大きな脆弱性を、関係があるか・何をすればいいかから読める形にまとめています。
piflow 2.0.0 から 2.0.1 のチャット機能(DeepAgents)に、認証なしで外部から任意のコマンドを実行されてしまう弱点が見つかりました。チャット用の入口が公開されている環境では、LLM の API キーやデータベースの認証情報が盗まれるおそれがあります。修正版の有無は現時点で明らかになっていないため、まず利用有無と公開範囲を確認し、入口へのアクセスを制限してください。
DB-GPT 0.8.2 までの既定の docker-compose.yml は、MySQL の root パスワードを固定値にしたまま、3306 番ポートをすべてのネットワークインターフェースに公開します。到達できる相手は認証なしの手間だけで root として入れるため、既定の構成で動かしている組織は影響を受けます。まず 3306 番が外部から届かない状態かを確かめ、パスワードの変更と接続元の制限を行ってください。
AIでデータベースを操作するOSS「DB-GPT」の0.8.2までに、認証なしで外部からサーバー内のコードを実行される欠陥が見つかりました。深刻度はCVSS 9.8(緊急)です。ネットワークから到達できるDB-GPTがある組織は、利用箇所の洗い出しとアクセス制限を先に行い、ベンダーの告知で修正版を確認してください。
Langchain-Chatchat 0.3.1.3 以前では、認証なしで呼び出せる POST /tools/call から、サーバー上で任意のOSコマンドを実行されるおそれがあります。ネットワークから到達できるサーバーが対象で、同梱のDockerイメージではroot権限で実行されます。まず自社内の稼働状況を洗い出し、外部や広い社内ネットワークから届かないよう制限してください。修正版の有無は現時点で確認できていないため、開発元の告知を確認してください。
AI エージェント基盤 Letta の 0.16.8 までに同梱された compose.yaml が認証を有効にしないため、API に誰でもアクセスでき、Python コードの実行などを許す恐れがあります。同じ compose.yaml で Docker Compose を使って構築し、ネットワークから到達できる環境が対象です。まず自社の Letta がどう公開されているかを確認し、認証の有効化とデータベースのポートの遮断を進めてください。
Adobe Commerce と Magento Open Source に、認証なしで外部から任意のコードを実行されるおそれのある欠陥が見つかり、実際の攻撃で悪用されたことが確認されています。ネットワークから到達できる EC サイトを運用している組織は影響を受ける可能性があります。Adobe のセキュリティ情報 APSB26-146 に従って、修正の適用と侵害の有無の確認を急いでください。
GitLab CE/EE に、ログインしていない第三者がサーバー上のファイルを読み取れる弱点(CVE-2026-85706、CVSS 10.0)が見つかり、実際の攻撃で悪用されたことが確認されています。自社で GitLab を運用している組織が対象で、18.7 以降の各系統が影響を受けます。18.11.12、19.0.9、19.1.8、19.2.6、19.3.2 のいずれか、自社の系統に合う修正版へ直ちに更新してください。
Cisco Identity Services Engine(ISE)のAPIに、認証なしで管理画面の保護を回避される弱点が見つかり、実際の攻撃での悪用が確認されています。ISEとISE-PICを使う組織が対象で、深刻度はCVSS 10.0です。Ciscoのセキュリティアドバイザリで対象の版と修正版を確認し、対応を急いでください。
Arista製のSD-WAN管理基盤VeloCloud Orchestrator(VCO)のオンプレミス版に、認証なしでネットワーク越しに内部機能へ到達できる脆弱性があり、実際の攻撃での悪用が確認されています。自社でVCOを運用している組織が対象です。ベンダーの告知を確認して対処を進め、管理画面がインターネットから見える状態になっていないかを今すぐ点検してください。
バックアップ管理製品 Ahsay AhsayCBS の Replication Receiver に、認証なしで外部からOSのコマンドを実行されるおそれのある欠陥が見つかりました。実際の攻撃で悪用されたことが確認されており、10.3.2 以前を使う組織は影響を受けます。10.3.4 への更新を最優先で進め、更新前にインターネットからの到達性を確認してください。
WordPress の予約プラグイン LatePoint の 5.7.4 以前に、顧客アカウントへの不正ログインを許す弱点(CVE-2026-110653)が見つかりました。ログインなしで外部から試せるため、予約機能を公開している事業者は影響を受けます。管理画面でプラグインの版を確認し、5.7.5 以降への更新を進めてください。
WordPress用の予約プラグイン Booktics の 1.0.29 以前に、ログイン不要で外部から悪用できる SQL インジェクションの脆弱性が見つかりました。CVSS は 9.3 で、公開サイトで使っている組織は影響を受けます。まず導入の有無と版を確認し、修正版が出ていればすぐ更新し、無ければ一時的な無効化を検討してください。
施設・資産管理ソフト Eptura Archibus に、不正なファイルをアップロードされてサーバー上でコマンドを実行されるおそれのある重大な脆弱性が見つかり、修正版が出ています。認証回避の脆弱性と組み合わせると、ログインなしでも悪用できると説明されています。Archibus を運用している組織は、ベンダーの告知で修正版を確認し、適用を急いでください。
データパイプライン基盤の Mage OSS 0.9.80 以前に、未知の OAuth プロバイダーを受け取ってもセッション作成を止めない不具合が見つかりました。CVSS は 9.8 で、認証なしにネットワーク経由で悪用される想定です。Mage OSS を使っている組織は、版とネットワーク公開の状況を確認し、修正を取り込んだ版へ更新するか、アクセス元の制限を先に行ってください。
WordPress の学習管理プラグイン LearnPress の 4.4.10 以前に、ログインなしで外部から突ける PHP オブジェクト注入の弱点が見つかりました。深刻度は CVSS 9.8 で、チェックアウト(購入手続き)の処理が入口になります。LearnPress を使っているサイトは、版を確認し、ベンダーの告知で修正版の有無を確かめたうえで、早めに更新するか暫定対策を取ってください。
FAQシステム phpMyFAQ 4.0.0 から 4.1.8 までに、認証なしで他人のアカウントに自分のパスキーを登録され、パスワードや TOTP を使わずに乗っ取られる脆弱性が見つかりました。インターネットから phpMyFAQ にアクセスできる組織は影響を受けるおそれがあります。修正版 4.1.9 への更新を進めてください。
WordPress 用プラグイン OttoKit(suretriggers)の 1.1.40 までの版に、本来より高い権限が与えられてしまう脆弱性が見つかりました。認証なしでネットワーク越しに悪用でき得る深刻度の評価(CVSS 9.8)で、実際の攻撃で悪用されたという公表は今のところありません。このプラグインを使っているサイトは、版を確認して修正版へ更新してください。
WordPress のプラグイン Conversational Forms for ChatBot の 1.5.1 までの版に、信頼できないデータの復元処理(デシリアライズ)に起因するオブジェクト注入の脆弱性が見つかりました。ログインなしでインターネット越しに悪用できる想定で、CVSS は 9.8 です。該当プラグインを使っているサイトは、導入の有無と版を確認し、修正版の有無をベンダーや Patchstack の情報で確かめてください。
イベント基盤の Vanus 0.8.0 から 0.9.0 に、ソースコードに固定で埋め込まれた管理者用トークンを使うと、認証なしで管理者権限を得られる弱点が見つかりました。ゲートウェイの gRPC プロキシのポートに到達できる環境が影響を受け、名前空間やユーザーの管理、イベントの読み取りと送信までできてしまいます。修正版の情報は公表されていないため、まず自社の利用有無とネットワーク上の公開範囲を確認し、到達できる範囲を絞ってください。
GeoWebServer.exe というプロセスで動く Web サーバー機能に、OS コマンドインジェクション(CWE-78)に分類される深刻な脆弱性(CVSS 9.8)が公表されました。認証なしでネットワーク越しに悪用できる条件が示されています。GeoVision 製品を使っている組織は、対象かどうかの確認と外部公開の見直しから始め、ベンダーの告知を確認してください。
Q&Aサイト構築用のOSS Apache Answer 2.0.2までに、リアクション機能のAPIが閲覧制限を確認しない弱点が見つかりました。認証なしで外部から呼び出せ、制限付き投稿のリアクション情報の読み取りや、自分のリアクションの追加・削除ができます。2.0.3で修正されているため、該当版を使う組織は更新してください。
監視ツール CheckCle の 1.6.0 までの版では、ログインなしで外部から監視データや通知の秘密情報を読み書き・削除できる弱点が見つかりました。CVSS は 9.8 です。インターネットや広い社内ネットワークから CheckCle に届く環境では、アクセス制限を先に行い、秘密情報の入れ替えと設定の改ざん確認を進めてください。修正版の版番号は、現時点では公表されていません。
CMS の FlyCms に、初期設定のスーパー管理者アカウントが誰にでも知られた状態で残る問題が見つかりました。認証なしでネットワーク越しに全権限を取られるおそれがあります。FlyCms を使っている組織は、初期アカウントのパスワード変更と管理画面へのアクセス制限を今すぐ確認してください。
当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく