今日の脆弱性

2026 年 07 月 29 日の重要脆弱性: HashiCorp製品、Dassault Systèmes製アプリなど15件

2026年7月29日 / 7 min read

セキュリティ , 脆弱性 , cve , critical , rce

Table of Contents

概要

本日、複数のベンダーからCVSSスコア9.0以上の極めて危険度の高い重要脆弱性が15件公開されました。これには、HashiCorpのTerraform MCP Serverにおける認証情報再利用の脆弱性、Dassault Systèmesの3DEXPERIENCEプラットフォームにおけるリモートコード実行、Ruckus vRIoT IoT Controllerの複数のハードコードされた認証情報問題が含まれます。攻撃者はこれらの脆弱性を悪用することで、認証バイパス、リモートからのコード実行、権限昇格、情報漏えいといった重大な影響を引き起こす可能性があります。

HashiCorp Terraform MCP Server

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-16498

ストリーム可能なHTTPステートレスモードにおいて、クロステナントの認証情報再利用の脆弱性があり、攻撃者が他のユーザーのTerraformトークンを悪用してツール呼び出しを実行する可能性があります。

→ CVE-2026-16498 の詳しい解説と推奨対応はこちら

Dassault Systèmes 3DEXPERIENCEプラットフォーム Station Launcher App

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-11756

信頼できないデータのデシリアライゼーションの脆弱性により、認証なしでリモートからコードが実行される危険性があります。

→ CVE-2026-11756 の詳しい解説と推奨対応はこちら

Balbooa Forms (Joomlaコンポーネント)

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-65880

安全でないフォーム処理ロジックにより、署名フィールドを含むフォームで認証なしにリモートからコードが実行される可能性があります。

→ CVE-2026-65880 の詳しい解説と推奨対応はこちら

RUCKUS Networks vRIoT IoT Controller

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2025-69426

初期化スクリプト内のハードコードされたSSH認証情報により、攻撃者がDockerソケットにアクセスし、ホストファイルシステムをマウントしてルート権限で任意のOSコマンドを実行し、完全なシステム侵害に至る可能性があります。

→ CVE-2025-69426 の詳しい解説と推奨対応はこちら

RUCKUS Networks vRIoT IoT Controller

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2025-69425

ハードコードされたTOTPシークレットと静的トークンに依存するコマンド実行サービスが存在し、攻撃者が認証トークンを生成してルート権限で任意のOSコマンドを実行し、完全なシステム侵害に至る可能性があります。

→ CVE-2025-69425 の詳しい解説と推奨対応はこちら

Riverbed Technology SteelCentral NetProfiler / NetExpress

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2025-34112

認証されたマルチステージのリモートコード実行の脆弱性があり、SQLインジェクションとコマンドインジェクションを組み合わせてルート権限での完全なリモートアクセスが可能になります。

→ CVE-2025-34112 の詳しい解説と推奨対応はこちら

Cyclope Employee Surveillance Solution

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2012-10047

ログインメカニズムにSQLインジェクションの脆弱性があり、攻撃者が悪意のあるPHPファイルを作成・実行することで、SYSTEMユーザーコンテキストでリモートコード実行が可能になります。

→ CVE-2012-10047 の詳しい解説と推奨対応はこちら

Tinycontrol LAN Controller v3 LK3

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2023-53739

認証なしで設定バックアップファイルがダウンロード可能であり、攻撃者がこれに含まれる機密の認証情報を取得し、ユーザーおよび管理者パスワードを抽出できる可能性があります。

→ CVE-2023-53739 の詳しい解説と推奨対応はこちら

hypequery ClickHouseコンポーネント

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-54658

パラメータエスケープのSQLインジェクション脆弱性により、攻撃者が制御するクエリパラメータを用いて任意のSQLを実行できる可能性があります。

→ CVE-2026-54658 の詳しい解説と推奨対応はこちら

IBM WebSphere Application Server

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-14446

管理コンソールにアクセス制御の不備/権限昇格の脆弱性があり、攻撃者が権限を不正に昇格させる可能性があります。

→ CVE-2026-14446 の詳しい解説と推奨対応はこちら

IBM WebSphere Application Server

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-14512

認証前の安全でないデシリアライゼーションの脆弱性があり、リモート攻撃者が認証をバイパスしたり、任意のコードを実行したりする可能性があります。

→ CVE-2026-14512 の詳しい解説と推奨対応はこちら

Apple macOS

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-43682

メモリ処理の不備により、リモートユーザーが予期しないシステム終了やカーネルメモリ破損を引き起こす可能性があります。

→ CVE-2026-43682 の詳しい解説と推奨対応はこちら

Apple macOS / tvOS

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-64727

メモリ処理の不備による型混同の脆弱性により、アプリが予期しないシステム終了を引き起こす可能性があります。

→ CVE-2026-64727 の詳しい解説と推奨対応はこちら

Apple macOS

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-64702

サンドボックス制限の不備により、アプリがサンドボックスを抜け出す可能性があります。

→ CVE-2026-64702 の詳しい解説と推奨対応はこちら

schreibfaul1 ESP32-audioI2S

CVSS: 9.8 / 10 (緊急)
CVE: CVE-2026-51252

MP3Decoder::UnpackSFMPEG1関数における入力検証の欠如によりバッファオーバーフローが発生し、任意のコード実行につながる可能性があります。

→ CVE-2026-51252 の詳しい解説と推奨対応はこちら

出典