Shadow AI is everywhere. Here’s how to find and secure it.
2026/09/15 BleepingComputer — 現在、AI ツールは至るところで利用され、組織内のほぼ全員が使用している。IT／Security チームにとっての課題は、「AI の利用を許可すべきか？」から「AI の利用環境をどのように保護／管理するか？」へと移っている。それは決して小さな課題ではなく、新しい AI ツールや連携機能が絶えず追加されている一方、IT 部門が把握／監督していない状態で、新しい AI ツールや連携機能が導入されている。
Day: September 16, 2026
Parallels Desktop の脆弱性 CVE-2026-90894：パッチ提供前の root アクセス阻止のために
Parallels Desktop Flaw Lets Unprivileged Mac Users Gain Root Access
2026/09/16 gbhackers — Parallels Desktop に存在する深刻なローカル権限昇格の脆弱性は、JFrog の Vulnerability Research チームに所属する Yuval Moravchick により公表され、ParaShells と名付けられた CVE-2026-90894 である。この脆弱性を悪用する権限を持たない macOS ユーザーや悪意のあるプロセスにより、ホスト・システム上の root 権限が奪取される可能性がある。
Oracle の 2026年9月 Critical Security Patch Update (CSPU)：673 件の脆弱性を修正
Oracle Critical Security Update – 673 Vulnerabilities Patched Across Product Families
2026/09/16 CyberSecurityNews — Oracle がリリースした 2026年9月の Critical Security Patch Update (CSPU) は、これまでの中で最大規模の月次セキュリティ・アップデートであり、673 件のセキュリティ修正を提供するものである。9月15日に公開されたアドバイザリは、17 の製品ファミリーを対象とし、100 件を超える重大な脆弱性に対処しているほか、240 件を超える脆弱性が認証を必要とせずにリモートから悪用できるため、ネットワーク経由の攻撃者による悪用が可能となる。これにより、同社の企業向けソフトウェア製品群にまたがる深刻な脆弱性が修正される。
Apache Superset の脆弱性 CVE-2026-23980：SQLi の PoC が登場
Apache Superset SQL Injection Flaw Gets Public PoC Exploit
2026/09/16 gbhackers — Apache Superset プロジェクトが警告するのは、2026年2月に公表された、バージョン 6.0.0 未満のバージョンに存在する SQL インジェクション脆弱性 CVE-2026-23980 に対する PoC エクスプロイトの公開である。この問題は、SQL コマンド内の特殊要素を適切に無害化しない脆弱性に分類されている。Apache によると、読み取りアクセス権を持つ認証済みユーザーは、sqlExpression／where パラメータを通じてエラーベースの SQL インジェクションを実行できる。
HPE Networking EdgeConnect SD-WAN の複数の脆弱性が FIX：リモート攻撃者による乗っ取りの恐れ
Critical HPE Vulnerabilities Allow Remote Attackers to Achieve Complete System Compromise
2026/09/16 CyberSecurityNews — Hewlett Packard Enterprise (HPE) が 2026年9月15日に公表したのは、HPE Networking EdgeConnect SD-WAN Gateways／SD-WAN Orchestrator に影響する数十件の脆弱性に関する情報と、セキュリティ・アップデートのリリースであり、一連の脆弱性を Security Bulletin HPESBNW05135 として追跡している。最も深刻な脆弱性は、EdgeConnect SD-WAN の導入環境で使用される管理インターフェイス／API に影響を及ぼし、影響を受けるシステムがリモート攻撃者に完全に掌握される可能性がある。
WSO2 の脆弱性 CVE-2026-5430：N-Day 攻撃の実態を WatchTowr が警告
Enterprises Warned of Attacks Exploiting WSO2 Vulnerability
2026/09/16 SecurityWeek — 2026年4月に修正された WSO2 の深刻度が Critical の脆弱性が、機密データへのアクセスを狙う攻撃者により実環境で悪用されている。WSO2 は、ハイブリッド／マルチクラウド環境全体で API／サービス／ID の設計／保護／統合／管理に利用されるオープンソースのミドルウェア・プラットフォームであり、銀行／政府機関／通信／物流などの分野における世界中の約 1,000 社の企業顧客に加え、OEM やパートナーを通じて数千の組織にも採用されている。
Continue reading “WSO2 の脆弱性 CVE-2026-5430：N-Day 攻撃の実態を WatchTowr が警告”Apache Syncope の脆弱性である CVE-2026-82232／77147／73178 が FIX：深刻な SQLi などの恐れ
Apache Syncope Vulnerabilities Allow Attackers to Execute Malicious Code and Bypass Controls
2026/09/16 CyberSecurityNews — Apache Syncope が公表したのは、権限を持つ管理者による悪意の SQL コマンドの実行／Groovy サンドボックス保護の回避／高権限ユーザーへのなりすましなどにつながる、3 件の深刻なセキュリティ脆弱性の情報である。これらの問題は、Apache Syncope 3.0／4.0／4.1 の複数のリリースに影響するものであり、すでにバージョン 4.0.8／4.1.3 で修正済みである。
CISA KEV 警告 26/09/11：ScreenConnect の脆弱性 CVE-2026-84869 を登録
Critical ScreenConnect flaw now actively exploited in attacks
2026/09/16 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、ConnectWise ScreenConnect に影響する深刻度が高い脆弱性 CVE-2026-84869 の Known Exploited Vulnerabilities (KEV) カタログへの追加であり、実環境で悪用されていることを警告している。ConnectWise は 9月7日の時点で、この認可の欠落による脆弱性に対する潜在的な攻撃を防ぐための一時的な緩和策を公開し、TransferFiles 権限を無効化するようセキュリティチームに推奨していた。
Chrome 153 と Firefox 156 がリリース：合計で 115 件の脆弱性が FIX
Chrome, Firefox Updates Patch 115 Vulnerabilities
2026/09/16 SecurityWeek — Google と Mozilla は、Chrome／Firefox ユーザー向けの新たなセキュリティ・アップデートをリリースし、合計 115 件の脆弱性を修正した。新しい Chrome 153 では、深刻度が Critical の 3 件と High の 28 件を含む 42 件のセキュリティ上の欠陥が修正された。深刻度が Critical の脆弱性には、WebGL の境界外読み取り脆弱性 CVE-2026-91726、Internals の解放後使用脆弱性 CVE-2026-91721、Workers の解放後使用脆弱性 CVE-2026-91749 が含まれる。
Check Point の脆弱性 CVE-2026-91843 が FIX：root 権限による任意のコード実行の可能性
Check Point Vulnerability Lets Remote Hackers Gain Root Access Without Authentication
2026/09/16 CyberSecurityNews — Check Point は、深刻度が Critical のスタック・バッファ・オーバーフローの脆弱性 CVE-2026-91843 を公表し、緊急のセキュリティ修正をリリースした。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるセキュリティ管理／ログシステム上で root 権限による任意のコード実行が可能になる。この脆弱性の CVSS 3.1 スコアは 9.8 であり、ネットワーク経由で悪用可能で、攻撃の複雑性が低く、権限およびユーザー操作が不要という特性を持つ。さらに、ログイン処理中に攻撃者が制御する過度に長いユーザー名が渡されることで、認証の完了前にスタック・オーバーフローが発生する可能性がある。
