脆弱性・注意喚起 の他のニュース

1. global 2026/11/14 Check Point の Gaia OS で root 権限を得られる脆弱性 CVE-2026-123039、CISA が悪用確認済みに追加 CISA 米 CISA は 11 月 13 日、Check Point の Gaia OS でログイン済みの利用者が root 権限でコマンドを実行できる脆弱性と、UnrealIRCd の脆弱性の 2 件を、悪用が確認された脆弱性のカタログに追加しました。
2. global 2026/11/13 NetScaler ADC / Gateway に脆弱性 28 件、最大 CVSS 9.5 で既定の構成にも影響 修正版を公開 Cloud Software Group（Citrix） Cloud Software Group が NetScaler ADC / Gateway の脆弱性 28 件を公表しました。既定の構成で影響する CVE-2026-120868 を含み回避策は無いため、オンプレミスで使う企業は修正版への更新が勧められます。
3. global 2026/11/12 Microsoft が 11 月の月例更新を公開、悪用が確認された Outlook の CVE-2026-124194 などを修正 JPCERT/CC Microsoft の 11 月の月例更新について JPCERT/CC と IPA が 11 月 11 日に注意喚起しました。悪用が確認された Outlook のなりすましの脆弱性 CVE-2026-124194 が含まれ、IPA は至急の適用を呼びかけています。
4. global 2026/11/11 FortiOS に深刻度「クリティカル」の脆弱性 3 件、HA 構成でのコマンド実行など 修正版を公開 Fortinet PSIRT Fortinet は 11 月 10 日、FortiOS の脆弱性 8 件を公表し、HA 構成で認証なしにコマンドを実行されうる CVE-2026-126259 など 3 件を「クリティカル」としました。悪用は確認されておらず、7.2〜8.0 系に修正版があります。
5. global 2026/11/11 Microsoft Outlook・Barracuda ESG・Cisco BroadWorks などの脆弱性、CISA が悪用確認済みに追加 CISA 米 CISA は 11 月 10 日、Outlook・Barracuda の 2 件・Cisco BroadWorks・Webtop Media Transcoder・Chromium の計 6 件を、悪用が確認された脆弱性のカタログ（KEV）に追加しました。
6. US 2026/11/10 musl 環境の OpenSSH の認証回避や IBM Aspera Faspex など 4 件、CISA が悪用確認済みに追加 CISA CISA は 11 月 9 日、Alpine Linux など musl 環境の OpenSSH の認証回避、IBM Aspera Faspex の認可の不備、GPUStack と FreeSWITCH の脆弱性の計 4 件を悪用確認済みのカタログに追加しました。
7. global 2026/11/10 Google Chrome の XML 処理に解放後使用の脆弱性 CVE-2026-125350、悪用を確認し修正版 157.0.8103.50/.51 を公開 Google Chrome Releases Google は 11 月 9 日（米国時間）、デスクトップ版 Chrome の安定版 157.0.8103.50/.51 を公開し、9 件の脆弱性を修正しました。XML 処理の解放後使用の脆弱性 CVE-2026-125350 は、悪用するコードが出回っていると説明しています。
8. global 2026/11/7 SonicWall SonicOS の SSLVPN に SAML 認証を回避できる脆弱性 CVE-2026-19868、CISA が悪用確認済みに追加 CISA SonicWall のファイアウォール OS「SonicOS」の SSLVPN に、別の認証方式の正規の資格情報で SAML 認証（多要素認証を含む）を回避できる脆弱性があり、悪用が報告されています。米 CISA は 11 月 6 日に KEV へ追加しました。
9. global 2026/11/6 Apple 製品の WebKit の脆弱性 CVE-2024-27834、CISA が悪用確認済みに追加 2024 年 5 月に修正済み CISA CISA は 11 月 4 日、Apple 製品の WebKit の脆弱性 CVE-2024-27834 を悪用確認済みのカタログに追加しました。Apple は 2024 年 5 月の Safari 17.5・iOS 17.5 などで修正済みです。
10. global 2026/11/4 WordPress の更新処理に遠隔コード実行の脆弱性 CVE-2026-119977、CISA が悪用確認済みに追加 CISA 米 CISA は 11 月 3 日、WordPress 本体の更新処理の競合状態の脆弱性 CVE-2026-119977 を悪用確認済み脆弱性カタログ（KEV）に追加しました。更新中に認証なしでコードを実行されるおそれがあり、修正版 7.1.4 は公開済みです。
11. global 2026/10/31 Ivanti Connect Secure の追加の脆弱性 2 件が悪用カタログに、10 月の認証回避と連鎖した攻撃 CISA 米 CISA は 10 月 30 日、Ivanti Connect Secure の脆弱性 2 件を悪用確認済みカタログに追加しました。Ivanti は 10 月公表の認証回避の脆弱性と組み合わせた攻撃を確認し、修正版を公開しています。
12. global 2026/10/30 GitLab の遠隔コード実行の脆弱性 CVE-2026-97229、CISA が悪用確認済みに追加 CISA 米 CISA は 10 月 29 日、GitLab CE/EE の脆弱性 CVE-2026-97229 を悪用確認済み脆弱性カタログ（KEV）に追加しました。認証なしで任意のコード実行につながるおそれがあり、修正版は 10 月 12 日に公開済みです。
13. global 2026/10/29 Cisco Secure Firewall ASA・FTD の SSL VPN に DoS の脆弱性 CVE-2026-76418、悪用を確認し修正版を公開 Cisco Cisco が Secure Firewall ASA と FTD のリモートアクセス SSL VPN にサービス拒否の脆弱性 CVE-2026-76418 があり、2026 年 10 月に悪用を確認したと公表しました。二次認証を設定した構成が対象で、修正版が出ています。
14. US 2026/10/29 Linux カーネルの CVE-2026-46300 と VMware ESX の CVE-2026-41709、CISA が悪用確認済みに追加 CISA 米 CISA が 10 月 28 日、Linux カーネルの脆弱性 CVE-2026-46300 と VMware ESX の CVE-2026-41709 を、悪用の証拠に基づいて悪用確認済み脆弱性カタログ（KEV）に追加しました。両製品の更新状況の確認が勧められます。
15. global 2026/10/28 PHP の脆弱性 2 件と Brotli・Adobe Commerce の脆弱性を CISA が悪用確認済みに追加 CISA CISA は 10 月 26・27 日、PHP の脆弱性 2 件と、圧縮ライブラリ Brotli、Adobe Commerce・Magento の脆弱性を、悪用が確認された脆弱性のカタログ（KEV）に追加しました。いずれも修正版が出ています。
16. global 2026/10/27 圧縮ライブラリ Brotli の C 実装に境界外書き込みの脆弱性 CVE-2026-111497、Node.js など幅広い製品に影響 JPCERT/CC JPCERT/CC は 10 月 26 日、Google の圧縮ライブラリ Brotli の C 実装に任意のコード実行につながる脆弱性 CVE-2026-111497 があるとして注意喚起を出しました。Node.js などが影響を受け、修正版が公開されています。
17. global 2026/10/27 SD-WAN 管理製品 VeloCloud Orchestrator のオンプレミス版に脆弱性 CVE-2026-114625、悪用を受け修正版を公開 Arista Networks Arista は 10 月 22 日、SD-WAN の管理製品 VeloCloud Orchestrator（VCO）のオンプレミス版に深刻な脆弱性 CVE-2026-114625 があり、悪用を確認したとして修正版を公開しました。CISA も KEV に追加しています。
18. global 2026/10/23 Oracle が 10 月の定例パッチで脆弱性を修正、IPA が Java SE の早急な更新を呼びかけ IPA（情報処理推進機構） Oracle が四半期ごとの定例パッチ（Critical Patch Update）を 10 月 20 日に公開し、IPA は Java SE 27・25・21・17・11・8 などの脆弱性について、攻撃された場合の影響が大きいとして早急な更新を呼びかけています。
19. global 2026/10/22 PHP に認証なしで遠隔コード実行につながる脆弱性 2 件、修正版 8.5.12 などを公開し各国当局が早期適用を要請 The PHP Group PHP の開発チームが 10 月 21 日、認証なしで遠隔からコードを実行されうる脆弱性 CVE-2026-109618・CVE-2026-109619 を修正した 8.5.12 などを公開しました。悪用は未確認ですが、CISA や EU 当局が早期の適用を求めています。
20. global 2026/10/18 FortiOS など Fortinet 製品の CLI のパストラバーサル脆弱性 CVE-2025-61624、CISA が悪用確認済みに追加 Fortinet 米 CISA は 10 月 16 日、FortiOS・FortiProxy など Fortinet 製品の CLI に関するパストラバーサルの脆弱性 CVE-2025-61624 を悪用確認済みカタログに追加しました。修正版は 4 月に公開されています。
21. global 2026/10/18 BeyondTrust Remote Support に認証回避の脆弱性 CVE-2026-102764、ゼロデイ悪用を受けパッチを公開 BeyondTrust BeyondTrust は 10 月 15 日、Remote Support の重大な脆弱性 CVE-2026-102764 を公表しました。ゼロデイとして悪用されており、米 CISA も 16 日に悪用確認済みカタログへ追加し、パッチ適用を求めています。
22. JP 2026/10/17 EC-CUBE 4 の「AmazonPay プラグイン」に脆弱性 CVE-2026-103671、悪用を確認しパッチを公開 JVN EC-CUBE 4 向けの公式決済プラグイン「AmazonPay プラグイン」に、購入手続き中に利用者を任意のサイトへ誘導されうる脆弱性 CVE-2026-103671 が見つかりました。悪用が確認されており、開発者がパッチを公開しています。
23. global 2026/10/17 Atlassian の Jira・Confluence など Data Center 製品の脆弱性 CVE-2026-21589、CISA が悪用確認済みに追加 Atlassian 米 CISA は 10 月 15 日、Jira・Confluence など Atlassian の Data Center 製品の任意ファイルアクセスの脆弱性 CVE-2026-21589 を悪用確認済みカタログに追加しました。修正版は公開済みです。
24. global 2026/10/16 Cisco Secure Email Gateway に任意ファイル書き込みの脆弱性 CVE-2026-76519、悪用を確認し修正版を公開 Cisco Cisco が Secure Email Gateway の CVE-2026-76519（CVSS 9.8）を公表しました。ファイルレピュテーションを有効にした構成が対象で、悪用が確認され米 CISA も KEV に追加しました。修正版の適用と侵害の痕跡の確認を推奨します。
25. global 2026/10/15 Palo Alto Networks PAN-OS の管理画面に脆弱性 CVE-2026-0322、限定的な悪用を確認し修正版を公開 Palo Alto Networks Palo Alto Networks が PAN-OS の管理インターフェースにコード実行の脆弱性 CVE-2026-0322 を公表しました。限定的な悪用が確認され、米 CISA も悪用確認済みカタログに追加しています。修正版の適用と管理画面へのアクセス制限を確認してください。
26. global 2026/10/14 Windows Shell の脆弱性 CVE-2026-96951 が悪用、10 月の月例更新で修正されマークオブザウェブ回避のおそれ Microsoft Security Response Center マイクロソフトは 10 月 13 日（米国時間）の月例更新で、悪用を確認した Windows Shell の脆弱性 CVE-2026-96951 を修正しました。細工したファイルでマークオブザウェブの警告を回避されるおそれがあり、CISA も KEV に追加しています。
27. JP 2026/10/14 SiteGuard Server Edition に OS コマンドインジェクションの脆弱性 CVE-2026-106931、悪用を確認し修正版を公開 JPCERT/CC 国内で広く使われる WAF「SiteGuard Server Edition」に、root/SYSTEM 権限で OS コマンドを実行されうる脆弱性があり、悪用も確認されています。JPCERT/CC が注意喚起し、修正版とパッチが公開されています。
28. global 2026/10/14 Ivanti Connect Secure にゼロデイの認証回避の脆弱性 CVE-2026-104935、悪用を受け修正版を公開 CISA 米 CISA は 10 月 13 日、Ivanti Connect Secure の認証回避の脆弱性 CVE-2026-104935 が悪用されているとして、悪用確認済みカタログへの追加と速やかな更新を呼びかけました。同日に修正版が公開されています。
29. global 2026/10/12 米 CISA が Apache Struts・BIND・ProFTPD など古い脆弱性 5 件を悪用確認済みカタログに追加 CISA CISA は 10 月 8 日、Apache Struts・BIND・ProFTPD など 2015〜2023 年の脆弱性 5 件を、悪用の証拠に基づき KEV カタログに追加しました。更新されないまま残る旧システムの点検が論点です。
30. global 2026/10/9 Cisco Catalyst SD-WAN Manager に認証回避の脆弱性 CVE-2026-76504、悪用を確認し修正版を公開 Cisco Cisco は SD-WAN の管理製品 Catalyst SD-WAN Manager の API で認証を回避される脆弱性 CVE-2026-76504（CVSS 9.8）を公表し、修正版を公開しました。9 月に悪用を確認しており、回避策はありません。