セキュリティ脅威情報

Palo Alto Networks が提供するファイアウォール製品の基本ソフトウェアである PAN-OS に、重大なコードインジェクションの脆弱性が存在する。本脆弱性は、ネットワーク経由でアクセス可能な認証済みの攻撃者によって悪用される可能性があり、成功するとファイアウォール上で root 権限を用いた任意のコード実行が行われる恐れがある。CISA は本脆弱性を「実環境で悪用が確認された脆弱性カタログ（KEV）」に追加しており、攻撃者による能動的な侵害活動が行われていることを示唆している。組織のネットワーク境界を守る機器の脆弱性であるため、極めて高い優先度での対応が必要である。CISA は米国の連邦政府機関に、2026年10月17日までの対応を求めている。

Cisco Secure Email Gatewayにおいて、相対パス・トラバーサルの脆弱性が確認された。この脆弱性は、細工されたリクエストを送信することで、認証されていないリモートの攻撃者がOS上の任意の場所にファイルを書き込むことを可能にするものである。本脆弱性はCISAの「悪用が確認済みの脆弱性カタログ（KEV）」に追加されており、実際の攻撃に利用されている。認証なしでリモートからファイル操作が可能であることから、システムの完全な乗っ取りにつながる危険性が極めて高い。CISA は米国の連邦政府機関に、2026年10月17日までの対応を求めている。

米CISAは、Ivanti Connect Secureの認証バイパス脆弱性（CVE-2026-104935）の積極的な悪用を確認し、直ちにアップデートを適用するよう組織に要請しました。本脆弱性は悪用が確認されたためCISAのKEVカタログに追加されており、リモートから認証なしで任意のコマンドを実行されるおそれがあります。

EGセキュアソリューションズは、SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）を公表しました。JPCERT/CCが悪用の確認を伝えており、アップデートや統計機能の無効化などの対策が案内されています。

JPCERT/CCは、マイクロソフト社製品の脆弱性を修正する2026年10月のセキュリティ更新プログラムが公開されたことに伴い、注意喚起を発出しました。悪用が確認されているWindows シェルの脆弱性（CVE-2026-96951）などが含まれており、早期の更新プログラム適用を呼びかけています。