VULNERABILITY
脆弱性情報
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
7件の記事
ARTICLES
脆弱性の一覧
新着順・1〜7件を表示
並べ替え・絞り込み 新着順 / 深刻度：高 / 悪用：確認済み / 修正：提供済み
-
8.6
HIGH
Cisco Secure Firewall ASA Software（脆弱な版でSSL VPNに到達でき対象トンネルグループに二次認証を設定した構成）、Cisco Secure Firewall Threat Defense Software（同条件のリモートアクセスSSL VPN構成）
認証不要の遠隔攻撃により機器が予期せず再起動しサービス拒否に至る。Cisco PSIRTは2026年10月に悪用を把握。
-
—
HIGH
Vercel上で稼働するNode.jsアプリケーション、Vercelから接続する自前のNode.jsバックエンド、外部のBrotli圧縮応答を解凍する処理
攻撃者が制御するBrotli圧縮データを脆弱なNode.jsで解凍すると、メモリー開示やリモートコード実行につながる可能性があります。Vercelの受信WAFは、関数が外部サーバーから取得する応答を保護しません。
-
—
HIGH
Node.js 22.x、Node.js 24.x、Node.js 26.x
Brotliデコーダーの境界外書き込みによるRCE、DNS・TLS検証の不備、スナップショットやSEAでの乱数再利用、権限モデル回避など。影響条件は利用API・系列・入力経路によって異なる。 CISAの悪用確認はBrotliのCVE-2026-111497が対象であり、他の掲載CVEや特定のNode.js環境の侵害を示すものではありません。
-
—
HIGH
Plex Media Server 1.43.3.10861より前
4件を連鎖させることで未認証の遠隔攻撃者がPlex Media Serverプロセスの権限でコードを実行できる可能性があり、マイナーやプロキシソフトウェアの稼働が確認されている。
-
8.4
HIGH
Siemens Software Center 4.0.9.8未満
制御されていない場所のDLLを読み込み、影響を受けるアプリケーションの権限で任意コードが実行される可能性。署名付きの正規実行ファイルと攻撃者のDLLを組み合わせた悪用をSiemensが2026年10月19日に確認・公表。
-
8.6
HIGH
Ivanti Connect Secure
CVE-2026-104935：認証不要の遠隔コマンド実行。権限昇格と組み合わせた悪用を調査元が報告。別CVE-2026-111357の悪用報告も公的機関が10月16日に追記。スコアと修正状況は104935のみ。
-
8.6
HIGH
Palo Alto Networks PAN-OS（PAシリーズ・VMシリーズ）、Palo Alto Networks Panorama（仮想版・Mシリーズ）
管理インターフェースへネットワーク到達性と必要な高い権限を持つ認証済み攻撃者によるroot権限での任意コード実行。提供元は悪用を非常に限定的と説明。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク