ICS) に存在する認証バイパスの脆弱性 CVE-2026-104935 を修正するセキュリティ・アップデートである。この脆弱性を悪用する未認証のリモート攻撃者は、任意のコマンド実行を引き起こす可能性がある。2026年10月13日の公表時点で Ivanti は、少数の顧客環境での悪用を確認していた。すでに修正済みバージョンは提供されており、影響を受けるアプライアンスを運用している組織に求められるのは、早急なアップグレードである。

curl 8.23.0で複数の脆弱性が FIX：認証情報の漏えいやサービス停止の恐れ

24 Security Vulnerabilities Patched in curl Used Across 30 Billion Installations

2026/10/14 CyberSecurityNews — 2026年10月14日に curl プロジェクトが公表したのは、広く利用されているデータ転送ツール curl と、その基盤ライブラリである libcurl に影響を及ぼす、24 件のセキュリティ問題を修正する curl 8.23.0 のリリースである。今回修正された脆弱性には、認証情報の漏えい／認証処理の不具合／コマンド・インジェクションなどに加えて、アプリケーションの動作を妨げる問題などが含まれる。また、curl 8.23.0 では、SMB／SMBS プロトコルのサポートが削除されているため、導入前に既存システムとの互換性を確認することが重要となっている。

NGINX の脆弱性 CVE-2026-97205／93479／15176 が FIX：サーバ・クラッシュやコード実行の恐れ

Multiple NGINX Flaws Let Remote Attackers Crash Servers and Execute Malicious Code

2026/10/14 CybersScurityNews — F5 が公表したのは、NGINX Plus／NGINX Open Source に存在する 3 件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性を悪用する未認証のリモート攻撃者は、細工した HTTP リクエストを送信し、ワーカープロセスをクラッシュさせる可能性がある。特定の構成では、これらのメモリ処理に関する不具合がコード実行につながる可能性もある。ただし、F5 によると、そのための前提として、アドレス空間配置のランダム化 (Address Space Layout Randomization：ASLR) の無効化と ASLR バイパスが条件となる。