タグ / 攻撃手法
すべての面から3件。公開日の新しい順。キーワードと組み合わせて探す →
ShinyHunters が5月から悪用している PeopleTools 8.61／8.62 の CVE-2026-35273（CVSS 9.8、認証なしRCE）について、報告者の ZDI が中身を公開した。PSIGW のSSRFで 127.0.0.1 から PSEMHUB を呼ぶと、既定で localhost を信頼する接続元チェックを通り、ログ書き込み機能でのWebシェル設置か、再起動時の XMLDecoder による逆シリアル化でコードが動く。9月の攻撃では /%50SEMHUB/ とURLエンコードしてWAFを回避していた。
Plex Media Server に、インターネットから認証なしでプロセス権限のコード実行までつながる4件の欠陥（CVE-2026-96652／96654／96655／96656）があった。研究者 Zach Main が10月16日に技術詳細とPoCを公開し、翌日にはインターネットに出ている古いサーバーへ暗号通貨マイナーと住宅IP向けのプロキシウェアが送り込まれる悪用が観測された。修正は8月公開の 1.43.3.10861。インターネットから届く 1.43.3.10861 未満は乗っ取られたものとして扱う必要がある。認証なしのSSRFから管理者トークン、コーデックのdlopenへつなぎ、公開翌日にマイナーと住宅IP用プロキシが配られた。
SonicWallが、リモートアクセス装置SMA1000の利用者ポータル「WorkPlace」に、認証なしで装置に代理リクエストを送らせ内部機能に届くSSRF（CVE-2026-102255、CVSS 10.0）など4件を修正した。公開直後は悪用未確認だったが、10月9日にPrevidianがハニーポットで悪用の試みを観測したと報じられた。同じWorkPlaceの認証前SSRFは7月と9月にもゼロデイとして悪用されており、9月の修正版も今回の対象に含まれる。ログイン前の「意図しない別経路」から内部機能に届くSSRF、今年3度目のCVSS 10.0。