May 4, 2026 – IoT OT Security News

CISA KEV 警告 26/05/01：Linux Kernel の脆弱性 “Copy Fail” CVE-2026-31431 を KEV に登録

CISA Warns of Linux “Copy Fail” 0-Day Vulnerability Exploited to Root Systems

2026/05/04 CyberSecurityNews — 米国の CISA は、Linux カーネルの深刻なゼロデイ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、連邦機関および世界中の組織に対して、即時のパッチ適用もしくは影響を受けるシステムの使用停止を求めた。Copy Fail と呼ばれる脆弱性 CVE-2026-31431 (CVSS：7.8：High) は、CWE-699 (Incorrect Resource Transfer Between Spheres) に分類される。

AI エージェントの半分は制御不能：MCP と Skill の比較をベースに最適解を求める

The Half of Agent Security You’re Not Governing

2026/05/04 SecurityBoulevard — 多くのセキュリティチームが、AI エージェント・リスクに直面しているが、そこで用いられる手法は従来のものである。具体的には、MCP サーバのスキャン／サプライチェーン監査／既知の脆弱性の検出であるが、それらが対応するのは、攻撃対象領域の可視部分に過ぎない。残る半分は、エージェントが実行するコードではなく、その推論プロセスへの対応である。この領域は、構造化されたログを生成せず、アラートも発生せず、フォレンジック痕跡もほとんど残さない。

Cisco が公開した AI Provenance Tool：AI モデルの系譜を追跡するオープンソース・ツール

Cisco Launches AI Provenance Tool to Strengthen Security and Compliance

2026/05/04 gbhackers — Cisco が公開した Model Provenance Kit は、AI モデルの正確な系譜を追跡するためのオープンソース・ツールである。AI モデルは多数のエンタープライズ・アプリケーションに統合されているが、その出自の特定は依然として大きなセキュリティ課題である。このツールは、複雑な AI サプライチェーンの透明性向上とコンプライアンス対応を目的とする。

CISA KEV の修正期間が 3 日に短縮？ Anthropic Mythos などの登場が脆弱性への対応を変化させる

U.S. Officials Consider Three-Day Patch Rule in Wake of Anthropic’s Mythos

2026/05/04 SecurityBoulevard — Anthropic の Mythos および OpenAI の GPT-5.4-Cyber といった先端 AI モデルの登場を受け、政府当局が関連機関に課している重大な脆弱性の修正期限について、大幅な短縮を検討していると報じられている。これらの AI モデルは、ソフトウェア脆弱性の検出だけではなく悪用にも優れている。

Progress MOVEit の脆弱性 CVE-2026-4670／5174 が FIX：認証バイパスと権限昇格の恐れ

Critical MOVEit Vulnerabilities Enables Authentication Bypass

2026/05/04 CyberSecurityNews — Progress Software が公開したのは、同社の MOVEit Automation プラットフォームに存在する深刻なセキュリティ脆弱性の情報である。2026年4月に発出された、この脆弱性を悪用する攻撃者は、セキュリティ・チェックをバイパスしてシステム全体を完全に制御する可能性がある。同社は、2 件の深刻な脆弱性 CVE-2026-4670／CVE-2026-5174 について注意を喚起している。

CISA KEV 警告 26/04/30：cPanel & WHM／WP Squared の脆弱性 CVE-2026-41940 を登録

CISA Alert Highlights Active Exploitation of cPanel & WHM Security Bug

2026/05/04 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、WebPros の cPanel & WebHost Manager (WHM) および WordPress Squared (WP2) に影響を及ぼす、深刻なセキュリティ脆弱性 CVE-2026-41940 (CVSS：9.8) について警告を発した。2026年4月30日に CISA は、この脆弱性を Known Exploited Vulnerabilities (KEV) カタログに正式に追加し、実環境の攻撃で積極的に悪用されていることを確認した。

Apache MINA の脆弱性 CVE-2026-42778／42779 が FIX：デシリアライズ欠陥と RCE の恐れ

New Apache MINA Vulnerabilities Open Door to Remote Code Execution Attacks

2026/05/04 gbhackers — Apache MINA プロジェクトが公開したのは、2 件の深刻な脆弱性 CVE-2026-42778／CVE-2026-42779 に対処する緊急のセキュリティ・アップデートである。これらの脆弱性を悪用するリモート攻撃者は、任意のコード実行を可能にする。すでに Apache MINA の開発チームは、バージョン 2.2.7／2.1.12 をリリースし、これらの問題に対処している。

FreeBSD DHCP クライアントの脆弱性 CVE-2026-42511 が FIX：root 権限での任意のコード実行

FreeBSD DHCP Client Vulnerability Enables Remote Code Execution as Root

2026/05/02 CyberSecurityNews — FreeBSD Project が公開したのは、デフォルトの IPv4 DHCP クライアントに存在する深刻な脆弱性に対処する重要なセキュリティ・アドバイザリである。この脆弱性 CVE-2026-42511 (CVSS 8.1) を悪用するローカル・ネットワーク上の攻撃者は、root 権限で任意のコード実行を達成し、侵害したマシンの完全な制御を可能にする。AISLE Research Team の Joshua Rogers により発見された、この脆弱性は、現時点でサポートされている FreeBSD の全バージョンに影響を及ぼす。