VULNERABILITY
脆弱性情報
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
20件の記事
ARTICLES
脆弱性の一覧
新着順・1〜15件を表示
並べ替え・絞り込み 新着順 / 悪用：確認済み
-
2.7
LOW
VMware ESX 8.0／9.0／9.1、VMware Cloud Foundation 5.x、VMware Telco Cloud Platform 5.0.x／5.1.x
管理権限を持つ攻撃者が一部操作をログへ記録させずに実行でき、侵害後の監査や調査に影響する。
-
8.6
HIGH
Cisco Secure Firewall ASA Software（脆弱な版でSSL VPNに到達でき対象トンネルグループに二次認証を設定した構成）、Cisco Secure Firewall Threat Defense Software（同条件のリモートアクセスSSL VPN構成）
認証不要の遠隔攻撃により機器が予期せず再起動しサービス拒否に至る。Cisco PSIRTは2026年10月に悪用を把握。
-
9.6
CRITICAL
Adobe Commerce／Magento Open Source：APSB26-73の対象版と未適用の月次セキュリティパッチを確認
危険な種類のファイルのアップロード制限不備。Adobeは認証不要・利用者操作ありの条件で権限昇格を評価し、CISAは悪用確認済みとしてKEVへ登録。
-
9.2
CRITICAL
PythonパッケージBrotli：1.0.3以上1.2.1未満、Pythonパッケージbrotlicffi：1.0.3以上1.2.1.0未満、対象パッケージを使ってBrotli応答を解凍するRequests・urllib3利用環境
攻撃者が制御するBrotli圧縮データが脆弱なデコーダーへ届くと、メモリー開示、サービス妨害、任意コード実行につながる可能性があります。Python環境の実被害は確認した資料から確定していません。
-
—
HIGH
Vercel上で稼働するNode.jsアプリケーション、Vercelから接続する自前のNode.jsバックエンド、外部のBrotli圧縮応答を解凍する処理
攻撃者が制御するBrotli圧縮データを脆弱なNode.jsで解凍すると、メモリー開示やリモートコード実行につながる可能性があります。Vercelの受信WAFは、関数が外部サーバーから取得する応答を保護しません。
-
9.2
CRITICAL
PHP 8.2系列の8.2.35未満、PHP 8.3系列の8.3.36未満、PHP 8.4系列の8.4.27未満、PHP 8.5系列の8.5.12未満
認証不要のリモートコード実行につながる可能性。FortiWeb向け専用署名は公開済みだが、受信後にAlert Onlyから意図した遮断動作へ切り替える確認が必要。
-
9.2
CRITICAL
Collabora Online内蔵CODEサーバー（richdocumentscode）26.4.303未満
内蔵CODEが停止中にproxy.php経由で認証なしのOSコマンド実行が可能。実行権限はWebサーバーユーザー。Standalone Collabora Onlineは対象外。9月11日の公開Issueに被害利用者のWebシェル設置報告がある。
-
9.2
CRITICAL
PHP 8.5系列の8.5.12未満、PHP 8.4系列の8.4.27未満、PHP 8.3系列の8.3.36未満、PHP 8.2系列の8.2.35未満
認証なしの攻撃者がPHPのWebワーカープロセスの権限で任意のコードを実行できる可能性がある。JPCERT/CCはCookie、multipart要求、メモリエラー、HTTP 500、ワーカー異常終了を含む侵害調査を推奨している。
-
9.2
CRITICAL
PHP
PHPワーカー権限での認証不要RCEやメモリー開示。AWSが公表前の攻撃試行と公表後の実環境での悪用を報告。各試行の成功や個別顧客の侵害は別途確認が必要。
-
—
HIGH
Node.js 22.x、Node.js 24.x、Node.js 26.x
Brotliデコーダーの境界外書き込みによるRCE、DNS・TLS検証の不備、スナップショットやSEAでの乱数再利用、権限モデル回避など。影響条件は利用API・系列・入力経路によって異なる。 CISAの悪用確認はBrotliのCVE-2026-111497が対象であり、他の掲載CVEや特定のNode.js環境の侵害を示すものではありません。
-
9.2
CRITICAL
PHP 8.2系列の8.2.35未満、PHP 8.3系列の8.3.36未満、PHP 8.4系列の8.4.27未満、PHP 8.5系列の8.5.12未満
認証なしの遠隔コード実行。mod_phpでアプリケーション開始前の攻撃を実証。FPMにも条件付きの実証経路がある。
-
—
HIGH
Plex Media Server 1.43.3.10861より前
4件を連鎖させることで未認証の遠隔攻撃者がPlex Media Serverプロセスの権限でコードを実行できる可能性があり、マイナーやプロキシソフトウェアの稼働が確認されている。
-
8.4
HIGH
Siemens Software Center 4.0.9.8未満
制御されていない場所のDLLを読み込み、影響を受けるアプリケーションの権限で任意コードが実行される可能性。署名付きの正規実行ファイルと攻撃者のDLLを組み合わせた悪用をSiemensが2026年10月19日に確認・公表。
-
8.6
HIGH
Ivanti Connect Secure
CVE-2026-104935：認証不要の遠隔コマンド実行。権限昇格と組み合わせた悪用を調査元が報告。別CVE-2026-111357の悪用報告も公的機関が10月16日に追記。スコアと修正状況は104935のみ。
-
—
N/A
Microsoft Windows シェル
Windowsシェルのセキュリティ機能バイパス。IPAはMicrosoftが悪用を確認済みと公表している旨を注意喚起。対象OS一覧とCVSSは今回の取得環境では未確認。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク