2026Q3 脆弱性トピック

2026.07.01

脆弱性（OSS以外のものも含む）に関するトピックを集めています。最新の情報でディストリビューション側で対応できていないものも、こちらには載せています。適宜更新していきます。

2026Q2脆弱性トピックはこちら
2026Q1脆弱性トピックはこちら

2025Q4脆弱性トピックはこちら

2025Q3脆弱性トピックはこちら

2026/08/14

VMware vCenterの重大なリモートコード実行（RCE）の脆弱性(CVE-2026-59310)が悪用

  • VMware vCenter Syslog Serverに存在する、最近パッチが適用された重大な脆弱性（CVE-2026-59310）が、永続的な接続とリモートアクセスを目的としたリバースSSHツールの展開を目的としたアクティブな攻撃キャンペーンで悪用されています。
  • CVE-2026-59310

2026/08/12

Cisco社、Secure Firewall ASAおよびThreat Defense（FTD）ソフトウェアに存在する脆弱性(CVE-2026-20349)を公開

  • Ciscoのアドバイザリより
  • CVE-2026-20349
    • CVSS
      • Base Score: 8.6 High
      • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H/E:X/RL:X/RC:X
    • Cisco Secure Firewall Adaptive Security Appliance (ASA) ソフトウェアおよび Cisco Secure Firewall Threat Defense (FTD) ソフトウェアのリモートアクセス SSL VPN サービスに存在する脆弱性により、認証されていないリモート攻撃者がデバイスを予期せず再起動させ、サービス拒否 (DoS) 状態を引き起こす可能性があります。

2026/08/11

XSS2Shell (CVE-2026-64638)：WordPressの新たな脆弱性

  • ionsecのブログより
  • XSS2ShellというWordPressの新たな脆弱性が公開されています。
  • CVE-2026-64638
    • CVSS
      • CVSS-B：8.9 Critical
      • Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
    • WordPressのログイン画面には、認証前の時点でXSS（クロスサイトスクリプティング）の脆弱性が存在します。攻撃者が用意した悪意のあるサードパーティ製Webサイトを介することで、攻撃者の直接的な制御が及ばない特定の条件下において、この脆弱性をRCE（リモートコード実行）へと発展させることが可能です。これには、標的となるユーザーに対するソーシャルエンジニアリングの成功と、ユーザーによる明示的な操作が必要となります。この問題はWordPressのすべてのバージョンに影響を及ぼします。本脆弱性を修正したバージョン7.0.3がリリースされましたが、旧バージョンのユーザーへの配慮として、バージョン4.7まで遡るすべてのブランチに対しても修正がバックポートされています。本脆弱性はpwn.aiのチームによって発見され、適切な手順で開示されました。

2026/07/30

Cisco社、Cisco Secure FMCの静的認証情報の脆弱性がゼロデイ攻撃で悪用される可能性があると警告

  • bleepingcomputerより
  • Ciscoは、CVE-2026-20316として追跡されている、Secure Firewall Management Center（FMC）の静的認証情報に関する重大な脆弱性が、ゼロデイ攻撃で悪用され、脆弱なデバイスへの不正アクセスが行われたと警告しています。
  • CVE-2026-20316
    • CVSS
      • Base Score: 5.3 (High)
      • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:X/RL:X/RC:X
    • Cisco Secure Firewall Management Center (FMC) ソフトウェアのウェブインターフェースに存在する脆弱性により、認証されていないリモート攻撃者が、権限の低いアカウントを使用して影響を受けるデバイスにログインし、影響を受けるシステム内の機密データにアクセスできる可能性があります。
    • この脆弱性は、権限の低い アカウントに静的なユーザー認証情報が存在することに起因します。攻撃者は、このアカウントを使用して影響を受けるシステムにログインすることで、この脆弱性を悪用する可能性があります。攻撃が成功すると、攻撃者は影響を受けるシステムにログインし、権限の低いユーザーとして機密データにアクセスできるようになります。

2026/07/23

Eclypsiumが「InfraTrust Pulse」をリリース

  • bleepingcomputerより
  • Eclypsiumは、インフラストラクチャ、ファームウェア、ネットワーク、エッジデバイスに影響を与える脆弱性の優先順位付けを組織が支援するために設計された、新しいインフラストラクチャサイバーセキュリティ知識ベースおよび月次レポート「InfraTrust Pulse」をリリースしました。
  • 7月の「InfraTrust Pulse」はこちらになります。

2026/07/22

Microsoft SharePointの重大な脆弱性(CVE-2026-50522)

  • bleepingcomputerより
  • Microsoft SharePointの重大な脆弱性CVE-2026-50522が攻撃社に積極的に悪用されている模様です。マシンキーを盗み出し、影響を受けるサーバーにパッチが適用された後もアクセスを維持しているとのことです。
  • CVE-2026-50522
    • 一次情報源はこちら
    • CVSS
      • Base Score: 9.8/8.5
      • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
    • Microsoft Office SharePointにおける信頼できないデータのデシリアライズにより、権限を持たない攻撃者がネットワーク経由でコードを実行できる可能性があります。

2026/07/07

Januscape(CVE-2026-53359)

2026/07/01

Microsoft BlueHammer脆弱性のランサムウェアグループによる悪用が観測された模様

  • bleepingcomputerより
  • こちらでも取り上げた、Microsoft BlueHammer 脆弱性(CVE-2026-33825)のランサムウェアグループによる悪用をCISAが観測した模様です。脆弱性自体は4月のWindowsパッチで修正がリリースされています。

タイトルとURLをコピーしました