セキュリティホール memo

Last modified: Thu Sep 17 19:08:56 2026 +0900 (JST)


Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

このページの情報を利用される前に、注意書きをお読みください。


[ 定番情報源 ] 過去の記事: 2026 | 2025 | 2024 | 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[SCAN Security Wire NP Prize 2001]

「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。

 

「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。


復刊リクエスト受付中:

ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在58票)
中山信弘「ソフトウェアの法的保護」 (現在112票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在109票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在175票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。 小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。 G現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、 セキュmemoのRSS生成 をご利用ください。Tamo さん情報ありがとうございます。

実用 SSH 第2版: セキュアシェル徹底活用ガイド

2026.09.17

Firefox 156.0 / ESR 153.3.0 / ESR 140.16.0 / ESR 115.41.0、Thunderbird 156.0 / 153.3esr / 140.16.0esr 公開
(Mozilla, 2026.09.15)

 出てました。

追記

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

 関連:

  • 2026年9月 セキュリティアップデート解説:Microsoft社は996件、Adobe社は172件の脆弱性に対応 (ZDI / トレンドマイクロ, 2026.09.14)

    CVE-2026-55007 - Microsoft Exchange Server のリモートでコードが実行される脆弱性

    今月はExchangeのパッチが複数公開されていますが、CVSSの評価にかかわらず、本脆弱性が最も重要だと考えます。認証されていない攻撃者が、不正なVisioファイルを添付したメールを送るだけで、影響を受けるExchangeサーバ上でリモートからコードを実行できる可能性があります。コードはサーバがメールを処理する際に実行されるため、プレビューウィンドウで表示する必要すらありません。Microsoftは悪用は安定して成功するものではないとしていますが、攻撃者は一度でも成功すれば目的を達成できます。停止時間を確保し、Exchangeサーバを早急に更新してください。

    Windows DNS/DNS Server: 関連する脆弱性は合わせて18件あり、内訳はRCEが10件、DoSが3件、EoPが2件、情報漏洩が2件、なりすましが1件です。サーバのレコード処理における解放済みメモリの使用が大半を占めます。ここでも単一コンポーネントを集中的に調査した結果と見られますが、影響を受けるのはドメインコントローラです。ワーム化の可能性があるものはすでに2件ほど取り上げましたが、残るRCEもそれに近い性質です。ただし、競合状態をうまく突くか、既定では有効でないコンポーネントを必要とします。DHCP関連とは異なり、認証不要かつスコア9.8で「悪用される可能性が高い」とされた、わずか2件のうちの1件がここに含まれます。ドメインコントローラにパッチを適用し、念には念を入れてもう一度確認してください。
  • Windows DNSの脆弱性情報が公開されました(CVE-2026-69730、他17件) (JPRS, 2026.09.11)


2026.09.16

いろいろ (2026.09.16)
(various)

Cisco Secure Email Gateway and Secure Email / Web Manager

Postfix

XZ Utils

コンテック FLEXLAN シリーズ


2026.09.15

Apple 方面 (iOS / iPadOS, macOS, tvOS, watchOS, visionOS, Safari, Xcode)
(Apple, 2026.09.14)

 0-day は無いようです。 iida さん情報ありがとうございます。

Cisco Secure Email GatewayにおけるSQLインジェクションの脆弱性(CVE-2026-76461)に関する注意喚起
(JPCERT/CC, 2026.09.15)

 Cisco Secure Email Gateway に 0-day 欠陥、remote から無認証かつ root 権限で 任意のコマンドを実行できる。 cisco-sa-esa-inj-2bLVGmhX の DeepL AI 訳より:

攻撃者は、悪意のあるSQL文を含む細工された電子メールメッセージを、影響を受けるデバイスに送信することで (中略) 任意のSQL文を実行できるようになり (中略) root権限によるコマンド実行が可能となる

 Cisco AsyncOS 15.5.5-0141 / 16.0.4-3021 / 16.5.0-780 で対応されている。「シスコは、お客様がリリース 16.5.0-780 へ移行することを強く推奨します」だそうだ。 また、既にヤラれているかどうかについては、以下のように書かれている。

この脆弱性に対する攻撃の試みを確認するには、mail_logs を確認し、不審な SQL 文がないか調べてください。デバイスがクラスタの一部である場合は、各クラスタデバイスのログを確認してください。以下は、ログ内で悪意のある SQL 文を検出する方法の一例ですが、これに限られるわけではありません:

    cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]

