September 23, 2026 – IoT OT Security News

Adobe Connect／Experience Manager の脆弱性 9件が FIX：任意のコード実行や権限昇格の恐れ

Adobe Patches Critical Flaws in Connect, AEM Forms

2026/09/23 securityweek — Adobe が 9月22日 (火) に公表したのは、Adobe Connect の 9 件の脆弱性に対するパッチ情報である。このうち 6件は、任意のコード実行／権限昇格に悪用され得る深刻な脆弱性 CVE-2026-75682／CVE-2026-75684／CVE-2026-75686／CVE-2026-75689／CVE-2026-75697／CVE-2026-75698 であり、SQL インジェクション／クロスサイト・スクリプティング (XSS)／不適切な入力検証などに起因すると説明されている。また、任意のファイルシステム読み取り／セキュリティ機能のバイパス／任意のコード実行につながる可能性がある、深刻度の高いパス・トラバーサル／不適切な証明書検証／XSS などの脆弱性も修正されている。

IBM FTM の複数の脆弱性が FIX：任意のコード実行や決済システムへの不正アクセスの恐れ

Critical IBM FTM Flaws Let Attackers Execute Code and Access Payment Systems

2026/09/23 CyberSecurityNews — IBM は、Financial Transaction Manager for Red Hat OpenShift で特定された複数の脆弱性に対するセキュリティ修正を公表し、リモート・コード実行／不正な決済操作／認証情報の窃取／データ漏洩／サービス妨害につながる可能性があると警告している。最も深刻な脆弱性の CVSS スコアは最大 9.9 であり、FTM バージョン 4.0.6.0 〜 4.0.10.0 に影響を及ぼす。Financial Transaction Manager は決済ワークフローの管理／処理に使用され、決済データ／トランザクション・ルール／オペレーター・セッション／ビジネスロジックを扱うため、攻撃者による悪用が金融機関の業務に深刻な影響を与える可能性がある。

NVIDIA Infrastructure Controller の脆弱性 14 件が FIX：コード実行や権限昇格などの可能性

NVIDIA Infrastructure Controller Hit by 14 Flaws Enabling Code Execution and Privilege Escalation

2026/09/23 gbhackers — NVIDIA は、Linux ベースのインフラ管理ソフトウェア Infrastructure Controller に存在する 14 件の脆弱性を修正したバージョン 2.0 を公開した。このアップデートには、ハードコードされた認証情報に関する深刻な脆弱性に加えて、コード実行／権限昇格／データ改ざん／サービス拒否 (DoS)／情報漏えいにつながる可能性のある複数の問題に対する修正が含まれている。

GitLab メール機能の脆弱性：プライベート・リポジトリへのコード・プッシュの恐れ

GitLab Email Feature Vulnerability Lets Attackers Push Code Into Private Repositories

2026/09/23 CyberSecurityNews — GitLab の「Email work item to this project」機能では、非公開のメール・アドレスの漏洩からリポジトリ侵害につながる可能性があることを、Aikido Security の研究者 Joe Leon が 2026年9月23日に調査結果として公開した。このアドレスには、長期間有効な glimt- 受信メールトークンが含まれている。GitLab の説明によると、このトークンに有効期限はなく、秘密として保持する必要がある。また、GitLab のドキュメントでは、このトークンを所持する人物が、トークンの所有者として Issue／Merge Request を作成できることが確認されている。

Arista の脆弱性 CVE-2026-93952 が FIX：実環境での悪用を検出

Arista patches actively exploited VeloCloud Orchestrator zero-day

2026/09/23 BleepingComputer — Arista Networks が公表したのは、VeloCloud Orchestrator (VCO) On-Prem に影響するゼロデイ脆弱性 CVE-2026-93952 に対するセキュリティ・パッチであり、実環境で積極的に悪用されていると警告している。VCO はクラウドベースの集中管理プラットフォームであり、管理者による VeloCloud SD-WAN (Software-Defined Wide Area Network) と関連するエッジデバイスの設定／監視／管理を支援する。

HPE Networking ALE の 10件の脆弱性が FIX：アプライアンス侵害や root 権限コマンド実行の恐れ

HPE Networking Analytics Engine Flaws Let Attackers Gain Root Access

2026/09/23 gbhackers — Hewlett Packard Enterprise (HPE) が公表したのは、Networking Analytics and Location Engine (ALE) に存在する 10 件の脆弱性に対するセキュリティ・アップデートであり、アプライアンスの完全な侵害や root 権限でのコマンド実行につながる可能性があるとしている。最も深刻な脆弱性は CVE-2026-76708／CVE-2026-76709 で、いずれも CVSS スコアは 9.8 であり、認証を必要とせず、リモートから悪用される可能性がある。

Next.js ImageResponse 脆弱性 CVE-2026-94545 が FIX：細工された SVG によるコード実行

Critical Next.js ImageResponse Flaw Can Lead to Server Code Execution via Crafted SVG Input

2026/09/23 TheHackerNews — Vercel は、Next.js の ImageResponse に存在する脆弱性 CVE-2026-94545 に関する情報を公表し、攻撃者がサーバ上でコードを実行する可能性があると指摘している。ImageResponse は、Open Graph などのソーシャル・プレビュー用の画像を生成する機能であり、リクエスト URL から取得したテキストなどの、攻撃者が制御する値をアプリが画像へ組み込む場合に、この脆弱性の影響を受ける恐れがある。

AWS の脆弱性 CVE-2026-94384 が FIX：Lambda 関数による IAM バイパスの恐れ

AWS Lambda Flaw Lets Attackers Bypass IAM Permissions and Access Cloud Services

2026/09/23 CyberSecurityNews — AWS が公表したのは、Amazon Connect Salesforce Lambda アプリケーションに存在する深刻度の高い認可の脆弱性である。それにより、割り当てられた IAM 権限を昇格させた攻撃者が、特権を必要とするクラウド操作を実行する可能性があると、AWS は警告している。この脆弱性 CVE-2026-94384 は、AmazonConnectSalesforceLambda バージョン 5.15 ～ 5.24.16 に含まれる、sfExecuteAWSService Lambda 関数に影響を及ぼす。

SolarWinds の脆弱性 CVE-2026-28324／28325 が FIX：Observability Server 上での RCE

Critical SolarWinds Flaws Let Attackers Remotely Execute Code on Observability Servers

2026/09/23 CyberSecurityNews — SolarWinds は、Observability Self-Hosted に存在する 2 件の深刻な脆弱性を修正するバージョン 2026.2.3 を 2026年9月22日にリリースした。これらの脆弱性 CVE-2026-28324／CVE-2026-28325 は、デフォルト以外の特定の構成／通信モードに影響する。Web Performance Monitor (WPM) プレーヤーを使用する環境で SolarWinds Observability Self-Hosted を運用している組織にとって、今回のアップデートは特に重要である。

WordPress の脆弱性 CVE-2026-87902 が FIX：未認証 RCE の恐れ

Critical WordPress Flaw Lets Unauthenticated Attackers Execute Remote Code

2026/09/23 gbhackers —

WordPress が、重大なパス・トラバーサルの脆弱性 CVE-2026-87902 を修正するバージョン 7.1.2 をリリースした。特定のサーバ／テーマ構成において、この脆弱性を悪用する未認証の攻撃者は、リモート・コード実行 (RCE) を引き起こす可能性がある。この脆弱性は WordPress 4.7 まで遡るバージョンに影響を及ぼし、CVSS v4 スコアは 9.2 と評価されている。

ManageEngine の脆弱性 CVE-2026-74849 が FIX：Windows ログイン画面からの SYSTEM 権限でのコード実行

Critical ManageEngine Flaw Lets Attackers Gain SYSTEM Access Through Windows Login Screen

2026/09/23 CyberSecurityNews — ManageEngine が公表したのは、ADSelfService Plus の深刻なリモート・コード実行の脆弱性に関する情報である。この脆弱性を悪用する未認証の攻撃者は、Windows デバイスのログイン画面を介して NT AUTHORITY\SYSTEM 権限でコードを実行する可能性がある。脆弱性 CVE-2026-74849 の影響が生じる範囲は、ビルド 7000 以下の GINA クライアントであり、組織にはビルド 7001 以降への速やかなアップグレードが必要である。

Chrome 154 のリリースと脆弱性 108件の修正：GPU／WebGL／ANGLE などに 11件の Critical 欠陥

Chrome Update Fixes 108 Vulnerabilities Including Critical GPU, WebGL and ANGLE Flaws

2026/09/23 gbhackers — Google は、Windows／macOS／Linux 向けの Stable チャネルに Chrome バージョン 154 をリリースし、108 件のセキュリティ脆弱性を修正した。このアップデートでは、ANGLE／GPU／WebGL コンポーネントにおけるメモリセーフティの問題など 11 件の深刻な脆弱性が修正されており、ブラウザを介した攻撃に悪用される可能性があるとされる。Linux ユーザーには Chrome バージョン 154.0.8037.57、Windows／macOS ユーザーにはバージョン 154.0.8037.57／58 が提供される。

F5 BIG-IP OAuth Server のゼロデイ脆弱性 CVE-2026-94127：実環境での攻撃を観測

Hackers Exploiting F5 BIG-IP OAuth Server 0-day Flaw to Gain Remote Code Execution

2026/09/23 CyberSecurityNews — F5 が公表したのは、BIG-IP Access Policy Manager (APM) の導入環境に存在する深刻なゼロデイ脆弱性の情報であり、認証を必要としないリモート攻撃者によるコード実行につながる攻撃に悪用されていると警告している。この脆弱性 CVE-2026-94127 が影響を及ぼす範囲は、APM アクセス・ポリシー、OAuth プロファイルの両方が設定された仮想サーバであり、APM が OAuth 認可サーバーとして動作する環境への影響が顕著である。