本文へ移動

LegalAgent AI Legal Lab

脆弱性ニュース

国内外で公表されたソフトウェア・機器の脆弱性のうち、公的機関の注意喚起、悪用の確認、深刻度「緊急」、サービス停止、Xでの話題のいずれかに当たるものを、開発元と公的機関の公表に基づいて掲載しています。2026年11月7日時点

注目の脆弱性

初公表から90日以内のもののうち、悪用が確認され修正版が一部の版にしかないもの、又は直近にサービス停止が相次いだものです。

  1. 悪用を確認

    Airbyte（Connector Builder・Manifest Server）

    CVSS 9.9（v3.1・Airbyte（GitHubセキュリティアドバイザリ））

  2. 悪用を確認

    PHP通称「php2shell」

    CVSS 9.2（v4.0・PHP開発チーム）

  3. 悪用を確認

    Collabora Online - Built-in CODE Server（Nextcloud用アプリ）

    CVSS 9.2（v4.0・Collabora）

  4. 悪用を確認

    Zammad

    CVSS 9.8（v3.1・NVD）

  5. 悪用を確認

    Fortinet FortiMail

    CVSS 9.8（v3.1・Fortinet）

数字で見る掲載分

掲載件数
66件
悪用を確認
39件
修正版なし・一部のみ
13件
国内の注意喚起あり
13件

掲載基準・用語

月別の一覧 · 2026年

すべて · 66件

2026年11月

  1. 続報あり

    JetBrains製品群（11月公表）

    JetBrains · CVE-2026-123832、CVE-2026-123831、CVE-2026-123279、CVE-2026-123294

    JetBrainsはCLionのSafe Modeでのコード実行、Dataloreの閲覧権限利用者によるコード実行、Hubの権限昇格などの修正を公表。カナダCCCSは11月6日、IntelliJ IDEA、Ktor、YouTrack等も含む注意喚起を公表した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.6（v3.1・JetBrains CNA（掲載した4件の最大値））海外：CCCS

    詳細と出典（経過2件）
    対象と修正版

    掲載CVEの修正版はCLion 2026.2（Meson設定の問題は2026.1.4も対象）、Datalore 2026.4、Hub 2026.2.52556。CCCSの他の対象ではCLion 2026.3・2026.2.4.1、Datalore 2026.2.4、Hub 2026.2.52519、Ktor 3.6.1等の修正版が示されており、修正対象は脆弱性ごとに異なる。

    経過と出典
    1. 開発元の脆弱性情報出典（外部リンクを開く）
    2. カナダCCCSの注意喚起出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起

    資料確認日：2026-11-07

  2. 続報あり

    SonicWall SonicOS（SSLVPN認証）

    SonicWall · CVE-2026-19868

    SSLVPNでSAML認証を有効にしている場合、別の認証方式の有効な資格情報を持つ者がSAML認証や同方式による多要素認証を迂回できる脆弱性を公表。11月6日にCISAがKEVへ追加した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 7.1（v3.1・SonicWall（当該CVEの評価））海外：CCCS

    詳細と出典（経過3件）
    対象と修正版

    Gen7は7.3.3-7015以前、Gen8は8.2.2-8015以前。開発元はGen7の7.3.4-7013以降、Gen8の8.2.3-8015以降を修正版としている。SAMLを有効にしたSSLVPNが対象。

    経過と出典
    1. 開発元の脆弱性情報出典（外部リンクを開く）
    2. カナダCCCSの注意喚起出典（外部リンクを開く）
    3. CISAがKEVへ追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.11.06追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-07

  3. 続報あり

    Mozilla Firefox 159.0.1のセキュリティ修正

    Mozilla · CVE-2026-120572

    Mozillaは11月3日、Layout: Block and Inlineコンポーネントの境界条件の不備を修正したFirefox 159.0.1を公表。深刻度をHighと評価し、11月6日にカナダCCCSが注意喚起した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありWeb基盤・言語

    CVSS未公表海外：CCCS

    詳細と出典（経過2件）
    対象と修正版

    Firefox 159.0.1より前。159.0.1で修正。開発元の公表に数値のCVSS評価はない。

    経過と出典
    1. 開発元の脆弱性情報出典（外部リンクを開く）
    2. カナダCCCSの注意喚起出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起

    資料確認日：2026-11-07

  4. 続報あり

    Ruby on Rails（Active Storage）

    Rails · GHSA-f3w6-w445-fwh9

    画像処理にImageMagickを使うActive Storageで、細工したファイルを添付させることにより、認証されていない攻撃者がサーバー上に任意のファイルを書き込める脆弱性を公表した。添付ファイルをDiskサービスで保存している場合は、アプリケーションが読み取れる任意のファイルも読み取られる可能性があり、secret_key_base等の流出からリモートコード実行につながり得るとしている。CVEは未採番。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありWeb基盤・言語

    CVSS 9.8（v3.0・Rails（GitHubセキュリティアドバイザリ））海外：CCCS

    詳細と出典（経過2件）
    対象と修正版

    activestorage 8.0.5.2より前、及び8.1以上8.1.4.1より前。8.0.5.2・8.1.4.1で修正。ImageMagickで画像を処理し（load_defaults 6.1以前の既定）、信頼できない利用者からのアップロードを受け付けるアプリケーションが対象。

    経過と出典
    1. Railsがセキュリティアドバイザリを公表（CVSS 3.0 9.8）出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリAV26-1129を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）、公的機関の注意喚起

    資料確認日：2026-11-07

  5. 続報あり

    Siemens SIMATIC IoT2050（Node-RED）

    Siemens · CVE-2026-58115

    Node-REDを導入した産業用ゲートウェイで、Node-REDのHTTPインターフェースが認証を求めず、認証なしに任意のコードを実行される。VulnCheckが10月30日以降、自社の観測網でこの脆弱性を使った攻撃を確認したと公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 10.0（v3.1・Siemens（CNA））海外：CCCS

    詳細と出典（経過4件）
    対象と修正版

    SIMATIC IoT2050 Advanced、Basic、M.2、SMで、Industrial OSでNode-REDを導入したV4.3.4-1より前の全版。V4.3.4-1で修正。

    経過と出典
    1. Siemensが勧告SSA-834709を公表出典（外部リンクを開く）
    2. VulnCheckが10月30日以降の悪用の観測を公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリAV26-802を更新し、悪用が報告されていると追記出典（外部リンクを開く）
    4. Siemensが勧告をV1.1に更新し、対象製品の一覧を明確化出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-06

  6. 続報あり

    Airbyte（Connector Builder・Manifest Server）

    Airbyte · GHSA-g35w-6r6v-h4r7

    Connector BuilderとManifest Serverが、宣言的マニフェストでカスタムコンポーネントとして参照できるPythonクラスを制限していなかったため、マニフェストを送信できる利用者がコンテナ内で任意のコマンドを実行できる脆弱性を公表した。JVNは11月4日、悪用が確認されているとした。CVEは未採番。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正業務アプリ・クラウド

    CVSS 9.9（v3.1・Airbyte（GitHubセキュリティアドバイザリ））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    2.2.0より前。2.x系はワークスペース等の閲覧権限以上を持つ利用者が、旧Helmチャートで導入した1.x系はConnector Builderに到達できる者が認証なしに悪用できるとしている。2.2.0で修正し、1.x系には修正版を提供しない。Airbyte Cloudの利用者は対応不要と公表。

    経過と出典
    1. Airbyteがセキュリティアドバイザリを公表（CVSS 3.1 9.9）出典（外部リンクを開く）
    2. JVNが脆弱性レポートを公表し、悪用が確認されていると記載出典（外部リンクを開く）
    掲載の根拠

    悪用の確認

    資料確認日：2026-11-05

  7. 続報あり

    WatchGuard AuthPoint Authentication Gateway

    WatchGuard · CVE-2026-121639、CVE-2026-121638、CVE-2026-121640

    認証ゲートウェイについて、認証なしに認証サービスを妨害し同期設定を削除される脆弱性、証明書検証の不備により通信を傍受・改ざんされる脆弱性、正規の通信の再送により管理操作を実行される脆弱性等を公表した。開発元は悪用を把握していないとしている。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表修正版ありネットワーク機器

    CVSS 9.2（v4.0・WatchGuard（CNA。3件の最大値））注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    1.0以上7.6.0より前（構成によって影響が異なる）。7.6.0で修正。

    経過と出典
    1. WatchGuardが勧告を公表出典（外部リンクを開く）
    2. CVE-2026-121639（CVSS 4.0 9.2）の勧告出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-05

  8. 続報あり

    Zyxel GS1900シリーズ スイッチ

    Zyxel · CVE-2026-107441

    Web管理画面のCGIプログラムの境界外書き込みにより、同じネットワーク上の認証されていない攻撃者がOSコマンドを実行できる。カナダCCCSがアドバイザリを更新し、悪用が報告されていると追記した。報道によると、約1,000台が侵害された攻撃の攻撃コードはこの脆弱性を突くものだった。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.8（v3.1・Zyxel（CNA））海外：CCCS

    詳細と出典（経過5件）
    対象と修正版

    GS1900-8、-8HP、-10HP、-16、-24、-24E、-24EP、-24HPv2、-48、-48HPv2の各モデルの2.90(識別子.2)C0以前（例：GS1900-8は2.90(AAHH.2)C0以前）。各モデルの2.90(識別子.3)C0（同2.90(AAHH.3)C0）で修正。

    経過と出典
    1. Zyxelが勧告と修正版ファームウェアを公表出典（外部リンクを開く）
    2. CVE-2026-107441を公開出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリAV26-1114を公表出典（外部リンクを開く）
    4. カナダCCCSがアドバイザリを更新し、悪用が報告されていると追記出典（外部リンクを開く）
    5. Binarlyが、約1,000台を侵害した攻撃の攻撃コードはこの脆弱性を突くものだったと分析したと報道出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-05

  9. 続報あり

    Apple Safari・iOS・macOS等（WebKit）

    Apple · CVE-2024-27834

    WebKitの脆弱性で、任意のメモリ読み書きができる状態の攻撃者がポインタ認証（Pointer Authentication）を回避できる。2024年5月に修正された。Sekoiaが、APT29によるものとする水飲み場型攻撃でiOS 16.7を狙う攻撃チェーンに使われたと公表し、米CISAがKEVに追加した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOS・ブラウザ

    CVSS 5.5（v3.1・CISA-ADP）注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    Safari 17.5、iOS・iPadOS 16.7.8、iOS・iPadOS 17.5、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5より前。これらの版（2024年5月13日公開）で修正。

    経過と出典
    1. AppleがSafari 17.5で修正出典（外部リンクを開く）
    2. AppleがiOS・iPadOS 16.7.8で修正出典（外部リンクを開く）
    3. AppleがmacOS Sonoma 14.5等で修正出典（外部リンクを開く）
    4. Sekoiaが、APT29によるものとする水飲み場型攻撃でiOS 16.7を狙う攻撃チェーンにこの脆弱性が使われたと公表出典（外部リンクを開く）
    5. CISAがKEVカタログに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.11.04追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-05

  10. 続報あり

    Cisco Secure Email Gateway（SQLインジェクション）

    Cisco · CVE-2026-76461

    細工したメールの受信により、認証なしにSQL文を実行され、root権限でOSコマンドを実行される。Ciscoは2026年9月に悪用を確認した。公開された攻撃コードに関する新情報を受け、10月31日に15.5.5-014の修正を更新した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.8（v3.1・Cisco）国内：JPCERT/CC

    詳細と出典（経過4件）
    対象と修正版

    AsyncOS for Secure Email Gateway 15.5以前（15.5.5-014で修正）、16.0（16.0.4-302で修正）、16.5（16.5.0-780で修正）。15.5.5-014の更新後の修正はRetro Remediation Engine 4.0.2以降で適用。

    経過と出典
    1. Ciscoが勧告を公表（悪用を確認）出典（外部リンクを開く）
    2. CISAがKEVカタログに追加出典（外部リンクを開く）
    3. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    4. 勧告を更新し、10月31日に15.5.5-014の修正を更新したと記載（公開された攻撃コードに関する新情報を受けたもの）出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.09.14追加

    掲載の根拠

    悪用の確認、深刻度「緊急」（CVSS 9.0以上）、公的機関の注意喚起

    資料確認日：2026-11-04

  11. 続報あり

    Google Chrome（2026年11月の安定版更新）

    Google · CVE-2026-121156、CVE-2026-121229、CVE-2026-121246、CVE-2026-121035ほか2件

    11月3日の安定版157で、Googleが重大度Criticalとした7件を含む213件のセキュリティ修正を公開した。CISA-ADPは7件のうち6件をCVSS 9.6と評価した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありOS・ブラウザ

    CVSS 9.6（v3.1・CISA-ADP）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    デスクトップ版157.0.8103.38（Linux）、157.0.8103.38/.39（Windows・Mac）より前。延長安定版は156.0.8078.88（Windows・Mac）でCVE-2026-121156等を修正。

    経過と出典
    1. 157.0.8103.38を公開（Critical 7件）出典（外部リンクを開く）
    2. 延長安定版156.0.8078.88を公開（Critical 3件）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-04

  12. SonicWall Global Management System（GMS）

    SonicWall · CVE-2026-109593、CVE-2026-109594

    サポートを終了した管理製品GMSで、認証なしに内部ファイルを読み取られる脆弱性（CVSS 9.1）と、認証後のSQLインジェクション（同6.8）を公表した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版なしネットワーク機器

    CVSS 9.1（v3.1・SonicWall）注意喚起なし

    詳細と出典
    対象と修正版

    GMS（仮想アプライアンス・Windows版）9.5.2以前。製品がサポート終了のため、修正版は提供されない。

    経過と出典
    1. SonicWallが勧告SNWLID-2026-0019を公表（修正版なし）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-04

  13. 続報あり

    WordPress本体

    WordPress · CVE-2026-119977

    パッケージ全体でコアを更新する際の一時展開先が予測でき、Webから参照できるため、更新中の短い間に認証なしでサーバー上のコードを実行される。Wordfenceが攻撃の試行を観測し、米CISAがKEVに追加した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありWeb基盤・言語

    CVSS 8.1（v3.1・Wordfence（CNA））海外：CISA、CCCS

    詳細と出典（経過6件）
    対象と修正版

    4.7から7.1.3まで（各系列では7.0.7、6.9.10、4.7.38等以前）。7.1.4と、4.7以降の各系列の修正版（7.0.8、6.9.11、4.7.39等。10月28日公開）で修正。

    経過と出典
    1. WordPress 7.1.4を公開（更新時のリモートコード実行等を修正）出典（外部リンクを開く）
    2. 4.7以降の各系列の修正版を公開出典（外部リンクを開く）
    3. Wordfenceが24時間で62,969件の攻撃を遮断したと報道出典（外部リンクを開く）
    4. CVE-2026-119977を公開出典（外部リンクを開く）
    5. CISAがKEVカタログに追加出典（外部リンクを開く）
    6. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）
    2. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.11.03追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-04

  14. 続報あり

    GitLab CE/EE（19.4.2等の重大修正）

    GitLab · CVE-2026-97229

    CI/CD設定の正規表現の処理で整数オーバーフローが生じ、認証なしでサーバー上の任意のコードを実行される脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・GitLab）海外：CERT-EU

    詳細と出典（経過8件）
    対象と修正版

    19.2〜19.4系（19.2.8、19.3.5、19.4.2より前）。GitLab.com等のGitLab管理環境は修正済み。

    経過と出典
    1. 19.4.2・19.3.5・19.2.8を公開出典（外部リンクを開く）
    2. CERT-EUが注意喚起出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    4. Ruby開発チームが原因の修正を説明出典（外部リンクを開く）
    5. Alpine Linuxが、10月20〜21日に自組織のGitLabへの悪用の試みがあったと公表（成功の証拠は見つかっていないとした）出典（外部リンクを開く）
    6. KEVに追加出典（外部リンクを開く）
    7. CISAがKEVに追加出典（外部リンクを開く）
    8. Shadowserverが、この脆弱性の影響を受けるインターネット公開のGitLabを1,000台超観測していると報道出典（外部リンクを開く）
    注意喚起
    1. 海外 · CERT-EU出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.29追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-03

  15. 続報あり

    Linux kernel

    Linux kernel · CVE-2026-98432

    IPv4のTCP接続処理の解放後使用。MPTCPの待受けを公開するサーバーで、認証なしにroot権限でコマンドを実行する手法が示された。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありOS・ブラウザ

    CVSS 9.8（v3.1・Linux kernel（CNA））注意喚起なし

    詳細と出典（経過10件）
    対象と修正版

    5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10より前等（CCCSによる）。

    経過と出典
    1. 修正コミットを本流に取り込み出典（外部リンクを開く）
    2. CVE-2026-98432を公開出典（外部リンクを開く）
    3. LinuxカーネルCNAがCVEを公開出典（外部リンクを開く）
    4. Anthropicが発見経緯と攻撃手法を公表出典（外部リンクを開く）
    5. Goのセキュリティチームが影響と緩和策を告知出典（外部リンクを開く）
    6. SNSで拡散し、パッチ適用を呼びかける投稿が相次ぐ出典（外部リンクを開く）
    7. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    8. CVEレコードを更新（CVSS 3.1 9.8を掲載）出典（外部リンクを開く）
    9. Red HatがRHEL 8・9・10向けの修正カーネルを公開し、深刻度をCriticalとした出典（外部リンクを開く）
    10. Fortinetが自社製品への影響を調査中と公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）、X（旧Twitter）で話題

    資料確認日：2026-11-04

  16. 続報あり

    PHP通称「php2shell」

    The PHP Group · CVE-2026-109618、CVE-2026-109619、CVE-2026-115560

    認証なしで外部から任意のコードを実行される可能性がある2件の脆弱性。CISAが悪用を確認した脆弱性として登録し、国内では予防的なサービス停止が相次いだ。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正Web基盤・言語

    CVSS 9.2（v4.0・PHP開発チーム）国内：IPA、国家サイバー統括室、JPCERT/CC海外：CERT-EU、CISA、NCSC（英）、CCCS

    詳細と出典（経過17件）
    対象と修正版

    8.5.12、8.4.27、8.3.36、8.2.35より前の各系列。8.1以前は公式の修正版がなく、7.4〜8.1向けに最小限のバックポートが公開された。CVE-2026-115560は修正版が未公開。

    主な影響

    国内では修正版の公開に合わせて、財務省、auじぶん銀行、NTTドコモ、ソフトバンク、九州電力、大阪府、futureshop等が、Webサイトやサービスの一部を一時停止し、又は緊急メンテナンスを行った。piyologは、10月23日昼までに各組織の告知で確認できた一時停止等を246組織と集計した。

    経過と出典
    1. PHP開発チームが重大なセキュリティリリースを予告出典（外部リンクを開く）
    2. CERT-EUが注意喚起を公表出典（外部リンクを開く）
    3. IPAが修正版公開に向けた事前準備を呼びかけ出典（外部リンクを開く）
    4. 国家サイバー統括室がXで注意喚起出典（外部リンクを開く）
    5. 国内の各サービスで予防的な停止・緊急メンテナンスが相次いだと報道出典（外部リンクを開く）
    6. 修正版（8.5.12、8.4.27、8.3.36、8.2.35）を公開出典（外部リンクを開く）
    7. CISAが注意喚起を公表出典（外部リンクを開く）
    8. 英NCSCが注意喚起を公表出典（外部リンクを開く）
    9. カナダCCCSが注意喚起を公表（10月27日に更新）出典（外部リンクを開く）
    10. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    11. IPAが注意喚起を公表出典（外部リンクを開く）
    12. JVNが脆弱性情報を公表出典（外部リンクを開く）
    13. PHP開発チームが関連する3件目の脆弱性（CVE-2026-115560）について情報提供出典（外部リンクを開く）
    14. CISAがKEVカタログに追加出典（外部リンクを開く）
    15. JPCERT/CCが、ファイアウォール製品への侵害が成功したとみられる報告を追記出典（外部リンクを開く）
    16. Palo Alto NetworksがPAN-OSへの影響を公表し、インターネットに公開された管理画面を狙う悪用を観測したと記載。10月29日までに各系列の修正版を公開出典（外部リンクを開く）
    17. IPAがVPN機器等に組み込まれたPHPへの対応について追記出典（外部リンクを開く）
    注意喚起
    1. 海外 · CERT-EU出典（外部リンクを開く）
    2. 国内 · IPA出典（外部リンクを開く）
    3. 国内 · 国家サイバー統括室出典（外部リンクを開く）
    4. 海外 · CISA出典（外部リンクを開く）
    5. 海外 · NCSC（英）出典（外部リンクを開く）
    6. 海外 · CCCS出典（外部リンクを開く）
    7. 国内 · JPCERT/CC出典（外部リンクを開く）
    8. 国内 · IPA出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.26追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）、サービス停止・緊急メンテナンス、X（旧Twitter）で話題

    資料確認日：2026-11-03

2026年10月

  1. 続報あり

    Brotli（C言語実装）通称「Node2Shell／HTTP2Shell」

    Google · CVE-2026-111497

    細工された圧縮データの処理により、異常終了、メモリ内容の漏えい又は任意のコード実行が起き得る境界外書き込みの脆弱性。Node.js、Python向けパッケージ等にも影響する。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOSS・ライブラリ

    CVSS 9.2（v4.0・Google（CNA））国内：JPCERT/CC海外：CISA、CCCS、CSA（シンガポール）

    詳細と出典（経過16件）
    対象と修正版

    v1.2.0以上v1.2.1未満、v1.1.0以上v1.1.1未満、v1.0.3以上v1.0.10未満。修正版はv1.2.1、v1.1.1、v1.0.10。

    経過と出典
    1. Googleが修正版v1.2.1等を公開出典（外部リンクを開く）
    2. Node.jsが修正を含むセキュリティリリースを公開出典（外部リンクを開く）
    3. 修正版1.2.1等を公開出典（外部リンクを開く）
    4. GitHubアドバイザリでPython向けパッケージへの影響を公表出典（外部リンクを開く）
    5. CVE-2026-111497を公開出典（外部リンクを開く）
    6. OpenAIがXで脆弱性の発見を投稿し、拡散出典（外部リンクを開く）
    7. Microsoftが.NETの臨時更新（8.0.33、9.0.22、10.0.14、11 RC3）を公開出典（外部リンクを開く）
    8. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    9. PHPがWindows版ビルドを更新出典（外部リンクを開く）
    10. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    11. CISAがKEVカタログに追加出典（外部リンクを開く）
    12. KEVに追加出典（外部リンクを開く）
    13. カナダCCCSが注意喚起出典（外部リンクを開く）
    14. BroadcomがVMware Cloud Foundationへの影響を公表（VMSA-2026-0008）出典（外部リンクを開く）
    15. シンガポールCSAが悪用を受けた注意喚起を掲載出典（外部リンクを開く）
    16. Palo Alto Networksが自社製品への影響を公表出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）
    2. 海外 · CISA出典（外部リンクを開く）
    3. 海外 · CCCS出典（外部リンクを開く）
    4. 海外 · CSA（シンガポール）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.27追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）、X（旧Twitter）で話題

    資料確認日：2026-11-05

  2. 続報あり

    Ivanti Connect Secure

    Ivanti · CVE-2026-104935、CVE-2026-111357、CVE-2026-118527

    認証回避とコード実行（CVE-2026-104935）及び権限昇格の脆弱性が、修正版の公開前から悪用された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.6（v3.1・Ivanti（CVE-2026-104935））海外：CISA、CCCS、CSA Singapore

    詳細と出典（経過9件）
    対象と修正版

    25.1.1.2以前、25.1.2.2以前、22.8R2.5以前（CISAの注意喚起による）。22.7R2.14以前はCVE-2026-104935の影響を受けない。

    経過と出典
    1. 攻撃者による悪用が始まる（Volexityの調査）出典（外部リンクを開く）
    2. CVE-2026-104935の修正版を公開出典（外部リンクを開く）
    3. CISAが注意喚起し、KEVに追加出典（外部リンクを開く）
    4. Volexityが3件を連鎖させた攻撃の分析を公表出典（外部リンクを開く）
    5. CISAがKEVに追加（CVE-2026-104935）出典（外部リンクを開く）
    6. 権限昇格（CVE-2026-111357）の修正版を公開出典（外部リンクを開く）
    7. Ivantiがアドバイザリを更新し、CVE-2026-111357及びCVE-2026-118527と修正版を追加出典（外部リンクを開く）
    8. CVE-2026-111357・CVE-2026-118527をKEVに追加出典（外部リンクを開く）
    9. CISAが注意喚起を更新し、2件と対象版を追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）
    2. 海外 · CCCS出典（外部リンクを開く）
    3. 海外 · CSA Singapore出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.13追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-02

  3. 続報あり

    Drupal Commerce Core

    Drupal · CVE-2026-118539

    Drupal向けのEC機能モジュールで認可の確認が欠けており、アクセス制御を回避される脆弱性。Drupalセキュリティチームは危険度を「Highly critical」（25点中21点）とし、実際に悪用されていると公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありWeb基盤・言語

    CVSS 6.5（v3.1・CISA-ADP）海外：CCCS

    詳細と出典（経過3件）
    対象と修正版

    Commerce Core 2.41より前及び3.0.0以上3.3.13未満。修正版は8.x-2.41及び3.3.13。

    経過と出典
    1. Drupalセキュリティチームが勧告SA-CONTRIB-2026-254を公表し、悪用されていると記載出典（外部リンクを開く）
    2. CVE-2026-118539を公開出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-03

  4. 続報あり

    Google Chrome（2026年10月の安定版更新）

    Google · CVE-2026-106197、CVE-2026-106358、CVE-2026-106382、CVE-2026-110136ほか6件

    10月の6回の安定版更新で、Googleが重大度Criticalとした脆弱性計23件を修正した。CISA-ADPは10件をCVSS 9.6と評価した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありOS・ブラウザ

    CVSS 9.6（v3.1・CISA-ADP）注意喚起なし

    詳細と出典（経過6件）
    対象と修正版

    デスクトップ版156.0.8078.79（Linux）、156.0.8078.79/.80（Windows・Mac）より前。CVSS 9.6の10件は156.0.8078.73（Linux）、156.0.8078.73/.74（Windows・Mac）で修正済み。

    経過と出典
    1. 155.0.8059.39を公開（Critical 4件）出典（外部リンクを開く）
    2. 155.0.8059.79を公開（Critical 7件）出典（外部リンクを開く）
    3. 155.0.8059.84を公開（Critical 1件）出典（外部リンクを開く）
    4. 156.0.8078.47を公開（Critical 6件）出典（外部リンクを開く）
    5. 156.0.8078.73を公開（Critical 4件）出典（外部リンクを開く）
    6. 156.0.8078.79を公開（Critical 1件）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-03

  5. 続報あり

    Cisco Secure Firewall ASA／FTD

    Cisco · CVE-2026-76418

    リモートアクセスSSL VPNのトンネルグループに二次認証を設定している場合、認証なしの攻撃者が細工したリクエストで機器を再起動させ、サービス停止を起こせる脆弱性。Ciscoが悪用を確認した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.6（v3.1・Cisco）海外：CCCS

    詳細と出典（経過2件）
    対象と修正版

    SSLリモートアクセスVPNを有効にし、トンネルグループに二次認証を設定したASA及びFTD。修正版はASA 9.16.4.104、9.18.4.96、9.20.4.50、9.22.3.200、9.23.1.48、9.24.1.27、9.24.10.1、FTD 7.0.11、7.2.13、7.4.9、7.6.7、7.7.14、10.0.3、10.1.1。

    経過と出典
    1. Ciscoがセキュリティアドバイザリと修正版を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.29追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  6. 続報あり

    Cisco Catalyst SD-WAN Controller・Manager・Validator

    Cisco · CVE-2026-20127

    ピア認証の不備により、認証なしに高権限の内部アカウントでログインされ、SD-WANの構成を操作される。10月28日、Cisco Talosが攻撃グループUAT-11473によるこの脆弱性の悪用と、鍵情報を収集するマルウェアKeyDriftの分析を公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 10.0（v3.1・Cisco）海外：CISA

    詳細と出典（経過3件）
    対象と修正版

    20.9（20.9.8.2で修正）、20.12（20.12.5.3・20.12.6.1で修正）、20.15（20.15.4.2で修正）、20.18（20.18.2.1で修正）等。保守終了の版には個別の修正版がない。

    経過と出典
    1. Ciscoが勧告を公表（限定的な悪用を確認）出典（外部リンクを開く）
    2. CISAが緊急指令ED 26-03を発出し、KEVに追加出典（外部リンクを開く）
    3. Cisco Talosが攻撃グループUAT-11473による悪用とマルウェアKeyDriftの分析を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.02.25追加

    掲載の根拠

    悪用の確認、深刻度「緊急」（CVSS 9.0以上）、公的機関の注意喚起

    資料確認日：2026-11-04

  7. 続報あり

    Juniper Session Smart Router・Session Smart Conductor

    Juniper Networks · CVE-2026-103406、CVE-2026-103409

    Conductorの鍵管理処理で認証なしにroot権限のコマンドを実行される脆弱性と、Mist・Conductorへ登録する前のRouterで認証なしに管理者権限を取得される脆弱性。開発元は悪用を把握していないとしている。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表修正版ありネットワーク機器

    CVSS 9.8（v3.1・Juniper Networks（CNA））海外：CCCS

    詳細と出典（経過2件）
    対象と修正版

    7.0.5、7.1.7、7.2.3より前。各系列のこれらの版で修正。

    経過と出典
    1. Juniperが臨時のセキュリティ情報JSA112183を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）、公的機関の注意喚起

    資料確認日：2026-11-04

  8. 続報あり

    ヤマハ 無線LANルーター NWR100

    ヤマハ · CVE-2026-97854

    細工されたリクエストにより、製品上で任意のOSコマンドを実行される可能性がある脆弱性。設定ファイルを認証なしで読み取られる別の脆弱性も同時に公表された。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器 · 国内製品

    CVSS 9.3（v4.0・JVN（JPCERT/CC））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    ファームウェアRev.26.00.07以前。修正版はRev.26.00.08。

    経過と出典
    1. ヤマハが修正ファームウェアと情報を公表出典（外部リンクを開く）
    2. JVNが脆弱性情報を公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  9. 続報あり

    Sophos UTM

    ソフォス · CVE-2026-118633

    メールプロキシでスキャンを有効にしている場合に、パストラバーサルと競合状態により、認証なしでroot権限の任意のコードを実行される脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 9.2（v4.0・Sophos（CNA））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    全版（9.724以前）。サポート終了製品で、修正パッチは自動では配信されず、手動で導入する形で提供された。

    経過と出典
    1. Sophosがアドバイザリと修正パッチを公開出典（外部リンクを開く）
    2. CVE-2026-118633を公開出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-03

  10. 続報あり

    Veeam Backup & Replication・Backup for Microsoft 365

    Veeam · CVE-2026-108142、CVE-2026-106076

    Backup & ReplicationのCDP Coordinatorサービスの認可回避（CVSS 9.1）と、Backup for Microsoft 365のSQLインジェクションによるコード実行（9.0）を修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.1（v4.0・Veeam）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Backup & Replication 13.1.1.18以前の13.1系・13.0.2.29以前の13.0系（13.1.2・13.0.3で修正）、Backup for Microsoft 365 8.5.0.1014以前の8系（8.6で修正）。

    経過と出典
    1. Backup & Replication 13.1.2の修正内容を公表出典（外部リンクを開く）
    2. Backup for Microsoft 365 8.6の修正内容を公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  11. 続報あり

    Linuxカーネル通称「Fragnesia」

    Linux · CVE-2026-46300

    ESP（IPsec）処理の不備により、一般ユーザーが読取り専用ファイルのページキャッシュを書き換えてroot権限を得られる脆弱性。CISAはPHPの脆弱性と組み合わせた悪用を記載した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOS・ブラウザ

    CVSS 7.8（v3.1・Linuxカーネル開発チーム（CNA））注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Linux 3.9以降の各系列。修正版は5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10、7.1。

    経過と出典
    1. 発見者が詳細と実証コードを公開出典（外部リンクを開く）
    2. CVEを公表出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.28追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  12. 続報あり

    VMware ESX

    Broadcom · CVE-2026-41709

    管理者権限を持つ攻撃者が、一部の操作をログに記録されずに実行できる脆弱性。2026年7月29日に修正版が公開された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 2.7（v3.1・Broadcom）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    VMware ESX 9.1.x（ESXi-9.1.0.0-25370933より前）、9.0.x（ESXi-9.0.2.0100-25595025より前）、8.0（ESXi80U3j-25429389より前）、VMware Cloud Foundation 5.x（5.2.4より前）等。

    経過と出典
    1. BroadcomがVMSA-2026-0006を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.28追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  13. 続報あり

    Adobe Commerce / Magento Open Source

    Adobe · CVE-2026-48356

    危険な種類のファイルのアップロードを制限していないため、任意のコード実行に至る脆弱性。2026年7月14日に修正版が公開された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.6（v3.1・Adobe）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Adobe Commerce 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15、2.4.5-p17、2.4.4-p18以前、Magento Open Source 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15以前、Adobe Commerce B2B、Adobe Commerce Events 1.6.0〜1.20.0。

    経過と出典
    1. AdobeがAPSB26-73を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.27追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  14. 続報あり

    WatchGuard Fireware OS

    WatchGuard · CVE-2026-103594、CVE-2026-112710、CVE-2026-112709、CVE-2026-93865ほか3件

    Firebox向けOSのWireGuard設定、AD認証、FireCluster同期、SIPプロキシ、アクセスポータル、ログ機能の欠陥等、CVSS 9.0以上の7件を含む脆弱性を一括で公表した。開発元は悪用を把握していないとしている。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表修正版ありネットワーク機器

    CVSS 9.5（v4.0・WatchGuard（7件の最大値））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Fireware OS 2025.1以降2026.4より前、12.0以降12.12.4より前（T15・T35は12.5.22より前）。CVE-2026-103594は2026.2以降と12.12系のみ。2026.4、12.12.4、12.5.22で修正。

    経過と出典
    1. WatchGuardが勧告を一括公表出典（外部リンクを開く）
    2. CVE-2026-103594（CVSS 4.0 9.5）の勧告出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-04

  15. 続報あり

    Oracle Critical Patch Update（2026年10月）

    Oracle · CVE-2026-91299、CVE-2026-91231、CVE-2026-91221、CVE-2026-91216ほか2件

    1,295件のセキュリティパッチを公開した。CVSS 9.0以上は重複を除き95件で、うち6件は10.0。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・Oracle）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    SOA Suite、Access Manager、JD Edwards EnterpriseOne、WebLogic Server、MySQL、Essbase等の多数の製品。

    経過と出典
    1. 2026年10月のCPUを公開出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    3. 勧告を改訂（Rev 2）出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  16. 続報あり

    Microsoft製品（2026年10月の月例更新）

    Microsoft · CVE-2026-96951、CVE-2026-96207、CVE-2026-94510、CVE-2026-70242ほか11件

    2026年10月の月例更新。Windowsシェルのセキュリティ機能のバイパスの脆弱性について、Microsoftが悪用を確認したと公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOS・ブラウザ

    CVSS 9.8（v3.1・Microsoft・掲載CVEの最大値）国内：IPA、JPCERT/CC海外：CCCS

    詳細と出典（経過8件）
    対象と修正版

    Windows（対象の版はMicrosoftのセキュリティ更新プログラムガイドで公表）。

    経過と出典
    1. Microsoftが月例のセキュリティ更新プログラムを公開（米国時間）出典（外部リンクを開く）
    2. CISAがCVE-2026-96951をKEVカタログに追加出典（外部リンクを開く）
    3. 月例のセキュリティ更新を公開出典（外部リンクを開く）
    4. CVE-2026-96951をKEVに追加出典（外部リンクを開く）
    5. ZDIが更新内容の一覧を公表出典（外部リンクを開く）
    6. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    7. JPCERT/CCとIPAが注意喚起を公表出典（外部リンクを開く）
    8. MicrosoftがMicrosoft Edgeを更新対象に追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 国内 · IPA出典（外部リンクを開く）
    3. 国内 · JPCERT/CC出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.13追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  17. 続報あり

    Arista VeloCloud Orchestrator（オンプレミス版）

    Arista Networks · CVE-2026-114625

    SD-WAN管理基盤のSQLインジェクションで、認証済みの利用者が内部機能に到達し管理者権限を得られる脆弱性。Aristaが自ら検知し、悪用を確認したと公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.9（v3.1・Arista）海外：Canadian Centre for Cyber Security（AV26-1080）

    詳細と出典（経過3件）
    対象と修正版

    オンプレミス版の5.2.3.18、6.1.3.10、6.4.2.12より前の各系列。サポート終了版は未評価。ホスト型・専用型は修正済み。

    経過と出典
    1. AristaがSecurity Advisory 0199と修正版を公表出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    3. カナダCyber Centreが勧告（AV26-1080）出典（外部リンクを開く）
    注意喚起
    1. 海外 · Canadian Centre for Cyber Security（AV26-1080）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.23追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  18. 続報あり

    Fortinet FortiSIEM・FortiSandbox

    Fortinet · CVE-2026-107656、CVE-2026-106173

    10月13日の定例公表で、FortiSandboxの認証回避（CVSS 9.6）とFortiSIEMのパストラバーサルによるコード実行（9.4）を修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし一部の版のみ修正ネットワーク機器

    CVSS 9.6（v3.1・Fortinet）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    FortiSandbox 5.0.0〜5.0.6、4.4.0〜4.4.9（4.2系等には修正版がない）、FortiSIEM 7.5.0。

    経過と出典
    1. FortiSandboxの勧告を公表出典（外部リンクを開く）
    2. FortiSIEMの勧告を公表出典（外部リンクを開く）
    3. カナダCCCSがFortiSIEMの悪用報告を追記出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  19. 続報あり

    Collabora Online - Built-in CODE Server（Nextcloud用アプリ）

    Collabora · CVE-2026-110447

    Nextcloud用アプリ版の内蔵CODEサーバーが停止している間、認証なしでOSコマンドを実行される脆弱性。2026年9〜10月に悪用された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正業務アプリ・クラウド

    CVSS 9.2（v4.0・Collabora）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Nextcloud用アプリ richdocumentscode 26.4.303より前の版。サポート終了のNextcloud 29以前も影響を受ける。単体のCollabora Onlineサーバーは対象外。

    経過と出典
    1. Nextcloudフォーラムで悪用の報告出典（外部リンクを開く）
    2. Collaboraがアドバイザリを公開（修正版26.4.303）出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.23追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  20. 続報あり

    GitLab CE/EE（19.5.1等の重大修正）

    GitLab · CVE-2026-110264

    正規表現のコンパイル時の整数オーバーフローで、認証なしでサーバー上の任意のコードを実行される脆弱性。旧版にも修正を提供した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・GitLab）海外：CERT-EU

    詳細と出典（経過3件）
    対象と修正版

    7.0以降の各系列（18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1より前）。

    経過と出典
    1. 19.5.1等を公開出典（外部リンクを開く）
    2. CERT-EUが注意喚起出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CERT-EU出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  21. 続報あり

    Siemens Software Center

    Siemens · CVE-2026-110936

    ソフトウェアの導入用アプリが検索パス上の細工したDLLを読み込み、任意のコードを実行される脆弱性。正規の署名付き本体と悪性DLLを同梱するClickFix攻撃での悪用をSiemensが公表した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 8.4（v4.0・Siemens）海外：Canadian Centre for Cyber Security（AV26-1063）、CISA（ICSアドバイザリー ICSA-26-295-03）

    詳細と出典（経過6件）
    対象と修正版

    V4.0.9.8より前の全バージョン。V4.0.9.8で修正（既存環境は次回起動時に自動更新）。

    経過と出典
    1. SiemensがSSA-580366を公表出典（外部リンクを開く）
    2. 修正版（V4.0.9.8）を勧告に追加出典（外部リンクを開く）
    3. Siemensが悪用の確認を公表出典（外部リンクを開く）
    4. カナダCyber Centreが勧告（AV26-1063）出典（外部リンクを開く）
    5. CISAがKEVに追加出典（外部リンクを開く）
    6. CISAがICSアドバイザリー（ICSA-26-295-03）として再掲出典（外部リンクを開く）
    注意喚起
    1. 海外 · Canadian Centre for Cyber Security（AV26-1063）出典（外部リンクを開く）
    2. 海外 · CISA（ICSアドバイザリー ICSA-26-295-03）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.20追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  22. 続報あり

    Cisco Expressway・Unified Communications等（10月21日公表分）

    Cisco · CVE-2026-76466、CVE-2026-76473、CVE-2026-76474、CVE-2026-76475ほか1件

    Expresswayで認証なしにroot権限でOSコマンドを実行される脆弱性（CVSS 9.8）のほか、Unified CM等とSnort 3の強化リリースを公表した。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表修正版ありネットワーク機器

    CVSS 9.8（v3.1・Cisco）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Expressway X15.5.20より前（X14以前には修正版がない）、Unified CM・Unity Connection等の15SU5より前、Snort 3を使う各製品。

    経過と出典
    1. ExpresswayのRCE勧告を公表出典（外部リンクを開く）
    2. Unified Communications製品の強化リリースを公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  23. Oracle Java SE（2026年10月のCPU）

    Oracle · CVE-2026-91403

    2026年10月の定例更新で修正されたJava SEの脆弱性。JSSEの脆弱性は、認証なしでネットワーク経由で重要なデータの改ざんや取得を受ける可能性がある。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありWeb基盤・言語

    CVSS 9.1（v3.1・Oracle）国内：IPA

    詳細と出典
    対象と修正版

    Oracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503等（IPAの記載）。

    経過と出典
    1. IPAが注意喚起を公表出典（外部リンクを開く）
    注意喚起
    1. 国内 · IPA出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  24. 続報あり

    Plex Media Server通称「Plex2Shell」

    Plex · CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656

    4件の脆弱性を組み合わせると、認証なしで外部からサーバー上でコードを実行される。実証コードの公開後、暗号資産の採掘等に悪用された（Plex公表）。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 8.6（v4.0・CISA（CNA））注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    Plex Media Server 1.43.3.10861より前の版。修正版は1.43.3.10861。

    経過と出典
    1. Plexがセキュリティ更新（1.43.3）を告知出典（外部リンクを開く）
    2. CVEを公表（CISA VA-26-266-01）出典（外部リンクを開く）
    3. 発見者が詳細と実証コードを公開出典（外部リンクを開く）
    4. Plexが広範な悪用を公表出典（外部リンクを開く）
    5. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.20追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  25. 続報あり

    SiteGuard Server Edition

    EGセキュアソリューションズ · CVE-2026-106931

    ホスト型WAFの統計機能を通じ、サーバー上でroot又はSYSTEM権限の任意のOSコマンドを実行される可能性がある脆弱性。開発者が悪用を確認している。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド · 国内製品

    CVSS 8.5（v4.0・JVN（JPCERT/CC））国内：JPCERT/CC

    詳細と出典（経過6件）
    対象と修正版

    Ver2.20以降で統計機能が有効（初期設定で有効）な場合。Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSDのApache版・Nginx版はVer7.00 Update6より前。IIS版Ver3.10〜Ver4.00 Update4は影響なし。

    経過と出典
    1. 開発者が直接サポート契約の顧客へ通知出典（外部リンクを開く）
    2. 開発者が修正版と差し替え用パッチを公表出典（外部リンクを開く）
    3. JVNが脆弱性情報を公表出典（外部リンクを開く）
    4. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    5. CISAがKEVカタログに追加出典（外部リンクを開く）
    6. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.20追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-02

  26. 続報あり

    BeyondTrust Remote Support

    BeyondTrust · CVE-2026-102764

    内部メッセージの送信元検証が不十分で、認証なしで装置上のファイルを操作される脆弱性。ゼロデイとして悪用された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.3（v4.0・BeyondTrust）海外：CISA、CCCS

    詳細と出典（経過7件）
    対象と修正版

    26.2.3以前の全バージョン。24.3.1以降はパッチBT26-05-RSで修正。24.3.1より前の版にはパッチがない。SaaS版は2026年10月9日までに適用済み。

    経過と出典
    1. SaaS版への修正適用を完了出典（外部リンクを開く）
    2. 勧告BT26-05を公表出典（外部リンクを開く）
    3. CVEが公開出典（外部リンクを開く）
    4. Mandiantが攻撃者の分析を公表出典（外部リンクを開く）
    5. CISAが注意喚起し、KEVに追加出典（外部リンクを開く）
    6. カナダCCCSが注意喚起出典（外部リンクを開く）
    7. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）
    2. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.16追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認

    資料確認日：2026-11-02

  27. 続報あり

    Fortinet FortiOS / FortiPAM / FortiProxy / FortiSwitchManager

    Fortinet · CVE-2025-61624

    2026年4月に公表された、CLIのパス・トラバーサルの脆弱性。読み書き権限を持つ管理者が特定のコマンドで任意のファイルを書き込み又は削除できる。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正ネットワーク機器

    CVSS 6.0（v3.1・Fortinet）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    FortiOS 7.6.0〜7.6.4、7.4.0〜7.4.9、7.2・7.0・6.4の全版。FortiPAM 1.7.0及び1.0〜1.6の全版。FortiProxy 7.6.0〜7.6.4、7.4.0〜7.4.11、7.2・7.0の全版。FortiSwitchManager 7.2.0〜7.2.7、7.0.0〜7.0.6。旧系列には個別の修正版がない。

    経過と出典
    1. Fortinetがアドバイザリを公表出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.16追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  28. 続報あり

    Cisco Secure Email Gateway

    Cisco · CVE-2026-76519

    AMPのファイルレピュテーション有効時、細工した添付ファイル付きメールでファイルを書き込まれ、root権限でコマンドを実行される脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.8（v3.1・Cisco）海外：CCCS、CERT-EU

    詳細と出典（経過3件）
    対象と修正版

    File Reputationが有効でContent Scanner Toolsが25.3.0.5525より前の装置。AsyncOS 15.5（15.5.5-014より前）・16.5（16.5.0-780より前）等（CCCSによる）。

    経過と出典
    1. 勧告を公表（悪用を確認）出典（外部リンクを開く）
    2. KEVに追加出典（外部リンクを開く）
    3. CERT-EUが注意喚起出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 海外 · CERT-EU出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.14追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  29. 続報あり

    Juniper Junos OS・Junos OS Evolved

    Juniper Networks（HPE） · CVE-2026-101954、CVE-2026-101986、CVE-2026-101983、CVE-2026-102182ほか1件

    10月の定例公表で、J-Webの認証不備やMXシリーズのIKE処理のバッファオーバーフロー等、CVSS 9.8の脆弱性を複数修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 9.8（v3.1・Juniper）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    Junos OS・Junos OS Evolvedの各系列（例：24.2R2-S5.5、25.2R2-S2より前。CCCSによる）。各脆弱性はJ-Web、IKE、BMP等の有効時に限られる。

    経過と出典
    1. J-Webの脆弱性等の勧告を公表（JSA112187等）出典（外部リンクを開く）
    2. MXシリーズIKEの勧告を公表（JSA112196）出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  30. 続報あり

    Atlassian Data Center製品（Confluence・Jira等）

    Atlassian · CVE-2026-21589

    認証なしでWebアプリケーションのルート配下の特定ファイルを読み取られる脆弱性。Data Center製品の全バージョンが対象。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.3（v4.0・Atlassian）海外：CCCS、CERT-EU

    詳細と出典（経過4件）
    対象と修正版

    Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd各Data Center、Crucible、Fisheyeの修正版より前。例：Confluence 9.2.26・10.2.19で修正。

    経過と出典
    1. 勧告を公表出典（外部リンクを開く）
    2. CERT-EUが注意喚起出典（外部リンクを開く）
    3. KEVに追加出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 海外 · CERT-EU出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.15追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  31. 続報あり

    NGINX（Open Source・Plus）

    F5 · CVE-2026-15176

    aliasとrewriteを併用し$request_filenameを参照する設定で、細工した要求によりヒープバッファオーバーフローが生じる脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし一部の版のみ修正Web基盤・言語

    CVSS 9.2（v4.0・F5）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    NGINX Open Source 0.1.29〜1.31.6（1.30.6、1.31.7で修正）、NGINX Plus 37.0.5.1・37.1.0.1より前及びR33〜R36。

    経過と出典
    1. F5がCVE-2026-15176を公表（K000162416）出典（外部リンクを開く）
    2. nginx.orgが修正版と勧告を公表出典（外部リンクを開く）
    3. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  32. 続報あり

    Palo Alto Networks PAN-OS

    Palo Alto Networks · CVE-2026-0322

    管理インターフェースのコードインジェクションにより、認証済みの攻撃者がファイアウォール上でroot権限の任意のコードを実行できる脆弱性。Palo Alto Networksは非常に限定的な悪用を確認した。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.6（v4.0・Palo Alto Networks）海外：CCCS

    詳細と出典（経過3件）
    対象と修正版

    PA-Series・VM-Seriesファイアウォール及びPanoramaのPAN-OS 12.2、12.1、11.2、11.1及び10.2の各系列（修正版は12.2.4、12.1.10-h2、11.2.16、11.1.16-h3、10.2.18-h12等）。Cloud NGFW及びPrisma Accessは影響を受けない。

    経過と出典
    1. Palo Alto Networksがセキュリティアドバイザリと修正版を公開出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    3. PAN-OS 11.2.16を公開出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.14追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  33. 続報あり

    Ahsay AhsayCBS

    Ahsay · CVE-2026-105133、CVE-2026-105134

    バックアップサーバーのAPIで認証を回避される脆弱性と、OSコマンドを注入される脆弱性の2件。連鎖して使われ得る。当初の修正は不十分で、2026年10月12日に修正版が再公開された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 10.0（v4.0・VulDB（CNA））注意喚起なし

    詳細と出典（経過4件）
    対象と修正版

    9.15.2.69以前及び10.3.4.44以前（NVDの記載）。修正版はv10が10.3.4.45、v7〜v9が9.15.2.70。

    経過と出典
    1. CVEが公開出典（外部リンクを開く）
    2. Huntressが10月7日からの悪用を観測したと公表出典（外部リンクを開く）
    3. Ahsayが修正版を再公開出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.14追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  34. EC-CUBE4系用 AmazonPayプラグイン

    イーシーキューブ · CVE-2026-103671

    決済時に利用者を任意のサイトへ誘導される可能性がある脆弱性。アカウント情報等の窃取につながるおそれがある。開発者が悪用した攻撃を確認している。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド · 国内製品

    CVSS 5.3（v4.0・JVN（JPCERT/CC））注意喚起なし

    詳細と出典
    対象と修正版

    AmazonPay V2プラグイン（4.0/4.1系）v1.0.0〜v1.1.12、同（4.2/4.3系）v4.2.0〜v4.3.1、AmazonPayプラグイン（CV1版、4.0系）v1.3.0以前。

    経過と出典
    1. JVNが脆弱性情報（緊急）を公表出典（外部リンクを開く）
    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  35. 続報あり

    SAP Security Patch Day（2026年10月）

    SAP · CVE-2026-89111、CVE-2026-89110、CVE-2026-89107、CVE-2026-89108

    新規16件のセキュリティノートと4件のGitHubアドバイザリを公開した。SAP Cloud SDK for PythonのSSRF（CVSS 10.0）等4件がCritical。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 10.0（v3.1・SAP）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    SAP Cloud SDK for Python 0.45.2より前、NetWeaver Visual Composer、S/4HANA（S4CORE 105〜109）、Manufacturing Integration and Intelligence 15.4・15.5等。

    経過と出典
    1. 10月のSecurity Patch Dayでノートを公開出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  36. 続報あり

    SonicWall SMA1000

    SonicWall · CVE-2026-102255

    Work Placeインターフェースの事前認証SSRF。認証なしで装置に要求を代行させ、内部機能に到達して不正な操作をされるおそれがある。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 10.0（v3.1・CISA-ADP）注意喚起なし

    詳細と出典（経過3件）
    対象と修正版

    SMA1000（6210、7210、8200v）の12.4.3-03670・12.5.0-03082（platform-hotfix）以前（CCCSによる）。

    経過と出典
    1. SonicWallが勧告SNWLID-2026-0017を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    3. 研究者が悪用の試行を観測したと報道出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  37. 続報あり

    ProFTPD通称「mod_copy」

    The ProFTPD Project · CVE-2015-3306

    2015年に公表された、mod_copyモジュールのSITE CPFR/CPTOコマンドにより認証なしで任意のファイルを読み書きされる脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありOSS・ライブラリ

    CVSS 10.0（v3.1・CISA-ADP）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過5件）
    対象と修正版

    ProFTPD 1.3.5（mod_copy使用時）。1.3.5a及び1.3.6rc1で修正。

    経過と出典
    1. Debianがセキュリティ勧告DSA-3263-1を公表出典（外部リンクを開く）
    2. 修正版1.3.5a及び1.3.6rc1を公開（Bug 4169）出典（外部リンクを開く）
    3. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    5. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  38. 続報あり

    ONLYOFFICE Docs（Document Server）

    Ascensio System SIA (ONLYOFFICE) · CVE-2021-3199

    2021年に公表された、JWT使用時に画像アップロードのパラメータを通じたパストラバーサルで遠隔からコードを実行される脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版あり業務アプリ・クラウド

    CVSS 9.8（v3.1・NVD）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過4件）
    対象と修正版

    Document Server 5.6.3より前（AA26-281Aは5.1.5〜5.6.2と記載）。5.6.3で修正。

    経過と出典
    1. NVDがCVEを公開出典（外部リンクを開く）
    2. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    4. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  39. 続報あり

    Citrix NetScaler ADC・NetScaler Gateway（SAML構成）

    Cloud Software Group（Citrix） · CVE-2026-107406

    SAML SP又はIdPとして構成した装置のメモリオーバーフローで、リモートコード実行又はサービス拒否のおそれがある。9月の修正版も影響範囲に含まれる。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版ありネットワーク機器

    CVSS 9.5（v4.0・NetScaler（CNA））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    13.1-64.29、14.1-73.46より前（FIPS版等を含む。CCCSによる）。

    経過と出典
    1. Citrixがセキュリティ速報CTX697191を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  40. 続報あり

    Citrix NetScaler ADC / NetScaler Gateway

    Citrix (Cloud Software Group) · CVE-2026-88779

    SAMLのSP又はIdPとして構成した機器で、メモリ処理の不備によりサービス停止を起こされる脆弱性。CISAはCVE-2026-88771で注入されたコードを再起動で実行させる目的に使われる可能性にも触れた。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 8.7（v4.0・Citrix）海外：CISA

    詳細と出典（経過3件）
    対象と修正版

    顧客管理のADC・Gatewayの14.1-73.41より前、13.1-64.28より前、14.1 FIPSの14.1-73.41 FIPSより前、13.1 FIPS・NDcPPの13.1-37.282より前。

    経過と出典
    1. Citrixがセキュリティ情報CTX697174を公表出典（外部リンクを開く）
    2. CISAがKEVに追加出典（外部リンクを開く）
    3. CISAが9月27日の注意喚起を更新し本件を追加出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.04追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  41. 続報あり

    Apache Struts 2通称「S2-032」

    Apache Software Foundation · CVE-2016-3081

    2016年に公表された、Dynamic Method Invocationが有効な場合にmethod:接頭辞を通じて遠隔からコードを実行される脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありWeb基盤・言語

    CVSS 8.1（v3.1・NVD）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過5件）
    対象と修正版

    Struts 2.3.20〜2.3.28（2.3.20.3及び2.3.24.3を除く）。修正版は2.3.20.3、2.3.24.3、2.3.28.1。

    経過と出典
    1. 修正版2.3.20.3、2.3.24.3、2.3.28.1を公開出典（外部リンクを開く）
    2. NVDがCVEを公開出典（外部リンクを開く）
    3. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    5. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  42. 続報あり

    ISC BIND 9

    Internet Systems Consortium (ISC) · CVE-2015-5477

    2015年に公表された、TKEYクエリの処理の誤りによりnamedが異常終了し、遠隔からサービス停止を起こされる脆弱性。中国政府関連の攻撃者による悪用が共同アドバイザリーで示された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正OSS・ライブラリ

    CVSS 7.8（v2.0・ISC）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過4件）
    対象と修正版

    BIND 9.1.0〜9.8.x、9.9.0〜9.9.7-P1、9.10.0〜9.10.2-P2。修正版は9.9.7-P2及び9.10.2-P3で、9.8以前の修正版はISCの勧告に記載がない。

    経過と出典
    1. ISCが勧告と修正版を公表出典（外部リンクを開く）
    2. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    4. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  43. 続報あり

    Strapi

    Strapi Solutions SAS · CVE-2023-22894

    2023年に公表された、非公開項目での絞り込みによりメールアドレス、パスワードハッシュ、リセット用トークンが漏れる脆弱性。CVE-2023-22621と組み合わせると遠隔からコードを実行される。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正Web基盤・言語

    CVSS 7.2（v3.1・CISA-ADP）国内：警察庁・国家サイバー統括室（AA26-281Aへの共同署名）海外：CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）

    詳細と出典（経過5件）
    対象と修正版

    3.2.1以上4.8.0未満。4.8.0で修正。v3系は2022年12月31日にサポートが終了しており修正版なし。

    経過と出典
    1. 修正版4.8.0を公開出典（外部リンクを開く）
    2. Strapiが脆弱性の詳細を公表出典（外部リンクを開く）
    3. 米英日など7か国の機関が共同アドバイザリー（AA26-281A）で悪用されたCVEとして列挙出典（外部リンクを開く）
    4. CISAがKEVに追加出典（外部リンクを開く）
    5. 警察庁・国家サイバー統括室が同アドバイザリーへの共同署名を公表出典（外部リンクを開く）
    注意喚起
    1. 海外 · CISA・FBI・NSA等（国際共同アドバイザリーAA26-281A）出典（外部リンクを開く）
    2. 国内 · 警察庁・国家サイバー統括室（AA26-281Aへの共同署名）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.08追加

    掲載の根拠

    悪用の確認、公的機関の注意喚起

    資料確認日：2026-11-02

  44. 続報あり

    Cisco NX-OS・Nexus・License On-Prem等（10月7日公表分）

    Cisco · CVE-2026-76482、CVE-2026-76471、CVE-2026-76485、CVE-2026-76486ほか12件

    NX-OSのNX-API、NGOAM、MPLS OAMで認証なしにroot権限でコードを実行される脆弱性等、CVSS 9.0以上を含む複数の勧告を公表した。

    最新の公表を見る（外部リンクを開く）

    悪用は未確認と公表一部の版のみ修正ネットワーク機器

    CVSS 10.0（v3.1・Cisco）注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    Nexus 3000・9000シリーズ、NX-OS、License（Smart Software Manager）On-Prem、APIC、Meraki各製品等。Merakiの一部は修正版が10月下旬〜11月中旬の予定。

    経過と出典
    1. NX-API RCE等の勧告を公表出典（外部リンクを開く）
    2. NGOAM RCEの勧告を公表出典（外部リンクを開く）
    3. License On-Prem強化リリースを公表出典（外部リンクを開く）
    4. Meraki強化リリースを公表出典（外部リンクを開く）
    5. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  45. 続報あり

    Zammad

    Zammad GmbH · CVE-2026-102489、CVE-2026-102490

    セッション乗っ取りにより zammad ユーザー権限でコードを実行される脆弱性と、DEB・RPMパッケージ版でrootへ権限昇格される脆弱性の2件。連鎖して使われ得る。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正業務アプリ・クラウド

