本文へ移動

LegalAgent AI Legal Lab

脆弱性ニュース

国内外で公表されたソフトウェア・機器の脆弱性のうち、公的機関の注意喚起、悪用の確認、深刻度「緊急」、サービス停止、Xでの話題のいずれかに当たるものを、開発元と公的機関の公表に基づいて掲載しています。2026年11月2日時点

注目の脆弱性

初公表から90日以内のもののうち、悪用が確認され修正版が一部の版にしかないもの、又は直近にサービス停止が相次いだものです。

  1. 悪用を確認

    PHP通称「php2shell」

    CVSS 9.2（v4.0・PHP開発チーム）

  2. 悪用を確認

    Collabora Online - Built-in CODE Server（Nextcloud用アプリ）

    CVSS 9.2（v4.0・Collabora）

  3. 悪用を確認

    Zammad

    CVSS 9.8（v3.1・NVD）

  4. 悪用を確認

    Fortinet FortiMail

    CVSS 9.8（v3.1・Fortinet）

  5. 悪用を確認

    Brotli（C言語実装）通称「Node2Shell／HTTP2Shell」

    CVSS 9.2（v4.0・Google（CNA））

数字で見る掲載分

掲載件数
48件
悪用を確認
30件
修正版なし・一部のみ
11件
国内の注意喚起あり
12件

掲載基準・用語

月別の一覧 · 2026年

すべて · 48件

2026年11月

  1. 続報あり

    PHP通称「php2shell」

    The PHP Group · CVE-2026-109618、CVE-2026-109619、CVE-2026-115560

    認証なしで外部から任意のコードを実行される可能性がある2件の脆弱性。CISAが悪用を確認した脆弱性として登録し、国内では予防的なサービス停止が相次いだ。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正Web基盤・言語

    CVSS 9.2（v4.0・PHP開発チーム）国内：IPA、国家サイバー統括室、JPCERT/CC海外：CERT-EU、CISA

    詳細と出典（経過14件）
    対象と修正版

    8.5.12、8.4.27、8.3.36、8.2.35より前の各系列。8.1以前は公式の修正版がなく、7.4〜8.1向けに最小限のバックポートが公開された。CVE-2026-115560は修正版が未公開。

    主な影響

    国内では修正版の公開に合わせて、財務省、auじぶん銀行、NTTドコモ、ソフトバンク、九州電力、大阪府、futureshop等が、Webサイトやサービスの一部を一時停止し、又は緊急メンテナンスを行った。piyologは、10月23日昼までに各組織の告知で確認できた一時停止等を246組織と集計した。

    経過と出典
    1. PHP開発チームが重大なセキュリティリリースを予告出典（外部リンクを開く）
    2. CERT-EUが注意喚起を公表出典（外部リンクを開く）
    3. IPAが修正版公開に向けた事前準備を呼びかけ出典（外部リンクを開く）
    4. 国家サイバー統括室がXで注意喚起出典（外部リンクを開く）
    5. 国内の各サービスで予防的な停止・緊急メンテナンスが相次いだと報道出典（外部リンクを開く）
    6. 修正版（8.5.12、8.4.27、8.3.36、8.2.35）を公開出典（外部リンクを開く）
    7. CISAが注意喚起を公表出典（外部リンクを開く）
    8. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    9. IPAが注意喚起を公表出典（外部リンクを開く）
    10. JVNが脆弱性情報を公表出典（外部リンクを開く）
    11. PHP開発チームが関連する3件目の脆弱性（CVE-2026-115560）について情報提供出典（外部リンクを開く）
    12. CISAがKEVカタログに追加出典（外部リンクを開く）
    13. JPCERT/CCが、ファイアウォール製品への侵害が成功したとみられる報告を追記出典（外部リンクを開く）
    14. IPAがVPN機器等に組み込まれたPHPへの対応について追記出典（外部リンクを開く）
    注意喚起
    1. 海外 · CERT-EU出典（外部リンクを開く）
    2. 国内 · IPA出典（外部リンクを開く）
    3. 国内 · 国家サイバー統括室出典（外部リンクを開く）
    4. 海外 · CISA出典（外部リンクを開く）
    5. 国内 · JPCERT/CC出典（外部リンクを開く）
    6. 国内 · IPA出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.26追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）、サービス停止・緊急メンテナンス、X（旧Twitter）で話題

    資料確認日：2026-11-02

2026年10月

  1. 続報あり

    Linux kernel

    Linux kernel · CVE-2026-98432

    IPv4のTCP接続処理の解放後使用。MPTCPの待受けを公開するサーバーで、認証なしにroot権限でコマンドを実行する手法が示された。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありOS・ブラウザ

    CVSS 9.8（v3.1・Linux kernel（CNA））注意喚起なし

    詳細と出典（経過8件）
    対象と修正版

    5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10より前等（CCCSによる）。

    経過と出典
    1. 修正コミットを本流に取り込み出典（外部リンクを開く）
    2. CVE-2026-98432を公開出典（外部リンクを開く）
    3. LinuxカーネルCNAがCVEを公開出典（外部リンクを開く）
    4. Anthropicが発見経緯と攻撃手法を公表出典（外部リンクを開く）
    5. Goのセキュリティチームが影響と緩和策を告知出典（外部リンクを開く）
    6. SNSで拡散し、パッチ適用を呼びかける投稿が相次ぐ出典（外部リンクを開く）
    7. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    8. CVEレコードを更新（CVSS 3.1 9.8を掲載）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）、X（旧Twitter）で話題

    資料確認日：2026-11-02

  2. 続報あり

    Brotli（C言語実装）通称「Node2Shell／HTTP2Shell」

    Google · CVE-2026-111497

    細工された圧縮データの処理により、異常終了、メモリ内容の漏えい又は任意のコード実行が起き得る境界外書き込みの脆弱性。Node.js、Python向けパッケージ等にも影響する。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOSS・ライブラリ

