Debian and Ubuntu APT Flaw Lets Hackers Hijack Software Updates and Execute Code as Root
2026/11/04 CyberSecurityNews — Debian と Ubuntu で使用されるパッケージマネージャ APT で発見された脆弱性を悪用する、ネットワーク通信を傍受する攻撃者が、信頼されたソフトウェア・パッケージを悪意のあるパッケージにすり替える可能性がある。この脆弱性 CVE-2026-109518 が悪用されると、Linux システムの最高レベル権限である root 権限でコードが実行される可能性がある。Debian は 2026年11月4日に、この問題を公表し、発見者としてセキュリティ研究者の Max Justicz を挙げた。
Continue reading “Debian／Ubuntu APT の脆弱性 CVE-2026-109518 が FIX：アップデートのハイジャックと root 権限でのコード実行”5-Year-Old Linux Kernel Vulnerability Allows Unprivileged Attackers to Gain Root Access
2026/11/03 gbhackers — 5 年前から存在していた Linux カーネルの脆弱性を悪用することで、特権を持たないローカルユーザーが root 権限を取得し、システムを完全に制御できるようになる。この脆弱性 CVE-2026-31695 は、セキュリティ研究者の Alexander Popov により発見・修正された。同氏が公開したのは、x86_64 アーキテクチャの Fedora 44 Server をデフォルト設定でインストールした環境に対する、実際に動作するエクスプロイトである。攻撃手法の詳細は、PT SWARM の調査レポートに記載されている。
Continue reading “Linux カーネルの脆弱性 CVE-2026-31695 が FIX：5年前からの問題と PoC の提供”Barracuda Flaws Could Be Chained to Bypass Authorization and Gain Root Access
2026/11/03 TheHackerNews — Barracuda が公表したのは、同社の製品に影響する 2件の脆弱性である。これらを連鎖的に悪用することで、攻撃者は認可制御を回避し、影響を受けるデバイスの root 権限を奪取する可能性がある。これらは、認証前の認可バイパスの脆弱性 CVE-2026-116606 (CVSS 9.3) と、コマンド・インジェクションの脆弱性 CVE-2026-111560 (CVSS 8.6) である。
Continue reading “Barracuda の脆弱性 CVE-2026-116606／111560 が FIX：認証バイパスと root 権限昇格の恐れ”Hackers Exploit Adobe Commerce Zero-Day to Deploy PSK Agent RAT and Remotely Control Servers
2026/11/03 CyberSecurityNews — Adobe Commerce と Magento に存在する深刻な脆弱性を悪用する攻撃者が、オンラインストアのサーバに PSK Agent と呼ばれる隠蔽型のリモートアクセス・ツールをインストールしている。PSK Agent の起動に成功すると、攻撃者は、コマンドの実行やサーバを経由した通信の中継を達成し、再起動後もアクセスを維持できるようになる。この攻撃で悪用される脆弱性 CVE-2026-75650 は、StyleSmuggler と名付けられており、9月初旬にゼロデイ脆弱性として初めて公表されたものだ。
Continue reading “Adobe Commerce ゼロデイ脆弱性 CVE-2026-75650：PSK Agent RAT の展開とリモート制御を検出”Critical Langflow AI Vulnerabilities Allow Hackers to Execute Remote Code Without Authentication
2026/11/03 gbhackers — IBM が公表した Langflow の脆弱性 7件には、未認証のリモート攻撃者による認証バイパスやコード・インジェクションを許す深刻な欠陥が含まれている。これらの脆弱性の影響が及ぶ範囲は、Langflow のバージョン 1.0.0 〜 1.12.8 であり、IBM は管理者に対してバージョン 1.13.0 へのアップグレードを推奨している。10月28日に公開され、10月29日に更新された IBM のセキュリティ情報によると、これらの脆弱性を悪用する攻撃者は、任意のコード実行／API 認証情報の漏洩／認証バイパスなどを引き起こすほか、同梱された依存コンポーネントを介した攻撃を可能にする。そのうちの 2件の脆弱性は CVSS スコアが 9.8 であり、攻撃者は権限やユーザー操作を必要とせず、低い攻撃条件の複雑さで、ネットワーク経由の悪用を実行できる。
Continue reading “Langflow AI の脆弱性 7件が FIX：認証バイパスやコード・インジェクションの恐れ”Microsoft Reveals 78% of Exploited Vulnerabilities Enable System Takeover and Privilege Escalation
2026/11/03 CyberSecurityNews — Microsoft の新たな調査で明らかになったのは、システムの制御権を取得できる脆弱性を、攻撃者が優先的に狙っているという事実である。全体の約 0.5% に留まる実際の攻撃で悪用された脆弱性の約 78% は、システムの乗っ取りまたは権限昇格を可能にするものであった。この調査結果は、Microsoft Security Research が 2026年11月2日に公開したデータ分析に基づいている。ソフトウェアの脆弱性は増加し続けており、1999年から 2026年9月までの間に約 38万3,000件が公表されている。そのうち、実際の攻撃により悪用された脆弱性は約 2,000件であり、全体の約 0.5% に留まる。実際の攻撃で悪用される脆弱性は 200件に 1件未満であるため、防御側にとって重要なのは、優先的に対処すべき脆弱性を把握することである。
Continue reading “悪用された脆弱性の 78% はシステム乗っ取りと権限昇格に到達：Microsoft の最新調査で判明”Hackers Exploit Patched Synology NAS Vulnerabilities to Deploy C3RB3R Ransomware and Encrypt Files
2026/11/02 CyberSecurityNews — Synology の NAS デバイスが、2024年に公表されたセキュリティ上の脆弱性に関連する C3RB3R ランサムウェア攻撃を受けている。同社はユーザーに対して、古いバージョンの DiskStation Manager (DSM) とパッケージを更新するよう呼びかけている。10月29日に 360 Security Team と Solar Emergency Response Team が報告したことを受けて、この警告が行われた。被害を受けたデバイスでは、ファイルが “.L0CK3D” という拡張子で暗号化され、身代金要求文書 “read-me3.txt” が作成されていることだ。複数のセキュリティチームにより、このランサムウェアは暫定的に、C3RB3R による攻撃と暫定的に特定されている。現時点で公開されている情報からは、侵害されたデバイスの数は明らかになっていない。
POC Released for Windows WinSock Ancillary Privilege Escalation Vulnerability
2026/11/02 CyberSecurityNews — Windows WinSock の脆弱性 CVE-2023-21768 の概念実証 (PoC) エクスプロイトが公開され、ローカルアクセス権を持つ攻撃者が SYSTEM 権限を取得する方法が示された。Windows Ancillary Function Driver for WinSock を攻撃経路とするコードを公開したのは、chompie として知られる研究者 Valentina Palmiotti と Ruben Boonen である。完全なエクスプロイトは、脆弱性のある Windows 11 22H2 システムを対象としている。今回公開された PoC は、2023年1月に修正された脆弱性に対するものであり、新たに公表された Windows の脆弱性ではない。2023年3月21日に IBM は、両研究者による技術分析を公開している。
Critical Certificate Validation Flaw in LXD and Incus Could Give Hackers Control of Linux Hosts
2026/11/02 CyberSecurityNews — LXD と Incus に存在する重大な証明書検証の脆弱性を悪用するリモート攻撃者が、ログイン認証を回避してクラスタや管理対象の仮想マシンを制御する可能性がある。この脆弱性は HTTPS 管理リスナーに影響し、パスワードや窃取した秘密鍵、ユーザーの操作を必要とせずに、インターネットに公開された Linux システムを侵害する恐れがある。Incus は、この脆弱性の深刻度を Critical (CVSS 10.0) と評価している。
Critical BeyondTrust Vulnerability Faces Fresh Exploitation Probes as Hackers Prepare for Mass Scanning
2026/11/02 CyberSecurityNews — BeyondTrust Remote Support の脆弱性 CVE-2026-102764 を標的とする、新たな探索活動が確認されたことで、スパイ活動にとどまらず、攻撃が拡大するという懸念が高まっている。Previdian が報告したのは、米国と欧州に設置されたおとり用アプライアンスに対する2件の探索活動であり、いずれも香港に位置すると判定された同一の送信元 IP アドレスから実行されていた。同社は、これらの活動による悪用の成功を確認していない。そのため、広範囲にわたる大規模スキャンの可能性は警戒すべき兆候であるが、確認された事実ではない。
WordPress RCE Vulnerability Under Active Attack With Over 58,000 Exploit Attempts Blocked
2026/10/31 gbhackers — WordPress Core に存在する未認証のリモート・コード実行の脆弱性を悪用する攻撃者が、ソフトウェアの更新中に生じる短時間の機会を狙っている。提供された Wordfence の記録によると、24時間以内に 58,693件の攻撃がブロックされた。ただし、この約 6万件の攻撃試行は、実際に侵害が成功した件数ではない。2026年10月28日に WordPress は、22件のセキュリティ脆弱性を修正するバージョン 7.1.4 を公開した。今回のアップグレードで修正された脆弱性は、攻撃の成立に複数の環境条件とタイミング条件が必要となるが、認証やユーザー操作を必要としない点で深刻である。
Hackers Exploit PHP2Shell RCE Vulnerabilities to Gain Root Access on Palo Alto Firewalls
2026/10/31 gbhackers — PHP2Shell の脆弱性と Linux カーネルの脆弱性 Fragnesia を組み合わせて悪用する攻撃者が、Palo Alto Networks の PAN-OS システムで root 権限を取得した。インターネットに公開された24台のファイアウォールが侵害された後、攻撃者はさらに内部のファイアウォール管理サーバにも侵入し、合計 25台のシステムが侵害されたと報告されている。Dream Research による攻撃キャンペーンの分析を引用する Hunt.io の調査では、ハニーポットに対する脆弱性の悪用から、本番環境のシステムへの侵害に至る経緯が説明されている。
