タグ / 攻撃手法
すべての面から36件。公開日の新しい順。（脆弱性・既知の脆弱性・PoC・未修正 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Apache HTTP Serverのmod_http2に、認証なしでヒープ破壊からコード実行につながる競合状態の脆弱性CVE-2026-119618（Apacheは重大度critical、Red HatのCVSS 3.1は9.8）があり、11月11日公開の2.4.71で修正された。影響は2.4.55〜2.4.70でHTTP/2を有効にしている場合に限られ、11月12日にはヒープ破壊を再現するPoCが公開されたが、悪用は確認されていない。
通信事業者向け音声基盤Cisco BroadWorksのOCI-Pで、認証なしにサーバー上のファイルを読めるXXE脆弱性CVE-2026-20320（CVSS 3.1 7.5）が悪用され、CISAが11月10日にKEVへ追加した。修正版はRI.2026.07（8月19日公開）で回避策はない。研究者は欧州の通信事業者で秘密鍵と証明書が盗まれたと報告している。
簿記など8種類のネット試験で使う外部サーバー（試験管理システム）に11月1日に不正なプログラムが置かれ、2022年4月〜2026年11月4日の受験者最大約98万人分（約197万件）の氏名・生年月日・合否結果・得点などが漏えいした可能性がある。漏えいや不正利用は確認されていない。
攻撃者がオープンソースの推論エンジンSGLangのRCE脆弱性で NEAR AI の推論サーバー1台でコードを実行し、社内に広がって約100人のアカウント情報と18のAIエージェントの会話履歴などを取得した。11月8日には、TEE（機密計算環境）で処理する「confidential mode」の要求も見られた可能性がある。
Bitcoin Lightningのウォレット・決済基盤LNbitsが11月8日、「一連の攻撃」を受けて全利用者にサーバーを直ちに止めるよう呼びかけ、運営するホスティングの全インスタンスも停止した。脆弱性の内容、影響する版、CVEは未公表で、2026年11月9日15時（日本時間）時点で修正版は出ていない。
MSP向けのリモート管理製品N-centralについて、研究者が11月8日に33件の未修正の脆弱性と攻撃コード（Able2Shell）をGitHubで公開した。認証なしのXXEからOSコマンド実行に至る連鎖を含み、N-ableは11月9日にクラウド版を止め、オンプレミスのサーバーも停止するよう求めた。修正版は11月10日時点で未公開。
エディオンは2026年11月6日、ECサイトのログファイルを置くサーバー領域が脆弱性を突かれて不正アクセスを受け、氏名・連絡先などが紐づいたログ最大4,131名分と、照合すると住所コードやカード有効期限・ギフトカード番号と結びつく注文ログ最大9,554名分が漏えいした可能性があると発表した。カード番号とログインパスワードは含まない。11月9日の第2報で、決済処理の改ざんによりPCで入力されたカード情報最大556回分が漏洩した可能性と、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩が新たに判明した。
Bitdefender が、実行コードも権限も要らない細工 APK を入れるだけで system_server が SIGBUS で再起動を繰り返す Android の欠陥 GhostMap を報告。Android 10 以降が対象で、執筆時点でセキュリティ更新による修正はない。
Sekoia は、改ざんした正規サイト、なりすましの中継サイト、8月27日〜9月3日に改ざんされたウクライナの Web 解析サービス Plerdy の3経路で、未更新の iPhone・Android にゼロクリックの n-day 攻撃（iOS は DarkSword）を配る水飲み場攻撃を報告した。Cookie や端末内のデータを盗むもので、Sekoia は中〜高の確度で APT29 によるものと評価している。
クラブネッツは2026年11月4日の第2報で、CNポイントのサテライトシステム上のアプリケーションの脆弱性を突いたリモートコード実行により、サーバーに不正プログラムが設置され、データベースから個人情報が取得された可能性があると公表した。対象はCN会員IDと氏名16,936件、うち連絡先を含むもの2,857件（別データベース）。CNエクスチェンジなど3サービスを停止し、11月24日の再開を予定している。11月12日の第3報で、攻撃者が作ったファイルの外部ダウンロードを示すログを確認して漏えいと判断し、会員3名で計23,743ポイントの不正利用も判明した（補填済み）。CNモニターの再開時期は未定。
飲食店向けユニフォーム通販「ユニコレ」を運営するティーエッチエスは2026年11月5日、10月18日にサイトのプログラムの不備を突いた不正アクセスで、会員最大19,468名の氏名・メールアドレス・住所・勤務先名などが漏えいしたと公表した。パスワードとクレジットカード情報は漏えいしていない。10月22日に遮断し、11月5日にサイトを再開した。
11月1日、BTCPay Server 2.4.1（2026年7月公開）以前を動かすサーバーで、ホットウォレットの BTC と LTC が抜かれた。攻撃者は8月の 2.4.2 で直した脆弱性を別の方法で悪用しており、BTCPay は該当サーバーの利用者に、資金を移したうえで新しいシードの新しいサーバーへ移るよう求めている。
Linux 4.4 以降の IPv4 TCP で、接続要求に付いた IP オプションが解放後も読まれる use-after-free が見つかり、認証なしの遠隔コード実行につながるおそれがある（CVSS 9.8）。Red Hat は11月1日に RHEL 8〜10 の修正を出したが、Ubuntu は検証中の -proposed にとどまる。悪用は報告されていない。
AIエージェント開発ツールLangflowの1.0.0〜1.12.8に、認証回避（CVE-2026-93680）と認証なしのコード実行（CVE-2026-110186）があり、いずれもIBMの評価でCVSS 9.8。修正は1.13.0のみで回避策はない。認証回避を使ってMCPのツール一覧を取得するMetasploitモジュールが公開されている。
Parameter は10月28日、細工した ChatGPT の公開共有リンクを開いた人のログイン中のセッションで、攻撃者の JavaScript を chatgpt.com として動かせた欠陥を公表した。グラフ表示が読み込む数式入力部品 MathLive が送り主を確かめずにメッセージを受け付け、HTML プレビューの隔離を越えていた。私的な会話の一覧と中身を読み出せることを確認しており、OpenAI は10月26日に修正し P1 と評価した。悪用は確認されていない。
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
DHCは2026年10月30日、オンラインショップへの不正アクセスで5,096アカウントの会員情報が書き換えられたと公表した。書き換えられたお届け先は最大5,520件で、氏名・住所・電話番号・購入履歴・カード番号の下4桁が閲覧された可能性がある。不審な注文27件と不正な新規登録71件も見つかった。
映像クリエイター向けサービスのVookは2026年10月30日、社内業務で使っていたデータ分析ツールの脆弱性を突かれ、ツール経由でデータベースに不正アクセスされたと公表した。会員やイベント申込者、取引先担当者などの氏名・連絡先・職歴の一部などが取得された可能性がある。ツールの名前は明かしていない。11月12日の第二報で、退会済みの「Vook求人」応募者や、自由記述に含まれた健康状態の記述なども対象とわかった。最初の不正ログインの検出は8月9日。
Alpine Linux の GitLab に10月20〜21日、新規登録アカウントが細工した CI 設定を送り CVE-2026-97229（CVSS 10.0）の悪用を試みた。ワーカーが8回落ち、うち4回は途中まで進んだ。22日に GitLab 19.3.6 へ上げたが、修正は GitLab 同梱の Ruby へのパッチだったため、標準 Ruby で作った自前イメージには入っていなかった。コード実行の証拠はないが否定もできず、全パスワードを初期化して作り直した。パッケージとリリースの改ざんはないとしている。
ハードウェアウォレットの Keystone は、公式サイトで使う外部のデータ監視ツールの脆弱性から権限昇格され、Shopify の購入者記録（氏名・連絡先・住所・注文情報が残る25,964件）と、本物の端末かを確かめる WebAuth 用の鍵が盗まれたと公表した。鍵は製造時に書き込まれ書き換えられないため、古い鍵を持つ在庫18,835台を廃棄し、公式サイトの出荷を止めている。
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
ギフティグループは2026年10月26日、連結子会社ギフティが運用するシステムの一部が10月25日に脆弱性を悪用した不正アクセスを受け、そのシステムを経由してeギフトが新たに不正発行されたと発表した。損失は約5.5億円の見込みで、2026年12月期第4四半期に特別損失を計上する。利用者が持つeギフトの不正使用や資産の毀損、個人情報の漏えいは確認されていない。原因の経路は特定・遮断し、当該システムは停止して今後も再開しない方針。
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは2026年10月24日、10月21日9時30分頃から13時頃にかけて、システムの脆弱性を悪用した不正アクセスがあったと発表した。チャリカ会員373名の会員情報、銀行口座情報、カードの下4桁と有効期限、残高や入出金履歴、投票履歴が不正に取得された。パスワードとカード番号の全桁は対象外。脆弱性は修正済みで、アプリは10月23日に再開した。競輪・オートレース投票アプリの脆弱性を突かれ約3時間半の不正アクセス、チャリカ会員373名の住所・銀行口座・投票履歴などが取得された。
Cyberdione Labs の Erica Windisch が、Tailscale 1.104.2 と headscale 0.29.5 の11件の問題を「Tailworm」として公表した。中心は Tailscale SSH の Unix ソケット転送で、root で動く tailscaled がパスの確認と接続を root のまま行うため、SSH を許可された一般セッションから docker.sock や systemd のソケットに root として届き、検証済みパスのすり替え（TOCTOU）で許可リストも回避できたとする。実験室での再現のみで実際の悪用は報告されておらず、10月26日時点で Tailscale のセキュリティ情報・CVE・修正版は出ていない。Tailworm（Tailscale SSH ほか11件）。認証を省いた「root のまま動くSSHサーバー」で、ソケット転送が root 専用の docker.sock と systemd に届いた、修正版はまだない。
Googleの圧縮ライブラリBrotliのデコーダー（1.0.3〜1.2.0）に境界外書き込みの欠陥CVE-2026-111497が見つかり、10月21日に修正版1.2.1などが出た。不正なブロック切り替えを「入力が足りない」と扱ったため、ストリーミング展開で8バイトの内部バッファに入力を書き足し続ける。Brotliを組み込むNode.js・Bun・Envoy・Istio・PythonのBrotli／brotlicffiが影響を受け、ImpervaはNode.js 24.22.0でfetch()の応答とExpressの要求本文から任意コード実行を再現した。悪用は報告されていない。「壊れたデータ」を「続きを待つ」と取り違えた圧縮ライブラリが、Node.js・Bun・Envoy・Pythonの通信を同時にRCEの入口に変えた。
フィギュアなどを手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で、10月19日15時過ぎ頃から22日22時頃にかけて管理情報への複数回の不正アクセスによる閲覧があったと発表した。会員の氏名・住所・電話番号・メールアドレス、注文情報、カードのブランド・下4桁・有効期限が閲覧された可能性がある。原因は脆弱性による不正アクセスと認識しており、サイトは閉鎖中で再開時期は未定。件数は公表していない。グッドスマイルカンパニー公式ショップ。脆弱性を突いた不正アクセスで約3日半にわたり管理情報が閲覧され、会員の氏名・住所・注文履歴・カード下4桁と有効期限に流出の可能性、サイトは閉鎖。
海賊版ストリーミングアプリ Popcorn Time の派生版 Time4Popcorn の更新プログラムは、失効したドメインに暗号化なしのHTTPで問い合わせ、返ってきた実行ファイルを署名も確かめずにSYSTEM/root権限で実行していた（CVE-2026-30612）。オランダの Eye Security はドメインを登録して推定250万〜300万台のWindowsと25万〜35万台のMacからの接続を確認し、2025年11月〜2026年3月に更新プログラム自体を止める「更新」を200万回以上配った。10月22日のHack.luで詳細を公表した。Time4Popcorn の放置されたアップデーター。失効したドメインを登録すれば数百万台にSYSTEM/root権限でコードを配れた、研究者は「善意の更新」で200万回以上止めた。
トレジャー・ファクトリーは2026年10月23日、「出張買取」「トレファク引越」の申込受付などに使う案件管理システムが10月20日未明から朝にかけて脆弱性を悪用した不正アクセスを受け、顧客のメールアドレス74万6277件（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、端末に関する氏名・端末識別情報1000件を取得されたと発表した。原因はデータベースへのアクセスに関する脆弱性で、直近のPHPの脆弱性とは関係ないとしている。システムと申込フォームは10月28日をめどに再開する予定。
チケット販売サービスを運営するリンクステーションは、主催者向けの公演登録サービス「Gettii-Lite」のサーバーが2026年10月18日の午前0時頃から7時頃にかけて、プログラムの脆弱性を悪用されて不正アクセスを受け、購入者向けサイト「GETTIIS」の会員情報が流出したと発表した。会員ID 31万7971件、ハッシュ化されたパスワード31万1451件、氏名・電話番号・メールアドレス各約31万件、クレジットカード関連情報（先頭4桁・末尾4桁、名義、有効期限を暗号化したもの）2万9515件。脆弱性の詳細は公表されていない。GETTIIS（リンクステーション）。主催者向け公演登録サービス「Gettii-Lite」の脆弱性を突かれ、チケット購入サイトの会員情報31万7971件が7時間で流出。
JVNは10月20日、アツミ電氣の防犯カメラ用デジタルビデオレコーダー「ADXシリーズ」に、ネットワーク越しに使える非公開の保守用サービスがあり、管理者のパスワードを知る者が任意のOSコマンドを実行したり、ファームウェアを書き換えたりできる問題（CVE-2026-97627、CVE-2026-100737）を公表した。7機種は修正ファームウェアVer.10.8.237で対応したが、販売終了から年数がたったADX1004/ADX1008/ADX2016には修正が提供されない。報告者は情報通信研究機構（NICT）。アツミ電氣 ADXシリーズDVR。非公開の保守用サービスで任意のOSコマンド実行とファームウェアの書き換えができた、古い3機種は修正なしでLANケーブルを抜くよう案内。
