OAuth grants pile up faster than you can review them. Here’s how to keep up.
2026/10/08 BleepingComputer — 従業員が OAuth の同意画面で「許可」をクリックするたびに、アプリに継続的なアクセス権が付与される。AI 議事録作成ツールはカレンダーへのアクセス権を取得する。タスク管理ツールは Slack へのアクセス権を取得する。新しい開発ツールはコードリポジトリへのアクセス権を取得する。こうした判断と操作は、いずれも数秒で完了する。しかし、その妥当性を適切に審査するには、はるかに長い時間が必要となる。
Day: October 8, 2026
Splunk の脆弱性 CVE-2026-76268 が FIX：認証とユーザー操作が不要の RCE
Splunk Patches Critical 9.8 Flaw Allowing Unauthenticated Remote Command Execution
2026/10/08 CyberSecurityNews — Splunk がリリースしたのは、攻撃者に対してログイン不要の OS コマンド実行を許す、深刻な Splunk Enterprise の脆弱性を修正するセキュリティ・アップデートである。この脆弱性 CVE-2026-76268 (CVSS 9.8) は、2026年10月7日に公表された。この脆弱性が影響を及ぼす対象は、サーチヘッド・クラスタのメンバー上で動作する Patroni REST API である。認証が欠如しているため、ネットワーク経由でアクセス可能な攻撃者に、重要な設定操作が公開される状態になっている。
Citrix NetScaler の脆弱性 CVE-2026-88771：リバースシェルと永続的なアクセスの確立を確認
Critical Citrix NetScaler CVE-2026-88771 Exploited for Reverse Shells and Persistent Access
2026/10/08 gbhackers — Citrix NetScaler ADC／NetScaler Gateway に存在する、深刻な認証前コマンド・インジェクションの脆弱性 CVE-2026-88771 を悪用する攻撃者が、リバースシェルの設置、特権アカウントの作成、永続的なアクセスの確立を行っている。LevelBlue の Threat Hunt Operations & Research (THOR) チームが特定したのは、複数の顧客環境で発生した不審な認証イベントであり、そこには脆弱性の検証だけではなく、ペイロードの実行／設定情報の窃取の試みなどの活動が記録されている。
VMware VMXNET3 の脆弱性 CVE-2026-59346：ゲストからホストへのコード実行と PoC の公開
PoC Released for Critical VMware VMXNET3 Flaw Enabling Guest-to-Host Code Execution
2026/10/08 CyberSecurityNews — 0xCyberstan が公開したのは、VMware の仮想ネットワークアダプタ VMXNET3 に存在する、深刻な整数オーバーフローの脆弱性 CVE-2026-59346 に対する概念実証 (PoC) である。この脆弱性を悪用する攻撃者が、ゲスト仮想マシン内で管理者権限を持つ場合に、ホスト上でコードが実行される可能性がある。ただし、公開された PoC が実証しているのはホストプロセスのクラッシュであり、実際にコード実行を成功させる攻撃ではない。
Continue reading “VMware VMXNET3 の脆弱性 CVE-2026-59346：ゲストからホストへのコード実行と PoC の公開”Zammad 脆弱性 CVE-2026-102489 に PoC が公開：セッション・ハイジャックと RCE の恐れ
PoC Exploit Released for Zammad Vulnerability Enabling Session Hijacking and Remote Code Execution
2026/10/08 gbhackers — Zammad に存在する重大な脆弱性 CVE-2026-102489 に対して、概念実証 (PoC) エクスプロイトが公開された。この脆弱性の悪用により、接続中のユーザーのセッション Cookie が漏えいし、Zammad の OS ユーザー権限でのリモート・コード実行 (RCE) に至る可能性がある。この脆弱性は、9月に発生したオランダの脆弱性開示機関 Dutch Institute for Vulnerability Disclosure (DIVD) への侵害で、別のローカル権限昇格の脆弱性 CVE-2026-102490 とともに悪用されたと報告されている。
Elastic の 14件の脆弱性が FIX：テナント間でのデータストリーム識別子の漏洩など
Elastic Fixes 14 Security Flaws Including One That Lets Attackers Intercept Other Users’ Data
2026/10/08 CyberSecurityNews — Elastic が公開したのは、Elasticsearch／Kibana／Elastic Agent／Endpoint に関する 14 件のセキュリティ・アドバイザリである。そこに含まれる脆弱性として、Fleet の権限を委任されたユーザーが、他のテナントのユーザーやチームのデータを傍受できる、深刻度の高い Kibana の欠陥がある。Kibana の脆弱性 CVE-2026-102406 (CVSS 8.8) は、Fleet のパッケージ・インストール処理に影響を及ぼす。この処理では、アップロードされた統合設定を既存のデータストリームへ適用する前に、所有権が確認されていなかった。