    CVSS 9.8（v3.1・NVD）注意喚起なし

    詳細と出典（経過5件）
    対象と修正版

    CVE-2026-102489は6.3.0〜6.5.4（7.0.0〜7.1.xにも存在するが悪用不可とされる。6.5以前はサポート終了）。CVE-2026-102490はDEB・RPMパッケージ版の7.2.1以前（7.2.2で修正）。

    経過と出典
    1. DIVDが脆弱性を限定公開し、利用者への通知を開始出典（外部リンクを開く）
    2. Zammadがコミュニティで見解を公表出典（外部リンクを開く）
    3. CISAがKEVに追加出典（外部リンクを開く）
    4. Zammadがセキュリティアドバイザリを公表出典（外部リンクを開く）
    5. CVE-2026-102490の修正版7.2.2を公表出典（外部リンクを開く）
    注意喚起

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.02追加

    掲載の根拠

    悪用の確認

    資料確認日：2026-11-02

  46. 続報あり

    Fortinet FortiMail

    Fortinet · CVE-2026-104286

    パストラバーサルにより、認証なしでHTTP(S)要求から任意のファイルを書き込まれる脆弱性。悪用が報告されている。

    最新の公表を見る（外部リンクを開く）

    悪用を確認一部の版のみ修正ネットワーク機器

    CVSS 9.8（v3.1・Fortinet）海外：CCCS、CSA Singapore

    詳細と出典（経過6件）
    対象と修正版

    8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9、7.0系全版。7.2系の修正版7.2.10は未公開（予定）で、7.0系には修正版がない。

    経過と出典
    1. 勧告FG-IR-26-175を公表出典（外部リンクを開く）
    2. KEVに追加出典（外部リンクを開く）
    3. Fortinetがアドバイザリを公表出典（外部リンクを開く）
    4. FortiMail Cloudを修正し、勧告を更新出典（外部リンクを開く）
    5. Fortinetが対策情報を更新し、FortiMail Cloudを修正済みとした出典（外部リンクを開く）
    6. FortinetがFortiMail Cloudの修正に関する記載を明確化出典（外部リンクを開く）
    注意喚起
    1. 海外 · CCCS出典（外部リンクを開く）
    2. 海外 · CSA Singapore出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.10.01追加

    掲載の根拠

    悪用の確認、深刻度「緊急」（CVSS 9.0以上）、公的機関の注意喚起

    資料確認日：2026-11-02

  47. 続報あり

    Movable Type

    シックス・アパート · CVE-2026-96408、CVE-2026-103668

    アップグレード用スクリプト等に、任意のPerlコード又はSQLを実行される可能性がある脆弱性。サイト内検索では非公開データを含む情報を出力される可能性がある。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし一部の版のみ修正Web基盤・言語 · 国内製品

    CVSS 9.4（v3.0・JVN（JPCERT/CC））国内：IPA

    詳細と出典（経過3件）
    対象と修正版

    Movable Type 9.2.1以前、9.0.9以前、8.8.5以前、8.0.12以前、Movable Type Premium 9.2.1以前、9.0.9以前、2.17以前。サポート終了版も影響を受け、修正版はない。

    経過と出典
    1. 開発者が修正版（9.3.0、9.0.10、8.8.6、8.0.13、Premium 2.18等）を公開出典（外部リンクを開く）
    2. JVNが脆弱性情報を公表出典（外部リンクを開く）
    3. IPAが注意喚起を公表出典（外部リンクを開く）
    注意喚起
    1. 国内 · IPA出典（外部リンクを開く）
    掲載の根拠

    公的機関の注意喚起、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  48. 続報あり

    VMware Workstation・Fusion

    Broadcom（VMware） · CVE-2026-59346、CVE-2026-59347

    VMXNET3の整数オーバーフローにより、仮想マシンの管理者権限を持つ攻撃者がホスト上でコードを実行できる脆弱性等を修正した。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.3（v3.1・VMware（Broadcom））注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Workstation・Fusion 26H1u1より前（CCCSによる）。

    経過と出典
    1. VMSA-2026-0007を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

  49. 続報あり

    NetScaler ADC／NetScaler Gateway

    Cloud Software Group（Citrix） · CVE-2026-88771、CVE-2026-88772

    認証なしで外部から任意のコードを実行される可能性がある2件の脆弱性。悪用が確認され、Webシェルの設置等の侵害後の活動も報告された。

    最新の公表を見る（外部リンクを開く）

    悪用を確認修正版ありネットワーク機器

    CVSS 9.5（v4.0・Cloud Software Group（CNA））国内：JPCERT/CC、IPA海外：NCSC（英）

    詳細と出典（経過4件）
    対象と修正版

    14.1-73.37より前、13.1-64.23より前、14.1-73.37 FIPSより前、13.1-37.279（FIPS・NDcPP）より前。CVE-2026-88772はDTLSが有効な構成が対象。

    経過と出典
    1. CISAがKEVカタログに追加出典（外部リンクを開く）
    2. JPCERT/CCが注意喚起を公表出典（外部リンクを開く）
    3. 英NCSCが悪用を受けた注意喚起を公表出典（外部リンクを開く）
    4. JPCERT/CCが、MandiantとGTIGによる侵害指標・調査情報を追記出典（外部リンクを開く）
    注意喚起
    1. 国内 · JPCERT/CC出典（外部リンクを開く）
    2. 国内 · IPA出典（外部リンクを開く）
    3. 海外 · NCSC（英）出典（外部リンクを開く）

    米CISAの「悪用が確認された脆弱性」目録（KEV）に2026.09.27追加

    掲載の根拠

    公的機関の注意喚起、悪用の確認、深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-03

  50. 続報あり

    WatchGuard Endpoint Security

    WatchGuard · CVE-2026-13043

    カーネルメモリアクセスドライバの認証欠如により、ローカルの認証済み攻撃者がカーネル及びプロセスのメモリを読み取れる脆弱性。

    最新の公表を見る（外部リンクを開く）

    悪用の公表なし修正版あり業務アプリ・クラウド

    CVSS 9.3（v4.0・WatchGuard）注意喚起なし

    詳細と出典（経過2件）
    対象と修正版

    Windows版Endpoint Security 8.00.26.0012より前。

    経過と出典
    1. 勧告を公表出典（外部リンクを開く）
    2. カナダCCCSがアドバイザリを公表出典（外部リンクを開く）
    掲載の根拠

    深刻度「緊急」（CVSS 9.0以上）

    資料確認日：2026-11-02

掲載基準・用語

掲載する脆弱性

  • 国内・海外を問わず、次のいずれかに当たるものを掲載します。①国内外の公的機関（JPCERT/CC、IPA、国家サイバー統括室、米CISA、CERT-EU等）が注意喚起したもの、②悪用が確認されたもの（米CISAのKEVへの追加、又は開発元等が悪用を公表したもの）、③深刻度が「緊急」（CVSS 9.0以上）で、広く使われる製品のもの、④その脆弱性を理由とするサービス停止・緊急メンテナンスが相次いだもの、⑤X（旧Twitter）で広く話題になったもの。
  • 同じ製品について同時に公表された複数の脆弱性は1件にまとめ、修正版の公開、別の脆弱性の公表、悪用の確認などの続報は、同じ件の経過に追記します。
  • 初回の掲載対象は、2026年10月1日以降に公表・続報があったものです。公表されたすべての脆弱性を網羅するものではありません。

各項目の表記

  • 深刻度は、開発元又は公的機関が公表したCVSSの値を、評価者と版（v3.1、v4.0等）とともに記載します。版が異なる値は比較できません。
  • 「悪用を確認」は、米CISAのKEVへの追加、又は開発元・公的機関・セキュリティ企業が悪用を公表したものです。「実証コード公開」は、公的機関又は開発元が攻撃の実証コードの公開を伝えたものです。
  • 「修正版あり」はサポート中のすべての版に修正版があるもの、「一部の版のみ修正」はサポート終了版などに修正版がないもの、「緩和策のみ」は修正版がなく開発元が回避策を示しているものです。
  • 「Xで話題」は、報道・専門メディアの記事、又はX上の反応を集計したまとめ（Yahoo!リアルタイム検索等）で、X上で広く話題になったことを確認できたものです。X上の個々の投稿は出典にしていません。
  • 対策の手順は記載していません。各項目の注意喚起と開発元の公表をご確認ください。

訂正のご連絡

記載に誤りがある場合や、新たな公表により内容が変わった場合は、お問い合わせからご連絡ください。確認のうえ訂正します。

お問い合わせ情報漏えい・サイバー攻撃ニュースLegalAgent AI法務ラボ