脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
ColdFusion 2025.9、2023.20 およびそれ以前のバージョンには、パス名の制限不備（「パストラバーサル」）の脆弱性が存在し、これにより現在のユーザー権限で任意のコードが実行される可能性があります。この脆弱性の悪用はユーザーの操作を必要としません。影響範囲（スコープ）が変更されています。
KEV掲載: 2026-07-07公式(NVD) →Joomla拡張機能「Page Builder CK」に未認証の任意ファイルアップロード脆弱性が存在します。これにより実行可能ファイルをアップロードでき、最終的に完全なリモートコード実行（RCE）につながる可能性があります。
KEV掲載: 2026-07-07公式(NVD) →Langflow は AI 搭載のエージェントやワークフローを構築・デプロイするためのツールです。1.9.2 より前のバージョンにおいて、/api/v1/responses エンドポイントに不適切な直接オブジェクト参照（IDOR）の脆弱性が存在し、認証済みの攻撃者がリクエスト内に被害者のフロー ID を指定することで、別ユーザーに属する任意のフローを実行できる可能性がありました。本脆弱性は 1.9.2 で修正されました。
KEV掲載: 2026-07-07公式(NVD) →Microsoft Office SharePoint における信頼できないデータのデシリアライズにより、認証済みの攻撃者がネットワーク経由でコードを実行できる可能性があります。
KEV掲載: 2026-07-01公式(NVD) →SimpleHelp バージョン 5.5.15 以前および 6.0 プレリリース版には、OIDC 認証フローにおける認証バイパスの脆弱性が存在します。OIDC 認証が構成されている場合、ログイン時に送信された ID トークンの暗号署名が検証されずに受け入れられます。脆弱な構成では、リモートの未認証の攻撃者が改ざんした任意の識別クレームを含むトークンを送信することで、完全に認証された技術者セッションを取得できます。構成によっては、多要素認証の回避を許す場合もあります。ユーザの操作は不要です。
KEV掲載: 2026-06-29公式(NVD) →Cisco Unified Communications Manager（Unified CM）およびCisco Unified Communications Manager Session Management Edition（Unified CM SME）の脆弱性により、認証されていないリモート攻撃者が、影響を受けるデバイスを通じてサーバーサイドリクエストフォージェリ（SSRF）攻撃を実行する可能性があります。 この脆弱性は、特定のHTTPリクエストに対する不適切な入力検証に起因しています。攻撃者は、細工されたHTTPリクエストを影響を受けるデバイスに送信することでこの脆弱性を悪用できます。攻撃に成功した場合、攻撃者は基盤となるオペレーティングシステムにファイルを書き込むことが可能となり、その後rootに昇格させるために悪用される可能性があります。 注：Ciscoはこのセキュリティアドバイザリにセキュリティ影響度評価（SIR）として「高」ではなく「重大」を付与しています。その理由は、この脆弱性を悪用するとrootへの権限昇格につながる可能性があるためです。 注：この脆弱性を悪用するには、WebDialerサービスが有効になっている必要があります。WebDialerはデフォルトで無効になっています。
KEV掲載: 2026-06-25公式(NVD) →PTC Windchill PDMlinkおよびPTC FlexPLMで、信頼できないデータの逆シリアル化を通じて悪用される可能性のある重大なリモートコード実行（RCE）脆弱性が報告されています。このアドバイザリはすべてのCPSバージョンにも適用されます。特定された脆弱性はWindchill 11.0 M030より前のリリースおよびFlexPLMのリリースにも影響します。
KEV掲載: 2026-06-25公式(NVD) →UniFi OSデバイスにおける不適切な入力検証の脆弱性を悪用すれば、ネットワークへのアクセス権を持つ悪意のある行為者はコマンドインジェクション攻撃を実行することができます。
KEV掲載: 2026-06-23公式(NVD) →Lantronix EDS5000 2.1.0.0R3に存在する問題が発見されました。HTTP RPCモジュールは、ユーザー認証失敗時にログを書き込むためにシェルコマンドを実行します。ユーザー名がサニタイゼーションなしでコマンドに直接連結されます。これにより、攻撃者はユーザー名パラメータに任意のOSコマンドを注入できます。注入されたコマンドはroot権限で実行されます。
KEV掲載: 2026-06-23公式(NVD) →UniFi OSデバイスに見つかった不適切なアクセス制御の脆弱性を悪用して、ネットワークへのアクセス権を持つ悪意のある行為者がシステムに対して無許可の変更を行う可能性があります。