Continue reading “PHP2Shell を巧妙に悪用する攻撃者：Palo Alto Networks のファイアウォールで root 権限を取得”Critical Drupal Commerce Vulnerability Could Let Hackers Buy Products for Just $0.01
2026/10/30 CyberSecurityNews — Drupal Commerce Core に存在する、深刻なセキュリティ上の脆弱性を悪用する攻撃者により、オンラインストアが金銭的損失を被る危険性があると、同社は警告している。脆弱性 CVE-2026-118539 を悪用する攻撃者は、Drupal の Web サイトや接続されたショッピング・アプリケーションで、商品やサービスを販売するために使用されるモジュールのアクセス制御を回避できる。今回の脆弱性で懸念されるのは、ストアのデータや取引情報が不正に変更される可能性である。ただし、攻撃者が商品を0.01ドルで購入できるという点について、Drupal は確認していない。
Ivanti Connect Secure 0-Days Exploited in the Wild to Gain Unauthenticated Root Access
2026/10/30 CyberSecurityNews — Ivanti Connect Secure VPN アプライアンスに存在する、複数のゼロデイ脆弱性を組み合わせて悪用する攻撃者が、認証を必要とせずに root 権限を取得し、保存された認証情報や Active Directory の機密情報を漏えいさせている。Ivanti は、10月に最初の修正パッチを公開した後に、2026年10月29日に追加の修正版を公開し、限定された数の顧客に対する攻撃を確認したとしている。
Continue reading “Ivanti Connect Secure の脆弱性 CVE-2026-104935／111357／118527：連鎖的に悪用する活発な攻撃を観測”CISA Confirms Active Exploitation of GitLab Vulnerability CVE-2026-97229
2026/10/30 gbhackers — 米国の CISA は、GitLab Community Edition／Enterprise Edition に影響を及ぼす深刻な脆弱性 CVE-2026-97229 の実際の悪用を確認した。2026年10月29日に CISA は、この脆弱性を既知の悪用された脆弱性 (KEV) カタログに追加した。これにより、影響を受けるサーバを運用している組織には、早急な対応が求められる。この脆弱性を悪用する未認証の攻撃者は、CI/CD の設定に細工した正規表現を組み込むことで、GitLab サーバ上で任意のコードを実行できる。GitLab は、この問題の原因を正規表現の検証不足としており、CWE-190 に分類される整数オーバーフローまたはラップアラウンドの脆弱性と位置付けている。
2026/10/29 CyberSecurityNews —
国家との関連が指摘される攻撃者グループが、深刻度が最高値の Cisco SD-WAN のゼロデイ脆弱性を悪用してネットワーク・コントローラに侵入し、KeyDrift と呼ばれる独自のマルウェア・フレームワークを設置していた。この脆弱性 CVE-2026-20127 (CVSS 10.0) を悪用する、未認証のリモート攻撃者は、パスワードなしで管理者権限を取得できる。
Continue reading “Cisco SD-WAN の脆弱性 CVE-2026-20127 を悪用：KeyDrift マルウェアの展開と暗号鍵の窃取”Hackers Exploit PHP2Shell Vulnerabilities to Gain Root Access on 25 Firewall Servers
2026/10/29 gbhackers — PHP2Shell の脆弱性と Linux カーネルの権限昇格の脆弱性を組み合わせて悪用する攻撃者が、米国政府関連の環境に属するとみられるサーバ 3 台を含む、合計 25台のサーバで root 権限を取得したと、Dream の研究者が報告している。 10月25日に発見されたこの攻撃は、外部に公開されたファイアウォールの管理インターフェイスへの侵入から始まり、認証情報の窃取／永続的なトンネル接続の確立／Active Directory の偵察へと段階的に進んでいった。
Continue reading “PHP2Shell と Fragnesia による攻撃：ファイアウォール管理インターフェースの保護が急務”WordPress 7.1.4 Security Update Patches 22 Vulnerabilities Affecting Millions of Websites
2026/10/29 gbhackers — WordPress が公開したバージョン 7.1.4 は、リモート・コード実行／格納型クロスサイト・スクリプティング (XSS)／情報漏えい／認可処理の不備といった 22件の脆弱性を修正するものである。2026年10月28日に公開された、このセキュリティ・アップデートの修正対象には、コア機能であるコンテンツ・ブロック／管理画面／Customizer／Interactivity API などが含まれており、WordPress はユーザーに対して速やかな適用を推奨している。
Continue reading “WordPress 7.1.4、22件の脆弱性を修正 RCE や蓄積型 XSS に対応”WatchGuard Discloses 7 Critical Firewall Flaws Allowing Remote Code Execution and Root-Level Attacks
2026/10/29 CyberSecurityNews — 2026年10月27日に WatchGuard が公表したのは、Firebox ファイアウォールの Fireware OS における 7件の Critical 脆弱性 (CVSS 9.1～9.5) などの情報である。これらの脆弱性により、リモート・コード実行／root 権限での操作／メモリ破損が発生する可能性がある。一連の脆弱性は、Fireware OS と Windows 向け Mobile VPN with SSL クライアントに存在する、合計 18件のセキュリティ問題を修正するアップデートの一部となっている。
Continue reading “WatchGuard の 7件の深刻な脆弱性が FIX：root レベルでの RCE などの恐れ”CISA Warns of Active Attacks Exploiting Critical Node2Shell RCE Vulnerability in Node.js
2026/10/29 gbhackers — 2026年10月27日に CISA は、Node.js に影響する Google Brotli の深刻な脆弱性 CVE-2026-111497 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性を悪用する未認証の攻撃者は、細工した圧縮データストリームを通じて、メモリ破損／サービス停止／機密情報の漏えい／任意のコード実行につながる可能性がある。KEV カタログの登録情報によると、米国連邦政府機関の修正対応期限は 11月10日となっている。
Continue reading “CISA KEV 警告 26/10/27：Node2Shell CVE-2026-111497 を登録”Chinese Hackers Exploit VMware ESXi 0-Day to Hide Malicious Activity on Compromised Servers
2026/10/29 CyberSecurityNews — 中国との関連が指摘される攻撃者グループが、米国の法律事務所などの組織を標的としたスパイ活動で、VMware ESXi のゼロデイ脆弱性を悪用した上で、侵害したサーバ上での自身の活動を隠蔽していた。CrowdStrike は、このグループを WARP PANDA と特定した。同社によると、WARP PANDA は脆弱性 CVE-2026-41709 を複数の侵入事例で悪用しており、その活動は 2026年初頭まで続いていた。
Continue reading “VMware ESXi のゼロデイ脆弱性 CVE-2026-41709：CVSS 2.7 でもログに記録されない操作が発生”Cisco Patches Actively Exploited SSL VPN Vulnerability Affecting ASA and FTD Firewalls
2026/10/28 gbhackers — Cisco が公開したのは、Secure Firewall Adaptive Security Appliance (ASA) および Secure Firewall Threat Defense (FTD) のリモート・アクセス SSL VPN サービスに存在する、深刻な脆弱性を修正するセキュリティ・アップデートである。この脆弱性 CVE-2026-76418 を悪用する未認証の攻撃者は、デバイスを再起動させ、サービス拒否 (DoS) を引き起こす可能性がある。
Hackers Actively Exploiting New Oracle EBS RCE Vulnerability
2026/10/28 CyberSecurityNews — Oracle E-Business Suite (EBS) の Critical 脆弱性を、未認証の攻撃者が悪用し、コマンド実行を試み始めている。2026年10月27日に、脅威インテリジェンス企業の Defused が確認したのは、同社のデコイ・システムに対する探索的な悪用である。ただし、今回の観測結果は、顧客のシステムに対する攻撃が成功したことを示すものではない。また、Oracle は、この活動が検出される前に修正パッチを公開していた。
Continue reading “Oracle EBS の RCE 脆弱性 CVE-2026-101767：デコイ・システムに対する探索的な悪用の試みを確認”Critical Veeam Backup & Replication Flaw Allows Unauthenticated Attackers to Bypass Authorization
2026/10/27 gbhackers — Veeam が公開したのは、Veeam Backup & Replication に存在する、深刻度 Critical の認可バイパスの脆弱性を修正するセキュリティ・アップデートである。この CVE-2026-108142 を悪用する未認証の攻撃者は、CDP Coordinator Service の認可制御を回避する可能性がある。この脆弱性の CVSS v4.0 スコアは 9.1 であり、Windows 環境と Veeam Software Appliance の両方に影響する。同社は、2026年10月27日に公開したセキュリティ・アドバイザリ (KB4948) で、この問題を明らかにした。このアドバイザリでは、深刻度 Medium のパストラバーサルの脆弱性 2件と、Veeam Backup & Replication によって管理される Veeam Agent for Linux に影響する深刻度 High の、ローカル権限昇格の脆弱性についても説明されている。
HashiCorp Consul Vulnerability Allows Attackers to Bypass Authorization and Gain Elevated Privileges
