Vulnerability – Page 3 – IoT OT Security News

Ghost CMS の CVE-2026-26980 を悪用：700 件以上のサイトで ClickFix マルウェア感染

Ghost CMS Vulnerability Exploited to Infect 700 Sites With ClickFix Malware

2026/05/26 gbhackers — 広く利用される Ghost CMS に存在する、深刻な SQL インジェクションの脆弱性 CVE-2026-26980 を積極的に悪用する脅威アクターが、大規模なページ・ポイズニング攻撃を通じて ClickFix マルウェアを配布している。この脆弱性により、攻撃者は認証を必要とせずにデータベース内の機密情報を抽出できるが、その中には Ghost Admin API キーが含まれる。

Apache CXF の脆弱性 CVE-2026-44930 がFIX：LDAP インジェクションと不正アクセス

Apache CXF Flaw Exposes Systems to LDAP Injection Attacks

2026/05/26 gbhackers — Apache CXF に、LDAP インジェクションの脆弱性 CVE-2026-44930 (CVSS 9.8 Critical) が発見された。この脆弱性を悪用する攻撃者は、高機密性の証明書データへの不正アクセスを可能にするため、深刻なセキュリティ・リスクが生じている。具体的には Apache CXF の XKMS (XML Key Management Specification) サービス内で使用されている、LDAP 証明書リポジトリが影響を受ける。

ConnectWise Automate の脆弱性 CVE-2026-9089 が FIX：コード検証不備とネットワーク全体への侵害

ConnectWise Automate Flaw Allows Hackers to Evade Security Controls

2026/05/26 gbhackers — ConnectWise は、ConnectWise Automate に存在する深刻な脆弱性 CVE-2026-9089 (CVSS 8.8) に対処するセキュリティ・アップデートを公開した。この脆弱性を悪用する攻撃者は、整合性検証メカニズムをバイパスし、管理対象環境内で不正なコードを実行できる可能性がある。

7-Zip の脆弱性 CVE-2026-48095 が FIX：任意のコード実行の可能性

New 7-Zip Vulnerabilities Let Attackers Execute Arbitrary Code and Compromise Systems

2026/05/26 CyberSecurityNews — 7-Zip version 26.00 に存在する深刻なヒープバッファ・オーバーフロー脆弱性が開示された。この脆弱性は、NTFS アーカイブ・ハンドラの欠陥に起因し、vtable ハイジャックを引き起こし、任意コード実行を可能にする。この脆弱性 CVE-2026-48095 (GHSL-2026-140) は、NtfsHandler.cpp 内の CInStream::GetCuSize() 関数に存在する。この関数は、NTFS 圧縮ユニットのバッファサイズを 32 ビットシフト演算で計算するものである：(UInt32)1 << (BlockSizeLog + CompressionUnit)

Anthropic Mythos が発見した 1 万件の脆弱性：浮き彫りにされるパッチ適用の遅延

Anthropic’s Mythos Finds 10,000 Security Flaws, Exposes Patching Obstacles

2026/05/25 SecurityBoulevard — 物議を醸している Anthropic の Claude Mythos Preview に関する最初の評価レポートでは、同社の Project Glasswing に参加する 50 の組織が最先端 AI モデルを用いて、1 万件を超える High／Critical の脆弱性を発見したことが明らかにされている。それが浮き彫りにするのは、これほどの大量のセキュリティ欠陥を、人間が修正する際の課題である。

CISA KEV 警告 26/05/22：Drupal Core の脆弱性 CVE-2026-9082 を KEV に登録

CISA Warns Drupal Core SQL Injection Vulnerability Is Being Exploited in Attacks

2026/05/25 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Drupal Core に存在する深刻な SQL インジェクションの脆弱性 CVE-2026-9082 に関する緊急警告を発出した。現在、この脆弱性は実環境で活発に悪用されている。この CVE-2026-9082 が CISA の Known Exploited Vulnerabilities (KEV) カタログに追加されたことで、影響を受ける Drupal 環境を使用している組織には、高いリスクが生じていることが明らかになった。

KnowledgeDeliver の脆弱性 CVE-2026-5426：実環境での悪用を Mandiant が警告

KnowledgeDeliver LMS Zero-Day Exploited to Deploy BLUEBEAM Web Shell

2026/05/25 CyberSecurityNews — KnowledgeDeliver における新たなゼロデイ脆弱性 CVE-2026-5426 が、実環境で活発に悪用され、BLUEBEAM インメモリ Web シェルが展開されていることが、Mandiant のインシデント・レスポンス調査により確認された。この脆弱性は、2026年2月24日以前のデフォルト ASP.NET コンフィグに依存する環境に影響を及ぼし、未認証のリモート・コード実行 (RCE) を引き起こす恐れがある。

Nginx の脆弱性 nginx-poolslip CVE-2026-9256 が FIX：DoS とリモートコード実行の恐れ

Nginx-poolslip Vulnerability Enables DoS and Code Execution Attacks — Patch Now!

2026/05/23 CyberSecurityNews — 世界で最も広く導入されている Web サーバ NGINX の新たな脆弱性により、管理者は緊急パッチ対応を迫られている。nginx-poolslip と呼ばれる脆弱性 CVE-2026-9256 は、NGINX Plus および NGINX Open Source に影響し、リモートの未認証の攻撃者に対して、通常の HTTP を介したトリガーを許すものである。この脆弱性は、先日の脆弱性 NGINX Rift (CVE-2026-42945) と同一の、ngx_http_rewrite_module コンポーネントに存在する。

Ubiquiti UniFi OS プラットフォームの深刻な 5件の脆弱性が FIX：リモートからの権限昇格などの可能性

Ubiquiti Patches Critical UniFi OS Vulnerabilities Allowing Remote Privilege Escalation

2026/05/23 CyberSecurityNews — Ubiquiti Networks が公開したのは、UniFi OS プラットフォームに影響を及ぼす複数の深刻な脆弱性に対処する緊急セキュリティ・アップデートである。これらの深刻な欠陥を突く未認証のリモート攻撃者は、任意のコード実行や権限昇格を達成し、エンタープライズ・ネットワーク・インフラを侵害する可能性がある。合計で 5種類のセキュリティ問題が修正されているが、そのうちの 3件の深刻度は、CVSS v3.1 で 10.0 と評価されている。

LiteSpeed cPanel プラグインのゼロデイ CVE-2026-48172 が FIX：サーバ root 権限奪取の恐れ

LiteSpeed cPanel Plugin 0-Day Exploited for Server Root Access

2026/05/23 gbhackers — Web ホスティング・プラットフォームにおける、最も広く普及しているコンポーネントの 1つが、新たな形で攻撃に悪用されている。LiteSpeed User-End cPanel プラグインに存在する深刻なゼロデイ権限昇格の脆弱性 CVE-2026-48172 が、現在進行形で実環境で活発に悪用されている。認証済みの cPanel ユーザーであれば、root 権限で任意のスクリプトを実行し、サーバ全体を完全に制御できる状態となっている。この脆弱性の CVSS スコアは最大値の 10.0 であるが、すでに 2026年5月21日時点で、修正バージョンが公開されている。

Claude Mythos が脆弱性検出を加速：Glasswing プロジェクトが 10,000 件以上のゼロデイを発見

Anthropic’s Claude Mythos Preview Uncovers 10,000+ 0-Days in Project Glasswing

2026/05/23 CyberSecurityNews — 深刻な脆弱性が悪用される前に、高度な AI を用いて重要インフラを保護するための、サイバーセキュリティ・イニシアチブ Project Glasswing の初期成果が、Anthropic から公開された。世界で最も重要なソフトウェア・システム全体に対して、未公開モデル Claude Mythos Preview を活用することで、深刻度 High および Critical のゼロデイ脆弱性 10,000 件以上が、プロジェクト開始から 1 ヶ月間で発見された。

CISA KEV 警告 26/05/20：Defender の脆弱性 CVE-2026-45498／41091 を KEV に登録

CISA Issues Alert on Exploited Microsoft Defender Zero-Day Vulnerabilities

2026/05/22 gbhackers — 米国の CISA は、Microsoft Defender に影響を与える 2件のゼロデイ脆弱性に対処するよう、連邦政府の組織に対して指令を発出した。これらの脆弱性は、2026年5月20日に Known Exploited Vulnerabilities (KEV) カタログへ追加された。

