August 26, 2026 – IoT OT Security News

Apache Tomcat のセキュリティ脆弱性 12 件が FIX：認証回避／アクセス制御回避／サービス拒否などの恐れ

Apache Tomcat Vulnerabilities Let Attackers Bypass Security Controls and Crash Servers

2026/08/26 CyberSecurityNews — Apache Software Foundation が公表したのは、広く導入されているオープンソースの Java サーブレット・コンテナである Apache Tomcat に存在する、12 件のセキュリティ脆弱性に対する修正と、新たなバージョン 11.0.25 のリリースである。2026年08月25日に公開された一連の脆弱性は、深刻度 Low から Important に及ぶものであり、認証上の問題／アクセス制御の回避／サービス拒否による本番サーバーの停止を引き起こす。エンタープライズ／クラウド／Linux 環境で Tomcat 11.0.0-M1～11.0.24 を運用する組織は、今回の更新を優先度の高いパッチ適用として扱う必要がある。

Linux Foundation が推奨する TRACE：ハードウェアが証明する AI エージェントのガバナンス記録

Linux Foundation Introduces TRACE Standard for AI Runtime Evidence

2026/08/26 InfoSecurity — GenAI において、特に AI エージェントにおいてセキュリティ上の課題となるのは、これらのシステムが実際に行ったことの証明である。Linux Foundation は、AI エージェントの活動の透明性を確保し、監査可能かつ信頼できるものにするために、AI の実行時証跡に関する新たなオープン標準を通じて、この課題への対応を目指している。Trust, Runtime Attestation and Compliance Evidence (TRACE) は、ハードウェアにより証明される、AI エージェントのガバナンス記録に関するオープン仕様であり、AMD／Intel／Microsoft／Technology Innovation Institute (TII) の支援を受けて、コンフィデンシャル・コンピューティング・ベンダーの OPAQUE が開発したものだ。

Next.js の脆弱性 CVE-2026-75604／CVE-N/A が FIX：未認証により RCE の恐れ

Critical Next.js Vulnerabilities Enables Remote Code Execution Attacks

2026/08/26 CyberSecurityNews — Next.js の 2 件の深刻な脆弱性 CVE-2026-75604／CVE-N/A により発生するのは、Image Optimization API を用いて AVIF 画像を処理する Windows 上のアプリケーションでの、認証を必要としないリモート・コード実行である。

WatchGuard Agent のCVE-2026-57910／57909 が FIX：RCE による root／SYSTEM 権限取得の恐れ

Critical WatchGuard Agent Flaws Let Unauthenticated Attackers Execute Remote Code

2026/08/26 gbhackers — WatchGuard は、Windows 向けの WatchGuard Agent に存在する 2 件の重大な脆弱性、CVE-2026-57910 (CVSS 9.3)／CVE-2026-57909 (CVSS 9.4) に関する情報を公表した。これらを悪用する認証されていない攻撃者は、影響を受けるエンドポイント上で任意のコードを実行できる可能性があり、WatchGuard Agent のバージョン 1.25.13.0000 未満が影響を受けることから、悪用に成功した場合は侵害したホストを完全に制御し、Windows システム上で SYSTEM レベルの権限を取得する可能性がある。

Ubiquiti UniFi の 22 件の脆弱性を修正：認証バイパス／コマンド・インジェクション／権限昇格などの恐れ

21 Critical Ubiquiti UniFi Flaws Enable Authentication Bypass, Command Injection and Privilege Escalation

2026/08/26 CyberSecurityNews — Ubiquiti が公表したのは、ほぼすべての UniFi 製品ラインにわたる 22 件の重大な脆弱性の修正内容である。ネットワーク経由でアクセス可能な攻撃者が、これらの脆弱性を連鎖させることで認証の回避とコマンド・インジェクションが可能となり、ルーター／カメラ／アクセス制御システム／クラウド・ゲートウェイなどを完全に制御できるようになると、同社は警告している。

Google Chrome 152 の脆弱性 327 件が FIX：10 件の Critical 評価を含む

Google Chrome 152 Patches 327 Security Flaws, Including 10 Critical Vulnerabilities

2026/08/26 gbhackers — Google は Windows／macOS／Linux 向けに Chrome バージョン 152 をリリースし、Critical と評価された 10 件を含む 327 件のセキュリティ脆弱性に対する修正を行った。すでに、Windows／macOS 向けにはバージョン 152.0.7977.64／.65 が、Linux 向けにはバージョン 152.0.7977.64 が展開されている。

