SECURITY WATCH
公的機関が発信する注意喚起や脆弱性情報を確認し、要点と公式発表へのリンクをまとめています。
最終確認：2026年11月12日（日本時間）。JVNの公開一覧、JPCERT/CCの注意喚起とWeekly Reportを確認しています。掲載情報は公開元の発表・更新日であり、Gigu-labでの利用有無は未確認です。
JPCERT/CCは11月11日、Microsoftの月例更新を案内しました。悪用が確認されたCVE-2026-124194はOutlookのなりすまし脆弱性で、細工されたメッセージファイルを開くと警告が表示されないまま攻撃者のサーバーへ接続し、認証情報が漏れる可能性があります。Microsoft UpdateまたはWindows Updateで更新を適用してください。Gigu-labでの該当製品利用は未確認です。
JPCERT/CCの注意喚起 ↗JVNはIntelの7件の製品向けアドバイザリを案内しています。影響を受ける製品・バージョンと対策は、利用製品に対応するIntelのアドバイザリを確認してください。Gigu-labでの利用有無・対象版は未確認です。
JVNVU#93337738の詳細 ↗Sleipnir Mobile for iPhone / iPadとBlack Editionのv4.15.1以前に不適切な証明書検証（CVE-2026-116081）があり、中間者攻撃で通信を盗聴される可能性があります。JVNはiPhone / iPad版v5.0以降、Black Edition v4.16を修正版として案内しています。Gigu-labでの利用有無は未確認です。
JVNVU#93068550の詳細と対策 ↗Movable TypeのダイナミックパブリッシングにCVE-2026-117687があり、細工されたリクエストでPHPコードを実行される可能性があります。8.8.6以前、8.0.13以前、Movable Type Premium 2.18以前などが対象で、修正版は8.8.7、8.0.14、Premium 2.19です。DynamicTemplateAllowPHPを0にする緩和策も案内されています。利用有無は未確認です。
JVN#11786640の詳細と対策 ↗OpenSSL Projectが11月10日付のSecurity Advisoryを公開し、JVNも11月11日に案内しました。影響を受ける版、想定される影響、対策は公式アドバイザリを確認してください。Gigu-labでの利用バージョンは未確認です。
JVNVU#92618679とOpenSSLの公式情報 ↗JVNはCVE-2026-109618/-109619について、11月11日にTrend Microのベンダー状況が更新されたと記録しています。PHP 8.5.12、8.4.27、8.3.36、8.2.35より前の各系列が対象で、サーバー上で任意コード実行の可能性があります。開発元の修正版を適用してください。Gigu-labでの利用有無・対象版は未確認です。
JVNVU#99905564の更新履歴と対策 ↗11月1日から7日までのセキュリティ関連情報をまとめた週報です。掲載情報は週報の公開日より前に公表・更新されたものも含みます。利用製品に関係する項目は、各提供元の最新情報を確認してください。
JPCERT/CC Weekly Report ↗JVNは、2026年11月6日公開の更新情報として、CISA ICS Advisory / ICS Medical Advisory（2026年11月5日）の1件を掲載しています。案内されている更新は「ICSA-26-211-07: Mitsubishi Electric CC-Link IE TSN Communication Protocol (Update B)」です。影響を受けるシステム、想定される影響、対策方法はJVNから案内されるCISAの情報を確認してください。Gigu-labでの利用有無・対象版は未確認です。
JVNVU#90841469の詳細 ↗SHIRASAGI v1.12.0からv1.21.0にはクロスサイトスクリプティング（CVE-2026-117679）、v1.19.0からv1.21.0にはOSコマンドインジェクション（CVE-2026-118869）の脆弱性があります。JVNは、サイト閲覧者のブラウザー上でスクリプトが実行されたり、システム上でOSコマンドが実行されたりする可能性を案内しています。修正版はv1.21.1です。Gigu-labでの利用有無・対象版は未確認です。
JVN#55454512の詳細と対策 ↗JVNの11月5日付アドバイザリが11月11日に更新され、新規9件・更新17件のSiemens情報が案内されています。対象製品ごとの影響範囲と対策は、各Siemensアドバイザリで確認してください。Gigu-labでの利用有無・対象版は未確認です。
JVNVU#98354779の詳細 ↗10月25日から31日までのセキュリティ関連情報15項目をまとめた週報です。掲載項目には期間中の更新情報や公表済み情報も含まれるため、すべてが11月5日に新しく判明した脆弱性という意味ではありません。利用製品に関係する項目は、レポートから各提供元の最新情報を確認してください。
JVNは11月4日に脆弱性レポートを6件公開しました。Gigu-labでの対象製品の利用有無は確認できていません。該当製品を利用している場合は、各公式情報で影響版と対策を確認してください。
JPCERT/CCの注意喚起一覧は10月29日付が最新です。Weekly Reportは10月28日号が最新で、次回公開予定は11月5日ですが、確認時点では新号は未掲載でした。
JVN#23328936は、ALCPUのCore TempカーネルドライバにおけるIOCTLインタフェースのアクセス制御不備を報告しています。Core Temp v1.21より前が対象で、CVE-2026-109836により物理メモリを読み書きされる可能性があります。開発者の案内に従って最新版へ更新してください。Gigu-labでの利用有無・対象版は未確認です。JVN#23328936の詳細 ↗
JVNVU#90141693（Siemens製品の2026年10月分アドバイザリ）は11月2日に詳細が更新されました。現行ページには新規22件・更新22件が列挙されています。これは11月2日に新たに発見された脆弱性の数を意味するものではありません。製品ごとの対象版・対策と利用有無は、JVNから案内されるSiemensの各アドバイザリ ↗で確認してください。Gigu-labでの利用有無は未確認です。
JVN#95856220は、CISAが10月29日に公開した産業制御・医療向けアドバイザリを10月30日に掲載しました。新規3件（Siemens Mendix SAML Module、Hitachi Energy TRO600 series products、Hitachi Energy CoreTec Product）と更新3件（Hitachi Energy PCM600、MSM Product、三菱電機・ICONICS製品）が案内されています。利用製品への影響・対象版・対策は、JVNの集約ページから各アドバイザリで確認してください。Gigu-labでの利用有無は未確認です。
JVNVU#95856220の詳細 ↗JVN#82782759。Apache Struts 2の7.2.1〜7.3.0が対象です。struts.parameters.requireAnnotations=trueが有効で、RESTリクエスト本文からバインドされるAction/Modelに@JsonAnySetterを宣言している場合、該当メンバーへの認可チェックが行われず、データ改ざんにつながる可能性があります。Gigu-labでの利用製品・対象版は確認できていません。
JVNは7.4.0以降の最新版への更新に加え、struts.rest.anySetter.requireAnnotations=trueの設定と、各any-setterメソッドへの@StrutsParameter(allowDynamicKeys = true)付与を案内しています。回避する場合はRESTから値を受けるAction/Modelで@JsonAnySetterを使わず、必要な場合は保存前にアプリ側で検証してください。
JVNは10月28日にヤマハ製品の情報などを公開しました。Gigu-labが対象製品を利用しているかは確認できていません。該当製品を利用している場合は、公式情報で対象版と対策を確認してください。
JPCERT/CCのWeekly Report 2026-10-28号は10月18日〜24日の情報を扱い、VeloCloud Orchestrator、ISC BIND、Cisco、GitLab、Apache Tomcat、Chrome、Atlassian、Mozilla、Laravel、Roundcube、MOVEit、Oracle、PHPなど15項目を掲載しています。各項目の対象製品と更新情報はレポートから公式発表を確認してください。
JVNは10月27日に4件を新規掲載し、Siemens製品の10月分アドバイザリを更新しました。Gigu-labが下記製品を利用しているか、また対象版に該当するかは確認できていません。利用中の場合は、各公式情報で版と対策を確認してください。
CVE-2026-111497。細工されたBrotli圧縮データの展開により、アプリケーションの異常終了、情報漏えい、任意コード実行につながる可能性があります。JPCERT/CCが示す対象版は1.2.0〜1.2.1未満、1.1.0〜1.1.1未満、1.0.3〜1.0.10未満です。Node.js、Bun、Python向けパッケージなどBrotliを含む製品も対象になり得るため、各提供元の対応状況を確認してください。Gigu-labの利用製品・対象バージョンは未確認です。詳細はJPCERT/CCの注意喚起とJVNの情報を確認してください。
CVE-2026-109618、CVE-2026-109619の注意喚起が更新されました。JPCERT/CCは、実証コードの公開や悪用を試みる通信の報告に触れる一方、実際の影響はPHPの版・実行環境などの条件に依存すると説明しています。修正済み版への更新と侵害有無の調査を案内しています。また、別のCVE-2026-115560について設定変更による緩和策が追記されています。対象版と対応はJPCERT/CCの10月26日更新およびPHP Groupで確認してください。Gigu-labの実装・適用性は未確認です。
JPCERT/CCが10月23日に注意喚起を更新し、Cairn、CyberStrikeAI、ARTEXなどを用いて公開Webアプリケーションの脆弱性探索・悪用を試みたり、機器の管理不備から設定ファイルやバックアップを狙ったりする活動を追記しました。公開サービス・管理機能・APIの露出と更新状況を点検してください。個々の送信元IPだけで安全性を判断せず、詳細と注意事項はJPCERT/CCの注意喚起で確認できます。Gigu-labのサーバー構成や被害状況を示すものではありません。
