タグ / インシデント種別
すべての面から32件。公開日の新しい順。（KEV のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Check Pointは11月12日、Security GatewayのMobile AccessポータルがPHP2Shell（CVE-2026-109618・109619、CVSS 9.2）で侵入され、Gaia OSのDynamicCLIの権限昇格CVE-2026-123039（CVSS 7.8）でrootを取られたと公表した。10月30日と11月2日の2回の攻撃で未修正の数十台が侵害され、一部ではESXiに移ってワイパーが実行された。対策は11月のJumbo Hotfix。
ChromeのXML処理部分の解放後使用（UAF）脆弱性CVE-2026-125350（深刻度High）が実際の攻撃に使われていた。Googleは11月9日にWindows・Mac向け157.0.8103.50/.51、Linux向け157.0.8103.50で修正し、CISAは11月10日にKEVへ追加した。今年8件目のChromeのゼロデイ。
通信事業者向け音声基盤Cisco BroadWorksのOCI-Pで、認証なしにサーバー上のファイルを読めるXXE脆弱性CVE-2026-20320（CVSS 3.1 7.5）が悪用され、CISAが11月10日にKEVへ追加した。修正版はRI.2026.07（8月19日公開）で回避策はない。研究者は欧州の通信事業者で秘密鍵と証明書が盗まれたと報告している。
細工したメッセージファイルをOutlookで開くと、警告なしに攻撃者のサーバーへ接続し、利用者のNTLMv2ハッシュが漏れる脆弱性CVE-2026-124194（CVSS 3.1 6.5、なりすまし）が悪用されていた。Microsoftは11月10日の月例更新で修正し、CISAは同日KEVに追加した。プレビューウィンドウからは発動しない。
Xen Orchestraで、Cookieに空のJSONオブジェクト（authenticationToken=j:{}）を入れるだけで既存のログイントークンの持ち主として認証され、管理者権限で操作できる欠陥（VSA-2026-062、CVE未採番）が見つかった。Vatesは攻撃者による悪用を確認し、Xen Orchestra 6.9.2（stable）と6.10.1（latest）で修正した。
Bitcoin Lightningのウォレット・決済基盤LNbitsが11月8日、「一連の攻撃」を受けて全利用者にサーバーを直ちに止めるよう呼びかけ、運営するホスティングの全インスタンスも停止した。脆弱性の内容、影響する版、CVEは未公表で、2026年11月9日15時（日本時間）時点で修正版は出ていない。
データ連携基盤Airbyteの2.2.0より前のConnector Builder／Manifest Serverで、閲覧権限のユーザーがコンテナ内で任意のコマンドを実行できる（Airbyte評価でCVSS 3.1 9.9）。1.x系の旧Helmチャート構成では認証なしで悪用でき、JVNは11月4日に悪用を確認したと公表した。
WordPress・Joomla!向けテーマ／ページビルダーYOOtheme Pro 5.0.0〜5.0.52の画像処理に、ログインなしでPHPファイルを書き込める脆弱性（CVE-2026-102785、CVSS v4 10.0）がある。Unit 42は修正版5.0.53公開の2日後から自動化された悪用を観測し、JPCERT/CCも11月5日の週報で取り上げた。
SonicOS の SSL-VPN で、代替認証方式の正規資格情報を持つ攻撃者が SAML 制御（SAML 経由の MFA を含む）を迂回できる。Gen7 は 7.3.3-7015 以前、Gen8 は 8.2.2-8015 以前が対象。SonicWall は悪用報告を調査し、CISA は同日 KEV に追加した（連邦機関の期限は 11月20日）。修正は Gen7 7.3.4-7013 / Gen8 8.2.3-8015 以降。
Zyxel GS1900 シリーズの Web 管理画面（CGI）に、認証なしで OS コマンドを実行できる境界外書き込み CVE-2026-107441 があり、6月に CVE-2026-7273 の修正を入れた機器でも攻撃が通っていた。GreyNoise は8月から48か国の996台が侵害されたと報告しており、Zyxel は10月22日に 2.90(…3)C0 で修正した。
11月1日、BTCPay Server 2.4.1（2026年7月公開）以前を動かすサーバーで、ホットウォレットの BTC と LTC が抜かれた。攻撃者は8月の 2.4.2 で直した脆弱性を別の方法で悪用しており、BTCPay は該当サーバーの利用者に、資金を移したうえで新しいシードの新しいサーバーへ移るよう求めている。
Siemensが8月に修正したSIMATIC IoT2050 Advancedの脆弱性（CVE-2026-58115、CVSS 10.0、V4.3.4.1未満でNode-REDを入れた機器が対象）について、VulnCheckは10月30日以降、認証なしでNode-REDのフローを送り込みLinux用ボットの導入やWebシェルの設置を図る攻撃を観測したと11月2日に公表した。CISAのKEVには未登録。
Drupalは2026年10月28日（米国時間）、EC機能を提供するCommerce Coreモジュールで一部のルートとエンティティのフィールドの保護が不十分なアクセス制御の欠陥（CVE-2026-118539、Drupalの評価で25点中21点の「Highly critical」）を修正し、悪用が確認されているとした。影響は8.x-2.41未満と3.0.0〜3.3.13未満で、注文の不整合の確認も求めている。
Ciscoは2026年10月28日（米国時間）、ASA・FTDのリモートアクセスSSL VPNで、トンネルグループに二次認証を設定していると認証なしの細工した接続要求で装置が再起動する欠陥（CVE-2026-76418、CVSS 3.1で8.6）を修正した。10月に悪用を把握しており、CISAは10月29日にKEVに追加、対応期限は11月1日。
Ivantiは2026年10月29日、10月上旬から悪用されていた連鎖のうち未修正だった権限昇格（CVE-2026-111357）と、既知の場所へのファイル書き込み（CVE-2026-118527）を22.8R2.6と25.1.1.3で修正した。CISAは10月30日に2件をKEVに追加し、CVE-2026-111357の対応期限を11月2日とした。
Cisco Talos が、2月に修正された CVE-2026-20127（CVSS 10.0、認証回避）を悪用して Catalyst SD-WAN の Controller と Validator に置かれたマルウェア「KeyDrift」を公表した。正規の vdaemon プロセスに注入され、復号後の制御メッセージから拠点間通信の AES-256 鍵とみられる32バイトを抜き出して RSA で暗号化して保存し、UDP で送り出せる。攻撃者 UAT-11473 は宇宙・衛星、防衛・航空宇宙、政策研究を狙い、基盤は Volt Typhoon の中継網 Silent Train と大きく重なる。
Alpine Linux の GitLab に10月20〜21日、新規登録アカウントが細工した CI 設定を送り CVE-2026-97229（CVSS 10.0）の悪用を試みた。ワーカーが8回落ち、うち4回は途中まで進んだ。22日に GitLab 19.3.6 へ上げたが、修正は GitLab 同梱の Ruby へのパッチだったため、標準 Ruby で作った自前イメージには入っていなかった。コード実行の証拠はないが否定もできず、全パスワードを初期化して作り直した。パッケージとリリースの改ざんはないとしている。
CISAは2026年10月28日、Linuxカーネルの権限昇格の欠陥「Fragnesia」（CVE-2026-46300、CVSS 3.1で7.8）をKEVに追加した。Dreamによると、PHP2Shell（CVE-2026-109618/109619）と組み合わせた攻撃で米日台韓のファイアウォール25台がroot権限を取られた。修正は5月に出ており、KEVの対応期限は10月31日。
ShinyHunters が5月から悪用している PeopleTools 8.61／8.62 の CVE-2026-35273（CVSS 9.8、認証なしRCE）について、報告者の ZDI が中身を公開した。PSIGW のSSRFで 127.0.0.1 から PSEMHUB を呼ぶと、既定で localhost を信頼する接続元チェックを通り、ログ書き込み機能でのWebシェル設置か、再起動時の XMLDecoder による逆シリアル化でコードが動く。9月の攻撃では /%50SEMHUB/ とURLエンコードしてWAFを回避していた。
CISAは2026年10月28日、VMware ESXの記録不備の欠陥CVE-2026-41709（CVSS 2.7）をKEVに追加した。CrowdStrikeは同日、中国系とする攻撃者WARP PANDAが2026年初めまでゼロデイとして悪用したと報告した。修正は7月のVMSA-2026-0006で出ている。
Lumen Black Lotus Labs が3年間追跡した Volt Typhoon の中継網「Silent Train」を公表した。27種類超のSOHO・IoT・企業機器を必要なときだけ乗っ取って4〜6段のSSH中継を組み、使い終わると痕跡を消す。この網を通じて Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestrator のゼロデイ4件（ほかに Quest KACE の可能性）が悪用され、ハワイ・カリフォルニア・テキサスの通信・防衛・重要インフラが狙われた。
BeyondTrust Remote Support（旧Bomgar）の内部コンポーネントが、受け取ったメッセージの送り主を正しく確かめておらず、ログインなしで装置上のファイル操作ができた（CVE-2026-102764、CVSS 4.0で9.3）。中国系とされるARMORY CASTLE（旧UNC5221）が8月29日にゼロデイとして悪用し、Webシェルからrootを取り、装置に保管された認証情報と「Jump Item」の権限を使って社内の端末へ遠隔セッションを張った。自前運用の装置は BT26-05-RS パッチの適用が必要で、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。BeyondTrust Remote Support CVE-2026-102764。内部メッセージの「送り主」を確かめない欠陥で、遠隔サポート装置ごと奪われ社内の端末へ。
Unit 42が、通信事業者のマネージドサービス企業への長期侵入（CL-STA-0954、別名UNC5820）を公表した。攻撃者はFortiManagerの欠陥FortiJump（CVE-2024-47575）から500台超のFortiGateの設定・暗号鍵・シリアル番号を持ち出し、設定から復元した正規の認証情報でSSL-VPNに入り、FortiOSのCLIのパストラバーサル（CVE-2025-61624）で管理者からrootへ上がって、メモリ常駐型のARM64マルウェアPEERSTITCHを入れた。CVE-2025-61624は2026年4月に修正済みで、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。FortiOS CVE-2025-61624とPEERSTITCH。FortiManager 1台から500台超のFortiGateの設定と鍵が抜かれ、ディスクにもネットにも跡を残さない常駐型の実装へ。
PAN-OSの管理インターフェースに、認証済みの攻撃者がroot権限で任意のコードを実行できるコードインジェクション（CWE-94）がある。Palo Alto Networksは「ごく限られた悪用」を確認し、攻撃元とされる3つのIPアドレスを公表した。CISAは10月14日（米国時間）にKEVへ追加し、対処期限を10月17日とした。PA-Series・VM-Series・Panoramaが対象で、回避策はない。管理画面に届く経路を絞り、修正版へ更新し、管理者アカウントの不審なログインを確かめる。Palo Alto Networks PAN-OS CVE-2026-0322。管理画面にログインできる者がファイアウォールのrootに、「認証が必要」なコードインジェクションが悪用されてKEV入り。
Cisco Secure Email Gateway（旧ESA）で、AMPのファイルレピュテーション機能が添付ファイルを処理する際のパストラバーサルにより、認証なしの送信者が任意のファイルを書き込み、root権限でコマンドを実行できる。Ciscoは10月に悪用を確認し、CISAはKEVに追加して10月17日を期限とした。修正は9月14日の「ハードニングリリース」にすでに含まれていたが、悪用確認を機に単独のCVEとして公表された。9月のSQLインジェクション（CVE-2026-76461）に続き、同製品で1か月に2件目の悪用確認となる。Cisco Secure Email Gateway CVE-2026-76519。添付ファイル1通でroot、マルウェア対策の「ファイルレピュテーション」が攻撃の入口になった今年2件目のゼロデイ。
Microsoftの2026年10月の月例更新は1,400件超の修正で過去最大規模になった。その中で悪用確認済みはWindows ShellのCVE-2026-96951（CVSS 8.8）だけで、細工したファイルでMark of the Web（MOTW）の防御をすり抜けられる。CISAはKEVに追加し、期限は10月16日。公開済みだった.NET FrameworkのWDAC回避（CVE-2026-108398）などもあるが、Microsoftは「悪用は検出していない」としている。件数に飲み込まれず、悪用確認と公開済みから当てるのが先である。Microsoft 2026年10月の月例更新 CVE-2026-96951。1,400件超の中で「いま悪用されている」のは、添付ファイルのMark of the Webをすり抜けるWindows Shellの欠陥だけ。
Ivanti Connect Secure（ICS）で、認証回避・ファイル書き込みによるコード実行・権限昇格の3つのゼロデイを連鎖させ、ログインなしでrootになる攻撃が見つかった。前2つはCVE-2026-104935として10月13日に修正されたが、権限昇格は未修正。Volexityは10月3日からの悪用を確認し、攻撃者はWebシェルを残さず毎回チェーン全体を打ち直していた。CISAは同日KEVに追加した。Ivanti Connect Secure CVE-2026-104935。公開ページのURLと別のCGIを指すヘッダーで認証を素通り、3つのゼロデイの連鎖でroot、権限昇格はまだ未修正。
WordPressのページビルダーBricksの拡張プラグインBricksforgeのPro Formsで、アップロード時に検査した画像ファイルを、送信時にクライアントが指定したPHPの名前で保存してしまう欠陥（CVE-2026-85097）が見つかった。3.1.8.9以前が対象で3.1.8.10で修正。Patchstackは10月7日21時47分（UTC）から悪用の試みを観測している。検査済みの画像を「.php」の名前で置き直させる、WordPressフォーム機能の認証なしRCEが悪用中。
9月末の緊急パッチ適用済みのNetScalerが再起動を繰り返した原因は、SAML処理の新しいゼロデイ。14.1-73.41／13.1-64.28へ再更新が必要。SAML署名の正規化処理で認証デーモンが落ちる、「ただのDoS」が再起動トリガーとして悪用された。
ヘルプデスクZammadのセッション固定RCEとローカル権限昇格が連鎖。DIVD侵害で悪用確認、CISAは2026-10-02にKEV追加。セッション固定からrootまで秒単位、DIVDを襲ったagentic AIのゼロデイ連鎖。
認証不要で管理GUIから任意ファイルを書けるFortiMailのゼロデイ。修正版は未出荷で、IBE無効化か管理面の到達制限が当面の手段。Fortinet FortiMail CVE-2026-104286。管理GUIのパストラバーサルとNULLバイトで任意ファイル書き込み、修正版未出荷のままKEV入り。
1文字のURIエンコードが管理者APIを開けた。Cisco Catalyst SD-WAN Manager（旧vManage）に、ログインなしでAPIをadminユーザーとして操作できる脆弱性 CVE-2026-76504（CVSS v3.1 9.8）があり、2026年9月に実際の悪用が確認された。