出力に何らかのエントリが含まれている場合は、悪意のある活動の兆候である可能性があります。

追記

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

 RDS / Hyper-V / USB オーディオの不具合を修正した、累積的な「定例外更新」が公開されました。USB オーディオについては一部の不具合のみ修正だそうです。 セキュリティ修正も 2 件追加されています。

  • September 14, 2026—KB5129194 (OS Build 28000.2956) Out-of-band (Microsoft, 2026.09.14)。 Windows 11 26H1 の update history。 DeepL AI 訳を若干調整:

    この定例外更新プログラムには、以下の機能改善が含まれています:
    • [セキュリティ] この更新プログラムには CVE-2026-62721 に記載されている保護対策が含まれています。これは、Windows ユーザーモード パワー サービス (UMPS) の権限昇格の脆弱性に関するものです。
    • [セキュリティ] この更新プログラムには CVE-2026-85921 に記載されている保護対策が含まれています。これは、Windows セキュアカーネルモードの権限昇格の脆弱性に関するものです。
    • [リモート デスクトップ サービス (既知の問題)] 修正済み: この更新プログラムは、2026年9月の Windows セキュリティ更新プログラム (KB5124012) のインストール後にリモート デスクトップ サービス (RDS) に影響を及ぼす問題を解決します。影響を受ける環境では、RDS が不安定になり、RDP 接続やサインインの失敗、またはリモート デスクトップの設定中にサーバーが応答しなくなる可能性があります。Microsoft Management Console (MMC)、RDS ライセンス診断ツール、ファイル エクスプローラー、Windows Update ページなどの関連ツールも、応答しなくなる可能性があります。
    • [Hyper-V (既知の問題)] 修正済み: HCS 管理対象 仮想マシンを使用する一部のアプリケーションで、Plan9 を使用して Linux VM とホストフォルダーを共有する際に問題が発生していました。Plan9 を使用して Windows ホストから共有されたフォルダーが、ゲスト環境に表示されない、またはアクセスできない状態になっていました。
    • [8 チャンネルまたは 3D オーディオ モード] 修正済み: 標準のステレオ構成では正常に動作していた一部の USB オーディオ クラス 1.0 デバイスが、8 チャンネルまたは 3D オーディオ モードを含むマルチチャンネル オーディオ機能を使用する際に動作しなくなっていた問題を修正しました。(注: この定例外更新では解決されていないその他のオーディオ関連の問題があります。詳細については、「このアップデートの既知の問題」セクションを参照してください。)

    CVE-2026-62721 は Windows 全般。 CVE-2026-85921 は Windows 11 26H1 のみ対象。 いずれも 0-day ではない。

  • Microsoft、Windowsの9月パッチで発生した不具合に緊急対処 ~定例外更新をリリース (窓の杜, 2026.09.15)

    なお、「Windows 11 バージョン 24H2」以降の場合、今回のパッチは 適用必須のセキュリティアップデート という位置付けになっている。 (中略)  一方、「Windows 11 バージョン 23H2」と「Windows 10 バージョン 22H2」(ESU)では、今回のパッチは オプションの非セキュリティ更新プログラム として提供される。

    Windows Update で流れてくるのは Windows 11 24H2 以降と。 多分 Windows Server 2025 (Microsoft Server Operating System-24H2) も同様かと (使ってないから確認できないんだけど)。

  • 2026-09 (Microsoft Update カタログ)。 Windows 11 23H2、Windows 10 22H2、 Windows Server 2022 (Microsoft Server operating system-21H2) 以前についてはこちらから。


2026.09.14

いろいろ (2026.09.14)
(various)

GitLab

GIMP

追記

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)


2026.09.11


2026.09.10

追記

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

 不具合情報です。 今のところ、回避するにはアンインストールするしか無いようです。

「Google Chrome 153」が公開 ~230件の脆弱性を修正、悪用が確認されたゼロデイも
(窓の杜, 2026.09.09)

 Chrome 153 が stable となりました。

2026.09.17 追記:

 Chrome 153.0.8010.47 等が公開。


2026.09.09

いろいろ (2026.09.09)
(various)

Android

Adobe 方面 (Experience Manager / ColdFusion / Photoshop / Illustrator / Animate / Photoshop Mobile / Commerce / Acrobat and Reader / Campaign Classic)
(Adobe, 2026.09.08)

 出ました。

 Priority:

  1. ColdFusion / Campaign Classic
  2. Experience Manager / Acrobat and Reader / Commerce
  3. Photoshop / Illustrator / Animate / Photoshop Mobile

 また Commerce は上記 APSB26-138 の他に、2026.09.07 に公開された APSB26-146 がある (Priority: 1)。APSB26-146 の修正は APSB26-138 には含まれていない模様。 Security update available for Adobe Commerce - APSB26-138 (Adobe, 2026.09.08) にも以下の記述がある。 DeepL AI 訳:

重要

2026年9月7日、アドビはAdobe CommerceおよびMagento Open Sourceに影響する重大なセキュリティ更新プログラム(APSB26-146)をリリースしました。本ドキュメントに記載されている9月の個別パッチファイルに加え、CVE-2026-75650 に対するホットフィックスを適用してください。また、アドビは、是正措置の一環として、暗号化キーおよび関連する認証情報を更新することを強く推奨しています。

 両方適用する必要があるようだ。

2026 年 9 月のセキュリティ更新プログラム (月例)
(Microsoft, 2026.09.08)

 出ました。 974 Microsoft CVE + 25 non-MS CVE。 https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep から引用:

製品ファミリ 個別更新数 対処した脆弱性数 製品/バージョンごとの更新数 更新タイプ
Azure 1 12 4 個別
Developer Tools 1 22 36 累積
Exchange Server 1 9 4 累積
Office 1 111 11 累積 (2016 を除く)
Office 2016 1 111 18 個別
Other 1 9 9 個別
SharePoint Server 1 16 3 累積
Skype for Business 1 10 3 累積
SQL 1 62 1 累積
Windows 1 723 32 累積

 「注目すべき CVE」(0-day) は 2 件。どちらも攻略ツールが存在。

 関連:

2026.09.10 追記:

 不具合情報です。 今のところ、回避するにはアンインストールするしか無いようです。

2026.09.14 追記:

 不具合情報です。

2026.09.15 追記:

 RDS / Hyper-V / USB オーディオの不具合を修正した、累積的な「定例外更新」が公開されました。USB オーディオについては一部の不具合のみ修正だそうです。 セキュリティ修正も 2 件追加されています。

2026.09.17 追記:

 関連:


2026.09.08

Security update available for Adobe Commerce | APSB26-146
(Adobe, 2026.09.07)

 Adobe Commerce / Magento Open Source に 0-day 欠陥 CVE-2026-75650。 remote から無認証で任意のコードを実行できる。 Priority: 1

 Hotfix が公開されているので適用する。また適用後に、認証情報のローテーションが求められている。

いろいろ (2026.09.08)
(various)

libxml2

FreeRDP

pcre2

libexpat

CVE-2026-67276: MikroTik RouterOS SSH Zero-Day Exploited in Router Takeover Attacks
(socprime.com, 2026.09.07)

 MikroTik RouterOS に欠陥。SSH 関連の欠陥 CVE-2026-67276 CVE-2026-86060 を組みあわせることで、remote から管理者権限を奪取できる。 DeepL AI 訳:

研究者らが、攻撃者がインターネットに接続されたルーターに対して、深刻度の高いSSH認証バイパス脆弱性を積極的に悪用していることを確認したことを受け、MikroTikはRouterOSの緊急セキュリティアップデートを公開しました。CVE-2026-67276として追跡され、CVSSスコアで9.2と評価されているこの脆弱性により、攻撃者は、そのユーザーの正当なRSA秘密鍵を所有していなくても、既存のRouterOSユーザーとして認証を行うことが可能になります。

この脆弱性は、別のSSH権限昇格の脆弱性であるCVE-2026-86060と組み合わさると、その危険性が大幅に高まります。CERT Polskaは、この2段階の攻撃チェーンをMikroTrickと名付け、攻撃者がこれを利用して、パブリックネットワークからSSHサービスにアクセス可能なRouterOSデバイスに対する完全な管理権限を取得していることを確認しました。

 RouterOS 7.25 beta 3 / 7.24.2 / 7.23.4 / 6.49.21 で修正されている。また 2026.09.04 付で 7.23.5 が公開されている。 DeepL AI 訳:

更新後、RouterOS は、不正な設定変更の既知の指標について起動時のチェックを実行します。不審な変更が検出された場合、デバイスには Flagged ステータスが割り当てられ、関連する設定エントリが無効化されるほか、システムログに重大な警告が記録されます。

管理者は、次のコマンドを使用してこの状態を確認できます:

/system/device-mode/print

「Flagged」とマークされた結果は、そのデバイスが侵害された可能性があるという証拠として扱うべきです。ただし、MikroTik および CERT Polska はともに、「Flagged」マークがないからといって、そのルーターが安全であるとは限らないことを強調しています。これは、このメカニズムが特定の既知の痕跡のみを検出する仕組みだからです。

したがって、CVE-2026-67276の検知にあたっては、パッチの適用状況の確認に加え、ログの確認、設定の点検、および最近作成されたアカウントや管理上の変更点の分析を組み合わせる必要があります。

 実際の攻撃が、遅くとも 2026.09.02 には始まっているのだそうで。 特に SSH を外部公開していたサイトでは、ヤラれていないかどうかの確認が必要と。

 関連:


2026.09.07

追記

「Google Chrome 152」が公開 ~327件もの脆弱性を修正、MV2拡張機能はストアから全削除へ (2026.08.28)

 Chrome 152.0.7977.82 等が出てました。

いろいろ (2026.09.07)
(various)

Cisco Nexus 9000 (Silicon One ASIC 塔載機)

ASUS Control Center

Roundcube

7-Zip


2026.09.03

いろいろ (2026.09.03)
(various)

curl

Dovecot

SonicWall SMA 1000

Firefox 155.0 / ESR 153.2.0 / ESR 140.15.0 / ESR 115.40.0、Thunderbird 155.0 / 153.2esr / 140.15.0esr 公開
(Mozilla, 2026.09.01)

 出てました。

追記

「Google Chrome 152」が公開 ~327件もの脆弱性を修正、MV2拡張機能はストアから全削除へ (2026.08.28)

 Chrome 152.0.7977.75 等が出てました。

2026 年 8 月のセキュリティ更新プログラム (月例) (2026.08.19)

 ARM CPU の Windows 11 に 2026.08 patch をインストールすると、 Teams / Outlook で「起動しない」 「予期せず終了する」などの不具合が発生するそうです。

 こういうことがあると、やっぱり ARM CPU は避けるべき、となってしまうなあ。 いまだにこんな不具合が発生するとは。


2026.09.02


2026.09.01

URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026)
(PaperCut, 2026.08.27)

 PaperCut NG/MF v24 / v25 / v26 に 0-day 欠陥 2 件 CVE-2026-82078 CVE-2026-81578。 組み合わせることで、remote から無認証で任意の Java バイトコードを実行できる。

 PaperCut サーバーの Web インターフェースにアクセス可能な IP アドレスを制限することで影響を緩和できる。 DeepL AI 訳:

PaperCut NG/MF アプリケーションサーバーが一般のインターネットからアクセス可能な場合は、直ちに Web アクセスを信頼できる IP アドレス(例:社内 IP アドレス)のみに制限してください。

ファイアウォールルール、ネットワークアクセス制御、または同等の措置を講じ、信頼できないインターネットアドレスからPaperCutサーバーのWebインターフェースにアクセスできないようにしてください。不審な活動が確認されていない場合でも、今すぐこの措置を講じてください。

 2026.08.28 時点で「緊急パッチ(リリース2)」が公開されている。 あくまで、緩和措置を実施できない場合のためとされている。 不具合も報告されているので、適用には注意されたい。 DeepL AI 訳:

パッチ適用後の不具合報告

[2026年8月29日 午後4時35分(AEST)]

パッチを適用した後、外部データベースのカード番号/ID番号検索機能およびSAMLが期待通りに動作していないという報告がいくつか寄せられています。現在調査を進めており、詳細が判明次第、本速報を更新いたします。

[2026年8月30日 午前10時34分(AEST)]

レガシー版のSourceforge jTDSドライバーを使用してSQL Serverで外部カード検索を行っているお客様には、まずは、サポートされている最新のMicrosoft SQL JDBCドライバーに更新することをお勧めします。詳細については、以下のFAQをご覧ください。

 Advisory には侵害の徴候についても記載されている。server.log 等を確認されたい。


過去の記事: 2026 | 2025 | 2024 | 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[セキュリティホール memo]
[私について]