セキュリティホール memo - 2026.04

Last modified: Wed Dec 31 23:30:15 2025 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2026.04.30

Linuxを揺るがす脆弱性「Copy Fail」が発見。わずか732バイトでroot権限が奪取される衝撃
(ソフトアンテナ, 2026.04.30)

 主要な Linux ディストリに欠陥。 732 バイトの Python スクリプトを実行するだけで root 権限を取得できる。 報告者は 2017 年以降の全ての Linux ディストリに影響する、としている。

 本家はこちら: https://copy.fail/

 とりあえず、以下の手順で algif_aead カーネルモジュールを無効化することで回避できるとされている。

# echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
# rmmod algif_aead 2>/dev/null || true

 関連:


2026.04.29


2026.04.28


2026.04.27

いろいろ (2026.04.27)
(various)

FreeBSD

追記

Cisco warns of ASA firewall zero-days exploited in attacks (2025.09.26)

 Cisco ASAおよびFTDにおける複数の脆弱性(CVE-2025-20333、CVE-2025-20362)に関する注意喚起 (JPCERT/CC, 2025.09.26) が 2026.04.27 付で更新された。

2026年4月23日(現地時間)、Ciscoが本脆弱性に関連するアドバイザリを公開しました。本脆弱性の修正適用後も残置する永続化機能を有するマルウェアが設置されていた事案に関する情報が公表されており、マルウェアを検出する方法、検出された場合の対処方法などが案内されています。

Cisco
Continued Evolution of Persistence Mechanism Against Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-CISAED25-03

JPCERT/CCは、本情報更新時点においても、本脆弱性の影響を受けるホストが国内で多数存在していることを確認しています。また、本脆弱性に対する修正バージョン公開前に侵害が発生していた可能性がある事例が海外では指摘されており、当時修正を適用済みであっても侵害が機器内に潜伏・持続している可能性がある点に注意が必要です。

 Continued Evolution of Persistence Mechanism Against Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense (Cisco, 2026.04.24 更新) によると (DeepL AI 訳を若干調整):

2026年4月23日、米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Cisco Secure Firewall Adaptive Security Appliance(ASA)およびCisco Secure Firewall Threat Defense(FTD)製品に関連する緊急指令の更新版、 V1: ED 25-03: Identify and Mitigate Potential Compromise of Cisco Devices を発表しました。

最新情報によると、脅威アクター「ArcaneDoor」は、2025年9月に公開された修正済みリリースへのアップグレード後も維持される、これまで知られていなかった永続化メカニズムを開発しました。(中略) この永続化メカニズムを完全に除去するために Cisco が強く推奨するのは、 本アドバイザリの修正済みソフトウェアセクションに記載されている修正済みリリースを使用して、 デバイスを再イメージ化およびアップグレードすることです。

 クリーンインストールしてから更新・再設定してくれということのようです。


2026.04.24

Firefox 150.0 / ESR 140.10.0 / ESR 115.35.0 、Thunderbird 150.0 / 140.10.0esr 公開。
(Mozilla, 2026.04.21)

 そういえば出てました。

 なんでも Claude Mythos Preview によって多数の欠陥を修正したのだそうで。

2026.05.07 追記:

 Firefox 150.0.1 / ESR 140.10.1 / ESR 115.35.1、 Thunderbird 150.0.1 / 140.10.1esr が公開されている。 セキュリティ修正を含む。


2026.04.23

「iPhoneの通知経由で暗号チャットの履歴を盗み見られる問題」を解決するアップデートがiOS 26.4.2として配信される
(gigazine, 2026.04.23)

 iOS / iPadOS 26.4.2 / 18.7.8 公開。 ロギングの欠陥 CVE-2026-28950 を修正。ロギングの欠陥とは一体何なのかというと:

iOS 26.4.2およびiPadOS 26.4.2で修正されたのは、Signalのメッセージを復元するために利用されたと思われる通知サービスに関するバグ(CVE-2026-28950)です。
(中略)
このバグの影響で、削除対象としてマークされたはずの通知が、予期せずデバイス上に残っていました。Appleによると、データマスキングの改善によりバグを修正することができたそうです。

 消したつもりが残っていた、それを追ったら Signal を突破できたと。 関連:


2026.04.21


2026.04.20


2026.04.17

いろいろ (2026.04.17)
(various)

Drupal

  Drupal 10.5.9 / 10.6.7 / 11.2.11 / 11.3.7 で修正されている。

Chrome 147 Stable Channel Update for Desktop
(Google, 2026.04.15)

 Chrome 147.0.7727.101/102 for Windows/Mac および 147.0.7727.101 for Linux 出てます。31 件のセキュリティ修正。 関連:

Adobe 方面 (Acrobat / Acrobat Reader, InDesign, InCopy, Experience Manager Screens, FrameMaker, Connect, ColdFusion, Bridge, Photoshop, DNG SDK, Illustrator)
(Adobe, 2026.04.14)

 Adobe 2026.04 定例更新。 ColdFusion が Priority: 1、Acrobat / Acrobat Reader が Priority: 2、 他は Priority: 3。

2026 年 4 月のセキュリティ更新プログラム (月例)
(Microsoft, 2026.04.14)

 Microsoft 2026.04 更新。 165 Microsoft CVE + 82 non-MS CVE (大半は Edge)。

 0-day は 2 件。

 関連:


2026.04.16

いろいろ (2026.04.16)
(various)

SoftEther VPN Developer Edition

nginx-ui


2026.04.14


2026.04.13

Security update available for Adobe Acrobat Reader | APSB26-43
(Adobe, 2026.04.11)

 Acrobat / Acrobat Reader に 0-day 、 任意のコードの実行を招く欠陥。 ひさびさの Priority: 1。 CVE-2026-34621

Revisions:

 当初は remote から任意のコードを実行可能、と思われていたが、local からのみの模様。

 Acrobat DC / Acrobat Reader DC 26.001.21411、 Acrobat 2024 24.001.30362 (Windows) / 24.001.30360 (Mac) で修正されている。


2026.04.10


2026.04.09


2026.04.08

OpenSSL Security Advisory [7th April 2026]
(OpenSSL, 2026.04.07)

 OpenSSL 3.6.2 / 3.5.6 / 3.4.5 / 3.3.7 / 3.0.20 公開。 またプレミアサポートから OpenSSL 1.1.1zg / 1.0.2zp が有償公開されている。 以下を修正:

 iida さん情報ありがとうございます。

いろいろ (2026.04.08)
(various)

Android

追記

Firefox 149.0 / ESR 140.9.0 / ESR 115.34.0、Thunderbird 149.0 / 140.9.0esr 公開 (2026.03.26)

 Firefox 149.0.2 / ESR 140.9.1 / ESR 115.34.1、 Firefox for Android 149.0.2、 Thunderbird 149.0.2 / 140.9.1esr 公開。 セキュリティ修正を含みます。


2026.04.07

Disgruntled researcher leaks “BlueHammer” Windows zero-day exploit
(bleeping computer, 2026.04.06)

 Windows に 0-day 欠陥。local user が SYSTEM 権限を取得できる。 PoC が公開されている。

FG-IR-26-099 - FortiClient EMS (Endpoint Management Server) API authentication and authorization bypass
(Fortinet, 2026.04.04)

 FortiClient の統合管理・配布サーバー FortiClient EMS 7.4.5〜7.4.6 に 0-day 欠陥。認証・認可を回避できるため、remote から無認証で任意のコード・コマンドを実行できる。 FortiClient EMS 7.2 系列にはこの欠陥はない。 CVE-2026-35616

 FortiClient EMS 7.4.5 / 7.4.6 用の hotfix が用意されている。また 7.4.7 (未リリース) で修正される予定。

追記

「Google Chrome 146」には脆弱性の修正も ~深刻度「Critical」を含む29件に対処 (2026.03.12)

 Chrome 146.0.7680.177/178 for Windows / Mac および 146.0.7680.177 for Linux が 2026.03.31 付で公開されています。 0-day 欠陥 CVE-2026-5281 への対応を含みます。

4社のメーカーのIP-KVMに脆弱性があることが明らかに (2026.03.18)

 GL-iNet Comet (GL-RM1)、ファームウェア 1.8.1 でも直っていなかった 2件 CVE-2026-32290 CVE-2026-32291ファームウェア 1.8.2 で修正された模様。

  • Enhanced access security: Serial port login now requires password authentication (defaults to the firmware password) to prevent unauthorized access and protect device security.
  • Firmware signature verification: Added firmware signature to ensure firmware integrity and authenticity.

Device code phishing attacks have skyrocketed: here’s what you need to know
(Push Security, 2026.04.04)

 RFC8628 - OAuth 2.0 Device Authorization Grant (IETF, 2019.08) の仕組みを悪用した「デバイスコードフィッシング」が流行っているという話。 DeepL AI 訳:

OAuth 2.0のデバイス認証グラントは、入力機能が制限されたデバイスでも、ユーザーに別のデバイスでコードを入力してログインを完了してもらうことで、アプリへのサインインを可能にするために設計されました。しかし現在では、主にCLIツールにアクセスする際に使用されており、多くのユーザーが日常的にこのデバイスコードフローを利用しています。

 うひ〜 CLI。

前述の通り、今年はデバイスコードを標的としたフィッシング攻撃が急増しており、複数のキット、ページデザイン、および餌の種類が確認されています。実環境で流通しているキットは10種類確認されており、中でもEvilTokensが最も多く見られます。攻撃者が独自のキットを開発するだけでなく、既存のキットを基に独創的な派生版を作成していることは明らかです。

 攻撃ツールもいっぱいと。

理想を言えば、デバイスコードによるログインを単純にブロックすればよいのですが、環境によっては重大な混乱を招く恐れがあり、また一部のアプリでは、そのためのツールが提供されていない場合もあります。例えば、GitHubではデバイスコードがデフォルトのCLIログイン方法となっています。開発者が多い組織では、正当な利用がより多く見られる傾向があります。

Microsoftは(最初からこの機能を無効にしているGoogleを除けば)おそらく最も強力な制御オプションを提供していますが、その設定にはかなりの手間がかかります。 Microsoftは現在、過去25日間この機能を使用していないテナントに対して、デバイスコードフローをブロックすることを明示的に推奨しています。その指針として、カスタムCAポリシーを作成することが推奨されています。

 無効にできる部分があればそうしろと。

 関連:


2026.04.06


2026.04.02


2026.04.01

いろいろ (2026.04.01)
(various)

nginx

各社 Wi-Fi ルーター

新しもの好きのあなたが狙われる (クールダウンしませう?)
(various)

 最近起きた事例、新しもの好きのあなたが狙われた、ということなんですかね。

 yamory.io 記事ではパッケージマネージャーの「クールダウン機能」を利用して時間をかせぐ方法が紹介されています。

クールダウンは、パッケージの新バージョンが公開されてから一定期間はインストール対象としない仕組みです。公開直後のバージョンを自動的に取り込まないことで、コミュニティが悪意あるコードを検出・報告する時間的猶予を確保できます。

2025年後半から主要なパッケージマネージャーが相次いでこの機能を実装しています。

 yamory.io 記事で紹介されているのは npm, pnpm, uv, pip。 他には:

 関連:


[セキュリティホール memo]
[私について]