研究者のQuentin Kaiser氏が、Broadcomの独自のWi-Fi実装に含まれるWPS（ボタンやPINで端末をつなぐ仕組み）の処理に、断片化されたメッセージを組み立て直すときのバッファオーバーフローがあると発表した。Wi-Fiのパスワードを知らず、WPSの登録も済ませていない相手が、電波の届く範囲から認証なしでルーター上のコードを実行できる。欠陥は少なくとも2010年のSDKからあり、2018年に不完全な修正が告知なしに出たが、BroadcomはCVEを割り当てていない。eCos系のチップでは事実上直らず、ベルギーでは推計150万台超が10月15日時点で未修正だった。Broadcom製Wi-FiのWPS処理に16年前からの欠陥。パスワードを知らない電波の届く相手がルーターのrootに、CVEもなく「直らない」機種も。
Drupalは2026年10月14日、コアのField UIモジュールにある致命的なリモートコード実行CVE-2026-108097（SA-CORE-2026-014）と、寄与モジュールEntity Listの同型欠陥CVE-2026-108099（SA-CONTRIB-2026-218）を修正した。コア単体では悪用できないが、寄与モジュールが経路を提供し、少なくとも1つは認証不要。修正版はコア10.6.19／11.3.19／11.4.10、Entity List 3.0.10。上げられない場合はfield_uiのアンインストールが緩和になる。PSAでは「公表後数時間〜数日で攻撃コードが出うる」として、10月14日のセキュリティ窓口前に先行パッチ適用を勧めていた。Drupal core Field UI の致命的RCE CVE-2026-108097。本体だけでは届かないが、寄与モジュール経由で認証なしの経路もあり、Entity Listにも同型。
イーシーキューブは10月14日、EC-CUBE 4系向けの公式「AmazonPayプラグイン」に緊急度「高」の脆弱性（CVE-2026-103671）があると公表した。JVNは「不変と想定しているWebパラメータの外部制御」（CWE-472、CVSS v3.0 4.7）とし、注文手続き中に任意のサイトへリダイレクトされアカウント情報などを窃取される可能性があると説明する一方、イーシーキューブは危険度を「高」とした理由を「不正管理者アカウントが登録でき、管理画面にログインできるため」と書いている。開発者によると悪用はすでに確認されている。Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（バンドル版を含む）、同（4.0/4.1系）v1.1.12以前、CV1版のAmazon Payプラグイン（4.0系）v1.3.0以前が対象で、最新版への更新で修正される。CV1版のv1.2.9以前は最新版に上げられないため、CV2版への移行が強く推奨されている。EC-CUBE公式AmazonPayプラグイン CVE-2026-103671。JVNは「注文中のリダイレクト」、開発元は「不正な管理者アカウントの登録」、悪用確認済みの脆弱性。
EGセキュアソリューションズは10月14日、ホスト型WAF「SiteGuard Server Edition」の統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）があり、悪用を確認していると公表した。初期値で有効な統計機能が有効なVer2.20以降が対象で、製品が動くサーバー上でrootまたはSYSTEM権限で任意のOSコマンドが実行される可能性がある。Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSD版はVer7.00 Update6で修正され、統計処理の対象ファイルを差し替えるパッチもある。更新で攻撃の痕跡が消える可能性があるため、事前に「診断情報」の保管を求めている。サポート契約者には9月29日に個別通知していた。JPCERT/CCは国内で広く使われているとして注意喚起を出し、侵害調査の検討も求めた。SiteGuard Server Edition CVE-2026-106931。国産WAFの「統計機能」にOSコマンドインジェクション、悪用を確認してroot/SYSTEM権限に。
V12が、AnyDesk Linux 8.0.2のセッションプロトコルに認証前のヒープバッファオーバーフローがあり、接続承認の前にrootでコマンドを実行できるとする攻撃コード「AnyPwn」を公開した。ベンダーは6月に8.0.3で直したが、変更履歴は「クラッシュにつながる不具合の修正」だけで、CVEもセキュリティ情報もない。8.0.3以降（最新は8.1.0）へ更新し、直るまでTCP 7070を閉じる。AnyDesk Linux AnyPwn。「クラッシュ修正」とだけ書かれたヒープオーバーフローに、認証前rootの攻撃コードが公開された。
Nozomi NetworksとFortiGuard Labsが、ルーターやDVRの既知の脆弱性で広がるLinuxボットネットCling（ClingSTUN）を報告。NAT越えのSTUN通信に登録と命令を紛れ込ませ、命令はGoogleのSTUNサーバーのIPアドレスを偽装した送信元から届いていた。Cling（ClingSTUN）。公開STUNサーバーとのやり取りに命令を紛れ込ませ、GoogleのSTUNを装って届くIoTボットネット。