ホーム ／ 最新コンピュータウィルス・セキュリティ情報

最新コンピュータウィルス・セキュリティ情報

OSやソフトウェアの脆弱性など、セキュリティに関する注意喚起を新しい順に掲載しています。お使いの製品が当てはまる場合は、情報源の案内に沿って更新などの対策を行ってください。

2026年

【重要】PHPにおける複数の脆弱性に関する注意喚起【10月29日更新】

（2026年10月29日更新）

I. 概要

The PHP Groupは、2026年10月21日にPHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表しました。本脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される可能性があります。

修正済みバージョンでは、認証されていない第三者によるリモートコード実行（RCE）を可能にする2件の重大な脆弱性が修正されています。影響を受けるPHPを利用している場合は、開発者や利用製品の提供元が公開する情報を確認し、速やかに対策を適用するとともに、侵害の有無を調査してください。

The PHP Group
Security advisory: Critical remote code execution vulnerabilities, update now
https://www.php.net/archive/2026.php#2026-10-21-5

JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報などを参考に、速やかに対策の適用および侵害有無の調査を実施してください。

2026年10月29日 追記

2026年10月29日までに、本脆弱性を悪用した攻撃活動の調査で、あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認したと報告されています。報告によると、攻撃者が対象製品を解析してバージョン別に本脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイトコードを開発していたとのことです。また、侵害した機器を足掛かりとして、内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたとしています。

Dream
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers

また、一部の製品ベンダーも、本脆弱性を悪用する攻撃を観測したとして、セキュリティアドバイザリを更新しています。今後も、PHPを組み込んださまざまな製品を標的とする実証コードの開発や、本脆弱性を悪用した攻撃が拡大する可能性があります。PHPを組み込んだ製品の管理者は、使用している製品が本脆弱性の影響を受けるか、当該製品を標的とする攻撃や侵害事例が報告されていないかを確認し、必要な対策および侵害調査を速やかに実施することを推奨します。

2026年10月26日 追記

本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます。一方、実証コードを用いて実際に任意のコードを実行できるかどうかは、PHPのバージョンや実行環境、メモリ配置などの条件に依存し、環境に応じた調整が必要となります。今後も実証コードや新たな攻撃手法の公開、特定の環境を標的とした攻撃の開発が進む可能性があるため、関連情報に注視の上、修正済みバージョンへの更新および侵害有無の調査を実施することを推奨します。

また、The PHP Groupは、2026年10月23日に特定の設定とアプリケーションコードの組み合わせの下で発生する脆弱性（CVE-2026-115560）を公表しました。本脆弱性が悪用された場合、任意のコードを実行される可能性があります。ただし、開発者は、影響を受ける構成が一般的ではないことから、通常のリリースサイクルで修正する方針を示しており、修正済みバージョンが提供されるまで「IV. 緩和策」に示す設定への変更を推奨しています。

The PHP Group
Informational advisory: Session upload progress
https://www.php.net/archive/2026.php#2026-10-23-1

II. 対象

対象となる製品およびバージョンは次のとおりです。

  • PHP 8.5.12より前のPHP 8.5系バージョン
  • PHP 8.4.27より前のPHP 8.4系バージョン
  • PHP 8.3.36より前のPHP 8.3系バージョン
  • PHP 8.2.35より前のPHP 8.2系バージョン

PHP 8.1以前のバージョンは、アップデートバージョンが提供されないため、サポートされているバージョンへのアップグレードが推奨されています。ただし、開発者は脆弱性の深刻さを考慮し、PHP 7.4、PHP 8.0、PHP 8.1のEOLバージョンに対する最小限の緩和策も提供しています。詳細は開発者が提供する最新の情報を確認してください。

PHPを使用する製品やLinuxディストリビューションが提供するPHPも、本脆弱性の影響を受ける可能性があります。利用している製品やOSの提供元が公開する情報もあわせて確認してください。

III. 対策

The PHP Groupは、影響を受ける利用者に対し、修正済みバージョンを可能な限り速やかに適用するよう強く推奨しています。十分なテストを実施した上で、次のいずれかの修正版、または利用しているディストリビューション／ベンダーが提供する修正済みパッケージを適用してください。

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

PHP 8.1以前を利用している場合は、サポート対象バージョンへのアップグレードを検討してください。一部のディストリビューションやLTSベンダーでは、既存バージョンに修正をバックポートして提供している場合があります。利用しているベンダーに確認し、最新の情報に従ってください。

PHPのダウンロードページおよびセキュリティアドバイザリを確認し、適切な更新方法を選択してください。

IV. 緩和策

直ちにアップデートできない場合、The PHP Groupが案内する以下の緩和策によって、特定の攻撃経路に対するリスクを軽減できます。ただし、これらは脆弱性を完全に解消するものではなく、アップデートのみが本脆弱性に対する根本的な対策です。設定変更はサーバー構成やアプリケーションへの影響を確認した上で、管理者またはサーバー提供元が実施してください。

脆弱性1：メモリ不足（OOM）によるデータ破損を悪用したRCE（CVE-2026-109618）

  • memory_limit=-1 を設定する。可能であれば、アプリケーション側から上書きできない方法（例：FPMのプール設定やApache設定での php_admin_value）を使用してください。プール、ディレクトリ、アプリケーション単位で有限のメモリ制限が再設定されていないことも確認してください。この設定はPHPで設定されたメモリ上限への到達を原因とする経路を排除しますが、実際のメモリ確保失敗など別の要因によるメモリ不足には効果が及ばない可能性があります。
  • post_max_size を低く設定する。ファイルアップロードを必要としないアプリケーションでは 8M、必要とするアプリケーションでは 32M を目安とし、upload_max_filesize は post_max_size より小さい値にしてください。
  • Webサーバーやプロキシで、デコード後のリクエストサイズ、入力フィールド数、マルチパートリクエストのパート数、ヘッダー数、データのネストの深さを制限してください。有効な Content-Length ヘッダーがないリクエストにも制限を適用する必要があります。
  • コンテナまたはcgroupによるリソース制限を、サービスの可用性を守るための境界として利用してください。可能であれば、影響を受けたワーカーだけを終了させるポリシーを採用してください。RLIMIT_AS や RLIMIT_DATA を代替策として使用しないでください。

脆弱性2：古いグローバル状態を悪用したRCE（CVE-2026-109619）

  • session.upload_progress.enabled=0 を設定して、セッションのアップロード進捗追跡機能を無効にし、その後すべてのワーカーを再起動してください。設定はリクエスト解析の開始前に適用する必要があるため、php.ini、FPMのプール設定、またはサーバー設定を使用してください。ini_set() やFPMの .user.ini に依存しないでください。この設定は確認されているセッション関連の攻撃経路を遮断しますが、他の攻撃経路をすべて遮断するものではありません。
  • PHP 8.5を利用している場合は、fatal_error_backtraces=0 を設定し、すべてのワーカーを再起動してください。これは致命的エラーのバックトレースに関連する攻撃経路への対策であり、他の攻撃経路を遮断するものではありません。
  • リクエストごとに適用され、初期化前に診断メッセージを発生させる不正または非推奨の設定を取り除いてください。error_reporting、display_errors、またはエラー抑制演算子 @ で診断メッセージを非表示にしても対策にはなりません。
  • 攻撃者が引き起こせる致命的エラーや実行タイムアウトを修正してください。対象には、コールバック処理、ファイルアップロード処理、インポート処理、クリーンアップ処理などが含まれます。

2026年10月26日 追記

The PHP Groupは、CVE-2026-115560へのアップデートリリースまで、次の緩和策の設定を推奨しています。

  • session.upload_progress.enabled=0 に設定し、すべてのワーカーを再起動してください。

なお、本設定はCVE-2026-109619に対する緩和策としても案内されており、すでに適用している場合は追加の対応は不要とされています。

V. 侵害調査

本脆弱性を悪用した攻撃を受けた可能性がないか、次の点を確認してください。

  • 過去のHTTPレスポンスで、不自然に長い、または異常な形式の値を含む PHPSESSID Cookieが設定されていないか。
  • 不審な multipart/form-data 形式のHTTPリクエストが送信されていないか。また、その前後にPHPのメモリ上限に関連するエラーやHTTP 500エラーが発生していないか。
  • PHPのワーカープロセスが予期せず異常終了したり、頻繁に再起動したりした痕跡がないか。

本脆弱性には複数の悪用経路があるため、単一の検知ルールですべての攻撃を検出できるとは限りません。また、攻撃手法やログの記録状況によっては痕跡が残らない場合があります。上記の痕跡が確認されない場合でも、攻撃を受けていないと断定することはできません。

修正済みバージョンへの更新を速やかに実施するとともに、不審なプロセスの実行や外部通信、不審なファイルの作成など、侵害を示す他の痕跡も確認し、継続的に監視してください。侵害が疑われる場合は、関連ログなどの証拠を保全した上で、影響範囲の調査や当該システムの隔離など、必要な対応を実施してください。

PHP2Shell
https://www.php2shell.com/

Wiz
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
https://www.wiz.io/blog/php2shell-php-rce

VI. 参考情報

JPCERT/CC
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
https://www.jpcert.or.jp/at/2026/at260033.html

GitHub php / php-src
RCE via OOM corruption
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

GitHub php / php-src
RCE via stale global state
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

The PHP Group
Informational advisory: Session upload progress
https://www.php.net/archive/2026.php#2026-10-23-1

2026年10月29日 追記

GitHub NCSC-NL / php2shell
php2shell vulnerabilities (CVE-2026-109618, CVE-2026-109619)
https://github.com/NCSC-NL/php2shell
※ オランダの国家サイバーセキュリティセンター（NCSC-NL）が公開する、本脆弱性の影響を受ける可能性がある製品の一覧や対策情報などをまとめたリポジトリー

直近で相次いでいる国内組織における不正アクセスに関する注意喚起

I. 概要

各被害公表や報道のとおり、直近2026年9月前後で国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいます。

複数の製品やサービスで被害が発生している中、技術的な情報の共有が不足しており、把握している情報は限定的かつ断片的であるものの、攻撃被害の拡大等の状況に鑑み、下記のとおり注意を促す次第です。また、本注意喚起は、普段から断続的、散発的に発生しているランサムウェア攻撃等の不正アクセス事案とは別に、大量の個人情報等の漏えいにつながっている、特に増加している恐れのある攻撃類型について取り上げるものです。

一般利用者向けのアプリのほか、BI（ビジネスインテリジェンス）ツールや従業員向け管理システムなど、管理・運用側で不特定多数の利用者からのアクセスを想定していないシステムが被害に遭い、内部に保存していた情報が漏えいするケースもあります。こうしたシステムについても下記のような点検などを行う必要があります。

侵害原因や攻撃手法などに関する新たな情報が判明した場合、下記ページを更新していきます。

2026年10月23日 追記

JPCERT/CCは、「II. 確認されている攻撃手法や攻撃の痕跡」に次の情報を追加しました。不審なアクセスの有無を確認する際の参考として活用してください。

  • 「ケースE：AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を追加
  • ケースBに不審な送信元IPアドレスなどを追加

II. 確認されている攻撃手法や攻撃の痕跡

※本項の情報は、JPCERT/CCに寄せられた情報などに基づくものです。すべての事案で同一の攻撃手法が使用されていることを示すものではありません。 また、今後の状況などを踏まえて情報を追加する可能性があります。

ケースA：さまざまなソフトウェアの既知の脆弱性を探索し攻撃試行するもの
一連の攻撃については、一つの共通するソフトウェアの脆弱性を悪用しているのではなく、標的ごとにさまざまな既知の脆弱性有無についてスキャンし、脆弱性を探索して悪用を試行したり、脆弱性ではないものの、機器の管理不備を悪用した攻撃（環境設定ファイルやバックアップファイルの窃取など）を試みている可能性があります。

新たに次の不審なアクセス元が確認されています。
※下記IPアドレスは10月7日ごろに悪用されていたものです。

不審な送信元IPアドレス

  • 20.210.128[.]125

ケースB：API経由での不正な操作
アプリの管理用APIへの不正なリクエストによって、情報の不正な書き換え等が発生しているものがあります。JPCERT/CCでは、次のような攻撃手口に関する複数の報告を受けています。

（a）一般公開しているスマートフォンアプリを解析しAPIのエンドポイントやキーを特定する

（b）本来画面操作では実行できない内部APIに対する攻撃

  • ユーザー権限を変更する
  • 不正なアカウントを作成する
  • ヘッダーの有無の切り替えや不正な形式の認証トークンの付与による応答の違いを確認する
  • NoSQLインジェクションによるブラインド探索によってアカウント情報を特定する

（c）他のシステムの侵害で窃取したAPIキーを使用する

なお、現時点までに次の不審なアクセス元が確認されています。
※下記IPアドレスは調査時点では正規利用されている可能性もあります。
※これまでに攻撃を受けたかを確認するために下記IPアドレスからアクセスがあったかを調査ください。
※下記IPアドレス以外にも、IPアドレス制限の回避やアクセスの多重化を目的としてTor出口ノードやレジデンシャルプロキシ経由でのアクセスを確認しています。
※括弧内に記載の日付は確認されている攻撃の観測日または攻撃インフラの稼働が推定される日付（JST）です。なお、当該期間以外でも攻撃が試行されている可能性があります。

（a）一般公開しているスマートフォンアプリを解析しAPIのエンドポイントやキーを特定するもの

更新前掲載済み：

  • 69.10.51[.]162（9/28～10/06）
  • 207.241.172[.]54（9/28～9/29）
  • 210.149.87[.]120（9/21～9/29）

10月23日新規掲載：

  • 210.149.87[.]33（10/8夜～10/9未明）

（b）上記以外

  • 3.112.252[.]14（9月21日ごろ）
  • 31.76.91[.]2（9月3日ごろ）
  • 54.95.112[.]6（9月27日ごろ）
  • 136.85.58[.]5（8月28日ごろ）
  • 136.117.40[.]140（8月28日ごろ）
  • 141.11.187[.]186（9月3日ごろ）
  • 172.86.91[.]7（9月19日ごろ）

User-Agentの例

  • curl/7.88.1
  • python-requests/2.34.2
  • Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0 Safari/537.36
  • 公開されているアプリと同じUser-Agent

TLS Fingerprintの例

  • JA4：t13d181100_85036bcba153_d41ae481755e
  • JA3：93c7d42c0df602fb91589311534831f5

※上記のJA4は一般的なPythonのHTTPクライアントと同じであり、単独では識別に使えません。他と組み合わせて調査に活用ください。

ケースC：MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）
本脆弱性も、APIへの不正なリクエストを通じて悪用されるものです。 JPCERT/CCでは、2026年8月14日に本脆弱性に関する注意喚起を公表しています。影響を受ける製品や対策などの詳細については、次の注意喚起をご確認ください。

なお、現時点までに次の不審なアクセス元からのアクセスが確認されています。
※下記IPアドレスは8月上旬から9月上旬までの間に悪用されていたものです。調査時点では正規利用されている可能性もあります。

不審な送信元IPアドレス

  • 213.163.202[.]171
  • 221.216.140[.]49
  • 221.216.140[.]129

User-Agentの例

  • python-requests/2.33.1
  • Metabase-GHSA-vwf4/2.0

ケースD：公開Webサーバーからアクセス可能なアプリケーションサーバー上にWebシェル設置
公開Webサーバーからアクセス可能なアプリケーションサーバー上にWARファイル（.war）が設置される事案を確認しています。WARファイルに含まれるJSPファイル（.jsp）は、悪性な簡易Webシェルとして動作します。Webシェルは特定のクエリパラメーターを取得しシェルコマンドとして実行する機能を持ちます。

なお、現時点までに次の不審なアクセス元からのアクセスが確認されています。
※下記IPアドレスは9月ごろにWebシェルへGETおよびPOSTリクエストでの繰り返しアクセスを確認しています。

不審な送信元IPアドレス

  • 124.133.237[.]18

ケースE：AIを用いたペネトレーションテスト基盤を悪用した攻撃試行
CairnやCyberStrikeAI、ARTEXなどのAIを用いたペネトレーションテスト基盤を悪用した攻撃試行が確認されています。これらのツールを用いて、主にインターネットに公開されたWebアプリケーションを標的にさまざまな脆弱性を探索して悪用を試行したり、機器の管理不備等を悪用した攻撃（環境設定ファイルやバックアップファイルの窃取など）を確認しています。その中には、インターネットに公開されたWSUSサーバーを標的とした攻撃試行も含まれています。

なお、現時点までに次の不審なアクセス元IPアドレスが確認されています。
※下記IPアドレスは調査時点では正規利用されている可能性もあります。
※これまでに攻撃を受けたかを確認するために下記IPアドレスからアクセスがあったかを調査ください。
※括弧内に記載の日付は確認されている攻撃の観測日または攻撃インフラの稼働が推定される日付（JST）です。なお、当該期間以外でも攻撃が試行されている可能性があります。

不審な送信元IPアドレス

  • 31.59.92[.]155（10/4～10/20）
  • 31.56.206[.]187（9/27～10/20）
  • 38.244.50[.]120
  • 46.8.227[.]73（9/27～10/19）
  • 64.44.24[.]195（10/15～）
  • 94.183.184[.]98（10/13～10/19）
  • 94.183.184[.]254（10/3～10/20）
  • 95.182.99[.]112（10/4～10/19）
  • 176.65.144[.]71（9/23～10/17）

Ⅲ. 対策

JPCERT/CCに報告されている攻撃手口に基づいて、次の対策の実施を推奨します。 API経由のアクセスへの対策の詳細は、OWASPのガイドライン等を参考にしてください。

API経由のアクセスへの対策：

  • APIへのアクセスには単位時間あたりのリクエスト件数を制限し、短時間に繰り返されるアクセスや大量実行を防止する
  • ログイン、パスワードリセット、SMS送信、検索処理などの負荷や悪用のリスクが高い機能には個別にレート制限や利用回数制限を設定する
  • 非公開APIを含む各APIエンドポイントでアクセス制御を実施し、許可された利用者やHTTPメソッドからのアクセスのみを受け付ける
  • API利用者やAPIトークンには必要最小限の権限のみを付与する
  • APIトークンには適切な有効期限を設定し、長期間有効なトークンの使用を避ける
  • 不要となった、または漏えいが疑われるAPIトークンは速やかに無効化できるようにする

上記の他、汎用的な対策：

  • サービスの利用地域が限定される場合は、アクセス元の地域を制限する
  • 既知の脆弱性の影響を受けるバージョンで運用している場合は、修正済みのアップデートを適用する
  • Webサーバー等が侵害された後の横展開対策を見直す
  • 不正アクセス検知体制の点検と検知時の初動対応を見直す
  • 漏えい発生時を想定した、平時からの顧客への二次被害防止等の呼びかけ（多要素認証など）
  • 業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合、公開を停止する
  • 法令や契約等で定められた保存期間を過ぎたデータや利用目的を終えたデータを残さない

繰り返しになりますが、管理・運用側で不特定多数の利用者からのアクセスを想定していないシステム（従業員向け、BIツールなど）が被害に遭うケースもあります。こうしたシステムについても上記のような点検などを推奨します。

IV. 参考情報

V. 調査依頼、情報提供等

今回の事案に関連して、不審なアクセスや侵害が疑われる事象、攻撃手法、侵害原因などに関する具体的な情報がございましたら、JPCERT/CCまで情報提供いただけますと幸いです。また、インシデント対応に関するご相談についても、JPCERT/CCまでご連絡ください。

複数のMozilla製品に脆弱性

複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbird、Firefox for Androidが影響を受けます。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://www.mozilla.org/en-US/security/advisories/mfsa2026-111/
関連文書
https://www.mozilla.org/en-US/security/advisories/

Next.jsに複数の脆弱性

Next.jsには、複数の脆弱性があります。これらの脆弱性の内、解放済みメモリの使用の脆弱性（CVE-2026-96889）について、JPCERT/CCは概念実証コードが公開されていることを確認しています。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://nextjs.org/blog/nextjs-security-update-october-14-2026

EC-CUBE4系用プラグイン「AmazonPayプラグイン」に不変と想定しているWebパラメータの外部制御の脆弱性

株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、不変と想定しているWebパラメータの外部制御の脆弱性があります。開発者は、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。この問題は、当該プラグインを最新版へアップデートすることで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN43511918/
関連文書
https://www.ec-cube.net/news/detail.php?news_id=490

Cisco Secure Email Gatewayに任意のファイル書き込みの脆弱性

Cisco Secure Email Gatewayには、任意のファイル書き込みの脆弱性があります。Ciscoは、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp

複数のMicrosoft製品に脆弱性

複数のMicrosoft製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96940
関連文書
https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#october-05-2026
https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#october-08-2026

Loom for AWSに複数の脆弱性

Loom for AWSには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://aws.amazon.com/jp/security/security-bulletins/2026-124-aws/

SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性に関する注意喚起

I. 概要

EGセキュアソリューションズ株式会社は、2026年10月14日にSiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）を公表しました。本脆弱性の悪用により、当該製品が動作するサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性があります。EGセキュアソリューションズ株式会社は、本脆弱性の悪用を確認しているとのことです。

本脆弱性の影響を受ける製品を利用している場合は、後述「III. 対策」以降に記載の情報を確認の上、対策と侵害調査の実施を検討してください。

II. 対策

本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、EGセキュアソリューションズ株式会社が提供する最新の情報をご確認ください。

SiteGuard Server Edition Ver2.20 以降の以下のバージョン

  • Apache版、Nginx版、IIS版：Ver8.00 Update5 より前のバージョン
  • FreeBSD Apache版、Nginx版：Ver7.00 Update6 より前のバージョン

当該製品においてデフォルトで有効となっている統計機能が有効な場合に本脆弱性の影響を受けます。ただし、IIS版についてはVer3.10からVer4.00 Update4のバージョンは本脆弱性の影響を受けません。

Ⅲ. 対策

EGセキュアソリューションズ株式会社は本脆弱性を修正したバージョンへのアップデートを推奨しています。また、バージョンアップが困難な利用者向けに統計処理の対象ファイルを差し替えるパッチを提供しています。詳細は、開発者が提供する最新の情報を確認してください。

IV. 回避策

統計機能を無効化することで本脆弱性の影響を回避することが可能です。無効化手順など詳細は、EGセキュアソリューションズ株式会社が提供する最新の情報を確認してください。

V. アップデートにおける注意事項

EGセキュアソリューションズ株式会社は本脆弱性を修正したバージョンへのアップデートが完了した場合、侵害の痕跡が削除される可能性があると報告しています。そのため、攻撃を受けた際の痕跡の保全方法を案内しています。該当するバージョンを利用している場合、SiteGuard Server Edition上のウェブ管理画面で「診断情報」の取得を行い、攻撃痕跡を保全した上でのアップデートが推奨されています。詳細は、EGセキュアソリューションズ株式会社が提供する最新の情報を確認してください。

VI. 参考情報

  • Japan Vulnerability Notes JVN#88474777 | SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性https://jvn.jp/jp/JVN88474777/

2026年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起

I. 概要

マイクロソフトから同社製品の脆弱性を修正する2026年10月のセキュリティ更新プログラムが公開されました。これらの脆弱性が悪用された場合、リモートから任意のコードを実行されたり、セキュリティ機能を回避されるなどの可能性があります。

マイクロソフトは、これらの脆弱性のうち、次の脆弱性が悪用されていることを公表しています。マイクロソフトが提供する最新の情報をご確認の上、「II. 対策」を実施してください。

II. 対策

Microsoft Update、もしくはWindows Updateなどを用いて、セキュリティ更新プログラムを適用してください。

Ⅲ. 参考情報

Cisco Catalyst SD-WAN Managerに認証回避につながる脆弱性

Cisco Catalyst SD-WAN Managerには、認証回避につながる脆弱性があります。Ciscoは今回修正された脆弱性の悪用を確認しているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU

複数のApple製品に脆弱性

複数のApple製品には、脆弱性があります。Appleは、今回修正された脆弱性が悪用された可能性があるという報告を受けているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://support.apple.com/ja-jp/149226
関連文書
https://support.apple.com/ja-jp/100100

NCOが「サイバーセキュリティ関係法令Q&AハンドブックVer.3.0」を公開

内閣官房国家サイバー統括室（NCO）は、「サイバーセキュリティ関係法令Q&AハンドブックVer.3.0」を公開しました。Ver.3.0では、サイバー対処能力強化法など国内外の関係法令やガイドラインの制定・改正の解説や、それらを体系的に整理した「サイバーセキュリティ法体系マッピング」が追加されています。

情報源
https://security-portal.cyber.go.jp/guidance/law-handbook/

「情報セキュリティ早期警戒パートナーシップガイドライン」の2026年版を公開

「情報セキュリティ早期警戒パートナーシップガイドライン」が改訂され、2026年版を公開しました。今回の改訂では、サイバー対処能力強化法などの施行を踏まえ、脆弱性関連情報について内閣府と連携する際の対応を新たに整理し、製品開発者への連絡などにおける情報通信研究機構（NICT）とJPCERT/CCの連携について記載しています。

情報源
https://www.jpcert.or.jp/vh/partnership_guideline2026.pdf

Next.jsのImageResponseにリモートコード実行につながる脆弱性

Next.jsのImageResponseには、リモートコード実行につながる脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://nextjs.org/blog/nextjs-security-update-september-22-2026

WordPressにPHPリモートファイルインクルージョンの脆弱性

WordPressには、PHPリモートファイルインクルージョンの脆弱性があります。特定の構成でWordPressを使用している場合、遠隔の第三者が認証不要でコードを実行する可能性があります。Patchstackは、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
関連文書
https://patchstack.com/articles/cve-2026-87902-attackers-started-probing-wordpress-sites-hours-after-the-patch/

WordPress用プラグインThe Events Calendarに複数の脆弱性

WordPress用プラグインThe Events Calendarには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://www.wordfence.com/blog/2026/09/wordfence-argus-identifies-two-critical-unauthenticated-vulnerability-chains-leading-to-remote-code-execution-in-the-events-calendar-plugin/

AWS Systems Manager Agentにサーバーサイドリクエストフォージェリの脆弱性

AWS Systems Manager Agentには、サーバーサイドリクエストフォージェリの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://aws.amazon.com/jp/security/security-bulletins/2026-107-aws/

Androidに複数の脆弱性

Androidには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://source.android.com/docs/security/bulletin/2026/2026-09-01

Cisco UCSおよびUCSベースのアプライアンスにUEFI Secure Boot回避の脆弱性

Cisco UCSおよびUCSベースのアプライアンスには、UEFI Secure Boot回避の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。なお、一部の製品については、本記事執筆時点で修正バージョンが提供されていません。詳細は、開発者が提供する情報を参照し、今後の情報を注視してください。

情報源
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ucs-uefi-sb-bypass-eb6xC5GW

警察庁が「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公開

警察庁は、「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公開しました。この文書では、令和8年上半期におけるサイバー攻撃やサイバー犯罪の情勢および警察の取り組みについてまとめられています。

情報源
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf

独立行政法人情報処理推進機構（IPA）が「ランサムウェア被害から学ぶ教訓集 経営者のためのランサムウェア対策ハンドブック」を公開

独立行政法人情報処理推進機構（IPA）は、国内のランサムウェア被害組織へのインタビューをもとに、被害時の対応や課題から得られた教訓を整理した「ランサムウェア被害から学ぶ教訓集 経営者のためのランサムウェア対策ハンドブック」を公開しました。経営者向けのリスク管理やインシデント対応のポイントをまとめているとのことです。

情報源
https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html

Cisco Secure Email GatewayにおけるSQLインジェクションの脆弱性（CVE-2026-76461）に関する注意喚起

I. 概要

Ciscoは、2026年9月15日にCisco Secure Email GatewayにおけるSQLインジェクションの脆弱性（CVE-2026-76461）を公表しました。本脆弱性の悪用により、認証されていないリモートの攻撃者が悪意のあるSQL文を含む細工したメールを送信し、脆弱性のある対象システムでメールを受け取ると、対象システム上でroot権限で任意のコマンドが実行される可能性があります。Ciscoは、2026年9月に本脆弱性の悪用を確認しているとのことです。

同製品について、JPCERT/CCでは、過去に別の脆弱性（CVE-2025-20393）を悪用した侵害事案が国内で発生していることを確認しています。本脆弱性の影響を受ける製品を利用している場合は、後述「III. 対策」以降に記載の情報を確認の上、対策と侵害調査の実施を検討してください。

II. 対象

本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、開発者が提供する最新の情報をご確認ください。

Cisco Secure Email Gateway向けCisco AsyncOSソフトウェア

  • 16.5系の16.5.0-780より前のバージョン
  • 16.0系の16.0.4-302より前のバージョン
  • 15.5系以前の15.5.5-014より前のバージョン

Ⅲ. 対策

Ciscoは本脆弱性を修正したバージョンへのアップグレードを推奨しています。詳細は、開発者が提供する最新の情報を確認してください。

IV. 回避策

Ciscoは、本脆弱性に対する回避策を提供していません。

V. 侵害調査

Ciscoはアドバイザリ内で脆弱性が悪用された可能性を確認するためのログ調査方法を案内しています。一方、本脆弱性の悪用に成功した攻撃者はroot権限でコマンドを実行できるため、ログや侵害の痕跡が削除されている可能性があるとしています。そのため、Cisco Secure Email Gateway上のログだけでなく、周辺機器などのネットワークログとも突合して調査することが推奨されています。詳細は、開発者が提供する最新の情報を確認してください。

Adobe AcrobatおよびReaderの脆弱性（APSB26-141）に関する注意喚起

I. 概要

アドビからPDFファイル作成・変換ソフトウェアAdobe AcrobatおよびPDFファイル閲覧ソフトウェアAdobe Acrobat Readerにおける脆弱性に関する情報（APSB26-141）が公開されました。脆弱性を悪用したコンテンツをユーザーが開いた場合、任意のコードが実行されるなどの可能性があります。詳細については、アドビの情報を確認してください。

II. 対象

対象となる製品とバージョンは次のとおりです。

  • Adobe Acrobat Continuous（26.002.21900）およびそれ以前（Windows、macOS）
  • Adobe Acrobat Reader Continuous（26.002.21900）およびそれ以前（Windows、macOS）
  • Adobe Acrobat 2024 Classic 2024（24.001.30383）およびそれ以前（Windows、macOS）

Ⅲ. 対策

Adobe AcrobatおよびAdobe Acrobat Readerを次の最新のバージョンに更新してください。

  • Adobe Acrobat Continuous（26.002.21901）（Windows、macOS）
  • Adobe Acrobat Reader Continuous（26.002.21901）（Windows、macOS）
  • Adobe Acrobat 2024 Classic 2024（24.001.30429）（Windows、macOS）

更新は、Adobe AcrobatおよびAdobe Acrobat Readerの起動後、メニューの「ヘルプ」から「アップデートの有無をチェック」をクリックすることで実施できます。メニューからの更新が不可能な場合は、以下のURLから最新のAdobe AcrobatおよびAdobe Acrobat Readerをダウンロードしてください。詳細は、アドビの情報をご確認ください。

IV. 参考情報

2026年9月マイクロソフトセキュリティ更新プログラムに関する注意喚起

I. 概要

マイクロソフトから同社製品の脆弱性を修正する2026年9月のセキュリティ更新プログラムが公開されました。これらの脆弱性が悪用された場合、リモートから任意のコードを実行されたり、ローカルユーザーによって権限昇格されるなどの可能性があります。

マイクロソフトは、これらの脆弱性のうち、次の脆弱性が悪用されていることを公表しています。マイクロソフトが提供する最新の情報をご確認の上、「II. 対策」を実施してください。

II. 対策

Microsoft Update、もしくはWindows Updateなどを用いて、セキュリティ更新プログラムを適用してください。

Ⅲ. 参考情報

フィッシング対策セミナー2026のご案内

2026年11月19日、フィッシング対策協議会は、「フィッシング対策セミナー2026」を開催します。巧妙化が進むフィッシング詐欺について、法執行機関、金融機関、サービス事業者などから専門家を招き、最新の手口や被害実態、実践的な防御策や最新の取り組みなどを紹介します。また、会場にはフィッシング対策サービスや各種ソリューションの展示ブースも設置予定です。

情報源
https://www.antiphishing.jp/news/event/antiphishing_seminar2026.html

WordPress用プラグインGiveWPに信頼できないデータのデシリアライゼーションの脆弱性

WordPress用プラグインGiveWPには、信頼できないデータのデシリアライゼーションの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://patchstack.com/database/wordpress/plugin/give/vulnerability/wordpress-givewp-plugin-4-16-7-1-remote-code-execution-rce-vulnerability
関連文書
https://patchstack.com/articles/unauthenticated-php-object-injection-to-remote-code-execution-on-givewp

IBM WebSphere Application Serverに複数の脆弱性

IBM WebSphere Application Serverには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://www.ibm.com/support/pages/node/7285509

WordPress用プラグインReally Simple Securityに代替パスまたはチャネルを使用した認証回避の脆弱性

WordPress用プラグインReally Simple Security（旧称Really Simple SSL）には、代替パスまたはチャネルを使用した認証回避の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://patchstack.com/database/wordpress/plugin/really-simple-ssl/vulnerability/wordpress-really-simple-ssl-plugin-9-8-0-2fa-bypass-vulnerability

WordPress用プラグイン「miniOrange SAML Single Sign On」の脆弱性に関する悪用観測状況

Patchstackは、WordPress用プラグイン「miniOrange SAML Single Sign On」における認証回避の脆弱性（CVE-2026-61979、CVE-2026-15981）を悪用する試みを確認したと公表しました。同社によると、攻撃者が当該脆弱性を悪用してWordPressの管理者セッションCookieを取得した事例が確認されたほか、関連するエンドポイントに対する複数のIPアドレスからのスキャン活動も観測されています。該当する製品を利用している場合は、修正済みのバージョンへの更新を検討してください。

情報源
https://patchstack.com/articles/one-slug-seven-editions-the-miniorange-saml-sso-bug-that-let-anyone-log-in-as-your-wordpress-admin/
関連文書
https://wordpress.org/plugins/miniorange-saml-20-single-sign-on/

警察庁が「令和8年版 警察白書」を公開

警察庁は、「令和8年版 警察白書」を公開しました。本文書では、「深刻化するサイバー空間の脅威と警察の新たなる展開」を特集し、重大サイバー事案への対処や今後の警察の取り組みなどについて紹介しています。

情報源
https://www.npa.go.jp/publications/whitepaper/r08/

macOSの画面共有機能における不適切な認証の脆弱性に関する悪用観測状況

macOSの画面共有機能における不適切な認証の脆弱性（CVE-2026-65400）が、暗号資産採掘マルウェアへの感染につながる攻撃で悪用されていることを、NCSC-NLが公表しています。ポート5900で画面共有機能をインターネットに公開しているホストが影響を受けたと報告されています。同脆弱性への対策適用を推奨します。

情報源
https://advisories.ncsc.nl/2026/ncsc-2026-0280.html
関連文書
https://support.apple.com/ja-jp/148170

NECのUNIVERGE IX-R/IX-Vシリーズルータに重要な機能に対する認証の欠如の脆弱性

日本電気株式会社（NEC）が提供するUNIVERGE IX-R/IX-Vシリーズルータには、重要な機能に対する認証の欠如の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN81414813/
関連文書
https://jpn.nec.com/security-info/secinfo/nv26-005.html

複数のマイクロソフト製品に脆弱性

複数のマイクロソフト製品には、脆弱性があります。マイクロソフトによると、今回修正された一部の脆弱性を悪用する攻撃を確認しているとのことです。この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://www.jpcert.or.jp/at/2026/at260022.html
関連文書
https://www.microsoft.com/msrc/blog/2026/08/202608-security-update

Adobe Campaign Classicに複数の脆弱性

Adobe Campaign Classicには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://helpx.adobe.com/security/products/campaign/apsb26-120.html

サイボウズ Garoonにクロスサイトスクリプティングの脆弱性

サイボウズ Garoonには、クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN72334274/
関連文書
https://kb.cybozu.support/article/39182/

Ruby on Railsにリモートコード実行につながる脆弱性

Ruby on Railsには、リモートコード実行につながる脆弱性（通称：KindaRails2Shell）があります。Ruby on Railsで作成され、特定の条件を満たすアプリケーションが影響を受けます。開発者は、本脆弱性のエクスプロイトコードが公開されていることを確認しており、脆弱性の詳細をすでに公表しています。この問題への対応として、修正済みのバージョンへの更新とあわせて、侵害の有無の確認を推奨します。詳細は、関連文書に掲載している開発者などが提供する情報を確認してください。

情報源
https://www.jpcert.or.jp/at/2026/at260021.html
関連文書
https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm

Cisco Secure Firewall Management Centerソフトウェアに脆弱性

Cisco Secure Firewall Management Centerソフトウェアには、脆弱性があります。開発者は、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。この問題は、当該製品にパッチを適用することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-static-cred-BET3Cjh

Node.jsに複数の脆弱性

Node.jsには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://nodejs.org/ja/blog/vulnerability/july-2026-security-releases

WordPress用プラグインLoco Translateにクロスサイトリクエストフォージェリの脆弱性

WordPress用プラグインLoco Translateには、クロスサイトリクエストフォージェリの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://github.com/advisories/ghsa-5339-rrvx-g5v3
関連文書
https://github.com/loco/wp-loco/releases

WordPressにリモートコード実行につながる脆弱性

ordPressには、認証なしでリモートコード実行につながる脆弱性（通称：wp2shell）があります。複数のセキュリティ企業が本脆弱性の悪用を確認しているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。複数のセキュリティ企業から侵害調査の参考となる情報が公表されています。開発者が提供する情報とあわせて関連文書もご確認ください。

情報源
https://ja.wordpress.org/2026/07/18/wordpress-7-0-2-release/
関連文書
https://blog.flatt.tech/entry/wp2shell_wordpress
https://research.eye.security/wp2shell-defenders-guide/

Linuxカーネルのx86向けKVMに解放済みメモリの使用の脆弱性

Linuxカーネルのx86向けKVMには、解放済みメモリの使用の脆弱性があります。本脆弱性が悪用された場合、ゲストVMからホストマシンをクラッシュさせ、DoSを引き起こす可能性があります。また、本脆弱性の発見者は、ホストマシン上での任意のコード実行を行える可能性を示しています。各ディストリビューションベンダーおよび開発者が提供する情報を確認のうえ、修正済みのバージョンや対策情報が公開されている場合は速やかな適用を推奨します。

情報源
https://www.openwall.com/lists/oss-security/2026/07/06/7
関連文書
https://github.com/V4bel/Januscape

リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）に反射型クロスサイトスクリプティングの脆弱性

リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）には、反射型クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN48718197/
関連文書
https://jp.ricoh.com/security/products/vulnerabilities/vul?id=ricoh-2026-000005

複数のアドビ製品に脆弱性

複数のアドビ製品には、脆弱性があります。開発者によると、Adobe ColdFusionのパストラバーサルの脆弱性（CVE-2026-48282）を悪用する攻撃をすでに確認しているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html
関連文書
https://helpx.adobe.com/security/products/campaign/apsb26-69.html

リコーおよびコニカミノルタジャパン製プリンタドライバーに権限昇格の脆弱性

株式会社リコーおよびコニカミノルタジャパン株式会社が提供する複数のプリンタドライバーには、権限昇格の脆弱性があります。この問題は、最新版のプリンタドライバーを使用することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN55319858/
関連文書
https://www.konicaminolta.jp/business/support/important/260615_01_01.html
https://jp.ricoh.com/security/products/vulnerabilities/vul?id=ricoh-2025-000002

フィッシング対策協議会が「フィッシングレポート2026」を公開

2026年6月1日、フィッシング対策協議会は「フィッシングレポート2026」を公開しました。2025年1月から12月までのフィッシング報告件数、フィッシングのターゲットとなっているブランド、フィッシング詐欺の手口の概要などの情報が纏められています。

情報源
https://www.antiphishing.jp/report/wg/phishing_report2026.html

複数のTP-LINK製品に重要情報の平文送信の脆弱性

複数のTP-LINK製品には、重要情報の平文送信の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN70631953/
関連文書
https://www.tp-link.com/us/support/faq/5106/

GitHubがGitHub Enterprise Server管理者にGPG公開鍵のローテーションを呼び掛け

GitHubは、2026年5月26日（現地時間）、同社の内部リポジトリーに対する不正アクセスに関する記事を更新しました。同社によると、現在も調査は継続中であるものの、予防措置として、GitHub Enterprise Serverの署名鍵を含む鍵のローテーションを実施しているとのことです。これに伴い、GitHub Enterprise Serverの管理者に対して、各インスタンスのGPG公開鍵をローテーションするよう対応を求めています。なお、GitHub Enterprise Cloudについては対応不要とされています。

情報源
https://github.blog/security/investigating-unauthorized-access-to-githubs-internal-repositories/

トレンドマイクロ製品における複数の脆弱性に関する注意喚起

I. 概要

2026年5月21日、トレンドマイクロ株式会社は、TrendAI Apex One、Trend Micro Apex One as a Service、TrendAI Vision One Endpoint Security - Standard Endpoint Protectionにおける複数の脆弱性に関する情報を公表しました。脆弱性を悪用された場合、細工したコードをセキュリティエージェントに配布されたり、権限昇格されたりする可能性があります。

また、トレンドマイクロ株式会社はTrendAI Apex One（オンプレミス版）において、相対パストラバーサルの脆弱性（CVE-2026-34926）を悪用した攻撃を確認しているとのことです。本脆弱性がすでに攻撃に悪用されていることから、早期にパッチ適用などの対応を行うことを推奨します。詳細は、トレンドマイクロ株式会社が提供する情報を参照してください。

  • トレンドマイクロ株式会社 ／ [サポートニュース]アラート/アドバイザリ：TrendAI Apex Oneなどで確認された複数の脆弱性について(2026年5月)：TrendAI Apex One、Trend Micro Apex One as a Service、TrendAI Vision One Endpoint Security - Standard Endpoint Protectionhttps://success.trendmicro.com/ja-JP/solution/KA-0022974

II. 対象

対象となる製品は次のとおりです。

  • TrendAI Apex One（オンプレミス版）
  • Trend Micro Apex One as a Service
  • TrendAI Vision One Endpoint Security - Standard Endpoint Protection

なお、開発者によると、相対パストラバーサルの脆弱性（CVE-2026-34926）は、TrendAI Apex One（オンプレミス版）でのみ悪用可能とのことです。

Ⅲ. 対策

開発者が提供する最新の情報を確認の上、製品毎の対策を適用してください。

TrendAI Apex One（オンプレミス版）向け対策

サーバーおよびセキュリティエージェントにパッチを適用してください。

Trend Micro Apex One as a ServiceおよびTrendAI Vision One Endpoint Security - Standard Endpoint Protection向け対策

セキュリティエージェントにパッチを適用してください。なお、当該製品はクラウドサービスのため、サーバー側は開発者によるメンテナンス（2026年4月）で修正済みとのことです。

IV. 参考情報

  • Japan Vulnerability Notes JVNVU#90583059 ／ トレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性（2026年5月）https://jvn.jp/vu/JVNVU90583059/

WPS Officeで使用される名前付きパイプに対するアクセス制御不備の脆弱性

WPS株式会社が提供するWPS Officeには、内部で使用している名前付きパイプに対するアクセス制御不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN14434132/
関連文書
https://www.wps365.jp/notices/4

エレコム製無線LANルーターおよび無線アクセスポイントに複数の脆弱性

エレコム株式会社が提供する無線LANルーターおよび無線アクセスポイント製品には、複数の脆弱性があります。この問題は、当該製品を修正済みのファームウェアに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN03037325/
関連文書
https://www.elecom.co.jp/news/security/20260512-01/

GUARDIANWALL MailSuiteにおけるスタックベースのバッファオーバーフローの脆弱性に関する注意喚起

I. 概要

2026年5月13日、キヤノンマーケティングジャパン株式会社がGUARDIANWALL MailSuiteにおけるスタックベースのバッファオーバーフローの脆弱性（CVE-2026-32661）を公表しました。攻撃者が当該製品のWebサービスに細工したリクエストを送信した場合、認証なしで任意のコードを実行される可能性があります。開発者によると、GUARDIANWALL MailSuite（オンプレミス版）において本脆弱性を悪用した攻撃がすでに確認されているとのことです。

本脆弱性の影響を受ける製品やサービスを利用している場合、開発者が提供する最新の情報を確認のうえ、対策の適用および侵害有無の調査などを実施してください。また、今後も情報が更新される可能性があるため、開発者が提供する情報等を注視することを推奨します。

II. 対象

本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、開発者が提供する最新の情報を確認してください。

  • GUARDIANWALL MailSuite（オンプレミス版）Ver 1.4.00からVer 2.4.26まで

本脆弱性はGUARDIANWALL Mailセキュリティ・クラウド（SaaS版）も影響を受けましたが、2026年4月30日のメンテナンスで対策済みです。

Ⅲ. 対策

開発者が提供する最新の情報を確認の上、影響を受けるバージョンを使用している場合、脆弱性を修正するパッチを適用してください。

Ⅳ. 侵害検出方法

開発者が提供する最新の情報を確認の上、脆弱性を悪用する攻撃を受けた可能性があるか調査いただくことを推奨します。また、今後の更新情報をもとに調査を進められるよう、必要なログの保全などを行ってください。

Ⅴ. 軽減策

修正パッチをすぐに適用できない場合、攻撃の影響を軽減するための対応を検討してください。軽減策の詳細は、開発者から提供される最新の情報を確認してください。

Ⅵ. 参考情報

  • Japan Vulnerability Notes JVN#35567473 ／ GUARDIANWALL MailSuiteにおけるスタックベースのバッファオーバーフローの脆弱性https://jvn.jp/jp/JVN35567473/

PHPUnitに引数インジェクションの脆弱性

PHPUnitには、引数インジェクションの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://github.com/sebastianbergmann/phpunit/security/advisories/GHSA-qrr6-mg7r-m243

IPAが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」のサイトを公開

独立行政法人情報処理推進機構（IPA）は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」のサイトを公開しました。本サイトでは、制度の概要や要求事項・評価基準、評価機関などの情報が紹介されています。

情報源
https://www.ipa.go.jp/security/scs/

WordPress向け複数プラグインにおける不正なコード混入

WordPress向けの複数のプラグインについて、アップデートを通じて不正なコードを含むバージョンが配信されたとの情報が公開されました。対象はEssentialPluginが提供していた30以上のプラグインで、WordPress.orgのプラグインチームは対象プラグインのクローズおよび強制セキュリティアップデートを実施しています。影響を受けたサイトでは、wp-config.phpの改ざんが確認された事例も報告されています。該当するプラグインを利用している場合は、関連する情報を参照し、強制アップデートが適用済みであること、ならびにバックドアなどの不審なファイルの設置やファイル改ざんなどの影響を受けていないことをご確認ください。

情報源
https://anchor.host/someone-bought-30-wordpress-plugins-and-planted-a-backdoor-in-all-of-them/
関連文書
https://patchstack.com/articles/critical-supply-chain-compromise-on-20-plugins-by-essentialplugin/

WordPress用プラグインNinja FormsのアドオンFile Uploadsに脆弱性

Ninja Formsが提供するWordPress用プラグインNinja FormsのアドオンFile Uploadsには、アップロードするファイルの検証が不十分の脆弱性があります。本脆弱性情報はWordfenceから公開されており、悪用されているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、Wordfenceが提供する情報を参照してください。

情報源
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ninja-forms-uploads/ninja-forms-file-upload-3326-unauthenticated-arbitrary-file-upload

総務省が「AIのセキュリティ確保のための技術的対策に係るガイドライン」を公開

総務省は、「AIのセキュリティ確保のための技術的対策に係るガイドライン」を公開しました。本ガイドラインは、AI開発者とAI提供者に向けて、AIの「セキュリティ確保」として「不正操作による機密情報の漏えい、AIシステムの意図せぬ変更や停止が生じないような状態」に対する脅威への技術的対策例が整理されています。

情報源
https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00282.html
関連文書
https://www.soumu.go.jp/main_content/001064122.pdf

デジタル庁が「政府情報システムにおける脅威の検知・対応のためのログ取得・分析導入ガイドブック」を公開

デジタル庁は、「政府情報システムにおける脅威の検知・対応のためのログ取得・分析導入ガイドブック」を公開しました。本ガイドブックは、政府情報システムの特性を踏まえたログの点検や分析について目的設定から体系的に解説しています。

情報源
https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/444f02f0/20260331_resources_standard_guidelines_technical_report_01.pdf
関連文書
https://www.digital.go.jp/resources/standard_guidelines#ds222

バッファロー製Wi-Fiルーターに複数の脆弱性

株式会社バッファローが提供するWi-Fiルーターには、複数の脆弱性があります。この問題は、当該製品を修正済みのファームウェアに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN83788689/
関連文書
https://www.buffalo.jp/news/detail/20260323-01.html

シャープ製ルーター製品に一部のweb APIに対する認証欠如の脆弱性

シャープ株式会社が提供する複数のルーター製品には、web APIの一部を認証なしに使用できる脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。なお、一部の製品についてはサポートサービスが終了しており、アップデートの提供はありません。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/jp/JVN49524110/
関連文書
https://corporate.jp.sharp/info/product-security/advisory-list/2026-002/

Mozilla Firefoxの脆弱性について

Mozilla Firefoxの脆弱性に関する情報が公開されました。

脆弱性の影響を受ける製品／バージョン

  • Firefox 140.9(ESR)より前のバージョン
  • Firefox 115.34(ESR)より前のバージョン
  • Firefox149より前のバージョン

影響

本脆弱性を利用した悪意のあるWebページを閲覧した場合、コンピュータに意図せぬプログラムが実行され、当該コンピュータに保存されているデータの改ざん、削除、漏えい等が発生する可能性があります。

対策

修正されたソフトウェアをダウンロードし、インストールしてください。

トレンドマイクロ社製品の脆弱性対策について

トレンドマイクロ社製品の脆弱性(CVE-2025-71210等)に関する情報が公開されました。

脆弱性の影響を受ける製品／バージョン

  • Apex One
  • Apex One SaaS
  • Standard Endpoint Protection
  • Apex One(Mac)

※バージョンについては、下記URLをご参照ください。

影響

攻撃者により脆弱性を悪用され

  • 任意のコードが実行される
  • 権限の昇格を可能とする

等の被害が発生するおそれがあります。

対策

同社システムの利用状況を確認し、利用している場合は、早急に修正済みのソフトウェアへのアップデートを検討してください。

複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に脆弱性

複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://jvn.jp/vu/JVNVU92256509/
関連文書
https://success.trendmicro.com/ja-JP/solution/KA-0022466

Microsoft Officeにセキュリティ機能をバイパスされる脆弱性

Microsoft Officeには、セキュリティ機能をバイパスされる脆弱性があります。マイクロソフトは、今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。Office 2021以降はサービス側で修正されており、アプリケーションの再起動で対策が有効になります。Office 2016およびOffice 2019は、Microsoft Updateなどを用いて更新プログラムを適用する必要があります。詳細は、開発者が提供する情報を参照してください。

情報源
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509

マルウェア感染を狙ったビジネスメールに注意

社長などを騙る詐欺メールに類似した『マルウェア感染を狙った攻撃メール』の手口が確認されています。

メール本文中で注意すべきワード等

  • オフィスにいますか？
  • 私の名前を騙ってＬＩＮＥグループを作成されている
  • メールにファイル（ＰＤＦやワードファイル等）添付されている
  • 添付ファイルはメール遮断ルーツです
  • 対策を講じてください など

被害防止対策

  • 上記のようなメールの添付ファイルを開かない
  • 送信元メールアドレスが身に覚えのあるものか確認する
  • セキュリティ担当者や上司に報告する 等

FortinetのFortiSIEMにOSコマンドインジェクションの脆弱性

Fortinetが提供するFortiSIEMには、OSコマンドインジェクションの脆弱性があります。JPCERT/CCは、すでに本脆弱性の概念実証（PoC）コードが公開されていること、および悪用試行の通信が観測されていることを確認しています。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

情報源
https://fortiguard.fortinet.com/psirt/FG-IR-25-772

過去の情報

年ごとにまとめています。見出しを押すと開きます。

2025年の情報

Trend Micro 社製品の脆弱性対策について

Trend Micro 社製品（Apex One Endpoint Sensor）の脆弱性（CVE-2025-49844）に関する情報が公開されました。

脆弱性の影響を受ける製品／バージョン

Apex One Endpoint Sensor 全てのバージョン

※iESの機能を有効化したことがあるもののみ

脆弱性

遠隔の攻撃者による任意のコード実行につながる可能性

対策

Trend Microが提供しているツール(下記URL参照)を使用して、脆弱性の影響を回避してください。

また、2026年1月に公開が予定されているCritical Patchを適用してください。

2023年の情報

マルウェアEmotet感染の確認方法と対策

※ EmoCheckは最新バージョンのものをご利用ください。

2023年3月20日、EmoCheck v2.4.0をリリースしました。

※ EmoCheckの使用方法や更新履歴などはこちらをご参照ください。

2023年3月20日 追記

2023年3月20日、EmoCheck v2.4.0をリリースしました。2023年3月にアップデートされたEmotetの挙動の変化に対応するため、一部の検知機能のロジックを改善しています。

↑