影響バージョンと今すぐやることに絞ってまとめます。公開日の新しい順。
タグで探す ↓Apache HTTP Serverのmod_http2に、認証なしでヒープ破壊からコード実行につながる競合状態の脆弱性CVE-2026-119618（Apacheは重大度critical、Red HatのCVSS 3.1は9.8）があり、11月11日公開の2.4.71で修正された。影響は2.4.55〜2.4.70でHTTP/2を有効にしている場合に限られ、11月12日にはヒープ破壊を再現するPoCが公開されたが、悪用は確認されていない。
Check Pointは11月12日、Security GatewayのMobile AccessポータルがPHP2Shell（CVE-2026-109618・109619、CVSS 9.2）で侵入され、Gaia OSのDynamicCLIの権限昇格CVE-2026-123039（CVSS 7.8）でrootを取られたと公表した。10月30日と11月2日の2回の攻撃で未修正の数十台が侵害され、一部ではESXiに移ってワイパーが実行された。対策は11月のJumbo Hotfix。
ChromeのXML処理部分の解放後使用（UAF）脆弱性CVE-2026-125350（深刻度High）が実際の攻撃に使われていた。Googleは11月9日にWindows・Mac向け157.0.8103.50/.51、Linux向け157.0.8103.50で修正し、CISAは11月10日にKEVへ追加した。今年8件目のChromeのゼロデイ。
通信事業者向け音声基盤Cisco BroadWorksのOCI-Pで、認証なしにサーバー上のファイルを読めるXXE脆弱性CVE-2026-20320（CVSS 3.1 7.5）が悪用され、CISAが11月10日にKEVへ追加した。修正版はRI.2026.07（8月19日公開）で回避策はない。研究者は欧州の通信事業者で秘密鍵と証明書が盗まれたと報告している。
細工したメッセージファイルをOutlookで開くと、警告なしに攻撃者のサーバーへ接続し、利用者のNTLMv2ハッシュが漏れる脆弱性CVE-2026-124194（CVSS 3.1 6.5、なりすまし）が悪用されていた。Microsoftは11月10日の月例更新で修正し、CISAは同日KEVに追加した。プレビューウィンドウからは発動しない。
Bitcoin Lightningのウォレット・決済基盤LNbitsが11月8日、「一連の攻撃」を受けて全利用者にサーバーを直ちに止めるよう呼びかけ、運営するホスティングの全インスタンスも停止した。脆弱性の内容、影響する版、CVEは未公表で、2026年11月9日15時（日本時間）時点で修正版は出ていない。
NECのリモート操作ソフトWebSAM WinShareで、操作される側のPC（リモートPC）に細工したパケットを送るとSYSTEM権限でコマンドやコードを実行できる脆弱性2件（CVE-2026-113363・113364、CVSS 3.0 9.8）と、一般ユーザーがSYSTEM権限を得られる脆弱性（CVE-2026-113362）が11月9日に公表された。対象はVer 7.7.2までの各版で、NECは修正モジュールを提供している。
データ連携基盤Airbyteの2.2.0より前のConnector Builder／Manifest Serverで、閲覧権限のユーザーがコンテナ内で任意のコマンドを実行できる（Airbyte評価でCVSS 3.1 9.9）。1.x系の旧Helmチャート構成では認証なしで悪用でき、JVNは11月4日に悪用を確認したと公表した。
WordPress・Joomla!向けテーマ／ページビルダーYOOtheme Pro 5.0.0〜5.0.52の画像処理に、ログインなしでPHPファイルを書き込める脆弱性（CVE-2026-102785、CVSS v4 10.0）がある。Unit 42は修正版5.0.53公開の2日後から自動化された悪用を観測し、JPCERT/CCも11月5日の週報で取り上げた。
Barracudaは11月2日、Email Security Gatewayの認証回避（CVE-2026-116606、CVSS 9.3）と、ESG・WAF・Load Balancer ADCなど6製品のコマンドインジェクション（CVE-2026-111560、CVSS 8.6）を公表した。組み合わせると管理画面からroot権限を得られる。悪用の報告はまだない。
構成管理ツールPuppetとフォークのOpenVoxで、署名済み証明書を持つクライアントがサーバー上でコードを実行できる脆弱性（CVE-2026-115731、CVSS 4.0で9.4）と、似た名前の証明書で別ノードになりすませる脆弱性（CVE-2026-115732、同9.0）が11月3日に修正された。証明書の自動署名を有効にしていると認証なしでも狙える。悪用の報告はまだない。
AIエージェント開発ツールLangflowの1.0.0〜1.12.8に、認証回避（CVE-2026-93680）と認証なしのコード実行（CVE-2026-110186）があり、いずれもIBMの評価でCVSS 9.8。修正は1.13.0のみで回避策はない。認証回避を使ってMCPのツール一覧を取得するMetasploitモジュールが公開されている。
Siemensが8月に修正したSIMATIC IoT2050 Advancedの脆弱性（CVE-2026-58115、CVSS 10.0、V4.3.4.1未満でNode-REDを入れた機器が対象）について、VulnCheckは10月30日以降、認証なしでNode-REDのフローを送り込みLinux用ボットの導入やWebシェルの設置を図る攻撃を観測したと11月2日に公表した。CISAのKEVには未登録。
Drupalは2026年10月28日（米国時間）、EC機能を提供するCommerce Coreモジュールで一部のルートとエンティティのフィールドの保護が不十分なアクセス制御の欠陥（CVE-2026-118539、Drupalの評価で25点中21点の「Highly critical」）を修正し、悪用が確認されているとした。影響は8.x-2.41未満と3.0.0〜3.3.13未満で、注文の不整合の確認も求めている。
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
Ciscoは2026年10月28日（米国時間）、ASA・FTDのリモートアクセスSSL VPNで、トンネルグループに二次認証を設定していると認証なしの細工した接続要求で装置が再起動する欠陥（CVE-2026-76418、CVSS 3.1で8.6）を修正した。10月に悪用を把握しており、CISAは10月29日にKEVに追加、対応期限は11月1日。
Ivantiは2026年10月29日、10月上旬から悪用されていた連鎖のうち未修正だった権限昇格（CVE-2026-111357）と、既知の場所へのファイル書き込み（CVE-2026-118527）を22.8R2.6と25.1.1.3で修正した。CISAは10月30日に2件をKEVに追加し、CVE-2026-111357の対応期限を11月2日とした。
CISAは2026年10月28日、Linuxカーネルの権限昇格の欠陥「Fragnesia」（CVE-2026-46300、CVSS 3.1で7.8）をKEVに追加した。Dreamによると、PHP2Shell（CVE-2026-109618/109619）と組み合わせた攻撃で米日台韓のファイアウォール25台がroot権限を取られた。修正は5月に出ており、KEVの対応期限は10月31日。
CISAは2026年10月28日、VMware ESXの記録不備の欠陥CVE-2026-41709（CVSS 2.7）をKEVに追加した。CrowdStrikeは同日、中国系とする攻撃者WARP PANDAが2026年初めまでゼロデイとして悪用したと報告した。修正は7月のVMSA-2026-0006で出ている。
WebAssemblyランタイムWasmtimeの開発元Bytecode Allianceは2026年10月19日（UTC）、既定のコンパイラCraneliftの欠陥2件（CVE-2026-115889、CVE-2026-115893、いずれもCVSS 3.1で9.9）を修正した。攻撃者が用意したWasmモジュールをコンパイルさせるとサンドボックスを抜けられる。後者はARM64（aarch64）だけだが、2020年のARM64対応以来すべての版が対象。修正版は36.0.19・48.0.7・49.0.4・50.0.0。悪用の報告はない。
HPEは2026年10月22日（米国時間）、無線LAN製品向けOS「AOS-8」「AOS-10」の72件の脆弱性を修正した（HPESBNW05162）。うち8件（CVE-2026-79844〜79851）はCVSS 3.1で10.0で、認証なしの遠隔コード実行や認証回避につながる。悪用やPoCの公表はまだない。無線LANコントローラーとアクセスポイントに、認証なしでRCEできるCVSS 10.0の欠陥が8件（全72件）。
Pythonの画像ライブラリPillowは2026年10月16日（UTC）に13.0.0を公開し、40件の脆弱性を修正した。細工したFlashPix（FPX）ファイルやMPO画像を開くだけでコード実行に至るもの（CVE-2026-112398、CVE-2026-96639）や、ファイル名経由のGhostscript引数注入（CVE-2026-112900）が含まれる。12.x系への修正の提供はなく、13.0.0はPython 3.11以上が必要。悪用の報告はない。画像を開くだけでコード実行に至る欠陥をまとめて修正、12.3.0以前は全面的に影響（CVSS 9.2〜9.8）。
GitLabが10月21日、GitLab 7.0以降の自前運用CE/EEすべてに影響する認証なしRCE（CVE-2026-110264、CVSS 10.0）を修正した。公開プロジェクトに置いた.orgファイルの描画でRubyの正規表現エンジンOnigmoが範囲外書き込みを起こす。10月12日のCVE-2026-97229とは別の欠陥で、10月12日版のままでは直らない。悪用の報告はまだないが、クラッシュまで再現するPoCが10月22日に公開された。.orgファイルの表示だけで認証なしRCE、10月12日の修正済み環境もまだ対象（CVSS 10.0）。
2026年10月23日のJVN#82312317で、インプリムのプリザンター1.1.0.0〜1.5.9.0に、LDAP認証の特定構成でパスワードを確かめない欠陥（CVE-2026-113438）が公表された。有効なログインIDを知る第三者が、パスワードなしでその利用者としてログインできる。修正版は1.5.9.1。
キーワードやタグを変えて探してみてください。