セキュリティホール memo

Last modified: Thu Sep 10 20:06:27 2026 +0900 (JST)


Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

このページの情報を利用される前に、注意書きをお読みください。


[ 定番情報源 ] 過去の記事: 2026 | 2025 | 2024 | 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[SCAN Security Wire NP Prize 2001]

「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。

 

「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。


復刊リクエスト受付中:

ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在58票)
中山信弘「ソフトウェアの法的保護」 (現在112票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在109票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在175票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。 小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。 G現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、 セキュmemoのRSS生成 をご利用ください。Tamo さん情報ありがとうございます。

実用 SSH 第2版: セキュアシェル徹底活用ガイド

2026.09.10

追記

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

 不具合情報です。 今のところ、回避するにはアンインストールするしか無いようです。

「Google Chrome 153」が公開 ~230件の脆弱性を修正、悪用が確認されたゼロデイも
(窓の杜, 2026.09.09)

 Chrome 153 が stable となりました。


2026.09.09

いろいろ (2026.09.09)
(various)

Android

Adobe 方面 (Experience Manager / ColdFusion / Photoshop / Illustrator / Animate / Photoshop Mobile / Commerce / Acrobat and Reader / Campaign Classic)
(Adobe, 2026.09.08)

 出ました。

 Priority:

  1. ColdFusion / Campaign Classic
  2. Experience Manager / Acrobat and Reader / Commerce
  3. Photoshop / Illustrator / Animate / Photoshop Mobile

 また Commerce は上記 APSB26-138 の他に、2026.09.07 に公開された APSB26-146 がある (Priority: 1)。APSB26-146 の修正は APSB26-138 には含まれていない模様。 Security update available for Adobe Commerce - APSB26-138 (Adobe, 2026.09.08) にも以下の記述がある。 DeepL AI 訳:

重要

2026年9月7日、アドビはAdobe CommerceおよびMagento Open Sourceに影響する重大なセキュリティ更新プログラム(APSB26-146)をリリースしました。本ドキュメントに記載されている9月の個別パッチファイルに加え、CVE-2026-75650 に対するホットフィックスを適用してください。また、アドビは、是正措置の一環として、暗号化キーおよび関連する認証情報を更新することを強く推奨しています。

 両方適用する必要があるようだ。

2026 年 9 月のセキュリティ更新プログラム (月例)
(Microsoft, 2026.09.08)

 出ました。 974 Microsoft CVE + 25 non-MS CVE。 https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep から引用:

製品ファミリ 個別更新数 対処した脆弱性数 製品/バージョンごとの更新数 更新タイプ
Azure 1 12 4 個別
Developer Tools 1 22 36 累積
Exchange Server 1 9 4 累積
Office 1 111 11 累積 (2016 を除く)
Office 2016 1 111 18 個別
Other 1 9 9 個別
SharePoint Server 1 16 3 累積
Skype for Business 1 10 3 累積
SQL 1 62 1 累積
Windows 1 723 32 累積

 「注目すべき CVE」(0-day) は 2 件。どちらも攻略ツールが存在。

 関連:

2026.09.10 追記:

 不具合情報です。 今のところ、回避するにはアンインストールするしか無いようです。


2026.09.08

Security update available for Adobe Commerce | APSB26-146
(Adobe, 2026.09.07)

 Adobe Commerce / Magento Open Source に 0-day 欠陥 CVE-2026-75650。 remote から無認証で任意のコードを実行できる。 Priority: 1

 Hotfix が公開されているので適用する。また適用後に、認証情報のローテーションが求められている。

いろいろ (2026.09.08)
(various)

libxml2

FreeRDP

pcre2

libexpat

CVE-2026-67276: MikroTik RouterOS SSH Zero-Day Exploited in Router Takeover Attacks
(socprime.com, 2026.09.07)

 MikroTik RouterOS に欠陥。SSH 関連の欠陥 CVE-2026-67276 CVE-2026-86060 を組みあわせることで、remote から管理者権限を奪取できる。 DeepL AI 訳:

研究者らが、攻撃者がインターネットに接続されたルーターに対して、深刻度の高いSSH認証バイパス脆弱性を積極的に悪用していることを確認したことを受け、MikroTikはRouterOSの緊急セキュリティアップデートを公開しました。CVE-2026-67276として追跡され、CVSSスコアで9.2と評価されているこの脆弱性により、攻撃者は、そのユーザーの正当なRSA秘密鍵を所有していなくても、既存のRouterOSユーザーとして認証を行うことが可能になります。

この脆弱性は、別のSSH権限昇格の脆弱性であるCVE-2026-86060と組み合わさると、その危険性が大幅に高まります。CERT Polskaは、この2段階の攻撃チェーンをMikroTrickと名付け、攻撃者がこれを利用して、パブリックネットワークからSSHサービスにアクセス可能なRouterOSデバイスに対する完全な管理権限を取得していることを確認しました。

 RouterOS 7.25 beta 3 / 7.24.2 / 7.23.4 / 6.49.21 で修正されている。また 2026.09.04 付で 7.23.5 が公開されている。 DeepL AI 訳:

更新後、RouterOS は、不正な設定変更の既知の指標について起動時のチェックを実行します。不審な変更が検出された場合、デバイスには Flagged ステータスが割り当てられ、関連する設定エントリが無効化されるほか、システムログに重大な警告が記録されます。

管理者は、次のコマンドを使用してこの状態を確認できます:

/system/device-mode/print

「Flagged」とマークされた結果は、そのデバイスが侵害された可能性があるという証拠として扱うべきです。ただし、MikroTik および CERT Polska はともに、「Flagged」マークがないからといって、そのルーターが安全であるとは限らないことを強調しています。これは、このメカニズムが特定の既知の痕跡のみを検出する仕組みだからです。

したがって、CVE-2026-67276の検知にあたっては、パッチの適用状況の確認に加え、ログの確認、設定の点検、および最近作成されたアカウントや管理上の変更点の分析を組み合わせる必要があります。

 実際の攻撃が、遅くとも 2026.09.02 には始まっているのだそうで。 特に SSH を外部公開していたサイトでは、ヤラれていないかどうかの確認が必要と。

 関連:


2026.09.07

追記

「Google Chrome 152」が公開 ~327件もの脆弱性を修正、MV2拡張機能はストアから全削除へ (2026.08.28)

 Chrome 152.0.7977.82 等が出てました。

いろいろ (2026.09.07)
(various)

Cisco Nexus 9000 (Silicon One ASIC 塔載機)

ASUS Control Center

Roundcube

7-Zip


2026.09.03

いろいろ (2026.09.03)
(various)

curl

Dovecot

SonicWall SMA 1000

Firefox 155.0 / ESR 153.2.0 / ESR 140.15.0 / ESR 115.40.0、Thunderbird 155.0 / 153.2esr / 140.15.0esr 公開
(Mozilla, 2026.09.01)

 出てました。

追記

「Google Chrome 152」が公開 ~327件もの脆弱性を修正、MV2拡張機能はストアから全削除へ (2026.08.28)

 Chrome 152.0.7977.75 等が出てました。

2026 年 8 月のセキュリティ更新プログラム (月例) (2026.08.19)

 ARM CPU の Windows 11 に 2026.08 patch をインストールすると、 Teams / Outlook で「起動しない」 「予期せず終了する」などの不具合が発生するそうです。

 こういうことがあると、やっぱり ARM CPU は避けるべき、となってしまうなあ。 いまだにこんな不具合が発生するとは。


2026.09.02


2026.09.01

URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026)
(PaperCut, 2026.08.27)

 PaperCut NG/MF v24 / v25 / v26 に 0-day 欠陥 2 件 CVE-2026-82078 CVE-2026-81578。 組み合わせることで、remote から無認証で任意の Java バイトコードを実行できる。

 PaperCut サーバーの Web インターフェースにアクセス可能な IP アドレスを制限することで影響を緩和できる。 DeepL AI 訳:

PaperCut NG/MF アプリケーションサーバーが一般のインターネットからアクセス可能な場合は、直ちに Web アクセスを信頼できる IP アドレス(例:社内 IP アドレス)のみに制限してください。

ファイアウォールルール、ネットワークアクセス制御、または同等の措置を講じ、信頼できないインターネットアドレスからPaperCutサーバーのWebインターフェースにアクセスできないようにしてください。不審な活動が確認されていない場合でも、今すぐこの措置を講じてください。

 2026.08.28 時点で「緊急パッチ(リリース2)」が公開されている。 あくまで、緩和措置を実施できない場合のためとされている。 不具合も報告されているので、適用には注意されたい。 DeepL AI 訳:

パッチ適用後の不具合報告

[2026年8月29日 午後4時35分(AEST)]

パッチを適用した後、外部データベースのカード番号/ID番号検索機能およびSAMLが期待通りに動作していないという報告がいくつか寄せられています。現在調査を進めており、詳細が判明次第、本速報を更新いたします。

[2026年8月30日 午前10時34分(AEST)]

レガシー版のSourceforge jTDSドライバーを使用してSQL Serverで外部カード検索を行っているお客様には、まずは、サポートされている最新のMicrosoft SQL JDBCドライバーに更新することをお勧めします。詳細については、以下のFAQをご覧ください。

 Advisory には侵害の徴候についても記載されている。server.log 等を確認されたい。


過去の記事: 2026 | 2025 | 2024 | 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[セキュリティホール memo]
[私について]