Tech Blog

AI・ネット安全・セキュリティの記事 (88 件)

すべて AI ネット安全セキュリティ JavaScript CSS WordPress VUE Twig Symfony Smarty NUXT AMP 開発記事

SECURITY ALERT

注目の脆弱性情報

セキュリティ2026/08/26

【緊急】Oracle HTTP Server／WebLogic Proxy Plug-in CVE-2026-21962：2026年1月CPUを今すぐ適用 — 未認証で重要データを改ざん可能

CISAが2026年8月24日にKEVへ追加し、是正期限は8月27日。未認証・ネットワーク経由で悪用でき、CVSS 3.1で10.0のCVE-2026-21962について、影響版と適用すべきパッチ、Oracleが示す暫定策を一次情報で整理します。

セキュリティ2026/10/30

【緊急】GitLab CVE-2026-97229：CISAが悪用確認のKEVに追加（10月29日）— 認証なしでサーバー上のコードを実行される恐れ、最新のパッチ版へ更新を（CVSS v3.1 10.0）

自分で運用するGitLab（セルフマネージド）の重大な脆弱性CVE-2026-97229が、10月29日にCISAの悪用確認済みカタログ（KEV）に追加されました。10月21日には同じ種類の別のCVE-2026-110264も修正されているため、10月12日の版では足りません。最新のパッチ版への更新手順を整理します。

セキュリティ2026/10/29

【緊急】Linuxカーネル「Fragnesia」CVE-2026-46300：CISAが悪用確認のKEVに追加（10月28日）— カーネルを更新して再起動を（CVSS v3.1 7.8）

一般ユーザーの権限から管理者（root）権限を奪えるLinuxカーネルの脆弱性「Fragnesia」（CVE-2026-46300）が、10月28日にCISAの悪用確認済みカタログに追加されました。対象のカーネル、修正版、更新できないときの公式の緩和策と、その副作用を整理します。

セキュリティ2026/10/27

【緊急】PHP CVE-2026-109618・CVE-2026-109619：CISAが「悪用確認」のKEVに追加（10月26日）— 8.5.12／8.4.27／8.3.36／8.2.35へ今すぐ更新（CVSS v4.0 9.2）

10月21日に公表されたPHPの重大な脆弱性2件が、10月26日にCISAの悪用確認済みカタログ（KEV）に追加されました。前の記事で「未確認」としていた点の更新です。公表前から攻撃の試みがあったとするAWSの観測、攻撃コードの公開、修正版、更新後に見ておくことを整理します。

セキュリティ2026/10/26

PHPのバージョン・更新状況の確認方法｜レンタルサーバー・自前サーバー・Docker

PHPの版を調べるだけで対処済みとは限りません。CLIとWeb側の違い、レンタルサーバー・自前サーバー・Dockerでの確認先、配布元の修正情報との照合、問い合わせ方を整理します。

セキュリティ2026/10/26

【緊急】Nextcloud「Collabora Online - Built-in CODE Server」CVE-2026-110447：26.4.303以上へ更新か削除を（CVSS v4.0 9.2）— 悪用が確認済み、アプリを無効にするだけでは足りない

Nextcloudの文書編集アプリ「Collabora Online - Built-in CODE Server」(richdocumentscode)に、認証なしでOSコマンドを実行される脆弱性（CVE-2026-110447）があります。2026年9月から悪用が報告され、CISAは10月23日にKEVへ追加しました。無効化では防げず、26.4.303以上への更新か削除が必要です。CVSS v4.0は9.2。

セキュリティ2026/10/23

【今週のセキュリティ更新まとめ】PHP・証明書ストア（eMudhra）・Node.js・Chrome・Javaで大型の更新が重なった週（10月19〜23日）— 優先順位と今日の確認リスト

10月19〜23日の週は、PHPの認証なしRCE 2件、eMudhraの中間CA鍵の侵害に伴う証明書ストアの一斉更新（Chrome・Firefox・Go・Node.jsなど）、Node.jsの10件、Chrome 156の353件、JavaのOracle定例パッチが重なりました。それぞれの修正版、悪用の有無、優先順位、今日の確認リストを、公式の発表から整理します。

セキュリティ2026/10/21

【緊急】PHP CVE-2026-109618・CVE-2026-109619：8.5.12／8.4.27／8.3.36／8.2.35へ今すぐ更新（CVSS v4.0 9.2が2件）— 認証なしでリモートコード実行

PHPが、認証なしでリモートコード実行につながる重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619、どちらもCVSS v4.0 9.2）を修正しました。修正版は8.5.12・8.4.27・8.3.36・8.2.35です。公式はApacheのmod_phpの危険度が最も高いとし、すぐ更新するよう求めています。更新できない場合の部分的な緩和策、8.1以下の扱い、確認できていないことを整理します。

セキュリティ2026/10/21

【注意】PHP：日本時間10月21日23時に「重大」セキュリティリリースの予定（CVSS v4.0 9.2が2件）— 今のうちに自分のPHPの版と更新手順を確認する

PHPのセキュリティチームは10月20日、10月21日14:00 UTC（日本時間23:00）に、CVSS v4.0が9.2の重大な脆弱性2件を修正するセキュリティリリースを行うと事前に告知しました。CVE番号・対象版・修正版はリリースと同時に公表されます。この記事は予告の段階の速報で、今のうちに確認しておくことを整理します。

セキュリティ2026/10/21

【緊急】SiteGuard Server Edition CVE-2026-106931：Ver8.00 Update5へ更新（CVSS v4.0 8.5）— 悪用が確認済み、更新の前に「診断情報」を保存する

国産のホスト型WAF「SiteGuard Server Edition」の統計機能に、rootまたはSYSTEM権限で任意のOSコマンドを実行される脆弱性（CVE-2026-106931）があります。メーカーは10月14日に悪用を確認したと公表し、CISAは10月20日にKEVへ追加しました。更新すると攻撃の痕跡が消える可能性があるため、先に診断情報を保存してください。CVSS v4.0は8.5。

セキュリティ2026/10/20

【緊急】Fortinet FortiOS・FortiProxyなど CVE-2025-61624：7.6.5／7.4.10以降へ更新（CVSS v3.1 6.5）— 管理者権限からroot権限を奪われ、メモリ常駐マルウェアの設置に使われた

FortiOS・FortiPAM・FortiProxy・FortiSwitchManagerのCLIに、管理者権限からファイルの書き込み・削除ができる脆弱性（CVE-2025-61624）があります。Fortinetは4月14日に公表し、CISAは10月16日に悪用の証拠があるとしてKEVへ追加。Unit 42は10月14日、この脆弱性でroot権限を奪い、メモリに常駐するマルウェアPEERSTITCHを設置した侵入事例を報告しました。FortiOS 7.6は7.6.5以降、7.4は7.4.10以降へ。CVSS v3.1は6.5（MEDIUM）。

セキュリティ2026/10/19

【緊急】BeyondTrust Remote Support CVE-2026-102764：BT26-05-RSパッチを適用（CVSS v4.0 9.3）— 8月下旬から悪用、自社運用の機器は侵害されたものとして調べる

リモートサポート製品BeyondTrust Remote Supportに、認証なしで機器のファイルを操作される脆弱性（CVE-2026-102764）が見つかりました。26.2.3以前の全版が対象で、Mandiantの報告では8月下旬から悪用されており、CISAは10月16日にKEVへ追加しました。自社で運用している機器はパッチ「BT26-05-RS」の適用と、侵害の有無の調査が必要です。CVSS v4.0は9.3。

セキュリティ2026/10/16

【緊急】Palo Alto Networks PAN-OS CVE-2026-0322：管理画面の認証済みRCEでroot権限を取られる（CVSS v4.0 8.6）— 悪用確認済み、修正版へ更新し管理インターフェースをインターネットに出さない

Palo Alto Networksのファイアウォール（PA-Series・VM-Series）と管理サーバー（Panorama）のOS「PAN-OS」の管理インターフェースに、認証済みの攻撃者がroot権限で任意のコードを実行できる脆弱性（CVE-2026-0322）が見つかりました。メーカーは「ごく限定的な悪用を確認」と書き、CISAもKEVに追加しています。回避策はなく、修正版への更新と、管理インターフェースへのアクセス制限が必要です。CVSS v4.0は8.6。

セキュリティ2026/10/15

【緊急】Cisco Secure Email Gateway CVE-2026-76519：Content Scanner Tools 25.3.0.5525以降へ更新（CVSS v3.1 9.8）— 添付ファイル付きメールを通すだけでroot権限を奪われ、悪用も確認済み

Cisco Secure Email Gatewayに、認証なしで細工した添付ファイル付きメールを通すだけで、OS上のroot権限でコマンドを実行されるおそれのある欠陥（CVE-2026-76519）が見つかりました。Ciscoは2026年10月に実際の悪用を把握したと書き、CISAも10月14日にKEVへ追加しています。回避策はなく、Content Scanner Toolsの更新か修正版への更新が必要です。CVSS v3.1は9.8（Cisco評価）。

セキュリティ2026/10/14

【緊急】Windows CVE-2026-96951：悪用が確認された「ネット由来ファイルの目印（MOTW）」の保護の回避（CVSS v3.1 8.8）— 10月の更新プログラムを適用、届いたファイルは安易に開かない

Microsoftが2026年10月13日の月例更新で、Windows Shellの脆弱性CVE-2026-96951を修正しました。ネットから来たファイルに付く目印「Mark of the Web（MOTW）」の防御を回避されるおそれがあり、Microsoftは悪用を確認済みとし、CISAも同日KEVに追加しています。CVSS v3.1は8.8（Microsoft評価）。Windows Updateで更新し、メールやチャットで届いたファイルを開く前に送り主へ確認してください。

セキュリティ2026/10/13

【緊急】Apache HTTP Server CVE-2026-57941 ほか計20件：2.4.69で修正（CVSS 9.8、Apache自身の評価は「中」）— 2.4.68以前は更新を

Apache HTTP Server 2.4.69 が2026年10月1日に公開され、20件の脆弱性が修正されました。NVDに載るCISAのCVSSは3件が9.8（CVE-2026-57941・56154・59797）ですが、Apache自身は20件を「中」5件・「低」15件と評価しており、CISAのKEVにも載っていません。2.4.68以前を動かしているなら 2.4.69 へ、OS付属のApacheなら版番号ではなくディストリビューションの修正状況で確認してください。

セキュリティ2026/10/12

【緊急】Movable Type CVE-2026-96408：認証なしでRCE・SQL実行（CVSS v4.0 9.3）— 9.3.0／9.0.10／8.8.6／8.0.13へ更新、できなければ mt-upgrade.cgi などを遮断

シックス・アパートのCMS「Movable Type」に、認証なしでリモートコード実行（RCE）や不正なSQLの実行につながる脆弱性（CVE-2026-96408）と、サイト内検索のSQLインジェクション（CVE-2026-103668）が10月7日に公表されました。CVSS v4.0 は 9.3（CRITICAL・JPCERT/CC評価）で、修正版が出ています。CISAのKEVには載っておらず、悪用の確認は公式資料にありません。更新するか、更新できなければ公式の緩和策で mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi を止めてください。

セキュリティ2026/10/09

【緊急】ProFTPD CVE-2015-3306 ほか古い脆弱性5件がCISAのKEVに追加：Struts・BIND・Strapi・ONLYOFFICEも古い版が残っていないか確認 — ProFTPDは認証なしでファイルを読み書きされる

CISAは2026年10月8日、2015〜2023年に公表された5件の脆弱性（ProFTPD・Apache Struts・ISC BIND・Strapi・ONLYOFFICE Docs）を既知の悪用された脆弱性（KEV）へ追加しました。どれも修正版が長く出ているので、新しい穴ではなく「古い版が残っていないか」の問題です。自分のサーバーで該当製品が動いていないか棚卸しし、修正版以降へ更新してください。

セキュリティ2026/10/07

【緊急】Atlassian Data Center製品 CVE-2026-21589：全バージョンが影響 — 修正版へ更新し、できなければWAFで「..」を遮断

Confluence・Jira・Bitbucket などの Atlassian Data Center 製品に、認証なしでWebルート内のファイルを読まれる脆弱性（CVE-2026-21589）が10月5日に公表されました。Atlassianの評価は CVSS v4.0 の 9.3（CRITICAL）で、修正版が出ています。悪用の記載は公式アドバイザリにありません。修正版へ更新し、すぐに更新できない場合は、公式が示すWAFなどの暫定対策で「..」を含むURLを遮断してください。

セキュリティ2026/10/06

【緊急】Zammad CVE-2026-102490：悪用が確認されたroot昇格は10/8に7.2.2で修正 — DEB/RPM版は更新、6.5以前は即更新し、サーバーへの接続を絞る

オープンソースのヘルプデスク Zammad の2件の脆弱性（CVE-2026-102489 と CVE-2026-102490）が、連鎖で悪用された事案として10月2日にCISAのKEVへ追加されました。root昇格の CVE-2026-102490 は、10月8日に Zammad 7.2.2 で修正されました（10月6日の公開時点では修正版が未公開でした）。影響はDEB/RPMパッケージ（packager.io）の7.2.1以前で、ソースからの導入と公式コンテナイメージは影響を受けないとZammadのGitHubアドバイザリは書いています。Zammadは「7.0以降のRCEは実質的に影響なし、昇格は単独では遠隔から悪用できない」と説明しています。6.5以前は直ちに更新し、サーバーへの接続を信頼できる管理者に絞ってください。

セキュリティ2026/10/05

【緊急】NetScaler ADC/Gateway CVE-2026-88779：SAML構成なら 14.1-73.41 へ — 9/27の 73.37 では足りず、認証なしでDoS

NetScaler ADC / Gateway のメモリ破壊の脆弱性 CVE-2026-88779 が10月4日に公表され、CISAがKEVへ追加しました。影響は認証なしのサービス停止（DoS）で、前提は SAML SP または SAML IdP の構成です。修正は 14.1-73.41 / 13.1-64.28 以降。9月27日の8件に備えて 73.37 や 64.23 へ上げた機器も、再度の更新が必要です。

セキュリティ2026/09/30

【注意】富士フイルム・シャープ複合機 CVE-2026-78249：対策済みファームへ更新し管理者パスワードを変更 — 機器内部の重要な情報が読み出される

富士フイルムビジネスイノベーション製とシャープ製の複合機に、パストラバーサルの脆弱性 CVE-2026-78249 が公表されました。今すぐ行うのは、対象機種を対策済みファームウェアへ更新し、管理者パスワードを初期値から変えることです。攻撃には管理画面へログインできることが前提です。シャープの対象は北米向け2機種、富士フイルムは28行。対策版は19行が1.50.6、9系列は別番号です。

セキュリティ2026/09/29

【修正版なし】Authlib CVE-2026-96760：JWSのJSON形式で署名検証が丸ごと飛ぶ — 1.8.0も未修正、deserialize()を避けて回避する

PythonのAuthlibに、署名の無いJWSを「検証済み」として返す脆弱性が公表されました（CVE-2026-96760）。鍵も署名も要りません。2026年9月29日時点で修正版は出ておらず、CVEが挙げる1.7.2より新しい1.8.0でも該当コードは変わっていません。ただし通る経路は限られており、JWTのdecodeは影響を受けません。

