IoT OT Security News

Tycoon 2FA AiTM キット：M 365／G Workspace を標的とする大規模フィッシング攻撃

Tycoon 2FA AiTM Kit Bypasses MFA on Entra ID and Google Workspace Accounts

2026/05/27 CyberSecurityNews — 強力なフィッシング・キット “Tycoon 2FA” は、2023年8月に初めて確認されて以来、サイバーセキュリティ業界で大きな注目を集め続けている。Phishing-as-a-Service (PhaaS) として機能する Tycoon 2FA をレンタルする攻撃者は、ゼロからインフラを構築することなくキャンペーンを展開できる

BadHost と呼ばれる脆弱性 CVE-2026-48710：FastAPI／Starlette ベースの AI サービスに深刻な影響

BadHost Vulnerability Exposes Sensitive AI Agent Server Endpoints to Attackers

2026/05/27 gbhackers — Starlette Web フレームワークに、”BadHost” と呼ばれる深刻な脆弱性 CVE-2026-48710 が確認され、数千件に及ぶ AI 搭載アプリケーション／API サービスが攻撃のリスクに晒されている。この脆弱性は、OSTIF が支援するセキュリティ監査の最中に X41 D-Sec が発見したものであり、悪用に成功した攻撃者に対して、サーバが受信するリクエストの操作を許すものである。それにより、認証制御のバイパスや機密エンドポイントへの不正アクセスを招く恐れがある。

Gitea の脆弱性 CVE-2026-27771 が FIX：認証不要のプライベート・コンテナイメージ露出

Gitea Vulnerability Exposes Private Container Images without Authentication

2026/05/27 TheHackerNews — オープンソースのセルフホスト型バージョン管理プラットフォーム Gitea に存在する、脆弱性 CVE-2026-27771 (CVSS：N/A) が、サイバーセキュリティ研究者たちにより公開された。この脆弱性を悪用する未認証のリモート攻撃者は、アカウントやパスワードなどの認証情報を必要とせずに、プライベートなコンテナイメージの取得を可能にする。この脆弱性が影響を及ぼす範囲は、Gitea バージョン 1.26.2 未満であるが、すでにバージョン 1.26.2 で修正が提供されている。

CISA KEV 警告 26/05/26：LiteSpeed cPanel プラグインの脆弱性 CVE-2026-48172 を登録

CISA Warns LiteSpeed cPanel Plugin Vulnerability Is Being Exploited in Attacks

2026/05/27 gbhackers — CISA は、LiteSpeed cPanel プラグインに存在する深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、実環境におけるアクティブな悪用について緊急警告を発した。この脆弱性 CVE-2026-48172 は、深刻な権限昇格リスクをもたらすものであり、影響を受けるサーバの完全な制御を、攻撃者に許す可能性がある。特に、複数ユーザーの cPanel アカウントが共有される、ホスティング環境での危険性が極めて高い。

Windows Kernel の脆弱性 CVE-2026-40369：SYSTEM 権限昇格の PoC が登場

Windows Kernel Vulnerability Lets Attackers Modify Kernel Memory Counters

2026/05/27 gbhackers — Windows カーネルの深刻な脆弱性 CVE-2026-40369 に対して PoC が提供された。この脆弱性を悪用する攻撃者は、非特権プロセスであるブラウザ・レンダラー・サンドボックスなどから、カーネル・メモリに対する任意のインクリメントを引き起こし、SYSTEM 権限への昇格が可能であることが明らかになった。この脆弱性は、Windows 11 24H2 〜 25H2 に影響を及ぼす。

BIND 9 の複数の脆弱性が FIX：サービス拒否 (DoS)／メモリ破損／リモート攻撃などの恐れ

BIND 9 Software Vulnerabilities Exposes Resolvers and Authoritative Servers to Remote Exploits

2026/05/27 CyberSecurityNews — ISC BIND 9 で発見された脆弱性により、DNS インフラ運用者の間にセキュリティへの懸念が高まっている。複数の脆弱性により、サービス拒否 (DoS)／メモリ破損／リモート攻撃などの可能性が生じている。最新の BIND 9 Software Vulnerability Matrix では、再帰リゾルバおよび権威ネームサーバの双方に影響を及ぼす深刻なリスクが示されている。エンタープライズやクラウド環境において、迅速なパッチ適用とバージョン管理が重要になると強調されている。

Microsoft SharePoint の脆弱性 CVE-2026-45659 が FIX：RCE の可能性

Microsoft SharePoint Server Vulnerability Enables Remote Code Execution Attacks

2026/05/26 CyberSecurityNews — Microsoft は 2026年5月21日に、SharePoint Server における重大なセキュリティ脆弱性を開示した。この脆弱性を悪用する認証済みのリモート攻撃者は、複数のバージョンに対して任意のコード実行を可能にする。この脆弱性 CVE-2026-45659 は、オンプレミス環境で SharePoint を運用する組織にとって深刻なリスクとなる。

Angular Language Service の複数の脆弱性 CVE-N/A が FIX：リモートコード実行の可能性

Angular Language Service Extension Flaws Allow Remote Code Execution

2026/05/26 gbhackers — Angular Language Service の VS Code エクステンション (Angular.ng-template) において、複数の高深刻度の脆弱性が発見された。アドバイザリ GHSA-ccq4-xmxr-8hcq として追跡されている、一連の脆弱性を悪用する攻撃者は、悪意のプロジェクト・ファイルや依存関係を通じてリモートコード実行 (RCE) 攻撃を可能にする。これらの脆弱性が影響を及ぼす範囲は、バージョン 21.2.4 未満であり、最新リリース 21.2.4 で修正されている。

Memcached の脆弱性 CVE-2026-47783 が FIX：SASL 欠陥による有効なユーザー名の推測

Critical Memcached SASL Vulnerability Let Attackers Infer Valid Usernames

2026/05/26 CyberSecurityNews — Memcached に存在する、SASL 認証メカニズムにおけるタイミング・サイドチャネルの脆弱性 CVE-2026-47783 が明らかにされた。この脆弱性により、攻撃者が有効なユーザー名を推測できる可能性があると、セキュリティ・コミュニティに懸念が生じている。

PuTTY 0.84 がリリース：SSH クラッシュや Telnet プロンプト・スプーフィングなどに対応

PuTTY 0.84 Released With Fix for SSH KEX Crashes and Telnet Prompt Spoofing Flaw

2026/05/26 CyberSecurityNews — PuTTY 0.84 がリリースされ、SSH 鍵交換時のクラッシュや Telnet プロンプトのスプーフィングに関する複数の軽微なセキュリティ問題が修正された。これらの脆弱性は、暗号処理やセッションロジックにおける低深刻度の欠陥とされるが、悪意のサーバや man-in-the-middle (MITM) 攻撃者により悪用され得るものである。

Ghost CMS の CVE-2026-26980 を悪用：700 件以上のサイトで ClickFix マルウェア感染

Ghost CMS Vulnerability Exploited to Infect 700 Sites With ClickFix Malware

2026/05/26 gbhackers — 広く利用される Ghost CMS に存在する、深刻な SQL インジェクションの脆弱性 CVE-2026-26980 を積極的に悪用する脅威アクターが、大規模なページ・ポイズニング攻撃を通じて ClickFix マルウェアを配布している。この脆弱性により、攻撃者は認証を必要とせずにデータベース内の機密情報を抽出できるが、その中には Ghost Admin API キーが含まれる。

Anthropic の Claude Mythos が一般公開へ前進：制限された姿勢からの明確な転換？

Anthropic’s Restricted Claude Mythos Moves Toward Public Release via Claude Code and Security

2026/05/26 CyberSecurityNews — Anthropic は、これまで厳格に制限してきた、同社の最強 AI モデル “Claude Mythos” に対する制限を緩和しつつあるようだ。新たな動きから示唆されるのは、“Mythos 1” (claude-mythos-1-preview) という名称での商用版が展開される可能性である。このモデルでは、Claude Code への直接統合に加え、刷新された Claude Security ダッシュボードへの組み込みも進められており、主にエンタープライズ顧客へ向けて提供される見通しである。

Apache CXF の脆弱性 CVE-2026-44930 がFIX：LDAP インジェクションと不正アクセス

Apache CXF Flaw Exposes Systems to LDAP Injection Attacks

2026/05/26 gbhackers — Apache CXF に、LDAP インジェクションの脆弱性 CVE-2026-44930 (CVSS 9.8 Critical) が発見された。この脆弱性を悪用する攻撃者は、高機密性の証明書データへの不正アクセスを可能にするため、深刻なセキュリティ・リスクが生じている。具体的には Apache CXF の XKMS (XML Key Management Specification) サービス内で使用されている、LDAP 証明書リポジトリが影響を受ける。

ConnectWise Automate の脆弱性 CVE-2026-9089 が FIX：コード検証不備とネットワーク全体への侵害

ConnectWise Automate Flaw Allows Hackers to Evade Security Controls

2026/05/26 gbhackers — ConnectWise は、ConnectWise Automate に存在する深刻な脆弱性 CVE-2026-9089 (CVSS 8.8) に対処するセキュリティ・アップデートを公開した。この脆弱性を悪用する攻撃者は、整合性検証メカニズムをバイパスし、管理対象環境内で不正なコードを実行できる可能性がある。

7-Zip の脆弱性 CVE-2026-48095 が FIX：任意のコード実行の可能性

New 7-Zip Vulnerabilities Let Attackers Execute Arbitrary Code and Compromise Systems

2026/05/26 CyberSecurityNews — 7-Zip version 26.00 に存在する深刻なヒープバッファ・オーバーフロー脆弱性が開示された。この脆弱性は、NTFS アーカイブ・ハンドラの欠陥に起因し、vtable ハイジャックを引き起こし、任意コード実行を可能にする。この脆弱性 CVE-2026-48095 (GHSL-2026-140) は、NtfsHandler.cpp 内の CInStream::GetCuSize() 関数に存在する。この関数は、NTFS 圧縮ユニットのバッファサイズを 32 ビットシフト演算で計算するものである：(UInt32)1 << (BlockSizeLog + CompressionUnit)

Gemini CLI インスタンスをジェイルブレイク：5 年間にわたるロシアン・ハッカーの活動とは？

Russian Hacker Used Jailbroken Gemini to Steal Admin Credentials and Drain Crypto Wallets

2026/05/25 CyberSecurityNews — Google Gemini のジェイルブレイク済みのインスタンスが、5 年間のキャリアを持つロシア語話者の脅威アクターにより、ほぼゼロというコストで悪用されてきたことが判明した。この脅威アクターは窃取した API キーを用いることで、MAGA テーマへの影響工作や、WordPress 管理者の認証情報の解読に加えて、少なくとも 1人の被害者の暗号資産ウォレットから資金を窃取した。

SonicWall 管理 API を標的とする大規模スキャン活動：約 60万件のセッションを観測

Hackers Actively Scan SonicWall Firewall Interfaces as 597,000 Sessions Observed

2026/05/25 gbhackers — SonicWall のファイアウォール管理インターフェイスを標的とする、インターネット上でのスキャン活動が急増し、サイバー・セキュリティ研究者の間で懸念が高まっている。GreyNoise によると、一日の間に約 597,000 件のスキャン・セッションが記録されている。 2026年5月12日に観測された急増は、通常の日次ベースラインの約 46倍に達し、過去 90日間で最大規模のボリュームとなっている。GreyNoise のテレメトリ・データによると、この活動は 5月9日から 5月18日にかけて発生し、SonicWall SonicOS 管理 API を集中的に標的としていた。

Anthropic Mythos が発見した 1 万件の脆弱性：浮き彫りにされるパッチ適用の遅延

Anthropic’s Mythos Finds 10,000 Security Flaws, Exposes Patching Obstacles

2026/05/25 SecurityBoulevard — 物議を醸している Anthropic の Claude Mythos Preview に関する最初の評価レポートでは、同社の Project Glasswing に参加する 50 の組織が最先端 AI モデルを用いて、1 万件を超える High／Critical の脆弱性を発見したことが明らかにされている。それが浮き彫りにするのは、これほどの大量のセキュリティ欠陥を、人間が修正する際の課題である。

CISA KEV 警告 26/05/22：Drupal Core の脆弱性 CVE-2026-9082 を KEV に登録

CISA Warns Drupal Core SQL Injection Vulnerability Is Being Exploited in Attacks

2026/05/25 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Drupal Core に存在する深刻な SQL インジェクションの脆弱性 CVE-2026-9082 に関する緊急警告を発出した。現在、この脆弱性は実環境で活発に悪用されている。この CVE-2026-9082 が CISA の Known Exploited Vulnerabilities (KEV) カタログに追加されたことで、影響を受ける Drupal 環境を使用している組織には、高いリスクが生じていることが明らかになった。

KnowledgeDeliver の脆弱性 CVE-2026-5426：実環境での悪用を Mandiant が警告

KnowledgeDeliver LMS Zero-Day Exploited to Deploy BLUEBEAM Web Shell

2026/05/25 CyberSecurityNews — KnowledgeDeliver における新たなゼロデイ脆弱性 CVE-2026-5426 が、実環境で活発に悪用され、BLUEBEAM インメモリ Web シェルが展開されていることが、Mandiant のインシデント・レスポンス調査により確認された。この脆弱性は、2026年2月24日以前のデフォルト ASP.NET コンフィグに依存する環境に影響を及ぼし、未認証のリモート・コード実行 (RCE) を引き起こす恐れがある。

AI が露呈するガバナンス・ギャップ：セキュリティの構造的な変化が顕在化してきた – JFrog

The AI Governance Gap Is Bigger Than We Think

2026/05/25 SecurityBoulevard — それをコントロール下に置いているという言葉は、テクノロジーの世界における最も危険な錯覚である。たしかに、それにより安心感が与えられ、成熟感が示される。そして、今後において直面するだろう課題が、すでに理解され、測定され、管理されているように聞こえる。しかし実際には、クラウド／オープンソース／コンテナ／Kubernetes に至るまで、業界全体で繰り返して学んできたことは、自信と制御が同一ではないことだ。

Nginx の脆弱性 nginx-poolslip CVE-2026-9256 が FIX：DoS とリモートコード実行の恐れ

Nginx-poolslip Vulnerability Enables DoS and Code Execution Attacks — Patch Now!

2026/05/23 CyberSecurityNews — 世界で最も広く導入されている Web サーバ NGINX の新たな脆弱性により、管理者は緊急パッチ対応を迫られている。nginx-poolslip と呼ばれる脆弱性 CVE-2026-9256 は、NGINX Plus および NGINX Open Source に影響し、リモートの未認証の攻撃者に対して、通常の HTTP を介したトリガーを許すものである。この脆弱性は、先日の脆弱性 NGINX Rift (CVE-2026-42945) と同一の、ngx_http_rewrite_module コンポーネントに存在する。

Ubiquiti UniFi OS プラットフォームの深刻な 5件の脆弱性が FIX：リモートからの権限昇格などの可能性

Ubiquiti Patches Critical UniFi OS Vulnerabilities Allowing Remote Privilege Escalation

2026/05/23 CyberSecurityNews — Ubiquiti Networks が公開したのは、UniFi OS プラットフォームに影響を及ぼす複数の深刻な脆弱性に対処する緊急セキュリティ・アップデートである。これらの深刻な欠陥を突く未認証のリモート攻撃者は、任意のコード実行や権限昇格を達成し、エンタープライズ・ネットワーク・インフラを侵害する可能性がある。合計で 5種類のセキュリティ問題が修正されているが、そのうちの 3件の深刻度は、CVSS v3.1 で 10.0 と評価されている。

Laravel-Lang パッケージ 700 種類に侵害：GitHub リポジトリを悪用する巧妙な手法

Hackers Compromise Laravel-Lang Packages via 700 GitHub Repos

2026/05/23 gbhackers — 現在進行型の高度なサプライチェーン攻撃が、Laravel-Lang オープンソース組織を直撃している。Laravel-Lang で広く使用されている、4つの PHP ローカライゼーション・リポジトリにおいて、700以上のパッケージ・バージョンが侵害された。この攻撃は、Aikido Security および Socket Research Team により、2026年5月22日に検知／報告された。Composer の autoloader を介して、ユーザー操作を必要とせずに自動実行される、完全なリモートコード実行 (RCE) バックドアが組み込まれている。

F5 BIG-IP アプライアンス経由の SSH 侵害：Enterprise Linux ネットワークへの侵入が判明

Hackers Exploit F5 BIG-IP Appliance to Gain SSH Access and Pivot Into Enterprise Linux Networks

2026/05/23 CyberSecurityNews — インターネットに公開された F5 BIG-IP エッジ・アプライアンスを侵入口とし、最終的に Active Directory へアクセスする、ID を標的とした大規模な多段階の侵入攻撃が確認されている。この攻撃が示すのは、従来のセキュリティ境界として展開されていたファイアウォール／VPN ゲートウェイ／ロードバランサ装置が、初期侵入ポイントとして悪用される傾向の高まりであると、Microsoft Defender Security Research は指摘している。

LiteSpeed cPanel プラグインのゼロデイ CVE-2026-48172 が FIX：サーバ root 権限奪取の恐れ

LiteSpeed cPanel Plugin 0-Day Exploited for Server Root Access

2026/05/23 gbhackers — Web ホスティング・プラットフォームにおける、最も広く普及しているコンポーネントの 1つが、新たな形で攻撃に悪用されている。LiteSpeed User-End cPanel プラグインに存在する深刻なゼロデイ権限昇格の脆弱性 CVE-2026-48172 が、現在進行形で実環境で活発に悪用されている。認証済みの cPanel ユーザーであれば、root 権限で任意のスクリプトを実行し、サーバ全体を完全に制御できる状態となっている。この脆弱性の CVSS スコアは最大値の 10.0 であるが、すでに 2026年5月21日時点で、修正バージョンが公開されている。

Claude Mythos が脆弱性検出を加速：Glasswing プロジェクトが 10,000 件以上のゼロデイを発見

Anthropic’s Claude Mythos Preview Uncovers 10,000+ 0-Days in Project Glasswing

2026/05/23 CyberSecurityNews — 深刻な脆弱性が悪用される前に、高度な AI を用いて重要インフラを保護するための、サイバーセキュリティ・イニシアチブ Project Glasswing の初期成果が、Anthropic から公開された。世界で最も重要なソフトウェア・システム全体に対して、未公開モデル Claude Mythos Preview を活用することで、深刻度 High および Critical のゼロデイ脆弱性 10,000 件以上が、プロジェクト開始から 1 ヶ月間で発見された。

CISA KEV 警告 26/05/20：Defender の脆弱性 CVE-2026-45498／41091 を KEV に登録

CISA Issues Alert on Exploited Microsoft Defender Zero-Day Vulnerabilities

2026/05/22 gbhackers — 米国の CISA は、Microsoft Defender に影響を与える 2件のゼロデイ脆弱性に対処するよう、連邦政府の組織に対して指令を発出した。これらの脆弱性は、2026年5月20日に Known Exploited Vulnerabilities (KEV) カタログへ追加された。

Gemini と Claude Code の偽サイトに御用心：SEO ポイズニングを介してインフォスティーラーを展開

Fake Gemini and Claude Code Sites Spread Infostealers Through SEO Poisoning

2026/05/22 InfoSecurity — Google Gemini のコーディング・ツールと、Anthropic の Claude Code を装う偽サイトを作成し、情報窃取型マルウェアを配布する新たなキャンペーンが、EclecticIQ のセキュリティ研究者たちにより発見された。最初の警告は、SNS 上で @g0njxa として知られる独立系セキュリティ研究者により発せられた。2026年4月21日に X 上で研究者は、Gemini のコマンド・ライン・インターフェイス (CLI) を悪用する、なりすましキャンペーンを指摘した。この CLI 機能は開発者が用いるものであり、ターミナルから直接 Gemini AI モデルと対話するためのものである。

Splunk の脆弱性 CVE-2026-20238／20239／20240 が FIX：DoS 攻撃や機密情報漏洩の恐れ

Splunk Patches Multiple Vulnerabilities that Enable DOS Attack and Exposes Sensitive Data

2026/05/22 CyberSecurityNews — Splunk が公開したのは、Enterprise／Cloud Platform／AI Toolkit に影響を及ぼす、複数の脆弱性に対するセキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は、サービス拒否 (DoS) 状態や機密性の高いデータの露出を引き起こす可能性がある。これらの脆弱性 CVE-2026-20238／CVE-2026-20239／CVE-2026-20240 は、2026年5月20日に公開された。

CISA KEV 警告 26/05/21：Langflow の脆弱性 CVE-2025-34291 を KEV に登録

CISA Adds Langflow Origin Validation Flaw to Known Exploited Vulnerabilities Catalog

2026/05/22 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Langflow の深刻な脆弱性 CVE-2025-34291 を Known Exploited Vulnerabilities (KEV) カタログに追加し、実環境での悪用リスクを強調するとともに即時対応を求めている。この脆弱性は、AI 駆動ワークフローの構築とオーケストレーションに使用される、Langflow のオリジン検証の欠陥に起因する。

Mini Shai-Hulud 攻撃への対応：2FA-Bypass Token の無効化を npm が実施

Mini Shai-Hulud Attack Prompts npm to Revoke 2FA-Bypass Tokens

2026/05/22 gbhackers — npm は、プラットフォーム全体で granular access token を強制リセットし、二要素認証 (2FA) の回避を阻止した。この対応は、Mini Shai-Hulud キャンペーンに関連する一連のサプライチェーン攻撃により、数百の JavaScript パッケージが侵害されたことを受けてのものだ。

Hackers で悪意のパッケージを検出：マルウェア配布とデータ送信バックエンドとして悪用

Hackers Use Hugging Face to Host Second-Stage Malware for npm Supply Chain Attack

2026/05/22 CyberSecurityNews — AI 分野で最も信頼されるプラットフォーム Hugging Face を武器化する、新たなハッキング手法が確認された。北朝鮮に関連する脅威アクターたちが、広く利用される AI／ML ハブである Hugging Face 内に 2-Step のマルウェアを埋め込み、マルウェア配布チャネルおよびデータ外部送信バックエンドとして悪用している。この活動が、世界中のソフトウェア開発者を標的とする、高度な npm サプライチェーン攻撃の一つとなっている。

CISA KEV 警告 26/05/21：Trend Micro Apex One の脆弱性 CVE-2026-34926 を KEV に登録

CISA Warns Trend Micro Apex One Vulnerability Is Being Exploited in Attacks

2026/05/22 gbhackers — CISA は、新たに公開された Trend Micro Apex One の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録し、この欠陥が実環境で積極的に悪用されていると警告した。この脆弱性 CVE-2026-34926 が影響を及ぼす範囲は、Trend Micro Apex One のオンプレミス・デプロイメントであり、エンタープライズ環境に深刻なリスクをもたらす。

Google API Key の削除には 23 分を要する：設計上の特性と運用上のリスク　

Deleted Google API Keys Remain Active up to 23 Minutes, Study Finds

2026/05/21 hackread — 削除された Google API keys が、23分間にわたって有効であり続け、その後の認証に成功する可能性があることが、Aikido Security の新たな調査により明らかになった。この調査結果は、10回の制御試験を 2日間にわたり実施して得られたものである。

GitHub 内部リポジトリへの攻撃：武器化された VS Code エクステンションが従業員の端末を侵害

GitHub Internal Repositories Breached Via Weaponized VS Code Extension

2026/05/21 CyberSecurityNews — 2026年5月18日に GitHub の従業員の端末が、悪意の Visual Studio Code エクステンションを介した攻撃により侵害され、内部ソースコード・リポジトリからデータが流出するという深刻な事態が生じた。この攻撃は、5月18日 (月) に GitHub のセキュリティ・チームが、従業員エンドポイント上の不審な活動を特定したことで発覚し、同日に封じ込められた。

NGINX 1.31.0 のゼロデイ脆弱性 nginx-poolslip (CVE-N/A) を検出：ASLR バイパスによる RCE の可能性

New NGINX 0-Day RCE “nginx-poolslip” Threatens Millions of Servers

2026/05/21 gbhackers — 新たに発見された NGINX のゼロデイ脆弱性 nginx-poolslip (CVE-N/A) が悪用されると、数百万台のサーバが潜在的なリモート・コード実行 (RCE) 攻撃の危険にさらされる可能性がある。この脆弱性により、世界中のサイバーセキュリティ・コミュニティにおいて、深刻な懸念が引き起こされている。この脆弱性は、世界中の Web サイトの推定 30〜40% で利用されている、Web サーバ・ソフトウェア NGINX のバージョン 1.31.0 に影響するものであり、NebSec チームのセキュリティ研究者 Vega により発見され、2026年5月21日に公開された。

Chrome 148.0.7778.178／179 が公開：タイプ・コンフュージョン／解放後メモリ使用を修正

Critical Chrome Vulnerabilities Enable Remote Code Execution Attacks – Patch Now!

2026/05/21 CyberSecurityNews — Google が、Chrome 向けの緊急セキュリティ・アップデートを公開した。合計で 16 件の脆弱性が修正されたが、そのうちの 2 件は Critical と評価され、影響を受けるシステム上での任意のコード実行を可能にするものだ。Stable チャネルでは、Windows／Mac 向けの 148.0.7778.178／179 と、Linux 向けの 148.0.7778.178 が提供されており、今後の数日以内にロールアウトが完了する見込みである。

Apache OFBiz の脆弱性 CVE-2026-45434 が FIX：PW 変更処理の不備による認証回避と RCE

Apache OFBiz RCE Flaw Abuses Password-Change Restrictions for Authentication Bypass

2026/05/21 gbhackers — Apache OFBiz に存在する深刻な認証バイパス脆弱性 CVE-2026-45434 を悪用する攻撃者は、強制パスワード変更フローを乗っ取り、単一の HTTP リクエストを通じてリモート・コード実行 (RCE) を達成する可能性がある。この脆弱性が影響を及ぼす範囲は、Apache OFBiz のバージョン 24.09.06 未満となる。Apache OFBiz は、ビジネス・プロセス管理に用いられるオープンソースの ERP プラットフォームである。

CVE ID：CVE-2026-45434
CVSS 3.1 スコア：8.8 (High)
影響バージョン：Apache OFBiz 24.09.06 未満
修正バージョン：Apache OFBiz 24.09.06
公開日：2026年5月20日
研究者：Aretiq AI

Linux kernel の脆弱性 CVE-2026-46333 が FIX：SSH キー窃取や root 権限昇格の恐れ

Nine-year-old Linux Kernel Vulnerability Let Attackers Exfiltrate SSH Private Keys

2026/05/21 CyberSecurityNews — 新たに公開された Linux kernel の脆弱性 CVE-2026-46333 は、約 9年間にわたり検出されなかった、深刻なローカル権限昇格の欠陥を露呈するものだ。この脆弱性を悪用する攻撃者は、SSH 秘密鍵を含む機密性の高いデータを窃取し、影響を受けるシステム上で root として任意のコマンド実行を可能にすると、Qualys Threat Research Unit のセキュリティ研究者は明らかにしている。

Drupal の脆弱性 PSA-2026-05-18 が FIX：コアへの影響とサイト乗っ取りの可能性

Critical Drupal Vulnerability Could Leave Sites Open to Cyberattack

2026/05/21 gbhackers — Drupal Security Team は、Drupal コアに影響を及ぼす、きわめて深刻な脆弱性について警告を発表した。そのためのセキュリティ・リリースは、2026年5月20日 (PSA-2026-05-18) で行われている。この脆弱性の深刻度は、同社の基準で 20/25 (Highly Critical) と評価されており、公開後に攻撃者に悪用されると、機密性／完全性／可用性に大きなリスクが生じる可能性がある。

Cisco Secure Workload の脆弱性 CVE-2026-20223 が FIX：Site Admin 権限奪取の恐れ

Critical Cisco Secure Workload Vulnerability Enables Unauthorized API Access

2026/05/21 CyberSecurityNews — Cisco が公開したのは、同社の Secure Workload プラットフォームで発見された、脆弱性 CVE-2026-20223 (CVSS 10.0) に関する情報である。この脆弱性を悪用する未認証の脅威アクターは、内部 API を介して重要機能に対する認証欠如 (CWE-306) の欠陥を突き、機密性の高いリソースへの不正アクセスを引き起こせる。

AI Agent 活用への 5つの提言：セキュリティとコンプライアンスの実装が AI を加速させる

AI Agents Are Here. Security Must Be an Accelerator for AI Transformation

2026/05/20 InfoSecurity — もはや、AI エージェントは実験段階にはいない。エンタープライズ・システム全体において、ファイル読み取り／ツール呼び出し／ワークフロー実行／他エージェントとの通信を行い、計画立案や意思決定を支援している。さらに言えば、人間の介入が最小限に留められるケースもある。

