Vulnerability – Page 2 – IoT OT Security News

HPE APLS の脆弱性 CVE-2026-23600 が FIX：ネットワーク経由でログイン制御を回避

HPE AutoPass Vulnerability Allows Remote Attackers to Bypass Authentication

2026/03/03 gbhackers — Hewlett Packard Enterprise (HPE) が公表したのは、HPE AutoPass License Server (APLS) に存在するリモート認証バイパスの脆弱性に関する情報である。この脆弱性 CVE-2026-23600 を悪用する未認証の攻撃者は、ネットワーク経由でログイン制御を回避できるようになる。

Angular の脆弱性 CVE-2026-27970 が FIX：i18n に影響を及ぼす JavaScript 実行

Angular i18n Flaw Lets Hackers Execute Malicious Code via Critical XSS Vulnerability

2026/03/03 gbhackers — 広く利用されている Web アプリケーション・フレームワーク Angular に、高深刻度のセキュリティ脆弱性が発見された。この脆弱性 CVE-2026-27970 (CVSS：7.6) は、フレームワークの国際化 (i18n) パイプラインに影響を及ぼすものだ。この脆弱性の悪用に成功した攻撃者は、アプリケーション内部で悪意のコード実行を可能にし、ユーザー・データおよびアプリケーション整合性に重大なリスクをもたらす。

Chrome Gemini の脆弱性 CVE-2026-0628 の詳細：AI タスク実行のための高権限付与という問題

Chrome Gemini Vulnerability Lets Attackers Access Victims’ Camera and Microphone Remotely

2026/03/03 gbhackers — Google Chrome の Gemini Live インテグレーションに、新たな高深刻度の脆弱性が存在することが確認された。この脆弱性 CVE-2026-0628 は、ユーザーに重大なプライバシー／セキュリティ・リスクをもたらす。この脆弱性により、悪意のブラウザ・エクステンションが Gemini サイド・パネルを乗っ取る可能性がある。その結果として、ユーザーのカメラ／マイク／ローカル・ファイルへの不正アクセスが発生し得ると、研究者たちは指摘している。

OneUptime プラットフォームの脆弱性 CVE-2026-27728 が FIX：システムの完全乗っ取りの恐れ

OneUptime Command Injection Vulnerability Poses Major Risk of Full System Takeover

2026/03/02 gbhackers — オンライン・サービスの監視／管理プラットフォーム OneUptime に、深刻なコマンド・インジェクションの脆弱性 CVE-2026-27728 が発見された。この脆弱性を悪用する認証済みユーザーは、Probe サーバ上で任意のオペレーティング・システム・コマンドを実行し、システム全体の乗っ取りリスクを引き起こすことが可能である。OneUptime のバージョン 10.0.7 未満を使用しているユーザー組織は、直ちにパッチを適用する必要がある。

Windows WER サービスの脆弱性 CVE-2026-20817：ALPC 権限昇格の PoC が公開

PoC Exploit Released for Windows Error Reporting ALPC Privilege Escalation

2026/03/02 CyberSecurityNews — Microsoft の Windows に影響を及ぼす、深刻なローカル権限昇格 (LPE) の脆弱性 CVE-2026-20817 に対して、概念実証 (PoC) エクスプロイトが公開された。この脆弱性は、Windows Error Reporting (WER) サービス内に存在する欠陥に起因する。この脆弱性を悪用する低権限の認証済みユーザーは、SYSTEM 権限で任意の悪意のコードを実行できる。詳細な調査結果と、C++ による PoC エクスプロイトが、セキュリティ研究者 @oxfemale (X／Twitter 上では @bytecodevm としても知られる) により GitHub 上で公開された。この公開が浮き彫りにするのは、Windows エラー報告メカニズムのプロセス間通信に存在する、深刻なセキュリティ欠陥の危険性である。

Langflow CSV Agent の脆弱性 CVE-2026-27966 が FIX：プロンプト・インジェクションによる RCE

Langflow CSV Agent Flaw Could Let Attackers Execute Arbitrary Code

2026/03/02 gbhackers — Large Language Models (LLM) を用いたアプリケーション構築に広く利用される、ローコードツールの Langflow に深刻な脆弱性 CVE-2026-27966 (CVSS：9.8) が発見された。この脆弱性は CSV Agent ノードに存在する欠陥であり、影響を受けるサーバ上での不正なコード実行を、攻撃者に許す可能性がある。リモート・コード実行 (RCE) の脆弱性であり、バージョン 1.6.9 未満を使用している開発者／管理者に対して、早急な対応が求められている。

Microsoft HTML の脆弱性 CVE-2026-21513：2026年2月の Patch Tuesday 前に APT28 が悪用

MSHTML Framework 0-Day Exploited by APT28 Hackers Before Feb 2026’s Patch Tuesday Update

2026/03/02 CyberSecurityNews — Microsoft HTML (MSHTML) フレームワークに存在するゼロデイ脆弱性が、実環境で積極的に悪用されていることが判明した。この脆弱性 CVE-2026-21513 (CVSS：8.8：High) を悪用する攻撃者は、セキュリティ機能をバイパスし、任意のファイル／コードを実行できる。この脆弱性は、現時点でサポート対象となっている、すべての Windows バージョンに影響を及ぼす。

Angular Server-Side Rendering の脆弱性 CVE-2026-27739 が FIX：Web アプリに SSR の恐れ

Angular SSR Request Vulnerability Allows Attackers to Trick Applications into Sending Unauthorized Requests

2026/03/02 CyberSecurityNews — Angular Server-Side Rendering (SSR) に、深刻な脆弱性 CVE-2026-27739 (CVSS：9.2：Critical) が発見された。この脆弱性を悪用する攻撃者は、未承認のリクエストをアプリケーションに送信させることが可能となる。この脆弱性は、Server-Side Request Forgery (SSRF) に分類されており、その影響が及ぶ範囲は、Angular フレームワークを使用する Web アプリケーションに広がる。

脆弱性 ClawJacked を介した攻撃を検出：悪意の Web サイトからの OpenClaw ハイジャックとデータ窃取

ClawJacked attack let malicious websites hijack OpenClaw to steal data

2026/03/01 BleepingComputer — 人気の AI エージェント OpenClaw に存在する深刻な脆弱性 ClawJacked を、セキュリティ研究者たちが公表した。この脆弱性を悪用する Web サイトが、ローカルで実行中のインスタンスへのアクセスを静かに総当たりし、制御を奪取できるという。この脆弱性を発見した Oasis Security が OpenClaw に報告し、2月26日にリリースされたバージョン 2026.2.26 で、この脆弱性に対する修正が提供されている。

Metasploit の最新アップデート：Ollama／BeyondTrust／Linux RC4 向けの新モジュール

Metasploit Adds New Modules Targeting Linux RC4, BeyondTrust, and Registry Persistence

2026/02/28 CyberSecurityNews — 2026年2月27日にリリースされた最新の Metasploit アップデートは、強力な攻撃手段と大幅な機能強化を、セキュリティ専門家／ペンテスターにもたらすものだ。このリリースでは、新規 7 件のモジュールに加えて、9 件の機能強化と重大なバグ修正が導入された。

ユーザー組織 87％の本番環境に悪用可能な脆弱性：最優先事項に目を向けるためには？

Exploitable Vulnerabilities Present in 87% of Organizations

2026/02/28 InfoSecurity — ユーザー組織の 87% が、本番環境で少なくとも 1 つの悪用可能なソフトウェア脆弱性を抱えており、その影響は全サービスの 40% に及んでいることが、Datadog の新たなレポートにより明らかになった。可観測性とセキュリティの専門企業である Datadog は、数万規模のアプリケーションから取得したテレメトリ・データおよび追加データセットに基づく “State of DevSecOps Report” で、この調査結果を公表した。

Juniper PTX の脆弱性 CVE-2026-21902 が FIX：ルーター制御の完全な奪取

Juniper Networks PTX Vulnerability Enables Full Router Takeover

2026/02/27 CyberSecurityNews — Juniper が公表したのは、PTX Series プラットフォームに影響を及ぼす Junos OS Evolved ソフトウェアの、深刻な脆弱性に対処する定例外のセキュリティ・アドバイザリである。この脆弱性 CVE-2026-21902 (CVSS4.0：9.3：Critical) を悪用する未認証のリモート攻撃者は、root ユーザーとして任意のコード実行を可能にする。その結果、影響を受けるデバイスの完全な制御に至るという。

HackerOne の新サービス：AI エージェントを介してユーザー環境の脆弱性を検証

HackerOne Adds AI Agent to Validate Vulnerabilities

2026/02/26 SecurityBoulevard — HackerOne のプラットフォームに AI エージェントが追加され、特定の IT 環境内における脆弱性の有無を検証できるようになった。それにより、サイバーセキュリティ・チームおよびアプリケーション開発者は、潜在的な脅威の調査に費やす時間を削減できるようになる。HackerOne の Head of Product である Michiel Prins は、倫理的ハッカーとの契約プラットフォームに組み込まれている “Hai” agentic AI システムの拡張により、ユーザー組織における実際のリスクに基づく、修復対応の優先順位付けが容易になると述べている。

Trend Micro Apex One の脆弱性 CVE-2025-71210／71211 などが FIX：RCE のおそれ

Critical Trend Micro Apex One Vulnerabilities Allow Remote Malicious Code Execution

2026/02/27 gbhackers — Trend Micro が開示したのは、Apex One エンドポイント・プロテクション・プラットフォームに存在する 8 件のセキュリティ脆弱性に関する情報である。そのうち 2 件は、認証不要のリモート攻撃者に対して悪意のコードのアップロードを許し、影響を受けるシステム上でのコマンド実行に至る、深刻度 Critical のものである。

FreeBSD の脆弱性 CVE-2025-15576 が FIX：jail 環境からの完全な脱出を許す可能性

FreeBSD Vulnerability Allow Attackers to Crash the Entire System

2026/02/27 CyberSecurityNews — FreeBSD 上の分離された jail 環境から攻撃者が脱出可能となる、深刻な脆弱性に対して、Admin は緊急パッチを適用する必要がある。この脆弱性 CVE-2025-15576 は、危険なジェイルブレイク状態を引き起こし、不正なファイル・システム・アクセスに至る恐れがあるものだ。この脆弱性により、隔離されたプロセスであっても、制限された環境を回避できる。その結果、ホストの基盤となるファイル・システムへの完全かつ未承認でのアクセス取得が可能となる。

Wireshark 4.6.4 がリリース：脆弱性 CVE-2026-3201／3202／3203 が FIX：DoS 攻撃やクラッシュに対応

Wireshark 4.6.4 Released to Patch Multiple Security Vulnerabilities

2026/02/26 gbhackers — Wireshark が公開したバージョン 4.6.4 は、プロトコル解析装置とツールにおける、複数の Denial-of-Service リスクや、複数のクラッシュに対処する安定性を提供するものだ。すべてのユーザーに対して、今回の更新は推奨される。特に、信頼されていないキャプチャ・ファイルや、多様なプロトコルとデバイスからのライブ・トラフィックを扱うアナリストにとって重要である。

Telnet 脆弱性 CVE-2026-24061：27年前の問題の再発による root アクセス

27 Years old Telnet Vulnerability Enables Attackers to Gain Root Access

2026/02/26 CyberSecurityNews — GNU Inetutils に含まれる telnet daemon (telnetd) に、新たな脆弱性が確認された。注目すべきは、この脆弱性により、27年前のセキュリティ不具合が再燃していることだ。不適切な環境変数サニタイズの悪用により、認証を必要としない root アクセス取得が可能になる。この脆弱性 CVE-2026-24061 は、GNU Inetutils バージョン 2.7 以下に存在する。悪意のクライアントが、 USER 環境変数の値として “-f root” を指定した場合に、リモートからの認証回避が可能となる。

ServiceNow AI Platform の脆弱性 CVE-2026-0542 が FIX：サンドボックス・エスケープによる RCE の可能性

Critical ServiceNow AI Platform Vulnerability Enables Remote Code Execution

2026/02/26 CyberSecurityNews — エンタープライズ向けの ServiceNow AI Platform に存在する、深刻な脆弱性 CVE-2026-0542 (CVSS：9.8：Critical) が修正された。この脆弱性は、同プラットフォームのサンドボックス環境内に存在し、特定の条件下で未認証の攻撃者に悪用された場合に、リモートコード実行 (RCE) が引き起こされる可能性がある。

Windows の脆弱性 CVE-2026-2636 に PoC：CLFS ドライバーの問題によるBSoD クラッシュを実証

PoC Released for Windows Vulnerability That Allows Attackers to Cause Unrecoverable BSOD Crashes

2026/02/26 CyberSecurityNews — 脆弱性 CVE-2026-2636 (CVSS：5.5) に対する PoC エクスプロイトが公開された。この Denial-of-Service (DoS) の脆弱性は、Windows の Common Log File System (CLFS) ドライバーに存在する。低権限ユーザーであっても、対象システムを即座にクラッシュさせ、回復不能な Blue Screen of Death (BSoD) に陥れることが可能である。この脆弱性は、Fortra の Ricardo Narvaja による CLFS 研究の過程で発見されたものだ。

Mozilla Firefox 148 がリリース：Sanitizer API の搭載による XSS 対策の強化

Firefox 148 Unveils New Sanitizer API to Mitigate XSS Attacks in Web Applications

2026/02/26 gbhackers — Firefox が公開したのは、Cross-Site Scripting (XSS) 攻撃から Web アプリケーションを保護するための主要なアップデートである。Firefox 148 のリリースに伴い、Mozilla は標準化された新たな Sanitizer API を導入し、セキュリティ・ツールを標準でビルトインする最初のブラウザとなった。この新機能により、Web 開発者は未信頼のコードが Web ページへ挿入される前に、安全対策とクリーン・アップの実行が可能になる。

Claude Code における複数の脆弱性：API キー漏えいと RCE の可能性

Claude Code Flaws Allow Remote Code Execution and API Key Exfiltration

2026/02/25 TheHackerNews — AI 搭載コーディング支援ツール Anthropic Claude Code に、複数のセキュリティ脆弱性が存在することを、サイバー・セキュリティ研究者たちが明らかにした。これらの脆弱性により、リモート・コード実行および API 認証情報の窃取が発生する可能性がある。一連の脆弱性により、フック／Model Context Protocol (MCP) サーバ／環境変数などの、複数のコンフィグ機能の悪用が可能となると、Check Point Research のレポートは指摘している。ユーザーが未信頼のリポジトリをクローンして開くだけで、任意のシェル・コマンド実行および Anthropic API キーの漏洩が発生する。

Zyxel Router の複数の脆弱性が FIX：OS コマンド実行や DoS 攻撃の恐れ

Critical Zyxel router flaw exposed devices to remote attacks

2026/02/25 SecurityAffairs — Zyxel が公表したのは、深刻なリモートコード実行 (RCE) 脆弱性 CVE-2025-13942 (CVSS：9.8) などに対処するアップデートの詳細である。この脆弱性は、複数の Zyxel CPE／Fiber ONT／Wireless Extender における、UPnP 機能にコマンド・インジェクションの欠陥に起因し、12 を超えるルーター・モデルに影響する。

Cisco SD-WAN のゼロデイ CVE-2026-20127 (CVSS：10.0) が FIX：2023 から Root が生じていた

Critical Cisco SD-WAN 0-Day Vulnerability Exploited Since 2023 to Gain Root Access

2025/02/25 CyberSecurityNews — Cisco が開示したのは、Catalyst SD-WAN 製品に存在する重大な zero-day 脆弱性に関する情報である。この脆弱性 CVE-2026-20127 (CVSS：10.0：Critical) を悪用する脅威アクターは、認証回避および root アクセス取得が可能になる。この脆弱性は、Cisco Catalyst SD-WAN Controller (旧 vSmart)／Catalyst SD-WAN Manage (旧 vManage) のピアリング認証メカニズムの欠陥に起因する。注目すべきは、2023 年以降において、この脆弱性が脅威アクターたちにより悪用されていたことだ。

SolarWinds Serv-U の脆弱性 CVE-2025-40538／40539／40540／40541 が FIX：root での RCE

SolarWinds Critical Serv-U Vulnerabilities Enables Root Access

2026/02/25 CyberSecurityNews — SolarWinds Serv-U file server に存在する 4 件の深刻な脆弱性を修正するセキュリティ更新が公開された。脆弱性 CVE-2025-40538／40539／40540／40541 (CVSS：9.1) を悪用する攻撃者は、影響を受けるシステム上でリモートコード実行を引き起こし、完全な侵害を可能にする恐れがある。一連の脆弱性は、最新バージョンである Serv-U 15.5.4 で修正されている。セキュリティ・チームおよびシステム管理者にとって必要なことは、リリースノートの確認と、速やかなアップデートの適用である。

CISA KEV 警告 26/02/24：FileZen の脆弱性 CVE-2026-25108 を登録

CISA Issues Alert on Active Exploitation of FileZen Vulnerability

2026/02/25 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が、実環境でのアクティブな悪用の証拠を受けて、新たな脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。この OS コマンド・インジェクションの脆弱性 CVE-2026-25108 は、日本企業 Soliton Systems K.K. が開発したファイル共有／データ転送製品 FileZen に影響を及ぼすものだ。

Apache ActiveMQ の脆弱性 CVE-2023-46604 を悪用：RDP への不正アクセスと LockBit の展開

Threat Actors Exploit Apache ActiveMQ Vulnerability to Gain RDP Access, Deploy LockBit Ransomware

2026/02/25 gbhackers — Apache ActiveMQ の深刻な脆弱性 CVE-2023-46604 を悪用する脅威アクターたちが、Windows 環境へと深く侵入し、最終的に RDP 経由で LockBit ランサムウェアを展開している。このインシデントが示すのは、脆弱性 CVE-2023-46604 を放置すると、攻撃者に対して再侵入の機会と十分な準備時間を与える状況に陥ることだ。攻撃者による初期の足がかりが、最終的にはドメイン全体への影響へと発展する。

Ruby のバックグラウンドに深刻な RCE 脆弱性 CVE-N/A：完全なシステム侵害の可能性

New Deserialization Vulnerability in Ruby Workers Could Enable Full System Compromise

2026/02/24 CyberSecurityNews — Ruby のバックグラウンド・ジョブ処理システムに、深刻なリモートコード実行 (RCE) 脆弱性 CVE-N/A が発見された。原因は安全ではない JSON デシリアライズであり、信頼できない入力データが実行可能なオブジェクトへと変換されてしまう。この問題は、Ruby 環境におけるデシリアライズの潜在的な危険性を示すものであり、たった一行のコードが、バックグラウンド・ワーカー・コンテキストで致命的なコマンド実行を引き起こす。

VMware Aria Operations の脆弱性 CVE-2026-22719／22720／22721 が FIX：リモート・コード実行の恐れ

VMware Aria Flaws Enable Attackers to Execute Remote Code

2026/02/24 gbhackers — Broadcom のセキュリティ・アドバイザリ VMSA-2026-0001 で公開されたのは、VMware Aria Operations に存在する 3 件の脆弱性に関する情報である。これらの脆弱性は、リモート攻撃者に対して任意のコマンド実行を許すものであり、VMware Aria Operations／Cloud Foundation／Telco Cloud Platform／Telco Cloud Infrastructure に影響を及ぼす。すでに VMware は、すべてのバージョン向けに修正プログラムをリリースし、この問題に対処している。

Chrome の脆弱性 CVE-2026-3061／3062／3063 が FIX：深刻度 High のメモリ破壊

Google Chrome Emergency Security Update Patches Three High-Severity Vulnerabilities

2026/02/24 CyberSecurityNews — Google が公開したのは、Chrome ブラウザ向けの緊急セキュリティ更新である。Windows／macOS 向けにバージョン 145.0.7632.116／145.0.7632.117 が提供され、Linux 向けにバージョン 145.0.7632.116 が提供される。このアップデートは、重大リスクをもたらす 3 件の高深刻度の脆弱性 CVE-2026-3061／3062／3063 に対処するものであり、今後の数日から数週間にかけ段階的に展開される。

HPE Telco Service Activator の脆弱性 CVE-2025-12543 が FIX：リモートアクセス制限回避の恐れ

HPE Telco Service Activator Vulnerability Allows Attackers to Bypass Access Controls

2026/02/23 gbhackers — Hewlett Packard Enterprise (HPE) が発行したのは、Telco Service Activator 製品に存在する深刻な脆弱性に関するセキュリティ速報である。この脆弱性 CVE-2025-12543 (CVSS：9.6：Critical) は、リモート・アクセスに対する制限回避を可能にするものであり、バージョン 10.5.0 未満に影響を及ぼす。

jsPDF ライブラリの脆弱性 CVE-2026-25755 が FIX：オブジェクト・インジェクションの可能性

jsPDF Vulnerability Exposes Millions of Developers to Object Injection Attacks

2026/02/23 CyberSecurityNews — 人気ライブラリ jsPDF において、新たに開示されたセキュリティ脆弱性 CVE-2026-25755 が、数百万の Web 開発者を PDF Object Injection 攻撃にさらしている。この脆弱性を悪用するリモート攻撃者は、生成する PDF 文書内に任意のオブジェクトおよびアクションの埋め込みが可能となる。この脆弱性は、PDF ファイルへ JavaScript コードを埋め込む addJS メソッドに影響を及ぼすものだ。

CISA KEV 警告 26/02/20： Roundcube の脆弱性 CVE-2025-49113／68461 を登録

CISA Warns of Actively Exploited Roundcube Vulnerabilities

2026/02/23 gbhackers — 2026年02月20日に、Cybersecurity and Infrastructure Security Agency (CISA) は、Known Exploited Vulnerabilities (KEV) カタログに Roundcube Webmail の 2 件の深刻な欠陥を登録した。追加された脆弱性 CVE-2025-49113／CVE-2025-68461 は、いずれも脅威アクターにより実際に悪用されているものである。

OpenClaw 悪用キャンペーンの拡大：脆弱性 CVE-2026-25253 を介した API キー窃取／マルウェア展開

Multiple Hacking Groups Exploit OpenClaw Instances to Steal API key and Deploy Malware

2026/02/22 CyberSecurityNews — 複数のハッキング・グループにより、OpenClaw (旧称 MoltBot／ClawdBot) の脆弱性 CVE-2026-25253 が広範に悪用され、悪意あるペイロードの配布／展開が引き起こされていることが判明した。OpenClaw は、現在は OpenAI に所属する Peter Steinberger により開発された、オープンソースの自律型 AI フレームワークであり、2026年1月下旬に急速に普及した後に、深刻な攻撃の標的となっている。

Google Chrome のゼロデイ脆弱性 CVE-2026-2441：PoC 公開と実環境での悪用の確認

PoC Released for Critical Chrome 0-day Vulnerability Exploited in the Wild

2026/02/20 CyberSecurityNews — Google が公開したのは、Chrome の Blink CSS エンジンに存在する深刻な use-after-free のゼロデイ脆弱性 CVE-2026-2441 に対する Proof-of-Concept (PoC) エクスプロイトの情報である。Google は、この脆弱性が実環境で積極的に悪用されていることを確認している。この欠陥は、2026年2月11日にセキュリティ研究者 Shaheen Fazim により報告されたものであり、その 2 日後に Google は緊急パッチで対応している。 2026年における、最初の Chrome ゼロデイ脆弱性は、Chrome の Blink CSS エンジン内の CSSFontFeatureValuesMap コンポーネントに存在する。

Jenkins の脆弱性 CVE-2026-27099／27100 が FIX：ビルド環境が XSS 攻撃の標的に

Critical Jenkins Flaw Exposes Build Environments to XSS Attacks

2026/02/20 gbhackers — 2026年2月18日に報告されたのは、Jenkins のコア・ソフトウェアに存在する 2 件の脆弱性 CVE-2026-27099／CVE-2026-27100 に関する情報である。この脆弱性により、世界中の開発者がソフトウェアのビルド／テスト／デプロイに使用している Jenkins は、深刻なセキュリティ・リスクに直面している。最も深刻な問題は、蓄積型クロス・サイト・スクリプティング (XSS) の脆弱性である。この脆弱性 CVE-2026-27099 を悪用する攻撃者は、ビルド環境への悪意のスクリプトの挿入が可能となり、データ窃取やセッション乗っ取りを引き起こし得る。

Apache Tomcat 脆弱性 CVE-2026-24733 が FIX：HTTP/0.9 を介したセキュリティ・バイパス

Apache Tomcat Vulnerabilities Let Attackers Bypass Security Constraints via HTTP/0.9 Requests

2026/02/20 CyberSecurityNews — Apache Tomcat が公表したのは、特定のアクセス制御ルールコンフィグの下で HTTP/0.9 リクエストを介して発生する、深刻度 Low のセキュリティ制約回避の脆弱性 CVE-2026-24733 に関する情報である。この問題を特定した Apache Tomcat セキュリティ・チームは、2026年2月17日にアドバイザリを公開した。

Windows Notepad 脆弱性 CVE-2026-20841：コマンド・インジェクションの PoC がリリース

PoC Released for Windows Notepad Vulnerability that Enables Malicious Command Execution

2026/02/20 CyberSecurityNews — Microsoft は 2026年2月の Patch Tuesday において、最新の Windows Notepad アプリに存在する深刻なリモートコード実行 (RCE) の脆弱性を修正した。この脆弱性 CVE-2026-20841 は、コマンド・インジェクションに起因するものである。Delta Obscura の Cristian Papa／Alasdair Gorniak により発見された後に、TrendAI Research の Nikolai Skliarenko／Yazhi Wang により詳細が分析された。

BeyondTrust の脆弱性 CVE-2026-1731：VShell／SparkRAT 展開キャンペーンを分析

Hackers Exploit Critical BeyondTrust Vulnerability to Deploy VShell and SparkRAT

2026/02/20 gbhackers — BeyondTrust の Remote Support ソフトウェアに存在する深刻な脆弱性を、脅威アクターたちが積極的に悪用している。この脆弱性を悪用する攻撃者は、VShell バックドアおよび SparkRAT を展開し、公開されているシステムを完全に侵害している。この脆弱性 CVE-2026-1731 は、米国／欧州／アジア太平洋地域の複数業界に対する攻撃で実際に悪用されている。

Splunk の脆弱性 CVE-2026-20140 が FIX：DLL サイドローディング攻撃による SYSTEM 権限昇格

Splunk Enterprise for Windows Vulnerability Let Attackers Hijack DLLs and Gain SYSTEM Access

2026/02/20 CyberSecurityNews — Splunk が公表したのは、Windows 版 Splunk Enterprise に存在する高深刻度の脆弱性に関する情報である。この脆弱性により、低権限のローカル・ユーザーであっても、DLL サイドローディング攻撃を通じて SYSTEM 権限への昇格が可能になる。この脆弱性 CVE-2026-20140 (CVSSv3.1：7.7：High) は、2026年2月18日付けのアドバイザリ SVD-2026-0205 として公開されている。なお、脆弱性のカテゴリーとしては、CWE-427 (Uncontrolled Search Path Element) に分類される。

Microsoft 365 Copilot 脆弱性 CVE-N/A：高機密メールが誤って要約されてしまう

Microsoft 365 Copilot Vulnerability Exposes Sensitive Emails Through AI Summaries

2026/02/19 gbhackers — Microsoft 365 Copilot に存在するセキュリティ不具合により、高機密性のラベルが付与されたメールを AI アシスタントが誤って要約するという問題が発生している。これは、設定済みの Data Loss Prevention (DLP) ポリシーを事実上回避する挙動である。この脆弱性により、組織の機密データが未承認の AI 処理に晒される可能性が生じる。

OpenClaw の 6 件の脆弱性が FIX：SSRF／認証不備／パス・トラバーサル

Researchers Reveal Six New OpenClaw Vulnerabilities

2026/02/19 InfoSecurity — OpenClaw が公表したのは、人気の AI アシスタントに存在する 6 件の新たな脆弱性の修正である。それらには、Server-Side Request Forgery (SSRF)／認証不備／パス・トラバーサルなどの不具合が含まれると、Endor Labs は述べている。これらの脆弱性の一部には CVE ID が付与されていないが、深刻度は Moderate から High に及ぶという。この発表は、2月18日に公開されたブログ投稿で行われた。

中国における脆弱性管理：戦略的な遅延による情報ギャップが CVE の武器化を促す？

Beyond CVE China’s Dual Vulnerability Databases Reveal a Different Disclosure Timeline

2026/02/19 CyberSecurityNews — 中国における独自の脆弱性公開エコシステムの台頭が、グローバルな脅威環境に複雑な層を加えている。国際的に使用されている集中型 CVE システムとは異なり、中国では CNVD と CNNVD という 2 つの独立したデータベースが維持されている。この両者には、公開タイムラインと優先順位において違いがある。この二重構造により、西側の防御側から可視化されない脆弱性が、長期間にわたり静かに存在するという状況が生じている。

CISA KEV 警告 26/02/18：Dell RecoverPoint と GitLab の脆弱性を登録

U.S. CISA adds Dell RecoverPoint and GitLab flaws to its Known Exploited Vulnerabilities catalog

2026/02/19 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Dell RecoverPoint および GitLab の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。追加された脆弱性は以下の通りである。

CVE-2021-22175 (CVSS：6.8)：GitLab Server の SSRF の脆弱性
CVE-2026-22769 (CVSS：10.0)：Dell RecoverPoint 認証情報ハードコード

MCP Server のセキュリティを考える：相反する高次元の能力と信頼境界への侵食

Critical MCP Server Enables Arbitrary Code Execution and Sensitive Data Exfiltration

2026/02/19 gbhackers — MCP サーバは、AI アシスタントを強力な攻撃基盤へと、静かに変質させるものでもある。それにより、任意のコード実行／大規模なデータ流出や、ローカル／クラウド環境における巧妙なユーザー操作が可能になってしまう。新たな研究の結果だけではなく、最近の実際のインシデントにおいても、この新たなエコシステムの悪用が示されている。典型的なインシデントとしては、週に数千件の機密メールを密かに収集していた、悪意の Postmark MCP サーバが挙げられる。

Ivanti EPMM の脆弱性 CVE-2026-1281／1340：積極的な悪用と侵害の手法

Critical Ivanti EPMM Zero-Day Vulnerabilities Exploited in the Wild, Targeting Corporate Networks

2026/02/18 gbhackers — Ivanti Endpoint Manager Mobile (EPMM) に存在する、2 件の重大ゼロデイ脆弱性 CVE-2026-1281／CVE-2026-1340 が積極的に悪用されている。これらのリモートコード実行の脆弱性は、エンタープライズにおけるモバイルフリート／コーポレート・ネットワーク侵害に悪用されている。これらの脆弱性を悪用する未認証の攻撃者は、外部公開された EPMM サーバ上で任意コマンドを実行できる。それにより、ユーザー操作を必要とせずに、MDM インフラの完全な制御が可能になる。

VS Code の 4 件のエクステンションに深刻な脆弱性：累計インストール数は 1億2,500万回を超える

Critical Flaws Found in Four VS Code Extensions with Over 125 Million Installs

2026/02/18 TheHackerNews — Microsoft Visual Studio Code (VS Code) の 4 件の人気エクステンションに存在するセキュリティ脆弱性について、サイバー・セキュリティ研究者たちが詳細を公表した。これらの脆弱性を悪用する脅威アクターは、ローカル・ファイルを窃取し、リモート・コード実行を引き起こす可能性がある。対象となるエクステンションは、Live Server／Code Runner／Markdown Preview Enhanced／Microsoft Live Preview であり、累計インストール数は 1億2,500万回を超える。

Moltbook の脆弱性と危険性：具体的な攻撃手法と影響範囲を研究者たちが実証

Moltbook is Dangerous, but Scale Doesn’t Match the Hype: Zenity

2026/02/18 SecurityBoulevard — Moltbook は、AI エージェント同士の通信専用に設計された Reddit 風ソーシャルネットワークである。2026年1月下旬に公開されると同時に、全世界に広まった。ユーザーは自分のエージェントをサイトに接続し、他者のエージェントと会話した内容を観察している。その一方で、サイバー・セキュリティ研究者たちは、AI エージェントが本質的に抱えるセキュリティ問題を懸念している。AI エージェントは自律的に問題解決できる反面、攻撃面を拡大させる。

Windows Admin Center の脆弱性 CVE-2026-26119：認証不備による権限昇格の恐れ

Critical Windows Admin Center Vulnerability Allows Privilege Escalation

2026/02/18 CyberSecurityNews — Microsoft が提供する Windows Admin Center (WAC) に存在する、深刻な権限昇格の脆弱性 CVE-2026-26119 (CVSS：8.8：Critical) に対するセキュリティ更新が公開された。この脆弱性は、認証の不備 (CWE-287) に起因し、権限を持つ攻撃者に対してネットワーク特権昇格を許す可能性がある。

Notepad++ が v8.9.2 で更新インフラのセキュリティを刷新：”Double-Lock” 機構を実装

Notepad++ v8.9.2 Released with “Double-Lock” Update Mechanism Following Recent Hack

2026/02/18 CyberSecurityNews — Notepad++ は v8.9.2 をリリースし、”Double-Lock” 更新メカニズムと呼ばれる重要なセキュリティ強化策を導入した。この更新は、広く利用されている OSS テキスト／コード・エディタにおける更新インフラの脆弱性を標的とする、国家支援型の APT 攻撃に対処するものである。

CISA KEV 警告 26/02/17：Chrome／ThreatSonar／Zimbra／Windows の脆弱性を登録

CISA Flags Four Security Flaws Under Active Exploitation in Latest KEV Update

2026/02/18 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実環境におけるアクティブな悪用の証拠を根拠として、Known Exploited Vulnerabilities (KEV) カタログに 4 件のセキュリティ欠陥を追加した。それらの脆弱性は、Google Chrome／TeamT5 ThreatSonar Anti-Ransomware／Synacor Zimbra Collaboration Suite／Microsoft Windows Video ActiveX Control に存在するものだ。