    CVSS 9.2（v4.0・Google（CNA））国内：JPCERT/CC海外：CISA、CCCS、CSA（シンガポール）

    詳細と出典（経過15件）
    対象と修正版

    v1.2.0以上v1.2.1未満、v1.1.0以上v1.1.1未満、v1.0.3以上v1.0.10未満。修正版はv1.2.1、v1.1.1、v1.0.10。

    経過と出典
    1. Googleが修正版v1.2.1等を公開出典（外部リンクを開く）
    2. Node.jsが修正を含むセキュリティリリースを公開出典（外部リンクを開く）
    3. 修正版1.2.1等を公開出典（外部リンクを開く）
    4. GitHubアドバイザリでPython向けパッケージへの影響を公表出典（外部リンクを開く）
    5. CVE-2026-111497を公開出典（外部リンクを開く）
    6. OpenAIがXで脆弱性の発見を投稿し、拡散出典（外部リンクを開く）
    7. Microsoftが.NETの臨時更新（8.0.33、9.0.22、10.0.14、11 RC3）を公開出典（外部リンクを開く）
    8. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    9. PHPがWindows版ビルドを更新出典（外部リンクを開く）
    10. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    11. CISAがKEVカタログに追加出典（外部リンクを開く）
    12. KEVに追加出典（外部リンクを開く）
    13. カナダCCCSが注意喚起出典（外部リンクを開く）
    14. シンガポールCSAが悪用を受けた注意喚起を掲載出典（外部リンクを開く）
    15. Palo Alto Networksが自社製品への影響を公表出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）
    2. 海外 · CISA出典（外部リンクを開く）
    3. 海外 · CCCS出典（外部リンクを開く）
    4. 海外 · CSA（シンガポール）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.27追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）、X（旧Twitter）で話題

    資料確認日：2026-11-02

  3. 続報あり

    Ivanti Connect Secure

    Ivanti · CVE-2026-104935、CVE-2026-111357、CVE-2026-118527

    認証回避とコード実行（CVE-2026-104935）及び権限昇格の脆弱性が、修正版の公開前から悪用された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.6（v3.1・Ivanti（CVE-2026-104935））海外：CISA、CCCS、CSA Singapore

    詳細と出典（経過9件）
    対象と修正版

    25.1.1.2以前、25.1.2.2以前、22.8R2.5以前（CISAの注意喚起による）。22.7R2.14以前はCVE-2026-104935の影響を受けない。

    経過と出典
    1. 攻撃者による悪用が始まる（Volexityの調査）出典（外部リンクを開く）
    2. CVE-2026-104935の修正版を公開出典（外部リンクを開く）
    3. CISAが注意喚起し、KEVに追加出典（外部リンクを開く）
    4. Volexityが3件を連鎖させた攻撃の分析を公表出典（外部リンクを開く）
    5. CISAがKEVに追加（CVE-2026-104935）出典（外部リンクを開く）
    6. 権限昇格（CVE-2026-111357）の修正版を公開出典（外部リンクを開く）
    7. Ivantiがアドバイザリを更新し、CVE-2026-111357及びCVE-2026-118527と修正版を追加出典（外部リンクを開く）
    8. CVE-2026-111357・CVE-2026-118527をKEVに追加出典（外部リンクを開く）
    9. CISAが注意喚起を更新し、2件と対象版を追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）
    2. 海外 · CCCS出典（外部リンクを開く）
    3. 海外 · CSA Singapore出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.13追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-02

  4. 続報あり

    GitLab CE/EE（19.4.2等の重大修正）

    GitLab · CVE-2026-97229

    CI/CD設定の正規表現の処理で整数オーバーフローが生じ、認証なしでサーバー上の任意のコードを実行される脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・GitLab）海外：CERT-EU

    詳細と出典（経過6件）
    対象と修正版

    19.2〜19.4系（19.2.8、19.3.5、19.4.2より前）。GitLab.com等のGitLab管理環境は修正済み。

    経過と出典
    1. 19.4.2・19.3.5・19.2.8を公開出典（外部リンクを開く）
    2. CERT-EUが注意喚起出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    4. Ruby開発チームが原因の修正を説明出典（外部リンクを開く）
    5. KEVに追加出典（外部リンクを開く）
    6. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CERT-EU出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.29追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  5. 続報あり

    Cisco Secure Firewall ASA／FTD

    Cisco · CVE-2026-76418

    リモートアクセスSSL VPNのトンネルグループに二次認証を設定している場合、認証なしの攻撃者が細工したリクエストで機器を再起動させ、サービス停止を起こせる脆弱性。Ciscoが悪用を確認した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.6（v3.1・Cisco）海外：CCCS

    詳細と出典（経過2件）
    対象と修正版

    SSLリモートアクセスVPNを有効にし、トンネルグループに二次認証を設定したASA及びFTD。修正版はASA 9.16.4.104、9.18.4.96、9.20.4.50、9.22.3.200、9.23.1.48、9.24.1.27、9.24.10.1、FTD 7.0.11、7.2.13、7.4.9、7.6.7、7.7.14、10.0.3、10.1.1。

    経過と出典
    1. Ciscoがセキュリティアドバイザリと修正版を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.29追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  6. 続報あり

    ヤマハ 無線LANルーター NWR100

    ヤマハ · CVE-2026-97854

    細工されたリクエストにより、製品上で任意のOSコマンドを実行される可能性がある脆弱性。設定ファイルを認証なしで読み取られる別の脆弱性も同時に公表された。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器 · 国内製品

    CVSS 9.3（v4.0・JVN（JPCERT/CC））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    ファームウェアRev.26.00.07以前。修正版はRev.26.00.08。

    経過と出典
    1. ヤマハが修正ファームウェアと情報を公表出典（外部リンクを開く）
    2. JVNが脆弱性情報を公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  7. 続報あり

    Veeam Backup & Replication・Backup for Microsoft 365

    Veeam · CVE-2026-108142、CVE-2026-106076

    Backup & ReplicationのCDP Coordinatorサービスの認可回避（CVSS 9.1）と、Backup for Microsoft 365のSQLインジェクションによるコード実行（9.0）を修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.1（v4.0・Veeam）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Backup & Replication 13.1.1.18以前の13.1系・13.0.2.29以前の13.0系（13.1.2・13.0.3で修正）、Backup for Microsoft 365 8.5.0.1014以前の8系（8.6で修正）。

    経過と出典
    1. Backup & Replication 13.1.2の修正内容を公表出典（外部リンクを開く）
    2. Backup for Microsoft 365 8.6の修正内容を公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  8. 続報あり

    Linuxカーネル通称「Fragnesia」

    Linux · CVE-2026-46300

    ESP（IPsec）処理の不備により、一般ユーザーが読取り専用ファイルのページキャッシュを書き換えてroot権限を得られる脆弱性。CISAはPHPの脆弱性と組み合わせた悪用を記載した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOS・ブラウザ

    CVSS 7.8（v3.1・Linuxカーネル開発チーム（CNA））注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Linux 3.9以降の各系列。修正版は5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10、7.1。

    経過と出典
    1. 発見者が詳細と実証コードを公開出典（外部リンクを開く）
    2. CVEを公表出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.28追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  9. 続報あり

    VMware ESX

    Broadcom · CVE-2026-41709

    管理者権限を持つ攻撃者が、一部の操作をログに記録されずに実行できる脆弱性。2026年7月29日に修正版が公開された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 2.7（v3.1・Broadcom）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    VMware ESX 9.1.x（ESXi-9.1.0.0-25370933より前）、9.0.x（ESXi-9.0.2.0100-25595025より前）、8.0（ESXi80U3j-25429389より前）、VMware Cloud Foundation 5.x（5.2.4より前）等。

    経過と出典
    1. BroadcomがVMSA-2026-0006を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.28追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  10. 続報あり

    Google Chrome（2026年10月の安定版更新）

    Google · CVE-2026-106197、CVE-2026-106358、CVE-2026-106382、CVE-2026-110136ほか6件

    10月の5回の安定版更新で、Googleが重大度Criticalとした脆弱性計22件を修正した。CISA-ADPは10件をCVSS 9.6と評価した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありOS・ブラウザ

    CVSS 9.6（v3.1・CISA-ADP）注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    デスクトップ版156.0.8078.73（Linux）、156.0.8078.73/.74（Windows・Mac）より前。

    経過と出典
    1. 155.0.8059.39を公開（Critical 4件）出典（外部リンクを開く）
    2. 155.0.8059.79を公開（Critical 7件）出典（外部リンクを開く）
    3. 155.0.8059.84を公開（Critical 1件）出典（外部リンクを開く）
    4. 156.0.8078.47を公開（Critical 6件）出典（外部リンクを開く）
    5. 156.0.8078.73を公開（Critical 4件）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  11. 続報あり

    Adobe Commerce / Magento Open Source

    Adobe · CVE-2026-48356

    危険な種類のファイルのアップロードを制限していないため、任意のコード実行に至る脆弱性。2026年7月14日に修正版が公開された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.6（v3.1・Adobe）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Adobe Commerce 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15、2.4.5-p17、2.4.4-p18以前、Magento Open Source 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15以前、Adobe Commerce B2B、Adobe Commerce Events 1.6.0〜1.20.0。

    経過と出典
    1. AdobeがAPSB26-73を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.27追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  12. 続報あり

    Oracle Critical Patch Update（2026年10月）

    Oracle · CVE-2026-91299、CVE-2026-91231、CVE-2026-91221、CVE-2026-91216ほか2件

    1,295件のセキュリティパッチを公開した。CVSS 9.0以上は重複を除き95件で、うち6件は10.0。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・Oracle）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    SOA Suite、Access Manager、JD Edwards EnterpriseOne、WebLogic Server、MySQL、Essbase等の多数の製品。

    経過と出典
    1. 2026年10月のCPUを公開出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    3. 勧告を改訂（Rev 2）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  13. 続報あり

    Microsoft製品（2026年10月の月例更新）

    Microsoft · CVE-2026-96951、CVE-2026-96207、CVE-2026-94510、CVE-2026-70242ほか11件

    2026年10月の月例更新。Windowsシェルのセキュリティ機能のバイパスの脆弱性について、Microsoftが悪用を確認したと公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOS・ブラウザ

    CVSS 9.8（v3.1・Microsoft・掲載CVEの最大値）国内：IPA、JPCERT/CC海外：CCCS

    詳細と出典（経過8件）
    対象と修正版

    Windows（対象の版はMicrosoftのセキュリティ更新プログラムガイドで公表）。

    経過と出典
    1. Microsoftが月例のセキュリティ更新プログラムを公開（米国時間）出典（外部リンクを開く）
    2. CISAがCVE-2026-96951をKEVカタログに追加出典（外部リンクを開く）
    3. 月例のセキュリティ更新を公開出典（外部リンクを開く）
    4. CVE-2026-96951をKEVに追加出典（外部リンクを開く）
    5. ZDIが更新内容の一覧を公表出典（外部リンクを開く）
    6. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    7. JPCERT/CCとIPAが注意喚起を公表出典（外部リンクを開く）
    8. MicrosoftがMicrosoft Edgeを更新対象に追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 国内 · IPA出典（外部リンクを開く）
    3. 国内 · JPCERT/CC出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.13追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  14. 続報あり

    Arista VeloCloud Orchestrator（オンプレミス版）

    Arista Networks · CVE-2026-114625

    SD-WAN管理基盤のSQLインジェクションで、認証済みの利用者が内部機能に到達し管理者権限を得られる脆弱性。Aristaが自ら検知し、悪用を確認したと公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.9（v3.1・Arista）海外：Canadian Centre for Cyber Security（AV26-1080）

    詳細と出典（経過3件）
    対象と修正版

    オンプレミス版の5.2.3.18、6.1.3.10、6.4.2.12より前の各系列。サポート終了版は未評価。ホスト型・専用型は修正済み。

    経過と出典
    1. AristaがSecurity Advisory 0199と修正版を公表出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    3. カナダCyber Centreが勧告（AV26-1080）出典（外部リンクを開く）
    注意喚起
    1. 海外 · Canadian Centre for Cyber Security（AV26-1080）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.23追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  15. 続報あり

    Fortinet FortiSIEM・FortiSandbox

    Fortinet · CVE-2026-107656、CVE-2026-106173

    10月13日の定例公表で、FortiSandboxの認証回避（CVSS 9.6）とFortiSIEMのパストラバーサルによるコード実行（9.4）を修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし一部の版のみ修正ネットワーク機器

    CVSS 9.6（v3.1・Fortinet）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    FortiSandbox 5.0.0〜5.0.6、4.4.0〜4.4.9（4.2系等には修正版がない）、FortiSIEM 7.5.0。

    経過と出典
    1. FortiSandboxの勧告を公表出典（外部リンクを開く）
    2. FortiSIEMの勧告を公表出典（外部リンクを開く）
    3. カナダCCCSがFortiSIEMの悪用報告を追記出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  16. 続報あり

    Collabora Online - Built-in CODE Server（Nextcloud用アプリ）

    Collabora · CVE-2026-110447

    Nextcloud用アプリ版の内蔵CODEサーバーが停止している間、認証なしでOSコマンドを実行される脆弱性。2026年9〜10月に悪用された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正業務アプリ・クラウド

    CVSS 9.2（v4.0・Collabora）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Nextcloud用アプリ richdocumentscode 26.4.303より前の版。サポート終了のNextcloud 29以前も影響を受ける。単体のCollabora Onlineサーバーは対象外。

    経過と出典
    1. Nextcloudフォーラムで悪用の報告出典（外部リンクを開く）
    2. Collaboraがアドバイザリを公開（修正版26.4.303）出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.23追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  17. 続報あり

    GitLab CE/EE（19.5.1等の重大修正）

    GitLab · CVE-2026-110264

    正規表現のコンパイル時の整数オーバーフローで、認証なしでサーバー上の任意のコードを実行される脆弱性。旧版にも修正を提供した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・GitLab）海外：CERT-EU

    詳細と出典（経過3件）
    対象と修正版

    7.0以降の各系列（18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1より前）。

    経過と出典
    1. 19.5.1等を公開出典（外部リンクを開く）
    2. CERT-EUが注意喚起出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CERT-EU出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  18. 続報あり

    Siemens Software Center

    Siemens · CVE-2026-110936

    ソフトウェアの導入用アプリが検索パス上の細工したDLLを読み込み、任意のコードを実行される脆弱性。正規の署名付き本体と悪性DLLを同梱するClickFix攻撃での悪用をSiemensが公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 8.4（v4.0・Siemens）海外：Canadian Centre for Cyber Security（AV26-1063）、CISA（ICSアドバイザリー ICSA-26-295-03）

    詳細と出典（経過6件）
    対象と修正版

    V4.0.9.8より前の全バージョン。V4.0.9.8で修正（既存環境は次回起動時に自動更新）。

    経過と出典
    1. SiemensがSSA-580366を公表出典（外部リンクを開く）
    2. 修正版（V4.0.9.8）を勧告に追加出典（外部リンクを開く）
    3. Siemensが悪用の確認を公表出典（外部リンクを開く）
    4. カナダCyber Centreが勧告（AV26-1063）出典（外部リンクを開く）
    5. CISAがKEVに追加出典（外部リンクを開く）
    6. CISAがICSアドバイザリー（ICSA-26-295-03）として再掲出典（外部リンクを開く）
    注意喚起
    1. 海外 · Canadian Centre for Cyber Security（AV26-1063）出典（外部リンクを開く）
    2. 海外 · CISA（ICSアドバイザリー ICSA-26-295-03）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.20追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  19. 続報あり

    Cisco Expressway・Unified Communications等（10月21日公表分）

    Cisco · CVE-2026-76466、CVE-2026-76473、CVE-2026-76474、CVE-2026-76475ほか1件

    Expresswayで認証なしにroot権限でOSコマンドを実行される脆弱性（CVSS 9.8）のほか、Unified CM等とSnort 3の強化リリースを公表した。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表修正版ありネットワーク機器

    CVSS 9.8（v3.1・Cisco）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Expressway X15.5.20より前（X14以前には修正版がない）、Unified CM・Unity Connection等の15SU5より前、Snort 3を使う各製品。

    経過と出典
    1. ExpresswayのRCE勧告を公表出典（外部リンクを開く）
    2. Unified Communications製品の強化リリースを公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  20. Oracle Java SE（2026年10月のCPU）

    Oracle · CVE-2026-91403

    2026年10月の定例更新で修正されたJava SEの脆弱性。JSSEの脆弱性は、認証なしでネットワーク経由で重要なデータの改ざんや取得を受ける可能性がある。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありWeb基盤・言語

    CVSS 9.1（v3.1・Oracle）国内：IPA

    詳細と出典
    対象と修正版

    Oracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503等（IPAの記載）。

    経過と出典
    1. IPAが注意喚起を公表出典（外部リンクを開く）
    注意喚起
    1. 国内 · IPA出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  21. 続報あり

    Plex Media Server通称「Plex2Shell」

    Plex · CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656

    4件の脆弱性を組み合わせると、認証なしで外部からサーバー上でコードを実行される。実証コードの公開後、暗号資産の採掘等に悪用された（Plex公表）。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 8.6（v4.0・CISA（CNA））注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    Plex Media Server 1.43.3.10861より前の版。修正版は1.43.3.10861。

    経過と出典
    1. Plexがセキュリティ更新（1.43.3）を告知出典（外部リンクを開く）
    2. CVEを公表（CISA VA-26-266-01）出典（外部リンクを開く）
    3. 発見者が詳細と実証コードを公開出典（外部リンクを開く）
    4. Plexが広範な悪用を公表出典（外部リンクを開く）
    5. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.20追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  22. 続報あり

    SiteGuard Server Edition

    EGセキュアソリューションズ · CVE-2026-106931

    ホスト型WAFの統計機能を通じ、サーバー上でroot又はSYSTEM権限の任意のOSコマンドを実行される可能性がある脆弱性。開発者が悪用を確認している。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド · 国内製品

    CVSS 8.5（v4.0・JVN（JPCERT/CC））国内：JPCERT/CC

    詳細と出典（経過6件）
    対象と修正版

    Ver2.20以降で統計機能が有効（初期設定で有効）な場合。Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSDのApache版・Nginx版はVer7.00 Update6より前。IIS版Ver3.10〜Ver4.00 Update4は影響なし。

    経過と出典
    1. 開発者が直接サポート契約の顧客へ通知出典（外部リンクを開く）
    2. 開発者が修正版と差し替え用パッチを公表出典（外部リンクを開く）
    3. JVNが脆弱性情報を公表出典（外部リンクを開く）
    4. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    5. CISAがKEVカタログに追加出典（外部リンクを開く）
    6. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.20追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-02

  23. 続報あり

    BeyondTrust Remote Support

    BeyondTrust · CVE-2026-102764

    内部メッセージの送信元検証が不十分で、認証なしで装置上のファイルを操作される脆弱性。ゼロデイとして悪用された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.3（v4.0・BeyondTrust）海外：CISA、CCCS

    詳細と出典（経過7件）
    対象と修正版

    26.2.3以前の全バージョン。24.3.1以降はパッチBT26-05-RSで修正。24.3.1より前の版にはパッチがない。SaaS版は2026年10月9日までに適用済み。

    経過と出典
    1. SaaS版への修正適用を完了出典（外部リンクを開く）
    2. 勧告BT26-05を公表出典（外部リンクを開く）
    3. CVEが公開出典（外部リンクを開く）
    4. Mandiantが攻撃者の分析を公表出典（外部リンクを開く）
    5. CISAが注意喚起し、KEVに追加出典（外部リンクを開く）
    6. カナダCCCSが注意喚起出典（外部リンクを開く）
    7. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）
    2. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.16追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-02

  24. 続報あり

    Fortinet FortiOS / FortiPAM / FortiProxy / FortiSwitchManager

    Fortinet · CVE-2025-61624

    2026年4月に公表された、CLIのパス・トラバーサルの脆弱性。読み書き権限を持つ管理者が特定のコマンドで任意のファイルを書き込み又は削除できる。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正ネットワーク機器

    CVSS 6.0（v3.1・Fortinet）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    FortiOS 7.6.0〜7.6.4、7.4.0〜7.4.9、7.2・7.0・6.4の全版。FortiPAM 1.7.0及び1.0〜1.6の全版。FortiProxy 7.6.0〜7.6.4、7.4.0〜7.4.11、7.2・7.0の全版。FortiSwitchManager 7.2.0〜7.2.7、7.0.0〜7.0.6。旧系列には個別の修正版がない。

    経過と出典
    1. Fortinetがアドバイザリを公表出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.16追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  25. 続報あり

    Cisco Secure Email Gateway

    Cisco · CVE-2026-76519

    AMPのファイルレピュテーション有効時、細工した添付ファイル付きメールでファイルを書き込まれ、root権限でコマンドを実行される脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.8（v3.1・Cisco）海外：CCCS、CERT-EU

    詳細と出典（経過3件）
    対象と修正版

    File Reputationが有効でContent Scanner Toolsが25.3.0.5525より前の装置。AsyncOS 15.5（15.5.5-014より前）・16.5（16.5.0-780より前）等（CCCSによる）。

    経過と出典
    1. 勧告を公表（悪用を確認）出典（外部リンクを開く）
    2. KEVに追加出典（外部リンクを開く）
    3. CERT-EUが注意喚起出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 海外 · CERT-EU出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.14追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  26. 続報あり

    Juniper Junos OS・Junos OS Evolved

    Juniper Networks（HPE） · CVE-2026-101954、CVE-2026-101986、CVE-2026-101983、CVE-2026-102182ほか1件

    10月の定例公表で、J-Webの認証不備やMXシリーズのIKE処理のバッファオーバーフロー等、CVSS 9.8の脆弱性を複数修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 9.8（v3.1・Juniper）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Junos OS・Junos OS Evolvedの各系列（例：24.2R2-S5.5、25.2R2-S2より前。CCCSによる）。各脆弱性はJ-Web、IKE、BMP等の有効時に限られる。

    経過と出典
    1. J-Webの脆弱性等の勧告を公表（JSA112187等）出典（外部リンクを開く）
    2. MXシリーズIKEの勧告を公表（JSA112196）出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  27. 続報あり

    Atlassian Data Center製品（Confluence・Jira等）

    Atlassian · CVE-2026-21589

    認証なしでWebアプリケーションのルート配下の特定ファイルを読み取られる脆弱性。Data Center製品の全バージョンが対象。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.3（v4.0・Atlassian）海外：CCCS、CERT-EU

    詳細と出典（経過4件）
    対象と修正版

    Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd各Data Center、Crucible、Fisheyeの修正版より前。例：Confluence 9.2.26・10.2.19で修正。

    経過と出典
    1. 勧告を公表出典（外部リンクを開く）
    2. CERT-EUが注意喚起出典（外部リンクを開く）
    3. KEVに追加出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 海外 · CERT-EU出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.15追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  28. 続報あり

    NGINX（Open Source・Plus）

    F5 · CVE-2026-15176

    aliasとrewriteを併用し$request_filenameを参照する設定で、細工した要求によりヒープバッファオーバーフローが生じる脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし一部の版のみ修正Web基盤・言語

    CVSS 9.2（v4.0・F5）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    NGINX Open Source 0.1.29〜1.31.6（1.30.6、1.31.7で修正）、NGINX Plus 37.0.5.1・37.1.0.1より前及びR33〜R36。

    経過と出典
    1. F5がCVE-2026-15176を公表（K000162416）出典（外部リンクを開く）
    2. nginx.orgが修正版と勧告を公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  29. 続報あり

    Palo Alto Networks PAN-OS

    Palo Alto Networks · CVE-2026-0322

    管理インターフェースのコードインジェクションにより、認証済みの攻撃者がファイアウォール上でroot権限の任意のコードを実行できる脆弱性。Palo Alto Networksは非常に限定的な悪用を確認した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.6（v4.0・Palo Alto Networks）海外：CCCS

    詳細と出典（経過3件）
    対象と修正版

    PA-Series・VM-Seriesファイアウォール及びPanoramaのPAN-OS 12.2、12.1、11.2、11.1及び10.2の各系列（修正版は12.2.4、12.1.10-h2、11.2.16、11.1.16-h3、10.2.18-h12等）。Cloud NGFW及びPrisma Accessは影響を受けない。

    経過と出典
    1. Palo Alto Networksがセキュリティアドバイザリと修正版を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    3. PAN-OS 11.2.16を公開出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.14追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  30. 続報あり

    Ahsay AhsayCBS

    Ahsay · CVE-2026-105133、CVE-2026-105134

    バックアップサーバーのAPIで認証を回避される脆弱性と、OSコマンドを注入される脆弱性の2件。連鎖して使われ得る。当初の修正は不十分で、2026年10月12日に修正版が再公開された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 10.0（v4.0・VulDB（CNA））注意喚起なし

    詳細と出典（経過4件）
    対象と修正版

    9.15.2.69以前及び10.3.4.44以前（NVDの記載）。修正版はv10が10.3.4.45、v7〜v9が9.15.2.70。

    経過と出典
    1. CVEが公開出典（外部リンクを開く）
    2. Huntressが10月7日からの悪用を観測したと公表出典（外部リンクを開く）
    3. Ahsayが修正版を再公開出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.14追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  31. EC-CUBE4系用 AmazonPayプラグイン

    イーシーキューブ · CVE-2026-103671

    決済時に利用者を任意のサイトへ誘導される可能性がある脆弱性。アカウント情報等の窃取につながるおそれがある。開発者が悪用した攻撃を確認している。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド · 国内製品

    CVSS 5.3（v4.0・JVN（JPCERT/CC））注意喚起なし

    詳細と出典
    対象と修正版

    AmazonPay V2プラグイン（4.0/4.1系）v1.0.0〜v1.1.12、同（4.2/4.3系）v4.2.0〜v4.3.1、AmazonPayプラグイン（CV1版、4.0系）v1.3.0以前。

    経過と出典
    1. JVNが脆弱性情報（緊急）を公表出典（外部リンクを開く）
    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  32. 続報あり

    SAP Security Patch Day（2026年10月）

    SAP · CVE-2026-89111、CVE-2026-89110、CVE-2026-89107、CVE-2026-89108

    新規16件のセキュリティノートと4件のGitHubアドバイザリを公開した。SAP Cloud SDK for PythonのSSRF（CVSS 10.0）等4件がCritical。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・SAP）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    SAP Cloud SDK for Python 0.45.2より前、NetWeaver Visual Composer、S/4HANA（S4CORE 105〜109）、Manufacturing Integration and Intelligence 15.4・15.5等。

    経過と出典
    1. 10月のSecurity Patch Dayでノートを公開出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  33. 続報あり

    SonicWall SMA1000

    SonicWall · CVE-2026-102255

    Work Placeインターフェースの事前認証SSRF。認証なしで装置に要求を代行させ、内部機能に到達して不正な操作をされるおそれがある。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 10.0（v3.1・CISA-ADP）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    SMA1000（6210、7210、8200v）の12.4.3-03670・12.5.0-03082（platform-hotfix）以前（CCCSによる）。

    経過と出典
    1. SonicWallが勧告SNWLID-2026-0017を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    3. 研究者が悪用の試行を観測したと報道出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  34. 続報あり

    ProFTPD通称「mod_copy」

    The ProFTPD Project · CVE-2015-3306

    2015年に公表された、mod_copyモジュールのSITE CPFR/CPTOコマンドにより認証なしで任意のファイルを読み書きされる脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOSS・ライブラリ

    CVSS 10.0（v3.1・CISA-ADP）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過5件）
    対象と修正版

    ProFTPD 1.3.5（mod_copy使用時）。1.3.5a及び1.3.6rc1で修正。

    経過と出典
    1. Debianがセキュリティ勧告DSA-3263-1を公表出典（外部リンクを開く）
    2. 修正版1.3.5a及び1.3.6rc1を公開（Bug 4169）出典（外部リンクを開く）
    3. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    5. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  35. 続報あり

    ONLYOFFICE Docs（Document Server）

    Ascensio System SIA (ONLYOFFICE) · CVE-2021-3199

    2021年に公表された、JWT使用時に画像アップロードのパラメータを通じたパストラバーサルで遠隔からコードを実行される脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.8（v3.1・NVD）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過4件）
    対象と修正版

    Document Server 5.6.3より前（AA26-281Aは5.1.5〜5.6.2と記載）。5.6.3で修正。

    経過と出典
    1. NVDがCVEを公開出典（外部リンクを開く）
    2. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    4. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  36. 続報あり

    Citrix NetScaler ADC・NetScaler Gateway（SAML構成）

    Cloud Software Group（Citrix） · CVE-2026-107406

    SAML SP又はIdPとして構成した装置のメモリオーバーフローで、リモートコード実行又はサービス拒否のおそれがある。9月の修正版も影響範囲に含まれる。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 9.5（v4.0・NetScaler（CNA））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    13.1-64.29、14.1-73.46より前（FIPS版等を含む。CCCSによる）。

    経過と出典
    1. Citrixがセキュリティ速報CTX697191を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  37. 続報あり

    Citrix NetScaler ADC / NetScaler Gateway

    Citrix (Cloud Software Group) · CVE-2026-88779

    SAMLのSP又はIdPとして構成した機器で、メモリ処理の不備によりサービス停止を起こされる脆弱性。CISAはCVE-2026-88771で注入されたコードを再起動で実行させる目的に使われる可能性にも触れた。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.7（v4.0・Citrix）海外：CISA

    詳細と出典（経過3件）
    対象と修正版

    顧客管理のADC・Gatewayの14.1-73.41より前、13.1-64.28より前、14.1 FIPSの14.1-73.41 FIPSより前、13.1 FIPS・NDcPPの13.1-37.282より前。

    経過と出典
    1. Citrixがセキュリティ情報CTX697174を公表出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    3. CISAが9月27日の注意喚起を更新し本件を追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.04追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  38. 続報あり

    Apache Struts 2通称「S2-032」

    Apache Software Foundation · CVE-2016-3081

    2016年に公表された、Dynamic Method Invocationが有効な場合にmethod:接頭辞を通じて遠隔からコードを実行される脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありWeb基盤・言語

    CVSS 8.1（v3.1・NVD）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過5件）
    対象と修正版

    Struts 2.3.20〜2.3.28（2.3.20.3及び2.3.24.3を除く）。修正版は2.3.20.3、2.3.24.3、2.3.28.1。

    経過と出典
    1. 修正版2.3.20.3、2.3.24.3、2.3.28.1を公開出典（外部リンクを開く）
    2. NVDがCVEを公開出典（外部リンクを開く）
    3. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    5. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  39. 続報あり

    ISC BIND 9

    Internet Systems Consortium (ISC) · CVE-2015-5477

    2015年に公表された、TKEYクエリの処理の誤りによりnamedが異常終了し、遠隔からサービス停止を起こされる脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正OSS・ライブラリ

    CVSS 7.8（v2.0・ISC）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過4件）
    対象と修正版

    BIND 9.1.0〜9.8.x、9.9.0〜9.9.7-P1、9.10.0〜9.10.2-P2。修正版は9.9.7-P2及び9.10.2-P3で、9.8以前の修正版はISCの勧告に記載がない。

    経過と出典
    1. ISCが勧告と修正版を公表出典（外部リンクを開く）
    2. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    4. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  40. 続報あり

    Strapi

    Strapi Solutions SAS · CVE-2023-22894

    2023年に公表された、非公開項目での絞り込みによりメールアドレス、パスワードハッシュ、リセット用トークンが漏れる脆弱性。CVE-2023-22621と組み合わせると遠隔からコードを実行される。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正Web基盤・言語

    CVSS 7.2（v3.1・CISA-ADP）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過5件）
    対象と修正版

    3.2.1以上4.8.0未満。4.8.0で修正。v3系は2022年12月31日にサポートが終了しており修正版なし。

    経過と出典
    1. 修正版4.8.0を公開出典（外部リンクを開く）
    2. Strapiが脆弱性の詳細を公表出典（外部リンクを開く）
    3. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    5. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  41. 続報あり

    Cisco NX-OS・Nexus・License On-Prem等（10月7日公表分）

    Cisco · CVE-2026-76482、CVE-2026-76471、CVE-2026-76485、CVE-2026-76486ほか12件

    NX-OSのNX-API、NGOAM、MPLS OAMで認証なしにroot権限でコードを実行される脆弱性等、CVSS 9.0以上を含む複数の勧告を公表した。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表一部の版のみ修正ネットワーク機器

    CVSS 10.0（v3.1・Cisco）注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    Nexus 3000・9000シリーズ、NX-OS、License（Smart Software Manager）On-Prem、APIC、Meraki各製品等。Merakiの一部は修正版が10月下旬〜11月中旬の予定。

    経過と出典
    1. NX-API RCE等の勧告を公表出典（外部リンクを開く）
    2. NGOAM RCEの勧告を公表出典（外部リンクを開く）
    3. License On-Prem強化リリースを公表出典（外部リンクを開く）
    4. Meraki強化リリースを公表出典（外部リンクを開く）
    5. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  42. 続報あり

    Zammad

    Zammad GmbH · CVE-2026-102489、CVE-2026-102490

    セッション乗っ取りにより zammad ユーザー権限でコードを実行される脆弱性と、DEB・RPMパッケージ版でrootへ権限昇格される脆弱性の2件。連鎖して使われ得る。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正業務アプリ・クラウド

    CVSS 9.8（v3.1・NVD）注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    CVE-2026-102489は6.3.0〜6.5.4（7.0.0〜7.1.xにも存在するが悪用不可とされる。6.5以前はサポート終了）。CVE-2026-102490はDEB・RPMパッケージ版の7.2.1以前（7.2.2で修正）。

    経過と出典
    1. DIVDが脆弱性を限定公開し、利用者への通知を開始出典（外部リンクを開く）
    2. Zammadがコミュニティで見解を公表出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    4. Zammadがセキュリティアドバイザリを公表出典（外部リンクを開く）
    5. CVE-2026-102490の修正版7.2.2を公表出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.02追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  43. 続報あり

    Fortinet FortiMail

    Fortinet · CVE-2026-104286

    パストラバーサルにより、認証なしでHTTP(S)要求から任意のファイルを書き込まれる脆弱性。悪用が報告されている。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正ネットワーク機器

    CVSS 9.8（v3.1・Fortinet）海外：CCCS、CSA Singapore

    詳細と出典（経過6件）
    対象と修正版

    8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9、7.0系全版。7.2系の修正版7.2.10は未公開（予定）で、7.0系には修正版がない。

