skip to content
今日の脆弱性
Table of Contents

概要

本日、CVSSスコア9.0以上の重要脆弱性が15件公開されました。Joomlaの拡張機能における認証不要のファイルアップロード脆弱性、Linuxカーネルの複数の脆弱性、悪意あるnpmパッケージの混入、Microsoft Message Queuing (MSMQ) のリモートコード実行の脆弱性など、多岐にわたる深刻な問題が含まれています。これらの脆弱性は、リモートからのコード実行や機密情報の漏洩につながる可能性があり、迅速な対応が求められます。

CVE-2026-61424: Joomla拡張機能 DJ-Classifieds における認証不要のファイルアップロード

  • CVSS: 10.0 (Critical)
  • 影響: dj-extensions.com / DJ-Classifieds extension for Joomla — versions: 1.0-3.11.1 (affected)

概要

Joomla拡張機能「DJ-Classifieds」のバージョン1.0から3.11.1に、認証不要の任意のファイルアップロード脆弱性が存在します。この脆弱性を悪用されると、攻撃者は任意のファイルをアップロードし、結果としてリモートからコードを実行（RCE）できる可能性があります。ウェブサイトの完全な侵害につながる極めて深刻な問題です。

推奨対応

DJ-Classifiedsのユーザーは、速やかにバージョン3.11.2以降にアップデートしてください。ベンダーアドバイザリを参照し、詳細なパッチ適用手順を確認することを強く推奨します。

参考

CVE-2026-61900: Joomla拡張機能 DJ-jDownloads における認証不要のファイルアップロード

  • CVSS: 10.0 (Critical)
  • 影響: dj-extensions.com / jDownloads extension for Joomla — versions: 4.1.0-4.1.5 (affected)

概要

Joomla拡張機能「JDownloads」のバージョン4.1.0から4.1.5に、認証不要の任意のファイルアップロード脆弱性が存在します。この脆弱性を悪用されると、攻撃者はシステムに任意のファイルをアップロードし、リモートからのコード実行（RCE）を可能にする可能性があります。ウェブサーバーが完全に侵害される危険性があります。

推奨対応

JDownloadsのユーザーは、速やかにバージョン4.1.6以降にアップデートしてください。ベンダーが提供する最新のセキュリティパッチを適用し、システムの整合性を確認することが不可欠です。

参考

CVE-2026-46412: npmパッケージ @beproduct/nestjs-auth における悪意あるコードの混入

  • CVSS: 10.0 (Critical)
  • 影響: BeProduct / beproduct-org-nestjs-auth — versions: >= 0.1.2, <= 0.1.19 (affected)

概要

npmパッケージ@beproduct/nestjs-authのバージョン0.1.2から0.1.19に、悪意のあるコードが混入していました。攻撃者はnpm公開トークンを悪用し、npmトークン、GitHub PAT/OAuthトークン、AWS認証情報、HashiCorp Vaultトークン、その他環境変数内の機密情報を窃取しようとする「Mini Shai-Hulud worm」を挿入しました。これはサプライチェーン攻撃の一種であり、影響は広範囲に及びます。

推奨対応

影響を受けるバージョンをインストールしたユーザーは、直ちにパッケージを削除し、npmキャッシュをクリーンアップ後、クリーンなバージョン0.1.20をインストールしてください。また、インストール環境に存在した全ての資格情報（npmトークン、GitHub PAT、AWSアクセスキーなど）をローテーションし、ホストの侵害兆候をスキャンしてください。

参考

CVE-2026-63795: Linuxカーネル 9pサブシステムにおけるUse-After-Freeの可能性

  • CVSS: 10.0 (Critical)
  • 影響: Linux / Linuxカーネル 9pサブシステム — 複数のバージョン (affected)

概要

Linuxカーネルの9pサブシステムにおいて、p9_client_walk()関数内のエラーパスでoldfidが不適切に処理される問題が発見されました。これにより、oldfidへの参照が所有者に戻る前に解放される可能性があり、後続の操作でUse-After-Freeが発生したり、参照カウントのアンダーフローが引き起こされたりする恐れがあります。深刻なシステムクラッシュや任意のコード実行につながる可能性があります。

推奨対応

開発者は、git.kernel.orgで示されているパッチ99c379ca1e221c3d75c7c804ebbf4e5ee37a3070などが適用された安定版カーネルバージョンに速やかにアップデートしてください。

参考

CVE-2026-51027: FileThingie における機密情報漏洩の脆弱性

  • CVSS: 9.9 (Critical)
  • 影響: 特定のベンダーや製品は指定されていません (FileThingie v.2.5.7)

