大きな脆弱性を、関係があるか・何をすればいいかから読める形にまとめています。
ワークフローエンジンCamunda 7に、タスク検索の仕組みを悪用されると、エンジンが動くサーバー上でOSコマンドを実行されるおそれのある弱点が見つかりました。7.24.0から7.24.13と7.23.0から7.23.16が対象で、7.24.14と7.23.17で修正されています。該当する版を使っている場合は、版の確認と更新を進め、あわせてREST APIの公開範囲を見直してください。
Python製のノートブック公開ツール Mercury に、ログインなしで外部からサーバー上の任意のコードを実行されるおそれのある脆弱性が見つかりました。初期設定のままネットワークに公開している環境が対象で、3.2.6 で修正されています。該当する場合は 3.2.6 以降へ更新し、更新までは外部からのアクセスを制限してください。
図書館管理システムSLiMS Bulian 9.8.0のレポート機能に、データベースを不正に操作されるおそれのある弱点(SQLインジェクション)が見つかりました。CVSSは9.8と最も高い水準で、認証なしでネットワーク越しに悪用できる評価です。SLiMSを使っている組織は、版の確認とアクセス制限を先に進め、ベンダーの告知を確認してください。
WordPress 用プラグイン Rank Math SEO PRO の 3.0.123 のうち、ベンダーが示した時間帯に入手された一部のパッケージにマルウェアが混入していました。該当する版を有効化したサイトは、乗っ取られたものとして扱う必要があります。ベンダーは混入ファイルを撤去し、修正版 3.0.124 を公開しています。入手時期の確認、侵害の痕跡の調査、認証情報の入れ替えを進めてください。
AIエージェント基盤のCognitionに、認証なしで外部からサーバー上の任意のコマンドを実行できる弱点が見つかりました。0.13.0より前の版を使っている組織が対象で、0.13.0への更新と、APIが外部から届かない状態かの確認が必要です。実際の攻撃での悪用が確認されたとの情報は、現時点で明らかになっていません。
Craft CMS 5.0.0以上5.11.0未満のGraphQLで、特定サイト向けに発行したトークンが他サイトのコンテンツの作成や削除にも使えてしまう弱点が公表されました。複数サイトを1つのCraft CMSで運用し、GraphQLの更新(mutation)を使っている組織が主な対象です。5.11.0以降へ更新し、あわせてトークンの権限範囲と更新履歴を点検してください。
Grav の API プラグイン(grav-plugin-api)に、認証なしで送る小さなリクエストでサーバーのディスクやキャッシュを使い切らせられる弱点と、ページ単位のアクセス規則を回避できる弱点が見つかりました。API プラグインを有効にした Grav サイトが対象で、修正版は 1.0.42 です。API を外部に公開している場合は、早めの更新か、公開範囲の制限を進めてください。
WordPress 用プラグイン HivePress の 1.7.32 以前に、サーバー上で攻撃者の用意したコードを実行されるおそれのある重大な脆弱性(CVSS 9.9)が見つかりました。HivePress を使ったディレクトリ・マーケットプレイス系のサイトを運営している組織が対象で、一般ユーザー相当のアカウントがあれば悪用できる条件です。まず導入の有無と版を確認し、更新の有無をベンダーの告知で確かめて、修正版が出ていれば早めに適用してください。
WordPress用プラグイン MapSVG(mapsvg-lite-interactive-vector-maps)の 8.16.1 までに、危険な種類のファイルをサーバーへ置かれてしまう欠陥が見つかりました。深刻度は CVSS 9.9 の「重大」で、ログインできるアカウントがあれば遠隔から Web シェルを設置され、サイトを乗っ取られるおそれがあります。該当するサイトは、使用の有無と版をすぐに確認し、修正版の公表を調べたうえで、公表されるまでは無効化も検討してください。
H3C Magic NX15 の 100R017 に、ネットワーク経由で機器上の任意の OS コマンドを実行されるおそれのある弱点(CVE-2026-112370)が見つかりました。攻撃手法はすでに公開されていますが、修正版の有無は公表されていません。この機器を使っている組織は、管理画面への到達範囲を絞り、ベンダーの告知を確認してください。
H3C Magic NX15 の NX15V100R017 に、管理用の RPC インターフェースを通じて外部から任意のコードを実行されるおそれのある弱点が見つかりました。悪用方法はすでに公開されていますが、修正版の有無は公表されていません。該当機器を使っている場合は、管理画面を外部に公開していないかを確認し、ベンダーの告知を確認してください。
ノートブックをWebアプリとして公開するOSS「Mercury」に、ログインなしでサーバー上のシェル(OSへの命令入力画面)を起動できる欠陥が見つかりました。Mercury 3.0.0 以上 3.2.4 未満を動かしている組織が対象で、インターネットや社内の広い範囲に公開している場合は特に危険です。修正版 3.2.4 へ更新し、更新までは /api/terminals への通信を前段で遮断してください。
当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく