リモートコード実行
このタグの記事 3 件
Orkes Conductorの脆弱性 CVE-2026-58138：ログインなしでOSのコマンドを実行される、攻撃の試みを観測（3.30.2以降へ更新）
CVE-2026-58138は、conductor-ossプロジェクトのオープンソースのワークフローエンジンConductor（CVEの記録ではOrkes Conductor）の脆弱性。3.21.21から3.30.2より前の版では、スクリプトの評価機能が隔離されておらず、JavaScriptやPythonの式を含むワークフロー定義をワークフローAPIに送るだけで、遠隔の攻撃者が認証なしでOSのコマンドを実行できる。CVEは2026年6月30日に公開され、CVSSは9.8（v3.1）と9.3（v4.0）。修正は6月3日のリリース3.30.2に入っているが、リリースノートには「JavaScriptエンジンの制限を強めた」としか書かれていない。ネットワークセキュリティ企業は9月、侵入防止サービスで1日に1,290件、7日間で6,696件の攻撃の試みを遮断したと報告した。これは遮断した試みの数で、侵害が確認された数ではない。10月31日時点で米CISAのKEVには載っておらず、NVDも分析していない（状態はDeferred）。当サイトの結論：Conductorを自分で運用しているなら、今すぐ3.30.2以降に上げ、APIをインターネットから見えないようにし、対象の版が外から届く状態だったなら侵害の可能性がある前提で点検する。
Plex2Shell：Plex Media Serverの4つの脆弱性が悪用されている（1.43.3.10861以降へ更新）
Plex2Shellは、セキュリティ研究者がPlex Media Serverの4つの脆弱性（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656）に付けた名前。Plexによると、4つを組み合わせると、遠隔の攻撃者が認証なしで、Plex Media Serverのプロセスの権限でコードを実行できる。4件とも1.43.3.10861で修正され、この版は2026年8月4日に全員向けに公開された。Plexは10月19日（UTC）、10月16日に攻撃の実証コードが公開されてから広く悪用されており、侵害されたサーバーが暗号資産の採掘やプロキシのソフトの実行に使われていると書いた。米CISAは10月20日に4件をKEV（悪用が確認された脆弱性の一覧）に追加し、対応期限は10月23日と11月3日。1件ずつのCVSS（v3.1）は4.3〜7.2にとどまる。当サイトの結論：Plex Media Serverを動かしているなら、今日1.43.3.10861以降か確かめ、遠隔アクセスが要らなければポート32400の直接公開をやめ、古い版がインターネットから届いていたならPlexの点検項目で確かめ、迷えば作り直す。
SharePoint Serverの脆弱性 CVE-2026-65660：ログインした利用者にコードを実行される、悪用を確認（2026年8月の更新を適用）
CVE-2026-65660は、社内に置くMicrosoft SharePoint Server（Subscription Edition、2019、Enterprise 2016）のコードインジェクションの脆弱性。Microsoftによると、低い権限で認証された攻撃者が細工したリクエストを送ると、利用者の操作なしにサーバー上でコードを実行できる。CVSSは8.8。修正は2026年8月11日のセキュリティ更新に入っている。Microsoftは当初これを「なりすまし」の脆弱性として公開し、8月27日にリモートコード実行へ改めた。9月25日には攻撃が観測された確かな証拠があると追記し、米CISAも同じ日にKEVに追加した（期限は9月28日）。セキュリティ企業は9月24日、攻撃を観測するためのおとりのサーバー（ハニーポット）で、この脆弱性と、2026年6月に修正されたと報告されている別の不具合（匿名での閲覧を許すサイトで、ログインなしにリクエストを届かせるもの）を組み合わせた攻撃の試みを観測したと報告した。当サイトの結論：SharePoint Serverを動かしているなら、すべてのサーバーが修正ビルド以上か確かめ、2026年6月の更新も入っているか確かめ、匿名アクセスを見直し、更新が遅れていたサーバーは侵害の跡を点検する。