セキュリティ脅威情報

Dell PowerProtect Data DomainおよびData Domain Management Centerにおいて、合計7件の深刻な脆弱性が確認された。主な問題として、スタックベースのバッファオーバーフロー、ハードコードされた暗号鍵の使用、不適切な認証、SQLインジェクション、権限の欠落、および認証バイパスが含まれる。認証されていない遠隔の攻撃者や低い権限を持つ攻撃者によって悪用される可能性があり、任意のコマンド実行、資格情報の露出、特権アカウントの作成、さらにはシステム全体の完全な制御を奪われる危険性がある。

Juniper NetworksのSession Smart ConductorおよびSession Smart Routerにおいて、合計10件（関連CVEを含む場合はそれ以上）の脆弱性が公表された。最も深刻な問題はSession Smart ConductorのAutomatedProvisionerにおけるOSコマンドインジェクション脆弱性（CVE-2026-103406）であり、CVSS基本値9.8（Critical）と評価されている。遠隔の攻撃者が細工されたsalt minion IDを送信することにより、root権限で任意のコマンドを実行することが可能である。その他にも、認証の欠如による管理者権限の取得、パストラバーサル、スタックバッファオーバーフロー、整数オーバーフローなど、リモートコード実行やサービス運用妨害（DoS）を引き起こす複数の脆弱性が含まれている。

Sophos UTMのすべてのバージョンにおいてパストラバーサルの脆弱性が存在する。メールプロキシがスキャン有効状態で使用されている環境において、数分間にわたり繰り返し攻撃を継続して競合状態に勝利することで、リモートの認証されていない攻撃者がroot権限で任意のコードを実行することが可能となる。Sophos UTMはすでにサポート終了（EOL）となっており、パッチを手動でインストールする必要がある。

zip クレートにおいて、ZIP アーカイブ内のローカルファイルヘッダー（LFH）とセントラルディレクトリファイルヘッダー（CDFH）の間で解釈の不整合が生じる脆弱性が存在する。ZipArchive などのランダムアクセスクーラーは CDFH を信頼する一方、ZipStreamReader などのストリーミングリーダーは LFH を直接読み取ってファイルを抽出する。この不整合を利用して、セキュリティゲートウェイの検査をすり抜けつつ、バックエンド処理で任意のファイルを上書きする攻撃が可能となる。PoC（概念実証コード）や実害につながる攻撃チェーンが確認されており、深刻度は Critical に相当する。

Wasmtime の aarch64 向け Cranelift バックエンドにおいて、大規模な `br_table` 命令を含む WebAssembly モジュールをコンパイルする際に、誤った条件付き分岐ターゲットが生成される問題が存在する。これにより、制御フロー管理が不十分となり、意図しないコード領域へジャンプして任意のサンドボックスエスケープを引き起こすおそれがある。

The PHP Groupから、PHPの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリが公開されました。影響を受けるバージョンのPHPでは、サーバ上で任意のコードが実行されるおそれがあります。JVNやJPCERT/CCからも注意喚起が出されており、開発者が提供するパッチの適用が呼びかけられています。

Googleは、ウェブブラウザ「Chrome」のセキュリティアップデートを公開しました。合計52件の脆弱性が修正されており、そのうち4件は重要度が「クリティカル」と評価されています。

Cisco Talosは、Cisco SD-WAN Catalyst Controllerの認証バイパス脆弱性（CVE-2026-20127）を悪用して侵入し、制御プレーンから暗号鍵素材などを窃取するカスタムマルウェアフレームワーク「KeyDrift」を展開するAPTグループ「UAT-11473」の活動分析を公開しました。

UEFIファームウェアの基盤であるオープンソースコード「EDK II」のネットワークブート機能に、16年前から存在していた深刻なバッファオーバーフロー脆弱性（CVE-2026-97631）が判別しました。ネットワークブート時に細工したエラーメッセージを送信されることで、OS起動前やSecure Bootの検証前に任意のコードを実行されるおそれがあります。すでに修正コードはマージされていますが、安定版リリースにはまだ含まれていません。

JFEケミカルは、10月21日に公表した第三者による不正アクセスおよび情報漏洩に関する第二報を公開しました。外部の専門機関と調査を進めた結果、お取引先、社外関係者、および当社・当社社員に関する個人情報が最大約23万件不正に取得された、またはそのおそれがあることを確認しています。クレジットカード番号や銀行口座情報の漏洩は確認されていません。

Eストアーが運営するECサイト構築・運営支援サービス「ショップサーブ」が不正アクセスを受けました。外部の第三者がサーバー上でアプリケーションの脆弱性を悪用して不正なプログラムを実行し、購入者情報など約2,335万6,000人分の情報が外部に送信され漏えいしました。同社は通信を遮断し、脆弱性の修正や認証の強化などの対応を実施しています。

ソニーネットワークコミュニケーションズは、「So-net」の会員データベースが外部から侵害され、個人情報が流出したことを明らかにしました。退会者情報27万2215件を含む会員情報約214万件のほか、メール関連4サービスのメールアドレスやパスワードが流出したとしています。

株式会社ネットプロテクションズは、同社が運営する「NP後払い」の請求書再発行システムに対し、第三者から通常想定されない方法で機械的かつ連続的なリクエストが行われたと発表しました。この不正アクセスにより、28,884件の取引における個人情報（氏名、住所、法人利用の場合は会社名・部署名）へのアクセスが判明しています。

公益財団法人21あおもり産業総合支援センターは、利用しているメール配信サービス「ブラストメール」への不正アクセスにより、メールアドレスや氏名などの個人情報が漏えいしたと公表しました。サービス提供元の株式会社ラクスライトクラウドのAPI用サーバーに外部の第三者が侵入し、データベースからデータが持ち出されたとしています。