January 15, 2026 – IoT OT Security News

Cal.com の脆弱性 CVE-2026-23478 が FIX：認証バイパスと任意のユーザー・アカウント乗っ取り

Critical Cal.com Vulnerability Let Attackers Bypass Authentication and Hijack any User Account

2026/01/15 CyberSecurityNews — Cal.com のスケジュール管理プラットフォームに、深刻な認証バイパスの脆弱性が発見された。この脆弱性 CVE-2026-23478 を悪用する攻撃者は、NextAuth JWT コールバック機構の欠陥を悪用することで、任意のユーザー・アカウントを乗っ取ることが可能になる。この脆弱性は、バージョン 3.1.6 〜 6.0.7 未満に影響を及ぼし、バージョン 6.0.7 以降で修正されている。

HPE Aruba Instant On の複数の脆弱性が FIX：機密情報の不正取得や DoS 攻撃の恐れ

HPE Aruba Vulnerabilities Enables Unauthorized Access To Sensitive Information

2026/01/15 gbhackers — HPE が公表したのは、HPE Aruba Networking Instant On デバイスに存在する複数の深刻な脆弱性に対するセキュリティ・パッチのリリースである。これらの脆弱性を悪用するリモート攻撃者は、内部 VLAN コンフィグ・データの窃取／ワイヤレス・ネットワークの妨害／機密ネットワーク情報の不正取得を行う可能性がある。一連の脆弱性が影響を及ぼす範囲は、Instant On アクセス・ポイントおよび 1930 スイッチのソフトウェア・バージョン 3.3.1.0 以下であり、修正はバージョン 3.3.2.0 以降で提供されている。

Fortinet FortiSIEM の RCE 脆弱性 CVE-2025-64155 が FIX：PoC の公開と積極的な悪用

Fortinet FortiSIEM Vulnerability CVE-2025-64155 Actively Exploited in Attacks

2026/01/15 CyberSecurityNews — Fortinet FortiSIEM の脆弱性 CVE-2025-64155 が、現在も実環境で積極的に悪用されていることが、Defused によるハニーポット展開の結果として確認された。この脆弱性が未認証のリモート攻撃者に悪用された場合には、深刻な OS コマンド・インジェクションにより、認証不要のリモート・コード実行 (RCE) を許す恐れがあるため、企業のセキュリティ監視基盤に深刻なリスクが生じている。

AWS CodeBuild のミスコンフィグ：GitHub リポジトリ侵害とサプライチェーン攻撃

AWS CodeBuild Misconfiguration Exposed GitHub Repos to Potential Supply Chain Attacks

2026/01/15 TheHackerNews — Amazon Web Services (AWS) の CodeBuild における深刻なミスコンフィグにより、AWS JavaScript SDK を含むクラウドサービス・プロバイダー独自の GitHub リポジトリが完全に乗っ取られ、すべての AWS 環境が危険にさらされるという可能性があった。この脆弱性は、クラウド・セキュリティ企業 Wiz により CodeBreach というコードネームで呼ばれている。この脆弱性は、2025年8月25日の責任ある情報開示を受け、2025年9月に AWS により修正された。

Azure SSO の深刻な脆弱性 CVE-2026-20965 が FIX：Windows Admin Center 全体への侵害の恐れ

Azure Identity Token Vulnerability Enables Tenant-Wide Compromise in Windows Admin Center

2026/01/15 CyberSecurityNews — Windows Admin Center の Azure Single Sign-On (SSO) 実装に、深刻度の高い脆弱性 CVE-2026-20965 が発見された。それにより、Azure VM および Arc 接続システムが、テナント全体にわたる不正アクセスのリスクにさらされている。この脆弱性が示すのは、不適切なトークン検証により、個々のマシンと Azure 環境全体との間に存在すべきセキュリティ境界が崩壊する恐れである。

Palo Alto Networks Firewall の脆弱性 CVE-2026-0227：DoS 攻撃と PoC の登場

Palo Alto Networks Firewall Vulnerability Allows Attacker to Trigger DoS Attacks

2026/01/15 CyberSecurityNews — Palo Alto Networks が 2026年1月14日に公表したのは、PAN-OS ファイアウォール・ソフトウェアに存在する深刻なサービス拒否 (DoS) の脆弱性 CVE-2026-0227 (CVSS v4.0：7.7：HIGH) の修正に関する情報である。この脆弱性を悪用する未認証の攻撃者は、GlobalProtect (VPN) のゲートウェイおよびポータルに対する妨害を引き起こせる。

偽の PayPal 警告に御用心：従業員の個人情報窃取から企業の侵害へとエスカレート

Hackers Use Fake PayPal Notices to Steal Credentials, Deploy RMMs

2026/01/15 InfoSecurity — 正規の Remote Monitoring and Management (RMM) ツールを悪用し、フィッシングによる侵入を試みる新たなキャンペーンが検出された。この攻撃者は、偽の PayPal アラートを介して、個人および企業へのアクセスを取得している。1月13日 (火) に Cyberproof が公開したアドバイザリによると、この活動は季節的にタイムリーなルアーから、緊急性の高い金融関連テーマへの移行を示しているという。信頼されるリモートアクセス・ソフトウェアが、検出回避のために依然として武器化されている状況を浮き彫りにしている。