IoT OT Security News

TP-Link Router の脆弱性 CVE-2023-33538：EOL 狙いの Mirai 亜種配布を検知

TP-Link Routers Hit by Mirai in CVE-2023-33538 Attacks

2026/04/17 gbhackers — 脆弱な TP-Link 家庭用ルーターを標的とするスキャン活動において、古い脆弱性を悪用する攻撃者が、Mirai 亜種のマルウェアを自動的に配布している。現時点におけるエクスプロイト試行には実装ミスが存在するが、脆弱性 CVE-2023-33538／デフォルト認証情報／EOL ファームウェアの連鎖により、ユーザーは危険な状態に陥ると、Palo Alto Unit 42 の研究者たちが警告している。

CISA KEV 警告 26/04/16：ActiveMQ の脆弱性 CVE-2026-34197 を KEV に登録

CISA Warns of Apache ActiveMQ Input Validation Vulnerability Exploited in Attacks

2026/04/17 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Apache ActiveMQ に存在する Critical なセキュリティ欠陥に対して緊急警告を発出した。2026年04月16日に同機関は、脆弱性 CVE-2026-34197 を Known Exploited Vulnerabilities (KEV) カタログへ正式に登録した。

Microsoft Defender の脆弱性 CVE-2026-33825：非調整型の PoC 公開

New PoC Exploit Published for Microsoft Defender 0-Day Flaw

2026/04/16 gbhackers — Microsoft Defender の脆弱性に対する Proof-of-Concept (PoC) エクスプロイトを、Chaotic Eclipse という名で活動するセキュリティ研究者が公開した。2026年04月15日に公開されたエクスプロイトは、2026年4月の Patch Tuesday で修正された脆弱性 CVE-2026-33825 に対するものである。この非調整型の公開が浮き彫りにするのは、Microsoft の脆弱性開示プログラムと独立系セキュリティ研究者との間に存在する対立構造の激化である。

Nginx-UI の脆弱性 CVE-2026-33032 が FIX：MCP 接続エンドポイントの認証欠落

Nginx-UI Flaw Actively Exploited to Enable Full Server Takeover

2026/04/16 gbhackers — Nginx 管理用 Web インターフェイスである nginx-ui で発見された深刻な脆弱性が、現在進行形の攻撃で積極的に悪用されている。脆弱性 CVE-2026-33032 (CVSS：9.8：Critical) を悪用するリモート攻撃者は、パスワードや認証情報を一切必要とせずに、サーバを完全に乗っ取ることが可能になる。単一の保護されていない HTTP エンドポイントが存在するだけで、攻撃者は数秒でシステム全体を侵害できると、この脆弱性を発見／報告した Pluto Security のサイバー・セキュリティ研究者は指摘している。

Chrome の Critical 脆弱性 5 件が FIX：サンドボックス回避による RCE などの可能性

Critical Chrome Vulnerabilities Let Attackers Execute Arbitrary Code – Update Now!

2026/04/16 CyberSecurityNews — Google が公開した Chrome ブラウザの重要なセキュリティ・アップデートは、システムを深刻なサイバー脅威に晒す可能性のある、31 件の脆弱性に対応するものだ。最も深刻な 5 件の Critical 脆弱性は、対象システム上での任意のコード実行を可能にするため、すべてのユーザーに求められるのは、2026年04月15日に公開された Stable Channel アップデートの適用となる。

Cisco ISE／ISE-PIC の脆弱性 CVE-2026-20147 が FIX：認証済みフル RCE の恐れ

Critical Cisco ISE Flaws Let Remote Attackers Execute Malicious Code

2026/04/18 gbhackers — Cisco が公開したのは、Identity Services Engine (ISE) および ISE Passive Identity Connector (ISE-PIC) に影響を及ぼす、新たな 2 件の脆弱性に対する緊急セキュリティ・アドバイザリである。2 つの脆弱性のうちで最も深刻なものは、認証済みのリモート攻撃者に対して完全なリモートコード実行 (RCE) を許し、影響を受けるインフラの完全な侵害を引き起こす。

自律型 LLM ブラウザがもたらす攻撃面：Comet／Atlas／Copilot／Leo の特性を分析

Agentic LLM Browsers Open New Front in Prompt Injection, Data Theft

2026/04/15 gbhackers — 自律型 LLM ブラウザにより、日常的なブラウジングが自動化された AI 駆動ワークフローへと変換されていくが、それと同時に、新たで強力なプロンプト・インジェクションとデータ窃取の攻撃面を露出させる。AI にブラウザ操作を委任し、セッション／クッキー／権限を全面的に利用させることで、従来の XSS のような脆弱性はエージェント乗っ取りやクロスサイト侵害へとエスカレートする。

PHP Composer の脆弱性 CVE-2026-40176／40261 が FIX：任意のコマンド実行の可能性

New PHP Composer Vulnerability Let Attackers Execute Arbitrary Commands

2026/04/15 CyberSecurityNews — PHP Composer が公開したのは、2件のコマンド・インジェクションの脆弱性 CVE-2026-40176／CVE-2026-40261 に対処するための緊急セキュリティ・アップデートである。PHP Composer は世界中の開発者に利用される依存関係管理ツールであるため、コード実行に関わる脆弱性は極めて深刻な存在となる。Perforce Version Control System (VCS) ドライバの脆弱性を悪用する攻撃者は、被害者のマシン上で任意のコマンド実行を可能にする。

Active Directory の脆弱性 CVE-2026-33826 が FIX：隣接ネットワーク経由での RCE

Windows Active Directory Flaw Opens Door to Malicious Code Execution

2026/04/15 gbhackers — Microsoft が明らかにしたのは、Windows Active Directory 内に存在するクリティカルなセキュリティ脆弱性により、エンタープライズ・ネットワークに深刻なリスクが生じる可能性である。この脆弱性 CVE-2026-33826 を悪用する認証済みの攻撃者は、隣接ネットワーク経由でのリモートコード実行を可能にする。すでに 2026年4月の Patch Tuesday で修正され、Critical と評価されているため、ネットワーク管理者およびセキュリティ・チームは即時対応を優先すべきである。

Windows BitLocker の脆弱性 CVE-2026-27913 が FIX：ローカル攻撃者による Secure Boot 回避

Windows BitLocker Vulnerability Allows Attacker to Bypass Security Feature

2026/04/15 CyberSecurityNews — Microsoft が明らかにしたのは、Windows BitLocker に存在する深刻な脆弱性に対するセキュリティ・アップデートである。このセキュリティ機能バイパスに分類される脆弱性 CVE-2026-27913 は、セキュリティ研究者 Alon Leviev が Microsoft STORM チームと共同で発見したものであり、2026年4月の Patch Tuesday で修正されている。

AI エクステンションのリスクが顕在化：急激な拡大と過剰な権限がセキュリティに盲点を生む

Over Permissive and Proliferating, AI-Driven Browser Extensions Create Security Blindspots

2026/04/15 SecurityBoulevard — AI エクステンションが、既知の脆弱性を抱え込む可能性は 60% であり、クッキーへアクセスする可能性は平均の 3 倍に達することが、LayerX Security の Enterprise Browser Extension Security Report 2026 で明らかになった。また、AI エクステンションがリモート・スクリプトを実行する可能性も高いことが、100万台以上のエンタープライズ・デバイスのデータ分析で確認された。

Google／Microsoft／Meta のプライバシー違反：オプトアウト後のユーザー・トラッキングに批判

Google, Microsoft, Meta Accused of Tracking Users Even After Privacy Opt-Out

2026/04/15 gbhackers — Google／Microsoft／Meta などの主要テクノロジー企業によるユーザー追跡が、データ共有に対する明示的なオプトアウト後も継続していることが、プライバシー技術企業 webXray による独自監査により明らかになった。この結果が示唆するのは、California Consumer Privacy Act (CCPA) に対する産業規模での大規模な非準拠であり、これら企業および Web サイト運営者に対して、数十億ドル規模の法的責任リスクが生じる可能性がある。この調査により判明したのは、ユーザーがプライバシー保護機能を有効化した後も、Web サイトの 55 % が広告クッキーを設定し続けていたことだ。

Adobe Acrobat／Reader の脆弱性 CVE-2026-34622／34626 が FIX：任意コード実行の恐れ

Adobe Acrobat Reader Vulnerabilities Let Attackers Execute Arbitrary Code

2026/04/15 CyberSecurityNews — Adobe が公開したのは、Windows／macOS 向けの Adobe Acrobat／Reader に存在する、2 件の脆弱性 CVE-2026-34622／CVE-2026-34626 に対処する重要なセキュリティ・アドバイザリである。公式アドバイザリによると、これらの脆弱性の悪用に成功した攻撃者は、標的システム上での任意のコード実行または任意のファイル読み取りを可能にする。

WordPress 正規プラグインを介した攻撃：8 ヶ月間にわたり検知を回避したバックドア

Trusted WordPress Plugins Hijacked in 8-Month Stealth Backdoor Campaign

2026/04/15 gbhackers — 30 以上の人気 WordPress プラグインにリモート・コード実行 (RCE) バックドアを密かに仕込んだハッカーたちが、約 8 ヶ月間の休眠後にマルウェアを起動して wp-config.php を書き換え、隠蔽 SEO スパムを注入するという、大規模なキャンペーンを展開している。このインシデントは “Essential Plugin” と呼ばれるプラグイン群に関連している。このポートフォリオは、スライダー／カウントダウン・タイマー／FAQ／ギャラリーなどの機能を提供する、30 以上の無料プラグインと有料エクステンションで構成されている。

Microsoft SharePoint Server のゼロデイ脆弱性 CVE-2026-32201：実環境での悪用を確認

Microsoft SharePoint Server 0-Day Vulnerability Actively Exploited in Attacks

2026/04/15 CyberSecurityNews — 2026年4月の Patch Tuesday で Microsoft が認めたのは、SharePoint Server に存在する深刻なゼロデイ脆弱性 CVE-2026-32201 (CVSS 6.5：Important) が、実環境におけるスプーフィング (成りすまし攻撃) で積極的に悪用されていることだ。この脆弱性が影響を及ぼす範囲は SharePoint Server の複数バージョンであり、CVSS ベーススコアは 6.5 (Important) と評価されている。

etcd の認証バイパス脆弱性 CVE-2026-33413：機密クラスタ API への不正アクセス

Critical etcd Vulnerability Allows Unauthorized Access to Sensitive Cluster APIs

2026/04/14 gbhackers ‐‐‐ 世界中のバックエンド・システムの基盤として多用されている分散型キー・バリュー・ストアである etcd に存在する、深刻な認証バイパス脆弱性 CVE-2026-33413 (CVSS：8.8) を、Strix が開発した自律型 AI セキュリティ・エージェントが発見した。この欠陥を悪用する未認証／権限不足のユーザーは、特権が必要なクラスタ操作を実行可能となる。このアクセス制御の不備を完全自律で特定した Strix は、PoC 環境を自動構築してエクスプロイトを検証した後に、メンテナへ通知した。

Fortinet の 11 件の脆弱性が FIX：FortiSandbox／FortiOS／FortiAnalyzer／FortiManager に影響

Fortinet Patches 11 Vulnerabilities Across FortiSandbox, FortiOS, FortiAnalyzer, and FortiManager

2026/04/14 CyberSecurityNews — 2026年4月14日に Fortinet が公表したのは、11 件の脆弱性に対応する包括的なセキュリティ・アドバイザリであり、その内訳は Critical が 2 件、High が 2 件、Medium および Low が 7 件となっている。これらの脆弱性が影響を及ぼす範囲は、FortiSandbox／FortiAnalyzer／FortiManager／FortiOS／FortiProxy／FortiPAM／FortiSwitchManager である。エンタープライズ管理者に対して強く求められるのは、優先的かつ即時のパッチ適用である。

108 個の悪意の Chrome エクステンション：共有 C2 インフラによる大規模キャンペーンを発見

Hackers Use 108 Chrome Extensions to Steal User Data Through Shared C2 Infrastructure

2026/04/14 CyberSecurityNews — 悪意の Google Chrome エクステンション 108個を用いる、大規模なサイバー・スパイ・キャンペーンが確認された。Socket の最新レポートによると、これらのエクステンションは機密ユーザー・データの窃取およびアクティブな Web セッションの乗っ取りを目的として設計されている。この大規模なオペレーションは、攻撃者たちに共有される Command and Control (C2) インフラで管理されている。

Microsoft 2026-04 月例アップデート：2 件のゼロデイを含む 167 件の脆弱性に対応

Microsoft April 2026 Patch Tuesday fixes 167 flaws, 2 zero-days

2026/04/14 BleepingComputer — 今日は 2026年4月の Microsoft Patch Tuesday であり、2件のゼロデイ脆弱性を含む167件の脆弱性に対するセキュリティ・アップデートが公開された。今回の Patch Tuesday では、Critical に分類される脆弱性が 8 件含まれており、そのうちの 7 件はリモートコード実行脆弱性、残りの 1 件はサービス拒否脆弱性である。

SAP の 2026/04 Patch Day：深刻な SQLi の脆弱性 CVE-2026-27681 などを FIX

SAP Patch Day Fixes Critical SQL Injection, DoS, and Code Injection Flaws

2026/04/14 gbhackers — SAP は 2026年4月の Security Patch Day において、19 件の新たなセキュリティ・ノートを公開し、1 件のノートを更新した。SAP Support Portal によると、これらのパッチにより修正されるのは、SQL Injection／サービス拒否 (DoS)／コード・インジェクションなどの脆弱性である。すべての管理者に対して SAP が強く推奨するのは、これらの更新を確認して速やかにパッチを適用し、エンタープライズ・インフラを保護することである。

Ivanti Neurons for ITSM の脆弱性 CVE-2026-4913／4914 が FIX：ユーザーセッション窃取の恐れ

Ivanti Neurons for ITSM Vulnerabilities Allow Remote Attacker to Obtain User Sessions

2026/04/14 CyberSecurityNews ‐‐‐ Ivanti が公開したのは、オンプレミス型 IT サービス・マネジメント・プラットフォーム Ivanti Neurons for ITSM (N-ITSM) に存在する、2 件の脆弱性 CVE-2026-4913／CVE-2026-4914 (Medium) に対処するセキュリティ・アップデートである。これらの脆弱性を悪用する認証済みのリモート攻撃者は、侵入後のアクセス維持／他ユーザーのセッション・データの取得を可能にする。

Synology SSL VPN Client の脆弱性 CVE-2021-47960／47961 が FIX：機密データ漏洩の恐れ

Synology SSL VPN Client Vulnerability Enabled Remote Access to Sensitive Files

2026/04/14 gbhackers — Synology が公開したセキュリティ・アドバイザリ “Synology-SA-26:05” において、同社の SSL VPN Client ユーティリティに存在する 2 件の脆弱性 CVE-2021-47960／47961 が修正された。これらの脆弱性を悪用するリモート攻撃者は、機密システム・ファイルへのアクセスを可能にすることから、セキュアなネットワーク・トラフィックが傍受される恐れがある。

CISA KEV 警告 26/04/13：Adobe／Microsoft／Fortinet の脆弱性 7件を登録

U.S. CISA adds Adobe, Fortinet, Microsoft Exchange Server, and Microsoft Windows flaws to its Known Exploited Vulnerabilities catalog

2026/04/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Adobe／Microsoft／Fortinet の脆弱性を Known Exploited Vulnerabilities (KEV)カタログへ登録した。以下は、今回カタログへ追加された脆弱性である。

CVE-2026-34621：Adobe Acrobat／Reader Prototype Pollution 脆弱性
CVE-2012-1854：Visual Basic for Applications 不正ライブラリロード脆弱性
CVE-2020-9715：Adobe Acrobat Use-After-Free 脆弱性
CVE-2023-21529：Exchange Server 信頼できないデータのデシリアライズ脆弱性
CVE-2023-36424：Windows 境界外読み取り脆弱性
CVE-2025-60710：Windows リンクフォロー脆弱性
CVE-2026-21643：Fortinet SQL Injection 脆弱性

GitHub／Jira の偽公式通知に御用心：シンプルな手口でセキュリティ・ゲートウェイを回避

Hackers Abuse GitHub and Jira Notifications to Deliver Phishing Through Trusted SaaS Channels

2026/04/13 CyberSecurityNews — いまのサイバー犯罪者たちは、開発者や IT チームが最も信頼しているツール自体を武器化している。GitHub と Jira に組み込まれた自動通知機能を悪用する攻撃者たちは、それらプラットフォーム自身のサーバから発信されるメッセージとして、説得力の高いフィッシングメールを配信している。その単純さに、このキャンペーンの危険性が潜んでいる。従来のフィッシングは、送信元アドレスを操作するために偽装などを行うが、セキュリティ・ツールによる検知が可能な場合が多い。

ランサムウェアの現実：金銭目的とハクティビズムと AI 駆動がブレンドされている

Ransomware Lives On, Blending Hacktivism and Crime, Fueled by AI

2026/04/13 SecurityBoulevard — 現在のランサムウェア・グループが好んで用いる二重恐喝が、深刻な被害をもたらしているが、新たに登場した四重恐喝により、標的組織における被害緩和と対応が複雑化し、恐喝支払い金にエスカレーションが生じると懸念されている。しかし、この状況は、法執行機関による大規模な摘発が行われたにもかかわらず、ランサムウェアが進化し続けていることを示す氷山の一角に過ぎない。

Mozilla が Microsoft を公に批判：Windows への Copilot の強引な展開を巡って

Mozilla Criticizes Microsoft for Installing Copilot on Windows Without User Consent

2026/04/13 CyberSecurityNews — Mozilla が Microsoft を公に批判した理由は、ユーザーの同意なしに AI アシスタント Copilot を Windows システムへ展開した点にある。Firefox の開発元が指摘するのは、ユーザーの権利よりも企業の収益を優先する Microsoft の姿勢だ。Mozilla は “Old Habits Die Hard” (習慣はなかなか変えられない) というブログ投稿で、自動インストール／ハードウェアデフォルト設定／欺瞞的 UI デザインを用いて、Windows エコシステム全体へと Copilot を積極的に展開していると非難している。

Axios の RCE 脆弱性 CVE-2026-40175 が FIX：AWS IMDSv2 保護の回避と PoC のリリース

Critical Axios Vulnerability Enables Remote Code Execution, PoC Released

2026/04/13 gbhackers — 広く利用される HTTP クライアント・ライブラリ Axios で深刻なセキュリティ脆弱性が発見され、リモートコード実行 (RCE) およびクラウド・インフラ全体への侵害の恐れが生じている。脆弱性 CVE-2026-40175 (CVSS3.1：9.9：Critical) を悪用する攻撃者は、AWS IMDSv2 の保護を回避し、機密クラウド・メタデータを窃取可能となる。この問題は研究者 raulvdv により発見され、jasonsaayman により公表され、すでに Proof of Concept (PoC) も公開されている。

Nginx 1.29.8 がリリース：OpenSSL 4.0 対応などでセキュリティを向上

Nginx 1.29.8 and FreeNginx Released With Critical Security Updates

2026/04/13 CyberSecurityNews — Nginx.org が公表したのは、Nginx 1.29.8／FreeNginx における重要なセキュリティ・アップデートの正式リリースである。2026年4月7日に公開された一連のバージョンで導入されたのは、堅牢なサーバ・パフォーマンスを確保し、最新のサイバー脅威から防御するために設計された、重要なセキュリティ機能／強化された暗号化互換性／重要なバグ修正などである。Web サーバ管理者にとって必要なことは、このインフラの更新を最優先で実施することだ。

Identity 管理の自動化が停滞：導入が遅れる MFA／SSO と変化を招く AI の存在

Survey Sees Little Progress Made on Automating Identity Management

2026/04/13 SecurityBoulevard — Cerby の委託により Ponemon Group が実施した、614 名の Security／IT リーダーに対する調査結果 “The Hidden Security Threat of Disconnected Apps” によると、導入済みアプリケーションの 89% が、MFA (Multi-Factor Authentication) プラットフォームで一元管理されていないことが判明した。この調査では、アプリケーションの 70% が、SSO (Single Sign On) に統合されていないことも明らかになった。

Apache Tomcat の脆弱性 CVE-2026-29146／34486／34500 が FIX：EncryptInterceptor バイパスの可能性

Apache Tomcat Flaws Enable EncryptInterceptor Bypass

2026/04/13 gbhackers — Apache Software Foundation が公開したのは、Apache Tomcat で新たに発見された 3 件の脆弱性 CVE-2026-29146／34486／34500 に対処するための重要なセキュリティ・アップデートである。Apache Tomcat は、広く導入されているオープンソースの Web サーバであるため、これらの脆弱性により多くのエンタープライズ環境に深刻なリスクが生じる。

WordPress Membership プラグインの脆弱性 CVE-2026-1492 が FIX：認証回避と管理者権限窃取

Critical WordPress Plugin Flaw Lets Attackers Bypass Authentication and Gain Admin Access

2026/04/13 CyberSecurityNews — WordPress のプラグイン User Registration & Membership で発見された、深刻なセキュリティ脆弱性 CVE-2026-1492 により、世界中の数千の Web サイトが重大なリスクに直面している。この脆弱性を悪用する攻撃者は、ユーザー名／パスワード／既存アカウントを一切必要とせず、ログイン処理を完全に回避して管理者権限を取得できる。

Marimo の RCE 脆弱性 CVE-2026-39987 が FIX：短時間での悪用が示唆する AI の悪用

Marimo RCE Vulnerability Exploited Within 10 Hours of Public Disclosure

2026/04/13 gbhackers — オープンソースの Python ノートブック・プラットフォーム Marimo で発見された深刻な脆弱性は、公開から 10時間未満で悪用が確認されている。この脆弱性は GHSA-2679-6mx9-h9xc として公開され、後に CVE-2026-39987 (CVSS 9.3) が採番された。この脆弱性を悪用する未認証の攻撃者は、対象インスタンス上で完全な対話型シェルを取得できる。Sysdig の研究者によると、2026年4月8日の公開から、わずか 9時間41 分で実環境における攻撃が観測されたという。

Elon Musk が XChat を公表：自己消去メッセージと End-to-End 暗号化を導入

Elon Musk Announces to Launch XChat With Self-Destruct Message Features

2026/04/13 CyberSecurityNews — Elon Musk が正式に公開した XChat は、 X プラットフォームのダイレクトメッセージのセキュリティ基盤を大規模に刷新するものだ。Signal や Telegram のようなセキュア・メッセンジャーとの競合を目的とする XChat は、強力なプライバシー機能を X エコシステム内へ直接統合するものだ。新たな自己消去メッセージに加えて、End-to-End Encryption (E2E) と分散型アイデンティティ・メカニズムの導入が特に注目されている。

Adobe Acrobat／Reader の脆弱性 CVE-2026-34621 が FIX：任意のコード実行の恐れ

Adobe Fixes Actively Exploited Zero-Day in Acrobat Reader

2026/04/13 gbhackers — Adobe が公開したのは、Windows／macOS 向けの Acrobat／Reader に存在する深刻なゼロデイ脆弱性に対処する緊急セキュリティ・アップデートである。Adobe のアドバイザリ APSB26-43 によると、この脆弱性は既に実環境で悪用されており、Priority 1 として扱われている。この脆弱性 CVE-2026-34621 (CVSS 8.6) は、オブジェクト・プロトタイプ属性の不適切な変更制御 (Prototype Pollution ) に分類される (CWE-1321)。

Anthropic Claude for Word を公開：Microsoft のドキュメント環境に AI 編集機能を導入

Anthropic Launches Claude Beta for Word, Bringing AI-Powered Editing to Microsoft Docs

2026/04/11 CyberSecurityNews — Anthropic は、Claude for Word をパブリック・ベータとして正式に公開した。これにより、Mac／Windows プラットフォーム上の Team／Enterprise ユーザー向けに、Microsoft Word のネイティブなサイドバー・アドインとして、AI アシスタントが直接統合される。この統合は、日常的な生産性ワークフローへの Claude の組み込みという重要な進展を示している。

