Google Chrome ― XML処理のゼロデイ脆弱性が悪用され修正
ChromeのXML処理部分の解放後使用（UAF）脆弱性CVE-2026-125350（深刻度High）が実際の攻撃に使われていた。Googleは11月9日にWindows・Mac向け157.0.8103.50/.51、Linux向け157.0.8103.50で修正し、CISAは11月10日にKEVへ追加した。今年8件目のChromeのゼロデイ。
← タグ一覧へ
タグ / 攻撃手法
ゼロデイ
すべての面から23件。公開日の新しい順。（ゼロクリック のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Microsoft Outlook ― NTLMハッシュを漏らすゼロデイが悪用され修正
細工したメッセージファイルをOutlookで開くと、警告なしに攻撃者のサーバーへ接続し、利用者のNTLMv2ハッシュが漏れる脆弱性CVE-2026-124194（CVSS 3.1 6.5、なりすまし）が悪用されていた。Microsoftは11月10日の月例更新で修正し、CISAは同日KEVに追加した。プレビューウィンドウからは発動しない。
N-able N-central ― 未修正の脆弱性群が公開され、クラウド版を停止
MSP向けのリモート管理製品N-centralについて、研究者が11月8日に33件の未修正の脆弱性と攻撃コード（Able2Shell）をGitHubで公開した。認証なしのXXEからOSコマンド実行に至る連鎖を含み、N-ableは11月9日にクラウド版を止め、オンプレミスのサーバーも停止するよう求めた。修正版は11月10日時点で未公開。
D-Link DGS-3130 ― DDPなどに未修正の複数ゼロデイ
DGS-3130-30TS（H/W Rev. B1）の D-Link Discovery Protocol（DDP）とファームウェア保護まわりに、修正版のない複数の脆弱性が報告された。隣接ネットワークから機微情報の取得や管理操作・設定変更・サービス妨害などが起こりうる。D-Link は暫定アドバイザリ SAP10523 で DDP 無効化などを案内し、CVE は未公開。
Zyxel GS1900 ― 6月の修正をすり抜けるゼロデイでスイッチが侵害
Zyxel GS1900 シリーズの Web 管理画面（CGI）に、認証なしで OS コマンドを実行できる境界外書き込み CVE-2026-107441 があり、6月に CVE-2026-7273 の修正を入れた機器でも攻撃が通っていた。GreyNoise は8月から48か国の996台が侵害されたと報告しており、Zyxel は10月22日に 2.90(…3)C0 で修正した。
Cisco ASA／FTD ― SSL VPNで装置を再起動させる欠陥がゼロデイ悪用
Ciscoは2026年10月28日（米国時間）、ASA・FTDのリモートアクセスSSL VPNで、トンネルグループに二次認証を設定していると認証なしの細工した接続要求で装置が再起動する欠陥（CVE-2026-76418、CVSS 3.1で8.6）を修正した。10月に悪用を把握しており、CISAは10月29日にKEVに追加、対応期限は11月1日。
Oracle PeopleSoft ― 悪用中のRCEは3つの脆弱性の連鎖と判明
ShinyHunters が5月から悪用している PeopleTools 8.61／8.62 の CVE-2026-35273（CVSS 9.8、認証なしRCE）について、報告者の ZDI が中身を公開した。PSIGW のSSRFで 127.0.0.1 から PSEMHUB を呼ぶと、既定で localhost を信頼する接続元チェックを通り、ログ書き込み機能でのWebシェル設置か、再起動時の XMLDecoder による逆シリアル化でコードが動く。9月の攻撃では /%50SEMHUB/ とURLエンコードしてWAFを回避していた。
VMware ESX ― 操作をログに残さない欠陥がゼロデイ悪用されていた
CISAは2026年10月28日、VMware ESXの記録不備の欠陥CVE-2026-41709（CVSS 2.7）をKEVに追加した。CrowdStrikeは同日、中国系とする攻撃者WARP PANDAが2026年初めまでゼロデイとして悪用したと報告した。修正は7月のVMSA-2026-0006で出ている。
Volt Typhoon ― 使い捨て中継網で管理基盤のゼロデイを悪用
Lumen Black Lotus Labs が3年間追跡した Volt Typhoon の中継網「Silent Train」を公表した。27種類超のSOHO・IoT・企業機器を必要なときだけ乗っ取って4〜6段のSSH中継を組み、使い終わると痕跡を消す。この網を通じて Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestrator のゼロデイ4件（ほかに Quest KACE の可能性）が悪用され、ハワイ・カリフォルニア・テキサスの通信・防衛・重要インフラが狙われた。
VeloCloud Orchestrator ― SQLインジェクションで権限昇格、悪用続く
Aristaは10月22日、自前運用版のVeloCloud Orchestrator（VCO）にSQLインジェクション（CVE-2026-114625、CVSS 9.9）があり、悪用されていると公表した。最も弱い既定の役割「Enterprise Read Only」のログインがあれば、内部専用の機能を使える「superuser operator」になりすませる。修正は5.2.3.18／6.1.3.10／6.4.2.12。7月・9月の緊急修正を当てた版もまだ対象。VeloCloud Orchestrator CVE-2026-114625。閲覧だけの利用者がSQLインジェクションで「superuser operator」に、SD-WAN管理サーバーで7月・9月に続く悪用。
PHP2Shell ― PHP本体の認証なしRCE
PHPは10月21日、PHP本体の欠陥2件（CVE-2026-109618「OOMによる破損」、CVE-2026-109619「古いグローバル状態」、いずれもCVSS 4.0で9.2）を修正した 8.5.12／8.4.27／8.3.36／8.2.35 を公開した。メモリ不足などで処理が途中で打ち切られると、要求ごとのメモリが解放された後もワーカーの大域変数がそこを指したまま残り、同じワーカーが処理する次のリクエストがそれを使ってしまう。Apache mod_php では、アプリのコードが動く前の multipart 解析だけで認証なしのRCEに届く。修正前から悪用の試みが観測され、各国機関は「直せないならサイトを止める」よう呼びかけた。PHP2Shell（CVE-2026-109618／109619）。メモリ不足で途中終了したリクエストの「後片付け漏れ」を次のリクエストが踏む、アプリより先に動くPHP本体の認証なしRCE。
BeyondTrust Remote Support ― ゼロデイで遠隔サポート装置を奪取
BeyondTrust Remote Support（旧Bomgar）の内部コンポーネントが、受け取ったメッセージの送り主を正しく確かめておらず、ログインなしで装置上のファイル操作ができた（CVE-2026-102764、CVSS 4.0で9.3）。中国系とされるARMORY CASTLE（旧UNC5221）が8月29日にゼロデイとして悪用し、Webシェルからrootを取り、装置に保管された認証情報と「Jump Item」の権限を使って社内の端末へ遠隔セッションを張った。自前運用の装置は BT26-05-RS パッチの適用が必要で、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。BeyondTrust Remote Support CVE-2026-102764。内部メッセージの「送り主」を確かめない欠陥で、遠隔サポート装置ごと奪われ社内の端末へ。
AdFection ― 広告配信経由でAl JazeeraにCandiruのスパイウェア
カナダのCitizen Labは、イスラエルの広告会社Discover-Techが買った広告を通じて、報道機関Al Jazeeraの端末にCandiru（現Integrity Labs）のスパイウェアが送り込まれたと報告した。広告はふだん何も返さず、広告IDやIPアドレスで選んだ相手にだけ攻撃用のJavaScriptを1回だけ返すため、広告配信網の審査をすり抜けた。少なくとも45台が標的になり、この手口の広告は約7.5万のアプリと約12万のWebサイトに表示されていた。Googleなどは10月上旬に同社を締め出した。広告が表示されただけで感染、イスラエルの広告会社Discover-Techの「狙った1台にだけ攻撃コードを返す」配信でAl JazeeraにCandiruのスパイウェア。
PAN-OS CVE-2026-0322 ― 管理画面のコードインジェクションが悪用
PAN-OSの管理インターフェースに、認証済みの攻撃者がroot権限で任意のコードを実行できるコードインジェクション（CWE-94）がある。Palo Alto Networksは「ごく限られた悪用」を確認し、攻撃元とされる3つのIPアドレスを公表した。CISAは10月14日（米国時間）にKEVへ追加し、対処期限を10月17日とした。PA-Series・VM-Series・Panoramaが対象で、回避策はない。管理画面に届く経路を絞り、修正版へ更新し、管理者アカウントの不審なログインを確かめる。Palo Alto Networks PAN-OS CVE-2026-0322。管理画面にログインできる者がファイアウォールのrootに、「認証が必要」なコードインジェクションが悪用されてKEV入り。
Cisco Secure Email Gateway ― 添付ファイル1通でroot、ゼロデイ悪用
Cisco Secure Email Gateway（旧ESA）で、AMPのファイルレピュテーション機能が添付ファイルを処理する際のパストラバーサルにより、認証なしの送信者が任意のファイルを書き込み、root権限でコマンドを実行できる。Ciscoは10月に悪用を確認し、CISAはKEVに追加して10月17日を期限とした。修正は9月14日の「ハードニングリリース」にすでに含まれていたが、悪用確認を機に単独のCVEとして公表された。9月のSQLインジェクション（CVE-2026-76461）に続き、同製品で1か月に2件目の悪用確認となる。Cisco Secure Email Gateway CVE-2026-76519。添付ファイル1通でroot、マルウェア対策の「ファイルレピュテーション」が攻撃の入口になった今年2件目のゼロデイ。
Microsoft 10月月例更新 ― MotW回避のWindows Shellの欠陥が悪用
Microsoftの2026年10月の月例更新は1,400件超の修正で過去最大規模になった。その中で悪用確認済みはWindows ShellのCVE-2026-96951（CVSS 8.8）だけで、細工したファイルでMark of the Web（MOTW）の防御をすり抜けられる。CISAはKEVに追加し、期限は10月16日。公開済みだった.NET FrameworkのWDAC回避（CVE-2026-108398）などもあるが、Microsoftは「悪用は検出していない」としている。件数に飲み込まれず、悪用確認と公開済みから当てるのが先である。Microsoft 2026年10月の月例更新 CVE-2026-96951。1,400件超の中で「いま悪用されている」のは、添付ファイルのMark of the Webをすり抜けるWindows Shellの欠陥だけ。
Ivanti Connect Secure ― 3つのゼロデイ連鎖で認証回避からroot
Ivanti Connect Secure（ICS）で、認証回避・ファイル書き込みによるコード実行・権限昇格の3つのゼロデイを連鎖させ、ログインなしでrootになる攻撃が見つかった。前2つはCVE-2026-104935として10月13日に修正されたが、権限昇格は未修正。Volexityは10月3日からの悪用を確認し、攻撃者はWebシェルを残さず毎回チェーン全体を打ち直していた。CISAは同日KEVに追加した。Ivanti Connect Secure CVE-2026-104935。公開ページのURLと別のCGIを指すヘッダーで認証を素通り、3つのゼロデイの連鎖でroot、権限昇格はまだ未修正。
AhsayCBS ― 認証回避とコマンド注入でバックアップ管理コンソール奪取
Huntressが、バックアップ管理コンソールAhsayCBSの2件の脆弱性（CVE-2026-105133／105134）を悪用した攻撃を観測したと公表した。認証を迂回してからOSコマンドを実行し、JSPのWebシェルとXMRigマイナーを仕掛ける。NVDでは10.3.4で修正と書かれているが、Huntressは最新の10.3.4も影響を受けると確認しており、管理画面の公開を絞るしかない。AhsayCBS CVE-2026-105133／105134。認証回避とコマンド注入の連鎖でバックアップ管理コンソールが奪われ、最新版もまだ直っていない。
Citrix NetScaler CVE-2026-88779 ― SAML処理のDoSが悪用された
9月末の緊急パッチ適用済みのNetScalerが再起動を繰り返した原因は、SAML処理の新しいゼロデイ。14.1-73.41／13.1-64.28へ再更新が必要。SAML署名の正規化処理で認証デーモンが落ちる、「ただのDoS」が再起動トリガーとして悪用された。
Zammad CVE-2026-102489／102490 ― ゼロデイ連鎖でrootまで
ヘルプデスクZammadのセッション固定RCEとローカル権限昇格が連鎖。DIVD侵害で悪用確認、CISAは2026-10-02にKEV追加。セッション固定からrootまで秒単位、DIVDを襲ったagentic AIのゼロデイ連鎖。
FortiMail CVE-2026-104286 ― 管理GUIの任意ファイル書き込み
認証不要で管理GUIから任意ファイルを書けるFortiMailのゼロデイ。修正版は未出荷で、IBE無効化か管理面の到達制限が当面の手段。Fortinet FortiMail CVE-2026-104286。管理GUIのパストラバーサルとNULLバイトで任意ファイル書き込み、修正版未出荷のままKEV入り。
Bitget ― セキュリティ製品を踏み台にウォレットから資金流出
守るはずのセキュリティ製品がウォレットへの踏み台になった。暗号資産取引所Bitgetのホットウォレット・ウォームウォレットから約3億8750万ドル相当が流出した。SlowMistとMandiantの中間調査によれば、攻撃者は第三者製のセキュリティ製品（アプライアンス）2台を侵害し、そこから本番のウォレットジョブサーバへ横展開した。
Cisco SD-WAN Manager CVE-2026-76504 ― 認証回避ゼロデイ
1文字のURIエンコードが管理者APIを開けた。Cisco Catalyst SD-WAN Manager（旧vManage）に、ログインなしでAPIをadminユーザーとして操作できる脆弱性 CVE-2026-76504（CVSS v3.1 9.8）があり、2026年9月に実際の悪用が確認された。