セキュリティニュース

概要

JVN は 2026 年 10 月 14 日、株式会社イーシーキューブが提供する EC-CUBE 4 向け「AmazonPay プラグイン」の脆弱性 CVE-2026-103671（変更されないことを想定したウェブパラメータの外部制御）を公表しました。影響を受けるのは、CV2 版の AmazonPay V2 プラグイン（4.0/4.1 系の v1.0.0〜v1.1.12、4.2/4.3 系の v4.2.0〜v4.3.1。v4.3.1 のバンドル版を含む）と、CV1 版の AmazonPay プラグイン v1.3.0 以前（4.0 系）です。悪用されると、購入手続きの途中で利用者が任意のサイトへ誘導され、アカウント情報を盗まれるおそれがあるとしています。

開発者はこの脆弱性を悪用した攻撃を既に確認したと説明しています。CVSS は v4.0 で 5.3、v3.0 で 4.7 です。対策は開発者が提供するパッチの適用で、JVN には回避策の記載はありません。

日本企業への影響と対応のポイント

• 関係するのは、EC-CUBE 4 で EC サイトを運営し、Amazon Pay の決済に公式プラグインを使っている企業と、その構築・保守を受託している事業者です
• 該当する場合は、イーシーキューブの告知（JVN からリンク）に従って速やかにパッチを適用し、適用までの期間に不審な決済や利用者からの問い合わせが無かったかを確認することを推奨します

出典

• JVN#43511918 EC-CUBE 4用「AmazonPayプラグイン」における変更されないことを想定したウェブパラメータの外部制御の脆弱性（2026-10-14・JVN）

概要

Atlassian は 2026 年 10 月 5 日、自社運用型の Data Center 製品などに影響する任意ファイルアクセスの脆弱性 CVE-2026-21589（深刻度 Critical、CVSS v4.0 9.3）を公表しました。認証されていない攻撃者が、正確なファイル名とパスを知っている場合に、ウェブアプリケーションのルート配下の特定のファイルを取得できるとしています。対象は Bitbucket・Confluence・Jira Software・Jira Service Management・Bamboo・Crowd の各 Data Center と Crucible・Fisheye で、修正版より前のすべてのバージョンが影響を受けます。Cloud 版は修正済みで、利用者の対応は不要と説明しています。

米 CISA は 10 月 15 日、悪用の証拠に基づいてこの脆弱性を Known Exploited Vulnerabilities（KEV）カタログに追加しました。修正版は、例えば Confluence Data Center が 9.2.26・10.2.19、Jira Software Data Center が 9.12.40・10.3.26・11.3.12 で、製品ごとの版は Atlassian のアドバイザリに一覧があります。すぐに更新できない場合の回避策として、インターネットからの切り離しや外部アクセスの制限、WAF・プロキシでの遮断ルール、Tomcat の設定変更が示されています。

日本企業への影響と対応のポイント

• 関係するのは、Jira・Confluence・Bitbucket などを自社サーバーやクラウド基盤上で Data Center 版として運用している企業です（Atlassian Cloud の利用だけであれば対応は不要とされています）
• 該当する場合は修正版への更新を優先し、更新までは外部からのアクセス制限などの回避策を検討することを推奨します。Atlassian は自社で影響の有無を確認できないとしているため、アクセスログに不審なパスへの要求が無いかの確認もあわせて行うとよいでしょう

出典

• CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products（2026-10-05・Atlassian）
• CISA Adds One Known Exploited Vulnerability to Catalog（2026-10-15・CISA）

概要

Cisco は 2026 年 10 月 14 日、メールセキュリティ製品 Cisco Secure Email Gateway（物理・仮想アプライアンス）に、認証されていない遠隔の攻撃者が基盤の OS に任意のファイルを書き込める脆弱性 CVE-2026-76519（CVSS 3.1 基本値 9.8・深刻度 Critical）があると公表しました。影響を受けるのは、脆弱な AsyncOS を使い、かつファイルレピュテーション機能（Cisco AMP の一部）がメールポリシーで有効になっており、Content Scanner Tools が 25.3.0.5525 より前の構成です。Secure Email and Web Manager と Secure Web Appliance は影響を受けないとしています。同社は 2026 年 10 月に実際の悪用を把握したと説明しており、米 CISA も同日、悪用確認済み脆弱性カタログ（KEV）に追加しました。

回避策は無く、修正は AsyncOS 15.5.5-014・16.5.0-780 への更新（16.0 系列は修正版への移行）か、再起動なしで適用できる Content Scanner Tools 25.3.0.5525 以降への更新です。Cisco はシステムログの確認など侵害の痕跡の調べ方を示し、侵害が疑われる場合は TAC へ相談すること、仮想アプライアンスでは証拠を保全したうえで修正版の新しい環境に再構築し、認証情報を更新することを推奨しています。

日本企業への影響と対応のポイント

• Cisco Secure Email Gateway でメールの受信・送信を処理している企業（運用を委託している場合は委託先を含む）が対象です
• 管理画面でファイルレピュテーションの設定と Content Scanner Tools のバージョンを確認し、該当する場合は早期の更新を推奨します。あわせて、アドバイザリの手順で侵害の痕跡を確認し、管理インターフェースへのアクセスを信頼できる接続元に制限しているかを点検してください

出典

• Cisco Secure Email Gateway Arbitrary File Write Vulnerability（2026-10-14・Cisco）
• CISA Adds Four Known Exploited Vulnerabilities to Catalog（2026-10-14・CISA）

概要

Palo Alto Networks は 2026 年 10 月 14 日、PAN-OS の管理インターフェースに、認証済みの攻撃者が root 権限で任意のコードを実行できる脆弱性 CVE-2026-0322（CVSS 4.0 基本値 8.6・深刻度 High）があると公表しました。影響を受けるのは PA-Series・VM-Series のファイアウォールと Panorama（仮想アプライアンス・M-Series）の 10.2・11.1・11.2・12.1・12.2 系列で、Cloud NGFW と Prisma Access は影響を受けないとしています。同社は管理インターフェースを狙った「ごく限定的な悪用」を確認したと説明しており、米 CISA も同日、この脆弱性を悪用確認済み脆弱性カタログ（KEV）に追加しました。

修正版は系列ごとに公開されており（例: 12.2 系列は 12.2.4 以降、その他の系列は各ホットフィックス版）、11.2.14〜11.2.15 向けの 11.2.16 は 10 月 15 日に公開予定とされています。回避策は無く、Threat Prevention のシグネチャ（Threat ID 510046・510047）は SSL 復号を前提とした部分的な防御にとどまると説明されています。

日本企業への影響と対応のポイント

• PAN-OS を搭載したファイアウォールや Panorama を運用している企業（運用を委託している場合は委託先を含む）が対象です
• アドバイザリで自社のバージョンに対応する修正版を確認し、早期に適用することを推奨します。あわせて、管理インターフェースをインターネットに公開していないか、信頼できる内部の IP アドレス（踏み台サーバーなど）からのみ接続できるよう制限されているかを点検してください

出典

• CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution in the Management Interface（2026-10-14・Palo Alto Networks）
• CISA Adds Four Known Exploited Vulnerabilities to Catalog（2026-10-14・CISA）

概要

マイクロソフトは 2026 年 10 月 13 日（米国時間）に公開した月例のセキュリティ更新プログラムで、Windows Shell のセキュリティ機能のバイパスの脆弱性 CVE-2026-96951（CVSS 基本値 8.8）を修正し、悪用を確認済み（Exploitation Detected）としています。同社の説明では、攻撃者がメールやメッセージで細工したファイルを送り、利用者に開かせることで、インターネットから入手したファイルに付く「マークオブザウェブ（MOTW）」による防御を回避されるおそれがあります。影響を受けるのは、Windows 10（1607・1809・21H2・22H2）、Windows 11（23H2〜26H2）、Windows Server 2012 R2・2016・2019・2022・2025 です。

米 CISA は同日、この脆弱性を悪用確認済み脆弱性カタログ（KEV）に追加し、連邦政府機関に 10 月 16 日までの対応を求めています。マイクロソフトは、どのような攻撃で悪用されたかは公表していません。

日本企業への影響と対応のポイント

• 上記のバージョンの Windows クライアント・サーバーを使うすべての企業が対象です。10 月の月例更新を、悪用が確認されたものとして優先して適用することを推奨します
• 利用者が外部から受け取ったファイルを開く経路が狙われるため、更新の適用状況の確認とあわせて、メールの添付ファイルや外部リンクからのファイルに関する注意喚起を社内で行うとよいでしょう

出典

• Windows Shell Security Feature Bypass Vulnerability（CVE-2026-96951）（2026-10-13・Microsoft Security Response Center）
• CISA Adds Two Known Exploited Vulnerabilities to Catalog（2026-10-13・CISA）
• Known Exploited Vulnerabilities Catalog（2026-10-13・CISA）

概要

JPCERT/CC は 2026 年 10 月 14 日、EG セキュアソリューションズのホスト型 WAF「SiteGuard Server Edition」の OS コマンドインジェクションの脆弱性（CVE-2026-106931・CVSS v4.0 8.5）について注意喚起を出しました。影響を受けるのは Ver2.20 以降で、Apache・Nginx・IIS 版は Ver8.00 Update5 より前、FreeBSD の Apache・Nginx 版は Ver7.00 Update6 より前です。既定で有効な統計機能を使っている場合に該当し、悪用されると製品が動くサーバー上で root または SYSTEM 権限で任意の OS コマンドを実行されるおそれがあります（IIS 版 Ver3.10〜Ver4.00 Update4 は影響を受けません）。ベンダーは悪用を確認済みとしており、修正版（Ver8.00 Update5／Ver7.00 Update6）と、すぐに更新できない場合向けにサポート終了版にも適用できるパッチを提供しています。

日本企業への影響と対応のポイント

• 自社や委託先が運用する Web サーバーに SiteGuard Server Edition を導入している企業が対象です。ベンダーは直接サポート契約のある顧客に 9 月 29 日から個別に連絡しています
• 該当する場合は、更新の前に Web 管理画面から「診断情報」を取得・保全したうえで（更新で攻撃の痕跡が消えるおそれがあるとされています）、修正版かパッチを適用し、侵害の有無を確認することを推奨します。すぐに対応できないときは、JPCERT/CC が示す統計機能の無効化が回避策になります

出典

• SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起（2026-10-14・JPCERT/CC）
• SiteGuard Server Edition の脆弱性に関するお知らせ（2026-10-14・EG セキュアソリューションズ）
• JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（2026-10-14・JVN）

概要

米 CISA は 2026 年 10 月 13 日、Ivanti の VPN 製品 Ivanti Connect Secure のゼロデイの認証回避の脆弱性 CVE-2026-104935 が攻撃者に悪用されているとして注意喚起を出し、同日に悪用確認済み脆弱性カタログ（KEV）へ追加しました。認証を受けていない遠隔の攻撃者が任意のコマンドを実行でき、CISA は認証情報の窃取やデータの持ち出しに使われていると説明しています。影響を受けるのは Ivanti Connect Secure 25.1.1.1 以前、25.1.2.2 以前、22.8R2.4 以前で、CISA は Ivanti のアドバイザリに沿って最新版へ更新するよう求めています。

CISA によると、攻撃者のコマンドはメモリ上で実行されるため Ivanti の Integrity Checker Tool では検知できない場合があり、侵害の有無の確認にはネットワークとメモリのフォレンジックが必要とされています。侵害が疑われる場合は、設定のバックアップ、工場出荷時の状態への初期化と最新版への更新、すべてのアカウントのパスワードのリセット、保存している証明書の失効・再発行や API キーの再設定を行う Ivanti の復旧手順に従うよう案内しています。発見者の Volexity は、修正版が 10 月 13 日に公開された一方、あわせて使われた権限昇格の不具合の修正は今後のリリースに含まれる予定で、日程は示されていないと説明しています。

日本企業への影響と対応のポイント

• Ivanti Connect Secure をリモートアクセス用の VPN として使っている企業（委託先・グループ会社が運用している場合を含む）が対象です。該当するバージョンを使っている場合は、Ivanti のアドバイザリに沿って最新版へ速やかに更新することを推奨します
• 更新前に侵害されていた可能性も踏まえ、CISA が示す復旧手順と認証情報・証明書の再設定の要否を検討するとよいでしょう。なお CISA は、Ivanti Connect Secure 22.8 のサポートが 2027 年 1 月 31 日に終了すると案内しており、移行計画の確認もあわせて推奨します

出典

• CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure（2026-10-13・CISA）
• CISA Adds Two Known Exploited Vulnerabilities to Catalog（2026-10-13・CISA）
• A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days（2026-10-13・Volexity）

概要

米 CISA は 2026 年 10 月 8 日、実際の悪用の証拠に基づき、次の 5 件を Known Exploited Vulnerabilities（KEV）カタログに追加しました。いずれも修正が数年前に公開済みの古い脆弱性で、米連邦政府機関の対応期限は 10 月 11 日と設定されています。カタログでは BIND を除く 4 件が、更新の適用に加えて侵害の有無を調べるフォレンジック調査（forensic triage）の対象とされています。ランサムウェアでの利用は「Unknown（不明）」です。

日本企業への影響と対応のポイント

• 関係するのは、Struts 2 を使った業務 Web システム、BIND で運用する DNS サーバー、ProFTPD のファイル転送サーバーなど、長く更新されていないシステムを持つ企業と、その運用を委託している企業です。サポートが終了した版のまま動いている機器が対象になりやすい点に注意が必要です
• 資産台帳や外部公開サーバーの一覧で該当製品・バージョンの有無を確認し、該当すれば修正版への更新（更新できないものは利用停止や外部公開の制限）を推奨します。CISA が侵害調査の対象とした 4 件は、長期間外部に公開していた場合、ログや不審なファイルの確認もあわせて検討してください

出典

• Known Exploited Vulnerabilities Catalog（2026-10-08 追加分・CISA）
• S2-032（CVE-2016-3081）セキュリティ情報（Apache Struts）
• CVE-2015-5477 に関するアドバイザリ（AA-01272）（ISC）

概要

Cisco は 2026 年 9 月 30 日、Cisco Catalyst SD-WAN Manager の API に認証回避の脆弱性 CVE-2026-76504（CVSS v3.1 9.8・Cisco の評価は Critical）があるとするアドバイザリを公表しました（10 月 2 日に更新）。システムの構成にかかわらず影響を受けるとされています。Cisco PSIRT は 2026 年 9 月にこの脆弱性の悪用を把握したと説明しており、JPCERT/CC も 10 月 7 日号の Weekly Report で取り上げています。

修正版は 20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1、26.2.1 で、20.9 より前のリリースは修正版への移行が案内されています。Cisco が運用する SD-WAN Cloud はリリース 20.15.605 で対処済みで、利用者の作業は不要とされています。この脆弱性に対処できる回避策は無く、Cisco が示すネットワーク上のアクセス制限などの措置は一時的・部分的な保護にとどまると説明されています。

日本企業への影響と対応のポイント

• 関係するのは、拠点間ネットワークに Cisco Catalyst SD-WAN を採用し、SD-WAN Manager を自社で運用している企業と、その運用を受託している事業者です
• 該当する場合は、利用中のリリースを確認し、修正版への更新を推奨します。悪用が確認されているため、更新までの間はアドバイザリが示すネットワーク上のアクセス制限の適用を検討し、あわせて管理画面や API へのアクセス記録に不審なものがないかを確認することをおすすめします。運用を委託している場合は、委託先に対応状況を確認してください

出典

• Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability（2026-09-30・Cisco）
• JPCERT/CC WEEKLY REPORT 2026-10-07（2026-10-07・JPCERT/CC）

概要

シックス・アパートは 2026 年 10 月 7 日、Movable Type と Movable Type Premium のセキュリティアップデートを公開しました。JVN（JVN#91153973）と IPA によると、アップグレード用スクリプト（mt-upgrade.cgi）のコードインジェクションの脆弱性 CVE-2026-96408（CVSS v3.0 9.4・IPA の深刻度は「緊急」）により任意の Perl コードが、サイト内検索機能（mt-search.cgi）の SQL インジェクションの脆弱性 CVE-2026-103668（CVSS v3.0 8.6）により任意の SQL が、それぞれ実行される可能性があります。どちらも攻撃に認証を必要としない評価になっており、ほかにも複数の脆弱性が修正されています。

影響を受けるのは、Movable Type（Advanced を含む）の 9.2.1 以前（9.2 系はクラウド版のみ）、9.0.9 以前、8.8.5 以前、8.0.12 以前と、Movable Type Premium（Advanced Edition を含む）の 9.2.1 以前（9.2 系はクラウド版のみ）、9.0.9 以前、2.17 以前です。修正版は Movable Type 9.3.0・9.0.10・8.8.6・8.0.13、Movable Type Premium 9.3.0・9.0.10・2.18 です。サポートが終了した Movable Type 8.4 系・7 系以前と Movable Type Premium 1 系も影響を受けると公表されています。IPA・JVN・シックス・アパートの公表文には、悪用の有無についての記載はありません（10 月 8 日時点）。

すぐに更新できない場合の回避策として、CGI で動かしている環境では mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi の削除または実行権限の削除、PSGI で動かしている環境では mt-config.cgi への RestrictedPSGIApp の設定が案内されています。クラウド版は、自動アップデートを有効にしているお客様には適用済みと説明されています。

日本企業への影響と対応のポイント

• 関係するのは、自社の Web サイトやオウンドメディアを Movable Type・Movable Type Premium で運用している企業と、その構築・保守を受託している制作会社や運用事業者です。ソフトウェア版・AMI 版のほか、自動アップデートを無効にしているクラウド版も対象です
• 該当する場合は、利用中のバージョンを確認し、修正版への更新を推奨します。サポート終了版を使っている場合や更新に時間がかかる場合は、まず回避策の適用を検討し、あわせてサポート対象のバージョンへの移行計画を立てることをおすすめします。保守を委託している場合は、委託先に対応状況を確認してください

出典

• 「Movable Type」における複数の脆弱性について（JVN#91153973）（2026-10-07・IPA）
• JVN#91153973 Movable Type における複数の脆弱性（2026-10-07・JVN）
• Movable Type 9.3.0 / 9.0.10 / 8.8.6 / 8.0.13、Movable Type Premium 9.3.0 / 9.0.10 / 2.18 の提供を開始（セキュリティアップデート）（2026-10-07・シックス・アパート）

概要

Cloud Software Group は 2026 年 9 月 27 日、NetScaler ADC と NetScaler Gateway の CVE-2026-88771〜CVE-2026-88778 を公表し、このうち CVE-2026-88771（未認証での任意のコマンド実行）と CVE-2026-88772（DTLS 有効時のメモリオーバーフロー）は未対策の環境で悪用が確認されたと説明しています。影響を受けるのは 14.1-73.37 より前、13.1-64.23 より前、14.1-73.37 FIPS より前、13.1-37.279（FIPS・NDcPP）より前のバージョンです。JPCERT/CC は 9 月 28 日に注意喚起を出し、9 月 24 日以降に国内の NetScaler を狙った攻撃の試行を観測していること、回避策は無く修正版の適用を推奨することを示し、10 月 2 日に Mandiant・Google Threat Intelligence の情報を追記しました。

