VMSA-2026-0005: VMware Avi Load Balancer addresses multiple vulnerabilities
2026/07/14 Broadcom —Broadcom がユーザー組織に対して強く推奨するのは、VMware Avi Load Balancer に対して提供されている複数の脆弱性に対する修正プログラムの速やかな適用である。特に、認証バイパス脆弱性 CVE-2026-47865 (CVSSv3：9.8) を悪用する、ネットワーク・アクセスを持つ悪意のユーザーは、認証メカニズムを回避して Avi Control Plane へアクセスする可能性がある。また、認可バイパス脆弱性 CVE-2026-47866 (CVSSv3：8.3) を悪用するリモート攻撃者は、適切な認可を必要とせずに、Avi Control Plane の限定された範囲へアクセスする可能性がある。
Continue reading “VMware Avi Load Balancer の複数の脆弱性：認証回避やコード実行の恐れ”xAI Grok CLI Exposed Developer Code Through Automatic Whole-Repository Uploads
2026/07/14 gbhackers — xAI の Grok Build CLI バージョン 0.2.93 のデフォルト設定に対する再現可能なワイヤレベル分析により、未追跡のファイルおよびコミット履歴を含む Git リポジトリ全体が、xAI のインフラへ送信されていたことが判明した。この挙動により、エージェントがアクセスしたファイルの内容も、編集や秘匿化が行われることなく送信されており、その中には模擬認証情報を含むテスト用の “.env” ファイルも含まれていたと、研究者たちは指摘している。
Claude for Chrome Vulnerability Lets Attackers Read Gmail, Docs, and Calendar Data
2026/07/14 CyberSecurityNews — Anthropic の Chrome ブラウザ・エクステンション Claude for Chrome に、2 件の未修正の脆弱性が残存することが判明した。これらの脆弱性を悪用する攻撃者は、わずか 6 行の JavaScript を使用するだけで、被害者の Gmail／Google Docs／Google Calendar のデータを読み取ることが可能になる。また、8 回のリリースを経た最新バージョン v1.0.80 においても、これらの脆弱性は依然として修正されていない。これらの問題は2026年5月の時点で Manifold の研究者により報告されたが、2026年7月7日にリリースされた最新バージョン v1.0.80 においても、両方の脆弱性が再現可能であることが確認されている。
Fortinet Patches Seven Vulnerabilities Across FortiOS, FortiProxy, FortiPAM, and FortiSandbox
2026/07/14 CyberSecurityNews — 2026年7月14日付けで Fortinet が公開したのは、FortiOS／FortiProxy／FortiPAM／FortiSandbox に影響を及ぼす 7 件の脆弱性に関する新たなセキュリティ・アドバイザリである。これらの欠陥は、低深刻度のヘッダー・インジェクションから、中深刻度のバッファ・オーバーフロー、そして特に懸念される FortiSandbox における認証不要の VNC 露出までの多岐にわたるものだ。
WinFsp Race Condition Flaw Allows Attackers to Gain SYSTEM-Level Access on Windows
2026/07/14 gbhackers — Windows File System Proxy (WinFsp) の新たな脆弱性を悪用するローカル攻撃者が、カーネルヒープ・オーバーフローを引き起こす競合状態を介して、SYSTEM レベルの権限を取得する恐れがある。Cyber Security Agency of Singapore (CSA) が、2026年4月27日に公開したアドバイザリによると、この脆弱性 CVE-2026-3006 は、WinFsp のバージョン 2.1.25156 以前に影響を及ぼす。すでに WinFsp のメンテナは、セキュリティ更新をリリースし、この問題に対処している。管理者に求められるのは、速やかなアップグレードである。
Continue reading “WinFsp の競合状態の脆弱性 CVE-2026-3006 が FIX：Windows SYSTEM 権限奪取の恐れ”CISA Warns of Decades-Old Cisco IOS Vulnerability Actively Exploited in Attacks
2026/07/14 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Cisco IOS のバージョン 12.4(12)／12.4(4) に影響を及ぼす Cross-Site Request Forgery (CSRF) 脆弱性 CVE-2008-4128 を、2026年7月13日付けで Known Exploited Vulnerabilities Catalog に追加した。この脆弱性は、攻撃者によりアクティブに悪用されており、公開から何年も経過した後のレガシーなネットワーク・デバイスの欠陥が、セキュリティ・リスクをもたらすことを示している。
2026/07/14 gbhackers — ServiceNow が公表したのは、同社の AI Platform に存在する重大なリモート・コード実行の脆弱性に対処するための、セキュリティ更新のリリースである。この脆弱性 CVE-2026-6875 を悪用する未認証の攻撃者は、影響を受ける ServiceNow 環境内でのコード実行の可能性を得る。この問題は、ServiceNow AI Platform に影響を及ぼすサンドボックス・エスケープの欠陥であると説明されている。
Continue reading “ServiceNow AI Platform の脆弱性 CVE-2026-6875：サンドボックス・エスケープと RCE に関する注意喚起”Chrome Extension Used by 1.6 Million Users Silently Included Data Exfiltration Capabilities
2026/07/14 CyberSecurityNews — 広く利用されるブラウザ・エクステンション ModHeader が、Chrome Web Store から削除された。その署名済みリリースに含まれるものとして、ユーザーの閲覧ドメイン・データの収集と暗号化を行い、休眠状態ではあるがアップロードを実行する機能が備わっていることを、研究者が発見したからである。Chrome と Microsoft Edge を合わせると、このエクステンションは約 160 万件もインストールされたと報じられている。ModHeader は、HTTP リクエスト・ヘッダーおよびレスポンス・ヘッダーを変更するための、正規の開発者向けユーティリティである。
Microsoft July 2026 Patch Tuesday fixes massive 570 flaws, 3 zero-days
2026/07/14 BleepingComputer — 今日は Microsoft の July 2026 Patch Tuesday の日であり、攻撃で悪用された 2 件のゼロデイ脆弱性と、公開済みの 1 件を含む、570 件の欠陥に対するセキュリティ更新が提供された。今月の Patch Tuesday は、59 件の Critical 脆弱性に対処している。その内訳は、48 件がリモート・コード実行／9 件が権限昇格／1 件がセキュリティ・バイパス／1 件がスプーフィングとなっている。
Continue reading “Microsoft 2026-07 月例アップデート：Critical 3 件を含む 570 件の脆弱性に対応”ShinyHunters Hackers Abuse Salesforce OAuth to Bypass MFA and Exfiltrate CRM Data
2026/07/14 gbhackers — ShinyHunters と TTP が重複する、大規模なキャンペーンが検出された。この攻撃者は、信頼されている Salesforce OAuth 関係を悪用し、従来型の MFA 保護をバイパスし、永続化を確立した後に、CRM データを大規模に外部へ持ち出していた。このアクティビティは、2025年半ばから2026年半ばにかけて観測され、小売／教育／製造業の組織に影響を及ぼした。
Continue reading “Salesforce の OAuth をバイパスするキャンペーンを検出：CRM データを抽出し続ける ShinyHunters”
IoT OT Security News 