HN 日本語サマリー

← 一覧へ戻る
セキュリティ

現在侵害されているもの

What's Getting Pwned (pwn.watch)

353 pointsby mrkd162 コメント

要約

pwn.watch は、進行中のセキュリティインシデントをリアルタイムで追跡・報告するサイトです。最新の脆弱性情報（CVE）、影響を受けるシステム、修正バージョン、関連アドバイザリなどが一覧表示されます。最近のインシデントとして、大手米銀行での第三者AIエージェントによる顧客アカウントへの不正アクセス、GitLab のリモートコード実行脆弱性、Linux カーネルの未修正脆弱性などが報告されています。

全文翻訳

// live feed

What's getting pwned right now

進行中のセキュリティインシデント、新しい順: CVE、影響を受けるもの、修正バージョン、およびそれぞれの背後にあるアドバイザリや投稿。

live

35

critical

15

not fully patched

18

## 191 incidents in the last year

through Oct 22, 2026

NovDecJanFebMarAprMayJunJulAugSepOct

MonWedFri

crit 4 · high 3 · med 2 · low 1 · upd ½severity-weighted: critical 4 · high 3 · medium 2 · low 1 · update ½lessmore

新しい主要なセキュリティインシデントが発生したらメールで通知を受け取ります。スパムなし、いつでも解除可能。

  • mediumlive◐partial fixsince Oct 22, 2026updated Oct 22, 2026, 16:53 UTC

    Major U.S. banks detect unauthorized third-party AI agents inside customer accounts

    › Online banking accounts at major U.S. banks (Morgan Stanley, Bank of America, JPMorgan Chase, Wells Fargo, Citi)

    Axios の報道によると、Morgan Stanley、Bank of America、JPMorgan Chase、Wells Fargo といった米国の主要銀行が、顧客アカウント内で動作する第三者の AI エージェントを検出しています。ほとんどの場合、エージェントは顧客自身の認証情報と許可を使用してログインしており、これは銀行が個人によるログインを要求する規則に違反します。一部の銀行では、エージェントがコールセンターに連絡したり、ユーザーの指示とは無関係に見える操作を行ったりするケースも確認されており、経営陣は人間とエージェント、あるいは正規のエージェントと不正なエージェントを区別できないことが多いと述べています。アカウント乗っ取り、詐欺による損失、特定の AI エージェント製品に関する報告はありません。Morgan Stanley は第三者エージェントをブロックしており、JPMorgan、Bank of America、Citi はそれらを制限しています。AI エージェントに銀行のユーザー名とパスワードを与えないでください。

  • criticallive✓patchedsince Oct 21, 2026updated Oct 22, 2026, 16:00 UTC

    GitLab CVSS 10 unauthenticated RCE via regex compiler (CVE-2026-110264)

    › GitLab CE/EE (self-managed)

    GitLab は、CVE-2026-110264 に対するクリティカルなパッチを 2026 年 10 月 21 日にリリースしました。これは、バンドルされている Onigmo / regex コンパイラ内の整数オーバーフローにより、認証されていない攻撃者が自己管理型 GitLab 上でコードを実行できる可能性のある脆弱性です。CVSS スコアは 10.0 で、7.0（2014 年）以降のすべての CE/EE バージョンが影響を受けます。10 月 12 日の regex 修正のみを適用したインスタンスは、引き続き脆弱であるため、再度アップグレードする必要があります。

    CVE-2026-110264

  • criticallive✕unpatchedsince Oct 21, 2026updated Oct 22, 2026, 16:56 UTC

    Linux kernel: unpatched ZDI bug reports with repro details leaked to public LKML (ksmbd RCE, CVSS 9.0)

    › Linux kernel: ksmbd (in-kernel SMB server) and SMB Direct, skbuff/NFQUEUE networking, vmwgfx, nvmet

    10 月 21 日、Trend Micro の Zero Day Initiative は、修正されていない複数の Linux カーネル脆弱性レポートを security@kernel.org に送信しましたが、誤って公開の linux-kernel およびサブシステムリストにも Cc してしまったため、修正プログラムが出荷される前に、コードパスや KASAN トレースなどの詳細な技術情報が公開されました。最も深刻なのは、ZDI が CVSS 9.0 と評価した 2 つの ksmbd（カーネル内 SMB サーバー）リモートコード実行バグです。1 つは SMB Direct の整数アンダーフロー（RDMA デバイスと書き込み可能な共有が必要）、もう 1 つはプロトコルディスパッチレース（ゲスト共有が必要）です。また、skb_zerocopy ローカル権限昇格（CVSS 7.8）、vmwgfx アウトオブバウンズ書き込み LPE、nvmet 情報漏洩も漏洩しました。まだ CVE はなく、メインラインまたは安定版のリリースも修正されていません。ksmbd レースの修正は ksmbd メンテナーツリーにあり、SMB Direct の修正は Linux 7.5 向けのブランチにあります。悪用された報告はありません。ksmbd を実行しているマシンのみが RCE の影響を受けます。

  • criticallive✓patchedsince Oct 21, 2026updated Oct 22, 2026, 16:00 UTC

    LiteLLM 1.107.0 PyPI/Docker supply-chain compromise

    › LiteLLM (PyPI + official Docker/GHCR images)

    2026 年 10 月 21 日、攻撃者は LiteLLM のリリースパイプラインを侵害し、悪意のある litellm==1.107.0 を PyPI（ライブで約 2 時間）および侵害された Docker Hub/GHCR タグ（v1.107.0、latest、main-latest、main-stable）に公開しました。wheel インストールは cook.pth / cook.py / sitecustomize.py をインストールし、Python 起動ごとにクラウド、開発者、AI ツールの認証情報を盗み、リモートコードローダーを開きます。これは 2026 年の LiteLLM における 2 回目の侵害です。

    MAL-2026-2144

  • highlive◐partial fixsince Oct 21, 2026updated Oct 22, 2026, 15:59 UTC

    ISC BIND 9: replayed GSS-TSIG messages corrupt memory, possible RCE (CVE-2026-94300)

    › ISC BIND 9 (named) DNS server

    ISC は 10 月 21 日、BIND 9 の named におけるリモートから悪用可能なメモリ破損バグを開示しました。攻撃者は、GSS-TSIG で署名された UDP メッセージ（Active Directory スタイルの動的 DNS 更新に使用される Kerberos 署名）をキャプチャし、キーがまだ有効な間にそれをリプレイすることで、制御下のゾーンに対する細工されたクエリと組み合わせてリモートコード実行、または少なくとも named のクラッシュを引き起こす可能性があります。CVSS スコアは 8.1（High）です。回避策はありません。BIND 9.11.0 から 9.18.50、9.20.0 から 9.20.29、9.21.0 から 9.21.26 が影響を受けます。9.20.30 および 9.21.27 で修正されました。ISC は 9.18 の修正リストを提示していません。ISC は、アクティブな悪用は認識していません。Debian trixie には修正済みパッケージがありますが、Debian bookworm と Ubuntu はまだ待機中です。

    CVE-2026-94300

  • highlive✓patchedsince Oct 21, 2026updated Oct 22, 2026, 11:18 UTC

    Node.js October 2026 security releases (Brotli RCE + TLS/DNS highs)

    › Node.js

    2026 年 10 月 21 日、Node.js は 22.x、24.x、26.x 向けのセキュリティアップデートをリリースし、10 件の脆弱性を修正しました。主要な問題は CVE-2026-111497 で、これは高深刻度の Brotli デコーダーのアウトオブバウンズ書き込みであり、攻撃者が制御する Brotli データをデコードする際にリモートコード実行を可能にする可能性があります。同じリリースでは、TLS ホスト名/IP バイパスと DNS NUL トランケーションも修正され、eMudhra インシデントのためにバンドルされている CA ストアが更新されています。

    CVE-2026-111497CVE-2026-105482CVE-2026-105483CVE-2026-106069+6 more

  • highlive◐partial fixsince Oct 21, 2026updated Oct 22, 2026, 16:32 UTC

    Railway discloses unauthorized access to customer environment variables

    › Railway (hosted platform)

    2026 年 10 月 21 日、Railway は顧客の環境変数を保存するシステムでの異常なアクティビティを報告しました。不正な第三者が暗号化された環境変数にアクセスした可能性があり、一部では復号された内容（API キー、DB/レジストリ認証情報）を入手した可能性があります。Railway は、これが AI 推論プロバイダーを侵害することを目的としたプラットフォーム企業への一連の攻撃の一部であると考えており、アップストリームプロバイダーにキーの失効を求めています。プラットフォーム全体のビルドは 1 日程度一時停止されました。10 月 22 日には Enterprise および Pro でビルドが復旧しましたが、Hobby/Free/Trial はまだ保留中です。スコープの調査が続く間、すべてのユーザーはシークレットのローテーションを行うように指示されています。

  • criticallive✓patchedsince Oct 20, 2026updated Oct 22, 2026, 15:19 UTC

    Signal calls can stay live after hang-up (RingRTC CVE-2026-113380)

    › Signal (RingRTC calling library, @signalapp/ringrtc)

    Signal の音声およびビデオ通話の基盤となっているオープンソースライブラリ RingRTC のバグにより、通話相手が通話の状態機械イベントキューをフラッディングさせることができ、ローカルでの切断がバックログの後ろにスタックし、被害者が通話を終了したと思っても音声（場合によってはビデオ）が相手に流れ続ける可能性があります。RingRTC 2.72.0 より前のバージョンを埋め込んでいるすべての Signal クライアント（Android、iOS、Desktop）が影響を受けます。RingRTC 2.72.0（2026 年 9 月 4 日リリース、10 月 20 日開示）で修正されました。概念実証（PoC）は公開されていますが、既知の悪用はありません。

    CVE-2026-113380

  • ▶Oct 20high EG Secure Solutions SiteGuard Server Edition: EG Secure Solutions SiteGuard Server Edition OS Command Injection Vulnerability✓patched

    › EG Secure Solutions SiteGuard Server Edition ✓patched

    EG Secure Solutions SiteGuard Server Edition には OS コマンドインジェクションの脆弱性が含まれており、これにより攻撃者は影響を受ける製品を実行しているシステム上で root または SYSTEM 権限で任意の OS コマンドを実行できる可能性があります。2026 年 10 月 20 日に CISA KEV に追加されました。

    open incident →CVE-2026-106931

  • ▶Oct 20high GMO Onamae Desktop Cloud malware on customer VPS◐partial fix

    › Onamae Desktop Cloud (GMO Internet) ◐partial fix

    GMO インターネットの日本の VPS サービス Onamae Desktop Cloud は、攻撃者が顧客環境に悪意のあるプログラムをインストールしたと発表し、最大約 26,739 台のサーバーが再起動日未定（2026 年 10 月中旬報告）でシャットダウンされました。

    open incident →

  • ▶Oct 20high Siemens Software Center: Siemens Software Center Uncontrolled Search Path Element Vulnerability✓patched

    › Siemens Software Center ✓patched

    Siemens Software Center には、認証されたローカル攻撃者が、アプリケーションが検索するディレクトリに特別に細工された DLL を配置することで、影響を受けるアプリケーションの権限で任意のコード実行を可能にする可能性のある、制御されていない検索パス要素の脆弱性が含まれています。2026 年 10 月 20 日に CISA KEV に追加されました。

    open incident →CVE-2026-110936

  • unknownlive◐partial fixsince Oct 20, 2026updated Oct 22, 2026, 11:19 UTC

    HTTP/3 QPACK “Header Accordions” memory-amplification DoS

    › HTTP/3 / QPACK stacks (quic-go, Cloudflare quiche, lsquic, Bun, aioquic, h3, Wireshark, …)

    FoxIO は 2026 年 10 月 20 日、QPACK におけるヘッダー制限の欠落または遅延デコードが、小さな HTTP/3 HEADERS フレームを巨大なサーバーメモリ使用量（Bun では最大約 4000 倍）に拡張させる可能性があることを示す研究を発表しました。テストされた 10 の実装のうち 7 つが脆弱でしたが、quic-go、Cloudflare quiche、lsquic、Wireshark は修正済みである一方、Bun、aioquic/mitmproxy、h3 は公開時点では未修正でした。

    CVE-2025-64702CVE-2026-12523CVE-2025-13945

  • criticallive✓patchedsince Oct 19, 2026updated Oct 22, 2026, 16:00 UTC

    OpenCode: malicious MCP server can run code on Windows/WSL during sign-in (no CVE)

    › OpenCode AI coding agent (Anomaly) on Windows and WSL

    OpenCode AI コーディングエージェントのコマンドインジェクションの欠陥により、悪意のある、または後に乗っ取られたリモート MCP サーバーが、MCP OAuth サインインを開始した開発者の Windows または WSL マシン上で PowerShell コマンドを実行できるようになりました。サーバーから提供された認証エンドポイントが、古いバージョンの open パッケージにエスケープされずに渡されました。Anomaly は 9 月 28 日に 1.18.33 でこれを修正しましたが、CVE やアドバイザリはないため、スキャナーは 1.0.137 から 1.18.32 をフラグ付けしません。macOS および Linux は影響を受けません。Pillar Security が発見し、評価は 9.8 です。実際の悪用報告はありません。

  • criticallive◐partial fixsince Oct 18, 2026updated Oct 22, 2026, 16:56 UTC

    eMudhra intermediate CA private keys compromised

    › eMudhra / emSign Global TLS intermediates; any client shipping Mozilla-style CA stores

    8 つの eMudhra Global TLS 中間 CA の秘密鍵が、暗号学的に弱い、または復元可能であることが判明しました（2026 年 10 月 18 日の研究者レポート）。Mozilla、Chrome、Apple、Microsoft はこれらの仲介証明書をブロックしました。eMudhra は 10 月 19 日にそれらを失効させ、ECC ルートは予防措置として信頼されなくなりました。独自のトラストストアを出荷するダウンストリームランタイム（Go、Node.js、Electron、Python certifi、curl など）は、侵害されたチェーンを信頼しなくなるように、緊急の CA バンドル更新が必要でした。

    CVE-2026-111943CVE-2026-91403

  • criticallive◐partial fixsince Oct 17, 2026updated Oct 22, 2026, 16:56 UTC

    ConnectWise Cloud Backup shut down after M365 app-identity hijack

    › ConnectWise Cloud Backup / Microsoft 365 app identity

    ConnectWise は、侵害された認証情報により攻撃者がアプリケーションとして認証され、少なくとも 173 の顧客 Microsoft 365 テナントにサインインできた後、Cloud Backup を無効にしました。

  • criticallive◐partial fixsince Oct 17, 2026updated Oct 22, 2026, 16:56 UTC

    PHP2Shell: critical unauthenticated RCE in PHP core

    › PHP

    PHP コアにおける 2 つのクリティカルなリモートコード実行脆弱性（CVE-2026-109618 および CVE-2026-109619、通称「PHP2Shell」）が、エンバーゴ漏洩により早期に開示されました。両方とも CVSS 9.2 をスコアし、認証されていない攻撃者が PHP ウェブ要求を処理するサーバー、特に Apache mod_php 上でコードを実行できるようにします。パッチは 2026 年 10 月 21 日に出荷されました（QNAP のようなアプライアンスベンダーはまだ修正準備中です）。パッチの前後で悪用試行が確認されており、watchTowr / AWS はアクティブなスキャンを報告しています。

    CVE-2026-109618CVE-2026-109619

  • highlive◐partial fixsince Oct 17, 2026updated Oct 22, 2026, 16:32 UTC

    OpenCode Console breach exposes users' saved OpenAI / Anthropic / Google API keys

    › OpenCode Console (hosted service by Anomaly)

    2026 年 10 月 16 日の夜、退役中のレガシー OpenCode Console システムに侵入者がアクセスし、Console ワークスペースに保存されていたサードパーティの AI プロバイダーキーが公開された可能性があります。OpenCode によると、Console ユーザーの 1.4%（外部プロバイダーをリンクしていたユーザー）が影響を受け、大規模な蒸留攻撃と関連付けられています。ユーザーは最大約 1,700 ドルの不正請求と、一部の Google Cloud プロジェクトの停止を報告しています。Anthropic と Google は公開されたキーを失効/ブロックしました。OpenAI は引き落とされたクレジットを返金しました。OpenCode アプリケーション自体（ローカルキー）は影響を受けませんでした。

  • criticallive✓patchedsince Oct 16, 2026updated Oct 22, 2026, 11:20 UTC

    Plex2Shell: chained Plex Media Server RCE exploited for miners

    › Plex Media Server

    4 つの Plex Media Server の脆弱性（CVE-2026-96652/96654/96655/96656）、通称 Plex2Shell は、認証されていない管理者トークン盗難とコード実行に連鎖します。研究者の Zach Main は 10 月 16 日に詳細と PoC を公開しました。インターネットに公開されているサーバー（クリプトマイナー + 住宅用プロキシ）での悪用は 10 月 17 日までに開始されました。1.43.3.10861 で修正されました（8 月にリリース済み）。CISA は連鎖を KEV に追加し、連邦政府の期限を 10 月 23 日としました。

    CVE-2026-96652CVE-2026-96654CVE-2026-96655CVE-2026-96656

  • ▶Oct 16high Fortinet Multiple Products: Fortinet Multiple Products Path Traversal Vulnerability✓patched

    › Fortinet Multiple Products ✓patched

    FortiOS、FortiPAM、FortiProxy、FortiSwitchManager にはパストラバーサル脆弱性が含まれており、管理者プロファイルと少なくとも読み取り/書き込み権限を持つ認証された攻撃者が、特定の CLI コマンドを通じて任意のファイルを書き込んだり削除したりできる可能性があります。2026 年 10 月 16 日に CISA KEV に追加されました。

    open incident →CVE-2025-61624

  • ▶Oct 15high Atlassian Multiple Products: Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability✓patched

    › Atlassian Multiple Products ✓patched

    複数の Atlassian 製品（Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Fisheye）には、認証されていない攻撃者が影響を受けるバージョン内の Web アプリケーションのルートディレクトリ内の特定のファイルにアクセスできる可能性のある、外部からアクセス可能なファイルまたはディレクトリの脆弱性が含まれています。2026 年 10 月 15 日に CISA KEV に追加されました。

    open incident →CVE-2026-21589

  • criticallive◐partial fixsince Oct 14, 2026updated Oct 22, 2026, 16:56 UTC

    Zeabur breach exposes 3.2M env-var records; company to shut down

    › Zeabur (PaaS)

    Zeabur は 2026 年 10 月 14 日から 15 日にかけて発生したセキュリティインシデントを開示しました。攻撃者は、プレーンテキストで保存されていた漏洩した内部認証情報を使用して 9 地域で共有クラスターにアクセスし、101 の Zeabur 管理 GCP 専用サーバーにルートアクセスし、プラットフォームデータベースを読み取り、321,810 アカウントにわたる約 322 万件の環境変数レコードを公開しました。Zeabur は事業を縮小しています。2026 年 12 月 1 日から共有クラスターサービスは一時停止し、専用サーバーは更新を停止し、12 月 31 日にはすべてのサービスが停止し、サービスデータは削除されます。払い戻しおよびインシデント請求のリクエストは 11 月 30 日に締め切られます。ユーザーは Zeabur に保存されているすべてのシークレットをローテーションし、移行する必要があります。

  • ▶Oct 14high Ahsay AhsayCBS: Ahsay AhsayCBS Command Injection Vulnerability✓patched

    › Ahsay AhsayCBS ✓patched

    Ahsay AhsayCBS にはコマンドインジェクション脆弱性が含まれており、これによりリモート攻撃者が Replication Receiver コンポーネントの /rps/api/json/UpdateReceivers.do エンドポイントの random パラメータを操作することで、OS コマンドを実行できる可能性があります。この脆弱性は CVE-2026-105133 と連鎖させることができます。CISA は、アクティブな悪用の証拠に基づいて、2026 年 10 月 14 日に CVE-2026-105134 および CVE-2026-105133 を既知の悪用済み脆弱性カタログに追加しました。

    open incident →CVE-2026-105134 · CVE-2026-105133

  • ▶Oct 14high Cisco Secure Email Gateway: Cisco Secure Email Gateway Relative Path Traversal Vulnerability✓patched

    › Cisco Secure Email Gateway ✓patched

    Cisco Secure Email Gateway には相対パストラバーサル脆弱性が含まれており、認証されていないリモート攻撃者が基盤となる OS 上に任意のファイルを書き込むことができます。2026 年 10 月 14 日に CISA KEV に追加されました。

    open incident →CVE-2026-76519

  • ▶Oct 14high Palo Alto Networks PAN-OS: Palo Alto Networks PAN-OS Code Injection Vulnerability✓patched

    › Palo Alto Networks PAN-OS ✓patched

    Palo Alto Networks PAN-OS にはコードインジェクション脆弱性が含まれており、ネットワークアクセス権を持つ認証された攻撃者がファイアウォール上で root 権限で任意のコードを実行できる可能性があります。2026 年 10 月 14 日に CISA KEV に追加されました。

    open incident →CVE-2026-0322

  • mediumlive◐partial fixsince Oct 14, 2026updated Oct 22, 2026, 14:58 UTC

    GoDaddy mass-revokes 404,607 TLS certificates over CP/CPS profile mismatch

    › GoDaddy / Starfield TLS certificates (DV, OV, EV)

    GoDaddy（Starfield）は、404,607 件の TLS 証明書に、独自の CP/CPS と一致しないポリシー情報（ポリシー OID、CPS URI）が含まれていることを発見しました。CA/Browser Forum Baseline Requirements によると、これは 5 日以内に失効させる必要があることを意味します。GoDaddy は 10 月 18 日の期限を過ぎ、証明書は 2026 年 10 月 21 日に失効したと述べています。ハッキングや秘密鍵の漏洩はありませんでしたが、失効した証明書を提供し続けるサイトは、ブラウザの警告を表示したり、再発行された証明書がインストールされるまでアクセス不能になったりする可能性があります。

  • criticallive✓patchedsince Oct 8, 2026updated Oct 22, 2026, 11:18 UTC

    PwnEscape: Linux networking guest-to-host escape (CVE-2026-99999)

    › Linux kernel networking (host side of KVM/Firecracker and similar)

    Paulos Yibelo / pwn.ai は、Vercel の 100 万ドルサンドボックスチャレンジ中に、クリティカルな Linux ネットワーク脆弱性（CVE-2026-99999、CVSS 9.3）を発見しました。ゲストが制御するチェックサムメタデータは、検証後に IPv4 ヘッダーを書き換えることができ、ホストメモリの開示を可能にし、実験条件下では KVM/Firecracker 上でゲストからホストへのコード実行を可能にします。アップストリーム修正は 2026 年 10 月にマージされました。ホストカーネルにはパッチ適用と再起動が必要です。エンドユーザーデスクトップよりも、マルチテナント VPS / サンドボックスプロバイダーに影響します。

    CVE-2026-99999

  • highlive◐partial fixsince Oct 8, 2026updated Oct 22, 2026, 12:04 UTC

    GhostAction returns: hijacked GitHub accounts push secret-stealing 'security audit' workflows to 30k+ repos

    › GitHub repositories / GitHub Actions (compromised maintainer accounts)

    GhostAction は、GitGuardian によって 2025 年 9 月に初めて文書化されたキャンペーンで、2026 年に再出現しました。2026 年 8 月から 9 月にかけて 772 のリポジトリを攻撃した後、10 月 8 日から 12 日にかけて急増しました。約 1,900 の侵害された GitHub アカウントが、偽の「セキュリティ監査」ワークフローを 30,000 以上のリポジトリにプッシュしました（GitGuardian）。新しいペイロードは、リポジトリの Actions シークレットと、git の履歴全体で見つかったすべての認証情報を、プレーン HTTP 経由で 193.32.204.199 に exfiltrate します。GitHub は 10 月 9 日頃からワークフローの実行を防止し始めました。オペレーターは GitHub をテーマにしたフィッシング（my-github.com）と、94 のリポジトリで見つかった VS Code の tasks.json および偽の .woff2 フォントスティーラーに移行しました。

  • criticallive◐partial fixsince Oct 7, 2026updated Oct 22, 2026, 16:56 UTC

    tensorlake@0.5.144 npm Shai-Hulud worm with hostage GitHub token

    › tensorlake (npm)

    2026 年 10 月 8 日、tensorlake@0.5.144 が実際の GitHub リポジトリ（npm プロビナンス付き）から公開され、Shai-Hulud スタイルの認証情報窃盗ワームをインストールする preinstall フックが含まれていました。npm/GitHub/クラウド/SSH/AI ツールのシークレットを収集し、他のパッケージに拡散し、盗まれた GitHub トークンが失効した場合にホームディレクトリをワイプする「gh-token-monitor」をインストールします。0.5.143 にピン留めし、トークンをローテーションする前にモニターを削除してください。

    GHSA-8g63-53c9-65j2

  • ▶Oct 4high Citrix NetScaler: Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability✓patched

    › Citrix NetScaler ✓patched

    Citrix NetScaler ADC（旧 Citrix ADC）および Citrix NetScaler Gateway（旧 Citrix Gateway）には、メモリバッファの境界内での操作の不適切な制限に関する脆弱性が含まれており、サービス拒否を引き起こす可能性があります。2026 年 10 月 4 日に CISA KEV に追加されました。

    open incident →CVE-2026-88779

  • ▶Oct 2high Zammad GmbH Zammad: Zammad GmbH Zammad Improper Privilege Management Vulnerability✓patched

    › Zammad GmbH Zammad ✓patched

    Zammad GmbH Zammad には、ローカルの zammad ユーザーが root に権限昇格できる可能性のある、不適切な権限管理の脆弱性が含まれています。この脆弱性は CVE-2026-102489 と連鎖させることができます。CISA は、アクティブな悪用の証拠に基づいて、2026 年 10 月 2 日に CVE-2026-102490 および CVE-2026-102489 を既知の悪用済み脆弱性カタログに追加しました。

    open incident →CVE-2026-102490 · CVE-2026-102489

  • highlive◐partial fixsince Oct 1, 2026updated Oct 22, 2026, 11:20 UTC

    Ivanti Connect Secure zero-day chain (CVE-2026-104935) exploited for root

    › Ivanti Connect Secure (ICS)

    Volexity は、脅威アクター UTA0576 が Ivanti Connect Secure の認証バイパス / RCE ゼロデイ（CVE-2026-104935）を、2026 年 10 月 1 日から 3 日頃に追加の脆弱性と連鎖させて、完全にパッチ適用されたアプライアンス上で認証なしに root 権限を取得し、ウェブシェルを配置せずにインメモリで再悪用していることを観測しました。Ivanti は 10 月 13 日に CVE-2026-104935 をパッチ適用しました。CISA はそれを KEV に追加しました。チェーンの特権昇格の一部は、開示時点でも修正中でした。

    CVE-2026-104935

  • criticallive✓patchedsince Sep 30, 2026updated Oct 22, 2026, 11:18 UTC

    FortiMail unauthenticated file-write zero-day CVE-2026-104286

    › Fortinet FortiMail

    Fortinet FortiMail CVE-2026-104286（CVSS 9.8）は、Identity-Based Encryption ウェブフローにおけるパストラバーサル / null バイトの問題を介した、認証されていない任意のファイル書き込み脆弱性です。CISA はアクティブな悪用を確認し、連邦政府の緩和策を命じました。Fortinet は FG-IR-26-175 でパッチと一時的な緩和策（IBE の無効化 / 管理者/Webmail の制限）を発表しました。

    CVE-2026-104286

▶show 3 more live incidents3 more live incidents

September 2026 1

  • highlive◐partial fixsince Sep 9, 2026updated Oct 22, 2026, 11:20 UTC

    PingCAP / TiDB Cloud breach: stolen service-account credentials, data and source code taken

    › PingCAP TiDB Cloud (hosted database platform)

    PingCAP は、2026 年 9 月 9 日から 10 月 7 日の間に、不正な当事者が盗まれたサービスアカウント認証情報を使用して内部システムにアクセスし、データとソースコードをコピーしたことを確認しました。エクスポートされたレコードには、TiDB Cloud ユーザー名/メールアドレス、組織/プロジェクトの関連付け、SQL エディタのテキスト、請求/契約データ、および暗号化された API キーテーブルが含まれていました。恐喝グループ FulcrumSec は 10.6 TB と 115,000 件のプレーンテキスト API キーを主張していますが、これらの数値は未検証であり、PingCAP は API キーの主張に異議を唱えています。TiDB に保存されているデータが影響を受けた証拠はありません。

August 2026 1

  • criticallive◐partial fixsince Aug 29, 2026updated Oct 22, 2026, 16:56 UTC

    BeyondTrust Remote Support zero-day CVE-2026-102764 (ARMORY CASTLE)

    › BeyondTrust Remote Support (formerly Bomgar)

    中国関連の攻撃者 ARMORY CASTLE（旧 UNC5221）は、BeyondTrust Remote Support におけるクリティカルな認証不要のファイル操作の欠陥である CVE-2026-102764 を、2026 年 8 月下旬からゼロデイとして悪用しました。BeyondTrust は BT26-05-RS を発行しました。SaaS は 10 月 9 日までに自動パッチ適用されました。CISA は 10 月 16 日に CVE を KEV に追加しました。セルフホスト型アプライアンスにはパッチ適用とフォレンジックが必要ですが、パッチ適用だけでは既存の足場（SAWFLY / BARECLAW）はクリアされません。

    CVE-2026-102764

February 2025 1

  • criticallive✕unpatchedsince Feb 19, 2025updated Oct 22, 2026, 16:56 UTC

    Fearless Wallet browser extension leaked private keys for ~20 months

    › Fearless Wallet browser extension (Chrome; Firefox build delisted)

    Polkadot Community Foundation は、Fearless Wallet ブラウザ拡張機能のバージョン 3.0.1、3.0.3、3.0.4、3.0.5 に、2025 年 2 月 19 日に追加された大規模な「TON エコシステム」変更の一部として、ウォレットがアンロックされた際に秘密鍵/リカバリデータを攻撃者サーバーに送信するコードが含まれていたと警告しました。このコードは 2026 年 10 月 10 日まで、断続的にアクティブでした。8 人のユーザーが合計 17,286 DOT の損失を報告しています。2025 年 2 月以降に拡張機能を使用したことがある人は、別のウォレットで新しいキーペアを作成し、資金を移動する必要があります。