タグ / インシデント種別
すべての面から15件。公開日の新しい順。キーワードと組み合わせて探す →
Apache HTTP Serverのmod_http2に、認証なしでヒープ破壊からコード実行につながる競合状態の脆弱性CVE-2026-119618（Apacheは重大度critical、Red HatのCVSS 3.1は9.8）があり、11月11日公開の2.4.71で修正された。影響は2.4.55〜2.4.70でHTTP/2を有効にしている場合に限られ、11月12日にはヒープ破壊を再現するPoCが公開されたが、悪用は確認されていない。
Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま .claude/settings.local.json に保存され、コマンドに含まれたパスワードやトークンも平文で残る。Apiiroは公開GitHub上の10万4185個のこのファイルのうち1,122個に計1,379件の秘密情報を確認し、うち3分の1以上がデータベースの認証情報だった。
MSP向けのリモート管理製品N-centralについて、研究者が11月8日に33件の未修正の脆弱性と攻撃コード（Able2Shell）をGitHubで公開した。認証なしのXXEからOSコマンド実行に至る連鎖を含み、N-ableは11月9日にクラウド版を止め、オンプレミスのサーバーも停止するよう求めた。修正版は11月10日時点で未公開。
NECのリモート操作ソフトWebSAM WinShareで、操作される側のPC（リモートPC）に細工したパケットを送るとSYSTEM権限でコマンドやコードを実行できる脆弱性2件（CVE-2026-113363・113364、CVSS 3.0 9.8）と、一般ユーザーがSYSTEM権限を得られる脆弱性（CVE-2026-113362）が11月9日に公表された。対象はVer 7.7.2までの各版で、NECは修正モジュールを提供している。
公開停止されたAIペネトレーションツールARTEXの「後継」を名乗るリポジトリが案内したDockerイメージ tomicdd/artex に、ログイン要求の captcha 欄に入れたコマンドをパスワード確認の前にrootで実行するバックドアがあった。BadByteは11月3日までに7,946回のpullと、11月2〜4日に62台の公開コンソールを確認した。Docker Hubは11月5日に該当イメージを削除したが、取得済みのコピーは残る。
DGS-3130-30TS（H/W Rev. B1）の D-Link Discovery Protocol（DDP）とファームウェア保護まわりに、修正版のない複数の脆弱性が報告された。隣接ネットワークから機微情報の取得や管理操作・設定変更・サービス妨害などが起こりうる。D-Link は暫定アドバイザリ SAP10523 で DDP 無効化などを案内し、CVE は未公開。
Bitdefender が、実行コードも権限も要らない細工 APK を入れるだけで system_server が SIGBUS で再起動を繰り返す Android の欠陥 GhostMap を報告。Android 10 以降が対象で、執筆時点でセキュリティ更新による修正はない。
musl 上で PAM なしの OpenSSH において、パスワード欄が * のアカウントへ 257〜1024 バイトのパスワードを送るとログインできる。Alpine・OpenWrt・Buildroot・Yocto などが対象。OpenSSH 10.6p2 と Alpine 各ブランチの修正パッケージで回避できる。
Barracudaは11月2日、Email Security Gatewayの認証回避（CVE-2026-116606、CVSS 9.3）と、ESG・WAF・Load Balancer ADCなど6製品のコマンドインジェクション（CVE-2026-111560、CVSS 8.6）を公表した。組み合わせると管理画面からroot権限を得られる。悪用の報告はまだない。
構成管理ツールPuppetとフォークのOpenVoxで、署名済み証明書を持つクライアントがサーバー上でコードを実行できる脆弱性（CVE-2026-115731、CVSS 4.0で9.4）と、似た名前の証明書で別ノードになりすませる脆弱性（CVE-2026-115732、同9.0）が11月3日に修正された。証明書の自動署名を有効にしていると認証なしでも狙える。悪用の報告はまだない。
Linux 4.4 以降の IPv4 TCP で、接続要求に付いた IP オプションが解放後も読まれる use-after-free が見つかり、認証なしの遠隔コード実行につながるおそれがある（CVSS 9.8）。Red Hat は11月1日に RHEL 8〜10 の修正を出したが、Ubuntu は検証中の -proposed にとどまる。悪用は報告されていない。
AIエージェント開発ツールLangflowの1.0.0〜1.12.8に、認証回避（CVE-2026-93680）と認証なしのコード実行（CVE-2026-110186）があり、いずれもIBMの評価でCVSS 9.8。修正は1.13.0のみで回避策はない。認証回避を使ってMCPのツール一覧を取得するMetasploitモジュールが公開されている。
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
WebAssemblyランタイムWasmtimeの開発元Bytecode Allianceは2026年10月19日（UTC）、既定のコンパイラCraneliftの欠陥2件（CVE-2026-115889、CVE-2026-115893、いずれもCVSS 3.1で9.9）を修正した。攻撃者が用意したWasmモジュールをコンパイルさせるとサンドボックスを抜けられる。後者はARM64（aarch64）だけだが、2020年のARM64対応以来すべての版が対象。修正版は36.0.19・48.0.7・49.0.4・50.0.0。悪用の報告はない。
9月前後から国内で不正アクセスによる大量の個人情報漏えいの公表が相次いだことを受け、10月7日から9日にかけて個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室（NCO）、総務省、経済産業省、IPA、金融庁が注意喚起を出した。JPCERT/CCは既知の脆弱性の探索、管理用APIへの不正なリクエスト、MetabaseのSQLインジェクション、アプリケーションサーバーへのWebシェル設置の4類型と不審なIPアドレスを公開した。IPAは「特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていない」とし、直近1か月から段階的にログを点検するよう求めている。10月20日には、GMOサイバーセキュリティ byイエラエが日本企業を狙う攻撃元インフラでAIによる自律型ペネトレーションテストツール「ARTEX」の使用を確認したとする調査（10月19日公開）が報じられた。木原官房長官は同日午後、AI使用の有無について「現時点で確たることを申し上げる段階にはない」とし、国家サイバー統括室を司令塔に被害企業へのヒアリングなどを踏まえて分析していると説明した。調査結果を公表するかは今後判断するとしている。相次ぐ国内の不正アクセスに各機関が一斉に注意喚起。JPCERT/CCが示した4つの攻撃類型と、国家サイバー統括室・IPAが求める点検。