セキュリティ・脆弱性の最新情報を毎朝日本語でまとめてお届けします
eMudhraの中間CA証明書8件の秘密鍵が侵害されたことを、MozillaとGoogleのChrome Root Programが10月20日に確認しました。中間CAの鍵を持つ者は、ブラウザが受け入れる証明書を任意のサイト向けに発行できます。Firefox 158.0.1は侵害された中間証明書の遮断リストを更新しました。Go 1.27.3とGo 1.26.10も8つの中間CA鍵を経由する証明書チェーンを拒否するようになりましたが、Goチームは対象のCA名を明らかにしていません。
PHPのセキュリティチームが、重大な脆弱性2件を修正する緊急アップデートを翌日に出すと予告し、管理者に準備を呼びかけました。脆弱性の情報が予定より早く漏れたと報じられています。PHPで動くサーバーを運用している場合は、公開後すぐに更新を当てられるよう体制を整えておく必要があります。
Palo Alto Networksによると、PAN-OSとPrisma Accessの認証回避の脆弱性CVE-2026-0257(CVSS 7.8)が、ランサムウェアの攻撃者に今も悪用されています。この脆弱性を突くと不正なVPN接続を確立できます。修正は2026年5月に出ているため、未適用の環境は攻撃者の侵入口になります。
Fortinet FortiSIEMのパストラバーサルの脆弱性CVE-2026-106173(CVSS 9.4)について、研究者が実証(PoC)コードを公開しました。認証なしで任意のコードやコマンドを実行される可能性があります。修正版は最近公開されたばかりで、PoCが出回った今は未適用のシステムが狙われやすくなっています。
ウェブサーバーのnginxと関連製品で複数の脆弱性が見つかり、うち3件は「クリティカル」と評価されています。サービス拒否、コード実行、認証回避、機密情報の漏えいにつながるおそれがあります。nginxは国内でも広く使われているため、自社で使っている製品とバージョンが対象に入るか確認が必要です。
10月19日、乗っ取られたコントリビューターのGitHubアカウントが使われ、OVHcloudのコマンドラインツールの既存リリース5件でダウンロード用アーカイブが差し替えられました。差し替え後のファイルは、実行したマシンのディスクに保存されたシークレットを盗むビルドでした。公開されていたのは最大94分間(UTC 12:47〜14:21)で、この時間帯に入手したファイルを実行した環境は、保存していた認証情報を確認する必要があります。
SiemensがSiemens Software CenterのDLLサイドローディングの脆弱性CVE-2026-110936(CVSS v4 8.4)を修正しました。細工したDLLをアプリケーションの検索先ディレクトリに置かれると、アプリケーションと同じ権限で悪意のあるコードが実行されます。ClickFix攻撃でリモートアクセス型トロイの木馬を送り込む手口に悪用されたとSiemensが説明しています。
Roundcube Webmailの開発チームが、10月19日にセキュリティアップデートの1.7.5と1.6.20をリリースしました。複数の脆弱性を修正しており、開発チームは利用者に注意を呼びかけています。自社でウェブメールを運用している組織は、該当するブランチの更新を確認してください。
NECは、システム開発・保守業務の委託先がサイバー攻撃を受け、複数の顧客が影響を受けたと公表しました。顧客のシステムで障害が起きたほか、情報の流出も確認されています。保守ベンダーを経由した侵害は自社の対策だけでは防ぎにくく、委託先の接続経路や権限を見直すきっかけになる事例です。
Studioは、一部機能の脆弱性を突かれて自社のクラウド環境に不正アクセスされ、環境内のデータを外部から取得できる状態になっていたと公表しました。確認できている不正アクセスの期間は日本時間9月30日〜10月1日です。実際に取得された事実は確認されていませんが、同社は取得されたものとみなして対応しています。10月14日には全ユーザーを強制ログアウトさせ、Googleスプレッドシート連携の鍵を更新しました。
Zeaburは、平文で保存していた内部の認証情報が漏れ、それを使った攻撃者にインフラを侵害されたと明らかにしました。盗まれたのは320万件以上の環境変数レコードと、321,810アカウント分の情報です。2カ月で2度目の侵害を受け、同社はサービスの終了を決めました。利用していた場合は、環境変数に置いていたAPIキーなどの扱いを確認する必要があります。
AnthropicのPython向け開発キット「Claude Agent SDK」に深刻な脆弱性が見つかり、修正版が公開されました。脆弱性の種類は引数注入です。このSDKでAIエージェントを組み込んでいる開発者は、使っているバージョンを確認し、修正版への更新を検討してください。