Drupal patches critical RCE flaws, warns exploits may emerge soon
2026/10/17 BleepingComputer — Drupal に存在する、2 件のリモート・コード実行 (RCE) の脆弱性が修正された。このオープンソース CMS の問題は、Drupal コアの Field UI と、追加モジュールの Entity List に存在する。それぞれの脆弱性は、CVE-2026-108097 と CVE-2026-108099 として識別されており、特定の追加モジュールやカスタム・コードとの組み合わせによって、認証なしで悪用できる攻撃経路を生み出すという。
Day: October 17, 2026
OpenCode で発生したセキュリティ侵害：OpenAI／Anthropic などの API キー漏洩の可能性
OpenCode Security Breach Exposes Third-Party API Keys of its Console Users
2026/10/17 CyberSecurityNews — AI コーディング・ツールを提供する OpenCode が公表したのは、Console ユーザーの 1.4% に影響するセキュリティ侵害に関する情報である。影響を受けたユーザーのワークスペースに保存されていた、OpenAI や Anthropic などの外部 AI プロバイダーの API キーが漏洩した可能性があるという。10月17日に公開した声明で OpenCode は、今回のインシデントが大規模な AI モデル蒸留攻撃 (Distillation Attack) に関連していると説明した。同社は、Anthropic／OpenAI／Google と協力しながら、問題への対応を進めている。
WordPress コアに対する攻撃チェーン WP2Shell：2つの脆弱性の連鎖による RCE
Critical WordPress Flaws Allow Attackers to Execute Remote Code Without Authentication
2026/10/17 gbhackers — WordPress のコア機能に存在する 2件の脆弱性を組み合わせることで、認証を必要とせずにリモートコード実行 (RCE) へ到達できる攻撃チェーンが報告された。この WP2Shell と呼ばれる攻撃チェーンは、REST API のルーティング処理に関する問題と SQL インジェクションを組み合わせて悪用するものだと、セキュリティ企業 Seqrite の研究者 Amruta Wagh は説明している。WP2Shell は 2026年7月に確認されたとされており、攻撃者は有効な WordPress の認証情報を必要とせずに、公開されている API エンドポイントを起点としてサーバを侵害する可能性がある。報告された攻撃チェーンは、WordPress 6.9.0～6.9.4 および 7.0.0～7.0.1 に影響する。
