タグ / 攻撃手法
すべての面から30件。公開日の新しい順。キーワードと組み合わせて探す →
Apache HTTP Serverのmod_http2に、認証なしでヒープ破壊からコード実行につながる競合状態の脆弱性CVE-2026-119618（Apacheは重大度critical、Red HatのCVSS 3.1は9.8）があり、11月11日公開の2.4.71で修正された。影響は2.4.55〜2.4.70でHTTP/2を有効にしている場合に限られ、11月12日にはヒープ破壊を再現するPoCが公開されたが、悪用は確認されていない。
攻撃者がオープンソースの推論エンジンSGLangのRCE脆弱性で NEAR AI の推論サーバー1台でコードを実行し、社内に広がって約100人のアカウント情報と18のAIエージェントの会話履歴などを取得した。11月8日には、TEE（機密計算環境）で処理する「confidential mode」の要求も見られた可能性がある。
MSP向けのリモート管理製品N-centralについて、研究者が11月8日に33件の未修正の脆弱性と攻撃コード（Able2Shell）をGitHubで公開した。認証なしのXXEからOSコマンド実行に至る連鎖を含み、N-ableは11月9日にクラウド版を止め、オンプレミスのサーバーも停止するよう求めた。修正版は11月10日時点で未公開。
NECのリモート操作ソフトWebSAM WinShareで、操作される側のPC（リモートPC）に細工したパケットを送るとSYSTEM権限でコマンドやコードを実行できる脆弱性2件（CVE-2026-113363・113364、CVSS 3.0 9.8）と、一般ユーザーがSYSTEM権限を得られる脆弱性（CVE-2026-113362）が11月9日に公表された。対象はVer 7.7.2までの各版で、NECは修正モジュールを提供している。
データ連携基盤Airbyteの2.2.0より前のConnector Builder／Manifest Serverで、閲覧権限のユーザーがコンテナ内で任意のコマンドを実行できる（Airbyte評価でCVSS 3.1 9.9）。1.x系の旧Helmチャート構成では認証なしで悪用でき、JVNは11月4日に悪用を確認したと公表した。
WordPress・Joomla!向けテーマ／ページビルダーYOOtheme Pro 5.0.0〜5.0.52の画像処理に、ログインなしでPHPファイルを書き込める脆弱性（CVE-2026-102785、CVSS v4 10.0）がある。Unit 42は修正版5.0.53公開の2日後から自動化された悪用を観測し、JPCERT/CCも11月5日の週報で取り上げた。
クラブネッツは2026年11月4日の第2報で、CNポイントのサテライトシステム上のアプリケーションの脆弱性を突いたリモートコード実行により、サーバーに不正プログラムが設置され、データベースから個人情報が取得された可能性があると公表した。対象はCN会員IDと氏名16,936件、うち連絡先を含むもの2,857件（別データベース）。CNエクスチェンジなど3サービスを停止し、11月24日の再開を予定している。11月12日の第3報で、攻撃者が作ったファイルの外部ダウンロードを示すログを確認して漏えいと判断し、会員3名で計23,743ポイントの不正利用も判明した（補填済み）。CNモニターの再開時期は未定。
構成管理ツールPuppetとフォークのOpenVoxで、署名済み証明書を持つクライアントがサーバー上でコードを実行できる脆弱性（CVE-2026-115731、CVSS 4.0で9.4）と、似た名前の証明書で別ノードになりすませる脆弱性（CVE-2026-115732、同9.0）が11月3日に修正された。証明書の自動署名を有効にしていると認証なしでも狙える。悪用の報告はまだない。
Zyxel GS1900 シリーズの Web 管理画面（CGI）に、認証なしで OS コマンドを実行できる境界外書き込み CVE-2026-107441 があり、6月に CVE-2026-7273 の修正を入れた機器でも攻撃が通っていた。GreyNoise は8月から48か国の996台が侵害されたと報告しており、Zyxel は10月22日に 2.90(…3)C0 で修正した。
Linux 4.4 以降の IPv4 TCP で、接続要求に付いた IP オプションが解放後も読まれる use-after-free が見つかり、認証なしの遠隔コード実行につながるおそれがある（CVSS 9.8）。Red Hat は11月1日に RHEL 8〜10 の修正を出したが、Ubuntu は検証中の -proposed にとどまる。悪用は報告されていない。
AIエージェント開発ツールLangflowの1.0.0〜1.12.8に、認証回避（CVE-2026-93680）と認証なしのコード実行（CVE-2026-110186）があり、いずれもIBMの評価でCVSS 9.8。修正は1.13.0のみで回避策はない。認証回避を使ってMCPのツール一覧を取得するMetasploitモジュールが公開されている。
Siemensが8月に修正したSIMATIC IoT2050 Advancedの脆弱性（CVE-2026-58115、CVSS 10.0、V4.3.4.1未満でNode-REDを入れた機器が対象）について、VulnCheckは10月30日以降、認証なしでNode-REDのフローを送り込みLinux用ボットの導入やWebシェルの設置を図る攻撃を観測したと11月2日に公表した。CISAのKEVには未登録。
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
Alpine Linux の GitLab に10月20〜21日、新規登録アカウントが細工した CI 設定を送り CVE-2026-97229（CVSS 10.0）の悪用を試みた。ワーカーが8回落ち、うち4回は途中まで進んだ。22日に GitLab 19.3.6 へ上げたが、修正は GitLab 同梱の Ruby へのパッチだったため、標準 Ruby で作った自前イメージには入っていなかった。コード実行の証拠はないが否定もできず、全パスワードを初期化して作り直した。パッケージとリリースの改ざんはないとしている。
ShinyHunters が5月から悪用している PeopleTools 8.61／8.62 の CVE-2026-35273（CVSS 9.8、認証なしRCE）について、報告者の ZDI が中身を公開した。PSIGW のSSRFで 127.0.0.1 から PSEMHUB を呼ぶと、既定で localhost を信頼する接続元チェックを通り、ログ書き込み機能でのWebシェル設置か、再起動時の XMLDecoder による逆シリアル化でコードが動く。9月の攻撃では /%50SEMHUB/ とURLエンコードしてWAFを回避していた。
HPEは2026年10月22日（米国時間）、無線LAN製品向けOS「AOS-8」「AOS-10」の72件の脆弱性を修正した（HPESBNW05162）。うち8件（CVE-2026-79844〜79851）はCVSS 3.1で10.0で、認証なしの遠隔コード実行や認証回避につながる。悪用やPoCの公表はまだない。無線LANコントローラーとアクセスポイントに、認証なしでRCEできるCVSS 10.0の欠陥が8件（全72件）。
Pythonの画像ライブラリPillowは2026年10月16日（UTC）に13.0.0を公開し、40件の脆弱性を修正した。細工したFlashPix（FPX）ファイルやMPO画像を開くだけでコード実行に至るもの（CVE-2026-112398、CVE-2026-96639）や、ファイル名経由のGhostscript引数注入（CVE-2026-112900）が含まれる。12.x系への修正の提供はなく、13.0.0はPython 3.11以上が必要。悪用の報告はない。画像を開くだけでコード実行に至る欠陥をまとめて修正、12.3.0以前は全面的に影響（CVSS 9.2〜9.8）。
GitLabが10月21日、GitLab 7.0以降の自前運用CE/EEすべてに影響する認証なしRCE（CVE-2026-110264、CVSS 10.0）を修正した。公開プロジェクトに置いた.orgファイルの描画でRubyの正規表現エンジンOnigmoが範囲外書き込みを起こす。10月12日のCVE-2026-97229とは別の欠陥で、10月12日版のままでは直らない。悪用の報告はまだないが、クラッシュまで再現するPoCが10月22日に公開された。.orgファイルの表示だけで認証なしRCE、10月12日の修正済み環境もまだ対象（CVSS 10.0）。
PHPは10月21日、PHP本体の欠陥2件（CVE-2026-109618「OOMによる破損」、CVE-2026-109619「古いグローバル状態」、いずれもCVSS 4.0で9.2）を修正した 8.5.12／8.4.27／8.3.36／8.2.35 を公開した。メモリ不足などで処理が途中で打ち切られると、要求ごとのメモリが解放された後もワーカーの大域変数がそこを指したまま残り、同じワーカーが処理する次のリクエストがそれを使ってしまう。Apache mod_php では、アプリのコードが動く前の multipart 解析だけで認証なしのRCEに届く。修正前から悪用の試みが観測され、各国機関は「直せないならサイトを止める」よう呼びかけた。PHP2Shell（CVE-2026-109618／109619）。メモリ不足で途中終了したリクエストの「後片付け漏れ」を次のリクエストが踏む、アプリより先に動くPHP本体の認証なしRCE。
Plex Media Server に、インターネットから認証なしでプロセス権限のコード実行までつながる4件の欠陥（CVE-2026-96652／96654／96655／96656）があった。研究者 Zach Main が10月16日に技術詳細とPoCを公開し、翌日にはインターネットに出ている古いサーバーへ暗号通貨マイナーと住宅IP向けのプロキシウェアが送り込まれる悪用が観測された。修正は8月公開の 1.43.3.10861。インターネットから届く 1.43.3.10861 未満は乗っ取られたものとして扱う必要がある。認証なしのSSRFから管理者トークン、コーデックのdlopenへつなぎ、公開翌日にマイナーと住宅IP用プロキシが配られた。
研究者のQuentin Kaiser氏が、Broadcomの独自のWi-Fi実装に含まれるWPS（ボタンやPINで端末をつなぐ仕組み）の処理に、断片化されたメッセージを組み立て直すときのバッファオーバーフローがあると発表した。Wi-Fiのパスワードを知らず、WPSの登録も済ませていない相手が、電波の届く範囲から認証なしでルーター上のコードを実行できる。欠陥は少なくとも2010年のSDKからあり、2018年に不完全な修正が告知なしに出たが、BroadcomはCVEを割り当てていない。eCos系のチップでは事実上直らず、ベルギーでは推計150万台超が10月15日時点で未修正だった。Broadcom製Wi-FiのWPS処理に16年前からの欠陥。パスワードを知らない電波の届く相手がルーターのrootに、CVEもなく「直らない」機種も。
Drupalは2026年10月14日、コアのField UIモジュールにある致命的なリモートコード実行CVE-2026-108097（SA-CORE-2026-014）と、寄与モジュールEntity Listの同型欠陥CVE-2026-108099（SA-CONTRIB-2026-218）を修正した。コア単体では悪用できないが、寄与モジュールが経路を提供し、少なくとも1つは認証不要。修正版はコア10.6.19／11.3.19／11.4.10、Entity List 3.0.10。上げられない場合はfield_uiのアンインストールが緩和になる。PSAでは「公表後数時間〜数日で攻撃コードが出うる」として、10月14日のセキュリティ窓口前に先行パッチ適用を勧めていた。Drupal core Field UI の致命的RCE CVE-2026-108097。本体だけでは届かないが、寄与モジュール経由で認証なしの経路もあり、Entity Listにも同型。
Nextcloudの任意アプリ「Collabora Online - Built-in CODE Server」（richdocumentscode）のproxy.phpが、ローカルのCODEサーバを起動するとき、リクエストのパスを含む文字列を二重引用符のbashコマンドに埋め込んでいた。サーバが止まっている間だけ、認証なしのHTTPリクエストでOSコマンドがWebサーバ権限で走る。2026年9月10日から悪用が確認され、Webシェルの設置と資格情報・暗号資産ウォレットの探索が行われた。修正は26.4.303。アプリの無効化では足りず、更新か削除が必要。Nextcloud Collabora Built-in CODE CVE-2026-110447。文書サーバが止まっている一瞬だけ、proxy.phpがリクエストのパスをbashに渡しWebシェルが生えた。
GitLabが10月12日、自前運用のGitLab CE/EEで、CI/CD設定内の細工した正規表現から認証なしでサーバー上の任意コード実行に至る整数オーバーフロー（CVE-2026-97229、CVSS 10.0）を修正した。9月23日にも同じ正規表現まわりの認証ありRCE 2件（CVSS 9.9）が直されたばかり。悪用は報告されていない。CI/CDの正規表現コンパイラで整数オーバーフロー、ログインなしでサーバー上のコード実行（CVSS 10.0）。
V12が、AnyDesk Linux 8.0.2のセッションプロトコルに認証前のヒープバッファオーバーフローがあり、接続承認の前にrootでコマンドを実行できるとする攻撃コード「AnyPwn」を公開した。ベンダーは6月に8.0.3で直したが、変更履歴は「クラッシュにつながる不具合の修正」だけで、CVEもセキュリティ情報もない。8.0.3以降（最新は8.1.0）へ更新し、直るまでTCP 7070を閉じる。AnyDesk Linux AnyPwn。「クラッシュ修正」とだけ書かれたヒープオーバーフローに、認証前rootの攻撃コードが公開された。
CitrixがNetScaler ADC／Gatewayの新しい重大欠陥CVE-2026-107406（CVSS v4.0で9.5）を公表した。SAMLのSPまたはIdPとして構成した機器で、メモリオーバーフローからリモートコード実行かサービス停止に至るおそれがある。10月3日のゼロデイ（CVE-2026-88779）の修正版 14.1-73.41／13.1-64.28 も、SAML IdPとして使っていれば対象で、9月末から3度目の更新が必要になる。SAML処理のメモリオーバーフローでRCEのおそれ、先週のゼロデイ修正版もSAML IdPなら対象。
CiscoがNexus 3000およびスタンドアロンNX-OSのNexus 9000向けに、MPLS OAMのecho-request処理の検証不備（CVE-2026-76465、CVSS 9.8）を修正した。機能が有効な装置へ細工パケットを送ると、認証なしでroot実行やDoSが起きる。既定は無効だが、不要なら無効化かLive Protect、最終的には修正版への更新が必要。MPLS OAMのecho-request検証不備で認証なしroot実行、Nexus 3000/9000の診断機能が攻撃面に。
SplunkがEnterprise 10.4／10.2系の重大欠陥CVE-2026-76268（CVSS 9.8）を修正した。検索ヘッドクラスタ成員のPatroni REST APIに認証がなく、ネットワーク到達できれば未認証でOSコマンドを実行できる。10.0.xと9.4.xはこのCVEの対象外。使っていなければPostgreSQLサイドカーを無効化できる。
LibreOffice Calc と Apache OpenOffice Calc で、細工した表計算ファイルを開くと、自動更新されるデータベース範囲から外部のODBファイルとJDBCドライバーのJARが読み込まれ、マクロの警告なしに攻撃者のJavaコードが動く。LibreOfficeは10月5日に26.2.5／26.8.0で修正、OpenOfficeは4.1.16以前が影響を受け、4.1.17で修正予定。Java連携が有効な環境が対象。LibreOffice CVE-2026-63277／OpenOffice CVE-2026-59265。表計算ファイルを開くだけで外部のJavaコードが動く、マクロの警告を通らない「データ連携」の連鎖。
1通のSMTPがSNMP通知を経てシェルになる、パッチから公表までの「隙間」の悪用。Zimbra Collaboration Suite（ZCS）のSNMP通知処理に、認証不要のOSコマンドインジェクション CVE-2026-73570（CVSS 8.9）がある。オプションの zimbra-snmp パッケージを導入し、SNMP通知を有効にした環境では、細工したSMTPリクエスト（メール）だけで、ユーザー操作なしにzimbraサービスアカウント権限でコマンドを実行される。