セキュリティ・脆弱性の最新情報を毎朝日本語でまとめてお届けします
WordPressは9月22日にWordPress 7.1.2を公開し、コアの深刻な脆弱性を修正した。アカウントを持たない攻撃者が、テーマフォルダの外にあるPHPファイルをサイトに読み込ませることができる。一部のサーバーでは任意コードの実行にまで至る。修正はサポート中の全ブランチ（4.7まで）に提供されている。9月17日に7.1.1で修正された「Comment2Shell」（CVE-2026-93485）とは別の問題なので、7.1.1を当てたサイトも改めて更新する必要がある。
Check PointはSecurity Management Serverの脆弱性CVE-2026-93616について、7月23日に少数の標的型攻撃で悪用されていたと公表した。サーバーのWebサービスにアクセスできれば、ログインせずにスクリプトを実行できる。この製品はファイアウォールポリシーを管理するサーバーにあたる。9月22日に緊急ホットフィックスが公開された。
Aristaは9月22日、オンプレミス版VeloCloud Orchestrator（VCO）の脆弱性CVE-2026-93952が悪用されていると明らかにした。VCOはSD-WANのEdge機器を管理するサーバーである。ログイン権限のないリモートの攻撃者が内部機能を扱い、VCOホストに影響を与えるおそれがある。影響を受けるのは、Edgeの認証に証明書を使う構成のオーケストレーターに限られる。まず自社の構成が該当するかを確認したい。
CISAは、Zyxel GS1900シリーズのスイッチにあるスタックベースのバッファオーバーフローCVE-2026-7273（CVSS 8.8）を既知の悪用済み脆弱性（KEV）カタログに追加した。この脆弱性はすでに修正済みで、OSコマンドの実行につながりうる。別の報道によると、中国語圏の攻撃者がこのスイッチとWordPressの脆弱性を悪用し、996台の機器とバックエンドDBの1万8,500件超のレコードからデータを盗んでいた。同じ報道の見出しでは、Veeam製品の脆弱性も悪用中として挙げられている。
CISAは、Linuxカーネルの脆弱性3件が攻撃に悪用されていると警告した。このうち1件の深刻度は「Critical」とされている。Linuxサーバーを運用している組織は、各ディストリビューションのカーネル更新が適用済みかを確認する必要がある。
BifrostはLLMプロバイダー20社以上へのリクエストを中継するオープンソースのAIゲートウェイである。その脆弱性CVE-2026-90898（CVSS 9.8）を突くと、認証のない攻撃者がHTTPリクエスト1回でサーバー上の任意コマンドを実行できる。影響を受けるのは2.1.0より前のBifrost HTTP transportで、管理認証の設定状態が条件になるとされる。社内でLLM連携の基盤に使っている場合は、バージョンと設定を確認したい。
Microsoftは当初、この脆弱性をCVSS 6.5のなりすまし（スプーフィング）として公表していた。Viettel Cyber Securityの研究者が技術的な詳細を公開し、認証済みユーザーによるリモートコード実行が可能だと示した。対象はSharePoint Server 2016、2019、Subscription Editionで、パッチはすでに提供されている。当初の低い評価を理由に適用を後回しにしていた組織は、優先度を見直す必要がある。
研究者のAbdelhamid Naceri氏（Nightmare Eclipse）が、Microsoft Defenderのプラットフォーム更新と定義更新を止めるPoC「BigDiskBuster」をGitHubで公開した。ディスクの空き容量を使い切らせることで更新を妨げる。現時点でパッチ、CVE、Microsoftのアドバイザリはいずれもない。同氏の過去のDefender向けエクスプロイトは実際の攻撃にも使われている。
D-Linkは旧型のデュアルバンドWi-FiルーターDIR-822Aについて、深刻度が最大の脆弱性CVE-2026-86296を警告した。エクスプロイトコードがすでに公開されている一方、パッチは提供されていない。拠点や家庭でこの機種を使い続けている場合は、D-Linkの告知を確認して対応を決める必要がある。
MicrosoftのDigital Crimes Unit（DCU）が、フィッシング・アズ・ア・サービス「EvilTokens」を停止させた。1万以上の組織で1万2,000超のMicrosoftアカウントが侵害されていた。この攻撃はデバイスコード認証フローを悪用する。そのため、利用していない組織ではEntra IDの条件付きアクセスでこのフローを制限できるかどうかが対策の論点になる。
恐喝グループShinyHuntersが、Oracle PeopleSoftの新たなゼロデイ脆弱性を使ってFBIのシステムに侵入したと主張している。内部サービスにアクセスし、職員や応募者の機密データを盗んだという。いずれも攻撃者側の主張だが、PeopleSoftを運用する組織はOracleからの今後の情報に注意しておきたい。
ARM64向けLinuxカーネルのKVMに脆弱性CVE-2026-89775が見つかった。ネストされた仮想化を有効にしたホストでは、解放済みのホストメモリがゲストVMから見える状態になる。ゲストはホストのカーネルメモリを読み書きできる。発見した研究者は、ゲストから抜け出してホスト上でコードを実行するのに使えるとしている。ARM64上でネスト仮想化を使うクラウドや検証環境が対象になる。