2026/10/27 gbhackers — HashiCorp が公開したのは、consul-k8s に存在する、Kubernetes の名前空間をまたぐ認可バイパスの脆弱性に関する情報である。この脆弱性を悪用する攻撃者は、限定的な Kubernetes 権限を持つ場合、Consul 内で高権限を取得する可能性がある。システム ACL の自動管理が有効化されている場合に、この脆弱性 CVE-2026-110720 は、コンポーネントに適用されるアクセス制御リスト (ACL) のバインディング・ルールに影響を及ぼす。すでに HashiCorp は、2026年10月26日の時点で、セキュリティ・アドバイザリ HCSEC-2026-50 を公開し、consul-k8s バージョン 1.8.18／2.1.0 で修正を提供している。
Apache Camel Fixes Multiple Vulnerabilities Including High-Severity XXE One’s
2026/10/27 CyberSecurityNews — Apache Camel プロジェクトが公開したのは、ローカル・ファイルの漏えいや内部システムへのアクセスにつながる可能性がある、深刻度の高い XML 外部エンティティ (XXE) の脆弱性を含む、複数のセキュリティ上の欠陥に対する修正である。これらの問題は、複数のコンポーネントで安全でない XML 処理を引き起こし、リモートコード実行、認証情報の窃取、アクセス制御の不備などのリスクをもたらす。
PHP Releases New Windows Build Security Updates to Fix Critical HTTP2Shell Vulnerability
2026/10/26 CyberSecurityNews — HTTP2Shell とも呼ばれる深刻な脆弱性を修正するために、PHP チームは Windows 向けの更新版をリリースした。新しいパッケージである PHP 8.5.12-1／8.4.27-1／8.3.36-1／8.2.35-1 は、2026年10月26日に公開された。各ビルドには、CVE-2026-111497 を修正した Brotli 1.2.1 が含まれている。Windows 環境で PHP を使用しているユーザーは、これらのパッケージを速やかにインストールする必要がある。
HTTP2Shell Vulnerability Extends Beyond HTTP, Affecting .NET, FFmpeg, ClickHouse, and Apache Arrow
2026/10/26 CyberSecurityNews — 脆弱性 HTTP2Shell の影響範囲は、Web トラフィックだけにとどまらない。新たな調査により判明したのは、同じ Brotli デコーダーの欠陥 (CVE-2026-111497) が、.NET アプリケーション／FFmpeg によるメディア処理／ClickHouse サーバ／Apache Arrow のワークロードにも障害を引き起こす可能性があることだ。今回の調査結果が示すのは、Node.js のバージョンを確認するだけでは、脆弱性の影響を受ける他のソフトウェアを見落とす可能性があることだ。10月25日に公開された調査結果では、JFrog の研究者 Aviv Engelberg／Eddy Tsalolikhin／Ofri Ouzan が明らかにしたのは、複数のソフトウェア・スタックにおける CVE-2026-111497 の影響である。
Continue reading “脆弱性 HTTP2Shell CVE-2026-111497 を調査：.NET／FFmpeg／ClickHouse／Apache Arrow への影響は？”Node2Shell: Brotli Flaw Triggers Patching Across Microsoft, Node.js, Python Packages
2026/10/26 SecurityWeek — Google のデータ圧縮ライブラリ Brotli に、脆弱性 CVE-2026-111497 が発見された。この Node2Shell と呼ばれる脆弱性を受け、Microsoft／Node.js プロジェクト／2つの Python パッケージのメンテナーが、セキュリティ・アップデートを公開した。Node.js と Python パッケージには前週に修正が適用され、続いて Microsoft が10月25日に .NET／Visual Studio／PowerShell 向けの修正プログラムを公開した。さらに、Bun／Envoy／Istio についてもアップデートが実施されている。
Continue reading “Brotli の脆弱性 Node2Shell CVE-2026-111497 が FIX：Microsoft／Node.js／Python などへの広範な影響”Hacker Demonstrates PHP Remote Code Execution in StealMyBitcoin Challenge, Shares Exploit
2026/10/26 gbhackers — Steal My Bitcoin チャレンジにおいて、セキュリティ研究者が実証したのは、PHP のリモート・コード実行 (RCE) エクスプロイトの実証である。この概念実証 (PoC) エクスプロイトが示すのは、特別に細工された HTTP リクエストによりメモリ破損を引き起こし、PHP 内部のメモリアドレスを漏えいさせ、脆弱なサーバ上でコマンドを実行できることだ。GitHub で KillaBoi というユーザー名を使用する研究者は、公開リポジトリでエクスプロイトを公開し、PHP 8.4.26 を対象とする攻撃の詳細を説明している。
Continue reading “StealMyBitcoin Challenge で実証された PHP2Shell 侵害：PHP RCE の PoC を提供”Palo Alto Confirms PHP RCE Vulnerabilities Impact PAN-OS and Multiple Network Products
