skip to content
今日の脆弱性
Table of Contents

概要

本日、CVSSスコア9.0以上の重要脆弱性が15件公開されました。特にMicrosoft製品群（Exchange Online, Azure App Service, Azure DNS, Azure Key Vault, Purview Data Governance, Azure Kubernetes Service, M365 Copilot）から多数報告されており、不正な認証、アクセス制御の不備、権限昇格、リモートコード実行といった深刻な影響が懸念されます。また、Linuxカーネルに関連する脆弱性も複数報告されており、速やかな対応が求められます。

CVE-2026-56191: Microsoft Exchange Onlineの改ざんの脆弱性

  • CVSS: 10.0 (Critical)
  • 影響: Microsoft / Microsoft Exchange Online — 全バージョン

概要

Microsoft Exchange Onlineにおける認証の不備により、認証されていない攻撃者がネットワーク経由でデータ改ざんを実行できる脆弱性です。この脆弱性は、システムの完全性に深刻な影響を与える可能性があります。

推奨対応

Microsoftのセキュリティ更新プログラムガイドを参照し、推奨されるパッチを速やかに適用してください。詳細な緩和策や回避策についても、公式アドバイザリを確認することが重要です。

参考

CVE-2026-58630: Azure App Service on Azure Stack Hubの権限昇格の脆弱性

  • CVSS: 10.0 (Critical)
  • 影響: Microsoft / Azure App Service for Linux — 全バージョン

概要

Azure App Service for Linuxにおける不適切なアクセス制御により、認証されていない攻撃者がネットワーク経由で特権を昇格できる脆弱性です。これにより、システムへの広範なアクセスが可能になる恐れがあります。

推奨対応

Microsoftのセキュリティ更新プログラムガイドに記載されている推奨パッチを適用してください。公式アドバイザリでは、具体的な対策や影響範囲に関する詳細情報が提供されています。

参考

CVE-2026-58275: Azure DNSの権限昇格の脆弱性

  • CVSS: 10.0 (Critical)
  • 影響: Microsoft / Azure DNS — 全バージョン

概要

Azure DNSにおける承認の欠如が原因で、認証されていない攻撃者がネットワーク経由で特権を昇格できる脆弱性です。これにより、DNS設定の不正な操作や、それに伴うサービス停止などの影響が考えられます。

推奨対応

Microsoftのセキュリティ更新プログラムガイドを参照し、利用可能な修正プログラムを適用してください。システムへの影響を最小限に抑えるため、迅速な対応が求められます。

参考

CVE-2026-62825: Azure Key Vaultの権限昇格の脆弱性

  • CVSS: 10.0 (Critical)
  • 影響: Microsoft / Azure Key Vault — 全バージョン

概要

Azure Key Vaultにおける認証の不備により、認証されていない攻撃者がネットワーク経由で特権を昇格できる脆弱性です。これにより、機密性の高い鍵やシークレット情報への不正アクセス、またはそれらの操作が可能になる恐れがあります。

推奨対応

Microsoftのセキュリティ更新プログラムガイドを確認し、提供されているパッチを適用してください。Azure Key Vaultの利用者は、公式アドバイザリで提供される指示に従い、セキュリティ対策を強化してください。

参考

CVE-2026-57106: Data Qualityの権限昇格の脆弱性

  • CVSS: 10.0 (Critical)
  • 影響: Microsoft / Microsoft Purview Data Governance — 全バージョン

概要

Microsoft Purview Data GovernanceのData Qualityコンポーネントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性により、認証されていない攻撃者がネットワーク経由で特権を昇格できます。これにより、内部システムへの不正アクセスや情報漏洩のリスクが高まります。

推奨対応

Microsoftのセキュリティ更新プログラムガイドに掲載されている修正プログラムを適用してください。この脆弱性の悪用を防ぐため、迅速な対応とシステム構成の見直しを推奨します。

参考

CVE-2026-56163: Microsoft Azure Kubernetes Serviceの権限昇格の脆弱性

  • CVSS: 10.0 (Critical)
  • 影響: Microsoft / Azure Kubernetes Service — 全バージョン

概要

Microsoft Azure Kubernetes Service (AKS) の重要な機能における認証の欠如により、認証されていない攻撃者がネットワーク経由で特権を昇格できる脆弱性です。これにより、Kubernetesクラスタへの不正な操作が可能となり、サービスへの重大な影響が懸念されます。

推奨対応

Microsoftのセキュリティ更新プログラムガイドを参照し、最新のパッチを適用することが必須です。AKS環境のセキュリティ設定を定期的にレビューし、最小特権の原則を徹底してください。

参考

CVE-2026-50517: Microsoft M365 Copilotのリモートコード実行の脆弱性

  • CVSS: 9.9 (Critical)
  • 影響: Microsoft / Microsoft 365 Copilot — 全バージョン

概要

M365 Copilotにおける信頼できないデータの逆シリアル化の脆弱性により、認証された攻撃者がネットワーク経由で任意のコードを実行できる可能性があります。これは、AIアシスタント機能を通じて悪意のある操作が可能になることを意味し、システムへの広範な影響が懸念されます。

推奨対応

Microsoftのセキュリティ更新プログラムガイドを確認し、M365 Copilotに対する最新の修正プログラムを適用してください。データの扱いに関するセキュリティベストプラクティスを再確認することも重要です。

参考

CVE-2026-64873: Joomla Cache Cleaner Pro拡張機能のSSRF脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: regularlabs.com / Cache Cleaner Pro extension for Joomla — 1.0.0〜9.7.6

概要

Joomla用Cache Cleaner Pro拡張機能（regularlabs.com製）において、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。カスタムクエリURLが内部または予約済みのネットワークサービスにアクセスできる可能性があり、情報漏洩や不正な操作に繋がる恐れがあります。

推奨対応

Cache Cleaner Pro拡張機能をバージョン9.7.6以降にアップデートしてください。ベンダーのウェブサイトで最新情報と修正プログラムを確認することが推奨されます。

参考

CVE-2026-52439: xiandafu beetlのリモートコード実行の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: xiandafu / beetl — 3.20.2

概要

xiandafu beetl 3.20.2において、リモートの攻撃者がtype.new関数とプロパティリフレクションメカニズムを介して任意のコードを実行できる脆弱性が見つかりました。これにより、システムの完全性が危険にさらされる可能性があります。

推奨対応

xiandafu beetlを脆弱性の修正されたバージョンにアップデートしてください。Giteeの該当リポジトリやイシューを参照し、詳細な修正情報を確認してください。

参考

CVE-2025-50329: ConeXware, Inc Power Archiverの権限昇格の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: ConeXware, Inc / Power Archiver — v.22.00.11以前

概要

ConeXware, Inc Power Archiver v.22.00.11およびそれ以前のバージョンにおいて、リモートの攻撃者がpowerarc.exeを介して特権を昇格し、任意のコードを実行できる脆弱性があります。これは、システムの完全性、機密性、可用性に重大な影響を与える可能性があります。

推奨対応

Power Archiverをv.22.00.11より新しいバージョンにアップデートしてください。ベンダーの公式ウェブサイトやGitHubのリファレンスで、詳細な修正情報を確認することが推奨されます。

参考

CVE-2026-53260: LinuxカーネルのTCP関連の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: Linux / Linuxカーネル — 特定バージョン範囲（6.12など）

概要

LinuxカーネルのTCPネットワークスタックにおいて、reqsk_queue_hash_req()関数内での割り込み（preemption）により、reqsk->rsk_refcntのアンダーフローが発生し、解放済みメモリ使用（use-after-free）に繋がる可能性があります。これはシステムクラッシュや任意のコード実行に繋がる恐れがあります。

推奨対応

Gitカーネルレポジトリで提供されている修正コミットを適用してください。特にPREEMPT_RTカーネルを使用しているシステムは、速やかなアップデートを強く推奨します。

参考

CVE-2026-46135: Linuxカーネルのnvmet-tcpにおける競合状態の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: Linux / Linuxカーネル — 特定バージョン範囲（5.0など）

概要

Linuxカーネルのnvmet-tcpサブシステムにおいて、Initialization Connection Request (ICReq) の処理とキューのティアダウンの間に競合状態が存在します。これにより、解放済みのキューに対して二重のkref_put()が発行され、システムクラッシュやサービス運用妨害（DoS）に繋がる可能性があります。

推奨対応

Gitカーネルレポジトリで提供されている修正コミットを適用してください。影響を受けるLinuxカーネルバージョンを使用しているシステム管理者は、速やかにアップデートを検討してください。

参考

CVE-2026-15704: Eclipse BaSyx Go Componentsの認可バイパス脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: Eclipse Foundation / Eclipse BaSyx Go Components — 1.0.0以前

概要

Eclipse BaSyx Go Componentsのバージョン1.0.0以前において、ABAC（属性ベースアクセス制御）が有効なデプロイメントで認可バイパスの脆弱性が存在します。HTTPルーターとABACミドルウェア間の末尾スラッシュ処理の不整合により、認証されていない、または認可されていない攻撃者が保護されたAPIルートにアクセスし、不正な操作（読み取り、作成、更新、削除、アップロード）を実行できる可能性があります。

推奨対応

Eclipse BaSyx Go Componentsをバージョン1.0.1以降にアップデートしてください。GitLabのセキュリティレポートやGitHubのリリースノートで詳細な修正情報を確認することが推奨されます。

参考

CVE-2026-52993: LinuxカーネルのTIPCにおける二重解放の脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: Linux / Linuxカーネル — 特定バージョン範囲（4.15など）

概要

LinuxカーネルのTIPC（Transparent Inter-Process Communication）サブシステムにおいて、tipc_buf_append()関数内で二重解放（double-free）の脆弱性が存在します。tipc_msg_validate()がskbを再割り当てする可能性がある際、元のskbが既に解放されているにもかかわらず、エラー処理パスで再度解放しようとすることで発生します。これにより、システムクラッシュや任意のコード実行に繋がる恐れがあります。

推奨対応

Gitカーネルレポジトリで提供されている修正コミットを適用してください。影響を受けるLinuxカーネルバージョンを使用しているシステムは、速やかなアップデートを検討してください。

参考

CVE-2026-16419: Google Chrome ANGLEの境界外読み書き脆弱性

  • CVSS: 9.6 (Critical)
  • 影響: Google / Chrome — Android版 150.0.7871.182未満

概要

Google ChromeのAndroid版（バージョン150.0.7871.182未満）におけるANGLEコンポーネントで、境界外読み書きの脆弱性が存在します。リモートの攻撃者が細工されたHTMLページを介して、サンドボックスエスケープを潜在的に実行できる可能性があります。これは、システムへの不正アクセスやデータの改ざんに繋がる恐れがあります。

推奨対応

Google Chromeをバージョン150.0.7871.182以降に速やかにアップデートしてください。自動更新が有効になっていることを確認し、最新のセキュリティパッチが適用されている状態を維持することが重要です。

参考

出典