5-Year-Old Linux Kernel Vulnerability Allows Unprivileged Attackers to Gain Root Access
2026/11/03 gbhackers — 5 年前から存在していた Linux カーネルの脆弱性を悪用することで、特権を持たないローカルユーザーが root 権限を取得し、システムを完全に制御できるようになる。この脆弱性 CVE-2026-31695 は、セキュリティ研究者の Alexander Popov により発見・修正された。同氏が公開したのは、x86_64 アーキテクチャの Fedora 44 Server をデフォルト設定でインストールした環境に対する、実際に動作するエクスプロイトである。攻撃手法の詳細は、PT SWARM の調査レポートに記載されている。
Continue reading “Linux カーネルの脆弱性 CVE-2026-31695 が FIX：5年前からの問題と PoC の提供”Barracuda Flaws Could Be Chained to Bypass Authorization and Gain Root Access
2026/11/03 TheHackerNews — Barracuda が公表したのは、同社の製品に影響する 2件の脆弱性である。これらを連鎖的に悪用することで、攻撃者は認可制御を回避し、影響を受けるデバイスの root 権限を奪取する可能性がある。これらは、認証前の認可バイパスの脆弱性 CVE-2026-116606 (CVSS 9.3) と、コマンド・インジェクションの脆弱性 CVE-2026-111560 (CVSS 8.6) である。
Continue reading “Barracuda の脆弱性 CVE-2026-116606／111560 が FIX：認証バイパスと root 権限昇格の恐れ”Hackers Exploit Adobe Commerce Zero-Day to Deploy PSK Agent RAT and Remotely Control Servers
2026/11/03 CyberSecurityNews — Adobe Commerce と Magento に存在する深刻な脆弱性を悪用する攻撃者が、オンラインストアのサーバに PSK Agent と呼ばれる隠蔽型のリモートアクセス・ツールをインストールしている。PSK Agent の起動に成功すると、攻撃者は、コマンドの実行やサーバを経由した通信の中継を達成し、再起動後もアクセスを維持できるようになる。この攻撃で悪用される脆弱性 CVE-2026-75650 は、StyleSmuggler と名付けられており、9月初旬にゼロデイ脆弱性として初めて公表されたものだ。
Continue reading “Adobe Commerce ゼロデイ脆弱性 CVE-2026-75650：PSK Agent RAT の展開とリモート制御を検出”Critical Langflow AI Vulnerabilities Allow Hackers to Execute Remote Code Without Authentication
2026/11/03 gbhackers — IBM が公表した Langflow の脆弱性 7件には、未認証のリモート攻撃者による認証バイパスやコード・インジェクションを許す深刻な欠陥が含まれている。これらの脆弱性の影響が及ぶ範囲は、Langflow のバージョン 1.0.0 〜 1.12.8 であり、IBM は管理者に対してバージョン 1.13.0 へのアップグレードを推奨している。10月28日に公開され、10月29日に更新された IBM のセキュリティ情報によると、これらの脆弱性を悪用する攻撃者は、任意のコード実行／API 認証情報の漏洩／認証バイパスなどを引き起こすほか、同梱された依存コンポーネントを介した攻撃を可能にする。そのうちの 2件の脆弱性は CVSS スコアが 9.8 であり、攻撃者は権限やユーザー操作を必要とせず、低い攻撃条件の複雑さで、ネットワーク経由の悪用を実行できる。
Continue reading “Langflow AI の脆弱性 7件が FIX：認証バイパスやコード・インジェクションの恐れ”Microsoft Reveals 78% of Exploited Vulnerabilities Enable System Takeover and Privilege Escalation
2026/11/03 CyberSecurityNews — Microsoft の新たな調査で明らかになったのは、システムの制御権を取得できる脆弱性を、攻撃者が優先的に狙っているという事実である。全体の約 0.5% に留まる実際の攻撃で悪用された脆弱性の約 78% は、システムの乗っ取りまたは権限昇格を可能にするものであった。この調査結果は、Microsoft Security Research が 2026年11月2日に公開したデータ分析に基づいている。ソフトウェアの脆弱性は増加し続けており、1999年から 2026年9月までの間に約 38万3,000件が公表されている。そのうち、実際の攻撃により悪用された脆弱性は約 2,000件であり、全体の約 0.5% に留まる。実際の攻撃で悪用される脆弱性は 200件に 1件未満であるため、防御側にとって重要なのは、優先的に対処すべき脆弱性を把握することである。
Continue reading “悪用された脆弱性の 78% はシステム乗っ取りと権限昇格に到達：Microsoft の最新調査で判明”Google: LLMjacking attacks rack up $1 million in cloud AI charges
2026/11/03 BleepingComputer — LLMjacking と呼ばれる LLM の不正利用により、クラウドサービスの不正利用による巨額の請求が発生しており、一部の組織では 1日あたり 10万ドルを超える損失が生じている。Google Threat Intelligence Group (GTIG) と Mandiant の研究者が分析した事例では、窃取された API キーを使用する不正な呼び出しにより、企業に最大 100万ドルの利用料金が発生していた。観測された活動には、企業の LLM インフラを侵害し、不正利用による収益化を目的として活動する、2つの異なる攻撃活動のクラスターが存在すると、研究者たちは述べている。
