Vulnerability – Page 7 – IoT OT Security News

WordPress WPvivid Backup の脆弱性 CVE-2026-1357 が FIX：ファイル・アップロード機能の不備と RCE

WordPress Backup Plugin Vulnerability Exposes 800,000 Sites to Remote Code Execution Attacks

2026/02/12 CyberSecurityNews — WPvivid Backup & Migration WordPress プラグインに存在する重大な脆弱性により、未認証の攻撃者がファイルをアップロードし、サーバ上でリモートコード実行を可能にする。この経路からの攻撃により、サイトの完全な乗っ取りに至るケースもある。この脆弱性 CVE-2026-1357 (CVSS：9.8：Critical) の影響が及ぶ範囲は、このプラグインのバージョン 0.9.123 以下であり、修正版は 0.9.124 として提供されている。

Palo Alto Networks ファイアウォールの脆弱性 CVE-2026-0229 が FIX：再起動ループと DoS 攻撃

Palo Alto Networks Firewall Vulnerability Allows an Attacker to Force Firewalls into a Reboot Loop

2026/02/12 CyberSecurityNews — Palo Alto Networks が公表したのは、PAN-OS ソフトウェアに存在する、深刻なサービス拒否 (DoS) の脆弱性に関する情報である。この脆弱性を悪用する未認証の攻撃者は、ファイアウォールを無限再起動ループに陥らせることが可能であり、エンタープライズ・ネットワークを機能不全にする可能性がある。この脆弱性 CVE-2026-0229 は、Advanced DNS Security (ADNS) 機能に潜在する。悪意をもって細工したパケットを送信する攻撃者は、システムの再起動を誘発させる可能性を得る。

Apple iOS の脆弱性 CVE-2026-20700 がなどが FIX：実環境での任意コード実行を検出

Apple 0-Day Flaw Actively Exploited in Targeted Cyberattacks on Individuals

2026/02/12 gbhackers — Apple が公開した、iOS／iPadOS 向けの緊急セキュリティ・アップデートは、実際の攻撃でハッカーたちに悪用されている、深刻なゼロデイ脆弱性を修正するためのものだ。この脆弱性 CVE-2026-20700 は、Google の Threat Analysis Group により発見されたものであり、Apple によると、特定の個人を標的とする “きわめて高度な” サイバー攻撃で悪用された可能性があるという。

GitLab の脆弱性 CVE-2025-7659 などが FIX：不正アクセス／DoS／XSS などの恐れ

GitLab Patches Multiple Vulnerabilities That Enables DoS and Cross-site Scripting Attacks

2026/02/11 CyberSecurityNews — GitLab の Community Edition (CE)／Enterprise Edition (EE) に対して、複数の深刻な脆弱性へ対処するための重大なセキュリティ・アップデートが、バージョン 18.8.4／18.7.4／18.6.6 としてリリースされた。一連の脆弱性を悪用する攻撃者は、サーバクラッシュ／データ窃取／ユーザーセッション乗っ取りなどを引き起こす可能性がある。セルフマネージド環境の管理者に対して、セキュリティ専門家たちが強く指摘するのは、速やかなアップグレードである。

Fiber v2 の脆弱性 CVE-2025-66630 が FIX：UUID の不備によるセッション・ハイジャックなどの可能性

Critical UUID Flaw in Fiber v2 on Go 1.24+ Enables Session Hijacking, CSRF Bypass, and Zero-ID DoS Risk

2026/02/11 CyberSecurityNews — Go Web フレームワーク Fiber v2 において、深刻な脆弱性 CVE-2025-66630 (CVSS v4：9.2：Critical) が発見された。この脆弱性を悪用する攻撃者は、ユーザー・セッションの乗っ取り／セキュリティ保護の回避／サービス妨害を引き起こす可能性がある。この脆弱性は、Go 1.23 以下で動作するすべての Fiber v2 バージョンに影響を及ぼすものであり、2月初旬にフレームワークのメンテナーにより報告された。

SandboxJS の脆弱性 CVE-2026-25881 が FIX：リモート経由でのホスト奪取の恐れと PoC の公開

Critical SandboxJS Vulnerability Allows Remote Host Takeover – PoC Released

2026/02/11 CyberSecurityNews — JavaScript ライブラリ SandboxJS に、深刻なサンドボックス・エスケープの脆弱性が発見された。脆弱性 CVE-2026-25881 (CVSS：9.1：Critical) は、バージョン 0.8.30 以下のすべてのリリースに影響する。この問題に対する修正は、バージョン 0.8.31 で実施されている。

CISA KEV 警告 26/02/10：Microsoft Office／Windows の複数の脆弱性を登録

U.S. CISA adds Microsoft Office and Microsoft Windows flaws to its Known Exploited Vulnerabilities catalog

2026/02/11 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Office および Microsoft Windows の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。今回カタログに追加された脆弱性は、いずれも February 2026 Patch Tuesday でゼロデイとして公開されたものである。

Fortinet FortiOS の認証バイパス脆弱性 CVE-2026-22153 が FIX：LDAP 認証回避が可能

FortiOS Authentication Bypass Vulnerability Lets Attackers Bypass LDAP Authentication

2026/02/10 CyberSecurityNews — Fortinet が公開したのは、FortiOS に存在する深刻な認証バイパスの脆弱性 CVE-2026-22153 (FG-IR-25-1052) である。この脆弱性を悪用する未認証の攻撃者は、Agentless VPN または Fortinet Single Sign-On (FSSO) ポリシーにおける LDAP 認証を回避する可能性がある。この脆弱性は fnbamd デーモンに存在し、CWE-305 (不適切な実装による認証バイパス) に分類されている。この脆弱性を悪用するためには、未認証バインド (Unauthenticated Bind) を許可する LDAP サーバ側での設定の有効化が必要条件となる。

SAP の脆弱性 CVE-2026-0488／0509／23687 などが FIX：CRM や S/4HANA にコード・インジェクションの恐れ

SAP Security Patch Day Fixes Critical Code Injection Flaw in SAP CRM and S/4HANA

2026/02/10 gbhackers — SAP は 2026年2月10日の Patch Day において、複数の SAP 製品に対する修正を発表し、Support Portal 経由で優先的にパッチを適用することで、SAP 環境を保護するよう顧客に呼びかけた。今月の最もリスクの高い脆弱性 CVE-2026-0488 (CVSS：9.9) は、SAP CRM および SAP S/4HANA (Scripting Editor) に影響を及ぼすコード・インジェクションの欠陥である。SAP によると、この脆弱性を悪用する低権限の認証済み攻撃者は、任意のコードの注入／実行を可能にするという。この問題は、SAP Note 3697099 として管理されている。

FortiSandbox の XSS 脆弱性 CVE-2025-52436 が FIX：マルウェア解析環境でのサンドボックス回避

FortiSandbox XSS Vulnerability Let Attackers Run Arbitrary Commands

2026/02/10 CyberSecurityNews — Fortinet が公表したのは、FortiSandbox プラットフォームに存在する深刻なクロスサイト・スクリプティング (XSS) の脆弱性に関する情報 (FG-IR-25-093) である。この脆弱性 CVE-2025-52436 (CVSS：7.9) は、影響を受けるシステム上での任意のコマンド実行を、未認証の攻撃者に対して許す可能性がある。この欠陥は、GUI コンポーネントに存在し、Web ページ生成時の入力に対する不適切な無害化 (CWE-79) に分類される。

React2Shell CVE-2025-55182 攻撃キャンペーンを観測：React 19 標的の事前認証 RCE と広範な模悪用

React2Shell Vulnerability Exploited in the Wild, Analysts Warn

2026/02/10 gbhackers — React2Shell (CVE-2025-55182) は、React Server Components に存在する、事前認証が不要なリモート・コード実行の脆弱性であり、React 19 エコシステム全体で使用されている複数の React バージョンに深刻な影響を及ぼすものだ。それに対して、WXA Internet Abuse Signal Collective (WXA IASC) が開始した、脅威リサーチ・シリーズ “To Cache A Predator” は、CVE-2025-55182 (別名：React2Shell) に関連する攻撃者のインフラと戦術を可視化するためのものだ。具体的には、グローバル・テレメトリ／エンリッチメント・データセット／ハニーポット観測などの相関を分析するものとなる。

Windows Error Reporting Service の脆弱性 CVE-2026-20817：SYSTEM レベル権限昇格の恐れ

Windows Error Reporting Service Vulnerability Let Attackers Elevate Privileges – PoC Released

2026/02/10 CyberSecurityNews — Windows Error Reporting Service に深刻なセキュリティ欠陥が発見され、標準ユーザー権限を持つ攻撃者が SYSTEM レベルの権限に昇格できることが判明した。この脆弱性 CVE-2026-20817 は、2026年1月に Microsoft により修正されたものであり、攻撃の複雑性が低くシステム全体の侵害につながる可能性があることから、Windows 環境にとって重大な脅威となる。Microsoft は 30 日以内に悪用される可能性が高い “Exploitation More Likely (悪用の可能性が高い)” と評価し、パッチ適用の緊急性を強調している。

Ivanti EPM の脆弱性 CVE-2026-1602／1603 が FIX：リモート攻撃による機密データの漏洩

Ivanti Endpoint Manager Vulnerability Lets Remote Attacker Leak Arbitrary Data

2026/02/10 CyberSecurityNews — Ivanti が公開したのは、Endpoint Manager (EPM) プラットフォームに存在する、深刻な脆弱性に対するセキュリティ更新プログラムである。新たに発見された 2 件の脆弱性 CVE-2026-1602／CVE-2026-1603 に対処するものであり、それらが悪用されると、機密データベース情報への不正アクセス／ユーザー認証情報の侵害が引き起こされる可能性がある。この更新プログラムは、バージョン 2024 SU5 として提供されており、2025年10月に事前開示されていた 11 件の Medium 深刻度の脆弱性も同時に修正するものだ。

OpenClaw の RCE 脆弱性により 15,200 インスタンスが露出：数万規模の AI エージェントに影響

15,200 OpenClaw Control Panels with Full System Access Exposed to the Internet

2026/02/10 CyberSecurityNews — 急速に採用／普及が進む “エージェント型 AI エコシステム” における深刻なセキュリティ上の欠陥により、数万規模の個人／企業向けの AI アシスタントがパブリック・インターネット上に完全に露出した状態にある。2026年2月10日に SecurityScorecard STRIKE Threat Intelligence Team が発表した新たな調査によると、人気のフレームワーク OpenClaw (旧称 Moltbot) の 15,200 インスタンスが、リモート・コード (RCE) に対して脆弱であり、攻撃者がホスト・マシンを完全に制御できる状態にあるという。

Axios の脆弱性 CVE-2026-25639 が FIX：DoS 攻撃による Node.js サーバ・クラッシュの恐れ

Axios Vulnerability Allows Attackers to Trigger DoS and Crash Node.js Servers

2026/02/10 gbhackers — Node.js で最も広く利用される HTTP クライアント・ライブラリ Axios において、サーバをクラッシュさせ、サービス拒否 (DoS) 攻撃を引き起こし得る、深刻なセキュリティ欠陥が発見された。この脆弱性 CVE-2026-25639 は、Axios のバージョン 1.13.4 以下に影響を及ぼす。

Microsoft 2026-02 月例アップデート：6 件のゼロデイを含む 58 件の脆弱性に対応

Microsoft February 2026 Patch Tuesday fixes 6 zero-days, 58 flaws

2026/02/10 BleepingComputer — 今日は Microsoft の February 2026 Patch Tuesday の日であり、58 件の脆弱性に対するセキュリティ更新が公開された。この中には、すでに悪用が確認されている 6 件の脆弱性と、3 件の公表済みゼロデイ脆弱性が含まれる。今月の Patch Tuesday では、5 件の Critical 脆弱性も修正されており、その内訳は特権昇格 3 件、情報漏えい 2 件である。

Roundcube の脆弱性 CVE-2026-25916 が FIX：サニタイザーの不備によるプライバシー侵害

Roundcube Webmail Vulnerability Let Attackers Track Email Opens

2026/02/09 CyberSecurityNews — Roundcube が公開したのは、プライバシー・バイパスの脆弱性に対処するための、重要なセキュリティ更新である。この世界で最も広く利用されている、オープンソース Web メール・ソリューションに存在する脆弱性 CVE-2026-25916 について、NULL CATHEDRAL が詳細を解説している。”リモート画像のブロック” を、ユーザーが明示的にコンフィグ (構成) している場合であっても、この脆弱性を悪用する攻撃者は、リモート画像を読み込ませ、メールの開封を追跡できるという問題が生じている。

Ivanti EPMM デバイスを標的とする休眠型バックドア攻撃：初期アクセスで CVE-2026-1281／1340 を悪用？

Hackers Exploiting Ivanti EPMM Devices to Deploy Dormant Backdoors

2026/02/09 CyberSecurityNews — Ivanti Endpoint Manager Mobile (EPMM) アプライアンスを積極的に悪用する攻撃者たちが、数日から数週間にわたり、使用されずに潜伏する可能性のある、休眠型のバックドアを設置しているという。先日に Ivanti は、EPMM に影響する 2 件の深刻な脆弱性 CVE-2026-1281／CVE-2026-1340 を公開した。それぞれの脆弱性は、認証バイパス／リモート・コード実行に関連するものであり、影響を受けるパッケージは aftstore／appstore であるという。

Claude Desktop Extensions のゼロクリック RCE の脆弱性：1 万人以上のユーザーにリモート侵害の恐れ

Claude Desktop Extensions 0-Click RCE Vulnerability Exposes 10,000+ Users to Remote Attacks

2026/02/09 CyberSecurityNews — Claude Desktop Extensions (DXT) の深刻な脆弱性が新たに発見され、大規模言語モデル (LLM) における信頼境界の処理方式を巡る、根本的なアーキテクチャ上の欠陥が明らかになった。この Claude DXT のゼロクリック型リモート・コード実行 (RCE) 脆弱性 CVE-N/A を悪用する攻撃者は、細工された Google Calendar のイベントのみでシステムを侵害できる。

Fortinet FortiClientEMS の脆弱性 CVE-2026-21643 が FIX：SQLi によるコード実行の可能性

Critical FortiClientEMS Vulnerability Let Attackers Execute Malicious Code Remotely

2026/02/09 CyberSecurityNews — Fortinet が公開したのは、エンドポイント保護の集中管理ソリューション FortiClientEMS のインスタンスに関するセキュリティ・アドバイザリであり、管理者に対して直ちにパッチを適用するよう求めている。この脆弱性 CVE-2026-21643 (CVSSv3：9.1) を悪用する未認証のリモート攻撃者は、影響を受けるサーバ上で任意のコードや不正なコマンドを実行する可能性がある。この欠陥は、SQL インジェクション (SQLi) 脆弱性に分類されるものであり、SQL コマンドで使用される特殊要素の不適切な無効化 (CWE-89) と説明されている。

BeyondTrust RS／PRA のゼロデイ脆弱性 CVE-2026-1731 が FIX：事前認証不要の RCE の恐れ

BeyondTrust Remote Access Products 0-Day Vulnerability Allows Remote Code Execution

2026/02/07 CyberSecurityNews — BeyondTrust が公表したのは、同社の Remote Support (RS)／Privileged Remote Access (PRA) プラットフォームに影響を与える、事前認証不要のリモート・コード実行の脆弱性 CVE-2026-1731 (CVSSv4：9.9) に関する情報である。この脆弱性を悪用する脅威アクターは、数千の組織をシステム侵害の危険にさらすことになる。

CISA KEV 警告 26/02/05：React Native Community CLI の脆弱性 CVE-2025-11953 を登録

CISA Warns of React Native Community Command Injection Vulnerability Exploited in Attacks

2026/02/06 CyberSecurityNews — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、React Native Community CLI に存在する OS コマンド・インジェクションの脆弱性 CVE-2025-11953 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、実環境において既に悪用されていることが確認されている。この脆弱性情報は 2026年2月5日に KEV に追加され、連邦機関に対する修正期限は 2026年2月26日と定められている。CISA は FCEB 機関に対し、迅速な対応を強く求めている。米政府組織は BOD 22-01 に従い、AWS／Azure などのクラウド・サービスにおいて最小権限アクセスを徹底する必要がある。

CentOS 9 の脆弱性 CVE-N/A：PoC が実証する深刻な権限昇格と No Patch

CentOS 9 Security Flaw Enables Privilege Escalation – PoC Released

2026/02/06 gbhackers — CentOS 9 で発見されたセキュリティ脆弱性は、ローカル・ユーザーに対して root 権限へ昇格を許す深刻なものである。この脆弱性は、Linux kernel のネットワーク・サブシステムに存在する Use-After-Free (UAF) 状態に起因するものであり、TyphoonPWN 2025 ハッキング・コンテストの Linux カテゴリにおいて 1 位を獲得したものだ。

F5 の脆弱性 CVE-2026-22548／22549／1642 などが FIX：BIG-IP や NGINX などに影響

F5 Patches Critical Vulnerabilities in BIG-IP, NGINX, and Related Products

2026/02/06 CyberSecurityNews — 2026年2月4日に F5 は、February 2026 Quarterly Security Notification を公開し、複数の Medium〜Low レベルの脆弱性と、BIG-IP／NGINX／コンテナ・サービスに影響するセキュリティ露出について情報を提供した。これらの問題は、Denial-of-Service (DoS) リスクやコンフィグ上の弱点に起因するものであり、Web Application Firewall (WAF) や Kubernetes ingress などの、高トラフィック環境の可用性が阻害される可能性がある。

CISA KEV 警告 26/02/05：SmarterMail の脆弱性 CVE-2026-24423 を登録

CISA Advisory Highlights Exploited SmarterTools Vulnerability in Recent Ransomware Attacks

2026/02/06 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SmarterTools SmarterMail に影響を及ぼす深刻な脆弱性 CVE-2026-24423 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性を悪用する攻撃者たちは、実環境における武器化を積極的に進めている。最近のランサムウェア・キャンペーンにおいて、この欠陥が悪用されていることを、セキュリティ研究者たちが確認している。

WinRAR の脆弱性 CVE-2025-8088：2025年8月の Amaranth-Dragon キャンペーンを分析

New Hacking Campaign Exploits Microsoft Windows WinRAR Vulnerability

2026/02/05 InfoSecurity — Microsoft Windows 版 WinRAR において、新たに開示されたセキュリティ脆弱性が、わずか数日で悪用されたハッキング・キャンペーンについて、Check Point の研究者が詳細を明らかにした。この攻撃者が悪用したのは、広く利用されているアーカイブ／圧縮・ソフトウェア WinRAR に存在する、パス・トラバーサルの脆弱性 CVE-2025-8088 である。この脆弱性は 2025年8月に初めて開示されたものだ。

Go の脆弱性 CVE-2025-61732／68121 が FIX：コード・スマグリングと認証バイパスの恐れ

Go 1.25.7 and Go 1.24.13 Released With Patches for Multiple Security Vulnerabilities

2026/02/06 gbhackers — Go チームは、公式に Go 1.25.7 および Go 1.24.13 をリリースした。これらのマイナー・リリースは、cmd/cgo コマンドおよび crypto/tls ライブラリに影響する、2 件のセキュリティ脆弱性 CVE-2025-61732／CVE-2025-68121に対処するものである。これらのバージョンでは、コード・スマグリングや認証バイパスといった潜在的リスクの修正が行われているため、すべての利用者に速やかなアップデートが推奨される。

SolarWinds Help Desk の脆弱性 CVE-2025-40551：170+ の危険な環境と CISA KEV への登録

170+ SolarWinds Help Desk Installations Vulnerable to RCE Attacks Exposed Online

2026/02/05 CyberSecurityNews — SolarWinds Web Help Desk の 170 件を超える実環境で、深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-40551 (CVSS：9.8) の悪用が可能であり、CISA の Known Exploited Vulnerabilities ( KEV ) カタログにも追加されている。この脆弱性を悪用する未認証の攻撃者は、信頼されていないデータへのデシリアライズを通じて、影響を受けるシステム上で任意のコマンドを実行できる。

n8n の脆弱性 CVE-2026-25049 が FIX：システム・コマンド実行とサプライチェーンへの影響

n8n Vulnerability Allows Remote Attackers to Hijack Systems via Malicious Workflow Execution

2026/02/05 gbhackers — n8n が公表したのは、ホスト・システムをリモート・コード実行 (RCE) に晒す深刻な脆弱性へ対処するための、緊急のセキュリティ更新のリリースである。この脆弱性 CVE-2026-25049 (CVSS4.0：9.4：Critical) は、認証済みの攻撃者に対して、式評価サンドボックスの脱出を許し、任意のシステム・コマンド実行の可能性を引き起こすものである。結果として、基盤インフラ全体が、完全に侵害される恐れがある。

WatchGuard VPN の脆弱性 CVE-N/A が FIX：SYSTEM レベルでのコマンド実行の恐れ

WatchGuard VPN Client Flaw on Windows Enables SYSTEM‑Level Command Execution

2026/02/05 gbhackers — WatchGuard が公開したのは、Windows 向け Mobile VPN with IPSec クライアントに存在する深刻な権限昇格の脆弱性に対処するセキュリティ・アップデートである。この脆弱性は、NCP engineering が提供する基盤ソフトウェアに起因するものであり、侵害されたマシン上のローカル攻撃者に対して、最高権限で任意のコマンド実行を許すものである。現時点では、CVE は採番されておらず、NCPVE-2025-0626 (WatchGuard Advisory WGSA-2026-00002) として追跡されている。

Cisco CMM の脆弱性 CVE-2026-20098 が FIX：任意のファイル・アップロードとシステム乗っ取り

Cisco Warns of Meeting Management Flaw Enabling Arbitrary File Upload by Remote Attackers

2026/02/05 gbhackers — Cisco が公開したのは、Cisco Meeting Management (CMM) に存在する、高い深刻度の脆弱性 CVE-2026-20098 (CVSS：8.8：High) に関するセキュリティ・アドバイザリである。この欠陥は、CMM の Web ベース管理インターフェイス内の Certificate Management 機能に存在する。この脆弱性は、不適切な入力検証に起因しており、認証済みのリモート攻撃者による任意のファイル・アップロードを許し、最終的に OS を介した root 権限でのコマンド実行に至る可能性がある。

VMware ESXi の脆弱性 CVE-2025-22224／22225／22226：ランサムウェアによる悪用を CISA が確認

CISA Warns of VMware ESXi 0-day Vulnerability Exploited in Ransomware Attacks

2026/02/05 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が確認したのは、 VMware ESXi の深刻なサンドボックス・エスケープの脆弱性 CVE-2025-22225 を、ランサムウェア・グループが積極的に悪用していることだ。この欠陥は 2025年3月に Broadcom により修正されたが、仮想マシンの分離を回避する攻撃者による、ハイパーバイザ全体へのランサムウェア展開が行われている。

ASUSTOR NAS の脆弱性 CVE-2026-24936 が FIX：デバイスの乗っ取りの恐れ

Critical ASUSTOR NAS Security Flaw Enables Complete Device Takeover

2026/02/04 gbhackers — ASUSTOR 製 Network Attached Storage (NAS) デバイスに存在する、深刻な脆弱性 CVE-2026-24936 (CVSS v4.0：9.5) の情報が開示された。この脆弱性を悪用する未認証の攻撃者は、影響を受けるシステムを完全に掌握する可能性があることが明らかとなっている。したがって、提供されているアップデートの速やかな適用が、管理者にとって極めて重要とされている。

TP-Link Archer BE230 の複数の脆弱性が FIX：デバイスの完全な奪取にいたる恐れ

TP-Link Vulnerabilities Let Hackers Take Full Control of Devices

2026/02/04 gbhackers — TP-Link が開示したのは、Archer BE230 v1.2 Wi-Fi ルータに影響を及ぼす、複数の深刻な認証済みコマンド・インジェクションの脆弱性に関する情報である。これらの脆弱性を悪用する管理者権限を持つ攻撃者は、任意コマンドを実行し、影響を受けるデバイスの完全な掌握を可能にする。セキュリティ研究者 jro／caprinuxx／sunshinefactory により、合計で 9件の脆弱性が発見され、それぞれに個別の CVE 識別子が割り当てられている。

Citrix NetScaler への大規模スキャンを観測：攻撃の準備段階としてのインフラ・マッピング？

Hackers Actively Scanning Citrix NetScaler Infrastructure to Discover Login Panels

2026/02/04 CyberSecurityNews — 2026年1月28日から 2月2日にかけて実施された、Citrix ADC Gateway／NetScaler Gateway インフラを標的とする大規模な偵察キャンペーンを、GreyNoise Global Observation Grid が検知した。このキャンペーンの実態は、ログイン・パネル探索のためのレジデンシャル・プロキシ・ローテーションと、AWS 上にホストされた集中的なバージョン情報開示スキャンを組み合わせる協調的オペレーションである。それにより、63,000 超のユニーク IP アドレスから、111,834 超のセッションが生成された。

CISA KEV 警告 26/02/03：SolarWinds Web Help Desk／GitLab／Sangoma FreePBX の脆弱性を登録

U.S. CISA adds SolarWinds Web Help Desk, Sangoma FreePBX, and GitLab flaws to its Known Exploited Vulnerabilities catalog

2026/02/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SolarWinds Web Help Desk／GitLab／Sangoma FreePBX に存在する脆弱性を、Known Exploited Vulnerabilities (KEV) に追加した。カタログに追加された脆弱性は以下の通りである。

CVE-2025-40551：SolarWinds 不適切なデシリアライズ
CVE-2021-39935：GitLab の Server-Side Request Forgery (SSRF)
CVE-2019-19006：Sangoma FreePBX の不適切な認証
CVE-2025-64328：Sangoma FreePBX OS コマンド・インジェクション

Ingress-NGINX の脆弱性 CVE-2026-24512 が FIX：任意のコード実行の恐れ

Ingress-Nginx Vulnerability Allow Attackers to Execute Arbitrary Code

2026/02/04 CyberSecurityNews — Kubernetes 向けの人気 Ingress コントローラである、Ingress-NGINX で発見された脆弱性を悪用する認証済みの攻撃者は、任意のコードを実行することで、クラスタ内の機微なシークレットへのアクセスが可能となる。この深刻な脆弱性 CVE-2026-24512 は、複数のバージョンに影響するため、管理者による即時対応が必要である。

Django の 6 件の脆弱性が FIX：SQL インジェクション／DoS 攻撃の恐れ

Critical Django Flaw Allows DoS and SQL Injection Attacks

2026/02/04 gbhackers — Django Software Foundation が公開したのは、広く利用されている Python Web フレームワークである Django の複数バージョンに影響する、6 件の深刻な脆弱性に対処するための緊急セキュリティ・パッチである。2026年2月3日にリリースされた更新は、SQL インジェクション攻撃の実行／サービス拒否 (DoS) 状態の発生／ユーザー・アカウントの列挙などを、攻撃者に対して許す可能性のある深刻な欠陥を修正するものである。Django は、Instagram／Mozilla／Bitbucket などの主要プラットフォームを支える、オープンソースの Python Web フレームワークである。

Google Chrome の脆弱性 CVE-2026-1861／1862 が FIX：任意コード実行とシステム・クラッシュの恐れ

Chrome Vulnerabilities Let Attackers Execute Arbitrary Code and Crash System

2026/02/04 CyberSecurityNews — Google は Chrome の 2 件の深刻な脆弱性 CVE-2026-1861／CVE-2026-1862 (High) に対処し、Stable チャネルでセキュリティ更新をリリースした。これらの脆弱性を悪用する脅威アクターは、潜在的な任意コード実行 (ACE) ／サービス拒否 (DoS) 攻撃にユーザーを晒す可能性がある。このアップデートにより、Chrome のバージョンは Windows／macOS 144.0.7559.132／.133、Linux 144.0.7559.132 へ引き上げられている。

Apache Syncope の XXE 脆弱性 CVE-2026-23795 が FIX：ユーザー・セッション乗っ取りの恐れ

Apache Syncope Vulnerability Let Attackers Hijack User Sessions

2026/02/03 CyberSecurityNews — Apache Syncope アイデンティティ管理コンソールに、深刻な XML External Entity (XXE) 脆弱性が発見された。この欠陥により XXE 攻撃の経路が生じ、管理者が意図せず機微なユーザーデータを流出させることで、セッション・セキュリティ侵害の可能性が生じる。この脆弱性 CVE-2026-23795 は、プラットフォームの複数バージョンに影響するため、直ちにパッチを適用する必要がある。

ASUS File Shredder がディスコン：脆弱性 CVE-2025-13348 の発見を受けて

ASUS Discontinues “File Shredder” Feature to Patch Critical Vulnerability

2026/02/03 gbhackers — ASUS が Business Manager ソフトウェアに含まれる File Shredder 機能を廃止したのは、深刻なセキュリティ脆弱性 CVE-2025-13348 の発見を受けての対応である。同社は 2026年2月2日にセキュリティ・ブリテンを公開し、ASUS Business Manager バージョン 3.0.36.0 以下に影響を及ぼす欠陥について説明している。ASUS は、通常の更新による修正ではなく、Business Manager から File Shredder 機能を完全に削除するという対応を選択した。

React Native CLI Metro サーバの脆弱性 CVE-2025-11953：積極的な悪用を確認

Hackers abused React Native CLI flaw to deploy Rust malware before public disclosure

2026/02/03 SecurityAffairs — React Native CLI の Metro 開発サーバに存在する深刻な脆弱性 CVE-2025-11953 が、現在も攻撃者により積極的に悪用されている状況が確認されている。React Native Community CLI により起動される Metro 開発サーバは、デフォルト設定で外部インターフェイスにバインドされており、OS コマンド・インジェクションに対して脆弱なエンドポイントを公開している。それを悪用する未認証のネットワーク攻撃者は、POST リクエストを送信するだけで、任意のファイル実行が可能になる。特に Windows 環境では、引数を完全に制御した状態での、任意のシェル・コマンドの実行に至る恐れがある。

WordPress Quiz and Survey Master の脆弱性 CVE-2025-67987 が FIX：4 万超のサイトに影響

SQL Injection Flaw Affects 40,000 WordPress Sites

2026/02/03 InfoSecurity — WordPress の Quiz and Survey Master プラグインに、SQL インジェクションの脆弱性 CVE-2025-67987 が発見された。この脆弱性を悪用する認証済みのユーザーにより、データベース・クエリへの干渉が可能となり、4 万件超の WordPress サイトに影響が生じることが判明した。この脆弱性はバージョン 10.3.1 以下に存在しており、サブスクライバ権限以上を持つ任意のログイン済みユーザーによる悪用が可能であり、未承認のデータアクセスのリスクが高まっている。

Foxit PDF Editor Cloud の脆弱性 CVE-2026-1591／1592 が FIX：入力サニタイズ不備と XSS の恐れ

Foxit PDF Editor Vulnerabilities Let Attackers Execute Arbitrary JavaScript

2026/02/03 CyberSecurityNews — Foxit PDF Editor Cloud に存在する、深刻なクロスサイト・スクリプティング (XSS) 脆弱性 CVE-2026-1591／CVE-2026-1592 に対処するセキュリティ更新が提供された。この脆弱性を悪用する攻撃者は、ユーザーのブラウザ上で任意の JavaScript コードを実行できる。この脆弱性は、アプリケーションの File Attachments リスト／Layers パネルに存在し、不十分な入力検証／不適切な出力エンコードにより、悪意のコード実行の経路が生成されていた。

ClawdBot の認証バイパスの脆弱性 CVE-N/A が FIX：1-Click で RCE を発動

1-Click Flaw in ClawdBot Allows Remote Code Execution

2026/02/02 gbhackers — 人気の npm パッケージ ClawdBot に存在する、深刻な認証バイパス脆弱性が発見された。この脆弱性を悪用する攻撃者は、単一の悪意のリンクを介してリモートコード実行 (RCE) が可能となる。この欠陥は、gatewayUrl パラメータの検証不備に起因し、未認可の脅威アクターに認証トークンを漏洩させる、自動接続挙動により影響が増幅される。

Microsoft Office の脆弱性 CVE-2026-21509：ロシア由来の APT による積極的な悪用を観測

Hackers Exploiting Microsoft Office 0-day Vulnerability to Deploy Malware

2026/02/02 CyberSecurityNews — ロシア由来の脅威グループ APT28 (UAC-0001) が、Microsoft Office に存在する深刻なゼロデイ脆弱性を積極的に悪用している。この欠陥を突く APT28 は、ウクライナ政府機関および欧州連合 (EU) 組織に対して、高度なマルウェアを展開している。この脆弱性 CVE-2026-21509 は、Microsoft により 2026年1月26日に開示されたが、その時点で実環境で悪用されているとの警告が発せられた。Microsoft の公開開示から 24時間も経たないうちに、この脆弱性は脅威アクターにより武器化されていた。

Gakido の CRLF Injection 脆弱性 CVE-2026-24489 が FIX：HTTP レスポンスの不正操作の恐れ

Gakido CRLF Injection Vulnerability Let Attackers Bypass Security Controls

2026/02/02 CyberSecurityNews — Happy Hacking Space が提供する HTTP クライアント・ライブラリ Gakido に、任意の HTTP ヘッダ注入を可能とする深刻な脆弱性 CVE-2026-24489 (Medium) が発見された。この HTTP ヘッダ注入は、CRLF (Carriage Return Line Feed) シーケンスを通じて実行されるものであり、Gakido のバージョン 0.1.1-1bc6019 未満に影響を及ぼす。

Metasploit が FreePBX／Cacti／SmarterMail の深刻な RCE に対応：7 件の新規エクスプロイトをリリース

Metasploit Releases 7 New Exploit Modules covering FreePBX, Cacti and SmarterMail

2026/01/30 CyberSecurityNews — 今週に公開された Metasploit Framework の最新アップデートは、ペンテスター／レッドチームに対して重要な機能強化を提供するものである。7 件の新規エクスプロイト・モジュールが導入され、エンタープライズ環境で広く利用されているソフトウェアへの対応がサポートされた。このリリースのハイライトは、FreePBX を標的とする高度な 3 段階の連鎖モジュールと、Cacti／SmarterMail 用の深刻なリモート・コード実行 (RCE) の機能である。認証バイパスの欠陥と二次的な脆弱性の連鎖により、システム全体が完全に侵害されるリスクが依然として高いことが、このアップデートにより示されている。

SmarterMail の脆弱性 CVE-2026-24423／23760 が FIX：未認証での RCE と権限昇格の可能性

SmarterTools patches critical SmarterMail flaw allowing code execution

2026/01/30 SecurityAffairs — SmarterTools が発表したのは、同社のメール・ソフトウェア SmarterMail に存在する、2 件のセキュリティ・バグの修正に関する情報である。そのうち 1 件は、脆弱性 CVE-2026-24423 (CVSS：9.3) であり、深刻度 Critical と評価されている。この脆弱性を悪用する攻撃者は、影響を受けるシステム上で悪意のコードを実行する可能性がある。

NVIDIA GPU Display Driver の複数の脆弱性が FIX：コード実行と権限昇格の恐れ

NVIDIA GPU Display Driver Vulnerabilities Allows Code Execution and Privilege Escalation

2026/01/30 CyberSecurityNews — NVIDIA が公開したのは、GPU Display Driver、vGPU Software／HD Audio Component に影響を及ぼす、複数の深刻な脆弱性に対処する重大なセキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は、影響を受けるシステム上で任意のコードを実行し、権限昇格を可能にする恐れがある。