セキュリティ脅威情報

n8nにおいて、オブジェクトプロトタイプの属性が不適切に制御される脆弱性が存在します。ワークフローの作成や変更権限を持つ認証済みユーザーが、XMLノードのパッチ適用を回避できる可能性があります。この問題を悪用し、他のノードと組み合わせることで、n8nが稼働するホスト上でリモートコード実行（RCE）が行われる危険性があります。CVSSスコアは9.9と非常に高く、システム全体の乗っ取りに繋がる重大な脆弱性です。

F5 NetworksのBIG-IP製品群が備えるiControl RESTインターフェースに、特権APIの不適切な使用に関する脆弱性が存在します。この脆弱性は、高度な権限（Managerロール以上）を持つ認証済み攻撃者によって悪用される可能性があります。攻撃者がこの脆弱性を突くことで、任意のコマンドを実行可能な構成オブジェクトを作成することができ、システム全体への深刻な影響を及ぼす恐れがあります。CVSSスコアが9.1と極めて高く、認証済みとはいえ権限昇格やシステム乗っ取りに直結するため、非常に重大なリスクと判断されます。なお、技術サポートが終了したバージョンについては評価対象外となっています。

Apache APISIXにおいて、認証を回避される脆弱性が存在します。具体的には、jwt-authプラグインの設定を悪用されることで、攻撃者が認証プロセスを完全にバイパスし、不正なアクセスが可能となる恐れがあります。本脆弱性はCVSS v3スコアが9.1と評価されており、認証を突破されることでシステムが深刻な脅威にさらされるため、非常に重大な問題です。影響を受けるバージョンを使用している場合、速やかに修正済みバージョンへアップデートする必要があります。

Cactiのバージョン1.2.30およびそれ以前のバージョンにおいて、graph_view.phpファイルにおける入力値の検証不備に起因するSQLインジェクションの脆弱性が存在します。攻撃者は、認証を受けていない状態から細工されたリクエストを送信することで、データベースに対する不正なクエリを実行できる可能性があります。本脆弱性はCVSS v3スコアが9.8と極めて深刻であり、悪用された場合、機密情報の漏洩やデータの改ざん、システムの可用性低下を招く恐れがあるため、早急な対応が求められます。

ログ収集ツール「Fluentd」において、パストラバーサルが可能となる脆弱性（CVE-2026-44024）が公表されました。CVSSベーススコアは9.8（Critical）と評価されており、修正版となるバージョン1.19.3がリリースされています。

CCアーキテクト株式会社が提供する「3CXクラウドサービス」において、第三者による不正アクセスが発生しました。外部のシステム監視サービスで漏洩したアカウント情報が悪用され、管理画面上のSIPトランク認証情報が閲覧されたほか、国際電話への不正発信が行われた可能性があります。

徳丸商店が利用するメール配信システム「める配くん」において、外部からの不正アクセスによる個人情報漏洩の可能性が判明しました。システム運営元のデータサーバーが攻撃を受け、個人情報が窃取された疑いがあります。現在、運営元にて詳細な調査が進められています。

サッポロホールディングスは、海外グループ会社のPOKKA PTE. LTD.とSLEEMAN BREWERIES LTD.において不正アクセスが発生したと発表しました。不正な通信ログを検知したことで発覚し、現在は当該システムの遮断と外部専門家による調査が行われています。