脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
SolarWinds Serv-Uは、認証なしでContent-Encoding: deflateを使用した特別に細工されたPOSTリクエストによってServ-Uサービスがクラッシュする脆弱性があります。アップデートを展開できない場合は、SolarWinds Trust Centerで顧客環境を保護するための軽減手順が提供されています。
KEV掲載: 2026-06-05公式(NVD) →Mirasvit Full Page Cache Warmer for Magento 2 バージョン1.11.12より前には、PHPオブジェクトインジェクション脆弱性が存在します。認証なしの攻撃者が、CacheWarmerクッキーに細工されたシリアライズPHPオブジェクトを提供することで、リモートコード実行を達成できます。攻撃者は、PHPのネイティブunserialize()関数への無制限の呼び出しとMagentoおよびその依存関係で利用可能なガジェットチェーンを組み合わせることで、サーバー上で任意のコードを実行できます。
Linuxカーネルの kernel/cgroup/cgroup-v1.c ファイルに含まれる cgroup_release_agent_write 関数に脆弱性が発見されました。この欠陥により、特定の状況下で cgroups v1 の release_agent 機能を悪用して権限昇格を行い、予期しない方法でネームスペース分離をバイパスすることが可能になります。
KEV掲載: 2026-06-02公式(NVD) →複数の場所において、整数オーバーフローにより、コード実行を実現する可能性があります。これにより、追加の実行特権なしでローカル権限昇格につながる可能性があります。エクスプロイトに際してユーザーインタラクションは必要ありません。
KEV掲載: 2026-06-02公式(NVD) →Oracle Fusion Middleware の Oracle WebLogic Server 製品における脆弱性（コンポーネント：Core）。影響を受けるサポート対象バージョンは 12.2.1.4.0 および 14.1.1.0.0 です。この脆弱性は、悪用が容易であり、認証されていない攻撃者が T3 および IIOP 経由でネットワークアクセスを通じて Oracle WebLogic Server を侵害できます。この脆弱性の攻撃に成功すると、重要なデータへの不正アクセスまたは Oracle WebLogic Server でアクセス可能なすべてのデータへの完全なアクセスが可能になります。CVSS 3.1 ベーススコア 7.5（機密性への影響）。CVSS ベクトル：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)。
KEV掲載: 2026-06-01公式(NVD) →Palo Alto Networks PAN-OS®ソフトウェアのGlobalProtectポータルおよびゲートウェイの認証回避脆弱性により、攻撃者はセキュリティ制限をバイパスし、不正なVPN接続を確立することができます。 PanoramaおよびCloud NGFWはこれらの問題の影響を受けません。
KEV掲載: 2026-05-29公式(NVD) →Nx Consoleは、NxおよびLernaのユーザーインターフェースです。2026年5月19日に、悪意のあるバージョンのNx Console 18.95.0がUTC 12:30に公開され、UTC 12:48にすぐに削除されました。Visual Studio Marketplaceで約18分間利用可能でした。OpenVSXでは問題がより遅く検出され、侵害されたバージョンはUTC 12:33からUTC 13:09まで（約36分間）利用可能でした。Nx Consoleのバージョン18.100.0は侵害されていないため、ユーザーはそのバージョンにアップグレードすることで対応できます。
KEV掲載: 2026-05-27公式(NVD) →2026年5月11日UTC時刻19時20分から19時26分の間に、84個の悪意あるバージョンが42個の@tanstack/*パッケージ全体にわたってnpmレジストリに公開されました。公開はTanStack/routerの正規なGitHub Actions OIDC信頼できるパブリッシャーバインディング経由で認証されましたが、公開ワークフロー自体は改変されていません。攻撃者は3つの既知の脆弱性クラスを組み合わせました。すなわち、pull_request_targetの「Pwn Request」設定不備、フォーク↔ベース間の信頼境界を跨ぐGitHub Actionsキャッシュポイズニング、およびActionsランナープロセスからのOIDCトークンのランタイムメモリ抽出です。これにより信頼できるアイデンティティの下で認証情報を盗むマルウェアを公開しました。影響を受けた各パッケージは正確に2つの悪意あるバージョンを受け取り、数分間隔で公開されました。
KEV掲載: 2026-05-27公式(NVD) →サプライチェーン攻撃により、2026年4月8日から5月5日までの間に正規Webサイト daemon-tools.cc から配布されたDAEMON Tools Lite（Windows版12.5.0.2421～12.5.0.2434）の公式インストールパッケージが侵害されました。攻撃者はベンダー（AVB Disc Soft）のビルドまたは配布インフラへの不正アクセスを獲得し、DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exeの3つのバイナリをトロイの木馬化しました。これらのファイルは正規のAVB Disc Softコード署名証明書でデジタル署名されており、悪意のあるインストーラーが信頼できるように見え、署名ベースの検出を回避することができました。
KEV掲載: 2026-05-27公式(NVD) →LiteSpeed User-End cPanel Plugin 2.4.5より前のバージョンには権限昇格（ルートまで含む可能性がある）の脆弱性があり、2026年5月の野生での悪用が報告されています。検出は、Bashで次のコマンドラインを実行することが最適です：grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null。出力がない場合、この脆弱性の悪用を受けていません。出力がある場合は、リスト内のIPアドレスを確認し、有効なIPアドレスであるかを判断し、そうでない場合はそれらをブロックすることをお勧めします。被害の程度を確認するには、検出されたIPアドレスによるシステムログの使用状況を調べてください。この問題はRedis有効化/無効化機能の不適切な処理に関連しています。推奨される最小バージョンは2.4.7です。
KEV掲載: 2026-05-26公式(NVD) →Drupal DrupalコアにおけるSQL コマンドで使用される特殊文字の不適切なニュートラライゼーション（「SQLインジェクション」）の脆弱性により、SQLインジェクションが可能になります。 この問題は、Drupalコアの以下のバージョンに影響します：8.9.0から10.4.10未満、10.5.0から10.5.10未満、10.6.0から10.6.9未満、11.0.0から11.1.10未満、11.2.0から11.2.12未満、11.3.0から11.3.10未満。
KEV掲載: 2026-05-22公式(NVD) →Langflow バージョン 1.6.9 以前には、アカウント乗っ取りとリモートコード実行を可能にする連鎖脆弱性が存在します。過度に寛容な CORS 設定（allow_origins='*' と allow_credentials=True の組み合わせ）と、SameSite=None に設定されたリフレッシュトークン Cookie により、悪意のある Web ページは認証情報を含むクロスオリジンリクエストを実行でき、リフレッシュエンドポイントを正常に呼び出すことができます。攻撃者が制御するオリジンは、被害者セッションの新しい access_token / refresh_token ペアを取得できます。取得されたトークンは、組み込みのコード実行機能を含む認証済みエンドポイントへのアクセスを許可し、攻撃者が任意のコードを実行でき、システム全体の侵害を実現できます。
KEV掲載: 2026-05-21公式(NVD) →Apex One（オンプレミス）サーバーのディレクトリトラバーサル脆弱性により、認証前のローカル攻撃者がサーバー上の重要なテーブルを変更し、影響を受けたインストール環境のエージェントに展開する悪意のあるコードを注入することが可能になります。 この脆弱性はApex Oneのオンプレミス版でのみ悪用可能であり、攻撃者がこの脆弱性を悪用するには、Apex Oneサーバーへのアクセスを取得し、他の手段によってサーバーへの管理者認証情報をあらかじめ入手している必要があります。
KEV掲載: 2026-05-21公式(NVD) →Microsoft WindowsのServerサービスに存在する脆弱性です。Windows 2000 SP4、XP SP2・SP3、Server 2003 SP1・SP2、Vista Gold・SP1、Server 2008、および7 Pre-Betaが影響を受けます。細工されたRPCリクエストを通じて、パスの正規化処理中にバッファオーバーフローが発生し、リモート攻撃者が任意のコードを実行可能です。2008年10月にGimmiv.Aによるワイルド攻撃に悪用されました。「Server Service Vulnerability」と呼ばれています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft Internet Explorer 6、6 SP1、7、8 on Windows 2000 SP4、Windows XP SP2 SP3、Windows Server 2003 SP2、Windows Vista Gold SP1 SP2、Windows Server 2008 Gold SP2 R2、Windows 7 における use-after-free 脆弱性です。削除されたオブジェクトに関連付けられたポインタにアクセスすることで、リモート攻撃者が任意のコードを実行する可能性があります。メモリの不適切な初期化とメモリ内のオブジェクトの不正確な処理に関連しており、2009年12月と2010年1月に Operation Aurora で悪用されたもので、「HTML Object Memory Corruption Vulnerability」とも呼ばれています。
KEV掲載: 2026-05-20公式(NVD) →Adobe ReaderおよびAcrobat 7.x（7.1.4未満）、8.x（8.1.7未満）、および9.x（9.2未満）のヒープベースバッファオーバーフローは、メモリ破損をトリガーする細工されたPDFファイルを介して、リモート攻撃者が任意のコードを実行することを可能にします。この脆弱性は2009年10月に実際に悪用されました。注記：これらの詳細の一部は第三者情報から得られています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft Internet Explorer 6、6 SP1、およびInternet Explorer 7のPeer Objectsコンポーネント（iepeers.dllとも呼ばれる）における Use-after-free 脆弱性により、リモート攻撃者はオブジェクト削除後の無効なポインタへのアクセスに関連するベクトルを通じて、任意のコードを実行できます。2010年3月に野生で悪用されており、「初期化されていないメモリ破損脆弱性」としても知られています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft DirectX 7.0～9.0c の quartz.dll に含まれる QuickTime ムービーパーサーフィルターの未指定の脆弱性により、Windows 2000 SP4、Windows XP SP2・SP3、および Windows Server 2003 SP2 上で、リモート攻撃者が細工された QuickTime メディアファイルを通じて任意のコードを実行できます。2009年5月に野生のエクスプロイトが確認されており、「DirectX ヌルバイト上書き脆弱性」と呼ばれています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft Defenderのファイルアクセス前の不適切なリンク解決（リンク追跡）により、認可された攻撃者がローカルで権限昇格を行うことが可能になります。
KEV掲載: 2026-05-20公式(NVD) →Microsoft Defenderサービス拒否脆弱性
KEV掲載: 2026-05-20公式(NVD) →Microsoft Exchange Server のウェブページ生成時の入力に対する不適切なニュートラライゼーション（クロスサイトスクリプティング）により、認可されていない攻撃者がネットワークを経由したなりすましを実行することを可能にします。
KEV掲載: 2026-05-15公式(NVD) →2026年5月：本セキュリティアドバイザリは、2026年2月に公開された脆弱性の後に発見・修正された脆弱性の詳細と修正情報を提供しています。本新しいアドバイザリは、制御接続ハンドシェイクにおける新しい脆弱性についてのものです。本アドバイザリの該当セクションには、システムチェックを支援するための制御接続表示のガイダンスが含まれています。 Cisco Catalyst SD-WAN Controller（旧SD-WAN vSmart）およびCisco Catalyst SD-WAN Manager（旧SD-WAN vManage）のピアリング認証における脆弱性により、認証されていないリモート攻撃者が認証をバイパスし、影響を受けるシステムに対する管理者権限を取得できる可能性があります。 この脆弱性は、影響を受けるシステムのピアリング認証メカニズムが正常に機能していないことが原因です。攻撃者は、細工されたリクエストを影響を受けるシステムに送信することで、この脆弱性を悪用できます。悪用に成功した場合、攻撃者はCisco Catalyst SD-WAN Controllerに内部的な高い権限を持つ非rootユーザーアカウントとしてログインできる可能性があります。このアカウントを使用することで、攻撃者はNETCONFにアクセスでき、SD-WAN fabric全体のネットワーク設定を操作することが可能になります。
KEV掲載: 2026-05-14公式(NVD) →LiteLLMはOpenAI（またはネイティブ）形式でLLM APIを呼び出すプロキシサーバー（AIゲートウェイ）です。バージョン1.81.16からバージョン1.83.7より前までの間、プロキシAPIキーチェック時に使用されるデータベースクエリが、呼び出し元が提供するキー値をクエリテキストに混在させていました。パラメータとして別途渡されるべきでした。認証されていない攻�いかなるLLM APIルート（例：POST /chat/completions）に特別に細工されたAuthorizationヘッダーを送信し、プロキシのエラーハンドリングパスを通じてこのクエリにアクセスする可能性がありました。攻撃者はプロキシのデータベースからデータを読み出し、場合によっては変更できる可能性があり、プロキシとそれが管理する認証情報への不正アクセスにつながる可能性があります。この問題はバージョン1.83.7で修正されています。
KEV掲載: 2026-05-08公式(NVD) →Ivanti EPMMの12.6.1.1、12.7.0.1、および12.8.0.1より前のバージョンにおける不適切な入力値検証により、管理者アクセス権を持つ遠隔認証ユーザーがリモートコード実行を達成することが可能です。
KEV掲載: 2026-05-07公式(NVD) →Palo Alto Networks PAN-OSソフトウェアのUser-ID™認証ポータル（キャプティブポータルとも呼ばれる）サービスにバッファオーバーフロー脆弱性が存在し、認証されていない攻撃者が細工されたパケットを送信することで、PA-SeriesおよびVM-Seriesファイアウォール上でルート権限で任意のコードを実行できます。 このセキュリティリスクは、https://knowledgebase.paloaltonetworks.com/KCSArticleDetailのベストプラクティスガイドラインに従ってUser-ID™認証ポータルへのアクセスを信頼できる内部IPアドレスのみに制限することで、大幅に軽減できます。 Prisma AccessおよびCloud NGFW、Panoramaアプライアンスはこの脆弱性の影響を受けません。
KEV掲載: 2026-05-06公式(NVD) →Linuxカーネルにおいて、以下の脆弱性が解決されました。 crypto: algif_aead - アウトオブプレイス動作への復帰 このパッチでは、コミット72548b093ee3をほぼ復帰させていますが、関連データのコピーは除外しています。 algif_aeadではソースと宛先が異なるマッピングから来るため、インプレイス動作に利点がありません。インプレイス動作のために追加された複雑さをすべて削除し、関連データを直接コピーするだけにします。
KEV掲載: 2026-05-01公式(NVD) →cPanel および WHM バージョン 11.40 以降のログインフローには認証バイパス脆弱性が含まれており、認証されていないリモート攻撃者がコントロールパネルへの不正アクセスを取得することを許可します。
KEV掲載: 2026-04-30公式(NVD) →ConnectWise ScreenConnect 23.9.7 およびそれ以前のバージョンは、パストトラバーサル脆弱性の影響を受けており、攻撃者にリモートコード実行の能力、または機密データや重要なシステムへの直接的な影響をもたらす可能性があります。
KEV掲載: 2026-04-28公式(NVD) →Windows Shellの保護メカニズムの不具合により、認可されていない攻撃者がネットワーク経由でスプーフィングを実行することが可能になります。
KEV掲載: 2026-04-28公式(NVD) →Samsung MagicINFO 9 Server バージョン 21.1050 より前の不適切なパス名制限脆弱性により、攻撃者がシステム権限で任意のファイルを書き込むことが可能になります。
KEV掲載: 2026-04-24公式(NVD) →SimpleHelp リモートサポートソフトウェアv5.5.7以前には、低い権限の技術者が過度な権限を持つAPIキーを作成できるという脆弱性があります。これらのAPIキーはサーバー管理者ロールへの権限昇格に悪用される可能性があります。