2026/10/24 CyberSecurityNews — Palo Alto Networks が確認したのは、PHP に存在する深刻なリモート・コード実行の脆弱性 2件が PAN-OS に影響し、先行して 2つのクラウド・サービスにも影響していたことだ。これらの PHP の脆弱性 CVE-2026-109618／CVE-2026-109619 の悪用を受け、同社はファイアウォール向けホットフィックスの提供を計画する一方で、管理インターフェイスへのアクセスを制限するよう顧客に勧告している。
Critical Unpatched Linux Kernel Flaws Accidentally Disclosed on Public List
2026/10/23 CyberSecurityNews — 2026年10月、Linux に関連する複数の未修正のセキュリティ脆弱性が公開メーリングリストに投稿され、修正パッチが準備される前に技術的な詳細が明らかになった。Trend Micro の Zero Day Initiative (ZDI) が提出した報告には、Linux カーネルの KSMBD ファイルサーバを使用するシステムに対して、リモートからコードを実行できる可能性がある 2件の深刻な脆弱性が含まれ、いずれも CVSS スコアは 9.0 と評価されている。
Splunk Fixes 24 Security Flaws, Including Four Critical Vulnerabilities in Enterprise and SOAR
2026/10/23 CyberSecurityNews — Splunk が公開したのは、Splunk Enterprise／Splunk SOAR に存在する 24件の脆弱性に対するセキュリティ・アップデートであり、そのうち 4件の脆弱性は、CVSS スコアが 9.3～9.9 と評価されている。2026年10月21日に Splunk は、3 件のセキュリティ・アドバイザリを通じて修正プログラムを公開した。対象となる問題には、アクセス制御／入力データ処理／ファイル外部公開／リモート・コード実行／サービス拒否 (DoS)／不適切な認可チェックなどが含まれる。
Continue reading “Splunk Enterprise／SOAR の深刻な脆弱性 24件が FIX：RCE や DoS などの恐れ”Hackers Exploit Critical Citrix NetScaler RCE Flaw to Deploy Web Shells and Malware
2026/10/23 CyberSecurityNews — Citrix の NetScaler ADC／NetScaler Gateway に存在する、深刻な脆弱性を悪用する攻撃者が、インターネットに公開されたアプライアンス上で、コマンド実行や Web シェルの設置、マルウェアの配布などを行っている。この脆弱性 CVE-2026-88771 を悪用する未認証のリモート攻撃者は、任意のコマンドを実行できる。Citrix は 2026年9月27日の時点で、この脆弱性を公表し、セキュリティ・アップデートが適用されていないアプライアンスでの悪用を確認していた。Zscaler ThreatLabz のレポートによると、この脆弱性の深刻度は CVSS v3.1 で 9.8、CVSS v4.0 で 9.5 と評価されている。
HPE Warns Critical Aruba Networking Flaws Could Let Hackers Take Complete Control of Devices
2026/10/23 CyberSecurityNews — Hewlett Packard Enterprise (HPE) が公開したのは、Aruba Networking の無線ネットワーク・ソフトウェアに存在する複数の脆弱性に対するセキュリティ・パッチである。これらの脆弱性を悪用する攻撃者は、影響を受けるデバイスを完全に制御する可能性がある。それらの脆弱性は、Mobility Conductor／コントローラー／ゲートウェイ／アクセスポイントで使用される AOS-8 と AOS-10 に影響する。複数の脆弱性は、有効な認証情報がなくても悪用できるため、ネットワーク管理者には速やかなパッチ適用が求められる。
Continue reading “HPE Aruba Networking の脆弱性群が FIX：8件の CVSS 10.0 が含まれる”Critical Oracle Java Flaw With CVSS 9.1 Allows Unauthenticated Remote Attacks
2026/10/23 gbhackers — Oracle が公表したのは、Oracle Java SE／GraalVM に影響を及ぼす深刻な脆弱性 CVE-2026-91403 に対するセキュリティ・アラートである。この脆弱性は、未認証のリモート攻撃者により悪用される可能性がある。2026年10月21日のアドバイザリは、この脆弱性の CVSS v3.1 スコアを 9.1 と評価しており、eMudhra に関連する中間認証局 (CA) のうち、影響を受けた証明書を信頼しないよう勧告している。
Continue reading “Oracle Java の脆弱性 CVE-2026-91403 が FIX：未認証のリモート攻撃の恐れ”Critical Okta Access Gateway Flaw Lets Attackers With Admin Access Execute System Commands
2026/10/23 CyberSecurityNews — Okta が公表したのは、アプライアンスの管理コンソールを通じたシステム・コマンド実行を、認証済みの管理者に対して許す可能性がある、Okta Access Gateway に存在する脆弱性に関する情報である。この脆弱性 CVE-2026-115547 は、Okta Access Gateway (OAG) のバージョン 2026.10.2 未満のリリースに影響する。2026年10月22日に公開されたアドバイザリによると、CVSS v3.1 スコアは 9.1 である。この問題は、Admin Console において、特別に細工された設定値が処理される際の、入力値に対する不十分な検証に起因する。