KEV掲載: 2026-06-23公式(NVD) →UniFi OSデバイスで発見されたパストラバーサル脆弱性を悪用することで、ネットワークへのアクセス権を持つ悪意のある行為者は、基盤となるシステム上のファイルにアクセスでき、それらのファイルを操作して基盤となるアカウントへのアクセスを取得する可能性があります。
KEV掲載: 2026-06-23公式(NVD) →Splunk Enterprise 10.2バージョン10.2.4未満および10バージョン10.0.7未満において、認証されていないユーザーがPostgreSQLサイドカーサービスエンドポイントを通じて任意のファイルを作成または切詰めることができます。この脆弱性は、PostgreSQLサイドカーサービスエンドポイントが認証制御に欠けているため、ネットワークにアクセス可能な任意のユーザーが認証情報なしでファイル操作を実行できることに起因しています。Splunk Enterprise バージョン9.4以前は影響を受けません。直ちに修正済みバージョンにアップグレードできない場合、PostgreSQLサイドカーサービスを無効化することでこの脆弱性を軽減できます。
KEV掲載: 2026-06-18公式(NVD) →Joomla用のJCEエディタ拡張機能の脆弱性により、認証されていないユーザーが新しいエディタプロフィールを作成でき、最終的にPHPコードのアップロードと実行が可能になります。
KEV掲載: 2026-06-16公式(NVD) →Cisco Catalyst SD-WAN Manager（旧SD-WAN vManage）のウェブUIの脆弱性により、認証済みのリモート攻撃者が、影響を受けるシステムのファイルシステム上の任意のファイルを作成または上書きすることが可能になる可能性があります。 この脆弱性は、影響を受けるソフトウェアがファイルアップロード処理中にユーザーが供給した入力を適切に検証していないことが原因で存在します。攻撃者は、影響を受けるシステムの影響を受けるAPIエンドポイントに細工されたHTTPリクエストを送信することで、この脆弱性を悪用することができます。悪用に成功した場合、攻撃者は基盤となるオペレーティングシステム上の任意のファイルを作成または上書きできる可能性があります。このファイルは後にroot権限への昇格に使用される可能性があります。この脆弱性を悪用するには、攻撃者は少なくとも低い権限を持つシングルタスクユーザーアカウントの有効な認証情報を保有している必要があります。
KEV掲載: 2026-06-15公式(NVD) →LiteSpeed cPanel プラグイン 2.4.8 未満（LiteSpeed WHM PlugIn 5.3.2.0 未満で配布）は、CloudLinux/CageFS を実行している共有ホスティング サーバーで FTP またはウェブシェル アクセス権を持つユーザーが提供するシンボリックリンクを不適切に処理します。2026年5月に野生での悪用が確認されています。
KEV掲載: 2026-06-15公式(NVD) →Oracle PeopleSoftのPeopleSoft Enterprise PeopleToolsプロダクト（コンポーネント：Updates Environment Management）における脆弱性です。影響を受けるサポート対象バージョンは8.61および8.62です。この脆弱性は容易に悪用可能であり、ネットワークアクセス権を持つ認証されていない攻撃者がHTTP経由でPeopleSoft Enterprise PeopleToolsを侵害することができます。この脆弱性への成功した攻撃により、PeopleSoft Enterprise PeopleToolsの完全な乗っ取りが可能です。CVSS 3.1ベーススコア9.8（機密性、完全性、可用性への影響）。CVSSベクトル：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
KEV掲載: 2026-06-12公式(NVD) →Ivanti Sentry R10.5.2、R10.6.2、R10.7.1より前のバージョンにおけるOSコマンドインジェクション脆弱性により、認証されていないリモートユーザーがルートレベルのリモートコード実行を達成することができます
KEV掲載: 2026-06-11公式(NVD) →Cisco Catalyst SD-WAN Manager（旧SD-WAN vManage）のCLIにおける脆弱性により、認証済みのローカル攻撃者が細工されたファイルを対象システムに供給することで、rootとして任意のコマンドを実行できる可能性があります。 この脆弱性は、ユーザーが供給する入力の検証が不十分であることが原因です。攻撃者は細工されたファイルを対象システムにアップロードすることでこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は対象システムに対するコマンドインジェクション攻撃を実行し、root ユーザーとして権限を昇格させることができます。 この脆弱性を悪用するには、攻撃者は対象システムに対して netadmin 権限を持つ必要があります。これには有効な認証情報が必要であるか、他の脆弱性の悪用が必要になります。Ciscoは他の方法による悪用の成功事例を認識していません。Ciscoはこのバグの悪用により、エッジデバイスにプッシュされた設定の変更が生じた限定的なケースを確認しています。 Ciscoは、顧客に対して2026年5月14日に公開されたセキュリティアドバイザリに記載されている修正済みソフトウェアへのアップグレードを推奨し、エッジデバイスの設定を検証することを推奨しています。