KEV掲載: 2026-04-24公式(NVD) →SimpleHelp リモートサポートソフトウェア v5.5.7 以前では、管理ユーザーが細工された zip ファイルをアップロードすることで、ファイルシステム上の任意の場所に任意のファイルをアップロード可能です（いわゆる zip slip）。これを利用して、SimpleHelp サーバーユーザーのコンテキストで、ホスト上の任意のコードを実行される可能性があります。
KEV掲載: 2026-04-24公式(NVD) →D-Link DIR-823X 240126および240802のコマンドインジェクション脆弱性により、認可された攻撃者が/goform/set_prohibiting への POST リクエストを送信することで、対応する機能を通じてリモートデバイス上で任意のコマンドを実行でき、リモートコマンド実行が誘発される。
KEV掲載: 2026-04-24公式(NVD) →marimoはリアクティブなPythonノートブックです。0.23.0より前のバージョンでは、marimoに認証前のRCE脆弱性が存在します。ターミナルのWebSocketエンドポイント/terminal/wsは認証検証が不足しており、認証されていない攻撃者が完全なPTYシェルを取得して任意のシステムコマンドを実行できます。他のWebSocketエンドポイント（例：/ws）は認証のためにvalidate_auth()を正しく呼び出していますが、/terminal/wsエンドポイントは接続を受け入れる前に実行モードとプラットフォームのサポートのみをチェックし、認証検証を完全にスキップしています。この脆弱性は0.23.0で修正されています。
KEV掲載: 2026-04-23公式(NVD) →Microsoft Defenderのアクセス制御の粒度が不十分であるため、認可された攻撃者がローカルで権限昇格を行うことが可能です。
KEV掲載: 2026-04-22公式(NVD) →JetBrains TeamCity 2023.11.4より前のバージョンにおいて、パストトラバーサルの脆弱性により、制限された管理者アクションを実行することが可能でした。
KEV掲載: 2026-04-20公式(NVD) →このセキュリティ脆弱性により、リモート攻撃者はPaperCut NG 22.0.5（ビルド63914）の影響を受けるインストールに対する認証をバイパスできます。この脆弱性を悪用するために認証は必要ありません。特定の欠陥はSecurityRequestFilterクラス内に存在します。この問題は認証アルゴリズムの不適切な実装に起因しています。攻撃者はこの脆弱性を悪用してシステムの認証をバイパスできます。ZDI-CAN-19226でした。
KEV掲載: 2026-04-20公式(NVD) →Quest KACE Systems Management Appliance (SMA) の 13.0.x (13.0.385 未満)、13.1.x (13.1.81 未満)、13.2.x (13.2.183 未満)、14.0.x (14.0.341 未満、パッチ 5)、および 14.1.x (14.1.101 未満、パッチ 4) に、認証回避脆弱性が存在します。この脆弱性により、攻撃者は有効な認証情報を必要とせずに正規ユーザーになりすまし、SSO 認証処理メカニズムに存在する問題を悪用して、完全な管理者権限の奪取につながる可能性があります。
KEV掲載: 2026-04-20公式(NVD) →Zimbraコラボレーション(ZCS)8.8.15、9.0、10.0、10.1に脆弱性が発見されました。ZimbraクラシックUIのクロスサイトスクリプティング(XSS)脆弱性により、攻撃者はユーザーのセッション内で任意のJavaScriptを実行でき、機密情報への不正アクセスにつながる可能性があります。この問題はHTMLコンテンツの不十分なサニタイゼーションに起因しており、@importディレクティブやその他のスクリプトインジェクションベクトルを含む細工されたタグ構造と属性値が関係しています。この脆弱性はユーザーがクラシックUI内で細工されたメールメッセージを表示した際にトリガーされ、追加のユーザーインタラクションは不要です。
KEV掲載: 2026-04-20公式(NVD) →Kentico Xperience 13.0.178以前のバージョンにおいて、認証済みのリモートコード実行の脆弱性が存在します。Staging Sync Serverの認証済みユーザーが相対パスのロケーションに任意のデータをアップロード可能であり、これによってパストラバーサルおよび任意ファイルアップロードが発生します。サーバー側で実行可能なコンテンツのアップロードを含む攻撃が可能であり、リモートコード実行に至る可能性があります。
KEV掲載: 2026-04-20公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。