目的から探す
事故・脆弱性
最近の情報漏えい、CVEの解説、事故年表、攻撃状況。報道を読むだけでなく、自分に関係する情報と次の確認を探します。
事故・情報漏えいの公表
既存の事故・調査記事を公開日順で掲載。件数の統計は事故年表の集計基準を参照してください。
バーガーキング公式アプリの不正アクセス（約1,118万件）：氏名・生年月日・電話番号などが漏れた会員がやること
ビーケー・ジャパンは2026年10月15日、バーガーキング公式アプリへの不正アクセスで、会員情報約1,118万件（氏名・生年月日・電話番号・メールアドレスなど）が漏えいしたと発表しました。漏れた項目と漏れていない項目、会員が今日やることを公式発表をもとに整理します。
ソースネクストの会員情報流出のおそれ（22,519,960件）：メールアドレス・パスワード・住所などが対象、会員がやること
ソースネクストの会員情報を管理するシステムへの不正アクセスで、22,519,960件の会員情報が流出した可能性があります（2026年10月15日発表）。メールアドレス・パスワード・氏名・住所などの対象項目、パスワードの再設定、偽の連絡への注意を、公式発表とよくある質問から整理します。
ConoHa WING（GMOインターネット）の一部サーバーへの不正アクセス（426アカウント）：Webサーバー領域のデータが対象、サイト運営者が今日やること
GMOインターネットは2026年9月20日、ConoHa WINGの一部のWebサーバーで第三者による不正アクセスがあり、不正なプログラムが設置されたと発表しました。対象は426アカウントの「Webサーバー領域に保存されたデータ」。会員・契約・支払い情報の漏えいはないとしています。公式発表をもとに、対象か確かめる方法と、サイト運営者がやることを整理します。
IDAREに不正アクセス（12万9,659人）：残高・取引履歴や一部の本人確認書類の番号が漏えい、利用者がやること
キャッシュレスアプリ「IDARE」への不正アクセスで、2026年9月27日までの登録者12万9,659人の電話番号・メールアドレス・残高・取引履歴などが漏えいしました。一部の人は本人確認書類の番号も含まれます。公式発表をもとに、漏れた項目でできること・できないことと、今日やることを整理します。
アルカディア「SpeeCAN RAIDEN」に不正アクセス（メールアドレス最大約313.6万件・推定）：自治体の防災メールの登録情報が漏えいの可能性、登録者がやること
アルカディアは2026年10月13日、自治体の防災メール等に使われる「SpeeCAN RAIDEN」への不正アクセスで、メールアドレス最大約313.6万件（推定）などが漏えいした可能性があると発表しました。本物と同じ送信元の偽メールへの対処と、対象の自治体の確かめ方を整理します。
コミューン「Commune」に不正アクセス（延べ16万6,505人）：企業コミュニティの会員情報が漏えい、会員と運営者がやること
コミューンは、企業向けコミュニティサービス「Commune」「Commune for Work」への不正アクセスで漏えいの対象となった会員を16万6,505人（コミュニティごとの延べ人数）、うちメールアドレスを含む情報が12万5,601人と確認しました（2026年10月21日の続報）。自分が対象かの確かめ方、各社のお知らせ、今日やることを整理します。
ほかの事故・調査記事も見る（69記事）
バイトルの不正アクセス（最大約389万件）：漏れたのはメールアドレスのみ、会員が偽の面接連絡や求人勧誘で気をつけること
ブックオフの情報漏えい（対象約638万人）：対象会員とパスワード変更、通知メールの確認方法
第一興商の委託先でマルウェア感染（約872万件）：ビッグエコーなどの会員の氏名・生年月日・電話番号が漏れたおそれと、利用者がやること
JR東日本・ビューカード・JR九州のメールアドレス漏洩の可能性（えきねっと約167万件・VIEW's NET約403万件・JR九州Web会員約130万件）：大人の休日倶楽部は生年月日とカード有効期限も、会員がやること
ローソンIDに不正アクセス（215万5,345件）：メールアドレス・氏名などが漏えい、会員とアプリ予約の利用者がやること
NewsPicksの個人情報漏えいのおそれ（カード名義・下4桁など最大36.2万件）：管理ツールへの不正アクセスで何が漏れたかと、利用者がやること
skyticket（アドベンチャー）への不正アクセス（約1,464万件）：パスワードや返金先の口座情報、一部の利用者のカード情報が流出、利用者が今日やること
PhotoGoods（大興印刷）の決済画面に不正プログラム：カード番号・セキュリティコードが漏れたおそれと、8月6日〜9月11日に利用した人がやること
旭化成セラピューティクスの医療関係者向けサイトへの不正アクセス（約51万4,000名）：漏れた可能性がある情報と、医師・薬剤師・看護師がやること
大和証券の委託先への不正アクセス（約11万名・約22万件）：漏れた可能性がある情報と、顧客がやること
デンマークの住民登録（CPR）への不正な照会（約880万人）：漏れた情報と、住民・照会の権限を渡す組織がやること
国税庁e-Taxで他人の贈与税申告書が閲覧可能に（79人分）：見えた情報と、e-Tax利用者・開発者がやること
アンケートサイトinfoQの不正アクセス（89万4,082件）：漏れた情報と、会員がやること
ミスターマックスのアプリ・オンラインストアへの不正アクセス（最大約173万人）：氏名・メール・電話番号が漏れた会員がやること
大阪公立大学のランサムウェア被害（約13万人分の情報に流出の恐れと報道）：学生・卒業生・教職員がやること
楽天ドライブの不正アクセス（保存データ15,382アカウント分）：取得・閲覧された情報と、利用者がやること
DIVDへの不正アクセス（Zammadの未知の脆弱性2件）：漏れた情報と、Zammadを運用する組織がやること
焼肉きんぐ公式アプリの不正アクセス（約1,079万件）：氏名・電話番号・メールが漏れた会員がやること
GitHubに公開された認証情報54万件が今も有効（2026年の調査）：削除ではなく失効が必要な理由と、開発者がやること
アバハウスの個人情報漏えい：注文内容まで漏れたおそれと、偽の返金メールへの対処
AdaptHealthの情報漏えい（約412万人）：健康保険と病状の情報が漏れ、患者は保険の明細と電話を確かめる
米ワシントンDCのメディケイド情報露出（約40万人）：公開報告書に残った受給者番号と、受給者・公開する側がやること
EPARKリラク＆エステ「PeakManager」の情報漏えい（約2,218万レコード）：健康状態のメモも漏れた、サロン利用者がやること
韓国の金融機関7社で相次ぐ不正アクセス（新韓銀行は顧客約2万5千人と発表）：年収・融資限度額や住民登録番号が漏れ、顧客がやること
らしんばんの不正アクセス：本人確認書類の番号と振込先口座が漏れたおそれ（書類の画像は漏えいなし）、買取を使った人がやること
ミュンヘン大学（LMU）の学生情報流出（約60万件）：IBANなど口座情報が漏れたおそれと、在学生・卒業生がやること
Metabaseの脆弱性を悪用した情報漏えい（Trezor約8万人ほか）：住所や連絡先が漏れた人と、分析ツールを運用する人がやること
ムラウチドットコムの個人情報漏えい（771万件）：氏名・住所・電話番号が流出、昔の利用者も詐欺の電話や郵便に注意
ポーランドMyDrの患者データ流出（最大1880万人）：PESEL・健康情報・連絡先が漏れたおそれと、対象者がやること
セイコーマートアプリの不正アクセス（約57万人）：住所・生年月日などが見られた会員がやること
Eストアー「ショップサーブ」の情報漏えい（延べ約885万件）：購入者のカード番号の一部と店舗のパスワードが漏れ、購入者と出店者がやること
手間いらず（TEMAIRAZU）への不正アクセス（最大約445万人）：宿泊者の氏名・電話番号・メール・宿泊日が取得されたおそれと、宿泊者・宿泊施設がやること
ヤマト運輸・佐川急便の不正アクセス（ヤマト運輸は後払いの利用者情報 約526万件）：住所や購入内容の漏えいと、荷物を受け取った人がやること
イエローハットの不正アクセス（最大約180万人）：氏名・電話番号・メールが漏れた可能性と、会員がやること
米Aesto Healthの情報漏えい（954万人）：知らない会社から通知が届いた理由と、対象者がやること
米AssuranceAmericaの情報漏えい（約700万人）：運転免許証の番号が漏れたときにやること
欧州のジムBasic-Fitの会員情報流出（口座番号・来館記録）：「会費の支払い失敗」を装う詐欺と会員がやること
Booking.comの予約情報への不正アクセス：宿を装う詐欺メッセージの見分け方
CAMPFIREの不正アクセス：対象ユーザー約22.6万件に漏えいのおそれ、利用者・開発者の対策
カーニバル（Carnival）の情報漏えい：旅券番号が漏れたときに旅行者がやること
仏Cegedim Santéの患者データ流出（約1500万人）：医師向けソフトから漏れたときに患者・診療所がやること
韓国のEV充電アプリCHAEVIの個人情報流出（29.8万件）：何が漏れ、利用者は何をすればいいか
英国の登記所Companies HouseのWebFiling不具合：ログインした人が他社の非公開情報を見られた問題と、取締役・開発者がやること
米DentaQuestの情報漏えい：多要素認証のコードをだまし取られた事案と、会員がやること
スペインの電力会社Endesaの情報漏えい（身分証番号・口座番号）：契約内容を知っている詐欺電話への対処
仏ANTS（France Titres）の情報漏えい（1167万アカウント）：身分証・免許の申請者がやること
TanStack・Nx Console・GitHubの連鎖侵害（2026年5月）：開発者が確認すること
2026年の政府機関の個人情報漏えい4件（米国防総省・イリノイ州・ラトビア・フランス税務当局）：市民にできること
2026年にサイバー攻撃で診療が止まった病院4件：何が止まり、患者・医療機関は何をすればいいか
Canvas（Instructure）の情報漏えい：履修情報とメッセージの流出で学生・教員・学校がやること
英マンチェスター空港グループの情報漏えい（約870万人）：駐車場・ラウンジの予約情報が漏れたときの詐欺対策
数学学習サービスMathspaceの情報漏えい（生徒・保護者など約108万人）：保護者・学校がやること
メディカ出版のランサムウェア被害（約64万人）：医療職の読者・著者・出版社がやること
米Medtronicの情報漏えい（約383万人）：医療機器を使う患者が確認すること
カリテコ（名鉄協商）のランサムウェア被害：運転免許証情報が漏れたおそれと会員がやること
オランダの通信会社Odidoの情報漏えい（約639万人）：身分証の番号が漏れたときにやること
豪Quest Apartment Hotelsの情報漏えい（約199万人）：カード・旅券番号が漏れた宿泊者がやること
APORITOオンラインストア（RIZAP）のカード情報流出のおそれ：利用者とEC事業者がやること
香港・信興集団の情報漏えい（約92万人）：家電の修理・保証の連絡を装う詐欺への対処
南アフリカStandard Bankの情報漏えい：身分証番号・口座番号を知っている詐欺電話への対処
米テキサス州公園野生生物局の情報漏えい（約300万人）：釣り・狩猟の免許の購入者がやること
イタリアの鉄道Trenitaliaの情報漏えい：遅延の払い戻しを装う詐欺への備え
Trivyのサプライチェーン侵害（2026年3月）：CIでTrivyを使っている人がやること
韓国TVINGの個人情報流出：補償を装う詐欺メッセージと利用者がやること
2026年の米国の医療情報漏えい6件：知らない会社から通知が届いたときの確かめ方
Vercelのセキュリティインシデント（2026年4月）：環境変数が漏れたときに開発者がやること
タイムズカー不正アクセス（約660万アカウント・うち書類画像を含む約160万アカウント）：漏れた情報と、通知が届いた人・退会した人がやること
Hugging Faceへの侵入（2026年）：AIエージェントが自律的に攻撃した事案と、防御側が見直すこと
Gyazoの不正アクセス（約2,362万件）：ユーザー情報と画像のメタデータが流出、利用者が今日やること
CVEの解説
影響範囲、修正情報、根拠を各記事で確認。スコアだけで自分の環境が影響を受けるとは判断できません。
CVE-2026-88779 — NetScaler ADC/GatewayのSAML構成で起きるメモリ破損（DoS・悪用確認済み）の解説と対応策
CVE-2026-88779は、SAMLのSPまたはIdPとして構成したNetScaler ADC/Gatewayで、認証なしにサービス停止（DoS）を起こせるメモリ破損（CWE-119）です。2026年10月3日に修正ビルド（14.1-73.41／13.1-64.28ほか）が公開され、CISAは10月4日にKEVへ追加しました。9月27日の修正ビルドでは直っていません。
CVE-2026-71362 — Adobe Commerce／Magentoの認証なし権限昇格（解説と対応策）
CVE-2026-71362は、Adobe Commerce と Magento Open Source に存在する不適切な認可（CWE-863）の脆弱性です。認証なしで権限昇格に至り、CVSSは9.1。修正は2026年8月11日に公開済みですが、CISAは9月24日に実際の悪用を確認してKEVに追加しました。修正版と、更新後に確認すべきことをまとめます。
CVE-2026-87902 — WordPress本体の認証なしファイルインクルード（条件付きRCE）の解説と対応策
CVE-2026-87902は、WordPress本体のページテンプレート解決処理に存在する認証なしのファイルインクルード（CWE-98）で、条件がそろうとリモートコード実行に至ります。2026年9月22日の7.1.2で修正され4.7系まで遡って提供済み。CISAは9月25日にKEVへ追加しました。
CVE-2026-60004 — Gitea のコードインジェクションでサーバー側のコマンド実行（解説と対応策）
CVE-2026-60004は、セルフホストGitサーバー Gitea の diffpatch エンドポイントに存在するコードインジェクション（CWE-94）です。CVSS 9.8、CISA KEV掲載＝実際に悪用中。厄介なのは権限条件で、CVSSは『権限不要』、CISAは『リポジトリ書き込み権限が必要』としています。矛盾ではなく、公開登録が有効なら誰でもその権限を取れるからです。修正版と、更新後に確認すべきことを防御目線で解説します。
CVE-2026-72898 — Metabaseの認証なしSQLインジェクションで管理者権限（解説と対応策）
CVE-2026-72898は、BI/分析ツール Metabase のパスワード再設定エンドポイントに存在する認証なしのSQLインジェクション（CWE-89）です。CVSSは10.0、CISA KEV掲載＝実際に悪用中。管理者権限を取られると接続先データベースの認証情報まで到達するため、更新だけでは対応が完了しません。修正バージョン、暫定回避、そして更新後に必須の作業（セッション失効・接続先DBの認証情報ローテーション）を防御目線で解説します。
CVE-2026-0770 — Langflow の未認証リモートコード実行（解説と対応策）
CVE-2026-0770は、AIエージェント構築ツール Langflow の validate（コード検証）エンドポイントに存在する未認証のリモートコード実行（RCE）脆弱性です。exec_globals 経由で信頼できないコードが実行され、認証なしで任意コード実行に至ります。CVSSは9.8・実際に悪用中（CISA KEV掲載）。掲載時点で調整元は修正版を明示しておらず、主対策は『インターネット露出の遮断＋認証＋最新版更新』。攻撃手順を伏せて防御目線で解説します。
CVE-2026-63030 / CVE-2026-60137 — WordPressコアの未認証SQLi→RCE（解説と対応策）
CVE-2026-63030は、WordPressコアのREST APIバッチエンドポイントに存在する『ルート混同（route confusion）』の脆弱性です。WP_Queryのauthor__not_inパラメータのSQLインジェクション（CVE-2026-60137）と連鎖することで、認証なしのSQLインジェクションからリモートコード実行（RCE）に至り得ます。CVSSは9.8・実際に悪用中（CISA KEV掲載）。最も確実な対応（6.8.6 / 6.9.5 / 7.0.2 への更新）と侵害確認を、攻撃手順を伏せて防御目線で解説します。
CVE-2026-48939 — iCagenda（Joomla）の未認証ファイルアップロードでRCE（解説と対応策）
CVE-2026-48939は、Joomla用イベントカレンダー拡張「iCagenda」に存在する未認証の任意ファイルアップロード脆弱性です。公開のイベント登録フォームの添付機能から認証なしでPHPを置いて実行でき、リモートコード実行（RCE）に至ります。CVSSは10.0・実際に悪用中（CISA KEV掲載）。影響範囲と最も確実な対応（3.9.15 / 4.0.8 への更新）・侵害確認を、攻撃手順を伏せて防御目線で解説します。
CVE-2026-48908 — SP Page Builder（Joomla）の未認証アップロードでRCE（解説と対応策）
CVE-2026-48908は、Joomla用ページビルダー拡張「SP Page Builder」6.6.1以前に存在する未認証の任意ファイルアップロード脆弱性です。認証なしでリモートコード実行（RCE）に至り、CVSSは10.0・実際に悪用中（CISA KEV掲載）。何が起きるのか・影響範囲・最も確実な対応（6.6.2への更新）と侵害確認を、攻撃手順を伏せて防御目線で解説します。
CVE-2026-45247 — Magento拡張のPHPオブジェクトインジェクションで認証なしRCE（解説と対応策）
CVE-2026-45247は、Magento 2 用拡張「Mirasvit Full Page Cache Warmer」1.11.12未満に存在するPHPオブジェクトインジェクション（信頼できないデータのデシリアライズ・CWE-502）の脆弱性です。認証なしでリモートコード実行（RCE）に至り、CVSSは9.3。何が起きるのか、影響範囲、そして即やるべき対応策（更新・デシリアライズの原則・拡張の棚卸し）を、攻撃手順を伏せて防御目線で解説します。
自分に通知が届いた・不審な操作をした場合
状況に合わせて対処を整理する →悪用が確認されたCVEのフィード
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Plex Media Server 1.43.3.10861 より前のバージョンでは、管理者ユーザーが任意のファイルを書き込むことができ、それらのファイルは読み込み時に実行される可能性があります。環境設定 TranscoderH264Options は、トランスコードのたびに x264 のオプション文字列へそのまま追加されます。また、起動時にはすべての .so ファイルが、署名、実行権限、シンボルのいずれの検証も行われないまま実行されます。
KEV掲載: 2026-10-20公式(NVD) →SiteGuard Server Editionには、OSコマンドインジェクションの脆弱性が存在します。この脆弱性を悪用されると、攻撃者は影響を受ける製品が稼働しているシステム上で、rootまたはSYSTEM権限により任意のOSコマンドを実行できる可能性があります。
KEV掲載: 2026-10-20公式(NVD) →Siemens Software Center（バージョン V4.0.9.8 未満のすべてのバージョン）に脆弱性が確認されました。対象アプリケーションは、制御されていない検索パスから動的リンクライブラリ（DLL）を読み込みます。このため、認証済みのローカル攻撃者が、アプリケーションが検索するディレクトリに細工されたDLLを配置できる可能性があり、その結果、対象アプリケーションの権限で任意のコードが実行されるおそれがあります。
KEV掲載: 2026-10-20公式(NVD) →Plex Media Server 1.43.3.10861より前のバージョンでは、「searchOne」に含まれるURL値が適切に無害化されていないため、攻撃者が他のプラグインの関数を呼び出し、独自のパラメータを指定できてしまいます。
KEV掲載: 2026-10-20公式(NVD) →Plex Media Server 1.43.3.10861より前のバージョンでは、認証済みユーザーが「/video/:/transcode/universal」パスパラメータを介して、任意の内部または外部アドレスへのリクエストを行えてしまう脆弱性が存在します。
KEV掲載: 2026-10-20公式(NVD) →Plex Media Server バージョン 1.43.3.10861 より前のバージョンには、'/player/timeline' におけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。任意の X-Plex-Token 値を使用する攻撃者は、'protocol' パラメータに完全な URL を含めることで、Plex サーバーに対して攻撃者の指定した宛先へ POST リクエストを送信させることができます。
KEV掲載: 2026-10-20公式(NVD) →BeyondTrust Remote Support製品の内部コンポーネントに脆弱性が存在します。これらのコンポーネントは、受信したメッセージの発信元を適切に検証していませんでした。特定の条件下では、攻撃者がアプライアンス上でファイル操作を実行できる可能性があります。
KEV掲載: 2026-10-16公式(NVD) →脆弱性の種類：不適切な制限パス名による制限ディレクトリ外へのアクセス（「パス・トラバーサル」）[CWE-22] 影響を受ける製品およびバージョン： Fortinet FortiOS 7.6.0～7.6.4、FortiOS 7.4.0～7.4.9、FortiOS 7.2 全バージョン、FortiOS 7.0 全バージョン、FortiOS 6.4 全バージョン、FortiPAM 1.7.0、FortiPAM 1.6 全バージョン、FortiPAM 1.5 全バージョン、FortiPAM 1.4 全バージョン、FortiPAM 1.3 全バージョン、FortiPAM 1.2 全バージョン、FortiPAM 1.1 全バージョン、FortiPAM 1.0 全バージョン、FortiProxy 7.6.0～7.6.4、FortiProxy 7.4.0～7.4.11、FortiProxy 7.2 全バージョン、FortiProxy 7.0 全バージョン、FortiSwitchManager 7.2.0～7.2.7、FortiSwitchManager 7.0.0～7.0.6 概要： 認証された攻撃者が、admin プロファイルかつ少なくとも読み書き権限を持つ場合、特定の CLI コマンドを介して任意のファイルの書き込みまたは削除を行える可能性があります。
KEV掲載: 2026-10-16公式(NVD) →Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Fisheye に影響する脆弱性です。この任意ファイルアクセス(Arbitrary File Access)の脆弱性により、認証されていない攻撃者が、影響を受けるバージョンのWebアプリケーションルートディレクトリ内の特定のファイルにアクセスできます。悪用には、対象ファイルの正確な名前とパスを事前に把握している必要があります。この脆弱性では、ディレクトリの内容を列挙したり一覧表示したりすることはできません。構成によっては機密ファイルが含まれる場合があり、その場合は深刻度が非常に高くなります。この脆弱性により、認証されていないリモートの攻撃者は、影響を受けるバージョンのWebアプリケーションルートディレクトリ内の特定のファイルにアクセスできます。 以下のバージョンの影響を受ける製品については、対処が必要です。 - Bitbucket Data Center：バージョン 4.6.0 以降に含まれる。修正バージョンは 9.4.26、10.2.8、10.5.1 - Confluence Data Center：バージョン 5.10.0 以降に含まれる。修正バージョンは 9.2.26、10.2.19 - Crowd Data Center：バージョン 2.11.0 以降に含まれる。修正バージョンは 6.3.7、7.0.3、7.1.7、7.2.4 - Jira Software Data Center：バージョン 7.1.0 以降に含まれる。修正バージョンは 9.12.40、10.3.26、11.3.12 - Jira Service Management Data Center：バージョン 3.1.0 以降に含まれる。修正バージョンは 5.12.40、10.3.26、11.3.12 - Bamboo Data Center：バージョン 7.0.1 以降に含まれる。修正バージョンは 10.2.24、12.1.12 - Crucible：修正バージョンは 4.9.15 - Fisheye：修正バージョンは 4.9.15 悪用には、対象ファイルの正確な名前とパスを事前に把握している必要があります。この脆弱性では、ディレクトリの内容を列挙することはできません。
KEV掲載: 2026-10-15公式(NVD) →Ahsay AhsayCBS 10.3.2 以前のバージョンにおいて脆弱性が発見されました。この脆弱性は、Replication Receiver コンポーネントの /rps/api/json/UpdateReceivers.do ファイル内の未確認のコードに影響します。引数 random を操作することで、OS コマンドインジェクションが発生するおそれがあります。攻撃はリモートから実行可能です。エクスプロイトは公開されており、使用される可能性があります。バージョン 10.3.4 にアップグレードすることで、この問題は解決できます。影響を受けるコンポーネントのアップグレードを推奨します。
KEV掲載: 2026-10-14公式(NVD) →Cisco Secure Email Gateway の Advanced Malware Protection (AMP) 機能における脆弱性により、認証されていない遠隔の攻撃者が、基盤となるオペレーティングシステム上で任意のファイルを書き込める可能性があります。 この脆弱性は、ファイルレピュテーションサービスが有効な場合に電子メールの添付ファイルを不適切に処理することに起因します。攻撃者は、影響を受けるデバイスを経由して、細工された添付ファイルを含む電子メールを送信することでこの脆弱性を悪用する可能性があります。攻撃が成功すると、攻撃者は基盤となるオペレーティングシステム上で任意のファイルを書き込み、root権限でコマンドを実行できる可能性があります。
KEV掲載: 2026-10-14公式(NVD) →PAN-OS® ソフトウェアの管理インターフェースに存在するリモートコード実行(RCE)脆弱性により、ネットワークアクセス権を持つ認証済みの攻撃者が、ファイアウォール上でroot権限による任意のコードを実行できる可能性があります。 本問題によるセキュリティリスクは、当社の推奨するベストプラクティスの導入ガイドライン(https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431)に従い、管理インターフェースへのアクセスを信頼された内部IPアドレスのみに制限することで最小化できます。 本問題は、PA シリーズおよび VM シリーズファイアウォール、ならびに Panorama(仮想版およびMシリーズ)のPAN-OSソフトウェアに該当します。 Cloud NGFWおよびPrisma® Accessは、本脆弱性の影響を受けません。
KEV掲載: 2026-10-14公式(NVD) →Ahsay AhsayCBS 10.3.2以前に脆弱性が検出されました。この脆弱性は、com/ahsay/obs/api/ApiStructsAction.java ファイルのAPIコンポーネントにある checkSysPwd 関数に影響します。引数 random を操作すると、不適切な認証が行われる結果となります。攻撃はリモートから開始することが可能です。エクスプロイトは既に公開されており、利用されるおそれがあります。バージョン10.3.4へアップグレードすることで、この問題を軽減できます。影響を受けるコンポーネントをアップグレードすることを推奨します。
KEV掲載: 2026-10-14公式(NVD) →Ivanti Connect Secure には、認証回避（スプーフィングによる認証バイパス）の脆弱性が存在し、リモートの未認証攻撃者が任意のコマンドを実行できる可能性があります。
KEV掲載: 2026-10-13公式(NVD) →Windows Shellにおける、コマンド内で使用される特殊要素の不適切な無害化（「コマンドインジェクション」）により、認可されていない攻撃者がネットワーク経由でセキュリティ機能をバイパスできる可能性があります。
KEV掲載: 2026-10-13公式(NVD) →ProFTPD 1.3.5 の mod_copy モジュールにおいて、リモートの攻撃者が site cpfr と site cpto コマンドを利用して任意のファイルを読み取りおよび書き込みできる脆弱性。
KEV掲載: 2026-10-08公式(NVD) →Apache Struts 2.3.19〜2.3.20.2、2.3.21〜2.3.24.1、および2.3.25〜2.3.28 において、Dynamic Method Invocation（動的メソッド呼び出し）が有効な場合、チェーン式（連鎖表現）に関連する method: プレフィックスを悪用され、リモートの攻撃者が任意のコードを実行できる脆弱性。
KEV掲載: 2026-10-08公式(NVD) →ISC BIND 9.x（9.9.7-P2 未満および 9.10.x（9.10.2-P3 未満））の named において、TKEY クエリを介してリモートの攻撃者がサービス拒否を引き起こす（REQUIRE アサーション失敗によりデーモンが終了する）可能性がある。
KEV掲載: 2026-10-08公式(NVD) →JWT 使用時、ONLYOFFICE Document Server 5.6.3 未満の /upload において、画像アップロードパラメータ内の「/..」シーケンスを介したディレクトリトラバーサルによりリモートコード実行が発生する可能性があります。
KEV掲載: 2026-10-08公式(NVD) →Strapi（4.5.5以前）には、管理パネルへのアクセス権を持つ攻撃者がクエリフィルタを悪用して機密ユーザ情報を判別できる脆弱性が存在します。攻撃者は機密情報を含む列でユーザをフィルタリングし、API応答から値を推測できます。攻撃者がスーパー管理者権限を持つ場合、全ユーザのパスワードハッシュおよびパスワードリセットトークンを判別する目的で本手法を悪用できます。管理パネルへのアクセス権を持ち、APIユーザ（例：EditorやAuthorなどの低権限ロール）のユーザ名およびメールアドレスへアクセスする権限を持つアカウントの場合、本手法を用いてすべてのAPIユーザに関する機密情報を判別できますが、他の管理者アカウントの情報は判別できません。
KEV掲載: 2026-10-08公式(NVD) →NetScaler ADC および NetScaler Gateway における脆弱性。 本問題は以下のバージョンに影響します：ADC：14.1‑73.41 未満、13.1‑64.28 未満、14.1‑73.41 FIPS 未満、および 13.1‑37.282 未満；Gateway：14.1‑73.41 未満 および 13.1‑64.28 未満。
Zammad 6.3.0〜6.5.4には、セッションハイジャックにより zammad ユーザー権限でのリモートコード実行を引き起こす脆弱性が存在します。本脆弱性は 7.0.0〜7.1.3 にも含まれますが、環境条件によりその範囲では悪用できません。
KEV掲載: 2026-10-02公式(NVD) →最新のアルファ版を含むすべての Zammad のバージョンにおいて、ローカルの zammad ユーザーが権限昇格により root 権限を獲得できる問題があります。
KEV掲載: 2026-10-02公式(NVD) →Fortinet FortiMailにはパス・トラバーサルおよびNULLバイト（NULL文字）の不適切な無害化の脆弱性が存在し、認証されていない攻撃者が細工されたHTTPまたはHTTPSリクエストを介して基盤となるシステム上に任意のファイルを書き込める可能性があります。