Atlassian Releases Massive Security Update Addressing 176 Flaw Entries in Jira and Confluence
2026/10/22 CyberSecurityNews — Atlassian が公開したのは、Jira／Confluence／Bamboo／Bitbucket／Crowd などの製品に存在する、176 件の脆弱性に対応する 2026年10月のセキュリティ情報である。このアドバイザリは 10月20日に公開され、深刻度 High の脆弱性 162 件と、サードパーティ製コンポーネントに存在する深刻度 Critical の脆弱性 14 件が記載されている。
Continue reading “Atlassian が大規模なセキュリティ更新を公開：Jira／Confluenceなどの 176件の脆弱性に対応”12-Year-Old GitLab Vulnerability Allows Remote Code Execution on Self-Managed Server
2026/10/22 CyberSecurityNews — GitLab が公開したのは、セルフ・マネージド環境で運用されるサーバ上で、未認証の攻撃者に任意のコード実行を許す可能性がある、深刻度 Critical の脆弱性 CVE-2026-110264 (CVSS 10.0) に対するセキュリティ・アップデートである。この脆弱性は、GitLab Community Edition (CE)／Enterprise Edition (EE) に影響するものであり、2026年10月21日の時点で修正版が公開されている。
Hackers Are Breaking Into FortiGate, FortiWeb and Palo Alto GlobalProtect Systems to Steal Passwords
2026/10/22 CyberSecurityNews — インターネットに公開されたファイアウォールや VPN システムが、認証情報の窃取と企業ネットワークへの継続的なアクセスを目的とする攻撃キャンペーンの標的となっている。この活動では、Fortinet の FortiGate と FortiWeb、Palo Alto Networks の GlobalProtect ポータルが狙われており、侵入後の攻撃者により、デバイスの設定情報に保存されたパスワードが収集され、それらの認証情報を悪用し、ネットワーク内部でのアクセス範囲を拡大する恐れがある。
Continue reading “FortiGate／FortiWeb／GlobalProtect の侵害リスク：認証情報窃取やデータ流出を確認”Critical Cisco Expressway Flaw Lets Attackers Execute Commands as Root
2026/10/22 gbhackers — Cisco が公開したのは、Expressway シリーズに存在する深刻度の高い脆弱性 CVE-2026-76466 に対処するセキュリティ・アップデートである。この脆弱性の CVSS v3.1 基本スコアは 9.8 であり、クラスタ構成で運用される Expressway 環境に影響するほか、未認証のリモート攻撃者が root 権限で任意の OS コマンドを実行できる可能性がある。
Fortinet Urges Customers to Patch Critical Flaws Affecting FortiOS, FortiManager, and FortiAnalyzer
2026/10/22 CyberSecurityNews — Fortinet は顧客に対して、2026年10月22日に公開予定の FortiOS／FortiManager／FortiAnalyzer 向けセキュリティ・アップデートを優先して適用するよう呼びかけている。今回の一斉リリースに含まれるのは、AI を活用したセキュリティ・テストにより発見された、深刻度が Critical／High の脆弱性への修正である。インターネットからアクセス可能なデバイスを最優先で対応すべきだと、同社は強く求めている。
Continue reading “FortiOS／FortiManager／FortiAnalyzer におけるパッチ適用スケジュール：顧客に求められる速やかな対応”Apache Tomcat Security Flaws Allow Attackers to Bypass Authentication and Expose User Data
2026/10/21 gbhackers —
Apache Software Foundation が公開したのは、Tomcat に存在する 8 件の脆弱性に関する情報である。このうちの 3 件は深刻度 High、5 件は Low と評価されており、影響を受けるバージョン系列に応じて、Tomcat 11.0.27／10.1.61／9.0.123 で修正されている。これらの脆弱性が悪用されると、認証回避、ユーザー間のデータ漏えい、不適切なソケットアクセス、暗号化設定の不備などにつながる恐れがある。
Continue reading “Apache Tomcat に 8 件の脆弱性：認証回避やユーザーデータ漏えいの恐れ”Node.js Releases Security Updates to Fix High-Severity TLS, DNS and Brotli Vulnerabilities
2026/10/21 CyberSecurityNews — Node.js が公開したのは、DNS の名前解決／TLS 証明書の検証／Brotli の解凍に影響する深刻度 High の 4 件の脆弱性を含む、計 10 件の脆弱性に対処する 26.x／24.x／22.x の各ブランチ向けのセキュリティ・アップデートである。提供されたリリース情報によると、最も深刻な潜在的影響は Brotli デコーダを介したリモート・コード実行 (RCE) であり、修正済みバージョンは 26.12.1／24.22.1／22.23.4 である。
