Vulnerability – Page 4 – IoT OT Security News

Cisco CMM の脆弱性 CVE-2026-20098 が FIX：任意のファイル・アップロードとシステム乗っ取り

Cisco Warns of Meeting Management Flaw Enabling Arbitrary File Upload by Remote Attackers

2026/02/05 gbhackers — Cisco が公開したのは、Cisco Meeting Management (CMM) に存在する、高い深刻度の脆弱性 CVE-2026-20098 (CVSS：8.8：High) に関するセキュリティ・アドバイザリである。この欠陥は、CMM の Web ベース管理インターフェイス内の Certificate Management 機能に存在する。この脆弱性は、不適切な入力検証に起因しており、認証済みのリモート攻撃者による任意のファイル・アップロードを許し、最終的に OS を介した root 権限でのコマンド実行に至る可能性がある。

VMware ESXi の脆弱性 CVE-2025-22224／22225／22226：ランサムウェアによる悪用を CISA が確認

CISA Warns of VMware ESXi 0-day Vulnerability Exploited in Ransomware Attacks

2026/02/05 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が確認したのは、 VMware ESXi の深刻なサンドボックス・エスケープの脆弱性 CVE-2025-22225 を、ランサムウェア・グループが積極的に悪用していることだ。この欠陥は 2025年3月に Broadcom により修正されたが、仮想マシンの分離を回避する攻撃者による、ハイパーバイザ全体へのランサムウェア展開が行われている。

ASUSTOR NAS の脆弱性 CVE-2026-24936 が FIX：デバイスの乗っ取りの恐れ

Critical ASUSTOR NAS Security Flaw Enables Complete Device Takeover

2026/02/04 gbhackers — ASUSTOR 製 Network Attached Storage (NAS) デバイスに存在する、深刻な脆弱性 CVE-2026-24936 (CVSS v4.0：9.5) の情報が開示された。この脆弱性を悪用する未認証の攻撃者は、影響を受けるシステムを完全に掌握する可能性があることが明らかとなっている。したがって、提供されているアップデートの速やかな適用が、管理者にとって極めて重要とされている。

TP-Link Archer BE230 の複数の脆弱性が FIX：デバイスの完全な奪取にいたる恐れ

TP-Link Vulnerabilities Let Hackers Take Full Control of Devices

2026/02/04 gbhackers — TP-Link が開示したのは、Archer BE230 v1.2 Wi-Fi ルータに影響を及ぼす、複数の深刻な認証済みコマンド・インジェクションの脆弱性に関する情報である。これらの脆弱性を悪用する管理者権限を持つ攻撃者は、任意コマンドを実行し、影響を受けるデバイスの完全な掌握を可能にする。セキュリティ研究者 jro／caprinuxx／sunshinefactory により、合計で 9件の脆弱性が発見され、それぞれに個別の CVE 識別子が割り当てられている。

Citrix NetScaler への大規模スキャンを観測：攻撃の準備段階としてのインフラ・マッピング？

Hackers Actively Scanning Citrix NetScaler Infrastructure to Discover Login Panels

2026/02/04 CyberSecurityNews — 2026年1月28日から 2月2日にかけて実施された、Citrix ADC Gateway／NetScaler Gateway インフラを標的とする大規模な偵察キャンペーンを、GreyNoise Global Observation Grid が検知した。このキャンペーンの実態は、ログイン・パネル探索のためのレジデンシャル・プロキシ・ローテーションと、AWS 上にホストされた集中的なバージョン情報開示スキャンを組み合わせる協調的オペレーションである。それにより、63,000 超のユニーク IP アドレスから、111,834 超のセッションが生成された。

CISA KEV 警告 26/02/03：SolarWinds Web Help Desk／GitLab／Sangoma FreePBX の脆弱性を登録

U.S. CISA adds SolarWinds Web Help Desk, Sangoma FreePBX, and GitLab flaws to its Known Exploited Vulnerabilities catalog

2026/02/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SolarWinds Web Help Desk／GitLab／Sangoma FreePBX に存在する脆弱性を、Known Exploited Vulnerabilities (KEV) に追加した。カタログに追加された脆弱性は以下の通りである。

CVE-2025-40551：SolarWinds 不適切なデシリアライズ
CVE-2021-39935：GitLab の Server-Side Request Forgery (SSRF)
CVE-2019-19006：Sangoma FreePBX の不適切な認証
CVE-2025-64328：Sangoma FreePBX OS コマンド・インジェクション

Ingress-NGINX の脆弱性 CVE-2026-24512 が FIX：任意のコード実行の恐れ

Ingress-Nginx Vulnerability Allow Attackers to Execute Arbitrary Code

2026/02/04 CyberSecurityNews — Kubernetes 向けの人気 Ingress コントローラである、Ingress-NGINX で発見された脆弱性を悪用する認証済みの攻撃者は、任意のコードを実行することで、クラスタ内の機微なシークレットへのアクセスが可能となる。この深刻な脆弱性 CVE-2026-24512 は、複数のバージョンに影響するため、管理者による即時対応が必要である。

Django の 6 件の脆弱性が FIX：SQL インジェクション／DoS 攻撃の恐れ

Critical Django Flaw Allows DoS and SQL Injection Attacks

2026/02/04 gbhackers — Django Software Foundation が公開したのは、広く利用されている Python Web フレームワークである Django の複数バージョンに影響する、6 件の深刻な脆弱性に対処するための緊急セキュリティ・パッチである。2026年2月3日にリリースされた更新は、SQL インジェクション攻撃の実行／サービス拒否 (DoS) 状態の発生／ユーザー・アカウントの列挙などを、攻撃者に対して許す可能性のある深刻な欠陥を修正するものである。Django は、Instagram／Mozilla／Bitbucket などの主要プラットフォームを支える、オープンソースの Python Web フレームワークである。

Google Chrome の脆弱性 CVE-2026-1861／1862 が FIX：任意コード実行とシステム・クラッシュの恐れ

Chrome Vulnerabilities Let Attackers Execute Arbitrary Code and Crash System

2026/02/04 CyberSecurityNews — Google は Chrome の 2 件の深刻な脆弱性 CVE-2026-1861／CVE-2026-1862 (High) に対処し、Stable チャネルでセキュリティ更新をリリースした。これらの脆弱性を悪用する脅威アクターは、潜在的な任意コード実行 (ACE) ／サービス拒否 (DoS) 攻撃にユーザーを晒す可能性がある。このアップデートにより、Chrome のバージョンは Windows／macOS 144.0.7559.132／.133、Linux 144.0.7559.132 へ引き上げられている。

Apache Syncope の XXE 脆弱性 CVE-2026-23795 が FIX：ユーザー・セッション乗っ取りの恐れ

Apache Syncope Vulnerability Let Attackers Hijack User Sessions

2026/02/03 CyberSecurityNews — Apache Syncope アイデンティティ管理コンソールに、深刻な XML External Entity (XXE) 脆弱性が発見された。この欠陥により XXE 攻撃の経路が生じ、管理者が意図せず機微なユーザーデータを流出させることで、セッション・セキュリティ侵害の可能性が生じる。この脆弱性 CVE-2026-23795 は、プラットフォームの複数バージョンに影響するため、直ちにパッチを適用する必要がある。

ASUS File Shredder がディスコン：脆弱性 CVE-2025-13348 の発見を受けて

ASUS Discontinues “File Shredder” Feature to Patch Critical Vulnerability

2026/02/03 gbhackers — ASUS が Business Manager ソフトウェアに含まれる File Shredder 機能を廃止したのは、深刻なセキュリティ脆弱性 CVE-2025-13348 の発見を受けての対応である。同社は 2026年2月2日にセキュリティ・ブリテンを公開し、ASUS Business Manager バージョン 3.0.36.0 以下に影響を及ぼす欠陥について説明している。ASUS は、通常の更新による修正ではなく、Business Manager から File Shredder 機能を完全に削除するという対応を選択した。

React Native CLI Metro サーバの脆弱性 CVE-2025-11953：積極的な悪用を確認

Hackers abused React Native CLI flaw to deploy Rust malware before public disclosure

2026/02/03 SecurityAffairs — React Native CLI の Metro 開発サーバに存在する深刻な脆弱性 CVE-2025-11953 が、現在も攻撃者により積極的に悪用されている状況が確認されている。React Native Community CLI により起動される Metro 開発サーバは、デフォルト設定で外部インターフェイスにバインドされており、OS コマンド・インジェクションに対して脆弱なエンドポイントを公開している。それを悪用する未認証のネットワーク攻撃者は、POST リクエストを送信するだけで、任意のファイル実行が可能になる。特に Windows 環境では、引数を完全に制御した状態での、任意のシェル・コマンドの実行に至る恐れがある。

WordPress Quiz and Survey Master の脆弱性 CVE-2025-67987 が FIX：4 万超のサイトに影響

SQL Injection Flaw Affects 40,000 WordPress Sites

2026/02/03 InfoSecurity — WordPress の Quiz and Survey Master プラグインに、SQL インジェクションの脆弱性 CVE-2025-67987 が発見された。この脆弱性を悪用する認証済みのユーザーにより、データベース・クエリへの干渉が可能となり、4 万件超の WordPress サイトに影響が生じることが判明した。この脆弱性はバージョン 10.3.1 以下に存在しており、サブスクライバ権限以上を持つ任意のログイン済みユーザーによる悪用が可能であり、未承認のデータアクセスのリスクが高まっている。

Foxit PDF Editor Cloud の脆弱性 CVE-2026-1591／1592 が FIX：入力サニタイズ不備と XSS の恐れ

Foxit PDF Editor Vulnerabilities Let Attackers Execute Arbitrary JavaScript

2026/02/03 CyberSecurityNews — Foxit PDF Editor Cloud に存在する、深刻なクロスサイト・スクリプティング (XSS) 脆弱性 CVE-2026-1591／CVE-2026-1592 に対処するセキュリティ更新が提供された。この脆弱性を悪用する攻撃者は、ユーザーのブラウザ上で任意の JavaScript コードを実行できる。この脆弱性は、アプリケーションの File Attachments リスト／Layers パネルに存在し、不十分な入力検証／不適切な出力エンコードにより、悪意のコード実行の経路が生成されていた。

ClawdBot の認証バイパスの脆弱性 CVE-N/A が FIX：1-Click で RCE を発動

1-Click Flaw in ClawdBot Allows Remote Code Execution

2026/02/02 gbhackers — 人気の npm パッケージ ClawdBot に存在する、深刻な認証バイパス脆弱性が発見された。この脆弱性を悪用する攻撃者は、単一の悪意のリンクを介してリモートコード実行 (RCE) が可能となる。この欠陥は、gatewayUrl パラメータの検証不備に起因し、未認可の脅威アクターに認証トークンを漏洩させる、自動接続挙動により影響が増幅される。

Microsoft Office の脆弱性 CVE-2026-21509：ロシア由来の APT による積極的な悪用を観測

Hackers Exploiting Microsoft Office 0-day Vulnerability to Deploy Malware

2026/02/02 CyberSecurityNews — ロシア由来の脅威グループ APT28 (UAC-0001) が、Microsoft Office に存在する深刻なゼロデイ脆弱性を積極的に悪用している。この欠陥を突く APT28 は、ウクライナ政府機関および欧州連合 (EU) 組織に対して、高度なマルウェアを展開している。この脆弱性 CVE-2026-21509 は、Microsoft により 2026年1月26日に開示されたが、その時点で実環境で悪用されているとの警告が発せられた。Microsoft の公開開示から 24時間も経たないうちに、この脆弱性は脅威アクターにより武器化されていた。

Gakido の CRLF Injection 脆弱性 CVE-2026-24489 が FIX：HTTP レスポンスの不正操作の恐れ

Gakido CRLF Injection Vulnerability Let Attackers Bypass Security Controls

2026/02/02 CyberSecurityNews — Happy Hacking Space が提供する HTTP クライアント・ライブラリ Gakido に、任意の HTTP ヘッダ注入を可能とする深刻な脆弱性 CVE-2026-24489 (Medium) が発見された。この HTTP ヘッダ注入は、CRLF (Carriage Return Line Feed) シーケンスを通じて実行されるものであり、Gakido のバージョン 0.1.1-1bc6019 未満に影響を及ぼす。

Metasploit が FreePBX／Cacti／SmarterMail の深刻な RCE に対応：7 件の新規エクスプロイトをリリース

Metasploit Releases 7 New Exploit Modules covering FreePBX, Cacti and SmarterMail

2026/01/30 CyberSecurityNews — 今週に公開された Metasploit Framework の最新アップデートは、ペンテスター／レッドチームに対して重要な機能強化を提供するものである。7 件の新規エクスプロイト・モジュールが導入され、エンタープライズ環境で広く利用されているソフトウェアへの対応がサポートされた。このリリースのハイライトは、FreePBX を標的とする高度な 3 段階の連鎖モジュールと、Cacti／SmarterMail 用の深刻なリモート・コード実行 (RCE) の機能である。認証バイパスの欠陥と二次的な脆弱性の連鎖により、システム全体が完全に侵害されるリスクが依然として高いことが、このアップデートにより示されている。

SmarterMail の脆弱性 CVE-2026-24423／23760 が FIX：未認証での RCE と権限昇格の可能性

SmarterTools patches critical SmarterMail flaw allowing code execution

2026/01/30 SecurityAffairs — SmarterTools が発表したのは、同社のメール・ソフトウェア SmarterMail に存在する、2 件のセキュリティ・バグの修正に関する情報である。そのうち 1 件は、脆弱性 CVE-2026-24423 (CVSS：9.3) であり、深刻度 Critical と評価されている。この脆弱性を悪用する攻撃者は、影響を受けるシステム上で悪意のコードを実行する可能性がある。

NVIDIA GPU Display Driver の複数の脆弱性が FIX：コード実行と権限昇格の恐れ

NVIDIA GPU Display Driver Vulnerabilities Allows Code Execution and Privilege Escalation

2026/01/30 CyberSecurityNews — NVIDIA が公開したのは、GPU Display Driver、vGPU Software／HD Audio Component に影響を及ぼす、複数の深刻な脆弱性に対処する重大なセキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は、影響を受けるシステム上で任意のコードを実行し、権限昇格を可能にする恐れがある。

Magento ストア 200 件超を侵害：脆弱性 CVE-2025-54236 の悪用と Rootkit の展開

Over 200 Magento Stores Compromised In Rootkit Rampage via Zero-Day Exploit

2026/01/30 gbhackers — Magento を利用する EC プラットフォームを標的として、脆弱性 CVE-2025-54236 を悪用する危険な攻撃キャンペーンが確認された。この SessionReaper と呼ばれる脆弱性を悪用する攻撃者は、無効化されたはずのセッション・トークンを再利用することで認証をバイパスし、セッションをハイジャックすることでサーバ全体の完全な奪取を引き起こす。

Ivanti EPMM の脆弱性 CVE-2026-1281／1340：緩和策と悪用情報と CISA KEV

Ivanti warns of two EPMM flaws exploited in zero-day attacks

2026/01/29 BleepingComputer — Ivanti が公開したのは、Ivanti Endpoint Manager Mobile (EPMM) に影響を及ぼす、2 件の深刻な脆弱性に関する情報である。これらの脆弱性 CVE-2026-1281／CVE-2026-1340 (CVSS：9.8：Critical) は、コード・インジェクションの欠陥に起因し、未認証のリモート攻撃者に任意のコード実行を許すものであり、すでにゼロデイ攻撃で悪用されている。

SolarWinds Web Help Desk の脆弱性 CVE-2025-40536／40537／40551：連鎖による RCE の恐れ

SolarWinds Web Product Flaw Allows Attackers to Bypass Security and Execute Code

2026/01/29 gbhackers — SolarWinds Web Help Desk において、認証を必要とせずにセキュリティ保護を回避してリモート・コード実行 (RCE) に至る、深刻な脆弱性チェーン CVE-2025-40536／CVE-2025-40537／CVE-2025-40551 が確認された。これらの脆弱性は Horizon3.ai の Jimi Sebree により 2026年1月28日に公開されたものであり、この IT サービス管理プラットフォームを長年悩ませてきた、デシリアライゼーション問題に対する過去のパッチを再び回避するものである。

Check Point Harmony SASE の脆弱性 CVE-2025-9142 が FIX：SYSTEM 権限昇格の恐れ

Check Point Harmony SASE Windows Client Vulnerability Enables Privilege Escalation

2026/01/28 CyberSecurityNews — Check Point の Harmony SASE (Secure Access Service Edge) Windows クライアント・ソフトウェアに、深刻な権限昇格の脆弱性 CVE-2025-9142 が発見された。この脆弱性を悪用するローカル攻撃者は、本来は想定されていない証明書作業ディレクトリ外へのファイルの書き込み／削除が可能になり、SYSTEM レベル侵害を引き起こす恐れがある。この脆弱性は、version 12.2 未満に影響を及ぼす。

Gemini MCP Tool の深刻なゼロデイ脆弱性 CVE-2026-0755：RCE に対する No Patch 状態

Gemini MCP Tool 0-day Vulnerability Allows Remote Attackers to Execute Arbitrary Code

2026/01/28 CyberSecurityNews — Gemini MCP Tool に存在する、深刻なゼロデイ脆弱性を悪用する攻撃者は、認証を一切必要とせずにリモートコード実行 (RCE) が可能な状況にある。この脆弱性は ZDI-26-021／ZDI-CAN-27783 として追跡され、CVE-2026-0755 (CVSS v3.1：9.8) が割り当てられている。この深刻度は、悪用の容易さと影響の大きさを反映するものである。

TP-Link Archer ルーターの脆弱性 CVE-2025-14756 が FIX：任意のシステム・コマンド実行の恐れ

TP-Link Archer Router Flaw Exposes Users to Remote Attacks and Full Device Control

2026/01/28 gbhackers — TP-Link 製 Archer MR600 v5 ルーターにおいて、深刻度 High のコマンド・インジェクション脆弱性が発見された。この脆弱性を悪用する認証済みの攻撃者は、管理インターフェイスを通じて任意のシステム・コマンドを実行できる。この脆弱性は CVE-2025-14756 として追跡されており、広く展開されている TP-Link ネットワーク機器を利用する企業／家庭のユーザーに、深刻なセキュリティ・リスクをもたらしている。

n8n Sandbox の脆弱性 CVE-2026-1470／0863 が FIX：サンドボックス回避と RCE

Critical and High Severity n8n Sandbox Flaws Allow RCE

2026/01/28 InfoSecurity — n8n に、深刻なセキュリティ脆弱性 CVE-2026-1470／CVE-2026-0863 が発見された。このワークフロー自動化プラットフォームに影響を与えるセキュリティ欠陥が明らかにしたのは、JavaScript および Python コードに対するサンドボックス機構の弱点である。これらの脆弱性は JFrog Security Research チームにより開示されたものであり、パッチ未適用の n8n インスタンスをホストするシステム上で、認証済みの攻撃者に対して任意のコマンド実行を許す可能性がある。これらの脆弱性が影響を及ぼす範囲は、n8n のクラウド・サービスおよびセルフホスト環境である。

WinRAR の脆弱性 CVE-2025-8088：依然として悪用が止まらないと Google が警告

Google Warns of WinRAR Vulnerability Exploited to Gain Control Over Windows System

2026/01/28 CyberSecurityNews — Windows 環境で多用されるファイル圧縮ツールの一つである、WinRAR に存在する深刻なセキュリティ上の欠陥が、コンピュータ・システムへの不正アクセスを狙う攻撃者にとって格好の攻撃手段となっている。この脆弱性 CVE-2025-8088 を悪用する攻撃者は、ユーザーに知られることなく、機微なシステム・ディレクトリ上に、悪意のファイルを配置し得る。その結果として、Windows マシンの制御が攻撃者に奪取される可能性がある。

Chrome の脆弱性 CVE-2026-1504 が FIX：Background Fetch API の欠陥を修正

Chrome Security Update Fixes Critical Vulnerability in Background Fetch API

2026/01/28 gbhackers — Google が公開したのは、セキュリティ上のリスクをもたらす可能性のある、Background Fetch API の深刻な脆弱性 CVE-2026-1504 に対処する、デスクトップ向け Chrome Stable Channel のアップデートである。最新の Chrome バージョンは、Windows および macOS 向けが 144.0.7559.109／144.0.7559.110、Linux 向けが 144.0.7559.109 である。すでに段階的な配信が開始されており、今後の数日から数週間かけて提供されていく。

OpenSSL の脆弱性 CVE-2025-15467 などが FIX：スタック・オーバーフローと RCE

Critical OpenSSL Vulnerabilities Allow Remote Attackers to Execute Malicious Code

2026/01/28 CyberSecurityNews — 2026年1月27日に OpenSSL は、合計 12 件の脆弱性に対する修正を公開した。この中に含まれるものには、リモートコード実行につながる可能性のある深刻な欠陥がある。大半の問題は、サービス拒否 (DoS) を引き起こすものであるが、信頼されていないデータを解析する際のリスクを浮き彫りにしている。

FortiOS SSO の脆弱性 CVE-2026-24858 が FIX：悪用の確認と CISA KEV 登録

Fortinet Patches CVE-2026-24858 After Active FortiOS SSO Exploitation Detected

2026/01/28 TheHackerNews — Fortinet が公表したのは、実環境で既に悪用が確認されている、FortiOS に影響を及ぼす深刻な脆弱性に対処するためのセキュリティ・アップデート提供の開始である。この脆弱性 CVE-2026-24858 (CVSS：9.4) は、FortiOS の Single Sign-On (SSO) に関連する認証バイパスの欠陥であり、FortiManager および FortiAnalyzer にも影響を及ぼす。FortiWeb や FortiSwitch Manager を含む他製品への影響についても、引き続き調査を進めていると、Fortinet は述べている。

vm2 JavaScript サンドボックスの脆弱性 CVE-2026-22709 が FIX：サニタイズ不備による RCE の恐れ

Critical vm2 Flaw Lets Attackers Bypass Sandbox and Execute Arbitrary Code in Node.js

2026/01/27 gbhackers — vm2 JavaScript サンドボックス・ライブラリのバージョン 3.10.0 以下に、深刻な脆弱性 CVE-2026-22709 が存在することが判明した。この脆弱性を悪用する攻撃者は、サンドボックス保護を回避し、認証／ユーザー操作を一切必要とせず、完全なシステム権限で任意のコードを実行し得る。この欠陥は Promise コールバック関数の不適切なサニタイズ処理に起因するものだ。

CISA KEV 警告 26/01/26：Office／GNU InetUtils／SmarterMail／Linux Kernel の脆弱性を登録

U.S. CISA adds Microsoft Office, GNU InetUtils, SmarterTools SmarterMail, and Linux Kernel flaws to its Known Exploited Vulnerabilities catalog

2026/01/27 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Office／GNU InetUtils／SmarterTools SmarterMail／Linux Kernel に関する複数の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。今回追加された脆弱性は、以下の通りである。

CVE-2018-14634：Linux Kernel の整数オーバーフロー脆弱性
CVE-2026-21509：Microsoft Office のセキュリティ機能バイパス脆弱性
CVE-2026-24061：GNU InetUtils の引数インジェクション脆弱性
CVE-2025-52691：SmarterMail の無制限のファイル・アップロード脆弱性
CVE-2026-23760：SmarterMail の代替パスを用いた認証バイパス脆弱性

SmarterMail Server の CVE-2026-23760：6000+ の脆弱なサーバと実環境での悪用

6000+ Vulnerable SmarterTools SmarterMail Servers Exposed to Actively Exploited RCE Vulnerability

2026/01/27 CyberSecurityNews — インターネット上に公開されている 6,000 台以上の SmarterMail サーバが脆弱なバージョンを実行しており、アクティブなリモート・コード実行 (RCE) 攻撃のリスクにさらされていることが判明した。日次の HTTP 脆弱性スキャンを通じて、セキュリティ研究者たちが問題を特定しており、すでに実環境での悪用試行が観測されている。このインシデントは、エンタープライズ向けのメール運用環境として SmarterMail を利用する、世界中の組織に対して深刻な脅威となっている。

React2Shell CVE-2025-55182 悪用：明らかになった攻撃キャンペーンとマルウェアの実態

Attackers Exploit React2Shell Vulnerability to Target IT Sector Systems

2026/01/27 gbhackers — React Server Components における深刻な脆弱性が、実際の運用環境で悪用されていることが確認されている。この脆弱性 CVE-2025-55182 (React2Shell) を悪用する攻撃者は、世界中の多種多様な業種と企業を標的としている。React2Shell が影響を及ぼす対象は、React Server Components におけるクライアント／サーバ通信を担う Flight プロトコルである。この脆弱性は、安全でないデシリアライゼーションに起因するものであり、クライアントから送信されたデータを、サーバが十分な検証なしで受け入れることで、特定条件下におけるリモート・コード実行が可能となってしまう。

VS Code に悪意の ChatGPT エクステンション：正常に動作しながらソースコードを中国へ送信

Malicious VS Code AI Extensions with 1.5 Million Installs Steal Developer Source Code

2026/01/26 TheHackerNews — 2 つの悪意の Microsoft Visual Studio Code (VS Code) エクステンションが、サイバーセキュリティ研究者たちにより発見された。それらは、AI を活用したコーディング支援ツールとして宣伝されているが、開発者のデータを中国拠点のサーバへ密かに送信する機能を内包している。この悪意のエクステンションは、合計で約 150 万件のインストール実績を持ち、現在も公式の Visual Studio Marketplace からダウンロード可能な状態にある。

Microsoft Office のゼロデイ CVE-2026-21509：実環境での悪用に対処するアップデートの確認

Emergency Microsoft update fixes in-the-wild Office zero-day

2026/01/26 SecurityAffairs — Microsoft が公開したのは、Office のゼロデイ脆弱性に対処するため、緊急 (out-of-band) のセキュリティ更新プログラムである。この脆弱性 CVE-2026-21509 は、現時点での悪用が確認されている。このセキュリティ機能バイパスの脆弱性が影響を及ぼす範囲は、Microsoft Office 2016／2019／LTSC 2021／LTSC 2024 および 365 Apps for Enterprise の複数のバージョンとなる。

GNU Inetutils telnetd の脆弱性 CVE-2026-24061：PoC の公開による大規模悪用の恐れ

PoC Released for GNU InetUtils telnetd RCE as 800K+ Exposed Instances Remain Online

2026/01/26 gbhackers — GNU Inetutils telnetd において公開されたのは、深刻なリモート・コード実行の脆弱性 CVE-2026-24061 に対する概念実証 (PoC) エクスプロイトである。現時点で、80 万件を超える脆弱なインスタンスが、依然としてインターネット上で公開アクセス可能な状態にあると、セキュリティ研究者たちは警告している。この脆弱性を悪用する未認証の攻撃者は、脆弱なバージョンの telnetd サービスを実行しているシステム上で、任意のコマンドを実行できる。

Apache Hadoop HDFS の脆弱性 CVE-2025-27821 が FIX：システムクラッシュ／データ破損の可能性

Apache Hadoop Vulnerability Exposes Systems Potential Crashes or Data Corruption

2026/01/26 CyberSecurityNews — Hadoop Distributed File System (HDFS) のネイティブ・クライアントにおいて、脆弱性 CVE-2025-27821 (Medium) が発見された。この脆弱性を悪用する攻撃者は、不正に細工した Uniform Resource Identifier (URI) 入力により、システム・クラッシュや重要データの破損を引き起こす可能性がある。この脆弱性は、Apache Hadoop バージョン 3.2.0 〜 3.4.1 に影響する。

CISA KEV 警告 26/01/23：VMware：vCenter の脆弱性 CVE-2024-37079 を登録

CISA Adds Actively Exploited VMware vCenter Flaw CVE-2024-37079 to KEV Catalog

2026/01/24 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は 2026年1月23日 (金) に、Broadcom の VMware vCenter Server に影響を及ぼす深刻なセキュリティ脆弱性 CVE-2024-37079 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は 2024年6月に修正されていたが、実環境での悪用を確認する証拠が得られ、新たに追加されることになった。

TrustAsia LiteSSL ACME の深刻な脆弱性が発覚：143 件の SSL／TLS 証明書を失効

TrustAsia Pulls 143 Certificates Following Critical LiteSSL ACME Vulnerability

2026/01/24 gbhackers — TrustAsia が 143 件の SSL／TLS 証明書を失効させた背景にあるのは、LiteSSL ACME サービスにおいて発見された深刻な脆弱性の存在である。2026年1月21日に開示された脆弱性は、異なる Automatic Certificate Management Environment (ACME) アカウント間でドメイン検証データを再利用できてしまうという問題を含んでいる。それにより、検証済みのドメインに対して、他のユーザーによる不正な証明書発行が可能となっていた。この脆弱性は、各証明書発行ごとに一意のドメイン検証を義務付ける CA/Browser Forum Baseline Requirements (TLS BR Version 2.2.2／Section 3.2.2.4) に違反するものだ。

Node.js HackerOne における脆弱性レポートの品質を改善：Signal スコア 1.0 要件を導入してノイズを抑制

Node.js Sets New Standard for HackerOne Reports, Demands Signal of 1.0 or Higher

2026/01/23 gbhackers — Node.js が発表したのは、HackerOne のバグ・バウンティ・プログラムに新たな品質管理措置を導入し、脆弱性レポートを提出するセキュリティ研究者に対して、最低でも Signal レピュテーション・スコア 1.0 を維持することの義務付けである。このポリシー変更は、OpenJS Foundation が発表したものであり、セキュリティ・チームのトリアージ能力を圧迫してきた、低品質な提出物の増加の抑制を目的としている。

WordPress LA-Studio Kit の脆弱性 CVE-2026-0920 が FIX：バックドアとサイト乗っ取り

20,000 WordPress Sites Compromised by Backdoor Vulnerability Enabling Malicious Admin Access

2026/01/23 gbhackers — Elementor プラグイン向け LA-Studio Element Kit に発見された深刻なバックドア脆弱性により、20,000 を超える WordPress インストールが脅威にさらされている。この脆弱性 CVE-2026-0920 (CVSS：9.8：Critical) を悪用する未認証の攻撃者は、管理者アカウントを作成し、Web サイト全体を完全に侵害できる。

HPE Alletra／Nimble ストレージの脆弱性 CVE-2026-23594 が FIX：リモートからの Admin 権限奪取の恐れ

HPE Alletra and Nimble Storage Vulnerability Grants Admin Access to Remote Attacker

2026/01/23 CyberSecurityNews ―― HPE のストレージ・プラットフォームに影響を及ぼす、深刻な権限昇格の脆弱性を悪用するリモート攻撃者は、物理的な操作を必要とせずに、管理者アクセスを取得する可能性がある。この脆弱性 CVE-2026-23594 により、脆弱なファームウェア・バージョンを実行している HPE Alletra 6000／Alletra 5000／Nimble Storage アレイに影響が生じている。

CISA KEV 警告 26/01/22：Prettier／Vite Vitejs／Versa SD-WAN／Zimbra の脆弱性を KEV に登録

U.S. CISA adds Prettier , Vite Vitejs, Versa Concerto SD-WAN, and Synacor Zimbra flaws to its Known Exploited Vulnerabilities catalog

2026/01/23 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Prettier eslint-config-prettier／Vite Vitejs／Versa Concerto SD-WAN オーケストレーション・プラットフォーム／Synacor Zimbra Collaboration Suite に関する脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Appsmith の脆弱性 CVE-2026-22794 が FIX：偽のパスワード・リセット警告によるアカウント乗っ取り

Critical Appsmith Flaw Enables Account Takeovers

2026/01/23 InfoSecurity — Appsmith のローコード・プラットフォームの深刻な認証脆弱性が悪用され、ユーザー・アカウントの乗っ取りが発生している。この脆弱性 CVE-2026-22794 を悪用する攻撃者は、クライアント側で制御可能な HTTP ヘッダを介してパスワード・リセット・リンクを操作し、最終的にアカウント全体の侵害を可能にし得る。

AI で書いたハニーポット：Vibe Coding がもたらす脆弱性のケース・スタディとは？

What an AI-Written Honeypot Taught Us About Trusting Machines

2026/01/23 BleepingComputer — AI モデルを用いてコード作成を支援する Vibe Coding 手法が、多くのチームにとって日常的な開発プロセスの一部となっている。それにより、大きな時間短縮効果がもたらされるが、その一方では、AI が生成したコードを過度に信頼してしまうことで、セキュリティ脆弱性が入り込む余地を生み出す。AI 生成コードがセキュリティに及ぼす影響について、Intruder の経験は現実のケース・スタディとなっている。以下に示すのは、実際に起こったこと、そして、他の組織が注意すべき点である。

NVIDIA CUDA Toolkit の複数の脆弱性が FIX：任意のコード実行や権限昇格などの恐れ

NVIDIA CUDA Toolkit Flaw Allows Command Injection, Arbitrary Code Execution

2026/01/22 gbhackers — NVIDIA が公表したのは、CUDA Toolkit に存在する深刻な脆弱性に対するアドバイザリである。これらの脆弱性は、GPU アクセラレーション・システムを、コマンド・インジェクションおよび任意のコード実行のリスクにさらすものである。2026年1月20日に公開されたアドバイザリで修正されたのは、Nsight Systems および関連ツールに存在する 4 件の脆弱性であり、いずれも CUDA Toolkit エコシステムに関連するものだ。

BIND 9 の脆弱性 CVE-2025-13878 が FIX：named デーモンの不適切な処理とサービス拒否

BIND 9 Vulnerability Allow Attackers to Crash Server by Sending Malicious Records

2026/01/22 CyberSecurityNews — インターネット上の数百万のサービスに対してドメイン名解決を担う、DNS サーバ・ソフトウェア BIND 9 に高深刻度の脆弱性が発見された。この脆弱性 CVE-2025-13878 を悪用するリモート攻撃者は、細工された不正な DNS レコードを送信することで DNS サーバをクラッシュさせ、重要なインターネット・インフラおよび組織のサービスを停止させる可能性がある。

Node.js binary-parser Library の脆弱性 CVE-2026-1245 が FIX：コード・インジェクションの恐れ

Node.js binary-parser Library Flaw Enables Malicious Code Injection

2026/01/22 gbhackers — 広く利用されている Node.js の binary-parser ライブラリに存在する、深刻なコード・インジェクション脆弱性により、アプリケーション上で任意の JavaScript 実行が可能となる。2026年1月20日に CERT/CC は Vulnerability Note VU#102648 を公開し、この脆弱性に CVE-2026-1245 を割り当てた。この脆弱性は安全でない動的コード生成に起因し、影響を及ぼす範囲はバージョン 2.3.0 未満となる。パーサ定義に信頼できない入力を使用している開発者は、プロセス全体の侵害を含む深刻なリスクに直面する。