脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
オプションの zimbra-snmp パッケージがインストールされ、SNMP 通知が有効化されている環境の Zimbra Collaboration (ZCS) バージョン 10.1.20 未満にリモートコード実行の脆弱性があります。SNMP 通知処理中に信頼できない入力の適切なサニタイズが行われないため、認証されていない攻撃者が特殊に細工された SMTP リクエストを送信すると、Zimbra ユーザー権限で任意の OS コマンドが実行される可能性があります。
KEV掲載: 2026-08-21公式(NVD) →リモートの未認証攻撃者が、TrueConf サーバーのバージョン 5.3.X〜5.3.9、5.4.X〜5.4.9、5.5.X〜5.5.5 およびそれ以前において、ポート 4307/TCP 経由でネットワークアクセスできる場合、細工されたスクリプトを用いて隔離された環境（サンドボックス）から脱出し、ホストシステム上で任意のコードを実行できる可能性があります。
KEV掲載: 2026-08-20公式(NVD) →リモートの未認証攻撃者が、ポート4307/TCP経由でTrueConfサーバー（バージョン5.3.X〜5.3.9、5.4.X〜5.4.9、5.5.X〜5.5.5、およびそれ以前）にアクセスすることで、未公開の関数を呼び出し任意のスクリプトを実行できる可能性があります。
KEV掲載: 2026-08-20公式(NVD) →MLflow はエージェント、LLM、大規模機械学習モデル向けのオープンソースAIエンジニアリングプラットフォームです。3.15.0 より前のバージョンでは、認証なしの POST /api/2.0/mlflow/webhooks/{id}/test エンドポイントが mlflow/utils/validation.py の _validate_webhook_url() を元の URL に対してのみ呼び出しており、一方で mlflow/webhooks/delivery.py はリダイレクトを追跡してホスト名を再解決し、検証済みアドレスにバインドしないため、攻撃者が内部ネットワークやクラウドメタデータサービスへ到達し、response_status および response_body を受け取れる可能性がありました。本問題はバージョン 3.15.0 で修正されています。
KEV掲載: 2026-08-19公式(NVD) →Microsoft Office SharePoint の認証処理に弱点があり、権限を持たない攻撃者がネットワーク経由でセキュリティ機能を回避できる可能性があります。
KEV掲載: 2026-08-18公式(NVD) →VMware vCenter の Syslog サーバにディレクトリトラバーサルの脆弱性が存在します。vCenter にネットワーク経由でアクセスできる攻撃者は、この脆弱性を悪用して任意のコードを実行する可能性があります。
KEV掲載: 2026-08-18公式(NVD) →認証状態管理の改善により認証関連の問題が修正されました。本問題は macOS Sequoia 15.7.9、macOS Sonoma 14.8.9、macOS Tahoe 26.6.1 で対処されています。ネットワーク上の攻撃者が有効な認証情報を持たないにもかかわらず、Screen Sharing に認証できてしまう可能性がありました。
KEV掲載: 2026-08-18公式(NVD) →Windows IKE 拡張機能の二重解放により、未認証の攻撃者がネットワーク経由でコードを実行できる可能性があります。
KEV掲載: 2026-08-18公式(NVD) →Ray は AI 計算エンジンです。バージョン 2.52.0 より前のリリースにおいて、開発ツールとして Ray を利用する開発者は、Firefox および Safari を介して悪用可能な重大なリモートコード実行（RCE）脆弱性の影響を受ける可能性がありました。本脆弱性は、ブラウザ由来の攻撃に対する防御が不十分であったことに起因します。具体的には、現行の防御は User-Agent ヘッダが "Mozilla" で始まることを条件として用いており、これが防御機構となっていました。しかし Fetch 規格では User-Agent ヘッダの変更が許容されるため、この判定は不十分です。さらに、ブラウザに対する DNS rebinding 攻撃と組み合わされることで、Ray を実行している開発者が悪意のあるサイトを誤って訪問した場合や、悪意ある広告（マルバタイジング）を表示された場合に脆弱性が悪用されうる状態でした。本問題はバージョン 2.52.0 にて修正されています。
KEV掲載: 2026-08-17公式(NVD) →Metabaseはリモートの未認証攻撃者が '/reset_password' データベースエンドポイントを介して任意のSQLを注入し、接続されたMetabaseインスタンスの管理者権限を取得できる脆弱性を含みます。
Cisco Secure Firewall Adaptive Security Appliance (ASA) ソフトウェアおよび Cisco Secure Firewall Threat Defense (FTD) ソフトウェアの Remote Access SSL VPN サービスに存在する脆弱性により、認証されていないリモートの攻撃者がデバイスを予期せず再起動させ、サービス拒否（DoS）状態を引き起こす可能性があります。 この脆弱性は、HTTP リクエストを処理する際の不十分なエラーチェックが原因です。攻撃者は、影響を受けるデバイス上の Remote Access SSL VPN サービスに対して細工された HTTP リクエストを送信することでこの脆弱性を悪用できます。悪用に成功すると、対象デバイスを再起動させ、DoS 状態を引き起こす可能性があります。
KEV掲載: 2026-08-11公式(NVD) →Windows Ancillary Function Driver for WinSock における Use-After-Free 脆弱性により、権限を持つ攻撃者がローカルで権限昇格を行える可能性があります。
KEV掲載: 2026-08-11公式(NVD) →Progress ADC 製品の API における OS コマンドインジェクションによるリモートコード実行脆弱性。複数のコマンド用エンドポイントで入力が適切にサニタイズされていないため、認証なしの攻撃者が LoadMaster アプライアンス上で任意のコマンドを実行できる可能性がある。
KEV掲載: 2026-08-07公式(NVD) →JetBrains TeamCity の 2026.1.3 および 2025.11.7 未満のバージョンにおいて、エージェントのポーリングプロトコルを通じて認証不要のリモートコード実行が可能であった。
KEV掲載: 2026-08-05公式(NVD) →IBM Langflow OSS バージョン 1.0.0 ～ 1.10.0 において、未認証の攻撃者が /api/v1/auto_login（ネットワーク上の任意の呼び出し元に対して SUPERUSER トークンを発行する）と /api/v1/validate/code（exec() を介してユーザーコードを実行する）を連携させることで、デフォルトの Langflow 展開に対して完全なリモートコード実行（RCE）を達成できる脆弱性が存在します。
KEV掲載: 2026-08-04公式(NVD) →CVE-2026-29146の修正によりEncryptInterceptorの回避が可能となり、Apache Tomcatにおける機密データの暗号化欠如の脆弱性が存在します。 影響を受けるバージョン: Apache Tomcat 11.0.20、10.1.53、9.0.116。 本件は、EncryptInterceptorによる暗号化処理が意図せずバイパスされることで、機密情報が暗号化されずに送受信または保存される可能性があるというものです。これにより、機密データ（例: 認証情報、個人情報、APIキーなど）が不適切に露出するリスクがあります。 対策として、問題が修正された以下のバージョンへのアップグレードを推奨します: 11.0.21、10.1.54、9.0.117。
KEV掲載: 2026-08-04公式(NVD) →代替パスまたはチャネルを用いた認証バイパスの脆弱性により、N-able N-centralにおいて認証バイパスが発生する可能性があります。 本問題は N-central のバージョン ～2026.1 に影響します。
KEV掲載: 2026-08-04公式(NVD) →CVE-2026-18556 に対する不完全な修正により、N-central（〜2026.3.1 までのバージョン）で認証回避およびアカウント乗っ取りが可能になる脆弱性が残存しています。
KEV掲載: 2026-08-03公式(NVD) →Cisco Secure Firewall Management Center (FMC) ソフトウェアの Web インターフェースに存在する脆弱性により、未認証のリモート攻撃者が低権限アカウントを使用して影響を受けるデバイスにログインし、該当システム内の機密データへアクセスできる可能性があります。 この脆弱性は、低権限アカウントに静的なユーザー認証情報が含まれていることが原因です。攻撃者は当該アカウントを用いて影響を受けるシステムにログインすることでこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は低権限ユーザーとして影響を受けるシステムにログインし、機密データへアクセスできる可能性があります。 注：FMC 管理インターフェースがパブリックなインターネットに接続されていない場合、本脆弱性に関連する攻撃対象範囲は限定されます。 Cisco は本セキュリティアドバイザリに対して、スコアが示す中程度ではなく「高（High）」のセキュリティ影響評価（SIR）を割り当てています。その理由は、本脆弱性が他の Cisco Secure FMC ソフトウェアの脆弱性と組み合わせて特権昇格に悪用され得るためです。
KEV掲載: 2026-07-29公式(NVD) →VeloCloud Orchestrator (VCO) オンプレミス版において、リモートの攻撃者が特権的な内部機能にアクセスし VCO ホストに影響を与える可能性のある脆弱性が存在します。悪用に成功した場合、オーケストレーターおよびオーケストレーターが管理するデータの機密性、完全性、可用性が侵害されるおそれがあります。 当該機能は内部利用専用として設計されており、リモートからのアクセスを想定していません。 ホスティング版および専用版の VCO については、本通知発行前に既にパッチが適用されています。 本脆弱性は外部で発見されており、現在積極的に悪用されていることが確認されています。
KEV掲載: 2026-07-27公式(NVD) →Fortinet FortiOS 7.6.0～7.6.1、7.4.0～7.4.6、7.2 系列全バージョン、7.0 系列全バージョン、6.4 系列全バージョンにおいて、機密情報を未承認の当事者に露出させる脆弱性（CWE-200）が存在します。本脆弱性により、リモートの未認証攻撃者が、一部のポストエクスプロイト事例で観察されたシンボリックリンクの永続化メカニズムに対して適用されたパッチを、細工した HTTP リクエストを用いて回避できる可能性があります。ただし攻撃者は事前に別の脆弱性を利用して対象製品をファイルシステムレベルで侵害している必要があります。
KEV掲載: 2026-07-27公式(NVD) →Check Point SmartConsole のログイン処理に認証バイパスの脆弱性が存在し、未認証のリモート攻撃者がアプリケーションのログイントークンを取得してこれを用いて完全な管理権限で認証できる可能性があります。悪用に成功すると、攻撃者はセキュリティポリシーやセキュリティ設定を変更できます。リモートからの悪用には、Management Server の IP アドレスへのインターネット経由の到達性と、Trusted Clients を制限していない設定が必要です。Check Point はこの脆弱性が実際に悪用されていることを認識しており、ごく少数の顧客に影響が出ています。
KEV掲載: 2026-07-22公式(NVD) →Microsoft Office SharePoint における信頼されていないデータのデシリアライズ処理により、未認証の攻撃者がネットワーク経由で任意のコードを実行できる可能性があります。
KEV掲載: 2026-07-22公式(NVD) →Langflow の exec_globals パラメータに起因する信頼できない制御領域からの機能挿入によるリモートコード実行脆弱性。攻撃者は影響を受ける Langflow のインストール上で任意のコードを実行できる。本脆弱性を悪用するために認証は不要。 具体的な欠陥は validate エンドポイントに渡される exec_globals パラメータの処理に存在する。問題は信頼できない制御領域からのリソースを取り込んでしまうことに起因している。攻撃者はこの脆弱性を悪用して root 権限のコンテキストでコードを実行する可能性がある。ZDI-CAN-27325 として報告されていた。
WordPress 6.9.x（6.9.5未満）および 7.0.x（7.0.2未満）には、REST API のバッチエンドポイントにおけるルート混同（route confusion）問題が存在します。この脆弱性は、author__not_in を悪用した WP_Query の SQL インジェクション（CVE-2026-60137）と組み合わさることで、攻撃者が SQL インジェクションを引き起こし、結果としてリモートでコード実行（RCE）を達成する可能性があります。
DD-WRT（ビルド45724未満）の router/upnp/src/ssdp.c に脆弱性が発見されました。UPnP 処理機能内の安全でない strcpy により、認証されていないリモート攻撃者が内部固定バッファをオーバーフローさせるリクエストを送信できる可能性があります。悪用には、DD-WRT 側で UPnP を有効化している必要があります（既定では無効であり、また既定では内部インターフェースのみで待ち受けます）。問題は ssdp_msearch（M-SEARCH リクエストで到達可能）で発生します。
KEV掲載: 2026-07-21公式(NVD) →WordPress 6.8.x の 6.8.6 未満、6.9.x の 6.9.5 未満、および 7.0.x の 7.0.2 未満では、WP_Query の author__not_in パラメータを適切にサニタイズしていません。これにより、プラグインやテーマが信頼できない入力をこのパラメータに渡した場合、SQL インジェクションが発生する可能性があります。
KEV掲載: 2026-07-21公式(NVD) →Fortinet FortiSandbox 5.0.0～5.0.5、FortiSandbox 4.4.0～4.4.8、FortiSandbox 4.2（全バージョン）、FortiSandbox Cloud 5.0.4～5.0.5、FortiSandbox PaaS 5.0.4～5.0.5 において、OSコマンドに使用される特殊文字の不適切な無害化（OSコマンドインジェクション）の脆弱性が存在します。本脆弱性により、認証を経ていない攻撃者が、細工されたHTTPリクエストを送信することで不正なコマンドを実行できる可能性があります。
KEV掲載: 2026-07-16公式(NVD) →Fortinet FortiSandbox 4.4.0～4.4.8において、OSコマンドで使用される特殊要素の不適切な無効化（OSコマンドインジェクション）の脆弱性により、攻撃者が<insert attack vector here>を介して不正なコードやコマンドを実行できる可能性があります。
KEV掲載: 2026-07-16公式(NVD) →Microsoft Office SharePoint における信頼されていないデータのデシリアライズにより、認証されていない攻撃者がネットワーク経由でコードを実行できる可能性があります。
KEV掲載: 2026-07-16公式(NVD) →Oracle E-Business Suite の Oracle Payments コンポーネント（ファイル転送）に存在する脆弱性。影響を受けるサポート対象バージョンは 12.2.3–12.2.15。HTTP 経由でネットワークからアクセス可能な未認証攻撃者により容易に悪用可能で、Oracle Payments を侵害される可能性がある。本脆弱性が悪用されると Oracle Payments の乗っ取り（完全な支配）につながる恐れがある。CVSS 3.1 基本スコア 9.8（機密性、完全性、可用性に重大な影響）。CVSS ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。
KEV掲載: 2026-07-15公式(NVD) →KNX Connection Authorization を使用し、オプション1をサポートする KNX デバイスは、実装によってはロックされてしまい、ユーザがデバイスにアクセスするためにリセットできなくなる脆弱性があります。これらのデバイスの BCU キー機能はデバイス用のパスワードを作成するために使われますが、多くの場合、現在のパスワードを入力しないとこのパスワードをリセットできません。デバイスがネットワークに接続されるよう設定されている場合、そのネットワークにアクセスできる攻撃者は KNX インストレーションに対して操作を行い、追加のセキュリティオプションが有効化されていないすべてのデバイスを消去（purge）して BCU キーを設定し、デバイスをロックすることが可能です。デバイスがネットワークに接続されていない場合でも、物理的にデバイスにアクセスできる攻撃者は同様の方法でこの脆弱性を悪用できます。
KEV掲載: 2026-07-15公式(NVD) →SonicWall SMA1000 アプライアンスにサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。これにより、リモートの未認証攻撃者がアプライアンスに意図しない外部または内部の場所へリクエストを送信させる可能性があります。
KEV掲載: 2026-07-14公式(NVD) →SonicWall SMA1000 アプライアンスにはコードインジェクションの脆弱性があり、特定の条件下でリモートの認証済み攻撃者が管理者権限として任意の OS コマンドを実行できる可能性があります。
KEV掲載: 2026-07-14公式(NVD) →Active Directory Federation Services (AD FS) におけるアクセス制御の粒度不足により、権限を持つ攻撃者がローカルで権限を昇格できる問題。
KEV掲載: 2026-07-14公式(NVD) →Microsoft Office SharePoint の重要な機能に対する認証欠如により、権限のない攻撃者がネットワーク経由で権限昇格を行える可能性があります。
KEV掲載: 2026-07-14公式(NVD) →Cisco IOS 12.4 上の 871 統合サービスルータに含まれる HTTP 管理コンポーネントに複数のクロスサイトリクエストフォージェリ（CSRF）脆弱性が存在します。これらにより、リモートの攻撃者が任意のコマンドを実行できる可能性があります。具体的には、(1) 特定の "show privilege" コマンドを /level/15/exec/- URI に送信する方法、(2) 特定の "alias exec" コマンドを /level/15/exec/-/configure/http URI に送信する方法が問題となります。注：これらの詳細の一部はサードパーティ情報に基づいています。
KEV掲載: 2026-07-13公式(NVD) →Joomla用のiCagenda拡張機能における脆弱性により、ファイル添付機能を使って任意のファイルをアップロードでき、最終的にPHPコードのアップロードと実行が可能になる。
Joomla拡張機能「Balbooa Forms」に未認証の任意ファイルアップロード脆弱性が存在します。これにより実行可能ファイルのアップロードが可能となり、最終的にリモートでの任意コード実行（RCE）を引き起こします。
KEV掲載: 2026-07-10公式(NVD) →Joomla用SP Page Builderの脆弱性により、認証されていないユーザーが任意のファイルをアップロードでき、その結果としてPHPコードのアップロードおよび実行が可能になる。
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。