続いて同社は 10 月 3 日、SAML のサービスプロバイダーまたは ID プロバイダーとして構成した機器に影響する CVE-2026-88779（メモリオーバーフローによるサービス妨害・CVSS v4.0 8.7）を公表しました。修正版は 14.1-73.41、13.1-64.28、14.1-73.41 FIPS、13.1-37.282（FIPS・NDcPP）以降です。同社の公表文に悪用の記載はありませんが、CISA は 10 月 4 日、悪用の証拠に基づいてこの脆弱性を Known Exploited Vulnerabilities（KEV）カタログに追加しました。

日本企業への影響と対応のポイント

• 関係するのは、リモートアクセスや負荷分散のために NetScaler ADC・Gateway（旧 Citrix ADC・Citrix Gateway）を使っている企業です。運用を委託している場合は、委託先での対応状況の確認が対象になります
• 該当する場合は、9 月の修正版ではなく CVE-2026-88779 にも対応した 14.1-73.41・13.1-64.28 以降への更新を推奨します。9 月下旬以前から外部に公開していた機器は、JPCERT/CC の注意喚起に挙げられた侵害の確認項目（設定ファイルの改変や Web シェルの有無など）に沿った調査もあわせて検討してください

出典

• Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88779（CTX697174）（2026-10-03・Cloud Software Group）
• Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771 through CVE-2026-88778（CTX697096）（2026-09-27・Cloud Software Group）
• NetScaler ADC および NetScaler Gateway の複数の脆弱性（CVE-2026-88771、CVE-2026-88772 等）に関する注意喚起（2026-09-28 公開・2026-10-02 更新・JPCERT/CC）
• CISA Adds One Known Exploited Vulnerability to Catalog（2026-10-04・CISA）

概要

Fortinet は 2026 年 10 月 1 日、FortiMail のパストラバーサルと NULL バイトの不適切な処理による脆弱性 CVE-2026-104286（FG-IR-26-175・CVSS v3.1 9.8）を公表し、実際の攻撃での悪用が報告されていると説明しました。細工した HTTP・HTTPS リクエストにより、認証されていない攻撃者が基盤のシステムに任意のファイルを書き込める可能性があります。影響を受けるのは FortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9 です。

公表時点では修正版が未提供でしたが、10 月 5 日に更新されたアドバイザリでは 8.0.2、7.6.7、7.4.9 以降が修正版として示されています。7.2 系は 7.4 以降への移行が案内されています。すぐに更新できない場合の回避策として、IBE（ID ベース暗号化）機能の無効化や、Web メールへのインターネットからのアクセスを信頼できるネットワークに限定することなどが挙げられています。CISA は 10 月 1 日にこの脆弱性を Known Exploited Vulnerabilities（KEV）カタログに追加しています。

日本企業への影響と対応のポイント

• 関係するのは、メールゲートウェイとして FortiMail を使っている企業と、その運用を受託している事業者です
• 該当する場合は、修正版（8.0.2・7.6.7・7.4.9 以降）への更新を推奨します。更新までの間は、アドバイザリの回避策の適用と、管理画面・Web メールがインターネットに公開されていないかの確認を検討してください

出典

• FortiMail の脆弱性 CVE-2026-104286 に関するアドバイザリ（FG-IR-26-175）（2026-10-01 公開・2026-10-05 更新・Fortinet PSIRT）
• CISA Adds One Known Exploited Vulnerability to Catalog（2026-10-01・CISA）
• 補足: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)（2026-10-02・Help Net Security）