セキュリティ2026/09/28

【対象は2機種】バッファロー WSR-300HP・WEX-G300 CVE-2026-86530：判断は版番号で、Ver.2.55／Ver.1.71 より前なら今日更新

バッファロー製Wi-Fi製品の設定画面に2件の脆弱性が公表されました（JVNVU#94863997）。対象はWSR-300HPとWEX-G300の2機種だけで、対策ファームウェアは8月25日と9月3日にすでに公開されています。自動更新は初期設定で有効で、版が対策版以降になっていればそれで終わりです。判断の基準は版番号です。Ver.2.55／Ver.1.71 より前なら、理由が何であれ今日更新してください。

セキュリティ2026/09/24

【緊急】F5 BIG-IP APM CVE-2026-94127：OAuth認可サーバ構成なら今日対処 — 認証不要でリモートコード実行、CISAの期限は9月25日

F5 BIG-IP APM に認証不要でリモートコード実行が可能な脆弱性が見つかり、2026年9月22日にCISAのKEVへ追加されました。期限は9月25日です。ただし影響するのは「OAuth認可サーバ」として構成した場合だけで、OAuthクライアントとしてのみ使っている構成は対象外です。

セキュリティ2026/09/23

【緊急】Zyxel GS1900スイッチ CVE-2026-7273：10機種のファームウェアを即更新 — 48か国996台が侵入済み、うち564台は初期パスワードのまま

Zyxelが2026年6月16日に修正版を出していたGS1900シリーズの脆弱性が、9月21日にCISAのKEVへ追加されました。48か国996台が実際に侵入されており、うち564台は出荷時の認証情報のままでした。影響10機種と修正版を公式の表から一覧にします。

セキュリティ2026/09/21

【緊急】Linuxカーネル CVE-2025-39682：kTLSを使っているなら即更新 — 9月18日のKEV追加は3件、期限は本日9月21日

CISAが9月18日にKEVへ追加したLinuxカーネルの脆弱性は3件で、当サイトは9月18日の記事で2件しか扱っていませんでした。3件目のCVE-2025-39682はカーネルTLS（kTLS）の受信経路の欠陥で、期限は本日9月21日です。評価はkernel.org 9.8、NIST 7.1、Red Hat 7.0と3者で割れています。

セキュリティ2026/09/18

【緊急】Linuxカーネル CVE-2025-39964／CVE-2026-53266：カーネル更新後に再起動を — 悪用確認済み、期限は9月21日

CISAが2026年9月18日、Linuxカーネルの3件を悪用確認済みとしてKEVへ追加しました。本記事が扱うのはそのうち2件です（3件目は別記事）。片方はNVDでNISTが5.5 MEDIUM、カーネル側が7.8 HIGHと評価が割れています。対処は、自分の版とカーネル種別が修正済みかを確かめたうえで更新し、再起動することです。

セキュリティ2026/09/17

【緊急】Google Pixel CVE-2026-58704：パッチレベル2026-09-05以降へ — モデムの権限バイパスが標的型攻撃で悪用

Googleは9月15日のPixel Update Bulletinで、セルラーモデムの権限バイパス CVE-2026-58704 を修正し、「限定的かつ標的を絞った悪用の兆候がある」と明記しました。CISAは9月16日にKEVへ追加。対処はセキュリティパッチレベルを2026-09-05以降にすることです。

セキュリティ2026/09/16

【緊急】JetFormBuilder CVE-2026-12793：3.6.5.3へ即更新 — 未認証で管理者アカウントを作られる

WordPressのフォームプラグインJetFormBuilder（有効インストール約8万件）に、認証なしで管理者アカウントを作成できる欠陥が見つかりました。CVSS v3.1で9.8 CRITICAL。このCVE自体は3.6.2.1で修正済みですが、9月に別の脆弱性が5件出ており、6件すべてを塞ぐには3.6.5.2以降が必要です。

セキュリティ2026/09/15

【緊急】Cisco Secure Email Gateway CVE-2026-76461：16.5.0-780へ即更新 — メールが届くだけでroot権限を奪われる

Cisco Secure Email Gatewayに、細工したメールを送りつけるだけで、認証なしにroot権限でコマンドを実行できる欠陥が見つかりました。CVSS v3.1で9.8 CRITICAL。Cisco自身が「2026年9月に実際の悪用を確認した」と書いており、回避策はありません。

セキュリティ2026/09/14

【緊急】GitLab CVE-2026-85706：19.1.8／19.2.6／19.3.2へ即更新 — 未認証の任意ファイル読み取り、悪用確認済み

自社で運用するGitLabに、未認証の攻撃者がサーバー上の任意のファイルを読み取れる欠陥が見つかりました。CVE-2026-85706、GitLab評価でCVSS v3.1 10.0 CRITICAL。CISAは2026年9月11日に「悪用が確認された脆弱性」として登録しています。修正版は19.1.8／19.2.6／19.3.2です。

セキュリティ2026/09/11

【緊急】miniOrange 2FA CVE-2026-77770：6.3.1へ即更新 — 未認証で全管理者が締め出される

WordPressの二要素認証プラグイン miniOrange 2FA に、未認証の誰でもサイトの設定値（option）を任意に削除できる欠陥が見つかりました。WPScanの評価は CVSS v3.1 で 10.0 CRITICAL。修正版は無料版 6.3.1／Pro 19.3 で、実証コードは2026年10月8日に公開が予告されています。

セキュリティ2026/09/10

【緊急】Chrome CVE-2026-87491：153.0.8010.36へ更新 — V8ゼロデイが実際に悪用中

GoogleがChrome 153（153.0.8010.36）を公開し、V8の境界外書き込み CVE-2026-87491 を修正しました。Googleの深刻度評価は「Medium」ですが、公式リリースノートに悪用の存在が明記され、CISAは2026年9月23日を期限に対処を求めており、Edge・Operaなど他のChromium系ブラウザも対象です。

セキュリティ2026/09/09

【緊急】Google ADK for Python CVE-2026-79696：2.7.0以降へ更新 — adk webで未認証のコード実行

GoogleのAIエージェント開発キット google-adk 2.0.0〜2.6.0 に、CVSS 10.0 のコード実行があります。pytestが入った環境の adk web に、細工したテストセッションの再生を送られると、未認証で任意コードを実行されます。修正は2.7.0。2.6.1〜2.6.3も未修正であることをソースで確認しました。

セキュリティ2026/09/08

【緊急】Frontend Admin by DynamiApps CVE-2026-75816：3.29.13へ今すぐ更新 — 未認証で管理者を乗っ取られる

WordPressプラグイン「Frontend Admin by DynamiApps」の3.29.12以前に、CVSS 9.8の認証バイパスがあります。未認証の攻撃者が管理者のメールアドレスを書き換え、パスワード再設定で乗っ取れる欠陥です。修正版3.29.13は8月25日に公開済み。有効インストールは約9,000件です。

セキュリティ2026/09/07

Oracle HTTP Server／WebLogic Proxy Plug-in：使用コンポーネントとパッチ適用状況の確認表

OHS、Apache向けプラグイン、WebLogic本体を分けて棚卸し。Oracle Homeの適用履歴、実際の参照先、更新後の確認結果を担当者へ渡せる形に整理します。

セキュリティ2026/09/04

【緊急】MapLibre GL JS CVE-2026-85061：6.4.1以降へ更新 — 地図を開くだけで発火するXSS

地図ライブラリ MapLibre GL JS の 6.4.0 以前に、CVSS 10.0 の XSS があります。サニタイズ処理が危険な属性を1つ飛ばして通してしまい、地図の帰属表示を描画した時点でスクリプトが動きます。npm の maplibre-gl を 6.4.1 以降へ更新してください。

セキュリティ2026/09/03

【緊急】LiteLLM CVE-2026-59822：1.84.0へ今すぐ更新 — 悪用確認済みのMCP認証バイパス

CISAが2026年9月2日、LiteLLMのMCP認証バイパスとStarletteのHostヘッダ検証不備を悪用確認済みリスト（KEV）へ追加しました。LiteLLMは1.84.0、Starletteは1.0.1へ更新してください。CVSS 6.5のStarletteも悪用確認済みに含まれています。

セキュリティ2026/09/02

【緊急】Amelia（WordPress予約プラグイン）CVE-2026-9055：9.6.3以降へ更新 — 未認証で管理者アカウントを奪われる

WordPressの予約プラグイン Amelia の Premium 版 8.0〜9.6.2 に、ログインしていない攻撃者が管理者のパスワードを書き換えて乗っ取れる脆弱性（CVE-2026-9055、CVSS v3.1 で 9.8 CRITICAL）が公開されました。修正は 9.6.3 で、最新版は 9.8.1 です。無料版とは版数体系が違うため、まず管理画面でバージョン番号を確認してください。

セキュリティ2026/09/01

【緊急】PaperCut NG/MF CVE-2026-81578：緊急パッチRelease 3を今すぐ適用 — 悪用確認済みの認証回避からRCEへの連鎖

PaperCut NG/MF の CVE-2026-81578 と CVE-2026-82078。今すぐ管理画面へのインターネットからのアクセスを制限し、緊急パッチ Release 3 を適用してください。2つを連鎖させた攻撃が実際に発生し、2026年8月31日にCISAの悪用確認済みリストへ追加されています。バージョン番号では安全か判断できません。

セキュリティ2026/08/31

【注意】Nodemailer CVE-2026-82854：8.0.4以降へ更新 — envelope.sizeからのSMTPコマンド注入

Node.jsのメール送信ライブラリNodemailerに、envelope.sizeを経由してSMTPコマンドを注入される脆弱性。ただし既定設定では発生せず、評価もLOWとCRITICALに割れています。自分が影響を受けるかの判定方法と対処をまとめます。

セキュリティ2026/08/28

【緊急】JFrog Artifactory CVE-2026-66384：7.146.35／7.161.16へ更新 — 悪用確認済みのイメージキャッシュ汚染

認証済みユーザーがDockerキャッシュの想定外の場所へ書き込める脆弱性。信頼されたイメージ名で偽イメージがキャッシュされます。CVSSは5.3ですが実際に悪用され、CISAのKEVに追加されました。

セキュリティ2026/08/27

【緊急】Gitea CVE-2026-60004：1.27.1へ今すぐ更新 — 悪用確認済みのリモートコード実行

自己ホスト型GitサービスGiteaの1.17〜1.27.0に、diffpatch APIからGitフックを仕込んでコマンドを実行される脆弱性。CISAが8月25日にKEVへ追加し是正期限は8月28日。影響版・攻撃条件・確認手順を一次情報で整理します。

セキュリティ2026/08/16

Kubernetes ingress-nginx CVE-2026-4342：攻撃条件と修正版を正確に確認

Ingress annotationを作成・変更できる低権限ユーザーが起点となるCVE-2026-4342。影響版、修正版、Secret漏えいとコード実行の条件を公式情報で整理します。

セキュリティ2026/08/14

Metabase CVE-2026-72898：実悪用中のSQLインジェクションを修正

認証不要のSQLインジェクションからMetabase管理者権限を取得される恐れがあります。系列ごとの修正版へ更新し、公式手順で侵害確認を行ってください。

セキュリティ2026/08/13

【訂正】WordPress 7.0.2セキュリティリリース：対象CVEと更新手順

旧記事のCVE番号とWordPress 7.0.4という記載は誤りでした。公式発表に基づき、7.0.2とCVE-2026-60137／63030の情報へ訂正します。

セキュリティ2026/08/12

【訂正】SharePoint CVE-2026-55040／63520：影響と悪用状況を整理

CriticalのセキュリティバイパスとHighのRCEです。一方、公開時点で実悪用確認済みとはされていません。製品別更新を速やかに適用してください。

セキュリティ2026/08/03

N-able N-central CVE-2026-18577：Hotfix 2（2026.3.1.10）へ更新

旧Hotfix 1は追加対策で置き換えられました。オンプレミス版は2026.3.1.10を適用し、認証バイパスの実悪用を前提に侵害調査を行ってください。

セキュリティ2026/08/02

【訂正】Linux Kernel CVE-2026-64535ほか：影響機能と修正版の確認

NVMe/TCP、SMC、SCTPの3件を一律にCVSS 9.8のリモートRCEとする根拠はありません。公式CVE告知に基づき、影響と更新判断を訂正します。

セキュリティ2026/08/01

【緊急】WordPressプラグイン ARVE CVE-2026-18072：直ちに削除 — 認証バイパスによる管理者権限奪取の恐れ

WordPressプラグイン「Advanced Responsive Video Embedder (ARVE)」バージョン10.8.7に緊急のバックドアCVE-2026-18072が発見されました。該当プラグインを直ちに削除してください。

セキュリティ2026/07/31

【注意喚起】今週実践すべきセキュリティ設定チェックリスト：Webサービスを堅牢にするために — 開発者向け

毎週のルーティンに組み込みたい、Webサービス開発者が実践すべきセキュリティ設定チェックリスト。今すぐ確認し、安全な運用を維持しましょう。

セキュリティ2026/07/29

【緊急】Arista VeloCloud Orchestrator CVE-2026-16812：修正版へ更新 — On-Prem版で認証不要の重大な侵害

Arista VeloCloud Orchestrator On-PremのCVE-2026-16812は、認証なしで内部の特権機能へ到達される脆弱性です。CVSS v3.1は10.0。利用中の系列に対応する修正版へ直ちに更新してください。

セキュリティ2026/07/27

【緊急】Microsoft .NET CVE-2026-47304：セキュリティ更新プログラム適用 — 機密性・完全性・可用性への深刻な影響

Microsoft .NETおよびVisual Studioに認証不要でセキュリティ機能をバイパスできる緊急の脆弱性CVE-2026-47304が発覚。直ちに修正版への更新が必須です。

セキュリティ2026/07/26

【緊急】OpenRemote CVE-2026-66013：更新で認証バイパスを解決 — IoTコンソール乗っ取りの恐れ

OpenRemote 1.26.2より前のバージョンに認証バイパス脆弱性（CVE-2026-66013）が発覚。未認証の攻撃者がコンソールアセットを更新し、通知を乗っ取る恐れがあるため、直ちに修正版への更新が必要です。

セキュリティ2026/07/24

【基本対策】継続して実践するセキュリティ設定チェックリスト

更新、MFA、最小権限、バックアップ、ログ監視を継続的に確認するための運用チェックリストです。組織の構成とリスクに合わせて優先順位を決めましょう。

セキュリティ2026/07/18

【緊急】WordPress CVE-2026-63030：REST APIの問題と修正版への更新

REST APIのバッチルート混同とSQLインジェクションにより、リモートコード実行につながる問題です。6.9系は6.9.5、7.0系は7.0.2以降の修正版を確認してください。

セキュリティ2026/07/17

【緊急】SharePoint Server CVE-2026-56164／CVE-2026-58644：CVE別の更新を適用

SharePoint Serverの認証欠如による権限昇格CVE-2026-56164と、逆シリアル化によるRCE CVE-2026-58644を区別し、それぞれの修正版へ更新します。Microsoft評価は5.3 MEDIUMと9.8 CRITICALです。

セキュリティ2026/07/16

【緊急】NGINX CVE-2026-42533：1.30.4／1.31.3以降へ更新 — DoS、条件付きでコード実行

NGINXのmap正規表現処理にヒープバッファオーバーフローがあります。通常はワーカープロセスの再起動によるDoS、ASLR無効または回避時にはコード実行のおそれがあるため修正版へ更新してください。

セキュリティ2026/07/13

【注意】Cisco IOS CVE-2008-4128：HTTP管理を停止・制限しEoL機器を更新

Cisco 871のIOS 12.4 HTTP管理機能には、ログイン済み管理者を悪用するCSRFがあります。HTTP管理を停止または制限し、サポート対象機器へ移行してください。

セキュリティ2026/07/12

【訂正】Linux KVM CVE-2026-53359：シャドーページングの解放後使用と更新対応

CVE-2026-53359はx86 KVMのシャドーページングに関する解放後使用です。ゲストからホストへの影響があり得るため、仮想化ホストの修正状況を確認してください。旧記事の成功率などは撤回しました。

セキュリティ2026/07/10

【訂正】Linux CVE-2026-43499：rtmutexのローカル権限昇格への対応

Linuxのrtmutex処理に解放後使用につながる不具合があります。ローカルでfutexを操作できる利用者が攻撃条件となるため、提供元の修正済みカーネルへ更新してください。

セキュリティ2026/07/08

【緊急】Adobe ColdFusionの深刻なパス・トラバーサル脆弱性（CVE-2026-48282）が実際に攻撃に悪用中 - 直ちにパッチ適用を

Adobe ColdFusionの重大なパス・トラバーサル脆弱性CVE-2026-48282が活発に悪用されています。CVSSスコア10.0のこの脆弱性に対し、直ちにパッチを適用してください。

セキュリティ2026/07/07

【緊急】NetScaler CVE-2026-8451：修正版へ更新 — SAML IdP構成でメモリ過読出し

NetScaler ADC/GatewayをSAML IdPとして構成した環境に、未認証で悪用できるメモリ過読出しがあります。CVSS v4.0は8.8 HIGH。該当ビルドを更新してください。

セキュリティ2026/07/02

【緊急】Microsoft SharePoint Serverに深刻なRCE脆弱性（CVE-2026-45659）が発覚、CISA KEVに追加

Microsoft SharePoint Serverに認証済みRCE脆弱性「CVE-2026-45659」がCISA KEVに追加されました。低権限ユーザーでもコード実行が可能であり、早急なパッチ適用が求められます。

セキュリティ2026/07/01

【緊急】WordPress「Offload, AI & Optimize with Cloudflare Images」CVE-2026-9860：修正版へ更新

Cloudflare社製ではないWordPressプラグインに、Author以上の認証済みユーザーがコードを実行できる脆弱性があります。1.10.2以下が影響を受けます。

セキュリティ2026/06/30

【緊急】Adobe ColdFusion CVE-2026-48276：2025 Update 10／2023 Update 21へ更新

ColdFusionの危険な種類のファイルを無制限にアップロードできる脆弱性は、認証や利用者操作なしでコード実行につながります。APSB26-68の修正版へ更新してください。

セキュリティ2026/06/29

【緊急】Linux kernel CVE-2026-46331：安定版カーネルへ更新 — tc peditによるローカル権限昇格

tc peditの部分的なCOW処理によりページキャッシュ破損が起きるローカル脆弱性です。CAP_NET_ADMINを得たローカル攻撃者を想定し、配布元の修正版カーネルへ更新してください。

セキュリティ2026/06/27

【緊急】Ultimate Member CVE-2026-7761：修正版へ更新 — Contributor以上でアカウント乗っ取り

Ultimate Member 2.11.4以下では、Contributor以上の攻撃者がパスワード再設定リンクを漏えいさせ、管理者を含むアカウントを奪取できる可能性があります。

セキュリティ2026/06/23

【緊急】Denoのネットワーク制限回避脆弱性(CVE-2026-49859)に厳重警戒！内部ネットワークへの不正アクセスを許す恐れ

Denoランタイムに、--deny-netルールを迂回し内部ネットワークへのアクセスを可能にする深刻な脆弱性が発見されました。直ちにバージョン2.8.1以上へのアップデートが必要です。

セキュリティ2026/06/23

【緊急】ShapedPluginサプライチェーン侵害：3製品の修正版を確認 — CVE-2026-10735／49777

侵害された更新サーバーから3つのProプラグインへ悪性コードが配布されました。製品ごとの修正版へ更新し、認証情報を交換して侵害調査を行ってください。

セキュリティ2026/06/18

【緊急】Joomla JCE CVE-2026-48907：修正版または公式パッチを適用 — 未認証RCE

JCE 1.0.0〜2.9.99.4では、未認証で編集プロファイルを作成しPHPをアップロード・実行できる可能性があります。JCE公式の修正版または旧版向けパッチを適用してください。

セキュリティ2026/06/16

【緊急】WordPress人気プラグイン「eCommerce Product Catalog」に認証不要の深刻なSQLインジェクション脆弱性

WordPressプラグイン「eCommerce Product Catalog」のバージョン3.5.5以下に、認証なしでデータベースを操作可能な深刻なSQLインジェクション脆弱性が発見されました。早急なアップデートが必須です。

セキュリティ2026/06/15

【緊急】PDF処理アプリケーションのJavaScriptエンジンにリモートコード実行の脆弱性（CVE-2026-12057）

PDFファイルに埋め込まれたJavaScriptを処理するアプリケーションに深刻な脆弱性が発見されました。細工されたPDFにより任意のコードが実行される可能性があります。

セキュリティ2026/06/14

【緊急】PHPアプリケーションに認証不備の脆弱性！管理者権限を奪われる恐れ（CVE-2026-12183）

Nefteprodukttekhnika BUK TS-GのPHPアプリケーションで認証不備の脆弱性が発覚。リモートの認証されていない攻撃者が管理者権限を奪取し、システムを操作する可能性があります。

セキュリティ2026/06/13

【緊急】Oracle PeopleSoftにゼロデイRCE脆弱性、大学など100超の組織が標的に

Oracle PeopleSoft Enterprise PeopleToolsに認証なしでリモートコード実行が可能な深刻な脆弱性(CVSS 9.8)が発見され、ゼロデイ攻撃で多数の組織が侵害されています。早急なパッチ適用とアクセス制限が必要です。

セキュリティ2026/06/12

【緊急】Ivanti Sentryに認証不要のOSコマンドインジェクション脆弱性(CVE-2026-10520)が発覚、即時パッチ適用を！

Ivanti Sentryの認証不要なOSコマンドインジェクション脆弱性が緊急公開。CVSS 10.0の深刻度で、既に悪用が確認されています。緊急のパッチ適用とアクセス制限が必須です。

セキュリティ2026/06/11

【緊急】WordPressプラグイン「UpdraftPlus」に認証バイパスRCE（CVE-2026-10795）、1.26.5以降へ更新を

WordPressのバックアッププラグイン「UpdraftPlus」1.26.4以前に、認証なしで管理者として操作を実行できる脆弱性（CVE-2026-10795）があります。無料版は1.26.5以降へ更新してください。

セキュリティ2026/06/10

【緊急】Check Point VPN CVE-2026-50751：sk185033のHotfixを適用 — IKEv1で認証回避

非推奨IKEv1の証明書検証ロジックにより、未認証攻撃者が有効なパスワードなしでRemote Access VPN接続を確立できる可能性があります。

セキュリティ2026/06/09

【緊急】Chrome V8 CVE-2026-11645：149.0.7827.103以降へ更新

Chrome 149.0.7827.103未満のV8に境界外読書きがあり、細工したHTMLでサンドボックス内のコード実行につながります。Google公式修正版へ更新してください。

セキュリティ2026/06/08

【緊急】Apache HTTP Serverのmod_httpにサービス拒否の脆弱性(CVE-2026-49975)が発見、緊急アップデート推奨

Apache HTTP Serverのmod_httpモジュールにサービス拒否（DoS）につながる深刻な脆弱性「CVE-2026-49975」が公表されました。バージョン2.4.17から2.4.67が影響を受け、速やかなアップデートが推奨されます。

セキュリティ2026/06/06

【緊急】HTTP/2 Bomb CVE-2026-49975：Nginx 1.29.8／Apache 2.4.68以降へ更新 — リモートDoS

HTTP/2のHPACK圧縮とフロー制御を組み合わせ、少ない通信量でサーバー資源を大量消費させるCVE-2026-49975です。CVSS v3.1は7.5 HIGH。製品別の修正版または公式緩和策を適用してください。

セキュリティ2026/06/05

【緊急】Everest Forms Pro CVE-2026-3300とPHP CVE-2025-14179：各修正版へ更新

Everest Forms Proの未認証RCEと、PDO FirebirdのSQLインジェクションは別の脆弱性です。前者はCVSS v3.1 9.8、後者はCVSS v4.0 7.4です。

セキュリティ2026/06/04

【緊急】Mirasvit Cache Warmer CVE-2026-45247：1.11.12以降へ更新 — 未認証RCE

Magento 2向けFull Page Cache Warmer 1.11.12未満は、CacheWarmer cookieの安全でない逆シリアル化により未認証RCEが可能です。

セキュリティ2026/06/03

【緊急】WP Maps Pro CVE-2026-8732：修正版へ更新 — 未認証で管理者作成

WP Maps Pro 6.1.0以下では、公開されたnonceと一時アクセス処理を悪用して未認証で管理者を作成できます。6.1.1以上へ更新してください。

セキュリティ2026/06/02

【緊急】WP Maps Pro CVE-2026-8732：修正版へ更新 — 未認証で管理者作成

WP Maps Pro 6.1.0以下では、公開されたnonceと一時アクセス処理を悪用して未認証で管理者を作成できます。6.1.1以上へ更新してください。

セキュリティ2026/06/01

【緊急】Plesk for Linux CVE-2026-44962：18.0.75.1／18.0.76.2以降へ更新

APS Application Catalog検索のXPathインジェクションにより、低権限の認証済みユーザーがOSコマンドを実行できる可能性があります。CVSS v3.1は9.9です。

セキュリティ2026/05/31

【緊急】Palo Alto Networks PAN-OS GlobalProtectに認証バイパスの深刻な脆弱性、即時対策を

Palo Alto NetworksのPAN-OS GlobalProtectにCVE-2026-0257として認証バイパスの脆弱性が公表され、既に悪用が確認されています。緊急のパッチ適用と緩和策が必須です。