KEV掲載: 2026-10-01公式(NVD) →Cisco Catalyst SD‑WAN Manager の API セッションベース認証管理における脆弱性により、未認証のリモート攻撃者が管理者（admin）権限で影響を受けるシステムにアクセスできる可能性があります。 この脆弱性は、HTTP リクエスト内の URI エンコーディングを適切に処理していないことに起因しており、特定の API エンドポイントへのアクセスを制限するはずの認証ルールをリクエストが回避できるようになっています。攻撃者は特別に細工した HTTP リクエストを影響を受けるシステムの API に送信することでこの脆弱性を悪用できます。悪用に成功すると、認証を回避して admin として API へアクセスすることが可能になります。
KEV掲載: 2026-09-30公式(NVD) →境界外書き込み（out-of-bounds write）の脆弱性は、境界チェックの強化により修正されました。本問題は iOS 26.7.1 および iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1 で修正されています。細工されたファイルを処理すると任意のコード実行につながる可能性があります。Apple は、本問題が iOS 27 より前のバージョンに対して、特定の標的個人に対する非常に高度な攻撃で悪用された可能性があるとの報告を認識しています。
KEV掲載: 2026-09-29公式(NVD) →Citrix NetScaler ADCおよびCitrix NetScaler Gatewayの脆弱性。 影響を受ける製品とバージョンは以下のとおりです。ADC: 14.1-73.37 未満、13.1-64.23 未満、14.1-73.37 FIPS 未満、および13.1.37.279 FIPS/NDcPP 未満；Gateway: 14.1-73.37 未満および13.1-64.23 未満。本脆弱性により、リモートコード実行（RCE）またはサービス拒否（DoS）が発生する可能性があります。
KEV掲載: 2026-09-27公式(NVD) →Citrix NetScaler ADC および Citrix NetScaler Gateway における不適切な入力検証の脆弱性。 影響を受ける製品とバージョンは次の通り。ADC：14.1-73.37 より前、13.1-64.23 より前、14.1-73.37 FIPS より前、および 13.1.37.279 FIPS/NDcPP より前；Gateway：14.1-73.37 より前および 13.1-64.23 より前。この脆弱性により、認証されていない攻撃者が任意のコマンドを実行できる可能性がある。
KEV掲載: 2026-09-27公式(NVD) →認証されていない攻撃者が、get_page_template() のページテンプレート解決処理を操作して、アクティブなテーマディレクトリ外にある任意の読み取り可能な .php ファイルをインクルードさせることができます。サーバー側およびアクティブテーマに関する前提条件が揃っている場合、これによりリモートでのコード実行（RCE）に至る可能性があります。
Microsoft Office SharePoint におけるコード生成の不適切な制御（「コードインジェクション」）により、権限を持つ攻撃者がネットワーク経由でコードを実行できる可能性があります。
KEV掲載: 2026-09-25公式(NVD) →RouterOS の SSH 実装において、クライアントが再鍵交換（rekey）を要求した際に、ユーザー認証が行われていないにもかかわらず接続プロトコル処理を継続してしまい、認証されていないクライアントがセッションチャネルを開いて exec リクエストを送信できる脆弱性が判明しました。影響を受けるビルドでは、サーバは受け取ったコマンドを実行し、認証なしで RouterOS が管理するファイル名前空間内のファイルを作成、上書き、再構築することが可能になります。これには設定や診断データを含む補助ファイルも含まれます。本問題は次のバージョンで修正されました：6.49.21（長期サポート）、7.23.4（長期サポート）、7.24.2（安定版）。
KEV掲載: 2026-09-25公式(NVD) →Adobe Commerce は不適切な認可（Authorization）に起因する脆弱性の影響を受け、権限昇格を招く可能性があります。攻撃者はこの脆弱性を悪用して機密リソースへの権限を不当に取得する恐れがあります。本件の悪用にはユーザーの関与は不要です。
JWT 認証機構が、明示的に設定またはサポートされていないアルゴリズムで署名されたトークンを受け入れてしまいます。これにより、攻撃者はサポート外のアルゴリズムを用いて改ざんされた JWT を作成し、それが誤って検証されてしまうため、不正なアクセスが発生します。 この脆弱性を悪用されると、システムへの不正アクセスが発生する可能性があり、管理者アカウントの権限乗っ取りやアカウント完全掌握（フルテイクオーバー）などの重大な影響を招く恐れがあります。CVSS スコアは単一テナント環境において 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）に調整されており、影響範囲が単一のセキュリティ権限境界内に収まることを反映しています。
KEV掲載: 2026-09-24公式(NVD) →ディレクトリトラバーサルおよびファイルアップロードの脆弱性により、認証されていない攻撃者が Check Point Management Server に任意のスクリプトをアップロードおよび実行できる可能性があります。
KEV掲載: 2026-09-22公式(NVD) →Check Point Quantum Security Gateway の VPN ネゴシエーション中の証明書信頼検証の不備により、認証されていないリモートの攻撃者がゲートウェイ上で任意のコードを実行できる可能性があります。
KEV掲載: 2026-09-22公式(NVD) →オンプレミス版 VeloCloud Orchestrator (VCO) において、リモートの攻撃者が特権的な内部機能へアクセスし、VCO ホストに影響を与える可能性のある脆弱性が存在します。本脆弱性を悪用されると、オーケストレーターおよびオーケストレーターが管理するデータの機密性・完全性・可用性が侵害されるおそれがあります。 ホスト型（Dedicated を含む）VCO 版も影響を受けており、既に修正パッチが適用されています。
KEV掲載: 2026-09-22公式(NVD) →BIG-IP の仮想サーバに APM アクセスポリシーと OAuth プロファイルが設定されている場合、特定の悪意あるトラフィックによりリモートコード実行（RCE）が発生する可能性があります。 影響: この脆弱性により、認証されていない攻撃者がリモートで任意のコードを実行できる可能性があります。Appliance モードの BIG-IP システムも影響を受けます。これはデータプレーンの問題であり、コントロールプレーンには影響しません。 注: 技術サポート終了（EoTS）となったソフトウェアバージョンは評価対象外です。
KEV掲載: 2026-09-22公式(NVD) →Zyxel GS1900-48HPv2 のファームウェア（〜2.90(ABTQ.1)C0）に含まれる CGI プログラムにスタックベースのバッファオーバーフロー脆弱性があり、LAN 内からの未認証の攻撃者が細工された HTTP リクエストを送信することでこの脆弱性を悪用し、OS コマンドを実行される可能性があります。
KEV掲載: 2026-09-21公式(NVD) →Linux カーネルにて以下の脆弱性が修正されました: netfilter: bridge: ebt_snat の ARP 書き換えを writable にする ebtables の SNAT ターゲットはイーサネット送信元アドレスの書き換えを skb_ensure_writable(skb, 0) の背後に置いています。これは意図的な動作です。ブリッジの ebtables フックではイーサネットヘッダに対して skb_mac_header()/eth_hdr() 経由でアクセスする一方、skb->data はイーサネットのペイロードを指しているためです。ETH_HLEN バイト分を skb_ensure_writable() に要求するとペイロード側がチェックされ、イーサネットヘッダではない領域が対象になってしまい、コミット 63137bc5882a で修正された小パケット回帰を再導入してしまいます。 しかし、オプションの ARP 送信元ハードウェアアドレス（SHA）書き換えは状況が異なります。これは skb->data を基準としたオフセットに対して skb_store_bits() で書き込みを行います: skb_store_bits(skb, sizeof(struct arphdr), info->mac, ETH_ALEN) skb_header_pointer() は ARP ヘッダの安全な読み取りのみを保証し、その後の送信元ハードウェアアドレス領域を writable にするものではありません。その領域がまだノンリニアな skb フラグメントに保持されており、splice によりインポートされたファイルページにバックされている場合、skb_store_bits() はそのフラグメントページをマップし、新しい MAC アドレスを直接書き込みます。 ARP の送信元ハードウェアアドレス範囲を ARP ヘッダを読む前および skb_store_bits() を呼ぶ前に writable にすることで対処しています。
KEV掲載: 2026-09-18公式(NVD) →Linuxカーネルで以下の脆弱性が修正されました: tls: rx_list 上のゼロ長レコード処理の修正 各 recvmsg() 呼び出しは次のいずれかを処理しなければなりません： - 連続した DATA レコードのみ（任意の個数） - 1 件の非-DATA レコード 次のレコードの型が既に処理したものと異なる場合、メインの処理ループを抜けます。レコードが既に復号済みである場合（TLS 1.3 のように復号するまで型が判らない場合がある）、保留中のレコードを rx_list にキューします。次回の recvmsg() はそこからそれを取り出します。 ゼロコピー復号後に skb を rx_list にキューすることは不可能です。なぜならその場合は復号を直接ユーザ空間バッファに行っており、キューするための skb を持たないからです（darg.skb は長さなどのメタデータへアクセスするため暗号文 skb を指します）。 ゼロコピーが許されるのは DATA レコードのみであり、各非-DATA レコード後に処理ループを抜けます。したがってゼロコピーを行った後にレコード型が変わっていることに気づく、という事態は本来発生しないはずです。見落としていたコーナーケースは、初期のレコードが rx_list から来ていて、それがゼロ長である場合でした。
KEV掲載: 2026-09-18公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。