Microsoft SharePoint の脆弱性 CVE-2026-55040／63520 の連鎖：サーバ制御奪取の恐れ

Two Microsoft SharePoint Flaws Can Be Chained to Hack Servers Without a Password

2026/08/26 CyberSecurityNews — Microsoft SharePoint Server に存在する 2 件の深刻な脆弱性を連鎖的に悪用するリモート攻撃者は、認証情報を必要とせずに、脆弱なサーバーを制御する可能性がある。この攻撃チェーンは、SharePoint の JSON Web Token (JWT) 認証ハンドラーに影響を及ぼす脆弱性 CVE-2026-55040 (CVSS 9.1) と、リモート・コード実行 (RCE) の脆弱性 CVE-2026-63520 (CVSS 8.1) を組み合わせるものである。

WordPress TranslatePress の脆弱性 CVE-2026-19632 が FIX：管理者アカウント乗っ取りの恐れ

Critical WordPress TranslatePress Flaw Lets Attackers Take Over Admin Accounts

2026/08/26 gbhackers — WordPress の多言語対応プラグイン TranslatePress に深刻な脆弱性 CVE-2026-19632 (CVSS 9.8) が発見された。この脆弱性を悪用する未認証の攻撃者は、管理者のアカウントを乗っ取り、影響を受ける Web サイトを完全に侵害する可能性がある。TranslatePress のバージョン 3.3.1 以下が影響を受けるが、8月13日の時点で開発元の Cozmoslabs はバージョン 3.3.2 をリリースし、この問題を修正している。40 万以上の WordPress サイトにインストールされているこのプラグインが悪用されると、管理者のパスワード・リセット URL の窃取／アカウント・パスワードのリセット／完全な管理者権限によるログインなどが可能になると、セキュリティ研究者は警告している。

OpenSSL の複数の脆弱性が FIX：リモート攻撃によるメモリ破壊やサーバ・クラッシュの恐れ

Multiple OpenSSL Flaws Let Remote Attackers Crash Servers and Corrupt Heap Memory

2026/08/26 CyberSecurityNews — OpenSSL が発表したのは、暗号ライブラリ全体に存在する 9 件の脆弱性に関するセキュリティ・アドバイザリである。これらの脆弱性は、不正なメモリ書き込みによるヒープ破損から、QUIC および DTLS 実装におけるメモリ枯渇まで多岐にわたる。一連の脆弱性が影響を及ぼす範囲は、OpenSSL 4.0／3.6／3.5／3.4／3.0 など広く導入されているブランチであり、一部の脆弱性は旧版の 1.1.1 系にも影響する。したがって、このライブラリを基盤とする TLS／CMS／CMP サービスを運用する組織にとって、パッチ適用は優先事項となる。

NVIDIA NemoClaw の脆弱性 CVE-2026-65105：DNS リバインディングによる AI エージェントの乗っ取り

NVIDIA NemoClaw Vulnerability Lets Attackers Hijack AI Agents via DNS Rebinding

2026/08/26 gbhackers — NVIDIA NemoClaw に存在する深刻な脆弱性 CVE-2026-65105 を悪用する攻撃者は、悪意のある Web サイトに 1 回アクセスさせるだけで、ユーザーのローカル環境に展開された AI エージェントを永続的に乗っ取る可能性がある。NemoClaw のローカル環境の Ollama が未認証 API へのアクセスを許しており、DNS リバインディング攻撃の影響を受けることを、Oasis Security の研究者 Elad Luz と Ofek Itach が発見した。さらに攻撃者は、AI モデルのチャット・テンプレートを変更することで、侵害後のエージェントとのやり取りにおいても命令を密かに挿入する可能性がある。

SonicWall NetExtender の脆弱性 CVE-2026-66152／66153 が FIX：深刻なパス・トラバーサルの恐れ

SonicWall NetExtender Vulnerabilities Allow an Attacker to Write Arbitrary Files as Root

2026/08/26 CyberSecurityNews — SonicWall が公表したのは、NetExtender の Linux クライアントに存在する 2 件の脆弱性 CVE-2026-66152／CVE-2026-66153 の情報である。このうち 1 件は、攻撃者による root 権限での任意のファイル書き込みを許す可能性がある深刻なパス・トラバーサルの脆弱性である。これらの問題は NetExtender Linux クライアント・バージョン 10.3.5 以下に影響を及ぼすが、すでに修正版としてバージョン 10.3.6 が提供されている。