大きな脆弱性を、関係があるか・何をすればいいかから読める形にまとめています。
GitLab CE/EE に、ログインしていない第三者がサーバー上のファイルを読み取れる弱点(CVE-2026-85706、CVSS 10.0)が見つかり、実際の攻撃で悪用されたことが確認されています。自社で GitLab を運用している組織が対象で、18.7 以降の各系統が影響を受けます。18.11.12、19.0.9、19.1.8、19.2.6、19.3.2 のいずれか、自社の系統に合う修正版へ直ちに更新してください。
Cisco Identity Services Engine(ISE)のAPIに、認証なしで管理画面の保護を回避される弱点が見つかり、実際の攻撃での悪用が確認されています。ISEとISE-PICを使う組織が対象で、深刻度はCVSS 10.0です。Ciscoのセキュリティアドバイザリで対象の版と修正版を確認し、対応を急いでください。
Arista製のSD-WAN管理基盤VeloCloud Orchestrator(VCO)のオンプレミス版に、認証なしでネットワーク越しに内部機能へ到達できる脆弱性があり、実際の攻撃での悪用が確認されています。自社でVCOを運用している組織が対象です。ベンダーの告知を確認して対処を進め、管理画面がインターネットから見える状態になっていないかを今すぐ点検してください。
バックアップ管理製品 Ahsay AhsayCBS の Replication Receiver に、認証なしで外部からOSのコマンドを実行されるおそれのある欠陥が見つかりました。実際の攻撃で悪用されたことが確認されており、10.3.2 以前を使う組織は影響を受けます。10.3.4 への更新を最優先で進め、更新前にインターネットからの到達性を確認してください。
WordPress の予約プラグイン LatePoint の 5.7.4 以前に、顧客アカウントへの不正ログインを許す弱点(CVE-2026-110653)が見つかりました。ログインなしで外部から試せるため、予約機能を公開している事業者は影響を受けます。管理画面でプラグインの版を確認し、5.7.5 以降への更新を進めてください。
WordPress用の予約プラグイン Booktics の 1.0.29 以前に、ログイン不要で外部から悪用できる SQL インジェクションの脆弱性が見つかりました。CVSS は 9.3 で、公開サイトで使っている組織は影響を受けます。まず導入の有無と版を確認し、修正版が出ていればすぐ更新し、無ければ一時的な無効化を検討してください。
施設・資産管理ソフト Eptura Archibus に、不正なファイルをアップロードされてサーバー上でコマンドを実行されるおそれのある重大な脆弱性が見つかり、修正版が出ています。認証回避の脆弱性と組み合わせると、ログインなしでも悪用できると説明されています。Archibus を運用している組織は、ベンダーの告知で修正版を確認し、適用を急いでください。
データパイプライン基盤の Mage OSS 0.9.80 以前に、未知の OAuth プロバイダーを受け取ってもセッション作成を止めない不具合が見つかりました。CVSS は 9.8 で、認証なしにネットワーク経由で悪用される想定です。Mage OSS を使っている組織は、版とネットワーク公開の状況を確認し、修正を取り込んだ版へ更新するか、アクセス元の制限を先に行ってください。
WordPress の学習管理プラグイン LearnPress の 4.4.10 以前に、ログインなしで外部から突ける PHP オブジェクト注入の弱点が見つかりました。深刻度は CVSS 9.8 で、チェックアウト(購入手続き)の処理が入口になります。LearnPress を使っているサイトは、版を確認し、ベンダーの告知で修正版の有無を確かめたうえで、早めに更新するか暫定対策を取ってください。
FAQシステム phpMyFAQ 4.0.0 から 4.1.8 までに、認証なしで他人のアカウントに自分のパスキーを登録され、パスワードや TOTP を使わずに乗っ取られる脆弱性が見つかりました。インターネットから phpMyFAQ にアクセスできる組織は影響を受けるおそれがあります。修正版 4.1.9 への更新を進めてください。
WordPress 用プラグイン OttoKit(suretriggers)の 1.1.40 までの版に、本来より高い権限が与えられてしまう脆弱性が見つかりました。認証なしでネットワーク越しに悪用でき得る深刻度の評価(CVSS 9.8)で、実際の攻撃で悪用されたという公表は今のところありません。このプラグインを使っているサイトは、版を確認して修正版へ更新してください。
WordPress のプラグイン Conversational Forms for ChatBot の 1.5.1 までの版に、信頼できないデータの復元処理(デシリアライズ)に起因するオブジェクト注入の脆弱性が見つかりました。ログインなしでインターネット越しに悪用できる想定で、CVSS は 9.8 です。該当プラグインを使っているサイトは、導入の有無と版を確認し、修正版の有無をベンダーや Patchstack の情報で確かめてください。
イベント基盤の Vanus 0.8.0 から 0.9.0 に、ソースコードに固定で埋め込まれた管理者用トークンを使うと、認証なしで管理者権限を得られる弱点が見つかりました。ゲートウェイの gRPC プロキシのポートに到達できる環境が影響を受け、名前空間やユーザーの管理、イベントの読み取りと送信までできてしまいます。修正版の情報は公表されていないため、まず自社の利用有無とネットワーク上の公開範囲を確認し、到達できる範囲を絞ってください。
GeoWebServer.exe というプロセスで動く Web サーバー機能に、OS コマンドインジェクション(CWE-78)に分類される深刻な脆弱性(CVSS 9.8)が公表されました。認証なしでネットワーク越しに悪用できる条件が示されています。GeoVision 製品を使っている組織は、対象かどうかの確認と外部公開の見直しから始め、ベンダーの告知を確認してください。
Q&Aサイト構築用のOSS Apache Answer 2.0.2までに、リアクション機能のAPIが閲覧制限を確認しない弱点が見つかりました。認証なしで外部から呼び出せ、制限付き投稿のリアクション情報の読み取りや、自分のリアクションの追加・削除ができます。2.0.3で修正されているため、該当版を使う組織は更新してください。
監視ツール CheckCle の 1.6.0 までの版では、ログインなしで外部から監視データや通知の秘密情報を読み書き・削除できる弱点が見つかりました。CVSS は 9.8 です。インターネットや広い社内ネットワークから CheckCle に届く環境では、アクセス制限を先に行い、秘密情報の入れ替えと設定の改ざん確認を進めてください。修正版の版番号は、現時点では公表されていません。
CMS の FlyCms に、初期設定のスーパー管理者アカウントが誰にでも知られた状態で残る問題が見つかりました。認証なしでネットワーク越しに全権限を取られるおそれがあります。FlyCms を使っている組織は、初期アカウントのパスワード変更と管理画面へのアクセス制限を今すぐ確認してください。
ワークフローエンジンCamunda 7に、タスク検索の仕組みを悪用されると、エンジンが動くサーバー上でOSコマンドを実行されるおそれのある弱点が見つかりました。7.24.0から7.24.13と7.23.0から7.23.16が対象で、7.24.14と7.23.17で修正されています。該当する版を使っている場合は、版の確認と更新を進め、あわせてREST APIの公開範囲を見直してください。
Python製のノートブック公開ツール Mercury に、ログインなしで外部からサーバー上の任意のコードを実行されるおそれのある脆弱性が見つかりました。初期設定のままネットワークに公開している環境が対象で、3.2.6 で修正されています。該当する場合は 3.2.6 以降へ更新し、更新までは外部からのアクセスを制限してください。
図書館管理システムSLiMS Bulian 9.8.0のレポート機能に、データベースを不正に操作されるおそれのある弱点(SQLインジェクション)が見つかりました。CVSSは9.8と最も高い水準で、認証なしでネットワーク越しに悪用できる評価です。SLiMSを使っている組織は、版の確認とアクセス制限を先に進め、ベンダーの告知を確認してください。
WordPress 用プラグイン Rank Math SEO PRO の 3.0.123 のうち、ベンダーが示した時間帯に入手された一部のパッケージにマルウェアが混入していました。該当する版を有効化したサイトは、乗っ取られたものとして扱う必要があります。ベンダーは混入ファイルを撤去し、修正版 3.0.124 を公開しています。入手時期の確認、侵害の痕跡の調査、認証情報の入れ替えを進めてください。
AIエージェント基盤のCognitionに、認証なしで外部からサーバー上の任意のコマンドを実行できる弱点が見つかりました。0.13.0より前の版を使っている組織が対象で、0.13.0への更新と、APIが外部から届かない状態かの確認が必要です。実際の攻撃での悪用が確認されたとの情報は、現時点で明らかになっていません。
Craft CMS 5.0.0以上5.11.0未満のGraphQLで、特定サイト向けに発行したトークンが他サイトのコンテンツの作成や削除にも使えてしまう弱点が公表されました。複数サイトを1つのCraft CMSで運用し、GraphQLの更新(mutation)を使っている組織が主な対象です。5.11.0以降へ更新し、あわせてトークンの権限範囲と更新履歴を点検してください。
当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく