PAN-OSの管理インターフェースにRCE脆弱性、悪用を受けPalo Altoが修正
Palo Alto Networksは、PAN-OSのリモートコード実行の脆弱性CVE-2026-0322(CVSSスコア8.6)を修正しました。管理インターフェースに存在し、すでに悪用が確認されています。境界防御の要となる機器のため、利用中の組織は更新の適用と、管理インターフェースへのアクセス元の見直しを急ぐ必要があります。
セキュリティ・脆弱性の最新ニュース（2026-10-16）
悪用が確認された脆弱性の報告が相次いでいます。PAN-OSの管理インターフェース、Nextcloud向けCollabora、Langflow、AhsayCBSが該当し、Microsoftの10月の月例更新にも悪用確認済みの脆弱性が1件含まれます。Next.jsとDrupalでは認証なしのリモートコード実行につながる重大な欠陥が修正されました。Linuxカーネルでは、仮想マシン内からホストのメモリを読み取れる「PwnEscape」も公表されています。国内ではIPAとJPCERT/CCが、相次ぐ不正アクセスへの注意を呼びかけています。
Nextcloud向けCollaboraのRCE脆弱性が悪用、サーバにバックドア
Nextcloud用アプリ「Collabora Online - Built-in CODE Server」(richdocumentscode)のコマンド実行の脆弱性CVE-2026-110447が攻撃に使われています。侵害されたNextcloudサーバにはバックドアが仕掛けられています。社内ファイル共有にNextcloudを使っていてこのアプリを入れている場合は、更新状況と侵害の痕跡を確認してください。
Microsoftが10月の月例セキュリティ更新を公開、悪用確認済みの脆弱性1件を含む
Microsoftが10月のセキュリティ更新を公開しました。修正対象には、すでに悪用が確認されている脆弱性が1件含まれます。JPCERT/CCも複数のMicrosoft製品の脆弱性として取り上げています。Windows環境を管理する担当者は、通常の月例サイクルの中でも優先して適用を進めたい内容です。
Next.jsが定例外パッチ、認証不要のRCE脆弱性2件を修正
Next.jsは10月14日に定例外のセキュリティ更新を公開しました。認証なしでリモートコード実行が可能になる「クリティカル」の脆弱性2件と、深刻度「高」のサービス拒否の脆弱性1件が修正されています。RCEの1件はReact Server Componentsに、もう1件はsharpパッケージ経由で使われるSVG処理ライブラリlibrsvgにあります。Next.jsでサービスを公開している開発チームは、修正版への更新が必要です。
Drupalコアの Field UI に重大な脆弱性、拡張モジュール経由で認証なしのRCEも
Drupalコアの Field UI モジュールに、サーバ上でのコード実行につながる「クリティカル」の脆弱性が見つかりました。10月14日公開のDrupal 11.4.10、11.3.19、10.6.19で修正されています。Drupal Security Teamによると、コア単体からは悪用できません。ただし拡張モジュールを経由する攻撃経路が複数あり、少なくとも1つはログインが不要です。拡張モジュールを使うサイトは更新を急いでください。
Linuxカーネルに「PwnEscape」、ゲストVMからホストのメモリを読み取れる重大な欠陥
Linuxカーネルのネットワーク処理に、仮想マシン内のコードがホストのメモリを読み取れる重大な脆弱性CVE-2026-99999(通称PwnEscape)が公表されました。研究者はVercelの稼働中のクラウドサンドボックスで情報漏えいを実証し、Vercelもこれを認めています。問題は特定のクラウドの設定ではなくカーネル自体にあります。仮想化基盤を運用している組織は、利用中のディストリビューションのセキュリティ情報を確認してください。
LangflowのRCE脆弱性に攻撃、ハニーポットで1,423件の悪用試行
AIアプリやエージェントのワークフローを構築するオープンソース基盤「Langflow」で、脆弱性CVE-2026-105740(CVSSスコア9.9)が悪用されています。Previdianの警告によると、ハニーポットで1,423件の悪用試行を観測しました。認証後にリモートコード実行が可能になるタイプです。社内でLangflowを検証・運用している場合は、外部公開の有無とバージョンを確認してください。
悪用されたAhsayCBSの脆弱性、不完全な修正を受けて再度の更新
Ahsay Backupは、バックアップ製品AhsayCBSの脆弱性CVE-2026-105133とCVE-2026-105134に対し、新たな修正を公開しました。以前の修正が不完全だったためです。2件を組み合わせると認証を回避してコマンドを実行でき、実際にWebシェルや暗号資産採掘ツールXMRigの設置に使われています。旧パッチを当てた環境も、再度更新する必要があります。
NGINX 1.30.6/1.31.7で脆弱性5件を修正、クライアント証明書の検証を回避される恐れも
NGINXは10月14日にバージョン1.30.6と1.31.7を公開し、5件の脆弱性を修正しました。うち1件は2005年5月以降の全リリースに存在していました。3件はメモリ関連の不具合で、F5はワーカープロセスのクラッシュや、場合によってはコード実行につながる可能性があるとしています。いずれも悪用には特定の設定が必要です。別の1件は、TLSセッションの偽造によってクライアント証明書の検証が行われなくなる恐れがあるもので、証明書認証を使う構成では影響を確認したいところです。
GhostActionが約1,900のGitHubアカウントを侵害、3万超のリポジトリを標的に
認証情報を盗む攻撃キャンペーン「GhostAction」の活動が、10月8〜9日に急増しました。GitGuardianによると、約1,900ユーザーのGitHubアカウントが侵害され、3,000のユーザー・組織にまたがる3万超のリポジトリが標的になりました。公開リポジトリのCIからは3,174件のシークレットを抜き出そうとしていました。GitHub Actionsでシークレットを扱う開発チームは、不審なワークフロー変更の有無と、シークレットのローテーションを検討してください。
IPAが不正アクセスによる漏えい事案を踏まえた対策を公表、JPCERT/CCも注意喚起
IPAは、不正アクセスによる情報漏えいなどの事案を踏まえ、速やかに実施すべき対策を公表しました。JPCERT/CCも、国内組織で相次ぐ不正アクセスについて注意を呼びかけています。国内では企業や委託先システムへの侵害の公表が続いており、自組織の点検に使える資料です。
Chromeにセキュリティアップデート、前回から2日で「クリティカル」の脆弱性を修正
GoogleがChromeのセキュリティアップデートを公開しました。前回の更新からわずか2日で、「クリティカル」と評価された脆弱性の修正も含まれます。自動更新を待たず、ブラウザを再起動して最新版が適用されているか確認するとよいでしょう。