Gmail のモバイル・セキュリティを強化：モバイル暗号化機能をエンタープライズ向けに拡張

Google Extends Gmail Encryption to Mobile, but Limits Access to Enterprise Tier

2026/04/10 SecurityBoulevard — Google は Gmail の暗号化機能をモバイル端末へ拡張し、エンタープライズ・ユーザーの Android／iOS のプラットフォームにおいて、アプリ内での暗号化メールの送受信を可能にした。このアップデートにより、モバイル環境でのネイティブ暗号化を阻んでいた制約が解消された。

HPE Aruba Private 5G Core に脆弱性 CVE-2026-23818 が FIX：オープン・リダイレクトと認証情報の窃取

HPE Aruba Private 5G Vulnerability Opens Door to Credential Theft Attacks

2026/04/10 gbhackers — HPE Aruba Networking Private 5G Core On-Prem で新たに発見／公開された脆弱性 CVE-2026-23818 により、企業ネットワークにおける認証情報の窃取という深刻なリスクが生じている。この脆弱性は、セキュリティ情報 HPESBNW05032EN_US に記載されており、プラットフォームの Graphical User Interface (GUI) を標的とする攻撃者に対して、管理者の認証情報の窃取を許すものである。

React Server コンポーネントの脆弱性 CVE-2026-23869 が FIX：低複雑性の未認証 DoS 攻撃

React Server Components Vulnerability Enables DoS Attacks

2026/04/10 CyberSecurityNews — React Server Components に発見された高深刻度の脆弱性により、モダンな Web アプリケーションが Denial-of-Service (DoS) 攻撃に直面するリスクが生じている。この脆弱性 CVE-2026-23869 を悪用する未認証のリモート攻撃者は、細工されたネットワーク・リクエストを送信することで、バックエンド・サーバのリソースを枯渇させることが可能になる。

GitHub Copilot Chat の脆弱性 CVE-2025-59145 の修正：プロンプト・インジェクションを遮断

Hackers Exploit GitHub Copilot Flaw to Exfiltrate Sensitive Data

2026/04/10 CyberSecurityNews — GitHub Copilot Chat で発見された、高深刻度の脆弱性を悪用する攻撃者は、プライベート・リポジトリから機密データを密かに流出させることが可能な状況にあった。この脆弱性 CVE-2025-59145 (CVSS 9.6) を悪用する攻撃者は、悪意のコード実行を必要とせずに、ソースコード／API キー／クラウド・シークレットの窃取が可能であった。

TP-Link Archer AX53 ルーターの複数の脆弱性が FIX：ローカル攻撃の恐れ

TP-Link Devices at Risk as Multiple Security Flaws Enable Takeover

2026/04/10 gbhackers — TP-Link Archer AX53 v1.0 ルーターに存在する 5 件の深刻な脆弱性が、セキュリティ研究者たちにより特定された。これらの脆弱性を悪用する攻撃者は、標的デバイスを完全に制御し、機密ネットワーク・データの窃取や接続システムの侵害を可能にする。すべてのインターネット通信のゲートウェイである、ルーターの脆弱性が侵害されると、家庭や小規模ビジネスに対して深刻な影響が生じる。

ChatGPT／Claude／Gemini などでジェイルブレイクが発覚：”sockpuppeting” と呼ばれる手法

ChatGPT, Claude, and Gemini Among 11 AI Models Vulnerable to One-Line Jailbreak

2026/04/10 gbhackers — ChatGPT／Claude／Gemini を含む 11 の主要 AI モデルにおいて、新たなジェイルブレイク手法 “sockpuppeting” (操り人形) を用いることで、安全のためのガードレールの回避が可能であることが確認された。API の標準機能を悪用する攻撃者は、複雑で数理的な最適化も行うことなく、わずか 1 行のプレフィックスを LLM に読み込ませるだけで、悪意の出力を生成させることが可能になる。

K-pop グループ BTS のワールドツアーが標的：偽のチケット販売サイトで詐欺が横行

Hackers Use Fake BTS World Tour Ticket Sites to Scam Fans Across Multiple Countries

2026/04/10 CyberSecurityNews — 長期の休止を終えた K-pop グループ BTS の、復帰への高い関心を悪用するサイバー犯罪者が、偽チケットを販売する Web サイトを構築し、無防備なファンから金銭を窃取している。このキャンペーンは、すでに 9 カ国のファンに被害をもたらしており、近年では最大規模のコンサート・チケット詐欺となっている。

AWS Research and Engineering Studio の 3件の脆弱性が FIX：RCE と権限昇格の恐れ

AWS Patches Critical RCE and Escalate Privileges in Research and Engineering Studio

2026/04/10 CyberSecurityNews — Amazon Web Services (AWS) が公開した、Research and Engineering Studio (RES) に関する重要なセキュリティ・アドバイザリにより、3 件の深刻な脆弱性が対応された。これらの脆弱性を悪用する認証済みの攻撃者は、root 権限で任意のコマンドを実行し、クラウド環境内で権限昇格を達成できる。

AI Agent に関する調査：68% の組織は AI がアクセスするデータを把握していない

AI Agents: Who’s There? What Are They Doing? Most Security Teams Don’t Know

2026/04/10 SecurityBoulevard — Agentic AI の急速な普及と、適切なセキュリティおよびガバナンスを伴わないデータ・アクセスの拡大により、ユーザー組織における AI 活用の信頼性が低下し、その成功を阻害している。MIND の調査によると、エンタープライズ GenAI に対して、90% の組織が広範なデータ・アクセスを許可している一方で、68% は AI エージェントがアクセスするデータを把握していない。

Juniper Support Insights の脆弱性 CVE-2026-33784 が FIX：デフォルト認証情報の残存

Juniper Networks Default Credential Vulnerability Allows Unauthorized Full Access

2026/04/10 gbhackers — Juniper Networks が発表したのは、Juniper Support Insights (JSI) Virtual Lightweight Collector (vLWC) に関する重大なセキュリティ・アラートである。この脆弱性 CVE-2026-33784 (CVSS v3.1：9.8) は、デフォルトの認証情報の不備に起因し、未認証のリモート攻撃者に対してデバイスの完全な制御を許すものである。

Cisco SSM On-Prem の脆弱性 CVE-2026-20160 が FIX：root 権限でのコマンド実行の恐れ

Technical Details Released for Critical Cisco SSM Command Execution Vulnerability

2026/04/09 gbhackers — Cisco の Smart Software Manager On-Prem (SSM On-Prem) に存在する、きわめて深刻な脆弱性の技術詳細をセキュリティ研究者たちが公開した。この脆弱性 CVE-2026-20160 (CVSS 9.8) を悪用する未認証のリモート攻撃者は、root ユーザー権限でのコマンド実行が可能になる。現時点で回避策は存在しないため、ユーザー組織にとって必要なことは、速やかなパッチ適用である。

GitLab の脆弱性 CVE-2026-5173 などが FIX：コード・インジェクションと DoS 攻撃の恐れ

GitLab Patches Multiple Vulnerabilities That Enables DoS and Code Injection Attacks

2026/04/09 CyberSecurityNews — GitLab が公開したのは、Community Edition (CE)／Enterprise Edition (EE) 向けの、緊急のセキュリティ更新 18.10.3／18.9.5／18.8.9 である。これらのアップデートは、Denial-of-Service (DoS) およびコード・インジェクション攻撃を可能とする、高深刻度の脆弱性に対応するものだ。セルフマネージド環境の管理者に対して GitLab が強く推奨するのは、速やかなアップデートによる、インスタンスの保護である。

CISA 予算から $707 M が削減？サイバー・セキュリティ専門家の批判を招くトランプ大統領の提案

Trump’s Proposed $707 Million CISA Budget Cut a ‘Gift to Nation-State Actors’

2026/04/09 SecurityBoulevard — CISA の予算から $707 million を削減するというトランプ大統領の提案が、サイバー・セキュリティ専門家の間で批判と懸念を招いている。中国やイランからの国家主体のサイバー脅威が増大する中、この削減は合理性を欠くと指摘されているのだ。中国系の脅威グループは、長年にわたり米国ネットワークへ侵入しており、イランとの対立により浮き彫りにされるのは、同国の Islamic Revolutionary Guard Corps や親イラン系ハクティビストの能力と影響範囲である。