June 10, 2026 – IoT OT Security News

CISA KEV 警告 26/06/09：Cisco SD-WAN／Chrome V8／Arista EOS の脆弱性を追加

CISA Adds Cisco, Chrome, and Arista Flaws to KEV Catalog Amid Active Exploitation

2026/06/10 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用が報告されていることを受け、Known Exploited Vulnerabilities (KEV) カタログに 3 件の新たな脆弱性を追加したと発表した。

Shadow AI が示す課題：AI 導入が加速する時代の実践的ガバナンスとは？

Shadow AI is Exposing the Same Governance Failures Cybersecurity Teams Have Ignored For Years

2026/06/10 InfoSecurity — 職場における AI の導入は加速し、各組織は AI ガバナンス・ポリシーの整備を急いでいる。従業員による会議の要約／レポートやメールの作成と下書き／意思決定の迅速化などのために、ChatGPT／Microsoft Copilot／Claude といったツールが日常的に利用されている。懸念されるのは、セキュリティ・チームが監視／統制の体制を整備するよりも早く、これらのツールを従業員たちが使い始めている可能性である。

Langflow のパス・トラバーサル脆弱性 CVE-2026-5027 ：実環境での悪用を確認

Path traversal flaw in AI dev platform Langflow exploited in attacks

2026/06/10 BleepingComputer — AI 開発プラットフォーム Langflow に存在する、深刻なパス・トラバーサル脆弱性 CVE-2026-5027 を積極的に悪用する攻撃者が、公開されているサーバに任意のファイルを書き込んでいる。Langflow はオープンソースのビジュアル・プラットフォームであり、従来のコーディングを置き換えるドラッグ＆ドロップ・インターフェイスを用いて、AI アプリケーション／AI エージェント／検索拡張生成 (RAG) システム／MCP ベースのワークフローを構築するためのものだ。AI 開発チームに広く利用されており、GitHub 上で 149,000 以上のスターと 9,200 以上のフォークを獲得している。

中国によるサイバー・キャンペーンが激化：AI が戦略的な標的になってきた

Chinese Cyber Campaigns Intensify as AI Becomes Strategic Target

2026/06/10 SecurityBoulevard — AI 分野の主導権を巡る競争がグローバルで加速する中、テクノロジー企業と AI 資産を標的とする国家支援型サイバー活動の主要な発信源は中国関連の脅威アクターであると、サイバーセキュリティ企業 CrowdStrike は指摘している。

OpenSSL の脆弱性 CVE-2026-45447 などが FIX：任意のコード実行の可能性

Critical OpenSSL Vulnerabilities Enable Remote Code Execution Attacks

2026/06/10 CyberSecurityNews — 2026年6月9日に公開された OpenSSL のセキュリティ・アドバイザリは、特別に細工された PKCS7 または S/MIME 署名メッセージをアプリケーションが処理した場合に発生し得る、リモート・コード実行の脆弱性について警告している。この脆弱性 CVE-2026-45447 (深刻度 High) は、PKCS7_verify 関数に存在するヒープ use-after-free バグに起因する。それにより、メモリ破壊が引き起こされ、特定のデプロイ環境では任意のコード実行に至る可能性がある。

Microsoft Package 73件が武器化：サプライチェーン攻撃による侵害をGitHub が検知

73 Microsoft Packages Weaponized in Password Stealer Attack

2026/06/10 gbhackers — Microsoft の 4 つの組織 (Azure／Azure-Samples／microsoft／MicrosoftDocs) に属する 73 のリポジトリが、105 秒という短い時間の中で、GitHub により無効化された。それぞれのリポジトリに対しては、”This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub’s terms of service” という GitHub のバナーが表示された。

Microsoft RDP の脆弱性 CVE-2026-42908／45639：機密データ漏洩の恐れ

Windows RDP Vulnerabilities Allow Attacker to Expose Sensitive Data

2026/06/10 CyberSecurityNews — Windows Remote Desktop Protocol (RDP) に存在する、情報漏えい脆弱性 CVE-2026-42908／CVE-2026-45639 が、2026年6月9日にリリースされた Microsoft Patch Tuesday で修正された。いずれも RDP スタックにおける境界外読み取りに起因し、深刻度 Important と評価され、CVSS v3 ベーススコアは 7.5 である。

ServiceNow の脆弱性 CVE-N/A：顧客インスタンス・テーブルへの不正クエリの可能性

ServiceNow Confirms Vulnerability Allowing Unauthorized Access to Customer Instance Tables

2026/06/10 CyberSecurityNews — ServiceNow が認めたのは、顧客インスタンスのテーブルに対するクエリ実行を、未認証の攻撃者に許す可能性のある、セキュリティ脆弱性 CVE-N/A の存在である。脅威インテリジェンス・チャネルを通じて明らかになったのは、この問題により、企業環境全体におけるデータ露出や情報漏洩への懸念が高まっていることである。情報によると、不適切なアクセス制御を突く攻撃者が、適切な認証なしにバックエンドのインスタンス・テーブルに対してクエリを実行する可能性があるという。

CISA KEV 警告 26/06/09：Google Chromium の脆弱性 CVE-2026-11645 を登録

CISA Issues Alert on Actively Exploited Google Chromium Zero-Day Flaw

2026/06/10 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、悪意の Web コンテンツを通じて任意のコード実行を可能にする、Google Chromium のゼロデイ脆弱性 CVE-2026-11645 について警告を発出した。この脆弱性は Chromium の V8 JavaScript エンジンに影響する境界外読み取りおよび書き込みの問題を含むものであり、CWE-787／CWE-125 に分類される。細工された HTML ページを、ユーザーが閲覧する際にトリガーされる欠陥であり、リモートの攻撃者に対して、ブラウザのサンドボックス内での任意のコード実行を許す可能性がある。

Ivanti Sentry の脆弱性 CVE-2026-10520／10523 が FIX：root 権限での RCE

Ivanti: Max severity Sentry flaw allows code execution as root

2026/06/10 BleepingComputer — セキュリティ・ソフトウェア企業 Ivanti が公開したのは、同社のセキュア・モバイル・ゲートウェイ・ソリューションである Ivanti Sentry に存在する 2 件の深刻な脆弱性に対処するためのパッチである。それらの脆弱性には、リモートの攻撃者に root 権限でのコード実行を許す最大深刻度の欠陥も含まれている。

Fortinet FortiSandbox の脆弱性 CVE-2026-25089 が FIX：OS コマンド・インジェクション

Fortinet FortiSandbox Vulnerability Lets Attackers Execute Unauthorized Commands

2026/06/10 gbhackers — Fortinet が公表したのは、FortiSandbox 製品における深刻な脆弱性に関する情報である。この脆弱性 CVE-2026-25089 を悪用する未認証の攻撃者は、不正なコマンド実行の可能性を手にするため、マルウェア分析のためにサンドボックスを利用する企業にとって重大な懸念となる。