JVN#82312317（CVE-2026-113438）は、Pleasanter 1.1.0.0〜1.5.9.0のうち、LDAP認証と所定のOS・LDAP構成を満たす場合に影響する認証不備です。修正版は1.5.9.1です。利用していない場合は該当しません。対象製品の利用者は、条件・回避策をJVNの詳細と開発元情報で確認してください。Gigu-labでの利用有無は未確認です。
JVNは10月23日に、三菱電機製の複数製品に関する脆弱性情報と、CISAのICS／Medical Advisory（10月22日分）を掲載しました。対象製品や対応は、利用環境に応じて各アドバイザリと開発元の案内で確認してください。
JVNは10月22日にPHP、LIFF SDK、ISC BINDの情報を公開しました。PHP情報は10月23日に参考情報とベンダーステータスが更新されています（上記）。LIFF SDKではDOMベースのクロスサイトスクリプティング、ISC BINDでは複数の脆弱性が案内されています。利用製品が対象か、修正版や影響範囲を各公式情報で確認してください。
JVNは10月21日に、Apache Tomcatの複数の脆弱性、CISAのICS／Medical Advisory（10月20日分）、Xerj Console APIの認証回避に関する情報を掲載しました。影響を受ける版と対策は、それぞれの公式情報で確認してください。
JPCERT/CCのWeekly Report（対象期間10月11日〜17日）には、複数製品の更新情報に加え、Ivanti Connect Secureの認証回避脆弱性で悪用が確認されたとの情報、GitLabの脆弱性情報、AIを利用した既知脆弱性のスキャンやAPI経由の攻撃に関する調査が掲載されています。該当製品や管理APIを運用している場合は、各ベンダーの更新案内と報告本文を確認してください。
JVNが10月20日に3件を公開しました。利用している製品が対象か、各公式ページで確認してください。
JVN iPediaの新着フィードが10月20日17時に更新され、Mozilla Firefox系、FreeBSD、Adobe製品など多数の情報が登録されました。これは各製品の脆弱性がすべて10月20日に発見されたという意味ではありません。利用製品の項目から、対象版と開発元の更新案内を確認してください。Gigu-labでは、同日にJVNで公開された3件は上の記事にまとめ、重複掲載を避けています。
6.13.2以前が対象。細工されたプロジェクトファイルを読み込むと、意図しない通信、機微情報の取得、サービス運用妨害につながる可能性があります。開発元の6.13.3更新案内に従い最新版へ更新してください。開発元の更新案内は9月17日、JVNでの公表は10月19日です。
CVE-2026-102764。26.2.3以前が対象で、内部メッセージの送信元確認が不十分なためファイル操作を許す可能性があります。開発元のBT26-05ではSaaSは10月9日までに修正済み。自社運用版は自動更新の状態を確認し、必要ならパッチを適用してください。24.3.1未満はパッチ適用のための版更新が必要です。公表日は10月15日です。
CVE-2026-13043。ローカルの認証済み攻撃者がドライバーのアクセス制御を回避し、カーネルやプロセスのメモリ情報を取得できる問題です。開発元はWindows版8.00.26.0012未満を対象とし、同版以降への更新を案内しています。開発元の公表日は10月1日です。
CVE-2026-106559。攻撃者が操作したConfluenceコンテンツを使うテンプレートを実行すると、入力検証の不足によりファイル書き込みに影響する可能性があります。開発元の案内に従い、@backstage/plugin-scaffolder-backend-module-confluence-to-markdownを0.3.25以降へ更新してください。公表日は10月7日です。
10月14日に公表された案内の詳細情報が16日に更新されました。同じ案件の更新として記録しています。現在の案内は新規18件・更新21件のアドバイザリを含みますが、すべてが16日に新しく発見された脆弱性という意味ではありません。製品ごとの対象版・対策はSiemensの公式資料をご確認ください。 10月19日にはJVN iPediaの同案件の概要も更新されました。件数は新規18件・更新21件で、既存記事へ追記しています。
CVE-2026-0322は、管理画面に接続できる認証済み攻撃者が、ファイアウォール上でroot権限のコードを実行できる問題です。開発元は限定的な悪用を確認しています。管理画面への接続元を信頼する内部IPに制限し、利用系列に対応する修正版へ更新してください。アクセス制限だけで修正済みと扱わないでください。Cloud NGFWとPrisma Accessは影響対象外です。
開発元の公表日は10月14日、更新日は15日。JVN iPediaへの掲載を16日分として確認しました。17日に初公表された問題ではありません。
CISAの10月15日分をJVNが16日に案内しました。新規5件・更新1件が対象です。CISA Malcolm、Eclipse Milo、EseeCloud、Torrent Suite Software、dcm4che、N-Tron 700 Seriesを利用する管理者は、リンク先の一次資料で対象版と対応を確認してください。設備停止などの影響も考え、更新は各製品の手順に従ってください。
Android・iOS版6.2.0以前が対象です。API連携用の情報が漏れる可能性があり、アプリ更新が案内されています。開発者は該当するアクセスID・キーを無効化済みで、JVNは本脆弱性を悪用できないと説明しています。
Android版2.436.0未満、iOS版2.432.0未満が対象です。細工されたリンクを開くとアプリ内に攻撃者のサイトが表示される可能性があります。公式ストアから最新版へ更新してください。
Android・iOS版11.8.6以前が対象です。不正なサイトへの誘導や情報窃取につながる複数の問題があり、修正版11.8.8が案内されています。最新版へ更新してください。
対象版・影響・対策は、各JVNページが案内するCERT/CCの一次資料を確認してください。
10月4日〜10日の情報をまとめた週報です。過去に公開された情報も含まれるため、掲載された全項目が10月15日の新規脆弱性という意味ではありません。利用している製品の項目から公式の対策案内を確認してください。
統計機能が有効な対象版では、サーバー上でrootまたはSYSTEM権限のコマンドを実行される可能性があります。開発元は悪用を確認しています。更新・パッチ適用前に「診断情報」を取得して保管し、対象版と例外、侵害調査の案内を確認してください。
公式情報を読む ↗月例更新が公開されました。Windowsシェルのセキュリティ機能を回避するCVE-2026-96951について、Microsoftが悪用を公表しています。Microsoft UpdateやWindows Updateで更新を適用してください。
公式情報を読む ↗対象版のプラグインでは、注文手続き中に任意のサイトへ転送され、アカウント情報などを盗まれる可能性があります。開発者は悪用を確認しています。CV1・CV2の区分と対象バージョンを公式案内で確認し、提供されるパッチを適用してください。
公式情報を読む ↗Rakuten Mini、Hand、Hand 5G、BIGsの全バージョンが対象です。端末への物理的アクセスにより、細工されたシステムイメージを入れられる可能性があります。対象製品はサポート終了済みで、JVNは後続製品への乗り換えなどを案内しています。
公式情報を読む ↗影響範囲・対策は各JVNページからリンクされる一次資料で確認してください。
AssetViewの管理コンソールやクライアントが動くWindowsへログイン可能な攻撃者に、SYSTEM権限を取得される可能性があります。AssetViewは13.2.7Bより前、CLOUDは13.2系の13.2.7Bより前と13.3系の13.3.7より前、Cloud ＋は2600.201.11より前が対象です。製品区分に応じた更新・パッチ適用、またはサポートへの問い合わせを確認してください。
公式情報を読む ↗JVNが10月13日にTheliaの複数の脆弱性を公表しました。影響範囲・想定される影響・対策は、JVNからリンクされているCERT/CCのアドバイザリで確認するよう案内されています。Theliaを利用している場合は、対象バージョンと対応内容を一次情報で確認してください。
公式情報を読む ↗Node.jsからGitを操作するsimple-gitで、安全でない設定の判定を回避され、アプリケーションと同じ権限で任意のシェルコマンドを実行される可能性があります。JVN iPediaはCVSS基本値9.8とし、3.15.0以上4.0.1未満を影響範囲として案内しています。利用中の版と、外部入力をGitの設定や引数へ渡す実装を確認してください。
JVN iPediaの情報を読む10月8日の注意喚起が9日に更新され、ケースA・Bの不審な送信元IPアドレスと、公開Webサーバーから到達できるアプリケーションサーバーへ悪性WARファイルを設置するケースDが追加されました。すべての事案が同一手口とは限らないため、公式の更新内容を侵害調査や点検の参考として確認してください。
JPCERT/CCの注意喚起を読むJVN iPediaは、Google Chrome 155.0.8059.39未満を対象にした複数の脆弱性情報を10月8日に登録しました。認可の欠如や不正な認証により、細工されたHTMLページを介して任意のコードを実行される可能性がある項目が含まれます。利用中の版を確認し、JVN iPediaから案内されるGoogleのベンダ情報を参照して適切な対策を実施してください。
JVN iPediaの情報を読む国内組織で個人情報などが漏えいする被害が相次いでいるとして、JPCERT/CCが注意を呼びかけています。管理用システムやAPIも確認対象として挙げられています。事案ごとに手口が同一とは限らないとの説明もあるため、詳細は公式発表を確認してください。
JPCERT/CCの注意喚起を読むJVNが複数の脆弱性を公表しました。対象製品・バージョンと修正方法は、利用環境に照らしてJVNおよび開発元の案内を確認してください。
JVNの情報を読むXG VisionTerminalなど複数製品の情報が更新されています。影響を受けるバージョンや修正済みバージョンは、JVNの詳細で確認できます。
JVNの情報を読む掲載内容は公式発表の要約です。対象製品や対策の判断には、リンク先の最新情報を確認してください。