KEV掲載: 2026-06-09公式(NVD) →Google Chrome 149.0.7827.103 より前のV8における範囲外読み取りおよび書き込みの脆弱性により、リモート攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行することが可能でした。（Chromiumセキュリティ重大度：高）
KEV掲載: 2026-06-09公式(NVD) →Arista EOSを実行している影響を受けるプラットフォーム上で、VXLAN（仮想拡張LAN）、decap-groups、またはGRE（Generic Routing Encapsulation）トンネルインターフェースなどのトンネルカプセル化解除設定が存在する場合、スイッチは設定されたカプセル化解除IPと一致する宛先IPを持つ予期しないトンネルパケットを誤ってカプセル化解除して転送します。これはスイッチがトンネルプロトコルタイプを検証しないために発生し、設定されていないトンネルトラフィックの予期しない処理につながる可能性があります。 この問題は野生で悪用されていることが報告されています。
KEV掲載: 2026-06-09公式(NVD) →LiteLLMはOpenAI(またはネイティブ)形式でLLM APIを呼び出すプロキシサーバー(AIゲートウェイ)です。バージョン1.74.2からバージョン1.83.7より前のバージョンまで、MCPサーバーをプレビューしてから保存するために使用された2つのエンドポイント — POST /mcp-rest/test/connectionおよびPOST /mcp-rest/test/tools/list — は、stdio トランスポート によって使用されるcommand、args、envフィールドを含む完全なサーバー構成をリクエストボディで受け入れていました。stdioプロキシで呼び出された場合、エンドポイントは接続を試み、提供されたコマンドをプロキシホスト上でサブプロセスとして生成し、プロキシプロセスの権限で実行していました。これらのエンドポイントは有効なプロキシAPIキーによってのみゲートされており、ロールチェックがありませんでした。低権限の内部ユーザーキーの保有者を含む、認証済みのユーザーは誰でもホスト上で任意のコマンドを実行できました。この問題はバージョン1.83.7で修正されました。
KEV掲載: 2026-06-08公式(NVD) →リモートアクセスおよびモバイルアクセスの証明書検証における論理フロー上の脆弱性が、非推奨のIKEv1鍵交換で存在し、認証されていないリモートの攻撃者が、ユーザー認証をバイパスし、有効なユーザーパスワードなしでリモートアクセスVPN接続を確立することを可能にする。
KEV掲載: 2026-06-08公式(NVD) →SolarWinds Serv-Uは、認証なしでContent-Encoding: deflateを使用した特別に細工されたPOSTリクエストによってServ-Uサービスがクラッシュする脆弱性があります。アップデートを展開できない場合は、SolarWinds Trust Centerで顧客環境を保護するための軽減手順が提供されています。
KEV掲載: 2026-06-05公式(NVD) →Mirasvit Full Page Cache Warmer for Magento 2 バージョン1.11.12より前には、PHPオブジェクトインジェクション脆弱性が存在します。認証なしの攻撃者が、CacheWarmerクッキーに細工されたシリアライズPHPオブジェクトを提供することで、リモートコード実行を達成できます。攻撃者は、PHPのネイティブunserialize()関数への無制限の呼び出しとMagentoおよびその依存関係で利用可能なガジェットチェーンを組み合わせることで、サーバー上で任意のコードを実行できます。
複数の場所において、整数オーバーフローにより、コード実行を実現する可能性があります。これにより、追加の実行特権なしでローカル権限昇格につながる可能性があります。エクスプロイトに際してユーザーインタラクションは必要ありません。
KEV掲載: 2026-06-02公式(NVD) →Linuxカーネルの kernel/cgroup/cgroup-v1.c ファイルに含まれる cgroup_release_agent_write 関数に脆弱性が発見されました。この欠陥により、特定の状況下で cgroups v1 の release_agent 機能を悪用して権限昇格を行い、予期しない方法でネームスペース分離をバイパスすることが可能になります。
KEV掲載: 2026-06-02公式(NVD) →Oracle Fusion Middleware の Oracle WebLogic Server 製品における脆弱性（コンポーネント：Core）。影響を受けるサポート対象バージョンは 12.2.1.4.0 および 14.1.1.0.0 です。この脆弱性は、悪用が容易であり、認証されていない攻撃者が T3 および IIOP 経由でネットワークアクセスを通じて Oracle WebLogic Server を侵害できます。この脆弱性の攻撃に成功すると、重要なデータへの不正アクセスまたは Oracle WebLogic Server でアクセス可能なすべてのデータへの完全なアクセスが可能になります。CVSS 3.1 ベーススコア 7.5（機密性への影響）。CVSS ベクトル：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)。
KEV掲載: 2026-06-01公式(NVD) →Palo Alto Networks PAN-OS®ソフトウェアのGlobalProtectポータルおよびゲートウェイの認証回避脆弱性により、攻撃者はセキュリティ制限をバイパスし、不正なVPN接続を確立することができます。 PanoramaおよびCloud NGFWはこれらの問題の影響を受けません。
KEV掲載: 2026-05-29公式(NVD) →2026年5月11日UTC時刻19時20分から19時26分の間に、84個の悪意あるバージョンが42個の@tanstack/*パッケージ全体にわたってnpmレジストリに公開されました。公開はTanStack/routerの正規なGitHub Actions OIDC信頼できるパブリッシャーバインディング経由で認証されましたが、公開ワークフロー自体は改変されていません。攻撃者は3つの既知の脆弱性クラスを組み合わせました。すなわち、pull_request_targetの「Pwn Request」設定不備、フォーク↔ベース間の信頼境界を跨ぐGitHub Actionsキャッシュポイズニング、およびActionsランナープロセスからのOIDCトークンのランタイムメモリ抽出です。これにより信頼できるアイデンティティの下で認証情報を盗むマルウェアを公開しました。影響を受けた各パッケージは正確に2つの悪意あるバージョンを受け取り、数分間隔で公開されました。
KEV掲載: 2026-05-27公式(NVD) →Nx Consoleは、NxおよびLernaのユーザーインターフェースです。2026年5月19日に、悪意のあるバージョンのNx Console 18.95.0がUTC 12:30に公開され、UTC 12:48にすぐに削除されました。Visual Studio Marketplaceで約18分間利用可能でした。OpenVSXでは問題がより遅く検出され、侵害されたバージョンはUTC 12:33からUTC 13:09まで（約36分間）利用可能でした。Nx Consoleのバージョン18.100.0は侵害されていないため、ユーザーはそのバージョンにアップグレードすることで対応できます。
KEV掲載: 2026-05-27公式(NVD) →サプライチェーン攻撃により、2026年4月8日から5月5日までの間に正規Webサイト daemon-tools.cc から配布されたDAEMON Tools Lite（Windows版12.5.0.2421～12.5.0.2434）の公式インストールパッケージが侵害されました。攻撃者はベンダー（AVB Disc Soft）のビルドまたは配布インフラへの不正アクセスを獲得し、DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exeの3つのバイナリをトロイの木馬化しました。これらのファイルは正規のAVB Disc Softコード署名証明書でデジタル署名されており、悪意のあるインストーラーが信頼できるように見え、署名ベースの検出を回避することができました。
KEV掲載: 2026-05-27公式(NVD) →LiteSpeed User-End cPanel Plugin 2.4.5より前のバージョンには権限昇格（ルートまで含む可能性がある）の脆弱性があり、2026年5月の野生での悪用が報告されています。検出は、Bashで次のコマンドラインを実行することが最適です：grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null。出力がない場合、この脆弱性の悪用を受けていません。出力がある場合は、リスト内のIPアドレスを確認し、有効なIPアドレスであるかを判断し、そうでない場合はそれらをブロックすることをお勧めします。被害の程度を確認するには、検出されたIPアドレスによるシステムログの使用状況を調べてください。この問題はRedis有効化/無効化機能の不適切な処理に関連しています。推奨される最小バージョンは2.4.7です。
KEV掲載: 2026-05-26公式(NVD) →Drupal DrupalコアにおけるSQL コマンドで使用される特殊文字の不適切なニュートラライゼーション（「SQLインジェクション」）の脆弱性により、SQLインジェクションが可能になります。 この問題は、Drupalコアの以下のバージョンに影響します：8.9.0から10.4.10未満、10.5.0から10.5.10未満、10.6.0から10.6.9未満、11.0.0から11.1.10未満、11.2.0から11.2.12未満、11.3.0から11.3.10未満。
KEV掲載: 2026-05-22公式(NVD) →Langflow バージョン 1.6.9 以前には、アカウント乗っ取りとリモートコード実行を可能にする連鎖脆弱性が存在します。過度に寛容な CORS 設定（allow_origins='*' と allow_credentials=True の組み合わせ）と、SameSite=None に設定されたリフレッシュトークン Cookie により、悪意のある Web ページは認証情報を含むクロスオリジンリクエストを実行でき、リフレッシュエンドポイントを正常に呼び出すことができます。攻撃者が制御するオリジンは、被害者セッションの新しい access_token / refresh_token ペアを取得できます。取得されたトークンは、組み込みのコード実行機能を含む認証済みエンドポイントへのアクセスを許可し、攻撃者が任意のコードを実行でき、システム全体の侵害を実現できます。
KEV掲載: 2026-05-21公式(NVD) →Apex One（オンプレミス）サーバーのディレクトリトラバーサル脆弱性により、認証前のローカル攻撃者がサーバー上の重要なテーブルを変更し、影響を受けたインストール環境のエージェントに展開する悪意のあるコードを注入することが可能になります。 この脆弱性はApex Oneのオンプレミス版でのみ悪用可能であり、攻撃者がこの脆弱性を悪用するには、Apex Oneサーバーへのアクセスを取得し、他の手段によってサーバーへの管理者認証情報をあらかじめ入手している必要があります。
KEV掲載: 2026-05-21公式(NVD) →Microsoft WindowsのServerサービスに存在する脆弱性です。Windows 2000 SP4、XP SP2・SP3、Server 2003 SP1・SP2、Vista Gold・SP1、Server 2008、および7 Pre-Betaが影響を受けます。細工されたRPCリクエストを通じて、パスの正規化処理中にバッファオーバーフローが発生し、リモート攻撃者が任意のコードを実行可能です。2008年10月にGimmiv.Aによるワイルド攻撃に悪用されました。「Server Service Vulnerability」と呼ばれています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft Internet Explorer 6、6 SP1、7、8 on Windows 2000 SP4、Windows XP SP2 SP3、Windows Server 2003 SP2、Windows Vista Gold SP1 SP2、Windows Server 2008 Gold SP2 R2、Windows 7 における use-after-free 脆弱性です。削除されたオブジェクトに関連付けられたポインタにアクセスすることで、リモート攻撃者が任意のコードを実行する可能性があります。メモリの不適切な初期化とメモリ内のオブジェクトの不正確な処理に関連しており、2009年12月と2010年1月に Operation Aurora で悪用されたもので、「HTML Object Memory Corruption Vulnerability」とも呼ばれています。
KEV掲載: 2026-05-20公式(NVD) →Adobe ReaderおよびAcrobat 7.x（7.1.4未満）、8.x（8.1.7未満）、および9.x（9.2未満）のヒープベースバッファオーバーフローは、メモリ破損をトリガーする細工されたPDFファイルを介して、リモート攻撃者が任意のコードを実行することを可能にします。この脆弱性は2009年10月に実際に悪用されました。注記：これらの詳細の一部は第三者情報から得られています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft Internet Explorer 6、6 SP1、およびInternet Explorer 7のPeer Objectsコンポーネント（iepeers.dllとも呼ばれる）における Use-after-free 脆弱性により、リモート攻撃者はオブジェクト削除後の無効なポインタへのアクセスに関連するベクトルを通じて、任意のコードを実行できます。2010年3月に野生で悪用されており、「初期化されていないメモリ破損脆弱性」としても知られています。
KEV掲載: 2026-05-20公式(NVD) →Microsoft DirectX 7.0～9.0c の quartz.dll に含まれる QuickTime ムービーパーサーフィルターの未指定の脆弱性により、Windows 2000 SP4、Windows XP SP2・SP3、および Windows Server 2003 SP2 上で、リモート攻撃者が細工された QuickTime メディアファイルを通じて任意のコードを実行できます。2009年5月に野生のエクスプロイトが確認されており、「DirectX ヌルバイト上書き脆弱性」と呼ばれています。
KEV掲載: 2026-05-20公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。