VULNERABILITY
脆弱性情報
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
90件の記事
ARTICLES
脆弱性の一覧
新着順・61〜75件を表示
並べ替え・絞り込み 新着順 / 修正：提供済み
-
—
CRITICAL
Docker Hub
Dockerは2026年10月12日、Docker Hubで個人アカウントを組織へ変換するとき、Personal Access Token（PAT）が新しい所有者へ移っていた問題を公表しました。CVE-2026-105445として管理されています。9月30日に報告を受けて同日修正し、10月2日に対象者へ通知、10月8日に一部の例外を除いて対象PATを無効化したと説明しています。
-
—
N/A
Oracle製品
Oracleは2026年10月20日、10月のCritical Patch Update（CPU）を公開しました。公式勧告は製品群全体で1,295件の新しいセキュリティパッチを含むと説明し、サポート中のバージョンを使い、修正を遅滞なく適用するよう求めています。これは単一製品に1,295件の問題があるという意味ではありません。自社の製品、部品、構成に対応する行を読む必要があります。
-
—
N/A
Apache Tomcat 11、Apache Tomcat 10.1、Apache Tomcat 9
影響する系統と構成により、AJPまたはHTTP/2での応答混在による情報漏えい、JNDIRealmの特定SASL構成での認証回避、TLS・FIPS・JSTL・Unix Domain Socketに関する不具合が生じる可能性があります。
-
—
HIGH
Plex Media Server 1.43.3.10861より前
4件を連鎖させることで未認証の遠隔攻撃者がPlex Media Serverプロセスの権限でコードを実行できる可能性があり、マイナーやプロキシソフトウェアの稼働が確認されている。
-
—
HIGH
Firefox、Firefox ESR、Network Security Services（NSS）
侵害されたeMudhra中間証明書に関係する偽のHTTPS証明書を、通信を横取りできる攻撃者が悪用するおそれ。OneCRL未受信環境にも更新で対策を配布。
-
9.3
CRITICAL
Linux kernel IPv4処理、さくらのクラウド（新規プロジェクト作成停止・メンテナンス予定の告知対象）
LinuxカーネルのIPv4処理で不正なチェックサムメタデータによりネットワークヘッダーが破壊される可能性。さくらのクラウドは新規プロジェクト作成を一時停止し保守予定を案内。既存リソースの稼働に作成停止による影響はないと説明。
-
8.4
HIGH
Siemens Software Center 4.0.9.8未満
制御されていない場所のDLLを読み込み、影響を受けるアプリケーションの権限で任意コードが実行される可能性。署名付きの正規実行ファイルと攻撃者のDLLを組み合わせた悪用をSiemensが2026年10月19日に確認・公表。
-
—
CRITICAL
Drupal本体のField UI機能、Drupal Entity List
他の拡張や独自コードとの組み合わせによりリモートコード実行の可能性。少なくとも一つの既知の経路は認証不要。Drupal独自評価は両件Critical 19/25で、CVSSではない。
-
—
MEDIUM
NGINX Open Source
設定条件によりバッファーオーバーフロー、解放後使用、HTTP/3本文注入・サイズ制限回避、TLSセッション偽造の可能性。影響範囲はCVEごとに異なる。深刻度mediumはnginx.orgの評価。
-
—
N/A
libX11、libXi、libXpm、libXrender、libXtst
X.Orgは5種類のXクライアントライブラリーに関する境界外の読み書きや無限ループなどを公表。影響条件は悪意あるXサーバーやXIMサーバーからの応答、特定の画像処理など問題ごとに異なる。
-
9.8
CRITICAL
ArcGIS Server 12.1、ArcGIS Server 12.0、ArcGIS Server 11.5、ArcGIS Server 11.3、ArcGIS Server 11.1
Esriの10月14日公表資料は、ArcGIS ServerのSQLインジェクション（CWE-89、CVSS 3.1基本値9.8）、XSSなど複数の問題を案内。影響する版は問題ごとに異なり、CVE識別子は確認時点で未記載。
-
7.5
HIGH
Adobe Content Credentials Rust SDK、Adobe Content Credentials JS SDK、C2PA Tool
証明書検証の不備により来歴情報の検証に使うセキュリティ機能を迂回される可能性がある。CVE-2026-100122はCVSS v3.1で7.5と評価されている。
-
—
N/A
Drupal Block AJAX 3.0.2未満
特定のブロック処理構成で入力検証不足からPHPオブジェクトインジェクション・RCEに至る可能性。Drupal独自評価Highly critical 20/25でありCVSSではない。
-
9.3
CRITICAL
Atlassian Data Center各製品、Crucible、Fisheye
影響するWebアプリのルート内の特定ファイルへ認証不要でアクセスする可能性。正確な名前とパスを知る必要があり、ディレクトリ列挙はできない。
-
—
N/A
WordPress（7.1.3の修正対象）
コメント管理の保存型XSS、非公開・未公開投稿のコメント情報開示、WXRエクスポートのSQLインジェクションなど7件の修正。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク