Vulnerability – Page 7 – IoT OT Security News

Cisco SD-WAN のゼロデイ脆弱性 CVE-2026-20262 が FIX：root 権限昇格の恐れ

Cisco fixes SD-WAN vManage flaw exploited in zero-day attacks

2026/06/15 BleepingComputer — Cisco が公表したのは、Catalyst SD-WAN Manager に存在する脆弱性 CVE-2026-20262 に対処するためのセキュリティ・アップデートのリリースである。この脆弱性は、root 権限への昇格を目的とした実際の攻撃で悪用されている。以前は SD-WAN vManage として知られていた Catalyst SD-WAN Manager は、単一のダッシュボードから最大 6,000 台の SD-WAN デバイスを管理するための、ネットワーク管理ソフトウェアである。

Microsoft 365 Copilot の深刻な脆弱性チェーン SearchLeak：ワンクリックで機密情報を流出

Critical Microsoft 365 Copilot Vulnerability Allows Attackers to Steal Data in One Click

2026/06/15 CyberSecurityNews — Microsoft 365 Copilot Enterprise に存在する、深刻な脆弱性チェーンを悪用する攻撃者が、正規の Microsoft ドメインを指すリンクを 1 回クリックさせるだけで、企業の機密データ／MFA コード／メールの内容／カレンダーの詳細／機密ファイルを窃取できる状態にあった。

Jenkins の RCE 脆弱性 CVE-2026-53435：デシリアライズを悪用する攻撃キャンペーンを観測

Jenkins RCE Flaw Exploited by Attackers in the Wild

2026/06/15 gbhackers — Jenkins に存在するリモート・コード実行 (RCE) 脆弱性 CVE-2026-53435 が、現在進行形で積極的に悪用されている。この脆弱性は、Jenkins の config.xml 処理時における安全でないデシリアライズに起因するものであり、未認証または低権限の攻撃者に対して、脆弱なインスタンス上での任意のコード実行を許すものだ。そのため、広く利用されている CI/CD 自動化サーバに依存する組織に深刻なリスクが生じている。

WinRAR のパス・トラバーサル脆弱性 CVE-2025-8088：ロシア系脅威グループによる悪用が継続

Russia-Aligned Hackers Exploit Old WinRAR Vulnerability to Target Ukrainian Organizations

2026/06/15 gbhackers — 2025年7月の時点で修正された WinRAR のパス・トラバーサル脆弱性 CVE-2025-8088 は、ウクライナを標的とする複数の侵入グループにとって、依然として強力な初期アクセス・ベクターである。2026年4月までの攻撃分析によると、この脆弱性を悪用する少なくとも 2 つの異なるキャンペーンが確認されている。1 つは SHADOW-EARTH-066 と命名された侵入グループ (CERT-UA により UAC-0226 として追跡) に帰属するコンパイル済みスティーラー・チェーンであり、もう 1 つはロシア寄りの Earth Dahu (Gamaredon) が使用する HTA ベースのスパイ活動チェーンである。

Palo Alto GlobalProtect VPN の脆弱性 CVE-2026-0257：積極的な悪用を観測

Palo Alto Warns of GlobalProtect VPN Vulnerability Actively Exploited in the Wild

2026/06/15 CyberSecurityNews — Palo Alto Networks Unit 42 が公表したのは、PAN-OS GlobalProtect のポータル／ゲートウェイ・コンポーネントに影響を及ぼす、深刻な認証バイパス脆弱性 CVE-2026-0257 の積極的な悪用に関する緊急の警告である。この脆弱性を悪用する未認証のリモート攻撃者は、セキュリティ制御を回避し、不正な VPN 接続を開始できる。

Wazuh の脆弱性 CVE-N/A (CVSS 10.0) が FIX：危険なインジェクション・プリミティブ

Critical Wazuh Flaw Enables Threat Actors to Alter Alerts and Remove Logs

2026/06/15 gbhackers — Wazuh Manager に存在する深刻なセキュリティ脆弱性 CVE-N/A (CVSS 10.0) を悪用する未認証の脅威アクターが、新しいインベントリ同期パイプラインにおける入力検証の弱点を突く可能性がある。それにより、アラートの改竄／フォレンジック証拠の削除／任意の OpenSearch 操作の実行などが引き起こされる恐れがある。この脆弱性は、GitHub アドバイザリ GHSA-ff9g-85jq-r3g3 として追跡され、Wazuh Manager バージョン 5.0.0-beta1 に影響を及ぼす。

Splunk Enterprise の脆弱性 CVE-2026-20253 が FIX：認証前 RCE チェーンを確認

Critical Splunk Enterprise Pre-Auth RCE Chain Exposes Databases

2026/06/13 gbhackers — Splunk Enterprise において、認証前リモート・コード実行 (RCE) 脆弱性 CVE-2026-20253 (CVSS 9.8) が公表された。この脆弱性は 2026年6月10日に Splunk により公開されたものであり、Splunk バージョン 10 で導入された、PostgreSQL Sidecar Service に影響を及ぼす。CVE-2026-20253 の根本原因は、PostgreSQL Sidecar Service の HTTP API エンドポイントである “/v1/postgres/recovery/backup” および “/v1/postgres/recovery/restore” に認証制御が存在しない点にある。

LangGraph における深刻な脆弱性チェーン：リモート・コード実行とサーバの完全制御

Critical Vulnerability Chain in LangGraph Allows Attackers to Gain Full Server Control

2026/06/12 CyberSecurityNews — 人気のオープンソース AI エージェント・フレームワーク LangGraph において、攻撃者によるサーバの完全な制御を許すリモート・コード実行 (RCE) の脆弱性チェーンが発見された。この問題は、Check Point Research により特定されたものであり、機密データやワークフローを管理する AI 駆動型システムに取り込まれると、危険性が大幅に増大する可能性があるという。

Palo Alto PAN-OS の脆弱性 CVE-2026-0273／0272／0269 が FIX：root 権限での任意のコマンドなど

Palo Alto PAN-OS Vulnerability Allows Attackers to Execute Arbitrary Commands as Root User

2026/06/12 CyberSecurityNews — Palo Alto Networks は、PAN-OS に存在する新たなコマンド・インジェクションの脆弱性 CVE-2026-0273 の修正を公表した。この脆弱性を悪用する認証済みの管理者は、CLI または Web 管理インターフェイス経由で root 権限による任意のコマンドを実行できる。また、同じアドバイザリに記載される Medium の脆弱性として、CLI における権限昇格の脆弱性 CVE-2026-0272 と、トンネル・トラフィックにおけるサービス拒否 (DoS) の脆弱性 CVE-2026-0269 も修正されている。

Oracle PeopleSoft ゼロデイ脆弱性 CVE-2026-35273：ShinyHunters による攻撃キャンペーン

Oracle PeopleSoft Zero-Day RCE Vulnerability Exploited by ShinyHunters

2026/06/12 gbhackers — Oracle PeopleSoft に新たに発見されたゼロデイ脆弱性が、脅威グループ ShinyHunters により積極的に悪用されていることが、Mandiant と Google Threat Intelligence Group (GTIG) による共同調査により明らかになった。この CVE-2026-35273 は CVSS スコア 9.8 (High) と評価されており、Environment Management コンポーネントに影響を与え、認証不要のリモート・コード実行を引き起こす。

Chrome の 28件の脆弱性が FIX：メモリ破損の欠陥による任意のコード実行など

Google Patches 28 Chrome Vulnerabilities that Allow Attackers to Execute Malicious Code

2026/06/12 CyberSecurityNews — Google が公表したのは、28 件の脆弱性に対処する新たな Chrome セキュリティ・アップデートである。その中には、攻撃者による悪意のコード実行を許す、複数の Critical な脆弱性が含まれている。最新の Chrome Stable チャネル・アップデートでは、Windows／macOS 向けのバージョン 149.0.7827.114／.115 と、Linux 向けの 149.0.7827.114 が提供されている。

脆弱性修正までの時短は必須？AI を悪用する脅威アクターに対抗するために – Cloud Security Alliance

Survey: Organizations Take Too Long to Fix Application Vulnerabilities

2026/06/11 SecurityBoulevard — グローバルな調査レポート “2026 State of Modern Application & AI Security” により、902 人の IT／Security 専門家のうち 80% が、過去 12 カ月の間にアプリケーション・セキュリティ・インシデントの影響を受けた組織に所属し、そのうち 36% が複数回のインシデント対応を経験していることが判明した。

Chaotic Eclipse が RoguePlanet の PoC を提供：Patch Tuesday June 後の Win 10／11 環境で検証

Chaotic Eclipse Unveils RoguePlanet Exploit Targeting Fully Patched Windows

2026/06/11 SecurityAffairs — セキュリティ研究者 Chaotic Eclipse (別名 Nightmare-Eclipse) が公開したのは、Microsoft Defender に存在するゼロデイ脆弱性 RoguePlanet に対する新たな PoC (Proof-of-Concept) エクスプロイトである。

GitLab の複数の脆弱性が FIX：アカウント乗っ取り／データ露出などの恐れ

GitLab Patches Multiple Vulnerabilities Allowing Account Takeover

2026/06/11 gbhackers — GitLab が公開したのは、GitLab CE/EE の複数の脆弱性を修正するセキュリティ・アップデートである。それらを未修正で放置すると、アカウント乗っ取り／データ露出／サービス拒否を引き起こす可能性がある。管理者に推奨されるのは、該当する環境に応じて GitLab 19.0.2／18.11.5／18.10.8 へアップグレードし、これらの問題を完全に緩和することだ。

Anthropic Fable 5 をジェイルブレイク：安全性分類器の突破とシステム・プロンプトの大量流出

Anthropic’s Claude Fable 5 Jailbroken to Generate Stack Exploits

2026/06/11 CyberSecurityNews — 2026年6月9日に Anthropic が公開したのは、これまでに同社が開発した中で最も高性能な AI であり、新たな Mythos クラスに属する、初の一般提供モデル Claude Fable 5 である。このモデルは、ソフトウェア・エンジニアリング／ナレッジワーク／ビジョン分野などのベンチマークで優れた性能を示している。しかし、研究組織である Pliny the Liberator が、マルチエージェント分解／Unicode のトリック／ナラティブ・フレーミングを用いて Claude Fable 5 の安全性分類器を突破し、その過程で約 120,000 文字に及ぶシステム・プロンプトを流出させた。

Linux KVM/arm64 の VM エスケープ脆弱性 CVE-2026-46316 が FIX：PoC の公開と悪用リスク

PoC Exploit Released for Linux Kernel Guest-to-Host Escape Vulnerability

2026/06/11 gbhackers — Linux Kernel の深刻な脆弱性 CVE-2026-46316 に対して、PoC エクスプロイトが公開された。この脆弱性は KVM/arm64 環境に存在し、ゲストからホストへのエスケープを可能にするものであり、セキュリティ研究者 Hyunwoo Kim (V4bel) により ITScape と命名されている。

CISA KEV 警告 26/06/09：Cisco SD-WAN／Chrome V8／Arista EOS の脆弱性を追加

CISA Adds Cisco, Chrome, and Arista Flaws to KEV Catalog Amid Active Exploitation

2026/06/10 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用が報告されていることを受け、Known Exploited Vulnerabilities (KEV) カタログに 3 件の新たな脆弱性を追加したと発表した。

Langflow のパス・トラバーサル脆弱性 CVE-2026-5027 ：実環境での悪用を確認

Path traversal flaw in AI dev platform Langflow exploited in attacks

2026/06/10 BleepingComputer — AI 開発プラットフォーム Langflow に存在する、深刻なパス・トラバーサル脆弱性 CVE-2026-5027 を積極的に悪用する攻撃者が、公開されているサーバに任意のファイルを書き込んでいる。Langflow はオープンソースのビジュアル・プラットフォームであり、従来のコーディングを置き換えるドラッグ＆ドロップ・インターフェイスを用いて、AI アプリケーション／AI エージェント／検索拡張生成 (RAG) システム／MCP ベースのワークフローを構築するためのものだ。AI 開発チームに広く利用されており、GitHub 上で 149,000 以上のスターと 9,200 以上のフォークを獲得している。

OpenSSL の脆弱性 CVE-2026-45447 などが FIX：任意のコード実行の可能性

Critical OpenSSL Vulnerabilities Enable Remote Code Execution Attacks

2026/06/10 CyberSecurityNews — 2026年6月9日に公開された OpenSSL のセキュリティ・アドバイザリは、特別に細工された PKCS7 または S/MIME 署名メッセージをアプリケーションが処理した場合に発生し得る、リモート・コード実行の脆弱性について警告している。この脆弱性 CVE-2026-45447 (深刻度 High) は、PKCS7_verify 関数に存在するヒープ use-after-free バグに起因する。それにより、メモリ破壊が引き起こされ、特定のデプロイ環境では任意のコード実行に至る可能性がある。

Microsoft RDP の脆弱性 CVE-2026-42908／45639：機密データ漏洩の恐れ

Windows RDP Vulnerabilities Allow Attacker to Expose Sensitive Data

2026/06/10 CyberSecurityNews — Windows Remote Desktop Protocol (RDP) に存在する、情報漏えい脆弱性 CVE-2026-42908／CVE-2026-45639 が、2026年6月9日にリリースされた Microsoft Patch Tuesday で修正された。いずれも RDP スタックにおける境界外読み取りに起因し、深刻度 Important と評価され、CVSS v3 ベーススコアは 7.5 である。

ServiceNow の脆弱性 CVE-N/A：顧客インスタンス・テーブルへの不正クエリの可能性

ServiceNow Confirms Vulnerability Allowing Unauthorized Access to Customer Instance Tables

2026/06/10 CyberSecurityNews — ServiceNow が認めたのは、顧客インスタンスのテーブルに対するクエリ実行を、未認証の攻撃者に許す可能性のある、セキュリティ脆弱性 CVE-N/A の存在である。脅威インテリジェンス・チャネルを通じて明らかになったのは、この問題により、企業環境全体におけるデータ露出や情報漏洩への懸念が高まっていることである。情報によると、不適切なアクセス制御を突く攻撃者が、適切な認証なしにバックエンドのインスタンス・テーブルに対してクエリを実行する可能性があるという。

CISA KEV 警告 26/06/09：Google Chromium の脆弱性 CVE-2026-11645 を登録

CISA Issues Alert on Actively Exploited Google Chromium Zero-Day Flaw

2026/06/10 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、悪意の Web コンテンツを通じて任意のコード実行を可能にする、Google Chromium のゼロデイ脆弱性 CVE-2026-11645 について警告を発出した。この脆弱性は Chromium の V8 JavaScript エンジンに影響する境界外読み取りおよび書き込みの問題を含むものであり、CWE-787／CWE-125 に分類される。細工された HTML ページを、ユーザーが閲覧する際にトリガーされる欠陥であり、リモートの攻撃者に対して、ブラウザのサンドボックス内での任意のコード実行を許す可能性がある。

Ivanti Sentry の脆弱性 CVE-2026-10520／10523 が FIX：root 権限での RCE

Ivanti: Max severity Sentry flaw allows code execution as root

2026/06/10 BleepingComputer — セキュリティ・ソフトウェア企業 Ivanti が公開したのは、同社のセキュア・モバイル・ゲートウェイ・ソリューションである Ivanti Sentry に存在する 2 件の深刻な脆弱性に対処するためのパッチである。それらの脆弱性には、リモートの攻撃者に root 権限でのコード実行を許す最大深刻度の欠陥も含まれている。

Fortinet FortiSandbox の脆弱性 CVE-2026-25089 が FIX：OS コマンド・インジェクション

Fortinet FortiSandbox Vulnerability Lets Attackers Execute Unauthorized Commands

2026/06/10 gbhackers — Fortinet が公表したのは、FortiSandbox 製品における深刻な脆弱性に関する情報である。この脆弱性 CVE-2026-25089 を悪用する未認証の攻撃者は、不正なコマンド実行の可能性を手にするため、マルウェア分析のためにサンドボックスを利用する企業にとって重大な懸念となる。

Anthropic Mythos の性能テスト：実験として Firefox と Windows の N-Day 脆弱性を攻撃

Anthropic’s Mythos Can Serve Up N-Day Exploits in Minutes or Hours

2026/06/09 SecurityBoulevard — Anthropic の Claude Mythos Preview の Zero-day 脆弱性を検出する能力と、それを悪用するエクスプロイトを迅速に開発する能力に対して、ここ数ヶ月におけるサイバー・セキュリティ分野の焦点が当て続けられてきた。ただし、同様の能力は、すでに公開され一部のシステムではパッチ適用済みである、N-day 脆弱性に対しても悪用できる。この状況は、Anthropic が “パッチ・ギャップ” と呼ぶ状態を生み、未更新のシステムを攻撃にさらす。

Google Chrome の脆弱性 CVE-2026-11645：実環境での積極的な悪用を確認

Google patches new Chrome zero-day flaw exploited in the wild

2026/06/09 BleepingComputer — 2026年6月8日に Google が公表したのは、Chrome の新たな脆弱性に対処する緊急アップデートのリリースである。このセキュリティ・アドバイザリにおいて、「脆弱性 CVE-2026-11645 に対するエクスプロイトが実環境に存在することを認識している」と、同社は述べている。今年に入ってから修正されたゼロデイは、これで 5 件目となる。

LiteLLM の脆弱性 CVE-2026-42271 と深刻な攻撃チェーン：Starlette BadHost との連鎖と RCE

LiteLLM Vulnerability Allows Attackers to Execute Arbitrary Commands on Servers

2026/06/09 gbhackers — LiteLLM に影響を及ぼす深刻な脆弱性チェーンが特定され、未認証でのリモートコード実行 (RCE) が可能となることが明らかとなった。2026年5月に修正された LiteLLM の脆弱性 CVE-2026-42271 が、Starlette フレームワークの脆弱性 CVE-2026-48710 と連鎖すると、認証制御のバイパスと任意のシステム・コマンド実行が可能になる。それにより、LiteLLM デプロイメントに依存する AI インフラに、深刻なリスクが生じている。

Veeam の深刻な脆弱性 CVE-2026-44963 が FIX：バックアップサーバに対する RCE の可能性

Critical Veeam Vulnerability Allows RCE Attacks on Backup Servers

2026/06/09 CyberSecurityNews — 広く展開されているエンタープライズ向けバックアップ・ソリューション Veeam Backup & Replication に影響を及ぼす深刻なセキュリティ脆弱性が開示された。この脆弱性 CVE-2026-44963 (CVSS v4：9.4：Critical) を悪用する認証済みのドメイン・ユーザーは、バックアップ・サーバ上で任意のリモート・コード実行を可能とするため、データの保護／復旧の運用を Veeam に依存する組織に深刻なリスクが生じている。

Apache HTTP Server の複数の脆弱性が FIX：コード実行や権限昇格の恐れ

Apache HTTP Server 2.4.68 Patches Multiple Security Vulnerabilities

2026/06/09 gbhackers — Apache は HTTP Server バージョン 2.4.68 をリリースし、コアモジュールとコンポーネントに存在する複数のセキュリティ脆弱性に対応した。このアップデートは、バージョン 2.4.67 以下に影響を及ぼす、メモリ安全性／権限昇格／サービス拒否／入力検証の欠陥などの問題を修正するものだ。複数の中程度の脆弱性により、クラッシュ／境界外読み取り／権限の不正利用などが引き起こされる可能性がある。

Microsoft 2026-06 月例アップデート：Critical 4 件を含む 200 件の脆弱性に対応

Microsoft June 2026 Patch Tuesday fixes 3 zero-day, 200 flaws

2026/06/09 BleepingComputer — Microsoft の 2026年06月 Patch Tuesday では、200 件の脆弱性に対するセキュリティ更新が提供されたが、そのうちの 3 件は、すでに情報が公開済みのゼロデイ脆弱性である。また、今回の Patch Tuesday では、Critical に分類される脆弱性が 33 件修正されているが、その内訳はリモートコード実行 28 件／権限昇格 4 件／情報漏洩 1 件となる。

Check Point VPN のゼロデイ脆弱性 CVE-2026-50751：ランサムウェア攻撃を確認

Check Point VPN 0-day Vulnerability Exploited in the Wild to Deploy Ransomware

2026/06/08 CyberSecurityNews — Check Point Research が認めたのは、同社の Remote Access VPN および Mobile Access 環境に存在する深刻な認証バイパスの脆弱性 CVE-2026-50751 (CVSS：9.3) が実環境で悪用されていることである。また、侵害後の攻撃活動が Qilin ランサムウェア・グループと関連していることも明らかになった。

Linux カーネルの新たな脆弱性 CVE-2026-23111 が FIX：root 権限昇格エクスプロイトが公開

New Linux Kernel Vulnerability Lets Attackers Escalate Privileges to Root

2026/06/08 CyberSecurityNews — Linux Kernel の nftables サブシステムにおける、解放後メモリ使用 (use-after-free) 脆弱性 CVE-2026-23111 に対するエクスプロイトが公表された。それにより、この脆弱性を悪用する権限を持たないローカル攻撃者は、root 権限への昇格が容易になる。影響を受けるディストリビューションとしては、Debian Bookworm／Debian Trixie／Ubuntu 22.04 LTS／Ubuntu 24.04 LTS などが挙げられる。脆弱性 CVE-2026-23111 は 2025 年初頭に発見され、2026年2月5日に Kernel コミットを通じてアップストリーム修正された。

Redis の脆弱性 CVE-2026-23631 が FIX：RCE とサーバを乗っ取りの可能性

Critical Redis Vulnerability Could Let Attackers Execute Code and Hijack Servers

2026/06/08 gbhackers — Redis で発見された深刻な脆弱性 CVE-2026-23631 に、DarkReplica という名称が付けられた。この脆弱性を悪用する攻撃者は、レプリケーション・サブシステムにおける複雑な解放後メモリ使用 (use-after-free) 条件を操作することで、認証済み環境に対するリモート・コード実行 (RCE) を可能にする。

CISA KEV 警告 26/06/05：SolarWinds Serv-U の脆弱性 CVE-2026-28318 を追加

CISA Alerts on Actively Exploited SolarWinds Serv-U Denial-of-Service Flaw

2026/06/06 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SolarWinds の Serv-U に存在する深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに正式に追加した。この脆弱性 CVE-2026-28318 を悪用する未認証のリモート攻撃者は、ファイル転送サービスをクラッシュさせることが可能である。すでに、実環境で悪用が確認されており、インターネットに公開された Serv-U インスタンスを運用する企業ネットワークに深刻なリスクが生じている。

AI が主導する脆弱性発見の現場：FFmpeg の 21 件と Chrome の 429 件が意味するものは？

AI Agent Uncovers 21 Zero-Days in FFmpeg; Chrome Patches Record 429 Bugs

2026/06/06 TheHackerNews — 今週、わずか数日の間に 2 つの出来事が相次いだ。大半の動画関連システムに組み込まれているメディア・ライブラリ FFmpeg において、これまで知られていなかった 21 件の脆弱性を、あるセキュリティ系スタートアップ企業が報告した。これらの脆弱性は、自律型 AI エージェントにより発見されたものである。その一方で Google は、429 件のセキュリティ・バグに対する修正を含む Chrome 149 をリリースした。これは、単一リリースとして過去最多の脆弱性件数である。

Hugging Face Transformers の脆弱性 CVE-2026-4372 が FIX：悪意のモデル読み込みと RCE

Hugging Face Transformers Security Flaw Allows Remote Code Execution

2026/06/05 gbhackers — Hugging Face の Transformers ライブラリに存在する深刻なセキュリティ脆弱性 CVE-2026-4372 を悪用する攻撃者は、悪意のモデル・コンフィグを通じて、数百万規模の機械学習ワークフローを秘密裏にリモート・コード実行 (RCE) のリスクにさらす可能性がある。この脆弱性を悪用する攻撃者は、trust_remote_code=True の設定や明示的なユーザー操作を必要とせずに、標準の from_pretrained() API を介して細工されたモデルを読み込ませるだけで、被害者のシステム上で任意のコードを実行できる。この問題は、セキュリティ企業の研究者 Yotam Perkal により発見された。

Cisco SD-WAN の脆弱性 CVE-2026-20245：パッチ未提供の状況での悪用の確認

Cisco SD-WAN Vulnerability Exploited in the Wild to Execute Arbitrary Commands as Root User

2026/06/05 CyberSecurityNews — Cisco が公開したのは、Catalyst SD-WAN Manager のコマンドライン・インターフェイスにおける、入力検証不備の脆弱性 CVE-2026-20245 (CVSS 7.8) である。この脆弱性は既に実環境で悪用されており、root 権限での任意のコマンド実行を攻撃者に許すものである。

CISA KEV 警告 26/06/02：Linux Kernel の脆弱性 CVE-2022-0492 を登録

CISA Issues Alert on Actively Exploited Linux Kernel Security Flaw

2026/06/05 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linux カーネルの脆弱性 CVE-2022-0492 が実環境で積極的に悪用されているとして、Known Exploited Vulnerabilities (KEV) カタログに登録した。この脆弱性は、不適切な認証の問題として分類されるものであり、cgroups v1 の release_agent 機能を使用する Linux システムに影響し、侵害した環境内での権限昇格を許す。

Microsoft Edge の脆弱性 CVE-2026-45495 が FIX：任意のコード実行の可能性

Microsoft Edge Vulnerability Allows Remote Attackers to Execute Arbitrary Code

2026/06/05 CyberSecurityNews — Microsoft が公表したのは、脆弱なシステム上での任意のコード実行を攻撃者に許す、Edge に存在する深刻な脆弱性に対するセキュリティアップデートである。ただし、この脆弱性 CVE-2026-45495 (CVSSv3 7.5) の悪用の前提として、悪意の Web ページの閲覧や細工されたファイルの開封といった、ユーザー操作が必要である。

Cisco Unified CM の脆弱性 CVE-2026-20230 が FIX：SSRF と root 権限昇格

PoC Exploit Released for Cisco Unified Communications Manager Security Vulnerability

2026/06/04 gbhackers — Cisco の Unified Communications Manager (Unified CM) および Unified CM Session Management Edition (Unified CM SME) に影響を及ぼす深刻なサーバサイド・リクエスト・フォージェリ (SSRF) 脆弱性 CVE-2026-20230 に対して、Proof-of-Concept (PoC) エクスプロイトが公開された。これにより、エンタープライズ環境における悪用リスクが大幅に高まっている。

Anthropic と OpenAI が拡大するフロンティア AI へのアクセス：専門家たちが懸念する問題点とは？

Anxious Security Pros Watch as Anthropic, OpenAI Expand Access to Frontier AI Models

2026/06/03 SecurityBoulevard — Anthropic／OpenAI のフロンティア AI モデルが、サイバー・セキュリティ分野に大きな影響を与え続け、世界中の組織へのアクセス拡大を進める一方で、米国ホワイトハウスはこれらに対する監督強化を模索している。こうした動きは、2026年4月に Anthropic が公開した Claude Mythos Preview モデルにより生じた不安を反映している。このモデルは、ソフトウェア脆弱性を検出／特定するだけではなく、それらに対するエクスプロイトを迅速に生成する能力を示した。

Apache ActiveMQ の脆弱性 CVE-2026-42253／49157 が FIX：セキュリティ・メカニズム回避の恐れ

Critical Apache ActiveMQ Vulnerability Exposes Systems to Security Header Injection Attacks

2026/06/03 gbhackers — Apache が公表したのは、ActiveMQ の HTTP レスポンスヘッダ・インジェクションの脆弱性 CVE-2026-42253 と、Jolokia の認可不備による権限誤用の脆弱性 CVE-2026-49157 である。これらの脆弱性は、Apache ActiveMQ／ActiveMQ Web コンポーネントに影響するものであり、いずれも Important と評価されている。ユーザーに対して強く推奨されるのは、速やかなパッチの適用である。

Kirki WordPress プラグインの脆弱性 CVE-2026-8206 が FIX：Web サイト乗っ取りの恐れ

WordPress Plugin Vulnerability Exposes 500,000+ Websites to Privilege Escalation Attacks

2026/06/03 CyberSecurityNews — 広く使用されている Kirki WordPress プラグインに存在するセキュリティ脆弱性 CVE-2026-8206 (CVSS 9.8) により、50万以上の Web サイトがアカウント乗っ取り攻撃のリスクにさらされている。研究者によると、Kirki プラグインのバージョン 6.0.0 〜 6.0.6 に影響を及ぼすものであり、現在も多くのサイトが脆弱な状態にあるという。この脆弱性を悪用する未認証の攻撃者は、欠陥のあるパスワード・リセット機能を介して権限昇格を行い、最終的に管理者アカウントの完全な侵害に至る。

Ivanti Neurons for ITSM の脆弱性 CVE-2026-9614 が FIX：管理者権限奪取の可能性

Ivanti ITSM Flaw Could Allow Attackers to Escalate to Admin Access

2026/06/03 gbhackers — Ivanti が公開したのは、同社の Ivanti Neurons for ITSM プラットフォームに存在する深刻な脆弱性 CVE-2026-9614 (CVSS 8.8) に対処するパッチである。この脆弱性は、不適切なアクセス制御 (CWE-284) に分類され、クラウド環境とオンプレミス環境の双方に影響を及ぼす。

GitHub Actions ワークフローの問題：38% のユーザー組織にスクリプト・インジェクションの可能性

38% of GitHub Actions Workflows Exposed to Script Injection Risks

2026/06/03 gbhackers — GitHub Actions ワークフローを使用するユーザー組織の 38% が、スクリプト・インジェクションまたは不正なトリガー・コンフィグに対して脆弱であることが、Datadog の分析により判明した。それが浮き彫りにするのは、現代のソフトウェア・サプライチェーンにおいてリスクが増大している現状である。GitHub は、YAML で定義されたワークフローと再利用可能なアクションを通じて、ビルド／テスト／デプロイを自動化する開発パイプラインの中核を担っている。

Windows の NTLMv2 ハッシュ漏洩の脆弱性 CVE-N/A：Huntress がエクスプロイトを確認

Windows Search URI Handler Flaw Leaks NTLMv2 Hashes to Attacker-Controlled Servers

2026/06/03 CyberSecurityNews — Windows の “search URI” ハンドラーで発見された脆弱性 CVE-N/A により、攻撃者が用意したサーバへ向けて NTLMv2 ハッシュが漏洩する可能性がある。この挙動は、Snipping Tool の CVE-2026-33829 と同一クラスのバグであり、ユーザーによる 1 回のリンク・クリックで発生するものであるが、Microsoft は CVE 割り当ても修正も行っていない。

悪意の Chrome エクステンション 50件以上を検出：Chrome Web Store 審査を巧妙に回避

50+ Malicious Chrome Extensions Hit 30K Users

2026/06/03 gbhackers — ライブ壁紙ユーティリティを装う、50 件以上の悪意の Chrome エクステンションが検出された。それらは、ブラウザ挙動を乗っ取り、約 30,000 人のユーザーに対してリモート HTML コンテンツを密かに配信する、アドウェア運用を行っていたことが判明した。これらのエクステンションは、少なくとも 3 つの発行者アカウントを通じて配布され、Chrome Web Store およびサードパーティのダウンロード・ポータルで、アニメーション壁紙やビジュアル・タブページとして提供されていた。

Visual Studio Code の脆弱性 CVE-N/A：1-Click で GitHub OAuth トークンを窃取

1-Click GitHub Token Vulnerability Lets Attackers Steal Users’ OAuth Tokens

2026/06/03 CyberSecurityNews — Visual Studio Code の WebView 実装に存在する、深刻なセキュリティ脆弱性を悪用する攻撃者は、被害者に悪意のリンクを 1-Click させるだけで、GitHub OAuth トークンの窃取および、非公開リポジトリの Read／Write 権限を取得する可能性がある。このバグは、2026年6月2日に、セキュリティ研究者 Ammar Askar により公表された。同氏は、Microsoft Security Response Center (MSRC) の過去の対応に対する不満や不愉快な経験を理由に、完全公開を選択した。

Laravel の脆弱性 CVE-2026-48019 が FIX：CRLF インジェクションと機密性／完全性への影響

Laravel CRLF Injection Flaw Could Disrupt Outbound Email Handling

2026/06/03 gbhackers — Laravel フレームワークに存在する、深刻な脆弱性 CVE-2026-48019 を悪用する攻撃者が送信メール処理を操作することで、不正なメッセージ送信／データ漏洩／メールリレーの悪用につながる可能性がある。この脆弱性は、Laravel のデフォルトのメール検証ロジックにおける CRLF (Carriage Return Line Feed) シーケンスの、不十分なサニタイズに起因するものである。

Anthropic が Project Glasswing を拡大：Claude Mythos Preview を 150 組織へ提供

Anthropic Expands Project Glasswing Claude Mythos Preview to 150 New Organizations

2026/06/02 CyberSecurityNews — Anthropic は、AI を活用するサイバーセキュリティ・イニシアチブ Project Glasswing の対象範囲を大幅に拡大し、Claude Mythos Preview へのアクセスを約 150 の新規組織に提供した。今回の拡大は、既存パートナー／オープンソースソフトウェアのメンテナー／セキュリティ業界全体／米国政府などとの、数週間にわたる緊密な協力を経て実現したものである。