Continue reading “Node.js の 10件の脆弱性が FIX：TLS／ DNS／Brotli などの深刻な問題に対応”Oracle Releases 1,295 Security Patches to Fix Critical Vulnerabilities Across Multiple Products
2026/10/21 gbhackers — Oracle が公表した 2026年10月の Critical Patch Update (CPU) において、エンタープライズ製品全体を対象とする 1,295 件のセキュリティ・パッチが提供された。今回のアドバイザリは、Oracle ソフトウェアの脆弱性に加え、サードパーティ製コンポーネントの脆弱性にも対処している。未認証のリモート攻撃者が悪用できる、緊急度の高い脆弱性が含まれている点に注意する必要がある。影響を受ける製品には、データベース／ミドルウェア／業務アプリケーション／Java／MySQL／仮想化プラットフォームなどが含まれる。
Fortinet FortiSIEM RCE Vulnerability Gets Public Exploit That Requires No Login
2026/10/21 CyberSecurityNews — Fortinet FortiSIEM に存在する緊急度の高い脆弱性 CVE-2026-106173 に対して、公開された概念実証コード (PoC) が提供された。この脆弱性を悪用する未認証のリモート攻撃者は、ファイルを書き込み、コード実行を引き起こす可能性がある。この脆弱性は FortiSIEM 7.5.0 に影響する。すでに Fortinet は、バージョン 7.5.1 で修正を提供しており、バージョン 7.6 は影響を受けないと、公開されたアドバイザリに記されている。2026年10月13日に Fortinet は、FortiGuard に関するセキュリティ・アドバイザリを公開し、この脆弱性について詳述している。その後、Horizon3.ai が、技術的な調査結果と PoC エクスプロイトを GitHub で公開した。
Continue reading “Fortinet FortiSIEM の脆弱性 CVE-2026-106173：未認証 RCE の PoC が登場”Two Critical PHP RCE Vulnerabilities With CVSS 9.2 Score Put Web Servers at Risk
2026/10/21 gbhackers — PHP セキュリティチームが公表したのは、CVSS v4.0 で 9.2 と評価された 2 件の緊急度の高い脆弱性に対処するための、セキュリティ・アップデートの計画である。2026年10月20日付けのアドバイザリが、管理者に対して強く推奨するのは、アップデートが公開され次第、速やかに適用できるよう準備しておくことである。その一方で watchTowr が、リモート・コード実行 (RCE) につながる可能性のある 2 件の脆弱性を報告しているが、現時点において PHP メンテナー側は、これらの脆弱性の識別子や技術的な詳細を確認していない。
Drupal patches critical RCE flaws, warns exploits may emerge soon
2026/10/17 BleepingComputer — Drupal に存在する、2 件のリモート・コード実行 (RCE) の脆弱性が修正された。このオープンソース CMS の問題は、Drupal コアの Field UI と、追加モジュールの Entity List に存在する。それぞれの脆弱性は、CVE-2026-108097 と CVE-2026-108099 として識別されており、特定の追加モジュールやカスタム・コードとの組み合わせによって、認証なしで悪用できる攻撃経路を生み出すという。
Critical BlockStrap flaw lets hackers run code on Magento servers
2026/10/16 BleepingComputer — Magento Open Source／Adobe Commerce に存在する深刻度の高い脆弱性 CVE-2026-103849 が、サイバー攻撃で悪用される可能性があると、EC サイト向けセキュリティ企業 Sansec が警告している。この BlockStrap と呼ばれる脆弱性を悪用する攻撃者は、EC サイトのサーバ上で任意の PHP コード実行を引き起こす恐れがある。Sansec によると、現時点では BlockStrap を悪用した実際の攻撃は確認されていない。しかし、すでに研究者たちは 4 つの潜在的な攻撃経路を特定しており、攻撃者が悪用方法を発見するのは時間の問題だと予測している。
Google Chrome 155 Patches Critical Use-After-Free Flaw and Nine Additional Security Bugs
2026/10/16 gbhackers — 2026年10月15日に Google が Stable チャネルで公開したのは、Chrome の 10件のセキュリティ脆弱性を修正する Chrome 155 のリリースである。今回のアップデートでは、ページの事前読み込み機能 Prerender に存在する、深刻度 Critical の脆弱性 CVE-2026-110922 が修正されている。この脆弱性は、解放済みメモリを使用する Use-After-Free (UAF) に起因するものであり、悪用に成功すると、攻撃者によって、メモリ破損やコード実行が引き起こされる恐れがある。すでに Google は、修正済みバージョンの配信を開始しており、今後、数日から数週間かけて順次展開すると説明している。
Continue reading “Google Chrome 10件の脆弱性が FIX：Critical 1件／High 6件／Medium 3件を修正”
You must be logged in to post a comment.