    経過と出典
    1. 勧告FG-IR-26-175を公表出典（外部リンクを開く）
    2. KEVに追加出典（外部リンクを開く）
    3. Fortinetがアドバイザリを公表出典（外部リンクを開く）
    4. FortiMail Cloudを修正し、勧告を更新出典（外部リンクを開く）
    5. Fortinetが対策情報を更新し、FortiMail Cloudを修正済みとした出典（外部リンクを開く）
    6. FortinetがFortiMail Cloudの修正に関する記載を明確化出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 海外 · CSA Singapore出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.01追加

    掲載の根拠

    悪用の確認、深刻度「緊急」（CVSS 9.0以上）、公的機関の注意喚起

    資料確認日：2026-11-02

  44. 続報あり

    Movable Type

    シックス・アパート · CVE-2026-96408、CVE-2026-103668

    アップグレード用スクリプト等に、任意のPerlコード又はSQLを実行される可能性がある脆弱性。サイト内検索では非公開データを含む情報を出力される可能性がある。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし一部の版のみ修正Web基盤・言語 · 国内製品

    CVSS 9.4（v3.0・JVN（JPCERT/CC））国内：IPA

    詳細と出典（経過3件）
    対象と修正版

    Movable Type 9.2.1以前、9.0.9以前、8.8.5以前、8.0.12以前、Movable Type Premium 9.2.1以前、9.0.9以前、2.17以前。サポート終了版も影響を受け、修正版はない。

    経過と出典
    1. 開発者が修正版（9.3.0、9.0.10、8.8.6、8.0.13、Premium 2.18等）を公開出典（外部リンクを開く）
    2. JVNが脆弱性情報を公表出典（外部リンクを開く）
    3. IPAが注意喚起を公表出典（外部リンクを開く）
    注意喚起
    1. 国内 · IPA出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  45. 続報あり

    VMware Workstation・Fusion

    Broadcom（VMware） · CVE-2026-59346、CVE-2026-59347

    VMXNET3の整数オーバーフローにより、仮想マシンの管理者権限を持つ攻撃者がホスト上でコードを実行できる脆弱性等を修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.3（v3.1・VMware（Broadcom））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Workstation・Fusion 26H1u1より前（CCCSによる）。

    経過と出典
    1. VMSA-2026-0007を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  46. 続報あり

    NetScaler ADC／NetScaler Gateway

    Cloud Software Group（Citrix） · CVE-2026-88771、CVE-2026-88772

    認証なしで外部から任意のコードを実行される可能性がある2件の脆弱性。悪用が確認され、Webシェルの設置等の侵害後の活動も報告された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.5（v4.0・Cloud Software Group（CNA））国内：JPCERT/CC、IPA

    詳細と出典（経過3件）
    対象と修正版

    14.1-73.37より前、13.1-64.23より前、14.1-73.37 FIPSより前、13.1-37.279（FIPS・NDcPP）より前。CVE-2026-88772はDTLSが有効な構成が対象。

    経過と出典
    1. CISAがKEVカタログに追加出典（外部リンクを開く）
    2. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    3. JPCERT/CCが、MandiantとGTIGによる侵害指標・調査情報を追記出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）
    2. 国内 · IPA出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.09.27追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  47. 続報あり

    WatchGuard Endpoint Security

    WatchGuard · CVE-2026-13043

    カーネルメモリアクセスドライバの認証欠如により、ローカルの認証済み攻撃者がカーネル及びプロセスのメモリを読み取れる脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.3（v4.0・WatchGuard）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Windows版Endpoint Security 8.00.26.0012より前。

    経過と出典
    1. 勧告を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

掲載基準・用語

掲載する脆弱性

  • 国内・海外を問わず、次のいずれかに当たるものを掲載します。①国内外の公的機関（JPCERT/CC、IPA、国家サイバー統括室、米CISA、CERT-EU等）が注意喚起したもの、②悪用が確認されたもの（米CISAのKEVへの追加、又は開発元等が悪用を公表したもの）、③深刻度が「緊急」（CVSS 9.0以上）で、広く使われる製品のもの、④その脆弱性を理由とするサービス停止・緊急メンテナンスが相次いだもの、⑤X（旧Twitter）で広く話題になったもの。
  • 同じ製品について同時に公表された複数の脆弱性は1件にまとめ、修正版の公開、別の脆弱性の公表、悪用の確認などの続報は、同じ件の経過に追記します。
  • 初回の掲載対象は、2026年10月1日以降に公表・続報があったものです。公表されたすべての脆弱性を網羅するものではありません。

各項目の表記

  • 深刻度は、開発元又は公的機関が公表したCVSSの値を、評価者と版（v3.1、v4.0等）とともに記載します。版が異なる値は比較できません。
  • 「悪用を確認」は、米CISAのKEVへの追加、又は開発元・公的機関・セキュリティ企業が悪用を公表したものです。「実証コード公開」は、公的機関又は開発元が攻撃の実証コードの公開を伝えたものです。
  • 「修正版あり」はサポート中のすべての版に修正版があるもの、「一部の版のみ修正」はサポート終了版などに修正版がないもの、「緩和策のみ」は修正版がなく開発元が回避策を示しているものです。
  • 「Xで話題」は、報道・専門メディアの記事、又はX上の反応を集計したまとめ（Yahoo!リアルタイム検索等）で、X上で広く話題になったことを確認できたものです。X上の個々の投稿は出典にしていません。
  • 対策の手順は記載していません。各項目の注意喚起と開発元の公表をご確認ください。

訂正のご連絡

記載に誤りがある場合や、新たな公表により内容が変わった場合は、お問い合わせからご連絡ください。確認のうえ訂正します。

お問い合わせ情報漏えい・サイバー攻撃ニュースLegalAgent AI法務ラボ