January 8, 2026 – IoT OT Security News

Gmail に搭載される AI 受信トレイ：Gemini によるメールの抽出や要約の機能とは？

Gmail’s new AI Inbox uses Gemini, but Google says it won’t train AI on user emails

2026/01/09 BleepingComputer — 1月8日 (木) に Google が発表したのは、すべてのメールを要約する “AI 受信トレイ” という新機能である。この機能を展開するにあたり、Google が約束しているのは、ユーザーのメール内容に基づいてモデルをトレーニングしないことである。Google が目指すのは Gmail の新たなステップであり、デフォルトの受信トレイ画面で主役となるのは Gemini であるという。Google によると、Gmail が登場した 2004 年以降においてメールは変化し続けており、ユーザーは毎週のように配信される何百通ものメールに圧倒されており、その量は増加し続けている。

OAuth 2.0 認証フローを武器化：Microsoft Entra をバイパスしてトークンを収集する手法とは？

New OAuth Attack Lets Hackers Bypass Microsoft Entra Authentication and Steal Keys

2026/01/08 gbhackers — サイバー・セキュリティ対策担当者にとって年末は忙しい時期であるが、Microsoft Entra ID を標的とする新たな攻撃ベクターが研究者たちにより発見された。この攻撃ベクターは、正規の OAuth 2.0 認証フローを武器化し、特権アクセス・トークンを収集するものだ。PushSecurity が ConsentFix と名付けた手法は、ClickFix ソーシャル・エンジニアリング・パラダイムの進化形である。ファーストパーティである Microsoft アプリケーションの認証コードフローを悪用する脅威アクターは、デバイスのコンプライアンス・チェックや条件付きアクセス・ポリシーを回避できるようになる。

React2Shell CVE-2025-55182 を悪用するキャンペーン：810 万件以上の攻撃試行を観測

React2Shell Vulnerability Hit by 8.1 Million Attack Attempts

2025/01/08 gbhackers — React Server Components (RSC) の Flight プロトコルに存在するリモート・コード実行の脆弱性 CVE-2025-55182 (通称 React2Shell) は、大規模なエクスプロイト・キャンペーンの標的となっており、その勢いに衰える気配はない。この脆弱性が公表されて以降、脅威インテリジェンス企業 GreyNoise は 810 万件以上の攻撃セッションを記録している。1 日あたりの攻撃件数は、2025年12月下旬に 43 万件を超えた後、30 万件から 40 万件の範囲で推移している。このキャンペーンの規模の大きさは、React／Next.js／RSC Flight プロトコルに依存する多数の下流フレームワークに影響を与えるこの脆弱性の深刻さを、明白に示している。

Cisco Snort 3 検出エンジンの脆弱性 CVE-2026-20026／20027 が FIX：機密データ漏洩の可能性

Cisco Snort 3 Detection Engine Vulnerability Leaks Sensitive Data

2026/01/08 CyberSecurityNews — Cisco の Snort 3 検出エンジンに、２件の深刻な脆弱性 CVE-2026-20026／CVE-2026-20027 が発見された。これにより、複数の Cisco 製品にまたがるネットワーク・セキュリティ・インフラに深刻なリスクが生じている。これらの脆弱性は、Distributed Computing Environment／Remote Procedure Call (DCE/RPC) リクエストの不適切な処理に起因する。この脆弱性を悪用するリモートの攻撃者は、パケット検査サービスの妨害や、システムからの機密情報の抽出を可能にする。

GitLab の脆弱性 CVE-2025-9222 などが FIX：任意のコード実行の可能性

GitLab Patches Multiple Flaws Allowing Arbitrary Code Execution

2026/01/08 gbhackers — GitLab が公開した複数の脆弱性に対処するために、管理者たちに求められるのは、速やかなアップデートの実施である。これらの脆弱性には、セルフマネージド・インスタンスにおいて、クロスサイト・スクリプティング／認証バイパス／サービス拒否攻撃を可能にする欠陥が含まれている。最新のパッチリリースである GitLab 18.7.1／18.6.3／18.5.5 では、これらのセキュリティ問題への対処に加え、複数のバグ修正および依存関係の更新が行われており、すでに GitLab.com に導入済みである。

CISA KEV 警告 26/01/07：PowerPoint のコード・インジェクション脆弱性 CVE-2009-0556 登録

CISA Warns of Microsoft PowerPoint Code Injection Vulnerability Exploited in Attacks

2026/01/08 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、Microsoft PowerPoint のコード・インジェクション脆弱性 CVE-2009-0556 に関する緊急アラートと、Known Exploited Vulnerabilities (KEV) カタログへの登録である。これは、2009年に公開された古い脆弱性であるが、現在も悪意ある PowerPoint ファイルを用いた任意のコード実行により実際に悪用されている。これにより、システムのセキュリティが侵害され、機密データへの不正アクセスが発生する可能性がある。

Linux 電力管理ツール TLP の認証バイパスの脆弱性 CVE-2025-67859 が FIX：競合状態による権限昇格

Linux Battery Utility Vulnerability Allows Authentication Bypass and System Tampering

2026/01/08 gbhackers — Linux 用の電力管理ツール TLP に、認証バイパスおよびシステム改竄を可能にする深刻な脆弱性 CVE-2025-67859 が発見された。この脆弱性は、TLP バージョン 1.9.0 で導入された電力プロファイル・デーモンに影響を及ぼすものであり、ルート権限で電源プロファイルを管理するための D-Bus API を公開している。

Cisco ISE の脆弱性 CVE-2026-20029 が FIX：機密情報の漏洩と PoC のリリース

Cisco ISE Vulnerability Let Remote attacker Access Sensitive Data – Public PoC Available

2026/01/08 CyberSecurityNews — Cisco が公表したのは、Identity Services Engine (ISE) および ISE Passive Identity Connector (ISE-PIC) に存在する、深刻な脆弱性の修正に関する情報である。この脆弱性を悪用する認証済みの管理者は、機密サーバ上のファイルへの不正アクセスが可能になる。この脆弱性 CVE-2026-20029 は、Web 管理インターフェイスの XML 解析に起因する。CVSS スコアは 4.9 であるが、データ漏洩の可能性があるため、深刻度は Medium と評価されている。

n8n Server の脆弱性 CVE-2026-21858 が FIX：26,512 のホストを危険にさらす Ni8mare とは？

Ni8mare Vulnerability Let Attackers Hijack n8n Servers – Exploit Released and 26,512 Hosts Vulnerable

2026/01/08 CyberSecurityNews — 人気のワークフロー自動化プラットフォームである n8n に、未認証でのリモートコード実行の脆弱性 CVE-2026-21858 (CVSS：10.0) が発見された。この深刻な脆弱性 (通称：Ni8mare) により、世界中で推定 10 万台のサーバに侵害の可能性が生じている。この脆弱性を悪用する未認証の攻撃者は、警告をトリガーすることなく任意のシステム・コマンドを実行し、その結果としてホストを完全に侵害できる。この脆弱性の影響が及ぶ範囲は、n8n のバージョン 1.121.0 未満である。特に、インターネットに公開されているセルフホスト型の導入において、最大のリスクが生じる。

Day: January 8, 2026