Anthropic Glasswing パートナー間での情報共有がスタート：透明性の確保なのか？競合圧力なのか？

Anthropic Allows Glasswing Partners to Share Mythos-Based Findings

2026/05/20 SecurityBoulevard — 2026年4月の初旬に Anthropic が Mythos を公開した際に、この先進的 AI モデルがソフトウェア脆弱性検出において高度な能力を持つことが明らかにされた。結果として、攻撃者による迅速なエクスプロイト作成への悪用の懸念から、Mythos へのアクセスが制限された。アクセスを許可されたのは Microsoft／Google／JPMorganChase／Nvidia などであり、Anthropic が立ち上げた Project Glasswing の一環として、AI 脅威に対する防御強化を目的に Mythos を利用することが認められた。ただし、当初においては、研究成果の共有は禁止されていた。

Pardus Linux の脆弱性 CVE-2026-5140：ローカル・サイレント昇格による root 権限の奪取

Pardus Linux Vulnerability Lets Local Attackers Gain Silent Root Access

2026/05/20 gbhackers — Pardus Linux のアップデート・メカニズムにおいて、未認証のローカル・ユーザーが完全な root 権限を取得できる、深刻な権限昇格脆弱性チェーン CVE-2026-5140 (CVSS：8.8 High) が発見された。この問題は、 pardus-update パッケージに影響するものであり、3 つの異なる脆弱性が組み合わさることで、わずか数秒でシステム全体が侵害される恐れがある。

NGINX njs の CVE-2026-8711 が FIX：ヒープバッファ・オーバーフローによる DoS 攻撃の可能性

New NGINX Vulnerability Allow Remote Attackers to Trigger Malicious Code

2026/05/20 CyberSecurityNews — NGINX JavaScript (njs) で新たに発見された脆弱性 CVE-2026-8711 により、未認証のリモート攻撃者がヒープバッファ・オーバーフローを引き起こし、サービス拒否 (DoS) を発生させる可能性がある。さらに特定の条件下では、NGINX ワーカー・プロセスにおけるリモート・コード実行が可能となる。この脆弱性は、NGINX JavaScript の ngx.fetch() 操作において、js_fetch_proxy ディレクティブがクライアント制御変数を処理する際の不備に起因する。

FreePBX の脆弱性 CVE-2026-46376 が FIX：ユーザーポータルへの不正アクセスを招く恐れ

FreePBX Security Flaw Lets Attackers Access User Portals

2026/05/20 gbhackers — 広く利用されているオープンソース・プラットフォーム FreePBX において、特定の条件下で未認証の攻撃者に対してユーザーポータルへのアクセスを許す、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2026-46376 (CVSS v4：9.1) を悪用する攻撃者は、userman モジュールを介して User Control Panel (UCP) に影響を及ぼす。

Linux Kernel の脆弱性 DirtyDecrypt CVE-2026-31635 が FIX：root 権限昇格と PoC の提供

DirtyDecrypt Linux Kernel Vulnerability PoC Exploit Code Released

2026/05/20 CyberSecurityNews — Linux カーネルに存在する高深刻度のローカル権限昇格の脆弱性 DirtyDecrypt (別名 DirtyCBC) に対する、PoC (proof-of-concept) エクスプロイトが、セキュリティアナリスト Will Dormann により公開された。この脆弱性 CVE-2026-31635 を悪用するローカル攻撃者は、root 権限の取得が可能となる。なお、この脆弱性に対する修正パッチは、2026年4月25日の時点でアップストリームにマージされている。

CISA の認証情報／機密データが GitHub リポジトリに漏洩：GitGuardian が指摘した問題とは？

CISA Credentials, Sensitive Data Exposed in GitHub Repository

2026/05/19 SecurityBoulevard — CISA における深刻な情報漏洩が明らかにされた。同組織の外部契約者が、Amazon Web Services (AWS) 上に保存されている、連邦政府の最高サイバーセキュリティ機関のシステムに関する認証情報および高権限政府アカウントを、不適切に公開していたことが露見した。

PostgreSQL pgcrypto の RCE 脆弱性 CVE-2026-2005：PoC が登場

20-Year-Old PostgreSQL Flaw Gets Public PoC Exploit for Remote Code Execution

2026/05/19 gbhackers — PostgreSQL の pgcrypto エクステンションで発見された、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2026-2005 に対して PoC (proof-of-concept) エクスプロイトが公開された。セキュリティ研究者によると、この問題は約 20年前に遡るレガシーコードに起因し、攻撃者に対して権限昇格および任意のコマンド実行を許す可能性がある。