概要

FileThingie v.2.5.7において、リモートの攻撃者がft2.phpコンポーネントを介して機密情報を取得できる脆弱性が存在します。この脆弱性により、システム上の重要なデータが露呈し、さらなる攻撃の足がかりとなる可能性があります。

推奨対応

FileThingie v.2.5.7を使用しているユーザーは、ベンダーまたは開発者が提供する修正パッチの適用を検討してください。また、公開されている情報に基づいて、ft2.phpへのアクセス制御を強化するなどの対策も有効です。

参考

CVE-2026-54051: Network-AI におけるOSコマンドインジェクション

  • CVSS: 9.9 (Critical)
  • 影響: Jovancoding / Network-AI — versions: < 5.9.1 (affected)

概要

TypeScript/Node.js製のマルチエージェントオーケストレーター「Network-AI」のバージョン5.9.1より前において、OSコマンドインジェクションの脆弱性が存在します。エージェントサンドボックスのコマンド許可リストがシェルコマンド全体にグロブマッチするため、git *のようなワイルドカードがgit status; <arbitrary_command>のような形式も許可し、任意のコード実行が可能になります。

推奨対応

Network-AIのユーザーは、速やかにバージョン5.9.1以降にアップグレードしてください。バージョン5.9.1では、シェルを使用しないspawn関数で引数が解析され、シェルメタ文字が拒否されるようになりました。また、防御策としてnode *やnpm *のような広範なワイルドカード許可リストエントリの使用を避けるべきです。

参考

CVE-2026-60024: Joomla拡張機能 Events Booking の安全でないデフォルト設定

  • CVSS: 9.8 (Critical)
  • 影響: joomdonation.com / Events Booking extension for Joomla — versions: 1.0-5.8.0 (affected)

概要

Joomla拡張機能「Events Booking」のバージョン5.8.0より前のバージョンでは、デフォルト設定で認証されていないユーザーがメディアアセットをアップロードできてしまう脆弱性が存在しました。これにより、悪意のあるファイルをアップロードされ、リモートからのコード実行やウェブサイトの改ざんに悪用されるリスクがあります。

推奨対応

Events Bookingのユーザーは、速やかにバージョン5.8.0以降にアップデートしてください。また、デフォルト設定を確認し、認証されていないユーザーによるファイルアップロードが許可されていないことを確認することが重要です。

参考

CVE-2026-16235: PerlのCrypt::Passwordにおけるソルト生成の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: DRSTEVE / Crypt::Password — versions: 0 〜 <= 0.28 (affected)

概要

PerlのCrypt::Passwordモジュールのバージョン0.28以前において、ソルト生成に組み込みのrand関数が使用されており、予測可能な値が生成される脆弱性があります。rand関数は暗号学的に安全ではないため、この脆弱性を悪用されると、パスワードハッシュのクラッキングが容易になる可能性があります。

推奨対応

Crypt::Passwordのユーザーは、この問題を修正したバージョンにアップデートすることを検討してください。セキュリティアドバイザリやベンダー情報を確認し、暗号学的に安全な乱数生成器を使用するようコードを改修することが重要です。

参考

CVE-2026-36669: Feng Office における認証不要のファイルアップロード

  • CVSS: 9.8 (Critical)
  • 影響: 特定のベンダーや製品は指定されていません (Feng Office 3.11.13.11)

概要

Feng Office 3.11.13.11のck_upload_handler.phpコンポーネントに、認証不要の任意のファイルアップロード脆弱性が存在します。リモートの攻撃者は、悪意のあるファイル（例: .htmlファイル）をウェブからアクセス可能な/tmp/ディレクトリにアップロードし、リモートからのコード実行や情報窃取につながる可能性があります。

推奨対応

Feng Office 3.11.13.11のユーザーは、ベンダーが提供するセキュリティパッチの適用を検討してください。ck_upload_handler.phpにおけるファイルアップロードの検証を強化し、悪意のあるファイルのアップロードを防ぐ対策を講じることが重要です。

参考

CVE-2026-41252: xrdp におけるヒープバッファオーバーフローとRCE

  • CVSS: 9.8 (Critical)
  • 影響: neutrinolabs / xrdp — versions: < 0.10.6.1 (affected)

概要

オープンソースのRDPサーバーであるxrdpのバージョン0.10.6以前に、vnc-anyモードで動作する際にヒープベースのバッファオーバーフロー脆弱性が存在します。VNCサーバーからのRFBプロトコルカラーマップメッセージ処理時に、着信するカラーインデックスが適切に検証されず、範囲外の値によってヒープ上に境界外書き込みが発生します。これにより、サービス拒否（DoS）や認証前のリモートコード実行（RCE）につながる可能性があります。

推奨対応

xrdpのユーザーは、速やかにバージョン0.10.6.1以降にアップデートしてください。このバージョンで問題が修正されています。最新のセキュリティパッチを適用し、システムを保護することが重要です。

参考

CVE-2026-52348: cool-admin-java におけるSQLインジェクション

  • CVSS: 9.8 (Critical)
  • 影響: 特定のベンダーや製品は指定されていません (cool-admin-java 8.0.0)

概要

cool-admin-java 8.0.0のCrudOption.javaファイル内のorder()メソッドに、SQLインジェクションの脆弱性が存在します。この脆弱性を悪用されると、攻撃者は不正なSQLクエリを注入し、データベースから機密情報を取得したり、データの改ざん、さらにはリモートからのコード実行につながる可能性があります。

推奨対応

cool-admin-java 8.0.0を使用しているユーザーは、ベンダーが提供する修正パッチの適用を検討してください。order()メソッドにおけるユーザー入力のバリデーションとサニタイズを強化し、プリペアドステートメントの使用など、SQLインジェクション対策を徹底することが重要です。

参考

CVE-2026-35048: Piwigo インストーラーにおけるPHPコードインジェクション

  • CVSS: 9.8 (Critical)
  • 影響: Piwigo / Piwigo — versions: <= 16.3.0 (affected)

概要

Piwigoのインストーラーのバージョン16.3.0以前において、データベース設定用のPOSTパラメータが適切にサニタイズされずにPHP設定ファイルに直接書き込まれる脆弱性が存在します。PHP 8以降ではaddslashes()による保護がバイパスされるため、認証されていない攻撃者がPOSTパラメータを介して任意のPHPコードを注入し、local/config/database.inc.phpに書き込み、ページロード時に実行させることが可能です。これにより、リモートコード実行（RCE）につながります。

推奨対応

Piwigoのユーザーは、速やかに修正済みのバージョンにアップデートしてください。ベンダーが提供するセキュリティアドバイザリを確認し、詳細な修正情報を入手することが重要です。

参考

CVE-2024-30080: Microsoft Message Queuing (MSMQ) におけるリモートコード実行の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: Microsoft / Windows 10 Version 1507, 1607, 1809, 21H2など複数バージョン (affected)

概要

Microsoft Message Queuing (MSMQ) にリモートコード実行（RCE）の脆弱性が存在します。この脆弱性を悪用されると、攻撃者は特別に細工された悪意のあるMSMQメッセージを送信することで、対象サーバー上で任意のコードを実行できる可能性があります。これは、MSMQサービスが有効になっているシステムに影響を与えます。

推奨対応

影響を受けるMicrosoft Windowsのユーザーは、Microsoftが提供するセキュリティアップデートを速やかに適用してください。詳細な情報とパッチは、Microsoft Security Response Center (MSRC) のアドバイザリで確認できます。MSMQサービスが不要な場合は、無効化を検討することも推奨されます。

参考

CVE-2026-64162: Linuxカーネル idpfドライバーにおける未初期化スピンロックの使用

  • CVSS: 9.8 (Critical)
  • 影響: Linux / Linuxカーネル idpfドライバー — 複数のバージョン (affected, 6.16など)

概要

Linuxカーネルのidpfドライバー（バージョン6.16など）において、idpf_ptp_init()関数内でread_dev_clk_lockスピンロックがptp_schedule_worker()呼び出し後に初期化される問題が発見されました。これにより、初期化されていないロックに対してspin_lock()が呼び出され、lockdepの警告がトリガーされます。潜在的にシステムクラッシュや予期せぬ動作を引き起こす可能性があります。

推奨対応

開発者は、git.kernel.orgで示されているパッチeb5991d4c8ba2e8153dfcda3e66a9608377b7dceなどが適用された安定版カーネルバージョンに速やかにアップデートしてください。

参考

CVE-2026-64160: Linuxカーネル netfsにおけるremote_i_sizeとzero_pointの競合状態

  • CVSS: 9.8 (Critical)
  • 影響: Linux / Linuxカーネル netfsサブシステム — 複数のバージョン (affected, 5.18など)

概要

Linuxカーネルのnetfsサブシステムにおいて、->remote_i_sizeと->zero_pointの使用時に潜在的なティアリング（データ破損）の問題が発見されました。i_size_read()とi_size_write()を使用し、i_sizeと同じseqcountを使用することで、この競合状態を防ぐ必要があり、現在の実装では不十分なケースがありました。これにより、データ整合性が損なわれる可能性があります。

推奨対応

開発者は、git.kernel.orgで示されているパッチ55970f238d495517edc961d55c44c772594d0969などが適用された安定版カーネルバージョンに速やかにアップデートしてください。

参考

出典