カテゴリ
ディープダイブ
新たに公開された脆弱性の詳細な解説：影響を受ける対象、修正方法、そして脆弱性の仕組み。
MagentoとAdobe CommerceのPolyShell RCEが実環境で悪用（CVE-2026-48356）
PolyShell（CVE-2026-48356）はMagentoのREST APIにある未認証のファイルアップロード脆弱性で、2026年3月から大規模に悪用されています。Adobeの2026年7月のパッチリリースで修正されます。
2026年10月28日
AuthMask：Android版Microsoft Authenticatorのトークン窃取（CVE-2026-80097）
6.2606.4246より前のAndroid版Microsoft Authenticatorは、インストール済みのMicrosoftアプリを装う任意のアプリに職場アカウントのトークンを渡していま...
2026年10月27日
Authlib 1.9.0で修正されたJWS署名バイパス（CVE-2026-96760）
Authlib 1.8.0以前は、signaturesが空のJWS JSONオブジェクトを、鍵を確認せずに検証済みとして扱います。重大度クリティカルのCVE-2026-96760（CVSS 9....
2026年10月27日
Tailworm：Tailscale SSHからrootへの権限昇格
Tailscale SSHのrootデーモンが承認済みユーザーのためにUnixソケットへ接続し、置き換えることで、許可されたサーバー上のroot権限に到達できます。1.104.4以降に更新し、更...
2026年10月27日
ディープダイブのその他の記事
悪意あるOVHcloud CLIのリリースアーカイブがシークレットを窃取
2026年10月19日、OVHcloud CLIの5つのリリースでアーカイブが差し替えられ、94分間シークレット窃取ビルドが配布されました。全シークレットをローテーションし、v0.16.0をインストールしてください。
2026年10月26日
Windows版OpenCodeのMCP OAuthサインインRCE、1.18.33で修正
WindowsとWSL上のOpenCode 1.0.137～1.18.32では、悪意あるMCPサーバーのOAuthサインインURLがPowerShellに届き、開発者としてコードを実行します。1.18.33で修正済みで、CVEはありません。
2026年10月26日
Linux KSMBDの認証前の欠陥：ZDIはCVSS 9.0のRCEと評価、リリース済み修正はなし（ZDI-CAN-33774）
Linuxカーネル組み込みSMBサーバーKSMBDの2つの欠陥を、ZDIがCVSS 9.0と評価しています。一つは認証前に到達可能です。リリース済みカーネルにはまだ修正がなく、CVE IDもありません。
2026年10月26日
公開PoCのあるFortiSIEM gRPCパストラバーサルRCE（CVE-2026-106173）
FortiSIEM 7.5.0のTCP 27918上の未認証gRPCサービスでは、攻撃者がファイルを上書きし、リモートコード実行に至ることができます。7.5.1で修正済みです。公開PoCはありますが、悪用は確認されていません。
2026年10月26日
Postiz：一般の登録ユーザーによる完全な乗っ取り（CVE-2026-115931、CVE-2026-115932、CVE-2026-115933）
自己ホスト型Postiz 2.23.0～2.25.2では任意の登録ユーザーがサーバーファイルを読み取れます。2.15.0～2.25.2ではサインイントークンを偽造して他の組織を乗っ取れます。2.25.3で修正済みです。
2026年10月26日
Pillow Ghostscriptの引数インジェクションによるRCE（CVE-2026-112900）
Pillow 2.6.0～12.3.0は、攻撃者が制御するEPSまたはPostScriptのファイル名をサニタイズせずにGhostscriptへ渡すため、引数インジェクションとコマンド実行が可能です。13.0.0で修正されています。
2026年10月26日
12年分のGitLabに影響する未認証RCE（CVE-2026-110264）
評価10.0の正規表現コンパイラーの整数オーバーフローCVE-2026-110264により、7.0以降のすべての自己管理型GitLabが未認証RCEにさらされます。2026年10月21日に修正されています。
2026年10月25日
Node2Shell：Node.js、Bun、PythonのBrotli RCE（CVE-2026-111497）
CVE-2026-111497（CVSS v4.0 9.2）は、Node.js、Bun、.NET、Python、Envoy、IstioのBrotliデコーダーのオーバーフローです。CISAの既知の悪用された脆弱性カタログに追加されました。
2026年10月25日
Plex2Shell：実環境で悪用されるPlexのRCE（CVE-2026-96656）
1.43.3.10861未満のPlex Media Serverでは4つの欠陥を連鎖させることで、未認証の攻撃者がPlexユーザーとしてコードを実行できます。2026年10月17日以降、実環境で悪用されています。
2026年10月25日
eMudhra CAの侵害：Chromeが10月27日にemSign ECC Root CA - G3を削除
eMudhraの8つの中間CA秘密鍵は公開証明書から計算でき、サイトの偽装が可能です。Chromeが2026年10月27日にemSign ECC Root CA - G3を削除すると、約30,800の証明書が機能しなくなります。
2026年10月25日