Splunk の脆弱性 CVE-2026-20238／20239／20240 が FIX：DoS 攻撃や機密情報漏洩の恐れ

Splunk Patches Multiple Vulnerabilities that Enable DOS Attack and Exposes Sensitive Data

2026/05/22 CyberSecurityNews — Splunk が公開したのは、Enterprise／Cloud Platform／AI Toolkit に影響を及ぼす、複数の脆弱性に対するセキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は、サービス拒否 (DoS) 状態や機密性の高いデータの露出を引き起こす可能性がある。これらの脆弱性 CVE-2026-20238／CVE-2026-20239／CVE-2026-20240 は、2026年5月20日に公開された。

CISA KEV 警告 26/05/21：Langflow の脆弱性 CVE-2025-34291 を KEV に登録

CISA Adds Langflow Origin Validation Flaw to Known Exploited Vulnerabilities Catalog

2026/05/22 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Langflow の深刻な脆弱性 CVE-2025-34291 を Known Exploited Vulnerabilities (KEV) カタログに追加し、実環境での悪用リスクを強調するとともに即時対応を求めている。この脆弱性は、AI 駆動ワークフローの構築とオーケストレーションに使用される、Langflow のオリジン検証の欠陥に起因する。

CISA KEV 警告 26/05/21：Trend Micro Apex One の脆弱性 CVE-2026-34926 を KEV に登録

CISA Warns Trend Micro Apex One Vulnerability Is Being Exploited in Attacks

2026/05/22 gbhackers — CISA は、新たに公開された Trend Micro Apex One の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録し、この欠陥が実環境で積極的に悪用されていると警告した。この脆弱性 CVE-2026-34926 が影響を及ぼす範囲は、Trend Micro Apex One のオンプレミス・デプロイメントであり、エンタープライズ環境に深刻なリスクをもたらす。

NGINX 1.31.0 のゼロデイ脆弱性 nginx-poolslip (CVE-N/A) を検出：ASLR バイパスによる RCE の可能性

New NGINX 0-Day RCE “nginx-poolslip” Threatens Millions of Servers

2026/05/21 gbhackers — 新たに発見された NGINX のゼロデイ脆弱性 nginx-poolslip (CVE-N/A) が悪用されると、数百万台のサーバが潜在的なリモート・コード実行 (RCE) 攻撃の危険にさらされる可能性がある。この脆弱性により、世界中のサイバーセキュリティ・コミュニティにおいて、深刻な懸念が引き起こされている。この脆弱性は、世界中の Web サイトの推定 30〜40% で利用されている、Web サーバ・ソフトウェア NGINX のバージョン 1.31.0 に影響するものであり、NebSec チームのセキュリティ研究者 Vega により発見され、2026年5月21日に公開された。

Chrome 148.0.7778.178／179 が公開：タイプ・コンフュージョン／解放後メモリ使用を修正

Critical Chrome Vulnerabilities Enable Remote Code Execution Attacks – Patch Now!

2026/05/21 CyberSecurityNews — Google が、Chrome 向けの緊急セキュリティ・アップデートを公開した。合計で 16 件の脆弱性が修正されたが、そのうちの 2 件は Critical と評価され、影響を受けるシステム上での任意のコード実行を可能にするものだ。Stable チャネルでは、Windows／Mac 向けの 148.0.7778.178／179 と、Linux 向けの 148.0.7778.178 が提供されており、今後の数日以内にロールアウトが完了する見込みである。

Apache OFBiz の脆弱性 CVE-2026-45434 が FIX：PW 変更処理の不備による認証回避と RCE

Apache OFBiz RCE Flaw Abuses Password-Change Restrictions for Authentication Bypass

2026/05/21 gbhackers — Apache OFBiz に存在する深刻な認証バイパス脆弱性 CVE-2026-45434 を悪用する攻撃者は、強制パスワード変更フローを乗っ取り、単一の HTTP リクエストを通じてリモート・コード実行 (RCE) を達成する可能性がある。この脆弱性が影響を及ぼす範囲は、Apache OFBiz のバージョン 24.09.06 未満となる。Apache OFBiz は、ビジネス・プロセス管理に用いられるオープンソースの ERP プラットフォームである。

CVE ID：CVE-2026-45434
CVSS 3.1 スコア：8.8 (High)
影響バージョン：Apache OFBiz 24.09.06 未満
修正バージョン：Apache OFBiz 24.09.06
公開日：2026年5月20日
研究者：Aretiq AI

