SECURITY NEWS

セキュリティニュース

世界と日本の規制・法令、脆弱性、インシデントの動きを毎日お届けします。

このページに掲載しているニュースは、インターネット上で公開されている情報をもとに AI（Anthropic 社の Claude）が自動で収集・要約したものです。要約には誤りや古い情報が含まれる場合があります。内容の真偽や詳細は、各ニュースに記載している出典の URL にアクセスして、ご自身でご確認ください。
脆弱性・注意喚起 の RSS Teams や Slack で受け取る

脆弱性・注意喚起 の他のニュース

  1. global Check Point の Gaia OS で root 権限を得られる脆弱性 CVE-2026-123039、CISA が悪用確認済みに追加 CISA 米 CISA は 11 月 13 日、Check Point の Gaia OS でログイン済みの利用者が root 権限でコマンドを実行できる脆弱性と、UnrealIRCd の脆弱性の 2 件を、悪用が確認された脆弱性のカタログに追加しました。
  2. global NetScaler ADC / Gateway に脆弱性 28 件、最大 CVSS 9.5 で既定の構成にも影響 修正版を公開 Cloud Software Group（Citrix） Cloud Software Group が NetScaler ADC / Gateway の脆弱性 28 件を公表しました。既定の構成で影響する CVE-2026-120868 を含み回避策は無いため、オンプレミスで使う企業は修正版への更新が勧められます。
  3. global Microsoft が 11 月の月例更新を公開、悪用が確認された Outlook の CVE-2026-124194 などを修正 JPCERT/CC Microsoft の 11 月の月例更新について JPCERT/CC と IPA が 11 月 11 日に注意喚起しました。悪用が確認された Outlook のなりすましの脆弱性 CVE-2026-124194 が含まれ、IPA は至急の適用を呼びかけています。
  4. global FortiOS に深刻度「クリティカル」の脆弱性 3 件、HA 構成でのコマンド実行など 修正版を公開 Fortinet PSIRT Fortinet は 11 月 10 日、FortiOS の脆弱性 8 件を公表し、HA 構成で認証なしにコマンドを実行されうる CVE-2026-126259 など 3 件を「クリティカル」としました。悪用は確認されておらず、7.2〜8.0 系に修正版があります。
  5. global Microsoft Outlook・Barracuda ESG・Cisco BroadWorks などの脆弱性、CISA が悪用確認済みに追加 CISA 米 CISA は 11 月 10 日、Outlook・Barracuda の 2 件・Cisco BroadWorks・Webtop Media Transcoder・Chromium の計 6 件を、悪用が確認された脆弱性のカタログ（KEV）に追加しました。
  6. US musl 環境の OpenSSH の認証回避や IBM Aspera Faspex など 4 件、CISA が悪用確認済みに追加 CISA CISA は 11 月 9 日、Alpine Linux など musl 環境の OpenSSH の認証回避、IBM Aspera Faspex の認可の不備、GPUStack と FreeSWITCH の脆弱性の計 4 件を悪用確認済みのカタログに追加しました。
  7. global Google Chrome の XML 処理に解放後使用の脆弱性 CVE-2026-125350、悪用を確認し修正版 157.0.8103.50/.51 を公開 Google Chrome Releases Google は 11 月 9 日（米国時間）、デスクトップ版 Chrome の安定版 157.0.8103.50/.51 を公開し、9 件の脆弱性を修正しました。XML 処理の解放後使用の脆弱性 CVE-2026-125350 は、悪用するコードが出回っていると説明しています。
  8. global SonicWall SonicOS の SSLVPN に SAML 認証を回避できる脆弱性 CVE-2026-19868、CISA が悪用確認済みに追加 CISA SonicWall のファイアウォール OS「SonicOS」の SSLVPN に、別の認証方式の正規の資格情報で SAML 認証（多要素認証を含む）を回避できる脆弱性があり、悪用が報告されています。米 CISA は 11 月 6 日に KEV へ追加しました。
  9. global Apple 製品の WebKit の脆弱性 CVE-2024-27834、CISA が悪用確認済みに追加 2024 年 5 月に修正済み CISA CISA は 11 月 4 日、Apple 製品の WebKit の脆弱性 CVE-2024-27834 を悪用確認済みのカタログに追加しました。Apple は 2024 年 5 月の Safari 17.5・iOS 17.5 などで修正済みです。
  10. global WordPress の更新処理に遠隔コード実行の脆弱性 CVE-2026-119977、CISA が悪用確認済みに追加 CISA 米 CISA は 11 月 3 日、WordPress 本体の更新処理の競合状態の脆弱性 CVE-2026-119977 を悪用確認済み脆弱性カタログ（KEV）に追加しました。更新中に認証なしでコードを実行されるおそれがあり、修正版 7.1.4 は公開済みです。
  11. global Ivanti Connect Secure の追加の脆弱性 2 件が悪用カタログに、10 月の認証回避と連鎖した攻撃 CISA 米 CISA は 10 月 30 日、Ivanti Connect Secure の脆弱性 2 件を悪用確認済みカタログに追加しました。Ivanti は 10 月公表の認証回避の脆弱性と組み合わせた攻撃を確認し、修正版を公開しています。
  12. global GitLab の遠隔コード実行の脆弱性 CVE-2026-97229、CISA が悪用確認済みに追加 CISA 米 CISA は 10 月 29 日、GitLab CE/EE の脆弱性 CVE-2026-97229 を悪用確認済み脆弱性カタログ（KEV）に追加しました。認証なしで任意のコード実行につながるおそれがあり、修正版は 10 月 12 日に公開済みです。
  13. global Cisco Secure Firewall ASA・FTD の SSL VPN に DoS の脆弱性 CVE-2026-76418、悪用を確認し修正版を公開 Cisco Cisco が Secure Firewall ASA と FTD のリモートアクセス SSL VPN にサービス拒否の脆弱性 CVE-2026-76418 があり、2026 年 10 月に悪用を確認したと公表しました。二次認証を設定した構成が対象で、修正版が出ています。
  14. US Linux カーネルの CVE-2026-46300 と VMware ESX の CVE-2026-41709、CISA が悪用確認済みに追加 CISA 米 CISA が 10 月 28 日、Linux カーネルの脆弱性 CVE-2026-46300 と VMware ESX の CVE-2026-41709 を、悪用の証拠に基づいて悪用確認済み脆弱性カタログ（KEV）に追加しました。両製品の更新状況の確認が勧められます。
  15. global PHP の脆弱性 2 件と Brotli・Adobe Commerce の脆弱性を CISA が悪用確認済みに追加 CISA CISA は 10 月 26・27 日、PHP の脆弱性 2 件と、圧縮ライブラリ Brotli、Adobe Commerce・Magento の脆弱性を、悪用が確認された脆弱性のカタログ（KEV）に追加しました。いずれも修正版が出ています。
  16. global 圧縮ライブラリ Brotli の C 実装に境界外書き込みの脆弱性 CVE-2026-111497、Node.js など幅広い製品に影響 JPCERT/CC JPCERT/CC は 10 月 26 日、Google の圧縮ライブラリ Brotli の C 実装に任意のコード実行につながる脆弱性 CVE-2026-111497 があるとして注意喚起を出しました。Node.js などが影響を受け、修正版が公開されています。
  17. global SD-WAN 管理製品 VeloCloud Orchestrator のオンプレミス版に脆弱性 CVE-2026-114625、悪用を受け修正版を公開 Arista Networks Arista は 10 月 22 日、SD-WAN の管理製品 VeloCloud Orchestrator（VCO）のオンプレミス版に深刻な脆弱性 CVE-2026-114625 があり、悪用を確認したとして修正版を公開しました。CISA も KEV に追加しています。
  18. global Oracle が 10 月の定例パッチで脆弱性を修正、IPA が Java SE の早急な更新を呼びかけ IPA（情報処理推進機構） Oracle が四半期ごとの定例パッチ（Critical Patch Update）を 10 月 20 日に公開し、IPA は Java SE 27・25・21・17・11・8 などの脆弱性について、攻撃された場合の影響が大きいとして早急な更新を呼びかけています。
  19. global PHP に認証なしで遠隔コード実行につながる脆弱性 2 件、修正版 8.5.12 などを公開し各国当局が早期適用を要請 The PHP Group PHP の開発チームが 10 月 21 日、認証なしで遠隔からコードを実行されうる脆弱性 CVE-2026-109618・CVE-2026-109619 を修正した 8.5.12 などを公開しました。悪用は未確認ですが、CISA や EU 当局が早期の適用を求めています。
  20. global FortiOS など Fortinet 製品の CLI のパストラバーサル脆弱性 CVE-2025-61624、CISA が悪用確認済みに追加 Fortinet 米 CISA は 10 月 16 日、FortiOS・FortiProxy など Fortinet 製品の CLI に関するパストラバーサルの脆弱性 CVE-2025-61624 を悪用確認済みカタログに追加しました。修正版は 4 月に公開されています。
  21. global BeyondTrust Remote Support に認証回避の脆弱性 CVE-2026-102764、ゼロデイ悪用を受けパッチを公開 BeyondTrust BeyondTrust は 10 月 15 日、Remote Support の重大な脆弱性 CVE-2026-102764 を公表しました。ゼロデイとして悪用されており、米 CISA も 16 日に悪用確認済みカタログへ追加し、パッチ適用を求めています。
  22. JP EC-CUBE 4 の「AmazonPay プラグイン」に脆弱性 CVE-2026-103671、悪用を確認しパッチを公開 JVN EC-CUBE 4 向けの公式決済プラグイン「AmazonPay プラグイン」に、購入手続き中に利用者を任意のサイトへ誘導されうる脆弱性 CVE-2026-103671 が見つかりました。悪用が確認されており、開発者がパッチを公開しています。
  23. global Atlassian の Jira・Confluence など Data Center 製品の脆弱性 CVE-2026-21589、CISA が悪用確認済みに追加 Atlassian 米 CISA は 10 月 15 日、Jira・Confluence など Atlassian の Data Center 製品の任意ファイルアクセスの脆弱性 CVE-2026-21589 を悪用確認済みカタログに追加しました。修正版は公開済みです。
  24. global Cisco Secure Email Gateway に任意ファイル書き込みの脆弱性 CVE-2026-76519、悪用を確認し修正版を公開 Cisco Cisco が Secure Email Gateway の CVE-2026-76519（CVSS 9.8）を公表しました。ファイルレピュテーションを有効にした構成が対象で、悪用が確認され米 CISA も KEV に追加しました。修正版の適用と侵害の痕跡の確認を推奨します。
  25. global Palo Alto Networks PAN-OS の管理画面に脆弱性 CVE-2026-0322、限定的な悪用を確認し修正版を公開 Palo Alto Networks Palo Alto Networks が PAN-OS の管理インターフェースにコード実行の脆弱性 CVE-2026-0322 を公表しました。限定的な悪用が確認され、米 CISA も悪用確認済みカタログに追加しています。修正版の適用と管理画面へのアクセス制限を確認してください。
  26. global Windows Shell の脆弱性 CVE-2026-96951 が悪用、10 月の月例更新で修正されマークオブザウェブ回避のおそれ Microsoft Security Response Center マイクロソフトは 10 月 13 日（米国時間）の月例更新で、悪用を確認した Windows Shell の脆弱性 CVE-2026-96951 を修正しました。細工したファイルでマークオブザウェブの警告を回避されるおそれがあり、CISA も KEV に追加しています。
  27. JP SiteGuard Server Edition に OS コマンドインジェクションの脆弱性 CVE-2026-106931、悪用を確認し修正版を公開 JPCERT/CC 国内で広く使われる WAF「SiteGuard Server Edition」に、root/SYSTEM 権限で OS コマンドを実行されうる脆弱性があり、悪用も確認されています。JPCERT/CC が注意喚起し、修正版とパッチが公開されています。
  28. global Ivanti Connect Secure にゼロデイの認証回避の脆弱性 CVE-2026-104935、悪用を受け修正版を公開 CISA 米 CISA は 10 月 13 日、Ivanti Connect Secure の認証回避の脆弱性 CVE-2026-104935 が悪用されているとして、悪用確認済みカタログへの追加と速やかな更新を呼びかけました。同日に修正版が公開されています。
  29. global 米 CISA が Apache Struts・BIND・ProFTPD など古い脆弱性 5 件を悪用確認済みカタログに追加 CISA CISA は 10 月 8 日、Apache Struts・BIND・ProFTPD など 2015〜2023 年の脆弱性 5 件を、悪用の証拠に基づき KEV カタログに追加しました。更新されないまま残る旧システムの点検が論点です。
  30. global Cisco Catalyst SD-WAN Manager に認証回避の脆弱性 CVE-2026-76504、悪用を確認し修正版を公開 Cisco Cisco は SD-WAN の管理製品 Catalyst SD-WAN Manager の API で認証を回避される脆弱性 CVE-2026-76504（CVSS 9.8）を公表し、修正版を公開しました。9 月に悪用を確認しており、回避策はありません。
← 一覧へ戻る
脆弱性・注意喚起

Cisco Secure Firewall ASA・FTD の SSL VPN に DoS の脆弱性 CVE-2026-76418、悪用を確認し修正版を公開

掲載日
出典
Cisco（2026-10-28）
地域
global

概要

Cisco は 2026 年 10 月 28 日（GMT）、Cisco Secure Firewall ASA Software と Secure Firewall Threat Defense（FTD）Software のリモートアクセス SSL VPN にサービス拒否（DoS）の脆弱性 CVE-2026-76418（CVSS 3.1 で 8.6・High）があると公表しました。SSL VPN を有効にしたインターフェースがあり、トンネルグループで二次認証（secondary-authentication-server-group）を設定している構成が対象です。Cisco PSIRT は 2026 年 10 月にこの脆弱性の悪用を把握したとしています。修正版は ASA が 9.16.4.104・9.18.4.96・9.20.4.50・9.22.3.200・9.23.1.48・9.24.1.27 など、FTD が 7.0.11・7.2.13・7.4.9・7.6.7・7.7.14・10.0.3・10.1.1 で、根本的な回避策は無く、二次認証を外す緩和策は VPN の安全性を下げると説明しています。

日本企業への影響と対応のポイント

  • Cisco ASA・FTD でリモートアクセス VPN を提供し、二次認証を使っている企業に関係します（クラウド提供型の Firewall や Secure Access は対象外とされています）
  • 該当する構成かをアドバイザリの手順で確認し、修正版への更新を早めに計画することを推奨します。更新までの緩和策は VPN の認証が弱まるため、影響を評価したうえで判断してください

出典

今後の主な期限・予定

掲載したニュースの出典で日付を確認できたものだけを載せています。

  1. global Ivanti Connect Secure 22.8 のサポートが終了 CISA が CVE-2026-104935 の注意喚起で案内。25.x への移行は Ivanti の互換性ガイドを参照
  2. JP 犯罪収益移転防止法施行規則の改正が施行、本人確認書類の画像送信による本人確認方法が廃止 IC チップ情報の読取りに原則一本化。金融庁は施行日を待たない早期対応を要請
  3. EU EU サイバーレジリエンス法（CRA）の主要な義務（設計・開発・脆弱性対応など）とオープンソース・スチュワードの報告義務が適用開始 製造者の脆弱性・重大インシデントの報告義務は 2026-09-11 に適用済み