91 Spring CVEs Impact Over 209,000 Software Components Across the Supply Chain
2026/08/25 gbhackers — Broadcom が 8月20日に公表したのは、Spring Framework および関連プロジェクトに影響を及ぼす 91 件の脆弱性である。それに伴い必要となるのは、ソフトウェア・サプライチェーン全体に対する対策であり、209,569 個のソフトウェア・コンポーネントが影響を受けると、Sonatype は推定している。このアドバイザリが示すのは、AI による脆弱性発見の加速と、ソフトウェアの特定／修正／再ビルド／展開を行う組織の能力との間で、ギャップが拡大していることである。
Day: August 25, 2026
CISA Red Team による重要インフラ侵入テスト：明らかにされた SOC と Cloud のギャップとは？
CISA Red Team Breaches Critical Infrastructure to Reveal SOC and Cloud Security Gaps
2026/08/25 CyberSecurityNews — CISA がレッド・チーム向けに公開した最新アドバイザリが警告するのは、重要インフラ事業者がセキュリティ対策に多額の資金を投入してセキュリティ製品を導入しても、それだけでは十分に機能しない可能性があることだ。その理由は、アラートに効果的に対応するには訓練を受けたアナリストが必要となるからである。CISA の “A Tale of Two SOCs” レポートでは、並行して実施された 2 件のレッド・チーム演習を比較している。一方では Government Services and Facilities Sector の組織を対象とし、もう一方では Water and Wastewater Systems Sector の組織を対象として、ほぼ同一の攻撃手法を使用した。注目すべきは、その結果に大きな違いが生じたことだ。
WordPress miniOrange SAML SSO の脆弱性 CVE-2026-61979／15981 が FIX：Admin 権限奪取の恐れ
Hackers Exploit Critical miniOrange SAML SSO Flaws to Hijack WordPress Admin Accounts
2026/08/25 CyberSecurityNews — WordPress miniOrange SAML 2.0 Single Sign-On プラグインに存在する 2 件の深刻な脆弱性を悪用する未認証の攻撃者は、管理者を含む任意の既存ユーザーとして脆弱な WordPress サイトにログインする可能性がある。これらの脆弱性 CVE-2026-61979 (CVSS 9.8)／CVE-2026-15981 (CVSS 9.8) については、実環境での悪用の試みとの関連が確認されている。
CISA KEV 警告 26/08/24：Oracle HTTP Server の脆弱性 CVE-2026-21962 を登録
Hackers Exploit Critical Oracle HTTP Server Flaw to Access and Modify Sensitive Data
2026/08/25 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実環境で活発に悪用されていることを受け、Oracle HTTP Server の脆弱性 CVE-2026-21962 を Known Exploited Vulnerabilities (KEV) カタログに追加した。CVE-2026-21962 は、Oracle HTTP Server と Oracle WebLogic Server Proxy Plug-in に影響し、CISA はこの問題を不適切なアクセス制御の脆弱性に分類している。この脆弱性を悪用する攻撃者は、認可制御を回避し、本来保護されるべき機密性の高いリソースへアクセスする可能性がある。
Palo Alto GlobalProtect の脆弱性である CVE-2026-0251 などが FIX：ローカル権限昇格の恐れ
Researcher Discloses Five High-Risk Vulnerabilities in Palo Alto GlobalProtect VPN
2026/08/25 CyberSecurityNews — Palo Alto Networks の GlobalProtect に存在する 5 件の脆弱性が、セキュリティ研究者から責任ある形で開示された。これらの脆弱性は、世界中の数千のエンタープライズ・ネットワークで使用されている VPN およびエンドポイント・エージェントの GlobalProtect に影響を及ぼすものであり、専用の調査 Web サイトで公開された情報は、研究者が協調的な開示の規範に従った場合に、ベンダーが脆弱性へ対応する方法についての議論を改めて浮き彫りにしている。
Red Hat Keycloak 脆弱性 CVE-2026-18963 が FIX：パスワード・リセットによるアカウント乗っ取りの恐れ
Critical Red Hat Keycloak Password Reset Flaw Enables Unauthenticated Account Takeover
2026/08/25 gbhackers — Red Hat が公表したのは、Red Hat Build of Keycloak に存在する深刻な脆弱性の情報である。この欠陥を悪用する未認証のリモート攻撃者は、パスワード・リセット手順の重要な保護機能を回避して任意のユーザー・アカウントを乗っ取る可能性がある。CVE-2026-18963 (CVSS v3.1：9.1) は、エンタープライズ向け Keycloak 製品群の中核となるアイデンティティ／アクセス管理エンジンである keycloak-services コンポーネントに影響を及ぼし、Red Hat は深刻度を Critical と評価している。
TP-Link Archer の 3件の脆弱性が FIX：ルーターの機密性／完全性／可用性が損なわれる恐れ
Multiple TP-Link Archer Vulnerabilities Enable Command Injection Attacks
2026/08/25 CyberSecurityNews — TP-Link が公表したのは、Archer BE800 V1／Archer BE3600 V1／Archer AX75 V1 ルーターに影響を及ぼす、3 件のコマンド・インジェクション脆弱性 CVE-2026-9254／CVE-2026-16348／CVE-2026-78541 である。2026年8月24日に更新されたセキュリティ・アドバイザリにおいて、その詳細が公表されている。
