セキュリティ脅威情報

ProFTPD において、不適切なアクセス制御の脆弱性が確認された。この問題は、mod_copy モジュールに含まれる site cpfr および site cpto コマンドの処理に起因する。攻撃者は、認証を介さずにリモートからこれらのコマンドを実行することで、サーバ上の任意のファイルを別の場所へコピーしたり、外部からファイルを書き込んだりすることが可能になる。CISA KEV に登録されたことは、この脆弱性が実際の攻撃に悪用されていることを示しており、迅速な対応が求められる。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。

ONLYOFFICE Docs Serverにおいて、パス・トラバーサルの脆弱性が確認された。この問題は、JWT（JSON Web Token）が使用されている環境下で、画像アップロード用パラメータに含まれる「/..」シーケンスの処理不備に起因する。CISAの既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境において攻撃に利用されている。攻撃者がこの脆弱性を悪用することで、サーバー上で任意のコードを実行する（RCE）可能性があるため、極めて危険な状態である。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。

Strapi において、機密情報が平文で保存される脆弱性が確認された。管理パネルへのアクセス権を持つ攻撃者が、クエリフィルタ機能を悪用することで、他のユーザーの機密詳細情報を取得できる可能性がある。特筆すべき点として、本脆弱性は別の脆弱性（CVE-2023-22621）と組み合わせることで、最終的にリモートコード実行（RCE）を許容する恐れがある。CISA によれば、影響を受ける製品は既にサポート終了（EoL）を迎えている可能性があり、継続利用には高いリスクが伴う。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。

Apache Struts において、Dynamic Method Invocation（DMI）が有効な場合に「method:」プレフィックスを悪用して任意のコマンド実行が可能になる脆弱性が存在する。本脆弱性は CISA の悪用済み脆弱性カタログ（KEV）に追加されており、攻撃者による実際の悪用が確認されている。リモートからサーバー上で任意の OS コマンドを実行される恐れがあり、機密情報の漏洩やシステム全体の乗っ取りにつながる可能性があるため、極めて重大な脅威である。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。

ISC BIND には、データ処理上の不備に起因する脆弱性が存在する。攻撃者が特別に細工した TKEY クエリを送信することで、リモートから DNS サービスを停止（クラッシュ）させることが可能である。BIND はインターネットインフラの根幹を成すシステムであり、本脆弱性が悪用されるとドメイン名の名前解決が不能になり、Web 閲覧やメール送受信などネットワークを介したあらゆるサービスに甚大な影響を及ぼす。CISA はこの脆弱性が実際に攻撃に悪用されている事実を確認しており、重大な脅威として KEV カタログに追加した。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。