Linux kernel の脆弱性 CVE-2026-46333 が FIX：SSH キー窃取や root 権限昇格の恐れ

Nine-year-old Linux Kernel Vulnerability Let Attackers Exfiltrate SSH Private Keys

2026/05/21 CyberSecurityNews — 新たに公開された Linux kernel の脆弱性 CVE-2026-46333 は、約 9年間にわたり検出されなかった、深刻なローカル権限昇格の欠陥を露呈するものだ。この脆弱性を悪用する攻撃者は、SSH 秘密鍵を含む機密性の高いデータを窃取し、影響を受けるシステム上で root として任意のコマンド実行を可能にすると、Qualys Threat Research Unit のセキュリティ研究者は明らかにしている。

Drupal の脆弱性 PSA-2026-05-18 が FIX：コアへの影響とサイト乗っ取りの可能性

Critical Drupal Vulnerability Could Leave Sites Open to Cyberattack

2026/05/21 gbhackers — Drupal Security Team は、Drupal コアに影響を及ぼす、きわめて深刻な脆弱性について警告を発表した。そのためのセキュリティ・リリースは、2026年5月20日 (PSA-2026-05-18) で行われている。この脆弱性の深刻度は、同社の基準で 20/25 (Highly Critical) と評価されており、公開後に攻撃者に悪用されると、機密性／完全性／可用性に大きなリスクが生じる可能性がある。

Cisco Secure Workload の脆弱性 CVE-2026-20223 が FIX：Site Admin 権限奪取の恐れ

Critical Cisco Secure Workload Vulnerability Enables Unauthorized API Access

2026/05/21 CyberSecurityNews — Cisco が公開したのは、同社の Secure Workload プラットフォームで発見された、脆弱性 CVE-2026-20223 (CVSS 10.0) に関する情報である。この脆弱性を悪用する未認証の脅威アクターは、内部 API を介して重要機能に対する認証欠如 (CWE-306) の欠陥を突き、機密性の高いリソースへの不正アクセスを引き起こせる。

Pardus Linux の脆弱性 CVE-2026-5140：ローカル・サイレント昇格による root 権限の奪取

Pardus Linux Vulnerability Lets Local Attackers Gain Silent Root Access

2026/05/20 gbhackers — Pardus Linux のアップデート・メカニズムにおいて、未認証のローカル・ユーザーが完全な root 権限を取得できる、深刻な権限昇格脆弱性チェーン CVE-2026-5140 (CVSS：8.8 High) が発見された。この問題は、 pardus-update パッケージに影響するものであり、3 つの異なる脆弱性が組み合わさることで、わずか数秒でシステム全体が侵害される恐れがある。

NGINX njs の CVE-2026-8711 が FIX：ヒープバッファ・オーバーフローによる DoS 攻撃の可能性

New NGINX Vulnerability Allow Remote Attackers to Trigger Malicious Code

2026/05/20 CyberSecurityNews — NGINX JavaScript (njs) で新たに発見された脆弱性 CVE-2026-8711 により、未認証のリモート攻撃者がヒープバッファ・オーバーフローを引き起こし、サービス拒否 (DoS) を発生させる可能性がある。さらに特定の条件下では、NGINX ワーカー・プロセスにおけるリモート・コード実行が可能となる。この脆弱性は、NGINX JavaScript の ngx.fetch() 操作において、js_fetch_proxy ディレクティブがクライアント制御変数を処理する際の不備に起因する。

FreePBX の脆弱性 CVE-2026-46376 が FIX：ユーザーポータルへの不正アクセスを招く恐れ

FreePBX Security Flaw Lets Attackers Access User Portals

2026/05/20 gbhackers — 広く利用されているオープンソース・プラットフォーム FreePBX において、特定の条件下で未認証の攻撃者に対してユーザーポータルへのアクセスを許す、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2026-46376 (CVSS v4：9.1) を悪用する攻撃者は、userman モジュールを介して User Control Panel (UCP) に影響を及ぼす。

Linux Kernel の脆弱性 DirtyDecrypt CVE-2026-31635 が FIX：root 権限昇格と PoC の提供

DirtyDecrypt Linux Kernel Vulnerability PoC Exploit Code Released

2026/05/20 CyberSecurityNews — Linux カーネルに存在する高深刻度のローカル権限昇格の脆弱性 DirtyDecrypt (別名 DirtyCBC) に対する、PoC (proof-of-concept) エクスプロイトが、セキュリティアナリスト Will Dormann により公開された。この脆弱性 CVE-2026-31635 を悪用するローカル攻撃者は、root 権限の取得が可能となる。なお、この脆弱性に対する修正パッチは、2026年4月25日の時点でアップストリームにマージされている。

CISA の認証情報／機密データが GitHub リポジトリに漏洩：GitGuardian が指摘した問題とは？

CISA Credentials, Sensitive Data Exposed in GitHub Repository

2026/05/19 SecurityBoulevard — CISA における深刻な情報漏洩が明らかにされた。同組織の外部契約者が、Amazon Web Services (AWS) 上に保存されている、連邦政府の最高サイバーセキュリティ機関のシステムに関する認証情報および高権限政府アカウントを、不適切に公開していたことが露見した。

PostgreSQL pgcrypto の RCE 脆弱性 CVE-2026-2005：PoC が登場

20-Year-Old PostgreSQL Flaw Gets Public PoC Exploit for Remote Code Execution

2026/05/19 gbhackers — PostgreSQL の pgcrypto エクステンションで発見された、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2026-2005 に対して PoC (proof-of-concept) エクスプロイトが公開された。セキュリティ研究者によると、この問題は約 20年前に遡るレガシーコードに起因し、攻撃者に対して権限昇格および任意のコマンド実行を許す可能性がある。

Apache Flink の脆弱性 CVE-2026-35194 が FIX：SQL コード生成の欠陥と任意のコード実行

Critical Apache Flink Vulnerability Enables Remote code execution Attacks

2026/05/19 CyberSecurityNews — 新たに公開された Apache Flink の深刻な脆弱性 CVE-2026-35194 により、SQL インジェクションを起点とするリモート・コード実行 (RCE) 攻撃の危険性に、分散データ処理環境がさらされている。この脆弱性は Apache Flink の SQL コード生成メカニズムに存在し、動的に生成される Java コードへ埋め込まれるユーザー入力データが、適切にサニタイズされないことに起因する。その結果、クエリ実行権限を持つ認証済みユーザーは、文字列境界をエスケープする悪意のペイロードを注入して、任意のコード実行を可能にする。

PostgreSQL の深刻な 11 件の脆弱性が修正：任意のコード実行や SQLi の恐れ

Critical PostgreSQL Vulnerabilities Enables Code Execution and SQL Injections

2026/05/19 CyberSecurityNews — PostgreSQL Global Development Group が公開したのは、11 件の脆弱性に対する修正の情報である。すべてのサポート対象ブランチ向けに、PostgreSQL の 18.4／17.10／16.14／15.18／14.23 が、セキュリティ／メンテナンス・アップデートとしてリリースされた。

SEPPmail Secure E-Mail Gateway に複数の脆弱性：認証不要の RCE とトラフィック傍受

SEPPmail Gateway Flaws Expose Organizations to RCE and Email Traffic Interception

2026/05/19 gbhackers — SEPPmail Secure E-Mail Gateway に存在する複数の深刻な脆弱性により、数千の組織における暗号化電子メール通信が、リモート・コード実行 (RCE) ／機密メール傍受のリスクにさらされている。これらの脆弱性は、特に DACH 地域 (ドイツ／オーストリア／スイス) で広く導入されている SEPPmail アプライアンスに影響することが判明した。

WordPress Avada の脆弱性 CVE-2026-4782／4798 が FIX：任意のファイル読み取りと SQLi の恐れ

1 Million WordPress Websites Exposed by Avada Builder Security Vulnerabilities

2026/05/18 gbhackers — WordPress Avada Builder プラグインに、2 つの深刻なセキュリティ欠陥が発見され、機密性の高いデータやサーバ・ファイルの露出の可能性が生じている。この 100万以上の Web サイトで利用されている、プラグインの脆弱性を悪用する攻撃者は、影響を受けるサイトの侵害が可能であると、セキュリティ研究者が警告している。

Marimo Python notebook の脆弱性 CVE-2026-39987 が FIX ：未認証 RCE の恐れ

Critical Marimo RCE Flaw Could Let Attackers Execute Malicious Code Remotely

2026/05/18 gbhackers — 新たに公表された Marimo Python notebook フレームワークの、深刻な脆弱性 CVE-2026-39987 (CVSS：9.8) が、サイバー・セキュリティ・コミュニティ全体で強い懸念を引き起こしている。この脆弱性は WebSocket エンドポイントを露出させており、認証を必要としない攻撃者による、リモートからの任意のコマンド実行が可能になるだけではなく、システム・レベルのシェルの生成や、インフラ全体の侵害につながる可能性がある。

NGINX の深刻な RCE 脆弱性 CVE-2026-42945：公開直後から実環境での悪用を確認

Hackers Actively Exploiting Critical NGINX RCE Vulnerability in the Wild

2026/05/18 CyberSecurityNews — 新たに公開された NGINX の深刻な脆弱性 CVE-2026-42945 (CVSS：8.1) に対して、すでにハッカーたちは悪用に即座に着手しており、公開から数日で実環境における攻撃を開始している。VulnCheck のセキュリティ研究者 Patrick Garrity は、脅威アクターが CVE-2026-42945 を積極的に標的としていることを明らかにした。この脆弱性はヒープバッファ・オーバーフローの欠陥であり、NGINX Open Source／NGINX Plus に影響するものである。

WooCommerce Funnel の脆弱性 CVE-2026-47100 が FIX：4万サイト超に決済情報窃取のリスク

Critical FunnelKit Vulnerability Puts 40,000+ WooCommerce Sites at Risk

2026/05/18 gbhackers — WooCommerce の Funnel Builder プラグインに存在する深刻なセキュリティ脆弱性 CVE-2026-47100 (CVSS 8.7) が、FunnelKit を悪用する脅威アクターに現在進行形で悪用されており、4万以上の Webサイトが決済データ窃取のリスクにさらされている。この脆弱性が影響を及ぼす範囲は、Funnel Builder バージョン 3.15.0.3 未満であり、未認証の攻撃者に対して、WooCommerce のチェックアウト・ページへの任意の JavaScript 注入を許すものである。

WordPress プラグイン Burst Statistics の脆弱性 CVE-2026-8181 が FIX：20万以上の Web サイトに影響

Critical WordPress Plugin Vulnerability Exposes Websites to Authentication Bypass Attacks

2026/05/18 CyberSecurityNews — WordPress の Burst Statistics プラグインに存在する深刻な脆弱性 CVE-2026-8181 (CVSS：9.8) により、20万以上の Web サイトにおいて完全なアカウント乗っ取りのリスクが生じ、セキュリティ・コミュニティ全体で緊急の懸念が高まっている。

n8n の深刻な脆弱性 CVE-2026-44789／44790／44791 が FIX：連鎖による RCE の可能性

n8n Security Flaws Could Let Attackers Achieve Remote Code Execution

2026/05/18 gbhackers — ワークフロー自動化プラットフォーム n8n に存在する一連の深刻な脆弱性が、重大なセキュリティ懸念を引き起こしている。研究者たちが警告するのは、複数の欠陥を連鎖させる攻撃者が、標的システム上で完全なリモートコード実行 (RCE) を達成する可能性である。

Linux の脆弱性 ssh-keysign-pwn CVE-2026-46333 が FIX：深刻な情報漏洩と PoC の登場

Linux “ssh-keysign-pwn” Flaw Exposing Critical Authentication Files

2026/05/15 gbhackers — Linux カーネルに存在する脆弱性 ssh-keysign-pwn により、SSH 秘密鍵および “/etc/shadow” に格納されたハッシュ化パスワードへの不正アクセスのリスクが生じている。この数百万規模の Linux システムに影響を及ぼす脆弱性 CVE-2026-46333 (GHSA-pm8f-4p6p-6×53) は、約 6 年間にわたり未検知で存在し、2026年5月15日に National Vulnerability Database へ公開された。

PraisonAI の脆弱性 CVE-2026-44338 が FIX：デフォルトでの認証無効化が引き起こす問題とは？

PraisonAI Vulnerability Exploited Within Hours of Public Disclosure

2026/05/15 CyberSecurityNews — 多くのエンタープライズにおいて AI フレームワークが中核となり始めているが、人気の高い AI プラットフォームに存在する脆弱性を悪用する脅威アクターが、深刻なセキュリティ・リスクをもたらしている。PraisonAI のレガシー API サーバに存在する、深刻な脆弱性 CVE-2026-44338 が開発者コミュニティに大きな衝撃を与えている。

VMware Fusion の脆弱性 CVE-2026-41702 が FIX：root 権限奪取の恐れ

VMware Fusion Flaw Could Allow Attackers to Gain Root Privileges

2026/05/15 gbhackers — 新たに公表された VMware Fusion の脆弱性を悪用する攻撃者は、影響を受けるシステム上で権限を昇格し、root 権限を取得できることが確認された。この脆弱性 CVE-2026-41702 (CVSS：7.8：High) は、実環境における潜在的な影響が大きいため、深刻なセキュリティ上の懸念が生じている。

Amazon Redshift JDBC の脆弱性 CVE-2026-8178 が FIX：URL 処理不備による任意のコード実行

Amazon Redshift JDBC Driver Vulnerabilities Enables Remote Code Execution Attacks

2026/05/15 CyberSecurityNews — Amazon Redshift JDBC ドライバーに存在する深刻な脆弱性 CVE-2026-8178 により、エンタープライズ・アプリケーションがリモート・コード実行 (RCE) の深刻なリスクに晒されている。データベース接続 URL を操作する攻撃者は、この新たに公開された脆弱性の悪用が可能となる。この脆弱性により、アプリケーション・プロセスの内部からの乗っ取りが生じ、機密性の高いエンタープライズ・データへの不正アクセスや、システム全体の侵害に至る恐れがある。

Next.js の脆弱性 CVE-2026-44578 が FIX：クラウド認証情報への不正アクセスの恐れ

Next.js Security Flaw Leaks Cloud Credentials, API Keys, and Admin Interfaces

2026/05/15 gbhackers — Next.js の深刻な脆弱性 CVE-2026-44578 を悪用する攻撃者は、機密性の高いクラウド認証情報／API キー／内部管理インターフェイスに対して不正にアクセスできる。広く利用される React フレームワークの 1つである Next.js の、特定のサーバサイド・デプロイメントにおける WebSocket アップグレード・リクエスト処理に、この脆弱性は起因する。

Cisco Catalyst SD-WAN の脆弱性 CVE-2026-20182 が FIX：Admin 奪取の可能性

Cisco Catalyst SD-WAN Controller 0-Day Actively Exploited to Gain Admin Access

2026/05/15 CyberSecurityNews — Cisco Catalyst SD-WAN Controller における、脆弱性 CVE-2026-20182 (CVSS：10.0：Critical) が積極的に悪用されている。この脆弱性を悪用する未認証のリモート攻撃者は、認証を完全にバイパスし、エンタープライズ・ネットワーク基盤の管理権限を掌握できる状態にある。この脆弱性により、オンプレミス／クラウド／政府環境を含む SD-WAN 展開全体が重大なリスクにさらされている。

Palo Alto Firewall の脆弱性 CVE-2026-0300：未認証 root での任意のコード実行と PoC の登場

Palo Alto Firewalls Hit by Zero-Day Allowing Arbitrary Code Execution as Root

2026/05/15 gbhackers — Palo Alto Networks のファイアウォールにおけるゼロデイ脆弱性が積極的に悪用され、国家に支援されると推測される未認証の攻撃者が、エンタープライズのセキュリティ基盤を完全に掌握するリスクが生じている。この脆弱性 CVE-2026-0300 (CVSS：9.3：Critical) は、PAN-OS ソフトウェアの User-ID Authentication Portal サービスに存在し、遅くとも 2026年4月9日には武器化されている。2026年5月6日に情報が公開される前から、攻撃者は数週間にわたり露出システムを侵害する機会を有していた。

Google Chrome の脆弱性 79件が FIX：Critical 14 件 High 38件

79 Chrome Vulnerabilities Patched, Including 14 Critical One’s – Update Now!

2026/05/15 CyberSecurityNews — Google は Chrome ブラウザの 79件の脆弱性を修正し、攻撃者による悪用を緩和した。そのうち 14件は Critical に分類されており、未修正のバージョンで Web を閲覧すると、システム全体への深刻なサイバー攻撃に至る可能性がある。最新の stable リリースでは、Windows／Mac 向けの 148.0.7778.167／168 と、Linux 向けの 148.0.7778.167 が提供されている。

cPanel の CVE-2026-41940 に関する注意事項：5月の脆弱性群との連鎖の可能性

Multiple cPanel Vulnerabilities Could Lead to Sensitive Resource Exposure

2026/05/15 gbhackers — cPanel & WHM で先日に公開された脆弱性 CVE-2026-41940 (Critical) や、2026年5月に公開された脆弱性群を悪用する攻撃者が、標的サーバ上の機密性の高いリソースやホスティング・アカウントへアクセスするリスクが生じている。それらの脆弱性の中の少なくとも 1件が、すでに積極的に悪用されているため、インターネットに公開された cPanel インスタンスを運用する組織は、ただちに更新を実施する必要がある。

GitLab の脆弱性群が FIX：高深刻度の XSS や DoS の可能性に対応

GitLab Security Flaw Allows Cross-Site Scripting and Unauthenticated DoS

2026/05/14 gbhackers — GitLab が公開したのは、大規模な脆弱性群に対する緊急セキュリティ・アップデートである。これらの新規の脆弱性を悪用する脅威アクターは、開発者セッションの乗っ取り、未認証攻撃による CI/CD パイプラインの完全な停止などを可能にする。

macOS のメモリ整合性保護バイパスの脆弱性：Anthropic Mythos による発見とエクスプロイト生成

Anthropic’s Mythos AI Reportedly Found macOS Vulnerabilities that Could Bypass Apple Security

2026/05/14 CyberSecurityNews — Apple macOS における 2件の脆弱性が、Anthropic の非公開 AI モデル Mythos の初期バージョンの手法を用いて発見された。これらのバグが連鎖的に悪用されると、Apple の高度なメモリ整合性保護をバイパスする権限昇格のエクスプロイトが生じ、本来はアクセス不可とされるシステム領域への不正アクセスが可能になる。サイバー・セキュリティ企業 Calif から提出された 55ページのレポートを、Apple が精査している最中であり、検証が完了後にパッチが提供される見込みである。

WordPress Burst Statistics の脆弱性 CVE-2026-8181 が FIX：管理者権限奪取の可能性

Critical WordPress Plugin Flaw Allows Unauthorized Access to Websites

2026/05/14 gbhackers — 広く使用されている WordPress プラグインにおける重大な脆弱性 CVE-2026-8181 (CVSS 9.8) により、20万以上の Web サイトが乗っ取りの危険にさらされており、セキュリティ・コミュニティ全体で緊急の懸念が高まっている。AI 駆動の PRISM プラットフォームを用いる Wordfence のセキュリティ研究者が、プライバシーのための分析ツール Burst Statistics プラグインの深刻な認証バイパスの脆弱性を発見した。この脆弱性を悪用する攻撃者は、正当な認証情報を必要とせずに管理者レベルのアクセスを取得できる。

Canon GUARDIANWALL MailSuite に深刻な RCE 脆弱性：サーバ完全侵害の恐れ

Critical Canon MailSuite Vulnerability Enables Remote Code Execution Attacks

2026/05/14 CyberSecurityNews — Canon の GUARDIANWALL MailSuite において、企業ネットワークが壊滅的なリモート・コード実行 (RCE) 攻撃にさらされる危険性のある、きわめて深刻なセキュリティ脆弱性が発見された。エンタープライズ向けメール・インフラは、依然としてサイバー犯罪者にとって最も重要かつ脆弱な標的の一つである。この脆弱性を容易に悪用する脅威アクターは、影響を受ける Web サービスを完全に制御できるため、組織データを防御する観点から早急な修正と対応が最優先事項となる。

Langflow の RCE 脆弱性 CVE-2026-33017 を悪用：AWS 侵害キャンペーンを Sysdig が観測

Langflow CVE-2026-33017 Exploited to Steal AWS Keys, Deploy NATS Worker

2026/05/14 gbhackers — Langflow の脆弱性 CVE-2026-33017 に対する、パッチを適用していないインスタンスが積極的に悪用されている。一連の攻撃は、単なるリモート・コード実行や AWS キーの窃取に留まらず、”KeyHunter” と呼ばれる NATS ベースのボットネット型ワーカー・プールへの参加基盤としての悪用も展開されている。