CATEGORY
脆弱性
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
7件の記事
ARTICLES
記事一覧
新着順・1〜7件を表示
並べ替え・絞り込み 新着順 / 深刻度：高 / 悪用：確認済み
-
8.6
HIGH
Cisco Secure Firewall ASA Software（脆弱な版でSSL VPNに到達でき対象トンネルグループに二次認証を設定した構成）、Cisco Secure Firewall Threat Defense Software（同条件のリモートアクセスSSL VPN構成）
認証不要の遠隔攻撃により機器が予期せず再起動しサービス拒否に至る。Cisco PSIRTは2026年10月に悪用を把握。
-
—
HIGH
Vercel上で稼働するNode.jsアプリケーション、Vercelから接続する自前のNode.jsバックエンド、外部のBrotli圧縮応答を解凍する処理
攻撃者が制御するBrotli圧縮データを脆弱なNode.jsで解凍すると、メモリー開示やリモートコード実行につながる可能性があります。Vercelの受信WAFは、関数が外部サーバーから取得する応答を保護しません。
-
—
HIGH
Node.js 22.x、Node.js 24.x、Node.js 26.x
Brotliデコーダーの境界外書き込みによるRCE、DNS・TLS検証の不備、スナップショットやSEAでの乱数再利用、権限モデル回避など。影響条件は利用API・系列・入力経路によって異なる。 CISAの悪用確認はBrotliのCVE-2026-111497が対象であり、他の掲載CVEや特定のNode.js環境の侵害を示すものではありません。
-
—
HIGH
Plex Media Server 1.43.3.10861より前
4件を連鎖させることで未認証の遠隔攻撃者がPlex Media Serverプロセスの権限でコードを実行できる可能性があり、マイナーやプロキシソフトウェアの稼働が確認されている。
-
8.4
HIGH
Siemens Software Center 4.0.9.8未満
制御されていない場所のDLLを読み込み、影響を受けるアプリケーションの権限で任意コードが実行される可能性。署名付きの正規実行ファイルと攻撃者のDLLを組み合わせた悪用をSiemensが2026年10月19日に確認・公表。
-
8.6
HIGH
Ivanti Connect Secure
CVE-2026-104935は認証不要の遠隔コマンド実行。CVE-2026-111357はdsinvokedによるDSCache設定データの信頼処理の不備からroot権限へ昇格し、CVSS v3.1の条件はローカル・低権限・高複雑度・利用者操作不要。表示スコア8.6は104935のみで、111357の7.0とは別。 CISA KEVはCVE-2026-118527について、認証済みの遠隔攻撃者による既知のディスク位置への任意内容ファイルのアップロードと、3件の連鎖を説明しています。
-
8.6
HIGH
Palo Alto Networks PAN-OS（PAシリーズ・VMシリーズ）、Palo Alto Networks Panorama（仮想版・Mシリーズ）
管理インターフェースへネットワーク到達性と必要な高い権限を持つ認証済み攻撃者によるroot権限での任意コード実行。提供元は悪用を非常に限定的と説明。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク