{ "title": "CISA Catalog of Known Exploited Vulnerabilities (ja)", "catalogVersion": "2026.08.18", "dateReleased": "2026-08-18T16:52:08.5398Z", "count": 1670, "vulnerabilities": [ { "cveID": "CVE-2026-33824", "vendorProject": "Microsoft", "product": "Internet Key Exchange (IKE) Service Extensions", "vulnerabilityName": "Microsoft Internet Key Exchange (IKE) Service Extensions Double Free Vulnerability", "dateAdded": "2026-08-18", "shortDescription": "Microsoft Internet Key Exchange (IKE) Service Extensions contains a double free vulnerability that could enable remote code execution.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-21", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-33824 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-33824", "cwes": [ "CWE-415" ], "vulnerabilityNameJa": "Microsoft Internet Key Exchange (IKE) Service Extensions Double Free の脆弱性", "shortDescriptionJa": "Microsoftのインターネットキー交換（IKE）サービス拡張機能には、リモートコード実行を可能にする可能性のある二重解放の脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-018098", "vulnerabilityNameJvn": "日立ディスクアレイシステムにおけるSVP 脆弱性対策について　(2026年4月分)", "shortDescriptionJvn": "Microsoft製品に対して、以下に示す脆弱性が公開されました。 [脆弱性の内容]
  1. UEFI セキュア ブートのセキュリティ機能バイパスの脆弱性 (CVE-2026-0390)
  2. Windows COM サーバーの情報漏えいの脆弱性 (CVE-2026-20806)
  3. Windows 回復環境のセキュリティ機能バイパスの脆弱性 (CVE-2026-20928)
  4. Windows Management サービスの特権昇格の脆弱性 (CVE-2026-20930)
  5. .NET Framework のサービス拒否の脆弱性 (CVE-2026-23666)
  6. Windows 仮想化ベース セキュリティ (VBS) のセキュリティ機能バイパスの脆弱性 (CVE-2026-23670)
  7. MITRE: CVE-2026-25250 セキュア ブートを無効にする Eazy 修正プログラム (CVE-2026-25250)
  8. リモート デスクトップのスプーフィングの脆弱性 (CVE-2026-26151)
  9. Microsoft Cryptographic Services の特権の昇格の脆弱性 (CVE-2026-26152)
  10. Windows 暗号化ファイル システム (EFS) の特権昇格の脆弱性 (CVE-2026-26153)
  11. Microsoft Local Security Authority Subsystem Service の情報漏えいの脆弱性 (CVE-2026-26155)
  12. Windows Hyper-V のリモートでコードが実行される脆弱性 (CVE-2026-26156)
  13. リモート デスクトップ ライセンス サービスの特権昇格の脆弱性 (CVE-2026-26159)
  14. リモート デスクトップ ライセンス サービスの特権昇格の脆弱性 (CVE-2026-26160)
  15. Windows Sensor Data Service の特権昇格の脆弱性 (CVE-2026-26161)
  16. Windows OLE の特権の昇格の脆弱性 (CVE-2026-26162)
  17. Windows カーネルの特権の昇格の脆弱性 (CVE-2026-26163)
  18. Windows プッシュ通知の特権昇格の脆弱性 (CVE-2026-26167)
  19. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-26168)
  20. Windows カーネル メモリの情報漏えいの脆弱性 (CVE-2026-26169)
  21. PowerShell の特権の昇格の脆弱性 (CVE-2026-26170)
  22. Windows プッシュ通知の特権昇格の脆弱性 (CVE-2026-26172)
  23. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-26173)
  24. Windows Server Update Services (WSUS) の特権の昇格の脆弱性 (CVE-2026-26174)
  25. Windows ブート マネージャーのセキュリティ機能のバイパスの脆弱性 (CVE-2026-26175)
  26. Windows クライアント側のキャッシュ ドライバー (csc.sys) の特権昇格の脆弱性 (CVE-2026-26176)
  27. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-26177)
  28. Windows Advanced Rasterization Platform の特権昇格の脆弱性 (CVE-2026-26178)
  29. Windows カーネルの特権の昇格の脆弱性 (CVE-2026-26180)
  30. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-26182)
  31. Windows Projected File System の特権の昇格の脆弱性 (CVE-2026-26184)
  32. Windows Hello のセキュリティ機能のバイパスの脆弱性 (CVE-2026-27906)
  33. Windows TDI 翻訳ドライバー (tdx.sys) の特権昇格の脆弱性 (CVE-2026-27908)
  34. Windows Search サービスの特権の昇格の脆弱性 (CVE-2026-27909)
  35. Windows インストーラーの特権の昇格の脆弱性 (CVE-2026-27910)
  36. Windows ユーザー インターフェイス コアの特権昇格の脆弱性 (CVE-2026-27911)
  37. Microsoft 管理コンソールの特権昇格の脆弱性 (CVE-2026-27914)
  38. Windows UPnP Device Host の特権の昇格の脆弱性 (CVE-2026-27915)
  39. Windows UPnP Device Host の特権の昇格の脆弱性 (CVE-2026-27916)
  40. Windows WFP NDIS ライトウェイト フィルター ドライバー (wfplwfs.sys) の特権昇格の脆弱性 (CVE-2026-27917)
  41. Windows シェルの特権の昇格の脆弱性 (CVE-2026-27918)
  42. Windows UPnP Device Host の特権の昇格の脆弱性 (CVE-2026-27919)
  43. Windows UPnP Device Host の特権の昇格の脆弱性 (CVE-2026-27920)
  44. Windows TDI 翻訳ドライバー (tdx.sys) の特権昇格の脆弱性 (CVE-2026-27921)
  45. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-27922)
  46. デスクトップ ウィンドウ マネージャーの特権昇格の脆弱性 (CVE-2026-27923)
  47. デスクトップ ウィンドウ マネージャーの特権昇格の脆弱性 (CVE-2026-27924)
  48. Windows UPnP デバイス ホスティングの情報漏えいの脆弱性 (CVE-2026-27925)
  49. Windows Cloud Files Mini Filter ドライバーの特権の昇格の脆弱性 (CVE-2026-27926)
  50. Windows Projected File System の特権の昇格の脆弱性 (CVE-2026-27927)
  51. Windows LUA ファイル仮想化フィルター ドライバーの特権昇格の脆弱性 (CVE-2026-27929)
  52. Windows GDI の情報漏えいの脆弱性 (CVE-2026-27930)
  53. Windows GDI の情報漏えいの脆弱性 (CVE-2026-27931)
  54. Windows Simple Search Discovery Protocol (SSDP) サービスの特権昇格の脆弱性 (CVE-2026-32068)
  55. Windows Projected File System の特権の昇格の脆弱性 (CVE-2026-32069)
  56. Windows 共通ログ ファイル システム ドライバーの特権の昇格の脆弱性 (CVE-2026-32070)
  57. Windows ローカル セキュリティ機関サブシステム サービス (LSASS) のサービス拒否の脆弱性 (CVE-2026-32071)
  58. Active Directory のなりすましの脆弱性 (CVE-2026-32072)
  59. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-32073)
  60. Windows Projected File System の特権の昇格の脆弱性 (CVE-2026-32074)
  61. Windows UPnP Device Host の特権の昇格の脆弱性 (CVE-2026-32075)
  62. Windows UPnP Device Host の特権の昇格の脆弱性 (CVE-2026-32077)
  63. Windows Projected File System の特権の昇格の脆弱性 (CVE-2026-32078)
  64. Web アカウント マネージャーの情報漏えいの脆弱性 (CVE-2026-32079)
  65. パッケージ カタログの情報漏えいの脆弱性 (CVE-2026-32081)
  66. Windows Simple Search Discovery Protocol (SSDP) サービスの特権昇格の脆弱性 (CVE-2026-32082)
  67. Windows Simple Search Discovery Protocol (SSDP) サービスの特権昇格の脆弱性 (CVE-2026-32083)
  68. Windows 印刷スプーラーの情報漏えいの脆弱性 (CVE-2026-32084)
  69. リモート プロシージャ コールの情報漏えいの脆弱性 (CVE-2026-32085)
  70. Windows Function Discovery Service (fdwsd.dll) の特権昇格の脆弱性 (CVE-2026-32086)
  71. Windows Function Discovery Service (fdwsd.dll) の特権昇格の脆弱性 (CVE-2026-32087)
  72. Windows 生体認証サービスのセキュリティ機能のバイパスの脆弱性 (CVE-2026-32088)
  73. Windows Speech Brokered API の特権昇格の脆弱性 (CVE-2026-32089)
  74. Windows Speech Brokered API の特権昇格の脆弱性 (CVE-2026-32090)
  75. Microsoft Resilient File System の特権昇格の脆弱性 (CVE-2026-32091)
  76. Windows Function Discovery Service (fdwsd.dll) の特権昇格の脆弱性 (CVE-2026-32093)
  77. Windows Hyper-V のリモートでコードが実行される脆弱性 (CVE-2026-32149)
  78. Windows Function Discovery Service (fdwsd.dll) の特権昇格の脆弱性 (CVE-2026-32150)
  79. Windows シェルの情報漏えいの脆弱性 (CVE-2026-32151)
  80. Windows Speech Runtime の特権の昇格の脆弱性 (CVE-2026-32153)
  81. デスクトップ ウィンドウ マネージャーの特権昇格の脆弱性 (CVE-2026-32154)
  82. デスクトップ ウィンドウ マネージャーの特権昇格の脆弱性 (CVE-2026-32155)
  83. Windows UPnP デバイス ホストのリモートでコードが実行される脆弱性 (CVE-2026-32156)
  84. リモート デスクトップ クライアントのリモートでコードが実行される脆弱性 (CVE-2026-32157)
  85. Windows プッシュ通知の特権昇格の脆弱性 (CVE-2026-32158)
  86. Windows プッシュ通知の特権昇格の脆弱性 (CVE-2026-32159)
  87. Windows プッシュ通知の特権昇格の脆弱性 (CVE-2026-32160)
  88. Windows COM の特権の昇格の脆弱性 (CVE-2026-32162)
  89. Windows ユーザー インターフェイス コアの特権昇格の脆弱性 (CVE-2026-32163)
  90. Windows ユーザー インターフェイス コアの特権昇格の脆弱性 (CVE-2026-32164)
  91. Windows ユーザー インターフェイス コアの特権昇格の脆弱性 (CVE-2026-32165)
  92. 接続ユーザー エクスペリエンスとテレメトリ サービスのサービス拒否の脆弱性 (CVE-2026-32181)
  93. Windows Snipping Tool のリモートでコードが実行される脆弱性 (CVE-2026-32183)
  94. Windows シェルのスプーフィングの脆弱性 (CVE-2026-32202)
  95. ユニバーサル プラグ アンド プレイ (upnp.dll) の情報漏えいの脆弱性 (CVE-2026-32212)
  96. ユニバーサル プラグ アンド プレイ (upnp.dll) の情報漏えいの脆弱性 (CVE-2026-32214)
  97. Windows カーネルの情報漏えいの脆弱性 (CVE-2026-32215)
  98. Windows カーネルの情報漏えいの脆弱性 (CVE-2026-32217)
  99. Windows カーネルの情報漏えいの脆弱性 (CVE-2026-32218)
  100. Windows シェル セキュリティ機能のバイパスの脆弱性 (CVE-2026-32225)
  101. .NET Framework のサービス拒否の脆弱性 (CVE-2026-32226)
  102. Windows Container Isolation FS Filter ドライバーの特権の昇格の脆弱性 (CVE-2026-33098)
  103. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-33099)
  104. WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性 (CVE-2026-33100)
  105. Win32k の特権の昇格の脆弱性 (CVE-2026-33104)
  106. .NET、.NET Framework、Visual Studio のサービス拒否の脆弱性 (CVE-2026-33116)
  107. Windows インターネット キー交換 (IKE) サーバー拡張機能のリモートでコードが実行される脆弱性 (CVE-2026-33824)
  108. Windows TCP/IP のリモートでコードが実行される脆弱性 (CVE-2026-33827)
  109. Windows Snipping Tool のなりすましの脆弱性 (CVE-2026-33829)
SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。また日立ディスクアレイシステムに蓄積されているデータを読み取られることもありません。", "impactJvn": "想定される影響については、ベンダ情報をご確認ください。", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-59310", "vendorProject": "Broadcom", "product": "VMware vCenter", "vulnerabilityName": "Broadcom VMware vCenter Path Traversal Vulnerability", "dateAdded": "2026-08-18", "shortDescription": "Broadcom VMware vCenter contains a path traversal vulnerability which could allow a threat actor with network access to vCenter to execute arbitrary code.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-21", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-59310", "cwes": [ "CWE-22" ], "vulnerabilityNameJa": "Broadcom VMware vCenterのパストラバーサル脆弱性", "shortDescriptionJa": "Broadcom VMware vCenterには、パス・トラバーサル脆弱性が存在し、vCenterへのネットワークアクセス権を持つ攻撃者が任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "", "vulnerabilityNameJvn": "", "shortDescriptionJvn": "", "impactJvn": "", "requiredActionJvn": "" }, { "cveID": "CVE-2026-55040", "vendorProject": "Microsoft", "product": "SharePoint", "vulnerabilityName": "Microsoft SharePoint Weak Authentication Vulnerability", "dateAdded": "2026-08-18", "shortDescription": "Microsoft SharePoint contains a weak authentication vulnerability which allows an unauthorized attacker to bypass a security feature over a network.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-21", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-55040", "cwes": [ "CWE-1390" ], "vulnerabilityNameJa": "Microsoft SharePointの認証脆弱性", "shortDescriptionJa": "Microsoft SharePointには、認証に関する脆弱な脆弱性が存在し、権限のない攻撃者がネットワーク経由でセキュリティ機能を回避できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023951", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける弱い認証に関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePointの認証の弱さにより、未承認の攻撃者がネットワーク経由でセキュリティ機能を回避できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-65400", "vendorProject": "Apple", "product": "macOS", "vulnerabilityName": "Apple macOS Improper Authentication Vulnerability", "dateAdded": "2026-08-18", "shortDescription": "Apple macOS contains an improper authentication vulnerability that could allow an attacker on the network to authenticate to Screen Sharing without valid credentials.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-21", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/148170; https://support.apple.com/en-us/148171; https://support.apple.com/en-us/148172 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-65400", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Apple macOSの認証に関する脆弱性", "shortDescriptionJa": "AppleのmacOSには、認証に関する不適切な脆弱性が存在し、ネットワーク上の攻撃者が有効な認証情報なしに画面共有に認証できてしまう可能性がある。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-027625", "vulnerabilityNameJvn": "アップルのmacOSにおける認証に関する脆弱性", "shortDescriptionJvn": "認証の問題は、状態管理の改善によって対処されました。この問題は macOS Sequoia 15.7.9、macOS Sonoma 14.8.9、macOS Tahoe 26.6.1 で修正されています。ネットワーク上の攻撃者が、有効な資格情報なしに画面共有に認証する可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-62593", "vendorProject": "Ray-Project", "product": "Ray", "vulnerabilityName": "Ray-Project Ray Code Injection Vulnerability", "dateAdded": "2026-08-17", "shortDescription": "Ray-Project Ray contains a code injection vulnerability that could allow remote code execution. Developers using Ray as a development tool may be exposed to this vulnerability exploitable through Firefox and Safari.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-20", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/ray-project/ray/security/advisories/GHSA-q279-jhrf-cc6v ; https://github.com/ray-project/ray/commit/70e7c72780bdec075dba6cad1afe0832772bfe09 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2025-62593", "cwes": [ "CWE-94", "CWE-352" ], "vulnerabilityNameJa": "Ray-Project Rayコードインジェクションの脆弱性", "shortDescriptionJa": "Ray-Project Rayには、リモートコード実行を可能にするコードインジェクションの脆弱性が存在します。Rayを開発ツールとして使用している開発者は、FirefoxおよびSafariを介して悪用される可能性のあるこの脆弱性にさらされる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "", "vulnerabilityNameJvn": "", "shortDescriptionJvn": "", "impactJvn": "", "requiredActionJvn": "" }, { "cveID": "CVE-2026-20349", "vendorProject": "Cisco", "product": "Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) ", "vulnerabilityName": "Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Heap Inspection Vulnerability", "dateAdded": "2026-08-11", "shortDescription": "Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) contain a heap inspection vulnerability that could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-14", "knownRansomwareCampaignUse": "Unknown", "notes": "https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-vpn-dos-dzv4mQFF ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20349", "cwes": [ "CWE-244" ], "vulnerabilityNameJa": "Cisco Secure Firewall Adaptive Security Appliance (ASA) および Secure Firewall Threat Defense (FTD) のヒープ検査の脆弱性", "shortDescriptionJa": "Cisco Secure Firewall Adaptive Security Appliance (ASA) および Secure Firewall Threat Defense (FTD) には、ヒープ検査の脆弱性が存在し、認証されていないリモート攻撃者がデバイスを予期せず再起動させ、サービス拒否 (DoS) 状態を引き起こす可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-028127", "vulnerabilityNameJvn": "シスコシステムズのAdaptive Security Appliance (ASA) Software等の複数製品におけるヒープインスペクションに関する脆弱性", "shortDescriptionJvn": "Cisco Secure Firewall Adaptive Security Appliance（ASA）ソフトウェアおよびCisco Secure Firewall Threat Defense（FTD）ソフトウェアのリモートアクセスSSL VPNサービスにおける脆弱性により、認証されていないリモートの攻撃者がデバイスを予期せず再起動させることが可能となり、サービス拒否（DoS）状態を引き起こす可能性があります。この脆弱性はHTTPリクエストの処理時にエラーチェックが不十分であることに起因しています。攻撃者は細工されたHTTPリクエストを影響を受けるデバイスのリモートアクセスSSL VPNサービスに送信することで、この脆弱性を悪用できます。成功した攻撃によって影響を受けるデバイスが再起動し、DoS状態を引き起こす可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-68820", "vendorProject": "Microsoft", "product": "Windows Ancillary Function Driver for WinSock ", "vulnerabilityName": "Microsoft Windows Ancillary Function Driver for WinSock Use-After-Free Vulnerability", "dateAdded": "2026-08-11", "shortDescription": "Microsoft Windows Ancillary Function Driver for WinSock contains a use-after-free vulnerability that allows an authorized attacker to elevate privileges locally.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-25", "knownRansomwareCampaignUse": "Unknown", "notes": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2026-68820 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-68820", "cwes": [ "CWE-416" ], "vulnerabilityNameJa": "Microsoft Windows の補助機能ドライバ WinSock の解放後使用の脆弱性", "shortDescriptionJa": "Microsoft WindowsのWinSock用補助機能ドライバーには、解放済みメモリ使用の脆弱性が存在し、権限のある攻撃者がローカルで権限を昇格させることが可能です。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-027998", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Windows 10 1607等の複数製品における解放済みメモリの使用に関する脆弱性", "shortDescriptionJvn": "Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認証済みの攻撃者がローカルで権限を昇格させる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-72898", "vendorProject": "Metabase", "product": "Metabase", "vulnerabilityName": "Metabase SQL Injection Vulnerability", "dateAdded": "2026-08-11", "shortDescription": "Metabase contains a SQL Injection vulnerability that allows an unauthenticated remote attacker to inject arbitrary SQL into the Metabase application database, which can give them administrator access to the instance. From there, the attacker could change the application configuration, steal stored credentials for the connected databases, read any data accessible through those connections, and export data.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-14", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.metabase.com/blog/security-update ; https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-72898", "cwes": [ "CWE-89" ], "vulnerabilityNameJa": "MetabaseのSQLインジェクション脆弱性", "shortDescriptionJa": "MetabaseにはSQLインジェクションの脆弱性が存在し、認証されていないリモート攻撃者がMetabaseアプリケーションデータベースに任意のSQLを挿入することで、インスタンスへの管理者権限を取得できてしまう可能性があります。そこから、攻撃者はアプリケーション構成を変更したり、接続されているデータベースの保存済み認証情報を盗み出したり、それらの接続を通じてアクセス可能なデータを読み取ったり、データをエクスポートしたりすることが可能になります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-028171", "vulnerabilityNameJvn": "Metabase, Inc.のMetabaseにおけるSQL インジェクションの脆弱性", "shortDescriptionJvn": "Metabaseは、リモートの未認証攻撃者が「/reset_password」データベースエンドポイントを介して任意のSQLを注入し、接続されたMetabaseインスタンスの管理者アクセス権を取得できる脆弱性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-8037", "vendorProject": "Progress", "product": "LoadMaster", "vulnerabilityName": "Progress LoadMaster Command Injection Vulnerability", "dateAdded": "2026-08-07", "shortDescription": "Progress LoadMaster contains a command injection vulnerability that allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://community.progress.com/s/article/LoadMaster-Critical-Security-Bulletin-June-2026-CVE-2026-8037-CVE-2026-33691 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-8037", "cwes": [ "CWE-77" ], "vulnerabilityNameJa": "Progress LoadMasterのコマンドインジェクション脆弱性", "shortDescriptionJa": "Progress LoadMasterには、コマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が、複数のコマンドエンドポイントにおけるサニタイズされていない入力を悪用することで、LoadMasterアプライアンス上で任意のコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023672", "vulnerabilityNameJvn": "Progress Software CorporationのConnection Manager for ObjectScale等の複数製品におけるコマンドインジェクションの脆弱性", "shortDescriptionJvn": "Progress ADC製品のAPIにおけるOSコマンドインジェクションの脆弱性により、認証されていない攻撃者が複数のコマンドエンドポイントで未サニタイズの入力を悪用し、LoadMasterアプライアンス上で任意のコマンドを実行できます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-63077", "vendorProject": "JetBrains", "product": "TeamCity", "vulnerabilityName": "JetBrains TeamCity Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-08-05", "shortDescription": "JetBrains TeamCity contains a deserialization of untrusted data vulnerability that could allow unauthenticated remote code execution via the agent polling protocol.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-08", "knownRansomwareCampaignUse": "Unknown", "notes": "https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/; https://www.jetbrains.com/privacy-security/issues-fixed/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-63077", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "JetBrains TeamCityにおける信頼できないデータの逆シリアル化の脆弱性", "shortDescriptionJa": "JetBrains TeamCityには、エージェントポーリングプロトコルを介して認証されていないリモートコードの実行を可能にする、信頼できないデータの逆シリアル化の脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-026991", "vulnerabilityNameJvn": "JetBrainsのTeamCityにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "JetBrains TeamCity のバージョン 2026.1.3 および 2025.11.7 より前のバージョンでは、エージェントポーリングプロトコルを介して認証されていない状態でリモートコード実行が可能でした。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-18556", "vendorProject": "N-able", "product": "N-central", "vulnerabilityName": "N-able N-central Authentication Bypass Using an Alternate Path or Channel Vulnerability", "dateAdded": "2026-08-04", "shortDescription": "N-able N-central contains an authentication bypass using an alternate path or channel that allows for authentication bypass.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-07", "knownRansomwareCampaignUse": "Unknown", "notes": "https://uptime.n-able.com/ ; https://status.n-able.com/2026/08/02/n-central-2026-3-hotfix-1-mitigation-for-cve-2026-18577/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-18556", "cwes": [ "CWE-288" ], "vulnerabilityNameJa": "N-able N-central認証バイパスにおける代替パスまたはチャネルの脆弱性", "shortDescriptionJa": "N-able N-centralには、認証をバイパスできる代替パスまたはチャネルを使用した認証バイパス機能が含まれています。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-026954", "vulnerabilityNameJvn": "n-ableのn-centralにおける代替パスまたはチャネルを使用した認証回避に関する脆弱性", "shortDescriptionJvn": "N-able N-central における代替パスまたはチャネルを使用した認証バイパスの脆弱性により、認証がバイパスされる可能性があります。この問題は N-central: 2026.1 までのバージョンに影響します。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-34486", "vendorProject": "Apache", "product": "Tomcat", "vulnerabilityName": "Apache Tomcat Missing Encryption of Sensitive Data Vulnerability", "dateAdded": "2026-08-04", "shortDescription": "Apache Tomcat contains a missing encryption of sensitive data vulnerability that allows the bypass of the EncryptInterceptor. This vulnerability can be chained with CVE‑2025‑24813.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-07", "knownRansomwareCampaignUse": "Unknown", "notes": "https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-34486", "cwes": [ "CWE-311" ], "vulnerabilityNameJa": "Apache Tomcatにおける機密データの暗号化機能の欠如という脆弱性", "shortDescriptionJa": "Apache Tomcatには、機密データの暗号化に欠陥があり、EncryptInterceptorを回避できる脆弱性が存在します。この脆弱性は、CVE-2025-24813と連鎖的に悪用される可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-011129", "vulnerabilityNameJvn": "Apache Software FoundationのApache Tomcatにおける重要なデータの暗号化の欠如に関する脆弱性", "shortDescriptionJvn": "Apache Tomcatにおける機密データの暗号化が欠如する脆弱性は、特定のInterceptorsが暗号化を回避できる問題です。この脆弱性はApache Tomcatのバージョン11.0.20、10.1.53、9.0.116に影響します。ユーザーは修正版のバージョン11.0.21、10.1.54、9.0.117にアップグレードすることを推奨します。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-9198", "vendorProject": "IBM", "product": "Langflow", "vulnerabilityName": "IBM Langflow Code Injection Vulnerability", "dateAdded": "2026-08-04", "shortDescription": "Langflow contains a code injection vulnerability that allows unauthenticated attackers to achieve full remote code execution on default Langflow deployments.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-07", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.ibm.com/support/pages/node/7278927 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-9198", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "IBM Langflowのコードインジェクション脆弱性", "shortDescriptionJa": "Langflowにはコードインジェクションの脆弱性があり、認証されていない攻撃者がデフォルトのLangflow環境において完全なリモートコード実行を実現できてしまう。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-025153", "vulnerabilityNameJvn": "langflowにおけるコードインジェクションの脆弱性", "shortDescriptionJvn": "IBM Langflow OSS バージョン 1.0.0 から 1.10.0 までにおいて、認証されていない攻撃者が /api/v1/auto_login（任意のネットワーク呼び出し元にSUPERUSERトークンを生成する機能）を /api/v1/validate/code（exec() を介してユーザーコードを実行する機能）と連鎖させることで、デフォルトの Langflow デプロイメント上で完全なリモートコード実行（RCE）を達成できます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-18577", "vendorProject": "N-able", "product": "N-central", "vulnerabilityName": "N-able N-central Authentication Bypass Using an Alternate Path or Channel Vulnerability", "dateAdded": "2026-08-03", "shortDescription": "N-able N-central contains an authentication bypass using an alternate path or channel allows for authentication bypass and account takeover in N-central. This vulnerability is the result of an incomplete patch for CVE-2026-18556.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-06", "knownRansomwareCampaignUse": "Unknown", "notes": "https://documentation.n-able.com/N-central/Release_Notes/GA/Content/N-central_2026.3_HF1_Release_Notes.htm ; https://status.n-able.com/2026/08/02/n-central-2026-3-hotfix-1-mitigation-for-cve-2026-18577/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-18577", "cwes": [ "CWE-288" ], "vulnerabilityNameJa": "N-able N-central認証バイパスにおける代替パスまたはチャネルの脆弱性", "shortDescriptionJa": "N-able N-centralには、代替パスまたはチャネルを使用した認証バイパスの脆弱性があり、N-centralにおける認証バイパスとアカウント乗っ取りが可能になります。この脆弱性は、CVE-2026-18556に対するパッチが不完全であったことに起因します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-026953", "vulnerabilityNameJvn": "n-ableのn-centralにおける代替パスまたはチャネルを使用した認証回避に関する脆弱性", "shortDescriptionJvn": "CVE-2026-18556の不完全なパッチにより、2026年3月1日までのN-centralのバージョンで認証バイパスおよびアカウントの乗っ取りが可能となります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20316", "vendorProject": "Cisco", "product": "Secure Firewall Management Center (FMC)", "vulnerabilityName": "Cisco Secure Firewall Management Center Use of Hard-coded Password Vulnerability", "dateAdded": "2026-07-29", "shortDescription": "Cisco Secure Firewall Management Center (FMC) formerly known as Firepower Management Center contains a use of hard-coded password vulnerability that could allow an unauthenticated, remote attacker to log in to an affected device using a low-privileged account to access sensitive data within the impacted systems.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-01", "knownRansomwareCampaignUse": "Unknown", "notes": "https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-static-cred-BET3Cjh ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20316", "cwes": [ "CWE-259" ], "vulnerabilityNameJa": "Cisco Secure Firewall Management Centerにおけるハードコードされたパスワードの使用に関する脆弱性", "shortDescriptionJa": "Cisco Secure Firewall Management Center（FMC）（旧称Firepower Management Center）には、ハードコードされたパスワードを使用する脆弱性が存在し、認証されていないリモート攻撃者が権限の低いアカウントを使用して影響を受けるデバイスにログインし、影響を受けるシステム内の機密データにアクセスできる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-026077", "vulnerabilityNameJvn": "シスコシステムズのCisco Secure Firewall Management Centerにおけるハードコードされたパスワードの使用に関する脆弱性", "shortDescriptionJvn": "Cisco Secure Firewall Management Center (FMC) ソフトウェアのウェブインターフェースに存在する脆弱性により、認証されていないリモート攻撃者が低権限アカウントを使用して影響を受けるデバイスにログインし、該当システム内の機密データにアクセスできる可能性があります。この脆弱性は、低権限アカウントの静的ユーザー認証情報が存在することが原因です。攻撃者はこの脆弱性を悪用してアカウントを使用し、影響を受けるシステムにログインできます。攻撃が成功すると、攻撃者は低権限ユーザーとして影響を受けるシステムにログインし、機密データにアクセス可能となります。注：FMC管理インターフェースがパブリックインターネットに公開されていない場合、本脆弱性に関連する攻撃対象範囲は限定されます。Ciscoは、スコアで示される中程度よりも高いセキュリティ影響評価（SIR）を本セキュリティアドバイザリに割り当てています。これは、本脆弱性が他のCisco Secure FMCソフトウェアの脆弱性と組み合わせることで権限昇格に利用される可能性があるためです。 ", "impactJvn": "・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-68686", "vendorProject": "Fortinet", "product": "FortiOS", "vulnerabilityName": "Fortinet FortiOS Exposure of Sensitive Information to an Unauthorized Actor Vulnerability", "dateAdded": "2026-07-27", "shortDescription": "Fortinet FortiOS contains an exposure of sensitive information to an unauthorized actor vulnerability. This may allow a remote unauthenticated attacker to bypass the patch developed for the symbolic link persistency mechanism observed in some post-exploit cases, via crafted HTTP requests. An attacker would need first to have compromised the product via another vulnerability, at filesystem level.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://fortiguard.fortinet.com/psirt/FG-IR-25-934 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2025-68686", "cwes": [ "CWE-200" ], "vulnerabilityNameJa": "Fortinet FortiOSにおける機密情報の不正アクセス脆弱性", "shortDescriptionJa": "Fortinet FortiOSには、機密情報が不正アクセス者に漏洩する脆弱性が存在します。この脆弱性により、リモートの認証されていない攻撃者が、細工されたHTTPリクエストを介して、一部の攻撃後の事例で確認されたシンボリックリンクの永続化メカニズムに対するパッチを回避できる可能性があります。攻撃者は、まずファイルシステムレベルの別の脆弱性を介して製品を侵害する必要があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-003817", "vulnerabilityNameJvn": "フォーティネットのFortiOSにおける情報漏えいに関する脆弱性", "shortDescriptionJvn": "Fortinet FortiOS 7.6.0から7.6.1、FortiOS 7.4.0から7.4.6、FortiOS 7.2の全バージョン、FortiOS 7.0の全バージョン、FortiOS 6.4の全バージョンにおいて、未承認の攻撃者に対して機密情報が漏洩する脆弱性（CWE-200）が存在します。この脆弱性により、リモートの未認証攻撃者が、特定のポストエクスプロイト事例で観察されたシンボリックリンク持続機構のために開発されたパッチを、細工されたHTTPリクエストを介して回避できる可能性があります。攻撃者はまず他の脆弱性を利用してファイルシステムレベルで製品を侵害する必要があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-16812", "vendorProject": "Arista", "product": "VeloCloud Orchestrator", "vulnerabilityName": "Arista VeloCloud Orchestrator On-Prem OS Command Injection Vulnerability", "dateAdded": "2026-07-27", "shortDescription": "Arista VeloCloud Orchestrator On-Prem contains an OS command injection vulnerability that may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-30", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.arista.com/en/support/advisories-notices/security-advisory/24364-security-advisory-0144 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-16812", "cwes": [ "CWE-78" ], "vulnerabilityNameJa": "Arista VeloCloud Orchestrator オンプレミス OS コマンドインジェクションの脆弱性", "shortDescriptionJa": "Arista VeloCloud Orchestrator On-Premには、OSコマンドインジェクションの脆弱性が存在し、リモートの攻撃者が特権的な内部機能にアクセスし、VCOホストに影響を与える可能性があります。この脆弱性が悪用されると、オーケストレーターおよびオーケストレーターが管理するデータの機密性、完全性、可用性が損なわれる恐れがあります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-025676", "vulnerabilityNameJvn": "Arista Networks, Inc.のVeloCloud OrchestratorにおけるOS コマンドインジェクションの脆弱性", "shortDescriptionJvn": "VeloCloud Orchestrator (VCO) オンプレミス版には、リモートの攻撃者が特権のある内部機能にアクセスし、VCOホストに影響を与える可能性があるセキュリティ問題が存在します。この脆弱性が悪用されると、オーケストレーターおよびオーケストレーターが管理するデータの機密性、完全性、可用性が損なわれる恐れがあります。この機能は内部利用のみを目的としており、リモートアクセスを意図していません。ホスティング版および専用版のVCOには、この通知が出される前にすでにパッチが適用されています。この問題は外部から発見されており、現在も積極的に悪用されていることが確認されています。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-16232", "vendorProject": "Check Point", "product": "SmartConsole", "vulnerabilityName": "Check Point SmartConsole Improper Authentication Vulnerability", "dateAdded": "2026-07-22", "shortDescription": "Check Point SmartConsole contains an improper authentication vulnerability which could allow an unauthenticated remote attacker to obtain an application login token and use it to authenticate with full administrative privileges.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-25", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.checkpoint.com/results/sk/sk185169/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-16232", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Check Point SmartConsoleにおける不適切な認証の脆弱性", "shortDescriptionJa": "Check Point SmartConsoleには、認証に関する不適切な脆弱性が存在し、認証されていないリモート攻撃者がアプリケーションのログイントークンを取得し、それを使用して完全な管理者権限で認証を行う可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-025036", "vulnerabilityNameJvn": "チェック・ポイント・ソフトウェア・テクノロジーズのMulti-domain Security Management等の複数製品における認証に関する脆弱性", "shortDescriptionJvn": "Check Point SmartConsoleのログインプロセスにおける認証バイパスの脆弱性により、未認証のリモート攻撃者がアプリケーションのログイントークンを取得し、それを使用して完全な管理者権限で認証を行うことが可能です。攻撃に成功すると、攻撃者はセキュリティポリシーやセキュリティ構成を変更できます。リモートからの攻撃を実行するには、管理サーバーのIPアドレスへのインターネットアクセス権と、信頼されたクライアントを制限しない設定が必要です。Check Pointは、この脆弱性が実際に悪用されている事例を把握しており、現在ごく少数の顧客に影響を及ぼしていることを確認しています。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-50522", "vendorProject": "Microsoft", "product": "SharePoint", "vulnerabilityName": "Microsoft SharePoint Deserialization of Untrusted Data Vulnerability ", "dateAdded": "2026-07-22", "shortDescription": "Microsoft SharePoint contains a deserialization of untrusted data vulnerability which could allow an unauthorized attacker to execute code over a network.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-25", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-50522", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Microsoft SharePointにおける信頼できないデータの逆シリアル化の脆弱性", "shortDescriptionJa": "Microsoft SharePointには、信頼できないデータの逆シリアル化に関する脆弱性が存在し、権限のない攻撃者がネットワーク経由でコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-024011", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePoint における信頼されていないデータのデシリアライズの脆弱性により、不正な攻撃者がネットワークを介してコードを実行できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-60137", "vendorProject": "WordPress", "product": "Core", "vulnerabilityName": "WordPress Core SQL Injection Vulnerability", "dateAdded": "2026-07-21", "shortDescription": "WordPress Core contains a SQL injection vulnerability when a plugin or theme passes untrusted input to the parameter. This vulnerability can be chained with CVE-2026-63030 to allow an unauthenticated attacker to gain remote code execution on default WordPress installations.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-08-04", "knownRansomwareCampaignUse": "Unknown", "notes": "https://wordpress.org/news/2026/07/wordpress-7-0-2-release/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-60137", "cwes": [ "CWE-89" ], "vulnerabilityNameJa": "WordPressコアにおけるSQLインジェクションの脆弱性", "shortDescriptionJa": "WordPressコアには、プラグインやテーマが信頼できない入力をパラメータに渡す際に発生するSQLインジェクションの脆弱性が存在します。この脆弱性はCVE-2026-63030と組み合わせることで、認証されていない攻撃者がデフォルトのWordPressインストール環境でリモートコード実行権限を取得できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-024667", "vulnerabilityNameJvn": "WordPress.orgのWordPress用WordPressにおけるSQL インジェクションの脆弱性", "shortDescriptionJvn": "WordPress 6.8.xの6.8.6未満、6.9.xの6.9.5未満、および7.0.xの7.0.2未満では、WP_Queryのauthor__not_inパラメータが適切にサニタイズされていません。そのため、プラグインやテーマが信頼されていない入力をこのパラメータに渡すと、SQLインジェクションが発生する可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-63030", "vendorProject": "WordPress", "product": "Core", "vulnerabilityName": "WordPress Core Interpretation Conflict Vulnerability", "dateAdded": "2026-07-21", "shortDescription": "WordPress Core contains an interpretation conflict vulnerability that could allow an attacker to perform SQL Injection and achieve Remote Code Execution. This vulnerability can be chained with CVE-2026-60137.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-24", "knownRansomwareCampaignUse": "Unknown", "notes": "https://wordpress.org/news/2026/07/wordpress-7-0-2-release/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-63030", "cwes": [ "CWE-436" ], "vulnerabilityNameJa": "WordPressコアの解釈競合の脆弱性", "shortDescriptionJa": "WordPressコアには、SQLインジェクション攻撃によってリモートコード実行が可能になる解釈の競合脆弱性が存在します。この脆弱性は、CVE-2026-60137と組み合わせることで悪用される可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-024652", "vulnerabilityNameJvn": "WordPress.orgのWordPress用WordPressにおける解釈の競合に関する脆弱性", "shortDescriptionJvn": "WordPress 6.9.x の 6.9.5 より前のバージョンおよび 7.0.x の 7.0.2 より前のバージョンは、REST API のバッチエンドポイントにおけるルート混乱の問題の影響を受けます。この問題は author__not_in WP_Query SQL インジェクション（CVE-2026-60137）と組み合わさることで、攻撃者が SQL インジェクションを実行し、リモートコードを実行できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-0770", "vendorProject": "Langflow", "product": "Langflow", "vulnerabilityName": "Langflow Inclusion of Functionality from Untrusted Control Sphere Vulnerability", "dateAdded": "2026-07-21", "shortDescription": "Langflow contains an inclusion of functionality from untrusted control sphere vulnerability that allows remote attackers to execute arbitrary code on affected installations. ", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-24", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/langflow-ai/langflow/releases/tag/v1.9.0 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-0770 ", "cwes": [ "CWE-829" ], "vulnerabilityNameJa": "Langflowにおける信頼できない制御領域からの機能の組み込みに関する脆弱性", "shortDescriptionJa": "Langflowには、信頼できない制御空間の脆弱性から派生した機能が組み込まれており、リモートの攻撃者が影響を受けるインストール環境上で任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-004162", "vulnerabilityNameJvn": "langflowにおける信頼できない制御領域からの機能の組み込みに関する脆弱性", "shortDescriptionJvn": "Langflow の exec_globals に信頼できない制御領域から機能が含まれることに起因するリモートコード実行の脆弱性です。この脆弱性により、リモートの攻撃者は Langflow の影響を受けるインストール環境で任意のコードを実行できます。この脆弱性を悪用するために認証は不要です。具体的な欠陥は、validate エンドポイントに提供される exec_globals パラメータの処理に存在します。この問題は信頼できない制御領域のリソースを含むことに起因します。攻撃者はこの脆弱性を利用してルート権限のコンテキストでコードを実行可能です。この脆弱性はかつて ZDI-CAN-27325 として知られていました。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2021-27137", "vendorProject": "DD-WRT", "product": "DD-WRT", "vulnerabilityName": "DD-WRT Stack-Based Buffer Overflow Vulnerability", "dateAdded": "2026-07-21", "shortDescription": "DD-WRT contains a stack-based buffer overflow vulnerability that could allow an unauthenticated attacker to overflow an internal buffer used by UPnP and trigger a code execution vulnerability.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-24", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability affects a common open-source component, third-party library, proprietary implementation, or a protocol used by different products. Please check with specific vendors for information on patching status. For more information, please see: https://svn.dd-wrt.com/changeset/45724 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2021-27137", "cwes": [ "CWE-121" ], "vulnerabilityNameJa": "DD-WRTにおけるスタックベースのバッファオーバーフローの脆弱性", "shortDescriptionJa": "DD-WRTには、スタックベースのバッファオーバーフローの脆弱性が存在し、認証されていない攻撃者がUPnPで使用される内部バッファをオーバーフローさせ、コード実行の脆弱性を引き起こす可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-024831", "vulnerabilityNameJvn": "dd-wrtにおけるスタックベースのバッファオーバーフローの脆弱性", "shortDescriptionJvn": "DD-WRTのバージョン45724より前のrouter/upnp/src/ssdp.cに問題が発見されました。UPnP処理機能における安全でないstrcpyの使用により、認証されていないリモート攻撃者が内部の固定バッファをオーバーフローさせるリクエストを送信できる可能性があります。攻撃を行うには、DD-WRTユーザーがUPnPを有効にする必要があります（デフォルトでは無効で、またデフォルトでは内部インターフェースのみでリッスンします）。この問題はssdp_msearch関数内で発生し、M-SEARCHリクエストによって引き起こされます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-58644", "vendorProject": "Microsoft", "product": "SharePoint", "vulnerabilityName": "Microsoft SharePoint Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-07-16", "shortDescription": "Microsoft SharePoint contains a deserialization of untrusted data vulnerability that allows an unauthorized attacker to execute code over a network.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-19", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-58644", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Microsoft SharePoint の信頼できないデータのデシリアライゼーションの脆弱性", "shortDescriptionJa": "Microsoft SharePointには、信頼できないデータの逆シリアル化に関する脆弱性が存在し、権限のない攻撃者がネットワーク経由でコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023915", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePointにおける信頼されていないデータの逆シリアル化の脆弱性により、不正な攻撃者がネットワーク経由でコードを実行できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-25089", "vendorProject": "Fortinet", "product": "FortiSandbox", "vulnerabilityName": "Fortinet FortiSandbox OS Command Injection Vulnerability", "dateAdded": "2026-07-16", "shortDescription": "Fortinet FortiSandbox, FortiSandbox Cloud, and FortiSandbox PaaS contain an OS command injection vulnerability that allows an unauthenticated attacker to execute unauthorized commands via specifically crafted HTTP requests.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-19", "knownRansomwareCampaignUse": "Unknown", "notes": "https://fortiguard.fortinet.com/psirt/FG-IR-26-141 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-25089", "cwes": [ "CWE-78" ], "vulnerabilityNameJa": "Fortinet FortiSandbox OSコマンドインジェクションの脆弱性", "shortDescriptionJa": "Fortinet FortiSandbox、FortiSandbox Cloud、およびFortiSandbox PaaSには、OSコマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が、特別に細工されたHTTPリクエストを介して不正なコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-019381", "vulnerabilityNameJvn": "フォーティネットのFortiSandbox等の複数製品におけるOS コマンドインジェクションの脆弱性", "shortDescriptionJvn": "Fortinet FortiSandboxのバージョン5.0.0から5.0.5、4.4.0から4.4.8、4.2の全バージョン、FortiSandbox Cloudのバージョン5.0.4から5.0.5、FortiSandbox PaaSのバージョン5.0.4から5.0.5において、OSコマンドインジェクションで使用される特殊な要素が適切に無効化されていない脆弱性が存在します。この脆弱性により、認証されていない攻撃者が特別に細工されたHTTPリクエストを介して不正なコマンドを実行できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-39808", "vendorProject": "Fortinet", "product": "FortiSandbox", "vulnerabilityName": "Fortinet FortiSandbox OS Command Injection Vulnerability", "dateAdded": "2026-07-16", "shortDescription": "Fortinet FortiSandbox contains an OS command injection vulnerability that could allow an unauthenticated attacker to execute unauthorized code or commands via crafted HTTP requests.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-19", "knownRansomwareCampaignUse": "Unknown", "notes": "https://fortiguard.fortinet.com/psirt/FG-IR-26-100 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-39808", "cwes": [ "CWE-78" ], "vulnerabilityNameJa": "Fortinet FortiSandbox OSコマンドインジェクションの脆弱性", "shortDescriptionJa": "Fortinet FortiSandboxには、OSコマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が細工されたHTTPリクエストを介して、不正なコードやコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-011925", "vulnerabilityNameJvn": "フォーティネットのFortiSandboxにおけるOS コマンドインジェクションの脆弱性", "shortDescriptionJvn": "Fortinet FortiSandbox 4.4.0から4.4.8にかけて、OSコマンドインジェクションで使用される特殊要素の不適切な無害化により、攻撃者が挿入攻撃ベクターここを介して不正なコードまたはコマンドを実行できる可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-46817", "vendorProject": "Oracle", "product": "E-Business Suite", "vulnerabilityName": "Oracle E-Business Suite Improper Privilege Management Vulnerability", "dateAdded": "2026-07-15", "shortDescription": "Oracle E-Business Suite contains an improper privilege management vulnerability that allows an unauthenticated attacker with network access via HTTP to compromise Oracle Payments. Successful attacks of this vulnerability can result in takeover of Oracle Payments.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-18", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.oracle.com/security-alerts/cspumay2026.html ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-46817", "cwes": [ "CWE-269", "CWE-287", "CWE-306" ], "vulnerabilityNameJa": "Oracle E-Business Suiteにおける不適切な権限管理の脆弱性", "shortDescriptionJa": "Oracle E-Business Suiteには、権限管理の不備という脆弱性が存在し、HTTP経由でネットワークにアクセスできる認証されていない攻撃者がOracle Paymentsを侵害する可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Paymentsが乗っ取られる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-018295", "vulnerabilityNameJvn": "オラクルのOracle E-Business Suiteにおける複数の脆弱性", "shortDescriptionJvn": "Oracle E-Business SuiteのOracle Payments製品（コンポーネント：ファイル転送）に脆弱性があります。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。認証されていない攻撃者がHTTPを介してネットワークから容易に悪用できる脆弱性であり、Oracle Paymentsの侵害を引き起こす可能性があります。この脆弱性を悪用した攻撃は、Oracle Paymentsを乗っ取る結果となる可能性があります。CVSS 3.1のベーススコアは9.8であり（機密性、完全性、可用性に影響します）、CVSSベクターは(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)です。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2023-4346", "vendorProject": "KNX Association", "product": "KNX Protocol Connection Authorization Option 1", "vulnerabilityName": "KNX Association KNX Protocol Connection Authorization Option 1 Overly Restrictive Account Lockout Mechanism Vulnerability", "dateAdded": "2026-07-15", "shortDescription": "KNX Association KNX Protocol Connection Authorization Option 1 contains an overly restrictive account lockout mechanism vulnerability that could allow an attacker to purge all devices without additional security options enabled and set a BCU key to lock the device. ", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-29", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.cisa.gov/news-events/ics-advisories/icsa-23-236-01 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2023-4346", "cwes": [ "CWE-645" ], "vulnerabilityNameJa": "KNX協会KNXプロトコル接続認証オプション1における過度に制限的なアカウントロックアウトメカニズムの脆弱性", "shortDescriptionJa": "KNXアソシエーションのKNXプロトコル接続認証オプション1には、過度に制限的なアカウントロックアウトメカニズムの脆弱性があり、攻撃者が追加のセキュリティオプションを有効にせずにすべてのデバイスを消去し、BCUキーを設定してデバイスをロックできる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2023-002956", "vulnerabilityNameJvn": "KNX Association 製品に過度に制限されたアカウントロックアウトメカニズムの脆弱性", "shortDescriptionJvn": "KNX Association が提供する製品には、次の脆弱性が存在します。 　* 過度に制限されたアカウントロックアウトメカニズム (CWE-645) - CVE-2023-4346 ", "impactJvn": "脆弱性を悪用された場合、次のような影響を受ける可能性があります。 　* 当該製品にアクセス可能な第三者によって、デバイスをロックされ、サービス運用妨害 (DoS) 状態を引き起こされる ", "requiredActionJvn": "[ワークアラウンドを実施する] 開発者は、ワークアラウンドの適用を推奨しています。 詳細は、開発者が提供する情報をご確認ください。 " }, { "cveID": "CVE-2026-56155", "vendorProject": "Microsoft", "product": "Active Directory Federation Services", "vulnerabilityName": "Microsoft Active Directory Federation Services Insufficient Granularity of Access Control Vulnerability ", "dateAdded": "2026-07-14", "shortDescription": "Microsoft Active Directory Federation Services contains an insufficient granularity of access control vulnerability that allows an authorized attacker to elevate privileges locally.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-28", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-56155 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-56155; https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/decommission/adfs-decommission-guide", "cwes": [ "CWE-1220" ], "vulnerabilityNameJa": "Microsoft Active Directory フェデレーション サービスにおけるアクセス制御の粒度不足の脆弱性", "shortDescriptionJa": "Microsoft Active Directory Federation Servicesには、アクセス制御の粒度が不十分な脆弱性が存在し、権限のある攻撃者がローカルで権限を昇格させることが可能です。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023718", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Windows 10 1607等の複数製品におけるアクセス制御の不十分な粒度に関する脆弱性", "shortDescriptionJvn": "Active Directory フェデレーション サービス (AD FS) のアクセス制御の粒度が不十分なため、認可された攻撃者がローカルで権限を昇格させることが可能です。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-56164", "vendorProject": "Microsoft", "product": "SharePoint Server", "vulnerabilityName": "Microsoft SharePoint Server Missing Authentication for Critical Function Vulnerability", "dateAdded": "2026-07-14", "shortDescription": "Microsoft SharePoint contains a missing authentication for critical function vulnerability that allows an unauthorized attacker to elevate privileges over a network.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-17", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-56164 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-56164", "cwes": [ "CWE-306" ], "vulnerabilityNameJa": "Microsoft SharePoint Serverにおける重要機能の認証欠落の脆弱性", "shortDescriptionJa": "Microsoft SharePointには、重要な機能に対する認証が欠落している脆弱性があり、権限のない攻撃者がネットワーク上で権限を昇格させることが可能です。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023717", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける重要な機能に対する認証の欠如に関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePoint の重要な機能に認証が欠如しているため、未承認の攻撃者がネットワーク経由で権限を昇格させることが可能です。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-15409", "vendorProject": "SonicWall", "product": "SMA1000 Appliances", "vulnerabilityName": "SonicWall SMA1000 Appliances Server-Side Request Forgery Vulnerability", "dateAdded": "2026-07-14", "shortDescription": "SonicWall SMA1000 Appliances contain a server-side request forgery vulnerability that could allow a remote unauthenticated attacker to potentially cause the appliance to make requests to unintended location.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-17", "knownRansomwareCampaignUse": "Known", "notes": "https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-15409", "cwes": [ "CWE-918" ], "vulnerabilityNameJa": "SonicWall SMA1000アプライアンスのサーバーサイドリクエストフォージェリ脆弱性", "shortDescriptionJa": "SonicWall SMA1000アプライアンスには、サーバーサイドリクエストフォージェリの脆弱性が存在し、認証されていないリモート攻撃者が、アプライアンスに意図しない場所にリクエストを送信させる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023879", "vulnerabilityNameJvn": "SonicWALLのSMA6210 ファームウェア等の複数製品におけるサーバサイドのリクエストフォージェリの脆弱性", "shortDescriptionJvn": "SMA1000アプライアンスのWork Placeインターフェースにサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が確認されました。リモートの未認証攻撃者が、アプライアンスに対して意図しない場所へのリクエストを送信させる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-15410", "vendorProject": "SonicWall", "product": "SMA1000 Appliances", "vulnerabilityName": "SonicWall SMA1000 Appliances Code Injection Vulnerability", "dateAdded": "2026-07-14", "shortDescription": "SonicWall SMA1000 Appliances contain a code injection vulnerability which in specific conditions could potentially enable a remote authenticated attacker as administrator to execute arbitrary OS commands.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-17", "knownRansomwareCampaignUse": "Known", "notes": "https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-15410", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "SonicWall SMA1000アプライアンスのコードインジェクション脆弱性", "shortDescriptionJa": "SonicWall SMA1000アプライアンスにはコードインジェクションの脆弱性があり、特定の条件下では、リモートの認証済み攻撃者が管理者として任意のOSコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023878", "vulnerabilityNameJvn": "SonicWALLのSMA6210 ファームウェア等の複数製品におけるコードインジェクションの脆弱性", "shortDescriptionJvn": "SMA1000アプライアンス管理コンソール（AMC）において、認証後のコード生成の不適切な制御（「コードインジェクション」）の脆弱性が確認されました。この脆弱性により、特定の条件下でリモート認証済みの攻撃者が管理者として任意のOSコマンドを実行する可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2008-4128", "vendorProject": "Cisco", "product": "IOS", "vulnerabilityName": "Cisco IOS Cross-Site Request Forgery Vulnerability", "dateAdded": "2026-07-13", "shortDescription": "Cisco IOS 12.4 contains multiple cross-site forgery vulnerabilities that allows remote attackers to execute arbitrary commands via (1) a certain \"show privilege\" command to the /level/15/exec/- URI, and (2) a certain \"alias exec\" command to the /level/15/exec/-/configure/http URI.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-16", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.cisco.com/c/en/us/obsolete/ios-nx-os-software/cisco-ios-software-releases-12-4-mainline.html ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2008-4128", "cwes": [ "CWE-352" ], "vulnerabilityNameJa": "Cisco IOSのクロスサイトリクエストフォージェリの脆弱性", "shortDescriptionJa": "Cisco IOS 12.4 には、複数のクロスサイト フォージェリ脆弱性があり、リモート攻撃者が (1) /level/15/exec/- URI への特定の「show privilege」コマンド、および (2) /level/15/exec/-/configure/http URI への特定の「alias exec」コマンドを介して任意のコマンドを実行できます。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2008-002000", "vulnerabilityNameJvn": "Cisco IOS における HTTP Administration コンポーネントに関する複数のクロスサイトリクエストフォージェリの脆弱性", "shortDescriptionJvn": "シスコシステムズが提供する Cisco IOS に含まれる HTTP Administration コンポーネントには、複数のクロスサイトリクエストフォージェリの脆弱性が存在します。 リモートの攻撃者により、 (1) /level/15/exec/- URI に対する特定の 'show privilege' コマンド (2) /level/15/exec/-/configure/http URI. に対する特定の 'alias exec' コマンドを介し、任意のコマンドを実行される可能性があります。", "impactJvn": "本脆弱性の影響については、「概要」をご参照ください。", "requiredActionJvn": "ベンダ情報および参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-56291", "vendorProject": "Balbooa", "product": "Forms", "vulnerabilityName": "Balbooa Forms Unrestricted Upload of File with Dangerous Type Vulnerability", "dateAdded": "2026-07-10", "shortDescription": "Balbooa Forms contains an unrestricted upload of file with dangerous type vulnerability that allows an unauthenticated arbitrary file upload which could allow uploading of executable files leading to full RCE.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-13", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.balbooa.com/joomla-forms ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-56291", "cwes": [ "CWE-434" ], "vulnerabilityNameJa": "Balbooa Formsに危険なタイプのファイルアップロード制限なしの脆弱性が存在する", "shortDescriptionJa": "Balbooa Formsには、認証なしで任意のファイルをアップロードできる危険な脆弱性があり、実行可能ファイルのアップロードが可能になるため、完全なリモートコード実行（RCE）につながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-023326", "vulnerabilityNameJvn": "Balbooa extensionsのFormsにおける危険なタイプのファイルの無制限アップロードに関する脆弱性", "shortDescriptionJvn": "Joomla拡張機能のBalbooa Formsには、認証されていない任意のファイルをアップロードできる脆弱性が存在し、実行可能ファイルのアップロードが許可されてしまうため、完全なリモートコード実行（RCE）につながります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48939", "vendorProject": "iCagenda", "product": "iCagenda", "vulnerabilityName": "iCagenda Unrestricted Upload of File with Dangerous Type Vulnerability", "dateAdded": "2026-07-10", "shortDescription": "iCagenda contains an unrestricted upload of file with dangerous type vulnerability that allows the upload of arbitrary files in the file attachment feature, ultimately resulting in PHP code upload and execution.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-13", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.icagenda.com/#download ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-48939", "cwes": [ "CWE-434" ], "vulnerabilityNameJa": "iCagendaにおける危険なタイプのファイルアップロードの無制限性に関する脆弱性", "shortDescriptionJa": "iCagendaには、ファイル添付機能において任意のファイルをアップロードできる危険な脆弱性が存在し、結果としてPHPコードのアップロードと実行につながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-021790", "vulnerabilityNameJvn": "JoomliCのiCagendaにおける複数の脆弱性", "shortDescriptionJvn": "JoomlaのiCagenda拡張機能に脆弱性があり、ファイル添付機能を通じて任意のファイルをアップロードできるため、最終的にPHPコードのアップロードおよび実行が可能になります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48908", "vendorProject": "JoomShaper", "product": "SP Page Builder", "vulnerabilityName": "JoomShaper SP Page Builder Unrestricted Upload of File with Dangerous Type Vulnerability", "dateAdded": "2026-07-07", "shortDescription": "JoomShaper SP Page Builder contains an unrestricted upload of file with dangerous type vulnerability that allows unauthenticated users to upload arbitrary files, ultimately resulting in the upload and execution of PHP code.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://extensions.joomla.org/extension/sp-page-builder/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-48908", "cwes": [ "CWE-434" ], "vulnerabilityNameJa": "JoomShaper SP Page Builderにおける危険なタイプのファイルの無制限アップロードの脆弱性", "shortDescriptionJa": "JoomShaper SP Page Builderには、認証されていないユーザーが任意のファイルをアップロードできる危険な脆弱性があり、結果としてPHPコードのアップロードと実行につながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-021792", "vulnerabilityNameJvn": "OllyoのSP Page Builderにおける複数の脆弱性", "shortDescriptionJvn": "Joomla用SP Page Builderの脆弱性により、認証されていないユーザーが任意のファイルをアップロードでき、最終的にPHPコードをアップロードして実行できるようになる。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-55255", "vendorProject": "Langflow", "product": "Langflow", "vulnerabilityName": "Langflow Authorization Bypass Through User-Controlled Key Vulnerability", "dateAdded": "2026-07-07", "shortDescription": "Langflow contains an authorization bypass through user-controlled key vulnerability which allows an authenticated attacker to execute any flow belonging to another user by specifying the victim's flow ID in the request.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/langflow-ai/langflow/security/advisories/GHSA-qrpv-q767-xqq2 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-55255", "cwes": [ "CWE-639" ], "vulnerabilityNameJa": "ユーザー制御キーの脆弱性を利用したLangflow認証バイパス", "shortDescriptionJa": "Langflowには、ユーザーが制御するキーの脆弱性を介した認証バイパスの脆弱性が存在し、認証済みの攻撃者が、リクエストに被害者のフローIDを指定することで、他のユーザーに属する任意のフローを実行できてしまう。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-020952", "vulnerabilityNameJvn": "langflowにおけるユーザ制御の鍵による認証回避に関する脆弱性", "shortDescriptionJvn": "Langflowは、AI搭載のエージェントやワークフローを構築・展開するためのツールです。バージョン1.9.2 より前のバージョンでは、/api/v1/responsesエンドポイントにおける不正な直接オブジェクト参照（IDOR）の脆弱性が存在していました。この脆弱性により、認証された攻撃者がリクエスト内で被害者のフローIDを指定することで、他のユーザーに属する任意のフローを実行可能でした。この問題はバージョン1.9.2で修正されました。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアの一部が停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-56290", "vendorProject": "Joomlack", "product": "Page Builder", "vulnerabilityName": "Joomlack Page Builder Improper Access Control Vulnerability", "dateAdded": "2026-07-07", "shortDescription": "Joomlack Page Builder contains an improper access control vulnerability that could allow for remote code execution via unauthenticated arbitrary file upload.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.joomlack.fr/en/joomla-extensions/page-builder-ck ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-56290", "cwes": [ "CWE-284" ], "vulnerabilityNameJa": "Joomlack Page Builderにおける不適切なアクセス制御の脆弱性", "shortDescriptionJa": "Joomlack Page Builderには、認証されていない任意のファイルアップロードを介してリモートでコードが実行される可能性があります。アクセス制御に不適切な脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-022247", "vulnerabilityNameJvn": "JoomlackのPage Builder CKにおける複数の脆弱性", "shortDescriptionJvn": "Joomla拡張機能のPage Builder CKには、認証されていない状態で任意のファイルをアップロードできる脆弱性が存在し、実行可能ファイルのアップロードを許可するため、完全なリモートコード実行（RCE）につながります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48282", "vendorProject": "Adobe", "product": "ColdFusion", "vulnerabilityName": "Adobe ColdFusion Path Traversal Vulnerability", "dateAdded": "2026-07-07", "shortDescription": "Adobe ColdFusion contains a path traversal vulnerability that could lead to arbitrary code execution in the context of the current user.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-48282", "cwes": [ "CWE-22" ], "vulnerabilityNameJa": "Adobe ColdFusionのパストラバーサル脆弱性", "shortDescriptionJa": "Adobe ColdFusionには、現在のユーザーのコンテキストで任意のコードを実行できる可能性のあるパス・トラバーサル脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-021688", "vulnerabilityNameJvn": "アドビのAdobe ColdFusionにおけるパストラバーサルの脆弱性", "shortDescriptionJvn": "ColdFusionのバージョン2025.9、2023.20およびそれ以前のバージョンには、特定のディレクトリへのパス名制限が不適切である（「パストラバーサル」）という脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードを実行できる可能性があります。この問題を悪用するためにユーザーの操作は必要ありません。スコープが変更されました。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-45659", "vendorProject": "Microsoft", "product": "SharePoint Server", "vulnerabilityName": "Microsoft SharePoint Server Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-07-01", "shortDescription": "Microsoft SharePoint Server contains a deserialization of untrusted data vulnerability which allows an authorized attacker to execute code over a network.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-04", "knownRansomwareCampaignUse": "Known", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-45659", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Microsoft SharePoint Serverにおける信頼できないデータの逆シリアル化の脆弱性", "shortDescriptionJa": "Microsoft SharePoint Serverには、信頼できないデータの逆シリアル化に関する脆弱性が存在し、権限のある攻撃者がネットワーク経由でコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-017240", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePointにおいて、信頼されていないデータのデシリアライズの脆弱性により、認可された攻撃者がネットワーク経由でコードを実行できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48558", "vendorProject": "SimpleHelp ", "product": "SimpleHelp", "vulnerabilityName": "SimpleHelp Authentication Bypass Vulnerability", "dateAdded": "2026-06-29", "shortDescription": "SimpleHelp contains an authentication bypass vulnerability in the OIDC authentication flow. When OIDC authentication is configured, identity tokens submitted during login are accepted without verifying their cryptographic signature. In a vulnerable configuration, a remote, unauthenticated attacker can submit a forged token containing arbitrary identity claims to obtain a fully authenticated technician session. In some configurations, this may also allow bypass of multi-factor authentication.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-07-02", "knownRansomwareCampaignUse": "Unknown", "notes": "https://simple-help.com/security/simplehelp-security-update-2026-05 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-48558", "cwes": [ "CWE-347" ], "vulnerabilityNameJa": "SimpleHelp認証バイパスの脆弱性", "shortDescriptionJa": "SimpleHelpのOIDC認証フローには、認証バイパスの脆弱性が存在します。OIDC認証が設定されている場合、ログイン時に送信されるIDトークンは、暗号署名の検証なしに受け入れられます。脆弱な構成では、認証されていないリモート攻撃者が、任意のIDクレームを含む偽造トークンを送信することで、完全に認証された技術者セッションを取得できます。構成によっては、これにより多要素認証もバイパスされる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-021793", "vulnerabilityNameJvn": "SimpleHelp LtdのSimpleHelpにおけるデジタル署名の検証に関する脆弱性", "shortDescriptionJvn": "SimpleHelpのバージョン5.5.15以前および6.0のプレリリース版には、OIDC認証フローにおける認証バイパスの脆弱性があります。OIDC認証が設定されている場合、ログイン時に提出されたIDトークンの暗号署名は検証されずに受け入れられます。この脆弱な設定では、リモートの未認証攻撃者が任意のIDクレームを含む偽造トークンを送信することで、完全に認証された技術者セッションを取得できます。一部の構成においては、多要素認証もバイパス可能になる場合があります。ユーザーは操作を行う必要がありません。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-12569", "vendorProject": "PTC", "product": "Windchill and FlexPLM", "vulnerabilityName": "PTC Windchill and FlexPLM Improper Input Validation Vulnerability", "dateAdded": "2026-06-25", "shortDescription": "PTC Windchill and FlexPLM contains an improper input validation vulnerability allowing an unauthenticated, remote attacker to execute arbitrary code by sending a malicious request to the network.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-28", "knownRansomwareCampaignUse": "Known", "notes": "https://www.ptc.com/en/support/article/CS473270 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-12569", "cwes": [ "CWE-20", "CWE-502" ], "vulnerabilityNameJa": "PTC WindchillおよびFlexPLMにおける不適切な入力検証の脆弱性", "shortDescriptionJa": "PTC WindchillおよびFlexPLMには、入力検証に不適切な脆弱性が存在し、認証されていないリモート攻撃者がネットワークに悪意のあるリクエストを送信することで、任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-021410", "vulnerabilityNameJvn": "PTC Inc.のFlexPLM等の複数製品における複数の脆弱性", "shortDescriptionJvn": "PTC Windchill PDMlinkおよびPTC FlexPLMにおいて、重大なリモートコード実行（RCE）脆弱性が報告されています。この脆弱性は、信頼されていないデータの逆シリアル化を通じて悪用される可能性があります。本アドバイザリはすべてのCPSバージョンにも適用されます。特定された脆弱性は、11.0 M030以前のWindchillおよびFlexPLMのリリースにも影響を及ぼします。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "参考情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20230", "vendorProject": "Cisco", "product": "Unified Communications Manager", "vulnerabilityName": "Cisco Unified Communications Manager Server-Side Request Forgery (SSRF) Vulnerability", "dateAdded": "2026-06-25", "shortDescription": "Cisco Unified Communications Manager (Unified CM) and Cisco Unified Communications Manager Session Management Edition (Unified CM SME) contain a server-side request forgery (SSRF) Vulnerability that could allow an unauthenticated, remote attacker to write files to the underlying operating system that could be used later to elevate to root.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-28", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20230", "cwes": [ "CWE-918" ], "vulnerabilityNameJa": "Cisco Unified Communications Managerにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性", "shortDescriptionJa": "Cisco Unified Communications Manager (Unified CM) および Cisco Unified Communications Manager Session Management Edition (Unified CM SME) には、サーバーサイドリクエストフォージェリ (SSRF) の脆弱性が存在し、認証されていないリモート攻撃者が、基盤となるオペレーティングシステムにファイルを書き込むことができ、そのファイルを使用して後でルート権限に昇格できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-021508", "vulnerabilityNameJvn": "シスコシステムズのCisco Unified Communications Managerにおけるサーバサイドのリクエストフォージェリの脆弱性", "shortDescriptionJvn": "Cisco Unified Communications Manager（Unified CM）および Cisco Unified Communications Manager Session Management Edition（Unified CM SME）には脆弱性が存在し、認証されていないリモート攻撃者が影響を受けるデバイスを通じてサーバーサイドリクエストフォージェリ（SSRF）攻撃を実行できる可能性があります。この脆弱性は特定のHTTPリクエストに対する入力検証の不備が原因です。攻撃者は細工されたHTTPリクエストを影響を受けるデバイスに送信することで、この脆弱性を悪用できます。悪用に成功すると、攻撃者は基盤となるオペレーティングシステムにファイルを書き込み、その後にroot権限へ昇格するために使用する可能性があります。注：Ciscoは本セキュリティアドバイザリに対して、影響度評価（SIR）のスコアを高（High）ではなく重大（Critical）に割り当てています。これは、この脆弱性の悪用により攻撃者がroot権限に昇格できる可能性があるためです。注：この脆弱性を悪用するには、WebDialerサービスを有効にしている必要があります。なお、WebDialerはデフォルトで無効となっています。 ", "impactJvn": "・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-67038", "vendorProject": "Lantronix", "product": "EDS5000", "vulnerabilityName": "Lantronix EDS5000 Code Injection Vulnerability", "dateAdded": "2026-06-23", "shortDescription": "Lantronix EDS5000 contains a code injection vulnerability that could allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://ltrxdev.atlassian.net/wiki/spaces/LTRXTS/pages/2538438657/Latest+Firmware+for+the+EDS5000+series+EDS5008+EDS5016+EDS5032 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2025-67038", "cwes": [ "CWE-78", "CWE-94" ], "vulnerabilityNameJa": "Lantronix EDS5000のコードインジェクション脆弱性", "shortDescriptionJa": "Lantronix EDS5000には、攻撃者がユーザー名パラメータに任意のOSコマンドを挿入できるコードインジェクションの脆弱性が存在します。挿入されたコマンドはroot権限で実行されます。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-006893", "vulnerabilityNameJvn": "複数のLantronix製品における複数の脆弱性", "shortDescriptionJvn": "Lantronix Inc.が提供する複数の製品には、次の複数の脆弱性が存在します。", "impactJvn": "脆弱性を悪用された場合、次のような影響を受ける可能性があります。", "requiredActionJvn": "[アップデートする] 開発者は、アップデートを提供しています。 詳細は、開発者が提供する情報を確認してください。" }, { "cveID": "CVE-2026-34910", "vendorProject": "Ubiquiti", "product": "UniFi OS", "vulnerabilityName": "Ubiquiti UniFi OS Improper Input Validation Vulnerability", "dateAdded": "2026-06-23", "shortDescription": "Ubiquiti UniFi OS contains an improper input validation vulnerability which could allow a malicious actor with access to the network to conduct command injection.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-34910", "cwes": [ "CWE-20" ], "vulnerabilityNameJa": "Ubiquiti UniFi OSにおける不適切な入力検証の脆弱性", "shortDescriptionJa": "Ubiquiti UniFi OSには、入力検証に不適切な脆弱性があり、ネットワークにアクセスできる悪意のある攻撃者がコマンドインジェクションを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-020867", "vulnerabilityNameJvn": "UIのEnterprise Fortress Gateway Firmware (EFG)等の複数製品における入力確認に関する脆弱性", "shortDescriptionJvn": "ネットワークにアクセスできる悪意のある攻撃者は、UniFi OS デバイスに存在する不適切な入力検証の脆弱性を悪用し、コマンドインジェクションを実行する可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-34909", "vendorProject": "Ubiquiti", "product": "UniFi OS", "vulnerabilityName": "Ubiquiti UniFi OS Path Traversal Vulnerability", "dateAdded": "2026-06-23", "shortDescription": "Ubiquiti UniFi OS contains a path traversal vulnerability which could allow a malicious actor with access to the network to access files on the underlying system that could be manipulated to access an underlying account.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-34909", "cwes": [ "CWE-22" ], "vulnerabilityNameJa": "Ubiquiti UniFi OSのパストラバーサル脆弱性", "shortDescriptionJa": "Ubiquiti UniFi OSには、パス・トラバーサル脆弱性が存在し、ネットワークへのアクセス権を持つ悪意のある攻撃者が、基盤となるシステム上のファイルにアクセスし、それを操作して基盤となるアカウントにアクセスできる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-020868", "vulnerabilityNameJvn": "UIのEnterprise Fortress Gateway Firmware (EFG)等の複数製品におけるパストラバーサルの脆弱性", "shortDescriptionJvn": "ネットワークにアクセスできる悪意のある攻撃者は、UniFi OSデバイスに見つかったパストラバーサルの脆弱性を悪用し、基盤となるシステム上のファイルにアクセスできます。そして、そのファイルを操作することで基盤となるアカウントにアクセスされる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-34908", "vendorProject": "Ubiquiti", "product": "UniFi OS", "vulnerabilityName": "Ubiquiti UniFi OS Improper Access Control Vulnerability", "dateAdded": "2026-06-23", "shortDescription": "Ubiquiti UniFi OS contains an improper access control vulnerability which could allow a malicious actor with access to the network to make unauthorized changes to the system.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-34908", "cwes": [ "CWE-284" ], "vulnerabilityNameJa": "Ubiquiti UniFi OSにおける不適切なアクセス制御の脆弱性", "shortDescriptionJa": "Ubiquiti UniFi OSには、アクセス制御に関する不適切な脆弱性が存在し、ネットワークへのアクセス権を持つ悪意のある攻撃者が、システムに不正な変更を加えることを可能にする可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-020869", "vulnerabilityNameJvn": "UIのEnterprise Fortress Gateway Firmware (EFG)等の複数製品におけるアクセス制御に関する脆弱性", "shortDescriptionJvn": "ネットワークへのアクセス権を持つ悪意のある人物が、UniFi OSデバイスに存在する不適切なアクセス制御の脆弱性を悪用し、システムに対して不正な変更を加える可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20253", "vendorProject": "Splunk", "product": "Enterprise", "vulnerabilityName": "Splunk Enterprise Missing Authentication for Critical Function Vulnerability", "dateAdded": "2026-06-18", "shortDescription": "Splunk Enterprise contains a missing authentication for critical function vulnerability which could allow an unauthenticated user to create or truncate arbitrary files through a PostgreSQL sidecar service endpoint.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-21", "knownRansomwareCampaignUse": "Unknown", "notes": "https://advisory.splunk.com/advisories/SVD-2026-0603 ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20253", "cwes": [ "CWE-306" ], "vulnerabilityNameJa": "Splunk Enterpriseにおける重要機能の認証欠落の脆弱性", "shortDescriptionJa": "Splunk Enterpriseには、重要な機能に対する認証が欠落している脆弱性が存在し、認証されていないユーザーがPostgreSQLサイドカーサービスのエンドポイントを介して任意のファイルを作成または切り詰めることができる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-019897", "vulnerabilityNameJvn": "Splunkにおける重要な機能に対する認証の欠如に関する脆弱性", "shortDescriptionJvn": "Splunk Enterpriseのバージョン10.2.4未満の10.2系および10.0.7未満の10系において、認証されていないユーザーがPostgreSQLサイドカーサービスのエンドポイントを通じて任意のファイルを作成または切り詰める可能性があります。この脆弱性は、PostgreSQLサイドカーサービスのエンドポイントに認証制御が欠如しているために存在し、ネットワークからアクセス可能な任意のユーザーが資格情報なしでファイル操作を実行できる状態です。Splunk Enterpriseのバージョン9.4およびそれ以前のバージョンは影響を受けません。修正済みバージョンにすぐにアップグレードできない場合は、PostgreSQLサイドカーサービスを無効化することでこの脆弱性を軽減できます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48907", "vendorProject": "Widget Factory", "product": "Joomla Content Editor ", "vulnerabilityName": "Widget Factory Joomla Content Editor Improper Access Control Vulnerability", "dateAdded": "2026-06-16", "shortDescription": "Widget Factory Joomla Content Editor contains an improper access control vulnerability which could allow for upload and execution of PHP code via the creation of new editor profiles for unauthenticated users. ", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-19", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites ; https://www.joomlacontenteditor.net/support/changelog/editor ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-48907", "cwes": [ "CWE-284" ], "vulnerabilityNameJa": "Widget Factory Joomlaコンテンツエディターの不適切なアクセス制御の脆弱性", "shortDescriptionJa": "Widget Factory Joomlaコンテンツエディターには、アクセス制御に不適切な脆弱性があり、認証されていないユーザー向けに新しいエディタープロファイルを作成することで、PHPコードのアップロードと実行が可能になる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-020275", "vulnerabilityNameJvn": "Widget Factory LimitedのJCEにおけるアクセス制御に関する脆弱性", "shortDescriptionJvn": "JoomlaのJCEエディター拡張機能に存在する脆弱性により、認証されていないユーザーが新しいエディタープロファイルを作成でき、最終的にPHPコードをアップロードして実行できます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-54420", "vendorProject": "LiteSpeed", "product": "cPanel Plugin", "vulnerabilityName": "LiteSpeed cPanel Plugin UNIX Symbolic Link (Symlink) Following Vulnerability", "dateAdded": "2026-06-15", "shortDescription": "LiteSpeed cPanel plugin contains a UNIX symbolic link (Symlink) following vulnerability that could allow a user with FTP or web shell access on a shared hosting server running CloudLinux/CageFS.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-18", "knownRansomwareCampaignUse": "Unknown", "notes": "https://blog.litespeedtech.com/2026/06/01/security-update-for-litespeed-cpanel-plugin-2/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-54420", "cwes": [ "CWE-61" ], "vulnerabilityNameJa": "LiteSpeed cPanelプラグインのUNIXシンボリックリンク（Symlink）に関する脆弱性", "shortDescriptionJa": "LiteSpeed cPanel プラグインには、UNIX シンボリックリンク (Symlink) をたどる脆弱性があり、CloudLinux/CageFS を実行している共有ホスティングサーバー上で FTP または Web シェルにアクセスできるユーザーが、この脆弱性を悪用する可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-019816", "vulnerabilityNameJvn": "LiteSpeed TechnologiesのLiteSpeed cPanel Plugin等の複数製品におけるUNIX Symbolic Link のフォローに関する脆弱性", "shortDescriptionJvn": "LiteSpeed cPanelプラグイン2.4.8以前（LiteSpeed WHMプラグイン5.3.2.0以前に配布されているもの）は、CloudLinux/CageFSを実行している共有ホスティングサーバー上で、FTPまたはウェブシェルアクセスを持つユーザーが提供するシンボリックリンクを不適切に扱う脆弱性があります。この脆弱性は2026年5月に野生環境で悪用されました。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20262", "vendorProject": "Cisco", "product": "Catalyst SD-WAN Manager", "vulnerabilityName": "Cisco Catalyst SD-WAN Manager Directory or Path Traversal Vulnerability", "dateAdded": "2026-06-15", "shortDescription": "Cisco Catalyst SD-WAN Manager contains a directory or path traversal vulnerability that could allow an authenticated, remote attacker to create a file or overwrite any file on the filesystem of an affected system.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-29", "knownRansomwareCampaignUse": "Unknown", "notes": "https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-arbfw-c2rZvQ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20262", "cwes": [ "CWE-22" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WAN Managerのディレクトリまたはパスのトラバーサル脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN Managerには、ディレクトリまたはパスのトラバーサル脆弱性が存在し、認証済みのリモート攻撃者が、影響を受けるシステムのファイルシステム上にファイルを作成したり、任意のファイルを上書きしたりする可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-020168", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Managerにおけるパストラバーサルの脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN Manager（旧称 SD-WAN vManage）のウェブUIには脆弱性が存在し、認証されたリモート攻撃者が影響を受けるシステムのファイルシステム上に任意のファイルを作成または上書きする可能性があります。この脆弱性は、影響を受けるソフトウェアがファイルアップロード処理中にユーザーから提供された入力を適切に検証しないことが原因で発生しています。攻撃者は細工されたHTTPリクエストを影響を受けるシステムのAPIエンドポイントに送信することで、この脆弱性を悪用できます。悪用に成功すると、攻撃者は基盤となるオペレーティングシステム上の任意のファイルを作成または上書きでき、そのファイルを後にroot権限の昇格に利用できます。この脆弱性を悪用するためには、攻撃者は最低限、低権限の単一タスクユーザーアカウントの有効な認証情報を持っている必要があります。 ", "impactJvn": "・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-35273", "vendorProject": "Oracle", "product": " PeopleSoft Enterprise PeopleTools", "vulnerabilityName": "Oracle PeopleSoft Enterprise PeopleTools Missing Authentication for Critical Function Vulnerability", "dateAdded": "2026-06-12", "shortDescription": "Oracle PeopleSoft Enterprise PeopleTools contains a missing authentication for critical function vulnerability which could allow an unauthenticated attacker to obtain takeover of PeopleSoft Enterprise PeopleTools.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-15", "knownRansomwareCampaignUse": "Known", "notes": "https://www.oracle.com/security-alerts/alert-cve-2026-35273.html ; https://support.oracle.com/signin/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-35273", "cwes": [ "CWE-306" ], "vulnerabilityNameJa": "Oracle PeopleSoft Enterprise PeopleToolsにおける重要機能の認証欠落の脆弱性", "shortDescriptionJa": "Oracle PeopleSoft Enterprise PeopleToolsには、重要な機能に対する認証が欠落している脆弱性があり、認証されていない攻撃者がPeopleSoft Enterprise PeopleToolsを乗っ取ってしまう可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-019715", "vulnerabilityNameJvn": "オラクルのPeopleSoft Enterprise PeopleToolsにおける重要な機能に対する認証の欠如に関する脆弱性", "shortDescriptionJvn": "Oracle PeopleSoftのPeopleSoft Enterprise PeopleTools製品（コンポーネント：Updates Environment Management）には脆弱性があります。影響を受けるサポート対象バージョンは8.61および8.62です。認証されていない攻撃者がHTTP経由でネットワークアクセスを行うことで簡単に悪用でき、PeopleSoft Enterprise PeopleToolsが侵害される可能性があります。この脆弱性を悪用されると、PeopleSoft Enterprise PeopleToolsが乗っ取られる恐れがあります。CVSS 3.1の基本スコアは9.8で、機密性、完全性、可用性に影響を与えます。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-10520", "vendorProject": "Ivanti", "product": "Sentry", "vulnerabilityName": "Ivanti Sentry OS Command Injection Vulnerability", "dateAdded": "2026-06-11", "shortDescription": "Ivanti Sentry (formerly known as MobileIron Sentry) contains an OS command injection vulnerability which could allow a remote unauthenticated user to achieve root-level remote code execution. This vulnerability can be successfully exploited in cases where the Sentry appliance is in an unmanaged state with its endpoints externally reachable. The use of mTLS with EPMM or restricted HTTPS access through Neurons for MDM makes interfaces inaccessible to external actors.", "requiredAction": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.", "dueDate": "2026-06-14", "knownRansomwareCampaignUse": "Unknown", "notes": "https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Sentry-CVE-2026-10520-CVE-2026-10523?language=en_US ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-10520", "cwes": [ "CWE-78" ], "vulnerabilityNameJa": "Ivanti Sentry OSのコマンドインジェクション脆弱性", "shortDescriptionJa": "Ivanti Sentry（旧MobileIron Sentry）には、OSコマンドインジェクションの脆弱性が存在し、認証されていないリモートユーザーがroot権限でリモートコードを実行できる可能性があります。この脆弱性は、Sentryアプライアンスが管理対象外の状態にあり、エンドポイントが外部からアクセス可能な場合に悪用される可能性があります。EPMMでmTLSを使用するか、MDM用のNeuronsを介してHTTPSアクセスを制限することで、外部からのアクセスを遮断できます。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジックトリアージ要件」（注記のURLを参照）への準拠を確保してください。緩和策が利用できない場合は、クラウドサービスに関する該当するBOD 26-04ガイダンスに従うか、製品の使用を中止してください。関係者は、各資産のインターネットへの露出を評価し、BOD 26-04パッチ適用ガイドラインへの準拠を確保する責任があります。", "jvnVulnId": "JVNDB-2026-019753", "vulnerabilityNameJvn": "Ivantiのstandalone sentryにおけるOS コマンドインジェクションの脆弱性", "shortDescriptionJvn": "Ivanti SentryのR10.5.2、R10.6.2、R10.7.1バージョン以前に存在するOSコマンドインジェクションの脆弱性により、リモートの未認証ユーザーがルートレベルでリモートコードを実行できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-11645", "vendorProject": "Google", "product": "Chromium V8", "vulnerabilityName": "Google Chromium V8 Out-of-Bounds Read and Write Vulnerability", "dateAdded": "2026-06-09", "shortDescription": "Google Chromium V8 out-of-bounds read and write vulnerability that could allow a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-23", "knownRansomwareCampaignUse": "Unknown", "notes": "https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_0153744567.html ; https://issues.chromium.org/issues/506689381 ; https://nvd.nist.gov/vuln/detail/CVE-2026-11645", "cwes": [ "CWE-787", "CWE-125" ], "vulnerabilityNameJa": "Google Chromium V8 の境界外読み取りおよび書き込みの脆弱性", "shortDescriptionJa": "Google Chromium V8に境界外の読み書きの脆弱性が存在します。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを使用する複数のWebブラウザに影響を与える可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-019060", "vulnerabilityNameJvn": "GoogleのGoogle Chromeにおける複数の脆弱性", "shortDescriptionJvn": "Google Chromeのバージョン149.0.7827.103以前のV8において、境界外読み取りおよび書き込みの脆弱性があり、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-7473", "vendorProject": "Arista", "product": "Extensible Operating System", "vulnerabilityName": "Arista Extensible Operating System Incomplete Comparison with Missing Factors Vulnerability", "dateAdded": "2026-06-09", "shortDescription": "Arista Extensible Operating System (EOS) contains an incomplete comparison with missing factors vulnerability when the switch incorrectly decapsulate and forwards other unexpected tunneled packet with a destination IP matching its configured decapsulation IP.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-23", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.arista.com/en/support/advisories-notices/security-advisory/24005-security-advisory-0137 ; https://nvd.nist.gov/vuln/detail/CVE-2026-7473", "cwes": [ "CWE-1023" ], "vulnerabilityNameJa": "Arista拡張可能オペレーティングシステムにおける、欠落要素を含む不完全な比較の脆弱性", "shortDescriptionJa": "Arista Extensible Operating System (EOS) には、スイッチが誤ってデカプセル化して、設定されたデカプセル化 IP と一致する宛先 IP を持つ予期しないトンネル化パケットを転送する場合に、不完全な比較と欠落した要素による脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-018946", "vulnerabilityNameJvn": "Arista Networks, Inc.のArista EOSにおける要素の欠如による不完全な比較に関する脆弱性", "shortDescriptionJvn": "影響を受けるプラットフォームでArista EOSを実行している場合、VXLAN（Virtual Extensible LAN）、decap-groups、またはGRE（Generic Routing Encapsulation）トンネルインターフェースなどのトンネルデカプセル化設定が存在すると、スイッチは設定されたデカプセル化IPに一致する宛先IPを持つ予期しない他のトンネル化パケットを誤ってデカプセル化して転送します。これは、スイッチがトンネルプロトコルの種類を検証しないために発生し、設定されていないトンネルトラフィックが予期せず処理される可能性があります。この問題は実際に攻撃に悪用されていることが報告されています。 ", "impactJvn": "・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20245", "vendorProject": "Cisco", "product": "Catalyst SD-WAN Manager", "vulnerabilityName": "Cisco Catalyst SD-WAN Manager Improper Encoding or Escaping of Output Vulnerability", "dateAdded": "2026-06-09", "shortDescription": "Cisco Catalyst SD-WAN Manager formerly SD-WAN vManage contains an improper encoding or escaping of output vulnerability. This vulnerability could allow an authenticated, local attacker to execute arbitrary commands as root by supplying a crafted file to the affected system.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-23", "knownRansomwareCampaignUse": "Unknown", "notes": "https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-privesc-4uxFrdzx ; https://nvd.nist.gov/vuln/detail/CVE-2026-20245", "cwes": [ "CWE-116" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WAN Managerにおける出力の不適切なエンコードまたはエスケープに関する脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN Manager（旧称：SD-WAN vManage）には、出力のエンコードまたはエスケープ処理に不適切な脆弱性が存在します。この脆弱性により、認証済みのローカル攻撃者が、細工されたファイルを対象システムに提供することで、root権限で任意のコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-019144", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Manager等の複数製品におけるエンコードおよびエスケープに関する脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN Controller（旧称SD-WAN vSmart）、Cisco Catalyst SD-WAN Manager（旧称SD-WAN vManage）、およびCisco Catalyst SD-WAN Validator（旧称SD-WAN vBond）のCLIに存在する脆弱性により、認証済みのローカル攻撃者が特殊に細工されたファイルを影響を受けるシステムに提供することでroot権限で任意のコマンドを実行できる可能性があります。この脆弱性はユーザーが提供する入力の検証不足によって発生します。攻撃者は細工されたファイルを影響を受けるシステムにアップロードすることで脆弱性を悪用できます。攻撃に成功すると、影響を受けるシステムに対してコマンドインジェクション攻撃を行い、rootユーザーとして権限を昇格させることが可能です。脆弱性を悪用するには、攻撃者が影響を受けるシステム上でnetadmin権限を持っている必要があり、これは有効な認証情報を持つか、もしくは他の手法による権限昇格が必要です。Ciscoは他の方法による成功例を把握していません。Ciscoはこのバグの悪用がエッジデバイスに設定変更を反映させる事例が限定的に見られたことを確認しています。Ciscoは2026年5月14日に公開されたセキュリティアドバイザリで文書化された修正版ソフトウェアへのアップグレードおよびエッジデバイスの設定確認を推奨しています。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-42271", "vendorProject": "BerriAI", "product": "LiteLLM", "vulnerabilityName": "BerriAI LiteLLM Command Injection Vulnerability", "dateAdded": "2026-06-08", "shortDescription": "BerriAI LiteLLM contains a command injection vulnerability that could allow any authenticated user, including holders of low-privilege internal-user keys, to run arbitrary commands on the host.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-22", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability affects a common open-source component, third-party library, or a protocol used by different products. Please check with specific vendors for information on patching status. For more information, please see: https://github.com/BerriAI/litellm/security/advisories/GHSA-v4p8-mg3p-g94g ; https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable ; https://nvd.nist.gov/vuln/detail/CVE-2026-42271", "cwes": [ "CWE-78", "CWE-77" ], "vulnerabilityNameJa": "BerriAI LiteLLM コマンドインジェクションの脆弱性", "shortDescriptionJa": "BerriAI LiteLLMにはコマンドインジェクションの脆弱性が存在し、権限の低い内部ユーザーキーの所有者を含む、認証済みのユーザーであれば誰でもホスト上で任意のコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-015002", "vulnerabilityNameJvn": "LiteLLMにおける複数の脆弱性", "shortDescriptionJvn": "LiteLLMはOpenAI（またはネイティブ）形式のLLM APIを呼び出すためのプロキシサーバー（AIゲートウェイ）です。バージョン1.74.2から1.83.7未満の間、MCPサーバーを保存前にプレビューするために使用される2つのエンドポイント — POST /mcp-rest/test/connection および POST /mcp-rest/test/tools/list — は、stdioトランスポートで使用されるcommand、args、およびenvフィールドを含む完全なサーバー構成をリクエストボディで受け入れていました。stdio構成で呼び出された場合、これらのエンドポイントは接続を試み、指定されたコマンドをプロキシホスト上でプロキシプロセスの権限でサブプロセスとして起動しました。これらのエンドポイントは有効なプロキシAPIキーによってのみアクセスが制御されており、役割チェックがありませんでした。そのため、低権限の内部ユーザーキー所有者を含む認証済みユーザーは任意のコマンドをホスト上で実行できました。この問題はバージョン1.83.7で修正されました。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-50751", "vendorProject": "Check Point", "product": "Security Gateway", "vulnerabilityName": "Check Point Security Gateway Improper Authentication Vulnerability", "dateAdded": "2026-06-08", "shortDescription": "Check Point Security Gateway contains an improper authentication vulnerability in IKEv1 key exchange that could allow an unauthenticated remote attacker to bypass user authentication and establish a remote access VPN connection without a valid user password.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-11", "knownRansomwareCampaignUse": "Known", "notes": "https://blog.checkpoint.com/security/check-point-releases-important-hotfix-for-vulnerabilities-in-deprecated-ikev1-vpn-protocol/ ; https://support.checkpoint.com/results/sk/sk185033?_gl=1*1wqeqhc*_gcl_au*MTI1MzE5MjI2LjE3ODA5MzQ1NTM. ; https://nvd.nist.gov/vuln/detail/CVE-2026-50751", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Check Point Security Gatewayの認証エラーの脆弱性", "shortDescriptionJa": "Check Point Security Gatewayには、IKEv1鍵交換における認証の脆弱性が存在し、認証されていないリモート攻撃者がユーザー認証を回避し、有効なユーザーパスワードなしでリモートアクセスVPN接続を確立できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-019136", "vulnerabilityNameJvn": "チェック・ポイント・ソフトウェア・テクノロジーズのGaia Embedded等の複数製品における認証に関する脆弱性", "shortDescriptionJvn": "廃止されたIKEv1キー交換におけるリモートアクセスおよびモバイルアクセスの証明書検証の論理フローに弱点があるため、認証されていないリモート攻撃者がユーザー認証を回避し、有効なユーザーパスワードなしでリモートアクセスVPN接続を確立できる可能性があります。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-28318", "vendorProject": "SolarWinds", "product": "Serv-U", "vulnerabilityName": "SolarWinds Serv-U Uncontrolled Resource Consumption Vulnerability", "dateAdded": "2026-06-05", "shortDescription": "SolarWinds Serv-U contains an uncontrolled resource consumption vulnerability that allows specially crafted POST requests using the Content-Encoding: deflate header to crash the Serv-U service without authentication.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-19", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.solarwinds.com/trust-center/security-advisories/cve-2026-28318 ; https://documentation.solarwinds.com/en/success_center/servu/content/release_notes/servu_15-5-4-hotfix-1_release_notes.htm#link7 ; https://nvd.nist.gov/vuln/detail/CVE-2026-28318", "cwes": [ "CWE-400" ], "vulnerabilityNameJa": "SolarWinds Serv-Uにおける制御不能なリソース消費の脆弱性", "shortDescriptionJa": "SolarWinds Serv-Uには、Content-Encoding: deflateヘッダーを使用した特殊なPOSTリクエストによって、認証なしでServ-Uサービスをクラッシュさせる、制御不能なリソース消費の脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-018338", "vulnerabilityNameJvn": "SolarWindsのServ-Uにおけるリソースの枯渇に関する脆弱性", "shortDescriptionJvn": "SolarWinds Serv-Uには、Content-Encoding: deflateを使用した認証なしの特別に細工されたPOSTリクエストにより、Serv-Uサービスがクラッシュする脆弱性があります。アップデートを適用できない場合は、SolarWinds Trust Centerで提供されている緩和手順に従い、顧客環境を保護してください。 ", "impactJvn": "・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-45247", "vendorProject": "Mirasvit", "product": "Mirasvit Full Page Cache Warmer", "vulnerabilityName": "Mirasvit Full Page Cache Warmer Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-06-03", "shortDescription": "Mirasvit Full Page Cache Warmer contains a deserialization of untrusted data vulnerability that could allow unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-06", "knownRansomwareCampaignUse": "Unknown", "notes": "https://mirasvit.com/package/changelog/?package=mirasvit/module-cache-warmer ; https://nvd.nist.gov/vuln/detail/CVE-2026-45247", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Mirasvitのフルページキャッシュウォーマーにおける信頼できないデータの逆シリアル化の脆弱性", "shortDescriptionJa": "Mirasvit Full Page Cache Warmerには、信頼できないデータの逆シリアル化に関する脆弱性があり、認証されていない攻撃者が、CacheWarmerクッキーに細工されたシリアル化されたPHPオブジェクトを提供することで、リモートコード実行を実現できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-018226", "vulnerabilityNameJvn": "MirasvitのFull Page Cache Warmerにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "Mirasvit Full Page Cache Warmer for Magento 2のバージョン1.11.12以前には、未認証の攻撃者がCacheWarmerクッキーに細工されたシリアライズされたPHPオブジェクトを送信することにより、リモートコード実行を引き起こすPHPオブジェクトインジェクションの脆弱性が存在します。攻撃者は、Magentoおよびその依存関係に存在するガジェットチェーンと組み合わせて、PHPの組み込み関数unserialize()を制限なく呼び出す脆弱性を悪用し、サーバー上で任意のコードを実行できます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2022-0492", "vendorProject": "Linux", "product": "Kernel", "vulnerabilityName": "Linux Kernel Improper Authentication Vulnerability", "dateAdded": "2026-06-02", "shortDescription": "Linux Kernel contains an improper authentication vulnerability which could allow for privilege escalation via the cgroups v1 release_agent feature.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-05", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability affects a common open-source component, third-party library, or a protocol used by different products. Please check with specific vendors for information on patching status. For more information, please see: https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=24f6008564183aa120d07c03d9289519c2fe02af ; https://www.kernel.org/ ; https://nvd.nist.gov/vuln/detail/CVE-2022-0492", "cwes": [ "CWE-287", "CWE-862" ], "vulnerabilityNameJa": "Linuxカーネルの不適切な認証の脆弱性", "shortDescriptionJa": "Linuxカーネルには、cgroups v1のrelease_agent機能を利用した権限昇格を可能にする不適切な認証の脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2022-008024", "vulnerabilityNameJvn": "Linux Kernel における認証の欠如に関する脆弱性", "shortDescriptionJvn": "Linux Kernel には、認証の欠如に関する脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-48595", "vendorProject": "Android", "product": "Framework", "vulnerabilityName": "Android Framework Integer Overflow Vulnerability", "dateAdded": "2026-06-02", "shortDescription": "Android Framework contains an integer overflow vulnerability that allows for code execution that could allow for local privilege escalation.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-05", "knownRansomwareCampaignUse": "Unknown", "notes": "https://source.android.com/docs/security/bulletin/2026/2026-06-01 ; https://nvd.nist.gov/vuln/detail/CVE-2025-48595", "cwes": [ "CWE-190" ], "vulnerabilityNameJa": "Android Frameworkの整数オーバーフローの脆弱性", "shortDescriptionJa": "Androidフレームワークには、コード実行を可能にする整数オーバーフローの脆弱性が存在し、ローカル権限の昇格につながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017685", "vulnerabilityNameJvn": "GoogleのAndroidにおける整数オーバーフローの脆弱性", "shortDescriptionJvn": "複数の箇所で整数オーバーフローが発生し、コード実行が可能となる可能性があります。これにより、追加の実行権限を必要とせずにローカル権限昇格が起こる可能性があります。エクスプロイトにはユーザーの操作は不要です。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2024-21182", "vendorProject": "Oracle", "product": "WebLogic Server", "vulnerabilityName": "Oracle WebLogic Server Unspecified Vulnerability", "dateAdded": "2026-06-01", "shortDescription": "Oracle WebLogic contains an unspecified vulnerability that could allow an unauthenticated attacker with network access via T3, IIOP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle WebLogic Server accessible data.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-04", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.oracle.com/security-alerts/cpujul2024.html ; https://nvd.nist.gov/vuln/detail/CVE-2024-21182", "cwes": [], "vulnerabilityNameJa": "Oracle WebLogic Server の特定されていない脆弱性", "shortDescriptionJa": "Oracle WebLogicには、T3、IIOP経由でネットワークアクセス権を持つ認証されていない攻撃者がOracle WebLogic Serverを侵害できる可能性のある、特定されていない脆弱性が存在します。この脆弱性を悪用した攻撃が成功すると、重要なデータへの不正アクセス、またはOracle WebLogic Serverがアクセス可能なすべてのデータへの完全なアクセスが発生する可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2024-004567", "vulnerabilityNameJvn": "Oracle Fusion Middleware の Oracle WebLogic Server における Core に関する脆弱性", "shortDescriptionJvn": "Oracle Fusion Middleware の Oracle WebLogic Server には、Core に関する処理に不備があるため、機密性に影響のある脆弱性が存在します。 ", "impactJvn": "リモートの攻撃者により、情報を取得される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-0257", "vendorProject": "Palo Alto Networks", "product": "PAN-OS", "vulnerabilityName": "Palo Alto Networks PAN-OS Authentication Bypass Vulnerability", "dateAdded": "2026-05-29", "shortDescription": "Palo Alto Networks PAN-OS contains an authentication bypass vulnerability that allows attackers to bypass security restrictions and establish an unauthorized VPN connection.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-01", "knownRansomwareCampaignUse": "Known", "notes": "https://security.paloaltonetworks.com/CVE-2026-0257 ; https://nvd.nist.gov/vuln/detail/CVE-2026-0257", "cwes": [ "CWE-565" ], "vulnerabilityNameJa": "Palo Alto Networks PAN-OS 認証バイパスの脆弱性", "shortDescriptionJa": "Palo Alto NetworksのPAN-OSには、認証バイパスの脆弱性が存在し、攻撃者がセキュリティ制限を回避して不正なVPN接続を確立できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017583", "vulnerabilityNameJvn": "Palo Alto NetworksのPAN-OS等の複数製品における検証および完全性チェックを行っていない Cookie への依存に関する脆弱性", "shortDescriptionJvn": "Palo Alto Networks PAN-OSソフトウェアのGlobalProtectポータルおよびゲートウェイにおいて、認証バイパスの脆弱性が存在します。この脆弱性により、攻撃者はセキュリティ制限を回避して不正なVPN接続を確立できる可能性があります。PanoramaおよびCloud NGFWはこれらの問題の影響を受けません。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48027", "vendorProject": "Nx", "product": "Nx Console", "vulnerabilityName": "Nx Console Embedded Malicious Code Vulnerability", "dateAdded": "2026-05-27", "shortDescription": "Nx Console contains an embedded malicious code vulnerability that allowed a malicious version of Nx Console to be published. The compromised extension fetched an obfuscated payload that could harvested credentials from multiple sources on disk and in memory.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-10", "knownRansomwareCampaignUse": "Known", "notes": "This vulnerability could affect an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://github.com/nrwl/nx-console/security/advisories/GHSA-c9j4-9m59-847w ; https://nvd.nist.gov/vuln/detail/CVE-2026-48027", "cwes": [ "CWE-506" ], "vulnerabilityNameJa": "Nx Consoleの組み込み型悪意のあるコードの脆弱性", "shortDescriptionJa": "Nx Consoleには、悪意のあるコードが埋め込まれた脆弱性があり、悪意のあるバージョンのNx Consoleが公開される可能性がありました。この脆弱性のある拡張機能は、難読化されたペイロードを取得し、ディスク上およびメモリ上の複数のソースから認証情報を収集することができました。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017318", "vulnerabilityNameJvn": "nxのNx Consoleにおける埋め込まれた悪意のあるコードに関する脆弱性", "shortDescriptionJvn": "Nx ConsoleはNxとLernaのユーザーインターフェースです。2026年5月19日、悪意のあるバージョンのNx Consoleである18.95.0が12時30分（UTC）に公開され、その後12時48分（UTC）にすぐに削除され、Visual Studio Marketplaceで約18分間利用可能でした。OpenVSXでは問題の検出が遅れ、影響を受けたバージョンは12時33分から13時09分（約36分）まで利用可能でした。Nx Consoleのバージョン18.100.0は被害を受けておらず、ユーザーはそのバージョンにアップグレードすることで対処できます。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-45321", "vendorProject": "TanStack", "product": "TanStack", "vulnerabilityName": "TanStack Unspecified Vulnerability", "dateAdded": "2026-05-27", "shortDescription": "TanStack contains an unspecified vulnerability that allowed malicious versions of the product to be published to the npm registry to publish credential-stealing malware under a trusted identity.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-10", "knownRansomwareCampaignUse": "Known", "notes": "This vulnerability could affect an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://github.com/TanStack/router/security/advisories/GHSA-g7cv-rxg3-hmpx ; https://nvd.nist.gov/vuln/detail/CVE-2026-45321", "cwes": [], "vulnerabilityNameJa": "TanStackの特定されていない脆弱性", "shortDescriptionJa": "TanStackには、悪意のあるバージョンの製品がnpmレジストリに公開され、信頼できるIDを装って認証情報を盗むマルウェアを公開できる、特定されていない脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-015966", "vulnerabilityNameJvn": "TanStackの@tanstack/arktype-adapter等の複数製品における埋め込まれた悪意のあるコードに関する脆弱性", "shortDescriptionJvn": "2026年5月11日、約19時20分から19時26分（UTC）の間に、42の@tanstack/*パッケージにわたって合計84の悪意あるバージョンがnpmレジストリに公開されました。公開は正当なGitHub ActionsのOIDC信頼済みパブリッシャーバインディングを通じてTanStack/router向けに認証されましたが、公開ワークフロー自体は変更されていませんでした。攻撃者は3つの既知の脆弱性クラス（pull_request_targetの「Pwn Request」誤設定、フォークとベースの信頼境界を跨ぐGitHub Actionsキャッシュ汚染、およびActionsランナープロセスからのOIDCトークンの実行時メモリ抽出）を連鎖的に悪用して、信頼されたIDの下で認証情報を盗むマルウェアを公開しました。影響を受けた各パッケージにはちょうど2つの悪意あるバージョンが数分おきに公開されました。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-8398", "vendorProject": "Daemon", "product": "Daemon Tools Lite", "vulnerabilityName": "Daemon Tools Lite Embedded Malicious Code Vulnerability", "dateAdded": "2026-05-27", "shortDescription": "Daemon Tools contains an unspecified vulnerability that has a high impact on confidentiality, integrity, and availability.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-30", "knownRansomwareCampaignUse": "Unknown", "notes": "https://blog.daemon-tools.cc/post/security-incident ; https://nvd.nist.gov/vuln/detail/CVE-2026-8398", "cwes": [ "CWE-506" ], "vulnerabilityNameJa": "Daemon Tools Liteに悪意のあるコードが埋め込まれている脆弱性", "shortDescriptionJa": "Daemon Toolsには、機密性、完全性、可用性に重大な影響を与える、特定されていない脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017427", "vulnerabilityNameJvn": "Disc Soft LtdのDAEMON Toolsにおける埋め込まれた悪意のあるコードに関する脆弱性", "shortDescriptionJvn": "サプライチェーン攻撃により、2026年4月8日頃から2026年5月5日までの間に、公式サイトdaemon-tools.ccから配布されていたDAEMON Tools Lite（Windows版12.5.0.2421から12.5.0.2434まで）の正規インストールパッケージが改ざんされました。攻撃者はベンダー（AVB Disc Soft）のビルドまたは配布インフラストラクチャに不正アクセスし、DTHelper.exe、DiscSoftBusServiceLite.exe、およびDTShellHlp.exeの3つのバイナリにトロイの木馬を仕込みました。これらのファイルは正規のAVB Disc Softのコード署名証明書でデジタル署名されており、悪意のあるインストーラーが信頼できるものに見えるため、署名ベースの検出を回避していました。 ", "impactJvn": "・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-48172", "vendorProject": "LiteSpeed", "product": "cPanel Plugin", "vulnerabilityName": "LiteSpeed cPanel Plugin Privilege Escalation Vulnerability", "dateAdded": "2026-05-26", "shortDescription": "LiteSpeed cPanel Plugin contains privilege escalation vulnerability that is exposed via the user-end cPanel plugin, which can be abused by any cPanel user account to execute arbitrary scripts with root privileges.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-29", "knownRansomwareCampaignUse": "Unknown", "notes": "https://blog.litespeedtech.com/2026/05/21/security-update-for-litespeed-cpanel-plugin/ ; https://nvd.nist.gov/vuln/detail/CVE-2026-48172", "cwes": [ "CWE-266" ], "vulnerabilityNameJa": "LiteSpeed cPanelプラグインの権限昇格の脆弱性", "shortDescriptionJa": "LiteSpeed cPanelプラグインには、ユーザー側のcPanelプラグインを介して公開される権限昇格の脆弱性が存在し、任意のcPanelユーザーアカウントがこれを悪用して、root権限で任意のスクリプトを実行することが可能です。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017010", "vulnerabilityNameJvn": "LiteSpeed TechnologiesのLiteSpeed cPanel Plugin等の複数製品における不適切な権限設定に関する脆弱性", "shortDescriptionJvn": "LiteSpeed User-End cPanelプラグインのバージョン2.4.5以前には、特権昇格（おそらくroot権限への）を可能にする脆弱性が存在し、2026年5月に実際に悪用されました。検出には、Bashでgrepコマンド grep -rE \"cpanel_jsonapi_func=redisAble\" /var/cpanel/logs /usr/local/cpanel/logs/ 2/dev/null を使用するのが最適です。出力がない場合は、脆弱性の悪用は発生していません。出力がある場合は、リスト内のIPアドレスを調査し、それらが有効なIPアドレスでない場合にはブロックすることを推奨します。被害の程度を判断するためには、検出されたIPアドレスによるシステムログの利用状況を確認してください。この問題はRedisの有効化および無効化機能の誤った処理に関連しています。推奨される最低バージョンは2.4.7です。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-9082", "vendorProject": "Drupal", "product": "Core", "vulnerabilityName": "Drupal Core SQL Injection Vulnerability", "dateAdded": "2026-05-22", "shortDescription": "Drupal Core contains a SQL injection vulnerability that could allow for privilege escalation and remote code execution via specially crafted requests sent with the database abstraction API.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-27", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.drupal.org/sa-core-2026-004 ; https://nvd.nist.gov/vuln/detail/CVE-2026-9082", "cwes": [ "CWE-89" ], "vulnerabilityNameJa": "DrupalコアのSQLインジェクション脆弱性", "shortDescriptionJa": "Drupal CoreにはSQLインジェクションの脆弱性が存在し、データベース抽象化APIを使用して特別に細工されたリクエストを送信することで、権限昇格やリモートコード実行が可能になる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017020", "vulnerabilityNameJvn": "DrupalにおけるSQL インジェクションの脆弱性", "shortDescriptionJvn": "Drupalコアにおいて、SQLコマンドで使用される特殊要素の不適切な無害化によりSQLインジェクションが可能になる脆弱性が存在します。この問題は、Drupalコアのバージョン8.9.0から10.4.10未満、10.5.0から10.5.10未満、10.6.0から10.6.9未満、11.0.0から11.1.10未満、11.2.0から11.2.12未満、11.3.0から11.3.10未満に影響を及ぼします。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-34291", "vendorProject": "Langflow", "product": "Langflow", "vulnerabilityName": "Langflow Origin Validation Error Vulnerability", "dateAdded": "2026-05-21", "shortDescription": "Langflow contains an origin validation error vulnerability in which an overly permissive CORS configuration combined with a refresh token cookie configured as SameSite=None allows a malicious webpage to perform cross-origin requests that include credentials and successfully call the refresh endpoint. This could allow the attacker to execute arbitrary code and achieve full system compromise via obtained tokens that permit access to authenticated endpoints.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-04", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability could affect an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://github.com/langflow-ai/langflow ; https://github.com/langflow-ai/langflow/releases/tag/v1.9.3; https://github.com/langflow-ai/langflow/issues/11465#event-25774545848 ; https://nvd.nist.gov/vuln/detail/CVE-2025-34291", "cwes": [ "CWE-346" ], "vulnerabilityNameJa": "Langflow Originの検証エラーの脆弱性", "shortDescriptionJa": "Langflowには、オリジン検証エラーの脆弱性が存在します。この脆弱性では、CORS設定が過度に緩く、かつリフレッシュトークンCookieがSameSite=Noneに設定されている場合、悪意のあるWebページが認証情報を含むクロスオリジンリクエストを実行し、リフレッシュエンドポイントを正常に呼び出すことが可能になります。これにより、攻撃者は任意のコードを実行し、認証済みエンドポイントへのアクセスを許可するトークンを取得することで、システム全体を侵害する可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-024877", "vulnerabilityNameJvn": "langflowにおける同一生成元ポリシー違反に関する脆弱性", "shortDescriptionJvn": "Langflowのバージョン1.6.9まで（含む）には、一連の脆弱性が存在し、この脆弱性によりアカウントの乗っ取りおよびリモートコード実行が可能になります。許可されたオリジンをすべて許容する過度に寛容なCORS設定（allow_origins='*'かつallow_credentials=True）と、SameSite=Noneに設定されたリフレッシュトークンクッキーの組み合わせによって、悪意のあるウェブページが認証情報を含むクロスオリジンリクエストを実行し、リフレッシュエンドポイントを正常に呼び出せます。攻撃者が制御するオリジンは、被害者セッションの新しいaccess_token / refresh_tokenペアを取得でき、その取得したトークンで認証済みエンドポイントへアクセス可能です。これには組み込みのコード実行機能も含まれており、攻撃者は任意のコードを実行してシステム全体を乗っ取ることができます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-34926", "vendorProject": "Trend Micro", "product": "Apex One", "vulnerabilityName": "Trend Micro Apex One (On-Premise) Directory Traversal Vulnerability", "dateAdded": "2026-05-21", "shortDescription": "Trend Micro Apex One (on-premise) contains a directory traversal vulnerability that could allow a pre-authenticated local attacker to modify a key table on the server to inject malicious code to deploy to agents on affected installations.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-04", "knownRansomwareCampaignUse": "Unknown", "notes": "https://success.trendmicro.com/en-US/solution/KA-0023430 ; https://nvd.nist.gov/vuln/detail/CVE-2026-34926", "cwes": [ "CWE-23" ], "vulnerabilityNameJa": "トレンドマイクロ Apex One (オンプレミス) のディレクトリトラバーサル脆弱性", "shortDescriptionJa": "Trend Micro Apex One（オンプレミス版）には、ディレクトリトラバーサル脆弱性が存在し、事前認証済みのローカル攻撃者がサーバー上のキーテーブルを改変し、悪意のあるコードを注入して、影響を受けるインストール環境上のエージェントに展開できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-016802", "vulnerabilityNameJvn": "トレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性（2026年5月）", "shortDescriptionJvn": "トレンドマイクロ製企業向けエンドポイントセキュリティ製品には、次の複数の脆弱性が存在します。開発者によると、CVE-2026-34926を悪用する攻撃が既に確認されているとのことです。 この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。", "impactJvn": "想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。", "requiredActionJvn": "[パッチを適用する] 開発者が提供する情報をもとにパッチを適用してください。 開発者は本脆弱性の対策として次のパッチをリリースしています。 " }, { "cveID": "CVE-2008-4250", "vendorProject": "Microsoft", "product": "Windows", "vulnerabilityName": "Microsoft Windows Buffer Overflow Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Microsoft Windows contains a buffer overflow vulnerability in the Windows Server Service that allows remote attackers to execute arbitrary code via a crafted RPC request that triggers an overflow during path canonicalization.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://learn.microsoft.com/en-us/security-updates/securitybulletins/2008/ms08-067 ; https://nvd.nist.gov/vuln/detail/CVE-2008-4250", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "Microsoft Windowsのバッファオーバーフローの脆弱性", "shortDescriptionJa": "Microsoft Windowsには、Windows Server Serviceにバッファオーバーフローの脆弱性が存在し、リモートの攻撃者が、パス正規化中にオーバーフローを引き起こす細工されたRPCリクエストを介して任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2008-001894", "vulnerabilityNameJvn": "Microsoft Windows の Server サービスにおける RPC リクエストに関する任意のコードを実行される脆弱性", "shortDescriptionJvn": "Microsoft Windows の Server サービスには、RPC リクエストの処理に不備があるため、任意のコードを実行される脆弱性が存在します。", "impactJvn": "第三者による巧妙に細工された RPC リクエストによりパスの正規化でオーバーフローが発生し、任意のコードを実行される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2009-1537", "vendorProject": "Microsoft", "product": "DirectX", "vulnerabilityName": "Microsoft DirectX NULL Byte Overwrite Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Microsoft DirectX contains a NULL byte overwrite vulnerability in the QuickTime Movie Parser Filter in quartz.dll in DirectShow which could allow remote attackers to execute arbitrary code via a crafted QuickTime media file.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://learn.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-028 ; https://nvd.nist.gov/vuln/detail/CVE-2009-1537", "cwes": [], "vulnerabilityNameJa": "Microsoft DirectXのNULLバイト上書きの脆弱性", "shortDescriptionJa": "Microsoft DirectXには、DirectShow内のquartz.dllにあるQuickTimeムービーパーサーフィルターにNULLバイト上書きの脆弱性が存在し、細工されたQuickTimeメディアファイルを介してリモート攻撃者が任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2009-001563", "vulnerabilityNameJvn": "Microsoft DirectX の DirectShow における任意のコードを実行される脆弱性", "shortDescriptionJvn": "Microsoft DirectX の DirectShow に含まれる QuickTime Movie Parser Filter には、QuickTime メディアファイルの処理に不備があるため、任意のコードを実行される脆弱性が存在します。", "impactJvn": "第三者に任意のコードを実行される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2009-3459", "vendorProject": "Adobe", "product": "Acrobat and Reader", "vulnerabilityName": "Adobe Acrobat and Reader Heap-Based Buffer Overflow Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Adobe Acrobat and Reader contain a heap-based buffer overflow vulnerability which could allow remote attackers to execute arbitrary code via a crafted PDF file that triggers memory corruption.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.cisa.gov/news-events/alerts/2009/10/13/adobe-reader-and-acrobat-vulnerabilities ; https://web.archive.org/web/20120324170253/http://www.adobe.com/support/security/bulletins/apsb09-15.html#:~:text=CVE%2D2009%2D3459).-,NOTE%3A,-There%20are%20reports ; https://nvd.nist.gov/vuln/detail/CVE-2009-3459", "cwes": [ "CWE-119" ], "vulnerabilityNameJa": "Adobe AcrobatおよびReaderにおけるヒープベースのバッファオーバーフローの脆弱性", "shortDescriptionJa": "Adobe AcrobatおよびReaderには、ヒープベースのバッファオーバーフローの脆弱性が存在し、細工されたPDFファイルによってメモリ破損が発生し、リモートの攻撃者が任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2009-002208", "vulnerabilityNameJvn": "Adobe Reader および Acrobat におけるヒープベースのバッファオーバーフローの脆弱性", "shortDescriptionJvn": "Adobe Reader および Acrobat には、PDF ファイルの処理に不備があるため、ヒープベースのバッファオーバーフローの脆弱性が存在します。", "impactJvn": "巧妙に細工された PDF ファイルにより任意のコードを実行される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2010-0249", "vendorProject": "Microsoft", "product": "Internet Explorer", "vulnerabilityName": "Microsoft Internet Explorer Use-After-Free Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Microsoft Internet Explorer contains an use-after-free vulnerability that could allow remote attackers to execute arbitrary code by accessing a pointer associated with a deleted object. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://learn.microsoft.com/en-us/security-updates/SecurityAdvisories/2010/979352 ; https://nvd.nist.gov/vuln/detail/CVE-2010-0249", "cwes": [ "CWE-416" ], "vulnerabilityNameJa": "Microsoft Internet Explorer 解放後使用の脆弱性", "shortDescriptionJa": "Microsoft Internet Explorerには、削除されたオブジェクトに関連付けられたポインタにアクセスすることで、リモートの攻撃者が任意のコードを実行できる可能性のある、解放後使用（use-after-free）の脆弱性が存在します。影響を受ける製品は、サポート終了（EOL）またはサービス終了（EOS）となっている可能性があります。ユーザーは、当該製品の使用を中止してください。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2010-001058", "vulnerabilityNameJvn": "Microsoft Internet Explorer において任意のコードが実行される脆弱性", "shortDescriptionJvn": "Microsoft Internet Explorer には、任意のコードが実行される脆弱性があります。 Microsoft Internet Explorer には、削除されたオブジェクトへの不正なポインタ参照をすることに起因する任意のコードが実行される脆弱性が存在します。 2010年1月15日現在、本脆弱性を使用した攻撃活動が観測されています。", "impactJvn": "細工された HTML ドキュメントを閲覧することにより、任意のコードを実行されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。", "requiredActionJvn": "[アップデートする] Microsoft が提供する情報をもとにアップデートを行ってください。 [ワークアラウンドを実施する] 以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。 ・[インターネット] ゾーンのセキュリティ設定を \"高\" にする ・[インターネット] および [ローカル イントラネット] ゾーンのセキュリティ設定において、[アクティブ スクリプト] の項目を \"ダイアログを表示する\" もしくは \"無効にする\" に設定する ・Internet Explorer 6 Service Pack 2 および Internet Explorer 7 にて、DEP (Data Execution Prevention) を有効にする ・Microsoft Office で ActiveX コントロールを無効にする" }, { "cveID": "CVE-2010-0806", "vendorProject": "Microsoft", "product": "Internet Explorer", "vulnerabilityName": "Microsoft Internet Explorer Use-After-Free Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Microsoft Internet Explorer contains an use-after-free vulnerability that could allow remote attackers to execute arbitrary code via vectors involving access to an invalid pointer after the deletion of an object. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://learn.microsoft.com/en-us/security-updates/securityadvisories/2010/981374 ; https://nvd.nist.gov/vuln/detail/CVE-2010-0806", "cwes": [ "CWE-399" ], "vulnerabilityNameJa": "Microsoft Internet Explorer 解放後使用の脆弱性", "shortDescriptionJa": "Microsoft Internet Explorerには、オブジェクト削除後に無効なポインタにアクセスするなどの攻撃手法を用いることで、リモート攻撃者が任意のコードを実行できる可能性のある、解放後使用（use-after-free）の脆弱性が存在します。影響を受ける製品は、サポート終了（EOL）またはサービス終了（EOS）となっている可能性があります。ユーザーは、当該製品の使用を中止してください。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2010-001171", "vulnerabilityNameJvn": "Microsoft Internet Explorer における解放済みメモリを使用する脆弱性", "shortDescriptionJvn": "Microsoft Internet Explorer には、解放済みメモリを使用する (use-after-free) 脆弱性が存在します。 Microsoft Internet Explorer には、Web フォルダおよび印刷のサポートを iepeers.dll コンポーネントにて提供しています。iepeers.dll には、解放済みメモリを使用する (use-after-free) 脆弱性が存在します。", "impactJvn": "細工された HTML や Microsoft Office ドキュメントを読み込むことにより、任意のコードを実行されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。", "requiredActionJvn": "[アップデートする] Microsoft が提供する情報をもとにアップデートを行ってください。 [ワークアラウンドを実施する] Microsoft が提供するマイクロソフト セキュリティ アドバイザリ (981374) には、複数の回避策が掲載されています。これら回避策を適用することで、本脆弱性の影響を軽減することが可能です。 詳しくは、Microsoft が提供する情報をご確認ください。" }, { "cveID": "CVE-2026-41091", "vendorProject": "Microsoft", "product": "Defender", "vulnerabilityName": "Microsoft Defender Link Following Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Microsoft Defender contains a link following vulnerability that allows an authorized attacker to elevate privileges locally.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41091 ; https://nvd.nist.gov/vuln/detail/CVE-2026-41091", "cwes": [ "CWE-59" ], "vulnerabilityNameJa": "Microsoft Defenderの脆弱性に関するリンク", "shortDescriptionJa": "Microsoft Defenderには、権限のある攻撃者がローカルで権限を昇格できる脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-016692", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Malware Protection Engineにおけるリンク解釈に関する脆弱性", "shortDescriptionJvn": "Microsoft Defenderにおけるファイルアクセス前の不適切なリンク解決（「リンク追跡」）の脆弱性により、認可された攻撃者がローカルで権限を昇格させる可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-45498", "vendorProject": "Microsoft", "product": "Defender", "vulnerabilityName": "Microsoft Defender Denial of Service Vulnerability", "dateAdded": "2026-05-20", "shortDescription": "Microsoft Defender contains an unspecified vulnerability that allows for denial of service.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-06-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-45498 ; https://nvd.nist.gov/vuln/detail/CVE-2026-45498", "cwes": [], "vulnerabilityNameJa": "Microsoft Defenderのサービス拒否攻撃の脆弱性", "shortDescriptionJa": "Microsoft Defenderには、サービス拒否攻撃を可能にする、特定されていない脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-016663", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Defender Antimalware Platformにおけるリソースの枯渇に関する脆弱性", "shortDescriptionJvn": "Microsoft Defender においてサービス拒否の脆弱性が存在します。 ", "impactJvn": "当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-42897", "vendorProject": "Microsoft", "product": "Microsoft", "vulnerabilityName": "Microsoft Exchange Server Cross-Site Scripting Vulnerability", "dateAdded": "2026-05-15", "shortDescription": "Microsoft Exchange Server contains a cross-site scripting vulnerability during web page generation in Outlook Web Access and when certain interaction conditions are met, arbitrary JavaScript can be executed in the browser context.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-29", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-42897 ; https://learn.microsoft.com/en-us/exchange/plan-and-deploy/post-installation-tasks/security-best-practices/exchange-emergency-mitigation-service ; https://nvd.nist.gov/vuln/detail/CVE-2026-42897", "cwes": [ "CWE-79" ], "vulnerabilityNameJa": "Microsoft Exchange Serverのクロスサイトスクリプティングの脆弱性", "shortDescriptionJa": "Microsoft Exchange Serverには、Outlook Web AccessでのWebページ生成時にクロスサイトスクリプティングの脆弱性が存在し、特定の操作条件が満たされると、ブラウザのコンテキストで任意のJavaScriptが実行される可能性がある。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-015900", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Exchange Serverにおけるクロスサイトスクリプティングの脆弱性", "shortDescriptionJvn": "Microsoft Exchange Serverにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）は、認証されていない攻撃者がネットワーク上でなりすましを行うことを可能にする脆弱性です。 ", "impactJvn": "当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20182", "vendorProject": "Cisco", "product": "Catalyst SD-WAN", "vulnerabilityName": "Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability", "dateAdded": "2026-05-14", "shortDescription": "Cisco Catalyst SD-WAN Controller & Manager contain an authentication bypass vulnerability that allows an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system.", "requiredAction": "Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlined in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.", "dueDate": "2026-05-17", "knownRansomwareCampaignUse": "Unknown", "notes": "CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa2-v69WY2SW ; https://nvd.nist.gov/vuln/detail/CVE-2026-20182", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WANコントローラの認証バイパス脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN Controller & Managerには、認証バイパスの脆弱性が存在し、認証されていないリモート攻撃者が認証を回避して、影響を受けるシステム上で管理者権限を取得できる可能性があります。", "requiredActionJa": "Cisco SD-WAN デバイスに関連するリスクを評価し、軽減するためには、CISA の緊急指令 26-03 (URL は下記注記に記載) および Cisco SD-WAN デバイスに関する CISA の脅威ハンティングおよびセキュリティ強化ガイダンス (URL は下記注記に記載) に記載されている CISA のガイドラインに従ってください。クラウド サービスについては、該当する BOD 22-01 ガイダンスに従うか、軽減策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-016006", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Manager等の複数製品における認証に関する脆弱性", "shortDescriptionJvn": "2026年5月: 本セキュリティアドバイザリは、2026年2月に公表された後に発見および修正された脆弱性の詳細と修正情報を提供します。本アドバイザリは、コントロール接続のハンドシェイクにおける新たな脆弱性に関する内容です。本アドバイザリのセクションには、システムチェックを支援するためのコントロール接続表示に関するガイダンスを含みます。Cisco Catalyst SD-WAN Controller（旧称 SD-WAN vSmart）および Cisco Catalyst SD-WAN Manager（旧称 SD-WAN vManage）のピアリング認証に存在する脆弱性により、認証されていないリモート攻撃者が認証を回避し、影響を受けるシステムで管理者権限を取得する可能性があります。この脆弱性は、影響を受けるシステムのピアリング認証メカニズムが正しく機能していないために存在します。攻撃者は細工されたリクエストを影響を受けるシステムに送信することで、この脆弱性を悪用できます。成功した攻撃により、攻撃者は影響を受ける Cisco Catalyst SD-WAN Controller に内部の高権限だがrootではないユーザーアカウントとしてログインできるようになります。このアカウントを使用することで攻撃者はNETCONFにアクセスでき、それによりSD-WANファブリックのネットワーク設定を操作できます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-42208", "vendorProject": "BerriAI", "product": "LiteLLM", "vulnerabilityName": "BerriAI LiteLLM SQL Injection Vulnerability", "dateAdded": "2026-05-08", "shortDescription": "BerriAI LiteLLM contains a SQL injection vulnerability that allows an attacker to read data from the proxy's database and potentially modify it, leading to unauthorized access to the proxy and the credentials it manages.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-11", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/BerriAI/litellm/security/advisories/GHSA-r75f-5x8p-qvmc ; https://nvd.nist.gov/vuln/detail/CVE-2026-42208", "cwes": [ "CWE-89" ], "vulnerabilityNameJa": "BerriAI LiteLLMのSQLインジェクション脆弱性", "shortDescriptionJa": "BerriAI LiteLLMにはSQLインジェクションの脆弱性があり、攻撃者はプロキシのデータベースからデータを読み取り、場合によってはそれを改ざんすることが可能です。これにより、プロキシおよびプロキシが管理する認証情報への不正アクセスにつながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-015005", "vulnerabilityNameJvn": "LiteLLMにおけるSQL インジェクションの脆弱性", "shortDescriptionJvn": "LiteLLMは、OpenAI（またはネイティブ）形式のLLM APIを呼び出すプロキシサーバー（AIゲートウェイ）です。バージョン1.81.16から1.83.7未満の間、プロキシのAPIキー確認時に使用されるデータベースクエリで、呼び出し元が提供したキーの値が別のパラメータとして渡されずにクエリテキストに混入していました。認証されていない攻撃者が特別に細工したAuthorizationヘッダーを任意のLLM APIルート（例えばPOST /chat/completions）に送信し、プロキシのエラーハンドリング経路を介してこのクエリに到達することが可能でした。攻撃者はプロキシのデータベースからデータを読み取ることができ、場合によってはこれを改ざんすることもできました。これにより、プロキシおよび管理している資格情報への不正アクセスが発生する恐れがありました。この問題はバージョン1.83.7で修正されています。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-6973", "vendorProject": "Ivanti", "product": "Endpoint Manager Mobile (EPMM)", "vulnerabilityName": "Ivanti Endpoint Manager Mobile (EPMM) Improper Input Validation Vulnerability", "dateAdded": "2026-05-07", "shortDescription": "Ivanti Endpoint Manager Mobile (EPMM) contains an improper input validation vulnerability that allows a remotely authenticated user with administrative access to achieve remote code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-10", "knownRansomwareCampaignUse": "Unknown", "notes": "https://hub.ivanti.com/s/article/May-2026-Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-Multiple-CVEs?language=en_US ; https://nvd.nist.gov/vuln/detail/CVE-2026-6973", "cwes": [ "CWE-20" ], "vulnerabilityNameJa": "Ivanti Endpoint Manager Mobile (EPMM) における不適切な入力検証の脆弱性", "shortDescriptionJa": "Ivanti Endpoint Manager Mobile (EPMM) には、入力検証の不備に関する脆弱性が存在し、管理者権限を持つリモート認証ユーザーがリモートでコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-014710", "vulnerabilityNameJvn": "Ivantiのendpoint manager mobileにおける入力確認に関する脆弱性", "shortDescriptionJvn": "Ivanti EPMMのバージョン12.6.1.1、12.7.0.1、および12.8.0.1より前のバージョンには不適切な入力検証の脆弱性があり、リモートで認証された管理者権限を持つユーザーがリモートコード実行を達成できます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-0300", "vendorProject": "Palo Alto Networks", "product": "PAN-OS", "vulnerabilityName": "Palo Alto Networks PAN-OS Out-of-bounds Write Vulnerability", "dateAdded": "2026-05-06", "shortDescription": "Palo Alto Networks PAN-OS contains an out-of-bounds write vulnerability in the User-ID Authentication Portal (aka Captive Portal) service that can allow an unauthenticated attacker to execute arbitrary code with root privileges on the PA-Series and VM-Series firewalls by sending specially crafted packets.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable. Until the vendor releases an official fix, the following workaround should be implemented: - Restrict User-ID Authentication Portal access to only trusted zones. - Disable User-ID Authentication Portal if not required. 5/13/2026: Palo Alto has released a variety of patches. If these are relevant to your environment, please apply the designated patch.", "dueDate": "2026-05-09", "knownRansomwareCampaignUse": "Unknown", "notes": "https://security.paloaltonetworks.com/CVE-2026-0300 ; https://nvd.nist.gov/vuln/detail/CVE-2026-0300", "cwes": [ "CWE-787" ], "vulnerabilityNameJa": "Palo Alto Networks PAN-OS 境界外書き込みの脆弱性", "shortDescriptionJa": "Palo Alto NetworksのPAN-OSには、User-ID認証ポータル（別名キャプティブポータル）サービスに境界外書き込みの脆弱性が存在し、認証されていない攻撃者が特別に細工されたパケットを送信することで、PAシリーズおよびVMシリーズのファイアウォール上でroot権限で任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに関する該当する BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。ベンダーが公式の修正プログラムをリリースするまでは、次の回避策を実施してください。- User-ID 認証ポータルへのアクセスを信頼できるゾーンのみに制限します。- 必要でない場合は、User-ID 認証ポータルを無効にします。2026 年 5 月 13 日: Palo Alto はさまざまなパッチをリリースしました。これらのパッチがお客様の環境に関係する場合は、指定されたパッチを適用してください。", "jvnVulnId": "JVNDB-2026-014858", "vulnerabilityNameJvn": "Palo Alto NetworksのPAN-OSにおける境界外書き込みに関する脆弱性", "shortDescriptionJvn": "Palo Alto NetworksのPAN-OSソフトウェアにおけるUser-ID認証ポータル（別名Captive Portal）サービスにバッファオーバーフローの脆弱性があります。この脆弱性により、認証されていない攻撃者が特別に細工されたパケットを送信すると、PA-SeriesおよびVM-Seriesファイアウォール上でroot権限の任意のコードを実行できる可能性があります。この問題のリスクは、ベストプラクティスガイドラインhttps://knowledgebase.paloaltonetworks.com/KCSArticleDetailに従い、User-ID認証ポータルへのアクセスを信頼できる内部IPアドレスのみに制限することで大幅に低減されます。Prisma Access、Cloud NGFW、およびPanoramaアプライアンスはこの脆弱性の影響を受けません。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-31431", "vendorProject": "Linux", "product": "Kernel", "vulnerabilityName": "Linux Kernel Incorrect Resource Transfer Between Spheres Vulnerability", "dateAdded": "2026-05-01", "shortDescription": "Linux Kernel contains an incorrect resource transfer between spheres vulnerability that could allow for privilege escalation.", "requiredAction": "\"Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-15", "knownRansomwareCampaignUse": "Unknown", "notes": "https://lore.kernel.org/linux-cve-announce/2026042214-CVE-2026-31431-3d65@gregkh/; https://xint.io/blog/copy-fail-linux-distributions#the-fix-6 ; https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git/about/ ; https://nvd.nist.gov/vuln/detail/CVE-2026-31431", "cwes": [ "CWE-669" ], "vulnerabilityNameJa": "Linuxカーネルにおけるスフィア間のリソース転送の誤りに関する脆弱性", "shortDescriptionJa": "Linuxカーネルには、スフィア間のリソース転送に誤りがある脆弱性が存在し、権限昇格につながる可能性がある。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウドサービスに関する該当するBOD 22-01ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-014253", "vulnerabilityNameJvn": "LinuxのLinux Kernelにおける領域間での誤ったリソース移動に関する脆弱性", "shortDescriptionJvn": "Linuxカーネルにおいて、以下の脆弱性が修正されました。crypto: algif_aeadに関して、オペレーションをインプレースからアウトオブプレースに戻しました。この修正は主にコミット72548b093ee3を元に戻すものであり、関連データのコピー部分は除いています。algif_aeadでは、ソースと宛先が異なるマッピングから来ているため、インプレースで操作するメリットがありません。そこで、インプレース操作のために追加された複雑さをすべて排除し、関連データを直接コピーするようにしました。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-41940", "vendorProject": "WebPros", "product": "cPanel & WHM and WP2 (WordPress Squared)", "vulnerabilityName": "WebPros cPanel & WHM and WP2 (WordPress Squared) Missing Authentication for Critical Function Vulnerability", "dateAdded": "2026-04-30", "shortDescription": "WebPros cPanel & WHM (WebHost Manager) and WP2 (WordPress Squared) contain an authentication bypass vulnerability in the login flow that allows unauthenticated remote attackers to gain unauthorized access to the control panel.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-03", "knownRansomwareCampaignUse": "Known", "notes": "https://support.cpanel.net/hc/en-us/articles/40073787579671-cPanel-WHM-Security-Update-04-28-2026 ; https://docs.cpanel.net/release-notes/release-notes/ ; https://docs.wpsquared.com/changelogs/versions/changelog/#13617 ; https://nvd.nist.gov/vuln/detail/CVE-2026-41940\"", "cwes": [ "CWE-306" ], "vulnerabilityNameJa": "WebPros cPanel & WHMおよびWP2（WordPress Squared）における、重要な機能に対する認証の欠如という脆弱性", "shortDescriptionJa": "WebProsのcPanel & WHM（WebHost Manager）およびWP2（WordPress Squared）には、ログインフローに認証バイパスの脆弱性があり、認証されていないリモート攻撃者がコントロールパネルへの不正アクセスを取得できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-014273", "vulnerabilityNameJvn": "cPanelのcPanel等の複数製品における重要な機能に対する認証の欠如に関する脆弱性", "shortDescriptionJvn": "cPanelおよびWHMのバージョン11.40以降には、ログインフローに認証バイパスの脆弱性が存在し、認証されていないリモート攻撃者がコントロールパネルに不正にアクセスする可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2024-1708", "vendorProject": "ConnectWise", "product": "ScreenConnect", "vulnerabilityName": "ConnectWise ScreenConnect Path Traversal Vulnerability", "dateAdded": "2026-04-28", "shortDescription": "ConnectWise ScreenConnect contains a path traversal vulnerability which could allow an attacker to execute remote code or directly impact confidential data and critical systems.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-12", "knownRansomwareCampaignUse": "Known", "notes": "https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8 ; https://nvd.nist.gov/vuln/detail/CVE-2024-1708", "cwes": [ "CWE-22" ], "vulnerabilityNameJa": "ConnectWise ScreenConnectのパストラバーサル脆弱性", "shortDescriptionJa": "ConnectWise ScreenConnectには、攻撃者がリモートでコードを実行したり、機密データや重要システムに直接影響を与えたりする可能性のあるパス・トラバーサル脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2024-002842", "vulnerabilityNameJvn": "ConnectWise, Inc. の screenconnect におけるパストラバーサルの脆弱性", "shortDescriptionJvn": "ConnectWise, Inc. の screenconnect には、パストラバーサルの脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-32202", "vendorProject": "Microsoft", "product": "Windows", "vulnerabilityName": "Microsoft Windows Protection Mechanism Failure Vulnerability", "dateAdded": "2026-04-28", "shortDescription": "Microsoft Windows Shell contains a protection mechanism failure vulnerability that allows an unauthorized attacker to perform spoofing over a network.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-12", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-32202 ; https://nvd.nist.gov/vuln/detail/CVE-2026-32202", "cwes": [ "CWE-693" ], "vulnerabilityNameJa": "Microsoft Windowsの保護メカニズムの不具合に関する脆弱性", "shortDescriptionJa": "Microsoft Windows Shellには、保護メカニズムの不具合による脆弱性が存在し、権限のない攻撃者がネットワーク上でなりすまし行為を行うことを可能にする。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-012020", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Windows 10 1607等の複数製品における保護メカニズムの不具合に関する脆弱性", "shortDescriptionJvn": "Windows Shellの保護機構に不具合があり、未承認の攻撃者がネットワーク上でなりすましを行うことが可能となります。 ", "impactJvn": "当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-29635", "vendorProject": "D-Link", "product": "DIR-823X", "vulnerabilityName": "D-Link DIR-823X Command Injection Vulnerability", "dateAdded": "2026-04-24", "shortDescription": "D-Link DIR-823X contains a command injection vulnerability that allows an authorized attacker to execute arbitrary commands on remote devices by sending a POST request to /goform/set_prohibiting via the corresponding function. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-08", "knownRansomwareCampaignUse": "Unknown", "notes": "https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10469 ; https://nvd.nist.gov/vuln/detail/CVE-2025-29635", "cwes": [ "CWE-77" ], "vulnerabilityNameJa": "D-Link DIR-823Xのコマンドインジェクション脆弱性", "shortDescriptionJa": "D-Link DIR-823Xには、コマンドインジェクションの脆弱性が存在します。この脆弱性により、権限のある攻撃者は、対応する関数を介して/goform/set_prohibitingにPOSTリクエストを送信することで、リモートデバイス上で任意のコマンドを実行できます。影響を受ける製品は、既に販売終了（EoL）またはサービス終了（EoS）となっている可能性があります。ユーザーは、製品の使用を中止してください。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-003908", "vulnerabilityNameJvn": "D-Link Systems, Inc. の DIR-823X ファームウェアにおけるコマンドインジェクションの脆弱性", "shortDescriptionJvn": "D-Link Systems, Inc. の DIR-823X ファームウェアには、コマンドインジェクションの脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2024-7399", "vendorProject": "Samsung", "product": "MagicINFO 9 Server", "vulnerabilityName": "Samsung MagicINFO 9 Server Path Traversal Vulnerability", "dateAdded": "2026-04-24", "shortDescription": "Samsung MagicINFO 9 Server contains a path traversal vulnerability that could allow an attacker to write arbitrary files as system authority.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-08", "knownRansomwareCampaignUse": "Unknown", "notes": "https://security.samsungtv.com/securityUpdates ; https://nvd.nist.gov/vuln/detail/CVE-2024-7399", "cwes": [ "CWE-22", "CWE-434" ], "vulnerabilityNameJa": "Samsung MagicINFO 9 サーバーパストラバーサルの脆弱性", "shortDescriptionJa": "Samsung MagicINFO 9 Serverには、攻撃者がシステム権限で任意のファイルを書き込むことを可能にするパス・トラバーサル脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2024-005341", "vulnerabilityNameJvn": "サムスンの magicinfo 9 server におけるパストラバーサルの脆弱性", "shortDescriptionJvn": "サムスンの magicinfo 9 server には、パストラバーサルの脆弱性が存在します。", "impactJvn": "情報を改ざんされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2024-57728", "vendorProject": "SimpleHelp ", "product": "SimpleHelp", "vulnerabilityName": "SimpleHelp Path Traversal Vulnerability", "dateAdded": "2026-04-24", "shortDescription": "SimpleHelp contains a path traversal vulnerability that allows admin users to upload arbitrary files anywhere on the file system by uploading a crafted zip file (i.e. zip slip). This can be exploited to execute arbitrary code on the host in the context of the SimpleHelp server user.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-08", "knownRansomwareCampaignUse": "Known", "notes": "https://simple-help.com/kb---security-vulnerabilities-01-2025#security-vulnerabilities-in-simplehelp-5-5-7-and-earlier ; https://nvd.nist.gov/vuln/detail/CVE-2024-57728", "cwes": [ "CWE-22" ], "vulnerabilityNameJa": "SimpleHelp パストラバーサルの脆弱性", "shortDescriptionJa": "SimpleHelpには、管理者ユーザーが細工されたzipファイル（いわゆるzipスリップ）をアップロードすることで、ファイルシステム上の任意の場所に任意のファイルをアップロードできるパス・トラバーサル脆弱性が存在します。この脆弱性を悪用すると、SimpleHelpサーバーユーザーの権限でホスト上で任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-001064", "vulnerabilityNameJvn": "SimpleHelp Ltd の SimpleHelp におけるリンク解釈に関する脆弱性", "shortDescriptionJvn": "SimpleHelp Ltd の SimpleHelp には、リンク解釈に関する脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2024-57726", "vendorProject": "SimpleHelp ", "product": "SimpleHelp", "vulnerabilityName": "SimpleHelp Missing Authorization Vulnerability", "dateAdded": "2026-04-24", "shortDescription": "SimpleHelp contains a missing authorization vulnerability that could allow low-privileged technicians to create API keys with excessive permissions. These API keys can be used to escalate privileges to the server admin role.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-08", "knownRansomwareCampaignUse": "Known", "notes": "https://simple-help.com/kb---security-vulnerabilities-01-2025#security-vulnerabilities-in-simplehelp-5-5-7-and-earlier ; https://nvd.nist.gov/vuln/detail/CVE-2024-57726", "cwes": [ "CWE-862" ], "vulnerabilityNameJa": "SimpleHelpの認証機能の脆弱性", "shortDescriptionJa": "SimpleHelpには、権限の低い技術者が過剰な権限を持つAPIキーを作成できてしまう認証の脆弱性が存在します。これらのAPIキーは、サーバー管理者ロールへの権限昇格に悪用される可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-001052", "vulnerabilityNameJvn": "SimpleHelp Ltd の SimpleHelp における脆弱性", "shortDescriptionJvn": "SimpleHelp Ltd の SimpleHelp には、不特定の脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-39987", "vendorProject": "Marimo", "product": "Marimo", "vulnerabilityName": "Marimo Remote Code Execution Vulnerability", "dateAdded": "2026-04-23", "shortDescription": "Marimo contains an pre-authorization remote code execution vulnerability, allowing an unauthenticated attacked to shell access and execute arbitrary system commands.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-07", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/marimo-team/marimo/security/advisories/GHSA-2679-6mx9-h9xc ; https://nvd.nist.gov/vuln/detail/CVE-2026-39987", "cwes": [ "CWE-306" ], "vulnerabilityNameJa": "Marimoのリモートコード実行脆弱性", "shortDescriptionJa": "Marimoには、事前認証が必要なリモートコード実行の脆弱性が存在し、認証されていない攻撃者がシェルにアクセスして任意のシステムコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-012956", "vulnerabilityNameJvn": "CoreWeaveのmarimoにおける重要な機能に対する認証の欠如に関する脆弱性", "shortDescriptionJvn": "marimoはリアクティブなPythonノートブックです。0.23.0以前のバージョンにおいて、Marimoには認証前リモートコード実行（Pre-Auth RCE）の脆弱性が存在していました。ターミナルのWebSocketエンドポイントである/terminal/wsは認証検証を欠いており、認証されていない攻撃者が完全なPTYシェルを取得して任意のシステムコマンドを実行できる状態でした。他のWebSocketエンドポイント（例えば/ws）は認証のために正しくvalidate_auth()を呼び出しますが、/terminal/wsエンドポイントは接続を受け入れる前に実行モードとプラットフォームのサポートのみを確認し、認証検証を完全にスキップしていました。この脆弱性は0.23.0で修正されています。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-33825", "vendorProject": "Microsoft", "product": "Defender", "vulnerabilityName": "Microsoft Defender Insufficient Granularity of Access Control Vulnerability", "dateAdded": "2026-04-22", "shortDescription": "Microsoft Defender contains an insufficient granularity of access control vulnerability that could allow an authorized attacker to escalate privileges locally.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-06", "knownRansomwareCampaignUse": "Known", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33825 ; https://nvd.nist.gov/vuln/detail/CVE-2026-33825", "cwes": [ "CWE-1220" ], "vulnerabilityNameJa": "Microsoft Defenderのアクセス制御の粒度が不十分な脆弱性", "shortDescriptionJa": "Microsoft Defenderには、アクセス制御の粒度が不十分な脆弱性があり、権限のある攻撃者がローカルで権限を昇格させる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-011869", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft Defender Antimalware Platformにおけるアクセス制御の不十分な粒度に関する脆弱性", "shortDescriptionJvn": "Microsoft Defenderにおけるアクセス制御の粒度が不十分であるため、認可された攻撃者はローカルで権限を昇格させることが可能です。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20122", "vendorProject": "Cisco", "product": "Catalyst SD-WAN Manger", "vulnerabilityName": "Cisco Catalyst SD-WAN Manager Incorrect Use of Privileged APIs Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "Cisco Catalyst SD-WAN Manager contains an incorrect use of privileged APIs vulnerability due to improper file handling on the API interface of an affected system. An attacker could exploit this vulnerability by uploading a malicious file on the local file system. A successful exploit could allow the attacker to overwrite arbitrary files on the affected system and gain vmanage user privileges.", "requiredAction": "Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.", "dueDate": "2026-04-23", "knownRansomwareCampaignUse": "Unknown", "notes": "CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-authbp-qwCX8D4v ; https://nvd.nist.gov/vuln/detail/CVE-2026-20122", "cwes": [ "CWE-648" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WAN Managerにおける特権APIの誤用に関する脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN Managerには、影響を受けるシステムのAPIインターフェイスにおける不適切なファイル処理に起因する、特権APIの誤用に関する脆弱性が存在します。攻撃者は、ローカルファイルシステムに悪意のあるファイルをアップロードすることで、この脆弱性を悪用する可能性があります。攻撃が成功すると、攻撃者は影響を受けるシステム上の任意のファイルを上書きし、vmanageユーザー権限を取得できる可能性があります。", "requiredActionJa": "CISAの緊急指令26-03（URLは下記注記に記載）およびCISAの「Cisco SD-WANデバイスのハント＆ハードニングガイダンス」（URLは下記注記に記載）に記載されている、Cisco SD-WANデバイスに関連するリスクを評価し、軽減するためのCISAガイドラインを遵守してください。クラウドサービスについては、該当するBOD 22-01ガイダンスを遵守するか、軽減策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-006165", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Managerにおける特権 API の不適切な使用に関する脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN Manager の API に存在する脆弱性により、認証されたリモート攻撃者がローカルファイルシステム上の任意のファイルを上書きする可能性があります。この脆弱性を悪用するには、攻撃者が影響を受けるシステムの API アクセス権を持つ有効な読み取り専用の認証情報を所持している必要があります。この脆弱性は、影響を受けるシステムの API インターフェースにおける不適切なファイル処理が原因です。攻撃者は悪意のあるファイルをローカルファイルシステムにアップロードすることで、この脆弱性を悪用できます。成功した悪用により、攻撃者は影響を受けるシステム上の任意のファイルを上書きし、vmanage ユーザー権限を取得する可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20133", "vendorProject": "Cisco", "product": "Catalyst SD-WAN Manager", "vulnerabilityName": "Cisco Catalyst SD-WAN Manager Exposure of Sensitive Information to an Unauthorized Actor Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "Cisco Catalyst SD-WAN Manager contains an exposure of sensitive information to an unauthorized actor vulnerability that could allow remote attackers to view sensitive information on affected systems.", "requiredAction": "Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.", "dueDate": "2026-04-23", "knownRansomwareCampaignUse": "Unknown", "notes": "CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-authbp-qwCX8D4v ; https://nvd.nist.gov/vuln/detail/CVE-2026-20133", "cwes": [ "CWE-200" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WAN Managerにおける機密情報の不正アクセスへの脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN Managerには、機密情報が不正な攻撃者に漏洩する脆弱性が存在し、リモートの攻撃者が影響を受けるシステム上の機密情報を閲覧できる可能性があります。", "requiredActionJa": "CISAの緊急指令26-03（URLは下記注記に記載）およびCISAの「Cisco SD-WANデバイスのハント＆ハードニングガイダンス」（URLは下記注記に記載）に記載されている、Cisco SD-WANデバイスに関連するリスクを評価し、軽減するためのCISAガイドラインを遵守してください。クラウドサービスについては、該当するBOD 22-01ガイダンスを遵守するか、軽減策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-006161", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Managerにおける情報漏えいに関する脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN Manager における脆弱性により、認証されていないリモートの攻撃者が影響を受けるシステム上の機密情報を閲覧する可能性があります。この脆弱性はファイルシステムのアクセス制限が不十分であることに起因します。攻撃者は影響を受けるシステムの API にアクセスしてこの脆弱性を悪用する可能性があります。悪用が成功すると、攻撃者は基盤となるオペレーティングシステム上の機密情報を読み取ることができるようになります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-2749", "vendorProject": "Kentico", "product": "Kentico Xperience", "vulnerabilityName": "Kentico Xperience Path Traversal Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "Kentico Xperience contains a path traversal vulnerability that could allow an authenticated user's Staging Sync Server to upload arbitrary data to path relative locations.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-04", "knownRansomwareCampaignUse": "Unknown", "notes": "https://devnet.kentico.com/download/hotfixes ; https://nvd.nist.gov/vuln/detail/CVE-2025-2749", "cwes": [ "CWE-22", "CWE-434" ], "vulnerabilityNameJa": "Kentico Xperienceのパストラバーサル脆弱性", "shortDescriptionJa": "Kentico Xperienceには、認証済みユーザーのステージング同期サーバーが任意のデータをパス相対的な場所にアップロードできる可能性のあるパス・トラバーサル脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-016602", "vulnerabilityNameJvn": "Kentico の Kentico Xperience におけるパストラバーサルの脆弱性", "shortDescriptionJvn": "Kentico の Kentico Xperience には、パストラバーサルの脆弱性、危険なタイプのファイルの無制限アップロードに関する脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2023-27351", "vendorProject": "PaperCut", "product": "NG/MF", "vulnerabilityName": "PaperCut NG/MF Improper Authentication Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "PaperCut NG/MF contains an improper authentication vulnerability that could allow remote attackers to bypass authentication on affected installations via the SecurityRequestFilter class.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-04", "knownRansomwareCampaignUse": "Known", "notes": "https://www.papercut.com/kb/Main/PO-1216-and-PO-1219 ; https://nvd.nist.gov/vuln/detail/CVE-2023-27351", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "PaperCut NG/MFにおける不適切な認証の脆弱性", "shortDescriptionJa": "PaperCut NG/MFには、SecurityRequestFilterクラスを介してリモート攻撃者が影響を受けるインストール環境で認証を回避できる可能性のある、不適切な認証の脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2023-009530", "vulnerabilityNameJvn": "PaperCut Software International Pty の PaperCut MF および PaperCut NG における認証に関する脆弱性", "shortDescriptionJvn": "PaperCut Software International Pty の PaperCut MF および PaperCut NG には、認証に関する脆弱性が存在します。", "impactJvn": "情報を取得される可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-48700", "vendorProject": "Synacor", "product": "Zimbra Collaboration Suite (ZCS)", "vulnerabilityName": "Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability that could allow attackers to execute arbitrary JavaScript within the user's session, potentially leading to unauthorized access to sensitive information.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-23", "knownRansomwareCampaignUse": "Unknown", "notes": "https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories ; https://nvd.nist.gov/vuln/detail/CVE-2025-48700", "cwes": [ "CWE-79" ], "vulnerabilityNameJa": "Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティング脆弱性", "shortDescriptionJa": "Synacor Zimbra Collaboration Suite (ZCS) には、クロスサイトスクリプティングの脆弱性が存在し、攻撃者がユーザーセッション内で任意のJavaScriptを実行できる可能性があり、機密情報への不正アクセスにつながる恐れがあります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-008755", "vulnerabilityNameJvn": "Synacor Inc. の Zimbra Collaboration Suite におけるクロスサイトスクリプティングの脆弱性", "shortDescriptionJvn": "Synacor Inc. の Zimbra Collaboration Suite には、クロスサイトスクリプティングの脆弱性が存在します。", "impactJvn": "情報を取得される、および情報を改ざんされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-20128", "vendorProject": "Cisco", "product": "Catalyst SD-WAN Manager", "vulnerabilityName": "Cisco Catalyst SD-WAN Manager Storing Passwords in a Recoverable Format Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "Cisco Catalyst SD-WAN Manager contains a storing passwords in a recoverable format vulnerability that allows an authenticated, local attacker to gain DCA user privileges by accessing a credential file for the DCA user on the filesystem as a low-privileged user.", "requiredAction": "Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.", "dueDate": "2026-04-23", "knownRansomwareCampaignUse": "Unknown", "notes": "CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-authbp-qwCX8D4v ; https://nvd.nist.gov/vuln/detail/CVE-2026-20128", "cwes": [ "CWE-257" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WAN Managerにおける、パスワードを復元可能な形式で保存する脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN Managerには、パスワードを回復可能な形式で保存する脆弱性があり、認証済みのローカル攻撃者が、低権限ユーザーとしてファイルシステム上のDCAユーザーの認証情報ファイルにアクセスすることで、DCAユーザーの権限を取得できてしまう可能性があります。", "requiredActionJa": "CISAの緊急指令26-03（URLは下記注記に記載）およびCISAの「Cisco SD-WANデバイスのハント＆ハードニングガイダンス」（URLは下記注記に記載）に記載されている、Cisco SD-WANデバイスに関連するリスクを評価し、軽減するためのCISAガイドラインを遵守してください。クラウドサービスについては、該当するBOD 22-01ガイダンスを遵守するか、軽減策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-006163", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Managerにおける復元可能な形式でのパスワード保存に関する脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN ManagerのData Collection Agent（DCA）機能に脆弱性があり、認証されたローカル攻撃者が影響を受けるシステム上でDCAユーザー権限を取得できる可能性があります。この脆弱性を悪用するには、攻撃者が影響を受けるシステム上で有効なvManageの認証情報を持っている必要があります。この脆弱性は、影響を受けるシステム上にDCAユーザーの認証情報ファイルが存在することに起因しています。攻撃者は低権限ユーザーとしてファイルシステムにアクセスし、そのシステムからDCAのパスワードを含むファイルを読み取ることで、この脆弱性を悪用できます。攻撃が成功すると、攻撃者は別の影響を受けるシステムにアクセスし、DCAユーザー権限を取得できます。なお、Cisco Catalyst SD-WAN Managerの20.18以降のリリースはこの脆弱性の影響を受けません。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-32975", "vendorProject": "Quest", "product": "KACE Systems Management Appliance (SMA)", "vulnerabilityName": "Quest KACE Systems Management Appliance (SMA) Improper Authentication Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "Quest KACE Systems Management Appliance (SMA) contains an improper authentication vulnerability that could allow attackers to impersonate legitimate users without valid credentials.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-04", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.quest.com/kb/4379499/quest-response-to-kace-sma-vulnerabilities-cve-2025-32975-cve-2025-32976-cve-2025-32977-cve-2025-32978 ; https://nvd.nist.gov/vuln/detail/CVE-2025-32975", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Quest KACEシステム管理アプライアンス（SMA）の認証エラーの脆弱性", "shortDescriptionJa": "Quest KACEシステム管理アプライアンス（SMA）には、認証に関する不適切な脆弱性が存在し、攻撃者が有効な認証情報なしに正規ユーザーになりすますことが可能です。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-026246", "vulnerabilityNameJvn": "Quest Software Inc.のKACE Systems Management Applianceにおける認証に関する脆弱性", "shortDescriptionJvn": "Quest KACE Systems Management Appliance (SMA) のバージョン13.0.xの13.0.385未満、13.1.xの13.1.81未満、13.2.xの13.2.183未満、14.0.xの14.0.341（パッチ5）未満、および14.1.xの14.1.101（パッチ4）未満には、正当な資格情報がない攻撃者が正規ユーザーになりすますことを可能にする認証バイパスの脆弱性があります。この脆弱性はSSO認証処理メカニズムに存在し、攻撃者が完全な管理者権限を奪取する可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2024-27199", "vendorProject": "JetBrains", "product": "TeamCity", "vulnerabilityName": "JetBrains TeamCity Relative Path Traversal Vulnerability", "dateAdded": "2026-04-20", "shortDescription": "JetBrains TeamCity contains a relative path traversal vulnerability that could allow limited admin actions to be performed.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-05-04", "knownRansomwareCampaignUse": "Known", "notes": "https://www.jetbrains.com/privacy-security/issues-fixed/ ; https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/ ; https://nvd.nist.gov/vuln/detail/CVE-2024-27199", "cwes": [ "CWE-23" ], "vulnerabilityNameJa": "JetBrains TeamCityにおける相対パス走査の脆弱性", "shortDescriptionJa": "JetBrains TeamCityには、相対パス・トラバーサル脆弱性が存在し、限定的な管理者権限での操作が可能になる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2024-014915", "vulnerabilityNameJvn": "JetBrains の TeamCity におけるパストラバーサルの脆弱性", "shortDescriptionJvn": "JetBrains の TeamCity には、パストラバーサルの脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-34197", "vendorProject": "Apache", "product": "ActiveMQ", "vulnerabilityName": "Apache ActiveMQ Improper Input Validation Vulnerability", "dateAdded": "2026-04-16", "shortDescription": "Apache ActiveMQ contains an improper input validation vulnerability that allows for code injection.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-30", "knownRansomwareCampaignUse": "Unknown", "notes": "https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt ; https://nvd.nist.gov/vuln/detail/CVE-2026-34197", "cwes": [ "CWE-20", "CWE-94" ], "vulnerabilityNameJa": "Apache ActiveMQ の不適切な入力検証の脆弱性", "shortDescriptionJa": "Apache ActiveMQには、入力検証に不適切な脆弱性があり、コードインジェクションを許してしまう可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-011829", "vulnerabilityNameJvn": "Apache Software FoundationのApache ActiveMQ等の複数製品における複数の脆弱性", "shortDescriptionJvn": "Apache ActiveMQ BrokerおよびApache ActiveMQにおける不適切な入力検証および不適切なコード生成制御（コードインジェクション）の脆弱性です。Apache ActiveMQ Classicは、Webコンソールの/api/jolokia/にJolokia JMX-HTTPブリッジを公開しています。デフォルトのJolokiaアクセスポリシーは、BrokerService.addNetworkConnector(String)やBrokerService.addConnector(String)を含むすべてのActiveMQ MBeans（org.apache.activemq:*）に対するexec操作を許可しています。認証された攻撃者は、VMトランスポートのbrokerConfigパラメータがResourceXmlApplicationContextを使用してリモートのSpring XMLアプリケーションコンテキストをロードする仕組みを悪用した細工されたdiscovery URIを介して、これらの操作を呼び出すことができます。SpringのResourceXmlApplicationContextは、BrokerServiceが設定を検証する前にすべてのシングルトンBeanをインスタンス化するため、Runtime.exec()などのBeanファクトリーメソッドを通じてブローカーのJVM上で任意のコードを実行します。この問題はApache ActiveMQ Brokerバージョン5.19.4以前、6.0.0から6.2.3未満のバージョン、Apache ActiveMQ全体の同バージョンに影響があります。ユーザーはこの問題を修正したバージョン5.19.4または6.2.3へのアップグレードを推奨します。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2009-0238", "vendorProject": "Microsoft", "product": "Office", "vulnerabilityName": "Microsoft Office Remote Code Execution", "dateAdded": "2026-04-14", "shortDescription": "Microsoft Office Excel contains a remote code execution vulnerability that could allow an attacker to take complete control of an affected system if a user opens a specially crafted Excel file that includes a malformed object.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-28", "knownRansomwareCampaignUse": "Unknown", "notes": "https://learn.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-009 ; https://nvd.nist.gov/vuln/detail/CVE-2009-0238", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "Microsoft Officeのリモートコード実行", "shortDescriptionJa": "Microsoft Office Excelには、リモートコード実行の脆弱性が存在し、ユーザーが不正なオブジェクトを含む細工が施されたExcelファイルを開いた場合、攻撃者が影響を受けるシステムを完全に制御できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2009-001095", "vulnerabilityNameJvn": "Microsoft Office Excel における任意のコードを実行される脆弱性", "shortDescriptionJvn": "Microsoft Office Excel には、Excel ドキュメントの処理に不備があるため、任意のコードを実行される脆弱性が存在します。", "impactJvn": "リモートの攻撃者により任意のコードを実行される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-32201", "vendorProject": "Microsoft", "product": "SharePoint Server", "vulnerabilityName": "Microsoft SharePoint Server Improper Input Validation Vulnerability", "dateAdded": "2026-04-14", "shortDescription": "Microsoft SharePoint Server contains an improper input validation vulnerability that allows an unauthorized attacker to perform spoofing over a network.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-28", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-32201 ; https://nvd.nist.gov/vuln/detail/CVE-2026-32201", "cwes": [ "CWE-20" ], "vulnerabilityNameJa": "Microsoft SharePoint Server の入力検証の不備に関する脆弱性", "shortDescriptionJa": "Microsoft SharePoint Serverには、入力検証に関する不適切な脆弱性が存在し、権限のない攻撃者がネットワーク上でなりすまし行為を行うことを可能にする。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-017391", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける入力確認に関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePointの不適切な入力検証により、不正な攻撃者がネットワーク上でなりすましを行うことが可能となります。 ", "impactJvn": "・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 ", "requiredActionJvn": "ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2012-1854", "vendorProject": "Microsoft", "product": "Visual Basic for Applications (VBA)", "vulnerabilityName": "Microsoft Visual Basic for Applications Insecure Library Loading Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Microsoft Visual Basic for Applications (VBA) contains an insecure library loading vulnerability that could allow for remote code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-27", "knownRansomwareCampaignUse": "Unknown", "notes": "https://learn.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-046 ; https://nvd.nist.gov/vuln/detail/CVE-2012-1854", "cwes": [ "CWE-426" ], "vulnerabilityNameJa": "Microsoft Visual Basic for Applicationsにおけるライブラリ読み込みの脆弱性", "shortDescriptionJa": "Microsoft Visual Basic for Applications (VBA) には、ライブラリの読み込みに関する安全性の低い脆弱性が存在し、リモートでのコード実行が可能になる場合があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2012-003041", "vulnerabilityNameJvn": "複数の Microsoft 製品の VBE6.dll における権限昇格の脆弱性", "shortDescriptionJvn": "複数の Microsoft 製品の VBE6.dll には、検索パスに関する処理に不備があるため、権限を取得される脆弱性が存在します。 マイクロソフトセキュリティ情報には、この脆弱性は「Visual Basic for Applications の安全でないライブラリのロードの脆弱性」と記載されています。", "impactJvn": "ローカルユーザにより、カレントワーキングディレクトリ内のトロイの木馬の DLL ファイルを介して、権限を取得される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-60710", "vendorProject": "Microsoft", "product": "Windows", "vulnerabilityName": "Microsoft Windows Link Following Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Microsoft Windows contains a link following vulnerability that allows for privilege escalation", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-27", "knownRansomwareCampaignUse": "Known", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-60710 ; https://nvd.nist.gov/vuln/detail/CVE-2025-60710", "cwes": [ "CWE-59" ], "vulnerabilityNameJa": "Microsoft Windowsのリンク追跡の脆弱性", "shortDescriptionJa": "Microsoft Windowsには、権限昇格を可能にするリンク追跡の脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-019564", "vulnerabilityNameJvn": "マイクロソフトの Microsoft Windows 11 における権限を昇格される脆弱性", "shortDescriptionJvn": "マイクロソフトの Microsoft Windows 11 には、Host Process for Windows Tasks に不備があるため、権限を昇格される脆弱性が存在します。 ", "impactJvn": "認証された攻撃者により、権限を昇格される可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2023-21529", "vendorProject": "Microsoft", "product": "Exchange Server", "vulnerabilityName": "Microsoft Exchange Server Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Microsoft Exchange Server contains a deserialization of untrusted data that allows an authenticated attacker to achieve remote code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-27", "knownRansomwareCampaignUse": "Known", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21529 ; https://nvd.nist.gov/vuln/detail/CVE-2023-21529", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Microsoft Exchange Serverにおける信頼できないデータの逆シリアル化の脆弱性", "shortDescriptionJa": "Microsoft Exchange Serverには、信頼できないデータの逆シリアル化に関する脆弱性があり、認証済みの攻撃者がリモートでコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2023-001257", "vulnerabilityNameJvn": "Microsoft Exchange Server におけるリモートでコードを実行される脆弱性", "shortDescriptionJvn": "Microsoft Exchange Server には、リモートでコードを実行される脆弱性が存在します。 ", "impactJvn": "リモートでコードを実行される可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2023-36424", "vendorProject": "Microsoft", "product": "Windows", "vulnerabilityName": "Microsoft Windows Out-of-Bounds Read Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Microsoft Windows Common Log File System Driver contains an out-of-bounds read vulnerability that could allow a threat actor for privileges escalation", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-27", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36424 ; https://nvd.nist.gov/vuln/detail/CVE-2023-36424", "cwes": [ "CWE-125" ], "vulnerabilityNameJa": "Microsoft Windowsにおける境界外読み取りの脆弱性", "shortDescriptionJa": "Microsoft Windows共通ログファイルシステムドライバーに、境界外読み取りの脆弱性が存在し、攻撃者が権限昇格を行う可能性がある。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2023-007587", "vulnerabilityNameJvn": "マイクロソフトの複数の Microsoft Windows 製品における権限を昇格される脆弱性", "shortDescriptionJvn": "マイクロソフトの Microsoft Windows 10、Windows 11、Windows Server には、Windows 共通ログファイルシステムドライバに不備があるため、権限を昇格される脆弱性が存在します。 ", "impactJvn": "権限を昇格される可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2020-9715", "vendorProject": "Adobe", "product": "Acrobat", "vulnerabilityName": "Adobe Acrobat Use-After-Free Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Adobe Acrobat contains a use-after-free vulnerability that allows for code execution", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-27", "knownRansomwareCampaignUse": "Unknown", "notes": "https://helpx.adobe.com/security/products/acrobat/apsb20-48.html ; https://nvd.nist.gov/vuln/detail/CVE-2020-9715", "cwes": [ "CWE-416" ], "vulnerabilityNameJa": "Adobe AcrobatのUse-After-Free脆弱性", "shortDescriptionJa": "Adobe Acrobatには、コード実行を可能にする解放後使用の脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2020-008410", "vulnerabilityNameJvn": "Adobe Reader および Acrobat における解放済みメモリを使用される脆弱性", "shortDescriptionJvn": "Adobe Reader および Acrobat には、解放済みメモリを使用される脆弱性が存在します。", "impactJvn": "任意のコードを実行される可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-21643", "vendorProject": "Fortinet", "product": "FortiClient EMS", "vulnerabilityName": "Fortinet FortiClient EMS SQL Injection Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Fortinet FortiClient EMS contains a SQL injection vulnerability that may allow an unauthenticated attacker to execute unauthorized code or commands via specifically crafted HTTP requests.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-16", "knownRansomwareCampaignUse": "Unknown", "notes": "https://fortiguard.fortinet.com/psirt/FG-IR-25-1142 ; https://nvd.nist.gov/vuln/detail/CVE-2026-21643", "cwes": [ "CWE-89" ], "vulnerabilityNameJa": "フォーティネット FortiClient EMS SQL インジェクションの脆弱性", "shortDescriptionJa": "Fortinet FortiClient EMSには、SQLインジェクションの脆弱性が存在し、認証されていない攻撃者が、特別に細工されたHTTPリクエストを介して、不正なコードやコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-003966", "vulnerabilityNameJvn": "フォーティネットのFortiClientEMSにおけるSQL インジェクションの脆弱性", "shortDescriptionJvn": "Fortinet FortiClientEMS 7.4.4 における SQL コマンドで使用される特殊要素が不適切に無効化される（SQL インジェクションの）脆弱性により、認証されていない攻撃者が特別に細工された HTTP リクエストを介して不正なコードやコマンドを実行できる可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-34621", "vendorProject": "Adobe", "product": "Acrobat and Reader", "vulnerabilityName": "Adobe Acrobat and Reader Prototype Pollution Vulnerability", "dateAdded": "2026-04-13", "shortDescription": "Adobe Acrobat and Reader contain a prototype pollution vulnerability that allows for arbitrary code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-27", "knownRansomwareCampaignUse": "Unknown", "notes": "https://helpx.adobe.com/security/products/acrobat/apsb26-43.html ; https://nvd.nist.gov/vuln/detail/CVE-2026-34621", "cwes": [ "CWE-1321" ], "vulnerabilityNameJa": "Adobe AcrobatおよびReaderプロトタイプの汚染脆弱性", "shortDescriptionJa": "Adobe AcrobatおよびReaderには、任意のコード実行を可能にするプロトタイプの汚染脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-010940", "vulnerabilityNameJvn": "アドビのAdobe Acrobat等の複数製品におけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性", "shortDescriptionJvn": "Acrobat Readerのバージョン24.001.30356、26.001.21367およびそれ以前のバージョンは、オブジェクトプロトタイプ属性の不適切な制御（「プロトタイプ汚染」）の脆弱性に影響を受けており、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-1340", "vendorProject": "Ivanti", "product": "Endpoint Manager Mobile (EPMM)", "vulnerabilityName": "Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability", "dateAdded": "2026-04-08", "shortDescription": "Ivanti Endpoint Manager Mobile (EPMM) contains a code injection vulnerability that could allow attackers to achieve unauthenticated remote code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-11", "knownRansomwareCampaignUse": "Unknown", "notes": "Please adhere to Ivanti's guidelines to assess exposure and mitigate risks. Check for signs of potential compromise on all internet accessible Ivanti products affected by this vulnerability. Apply any final mitigations provided by the vendor as soon as possible. For more information please see: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340?language=en_US ; https://support.mobileiron.com/mi/vsp/AB1786671/ivanti-security-update-1761642-1.1.0S-5.noarch.rpm ; https://support.mobileiron.com/mi/vsp/AB1786671/ivanti-security-update-1761642-1.1.0L-5.noarch.rpm ; https://nvd.nist.gov/vuln/detail/CVE-2026-1340", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "Ivanti Endpoint Manager Mobile (EPMM) のコードインジェクション脆弱性", "shortDescriptionJa": "Ivanti Endpoint Manager Mobile (EPMM) には、攻撃者が認証されていないリモート コード実行を実行できる可能性のあるコード インジェクションの脆弱性が含まれています。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-004588", "vulnerabilityNameJvn": "Ivantiのendpoint manager mobileにおけるコードインジェクションの脆弱性", "shortDescriptionJvn": "Ivanti Endpoint Manager Mobile におけるコードインジェクションの脆弱性により、攻撃者は認証なしでリモートコードを実行することができます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-35616", "vendorProject": "Fortinet", "product": "FortiClient EMS", "vulnerabilityName": "Fortinet FortiClient EMS Improper Access Control Vulnerability", "dateAdded": "2026-04-06", "shortDescription": "Fortinet FortiClient EMS contains an improper access control vulnerability that may allow an unauthenticated attacker to execute unauthorized code or commands via crafted requests.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-09", "knownRansomwareCampaignUse": "Unknown", "notes": "Please adhere to Fortinet's guidelines to assess exposure and mitigate risks. Check for signs of potential compromise on all internet accessible Fortinet products affected by this vulnerability. Apply any final mitigations provided by the vendor as soon as they become available. For more information please see: https://fortiguard.fortinet.com/psirt/FG-IR-26-099 ; https://nvd.nist.gov/vuln/detail/CVE-2026-35616", "cwes": [ "CWE-284" ], "vulnerabilityNameJa": "Fortinet FortiClient EMSにおける不適切なアクセス制御の脆弱性", "shortDescriptionJa": "Fortinet FortiClient EMSには、アクセス制御に不適切な脆弱性が存在し、認証されていない攻撃者が細工されたリクエストを介して、不正なコードやコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-010190", "vulnerabilityNameJvn": "フォーティネットのFortiClientEMSにおけるアクセス制御に関する脆弱性", "shortDescriptionJvn": "Fortinet FortiClientEMS バージョン 7.4.5 から 7.4.6 における不適切なアクセス制御の脆弱性により、認証されていない攻撃者が細工されたリクエストを通じて不正なコードやコマンドを実行する可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-3502", "vendorProject": "TrueConf", "product": "Client", "vulnerabilityName": "TrueConf Client Download of Code Without Integrity Check Vulnerability", "dateAdded": "2026-04-02", "shortDescription": "TrueConf Client contains a download of code without integrity check vulnerability. An attacker who is able to influence the update delivery path can substitute a tampered update payload. If the payload is executed or installed by the updater, this may result in arbitrary code execution in the context of the updating process or user.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-16", "knownRansomwareCampaignUse": "Unknown", "notes": "https://trueconf.com/blog/update/trueconf-8-5 ; https://trueconf.com/downloads/windows.html ; https://nvd.nist.gov/vuln/detail/CVE-2026-3502", "cwes": [ "CWE-494" ], "vulnerabilityNameJa": "TrueConfクライアントにおける、整合性チェックなしのコードダウンロードの脆弱性", "shortDescriptionJa": "TrueConf Clientには、整合性チェック機能のないコードのダウンロードに関する脆弱性が存在します。アップデート配信経路を操作できる攻撃者は、改ざんされたアップデートペイロードを挿入する可能性があります。このペイロードがアップデーターによって実行またはインストールされた場合、アップデート処理またはユーザーのコンテキストで任意のコードが実行される可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-010175", "vulnerabilityNameJvn": "TrueConf LLC.のTrueConfにおけるダウンロードしたコードの完全性検証不備に関する脆弱性", "shortDescriptionJvn": "TrueConfクライアントは、アプリケーションのアップデートコードをダウンロードし、検証を行わずに適用します。アップデート配信経路に影響を与えることができる攻撃者は、改ざんされたアップデートペイロードを差し替える可能性があります。ペイロードがアップデーターによって実行またはインストールされると、更新プロセスまたはユーザーのコンテキストで任意のコードが実行される恐れがあります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアの一部が停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-5281", "vendorProject": "Google", "product": "Dawn", "vulnerabilityName": "Google Dawn Use-After-Free Vulnerability", "dateAdded": "2026-04-01", "shortDescription": "Google Dawn contains an use-after-free vulnerability that could allow a remote attacker who had compromised the renderer process to execute arbitrary code via a crafted HTML page. This vulnerability could affect multiple Chromium-based products including, but not limited to, Google Chrome, Microsoft Edge, and Opera.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-15", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability affects an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_31.html ; https://nvd.nist.gov/vuln/detail/CVE-2026-5281 ", "cwes": [ "CWE-416" ], "vulnerabilityNameJa": "Google DawnのUse-After-Free脆弱性", "shortDescriptionJa": "Google Dawnには、解放済みメモリ使用（use-after-free）の脆弱性が存在し、レンダリングプロセスを侵害したリモート攻撃者が、細工されたHTMLページを介して任意のコードを実行できる可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumベースの複数の製品に影響を与える可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-009891", "vulnerabilityNameJvn": "GoogleのGoogle Chromeにおける解放済みメモリの使用に関する脆弱性", "shortDescriptionJvn": "Google Chrome 146.0.7680.178以前のDawnにおけるUse after freeの脆弱性により、リモート攻撃者は細工されたHTMLページを介してレンダラプロセスを侵害し、任意のコードを実行できます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-3055", "vendorProject": "Citrix", "product": "NetScaler", "vulnerabilityName": "Citrix NetScaler Out-of-Bounds Read Vulnerability", "dateAdded": "2026-03-30", "shortDescription": "Citrix NetScaler ADC (formerly Citrix ADC), NetScaler Gateway (formerly Citrix Gateway) and NetScaler ADC FIPS and NDcPP contain an out-of-bounds reads vulnerability when configured as a SAML IDP leading to memory overread.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-02", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696300&articleURL=NetScaler_ADC_and_NetScaler_Gateway_Security_Bulletin_for_CVE_2026_3055_and_CVE_2026_4368 ; https://nvd.nist.gov/vuln/detail/CVE-2026-3055", "cwes": [ "CWE-125" ], "vulnerabilityNameJa": "Citrix NetScalerの境界外読み取りの脆弱性", "shortDescriptionJa": "Citrix NetScaler ADC（旧Citrix ADC）、NetScaler Gateway（旧Citrix Gateway）、およびNetScaler ADC FIPSとNDcPPは、SAML IDPとして構成した場合に、境界外読み取りの脆弱性があり、メモリのオーバーリードを引き起こす可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-009450", "vulnerabilityNameJvn": "シトリックス・システムズのnetscaler application delivery controller等の複数製品における境界外読み取りに関する脆弱性", "shortDescriptionJvn": "NetScaler ADCおよびNetScaler GatewayがSAML IDPとして構成されている場合に、入力検証が不十分であるため、メモリのオーバーリードが発生する可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-53521", "vendorProject": "F5", "product": "BIG-IP", "vulnerabilityName": "F5 BIG-IP Stack-Based Buffer Overflow Vulnerability", "dateAdded": "2026-03-27", "shortDescription": "F5 BIG-IP APM contains a stack-based buffer overflow vulnerability that could allow a threat actor to achieve remote code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-30", "knownRansomwareCampaignUse": "Unknown", "notes": "Please adhere to F5’s guidelines to assess exposure and mitigate risks. Check for signs of potential compromise on all internet accessible F5 products affected by this vulnerability. For more information please see: https://my.f5.com/manage/s/article/K000156741 ; https://my.f5.com/manage/s/article/K000160486 ; https://my.f5.com/manage/s/article/K11438344 ; https://nvd.nist.gov/vuln/detail/CVE-2025-53521", "cwes": [ "CWE-121" ], "vulnerabilityNameJa": "F5 BIG-IPスタックベースのバッファオーバーフローの脆弱性", "shortDescriptionJa": "F5 BIG-IP APMには、スタックベースのバッファオーバーフローの脆弱性が存在し、攻撃者がリモートでコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-016946", "vulnerabilityNameJvn": "複数の F5 Networks 製品における制限またはスロットリング無しのリソースの割り当てに関する脆弱性", "shortDescriptionJvn": "BIG-IP Access Policy Manager (APM)、BIG-IP Advanced Firewall Manager (AFM)、BIG-IP Advanced Web Application Firewall (WAF) 等複数の F5 Networks 製品には、制限またはスロットリング無しのリソースの割り当てに関する脆弱性が存在します。 ", "impactJvn": "サービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-33634", "vendorProject": "Aquasecurity", "product": "Trivy", "vulnerabilityName": "Aquasecurity Trivy Embedded Malicious Code Vulnerability", "dateAdded": "2026-03-26", "shortDescription": "Aquasecurity Trivy contains an embedded malicious code vulnerability that could allow an attacker to gain access to everything in the CI/CD environment, including all tokens, SSH keys, cloud credentials, database passwords, and any sensitive configuration in memory.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-09", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability involves a supply‑chain compromise in a product that may be used across multiple products and environments. Additional vendor‑provided guidance must be followed to ensure full remediation. For more information, please see: https://github.com/advisories/GHSA-69fq-xp46-6x23 ; https://nvd.nist.gov/vuln/detail/CVE-2026-33634", "cwes": [ "CWE-506" ], "vulnerabilityNameJa": "Aquasecurity Trivyの埋め込み型悪意のあるコードの脆弱性", "shortDescriptionJa": "Aquasecurity Trivyには、攻撃者がCI/CD環境内のあらゆるもの（トークン、SSHキー、クラウド認証情報、データベースパスワード、メモリ内の機密設定など）にアクセスできる可能性のある、悪意のあるコードが埋め込まれた脆弱性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-009188", "vulnerabilityNameJvn": "Aqua Security等の複数ベンダの製品における埋め込まれた悪意のあるコードに関する脆弱性", "shortDescriptionJvn": "Trivyはセキュリティスキャナーです。2026年3月19日に、攻撃者は侵害された認証情報を使用して悪意のあるTrivy v0.69.4リリースを公開しました。`aquasecurity/trivy-action`の77のバージョンタグのうち76を認証情報窃取マルウェアに強制プッシュし、`aquasecurity/setup-trivy`の全7タグを悪意のあるコミットに置き換えました。この事件は2026年2月下旬に始まったサプライチェーン攻撃の続きです。3月1日の初期公開後に認証情報のローテーションが行われましたが、それは原子操作ではなく（一度にすべての認証情報が無効化されたわけではありません）、攻撃者は有効なトークンを使用してローテーション中に新たにローテーションされた秘密情報を数日間にわたり持ち出せた可能性があります。これにより攻撃者はアクセスを維持し、3月19日の攻撃を実行できた可能性があります。影響を受けるコンポーネントは、`aquasecurity/trivy`のGo / コンテナイメージバージョン0.69.4、`aquasecurity/trivy-action`のGitHub Actionバージョン0.0.1から0.34.2まで（76/77）、および`aquasecurity/setup-trivy`のGitHub Actionバージョン0.2.0から0.2.6までで、0.2.6は安全なコミットによる再作成前のものです。既知の安全なバージョンには、Trivyバイナリの0.69.2および0.69.3、trivy-actionの0.35.0、setup-trivyの0.2.6があります。さらに秘密情報の安全を確保するために追加の緩和策を取ってください。侵害されたバージョンが環境で実行された可能性がある場合は、影響を受けるパイプラインでアクセス可能なすべての秘密情報を露出したものとして扱い、直ちにローテーションしてください。組織は任意のソースからTrivy v0.69.4をプルまたは実行したかを確認し、影響を受けたアーティファクトを直ちに削除してください。`aquasecurity/trivy-action`や`aquasecurity/setup-trivy`を使用している全てのワークフローをレビューし、完全なコミットSHAではなくバージョンタグを参照している場合は、2026年3月19日から20日のワークフローログを調査して侵害の兆候を確認してください。GitHub組織内に`tpcp-docs`という名前のリポジトリが存在する場合、それはフォールバックの情報持ち出しメカニズムが起動して秘密情報の窃取が成功した可能性を示しています。GitHub Actionsは完全かつ不変のコミットSHAハッシュに固定し、可変のバージョンタグを使用しないでください。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-33017", "vendorProject": "Langflow", "product": "Langflow", "vulnerabilityName": "Langflow Code Injection Vulnerability", "dateAdded": "2026-03-25", "shortDescription": "Langflow contains a code injection vulnerability that could allow building public flows without requiring authentication.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-08", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/langflow-ai/langflow/security/advisories/GHSA-vwmf-pq79-vjvx ; https://nvd.nist.gov/vuln/detail/CVE-2026-33017", "cwes": [ "CWE-94", "CWE-95", "CWE-306" ], "vulnerabilityNameJa": "Langflowコードインジェクションの脆弱性", "shortDescriptionJa": "Langflowには、認証を必要とせずに公開フローを構築できる可能性のあるコードインジェクションの脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-009039", "vulnerabilityNameJvn": "langflowにおける複数の脆弱性", "shortDescriptionJvn": "LangflowはAI搭載のエージェントおよびワークフローを構築・展開するツールです。バージョン1.9.0より前では、認証なしでPOST /api/v1/build_public_tmp/{flow_id}/flowエンドポイントを通じて攻撃者が任意の実行コードを含むフローデータを送信できました。このエンドポイントはサンドボックスを設けずに攻撃者提供のコードをexec()に渡していたため、認証なしのリモートコード実行の脆弱性が発生していました。この問題はバージョン1.9.0で修正されました。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-32432", "vendorProject": "Craft CMS", "product": "Craft CMS", "vulnerabilityName": "Craft CMS Code Injection Vulnerability", "dateAdded": "2026-03-20", "shortDescription": "Craft CMS contains a code injection vulnerability that allows a remote attacker to execute arbitrary code.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432 ; https://github.com/craftcms/cms/security/advisories/GHSA-f3gw-9ww9-jmc3 ; https://nvd.nist.gov/vuln/detail/CVE-2025-32432", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "Craft CMS コードインジェクション脆弱性", "shortDescriptionJa": "Craft CMSには、リモートの攻撃者が任意のコードを実行できるコードインジェクションの脆弱性が存在する。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-004125", "vulnerabilityNameJvn": "Craft CMS における脆弱性", "shortDescriptionJvn": "Craft CMS には、不特定の脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-54068", "vendorProject": "Laravel", "product": "Livewire", "vulnerabilityName": "Laravel Livewire Code Injection Vulnerability", "dateAdded": "2026-03-20", "shortDescription": "Laravel Livewire contain a code injection vulnerability that could allow unauthenticated attackers to achieve remote command execution in specific scenarios.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/livewire/livewire/security/advisories/GHSA-29cq-5w36-x7w3 ; https://github.com/livewire/livewire/commit/ef04be759da41b14d2d129e670533180a44987dc ; https://nvd.nist.gov/vuln/detail/CVE-2025-54068", "cwes": [ "CWE-94" ], "vulnerabilityNameJa": "Laravel Livewireのコードインジェクション脆弱性", "shortDescriptionJa": "Laravel Livewireには、特定のシナリオにおいて、認証されていない攻撃者がリモートコマンドを実行できる可能性のあるコードインジェクションの脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-012608", "vulnerabilityNameJvn": "Taylor Otwell の livewire におけるコードインジェクションの脆弱性", "shortDescriptionJvn": "Taylor Otwell の livewire には、コードインジェクションの脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-43510", "vendorProject": "Apple", "product": "Multiple Products", "vulnerabilityName": "Apple Multiple Products Improper Locking Vulnerability", "dateAdded": "2026-03-20", "shortDescription": "Apple watchOS, iOS, iPadOS, macOS, visionOS, and tvOS contain an improper locking vulnerability that could allow a malicious application to cause unexpected changes in memory shared between processes.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/125632 ; https://support.apple.com/en-us/125633 ; https://support.apple.com/en-us/125634 ; https://support.apple.com/en-us/125635 ; https://support.apple.com/en-us/125636 ; https://support.apple.com/en-us/125637 ; https://support.apple.com/en-us/125638 ; https://support.apple.com/en-us/125639 ; https://nvd.nist.gov/vuln/detail/CVE-2025-43510", "cwes": [ "CWE-667" ], "vulnerabilityNameJa": "Appleの複数製品における不適切なロックの脆弱性", "shortDescriptionJa": "AppleのwatchOS、iOS、iPadOS、macOS、visionOS、tvOSには、不適切なロックに関する脆弱性が存在し、悪意のあるアプリケーションがプロセス間で共有されるメモリに予期せぬ変更を引き起こす可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-022819", "vulnerabilityNameJvn": "複数のアップル製品における競合状態に関する脆弱性", "shortDescriptionJvn": "iPadOS、iOS、macOS 等複数のアップル製品には、競合状態に関する脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-43520", "vendorProject": "Apple", "product": "Multiple Products", "vulnerabilityName": "Apple Multiple Products Classic Buffer Overflow Vulnerability", "dateAdded": "2026-03-20", "shortDescription": "Apple watchOS, iOS, iPadOS, macOS, visionOS, and tvOS contain a classic buffer overflow vulnerability which could allow a malicious application to cause unexpected system termination or write kernel memory.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/125632 ; https://support.apple.com/en-us/125633 ; https://support.apple.com/en-us/125634 ; https://support.apple.com/en-us/125635 ; https://support.apple.com/en-us/125636 ; https://support.apple.com/en-us/125637 ; https://support.apple.com/en-us/125638 ; https://support.apple.com/en-us/125639 ; https://nvd.nist.gov/vuln/detail/CVE-2025-43520", "cwes": [ "CWE-120" ], "vulnerabilityNameJa": "Appleの複数製品における古典的なバッファオーバーフローの脆弱性", "shortDescriptionJa": "AppleのwatchOS、iOS、iPadOS、macOS、visionOS、tvOSには、悪意のあるアプリケーションが予期しないシステム終了を引き起こしたり、カーネルメモリに書き込みを行ったりする可能性のある、典型的なバッファオーバーフローの脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-022505", "vulnerabilityNameJvn": "複数のアップル製品における境界外書き込みに関する脆弱性", "shortDescriptionJvn": "iPadOS、iOS、macOS 等複数のアップル製品には、境界外書き込みに関する脆弱性が存在します。 ", "impactJvn": "情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2025-31277", "vendorProject": "Apple", "product": "Multiple Products", "vulnerabilityName": "Apple Multiple Products Buffer Overflow Vulnerability", "dateAdded": "2026-03-20", "shortDescription": "Apple Safari, iOS, watchOS, visionOS, iPadOS, macOS, and tvOS contain a buffer overflow vulnerability that could allow the processing of maliciously crafted web content which may lead to memory corruption.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-03", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/124147 ; https://support.apple.com/en-us/124149 ; https://support.apple.com/en-us/124152 ; https://support.apple.com/en-us/124153 ; https://support.apple.com/en-us/124155 ; https://nvd.nist.gov/vuln/detail/CVE-2025-31277", "cwes": [ "CWE-119" ], "vulnerabilityNameJa": "Appleの複数製品におけるバッファオーバーフローの脆弱性", "shortDescriptionJa": "Apple Safari、iOS、watchOS、visionOS、iPadOS、macOS、およびtvOSには、バッファオーバーフローの脆弱性が存在し、悪意を持って作成されたWebコンテンツが処理されることでメモリ破損を引き起こす可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-010584", "vulnerabilityNameJvn": "複数のアップル製品におけるバッファエラーの脆弱性", "shortDescriptionJvn": "Safari、iPadOS、iOS 等複数のアップル製品には、バッファエラーの脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-20131", "vendorProject": "Cisco", "product": "Secure Firewall Management Center (FMC)", "vulnerabilityName": "Cisco Secure Firewall Management Center (FMC) Software and Cisco Security Cloud Control (SCC) Firewall Management Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-03-19", "shortDescription": "Cisco Secure Firewall Management Center (FMC) Software and Cisco Security Cloud Control (SCC) Firewall Management contain a deserialization of untrusted data vulnerability in the web-based management interface that could allow an unauthenticated, remote attacker to execute arbitrary Java code as root on an affected device.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-22", "knownRansomwareCampaignUse": "Known", "notes": "https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-rce-NKhnULJh ; https://nvd.nist.gov/vuln/detail/CVE-2026-20131", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Cisco Secure Firewall Management Center (FMC) ソフトウェアおよび Cisco Security Cloud Control (SCC) ファイアウォール管理における信頼できないデータの逆シリアル化の脆弱性", "shortDescriptionJa": "Cisco Secure Firewall Management Center (FMC) ソフトウェアおよび Cisco Security Cloud Control (SCC) Firewall Management の Web ベースの管理インターフェイスには、信頼できないデータの逆シリアル化に関する脆弱性が存在し、認証されていないリモート攻撃者が影響を受けるデバイス上で root 権限で任意の Java コードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-008359", "vulnerabilityNameJvn": "シスコシステムズのCisco Secure Firewall Management Centerにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "Cisco Secure Firewall Management Center (FMC) ソフトウェアのWebベース管理インターフェイスに存在する脆弱性により、認証されていないリモート攻撃者が影響を受けるデバイス上で任意のJavaコードをroot権限で実行できる可能性があります。この脆弱性は、ユーザーが提供したJavaバイトストリームの安全でないデシリアライズに起因します。攻撃者は、この脆弱性を悪用して、細工されたシリアライズ済みJavaオブジェクトを影響を受けるデバイスのWebベース管理インターフェイスに送信できます。成功した場合、攻撃者はデバイス上で任意のコードを実行し、権限をrootに昇格させることが可能です。注：FMC管理インターフェイスがパブリックインターネットにアクセスできない場合、本脆弱性に関連する攻撃対象範囲は縮小されます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-66376", "vendorProject": "Synacor", "product": "Zimbra Collaboration Suite (ZCS)", "vulnerabilityName": "Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting Vulnerability", "dateAdded": "2026-03-18", "shortDescription": "Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability in the Classic UI where attackers could abuse Cascading Style Sheets (CSS) @import directives in email HTML.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-04-01", "knownRansomwareCampaignUse": "Unknown", "notes": "https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories ; https://nvd.nist.gov/vuln/detail/CVE-2025-66376", "cwes": [ "CWE-79" ], "vulnerabilityNameJa": "Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティング脆弱性", "shortDescriptionJa": "Synacor Zimbra Collaboration Suite (ZCS) のクラシック UI には、攻撃者がメールの HTML 内の Cascading Style Sheets (CSS) の @import ディレクティブを悪用する可能性のあるクロスサイトスクリプティングの脆弱性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-008047", "vulnerabilityNameJvn": "Synacor Inc.のZimbra Collaboration Suiteにおけるクロスサイトスクリプティングの脆弱性", "shortDescriptionJvn": "Zimbra Collaboration（ZCS）10のバージョン10.0.18より前および10.1のバージョン10.1.13より前のバージョンでは、HTML電子メールメッセージ内のカスケーディングスタイルシート（CSS）の@importディレクティブを介してClassic UIに保存型のクロスサイトスクリプティング（XSS）が発生する可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20963", "vendorProject": "Microsoft", "product": "SharePoint", "vulnerabilityName": "Microsoft SharePoint Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-03-18", "shortDescription": "Microsoft SharePoint contains a deserialization of untrusted data vulnerability that allows an unauthorized attacker to execute code over a network.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-21", "knownRansomwareCampaignUse": "Unknown", "notes": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20963 ; https://nvd.nist.gov/vuln/detail/CVE-2026-20963", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "Microsoft SharePoint の信頼できないデータのデシリアライゼーションの脆弱性", "shortDescriptionJa": "Microsoft SharePointには、信頼できないデータの逆シリアル化に関する脆弱性が存在し、権限のない攻撃者がネットワーク経由でコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-001302", "vulnerabilityNameJvn": "マイクロソフトのMicrosoft SharePoint Serverにおける信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "Microsoft Office SharePointにおける信頼されていないデータのデシリアライズの脆弱性により、認可された攻撃者がネットワーク経由でコードを実行できる可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-47813", "vendorProject": "Wing FTP Server", "product": "Wing FTP Server", "vulnerabilityName": "Wing FTP Server Information Disclosure Vulnerability", "dateAdded": "2026-03-16", "shortDescription": "Wing FTP Server contains a generation of error message containing sensitive information vulnerability when using a long value in the UID cookie.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-30", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.wftpserver.com/serverhistory.htm ; https://nvd.nist.gov/vuln/detail/CVE-2025-47813", "cwes": [ "CWE-209" ], "vulnerabilityNameJa": "Wing FTPサーバーの情報漏洩脆弱性", "shortDescriptionJa": "Wing FTP Serverには、UIDクッキーに長い値を使用した場合に、機密情報を含むエラーメッセージを生成する脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-009219", "vulnerabilityNameJvn": "WING FTP software の Wing FTP Server におけるエラーメッセージによる情報漏えいに関する脆弱性", "shortDescriptionJvn": "WING FTP software の Wing FTP Server には、エラーメッセージによる情報漏えいに関する脆弱性が存在します。", "impactJvn": "情報を取得される可能性があります。", "requiredActionJvn": "参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-3910", "vendorProject": "Google", "product": "Chromium V8", "vulnerabilityName": "Google Chromium V8 Improper Restriction of Operations Within the Bounds of a Memory Buffer Vulnerability", "dateAdded": "2026-03-13", "shortDescription": "Google Chromium V8 contains an improper restriction of operations within the bounds of a memory buffer vulnerability that could allow a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-27", "knownRansomwareCampaignUse": "Unknown", "notes": "https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_12.html ; https://nvd.nist.gov/vuln/detail/CVE-2026-3910", "cwes": [ "CWE-119" ], "vulnerabilityNameJa": "Google Chromium V8におけるメモリバッファの範囲内での操作の不適切な制限に関する脆弱性", "shortDescriptionJa": "Google Chromium V8には、メモリバッファの脆弱性の範囲内での操作制限が不適切であるため、細工されたHTMLページを介してリモート攻撃者がサンドボックス内で任意のコードを実行できる可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを使用する複数のWebブラウザに影響を与える可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-007334", "vulnerabilityNameJvn": "GoogleのGoogle Chromeにおける複数の脆弱性", "shortDescriptionJvn": "Google Chromeのバージョン146.0.7680.75より前のV8における不適切な実装により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行する可能性がありました。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-3909", "vendorProject": "Google", "product": "Skia", "vulnerabilityName": "Google Skia Out-of-Bounds Write Vulnerability", "dateAdded": "2026-03-13", "shortDescription": "Google Skia contains an out-of-bounds write vulnerability that could allow a remote attacker to perform out of bounds memory access via a crafted HTML page. This vulnerability affects Google Chrome and ChromeOS, Android, Flutter, and possibly other products.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-27", "knownRansomwareCampaignUse": "Unknown", "notes": "This vulnerability affects a common open-source component, third-party library, or a protocol used by different products. Please check with specific vendors for information on patching status. For more information, please see: https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_13.html ; https://nvd.nist.gov/vuln/detail/CVE-2026-3909", "cwes": [ "CWE-787" ], "vulnerabilityNameJa": "Google Skiaにおける境界外書き込みの脆弱性", "shortDescriptionJa": "Google Skiaには境界外書き込みの脆弱性が存在し、細工されたHTMLページを介してリモートの攻撃者が境界外メモリアクセスを実行できる可能性があります。この脆弱性は、Google Chrome、ChromeOS、Android、Flutter、およびその他の製品に影響を与える可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-007335", "vulnerabilityNameJvn": "GoogleのGoogle Chromeにおける境界外書き込みに関する脆弱性", "shortDescriptionJvn": "Google Chromeの146.0.7680.75以前のバージョンにおけるSkiaの境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して境界外のメモリアクセスを実行できる可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-68613", "vendorProject": "n8n", "product": "n8n", "vulnerabilityName": "n8n Improper Control of Dynamically-Managed Code Resources Vulnerability", "dateAdded": "2026-03-11", "shortDescription": "n8n contains an improper control of dynamically managed code resources vulnerability in its workflow expression evaluation system that allows for remote code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-25", "knownRansomwareCampaignUse": "Unknown", "notes": "https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp ; https://nvd.nist.gov/vuln/detail/CVE-2025-68613", "cwes": [ "CWE-913" ], "vulnerabilityNameJa": "n8n 動的に管理されるコードリソースの不適切な制御の脆弱性", "shortDescriptionJa": "n8n には、ワークフロー式評価システムにおける動的に管理されるコード リソースの不適切な制御の脆弱性があり、リモート コード実行が可能になります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-023704", "vulnerabilityNameJvn": " n8nにおける動的に操作されるコードリソースの不適切な制御に関する脆弱性", "shortDescriptionJvn": "n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン0.211.0以降、1.120.4、1.121.1、1.122.0より前のバージョンには、ワークフローの式評価システムに深刻なリモートコード実行（RCE）の脆弱性が存在します。特定の状況下で、認証済みユーザーがワークフロー構成時に指定した式が、基盤となるランタイムから十分に隔離されていない実行コンテキストで評価される可能性があります。認証された攻撃者は、この動作を悪用してn8nプロセスの権限で任意のコードを実行できます。攻撃が成功すると、影響を受けるインスタンスが完全に侵害され、機密データへの不正アクセスやワークフローの変更、システムレベルの操作の実行などが発生します。この問題はバージョン1.120.4、1.121.1、1.122.0で修正されています。利用者には、式評価を制限する追加の安全策が導入された修正済みバージョンへのアップグレードを強く推奨します。即時のアップグレードが難しい場合は、以下の暫定的な緩和策を検討してください。ワークフローの作成・編集権限を完全に信頼できるユーザーのみに制限すること、またはn8nをOS権限とネットワークアクセスを制限した強化環境で運用し、潜在的な攻撃時の影響を軽減することを推奨します。これらの回避策はリスクを完全に排除するものではなく、一時的な対策としてのみ利用してください。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2021-22054", "vendorProject": "Omnissa", "product": "Workspace One UEM", "vulnerabilityName": "Omnissa Workspace ONE Server-Side Request Forgery", "dateAdded": "2026-03-09", "shortDescription": "Omnissa Workspace One UEM formerly known as VMware Workspace One UEM contains a server-side request forgery (SSRF) vulnerability that could allow a malicious actor with network access to UEM to send their requests without authentication and to gain access to sensitive information.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-23", "knownRansomwareCampaignUse": "Unknown", "notes": "https://web.archive.org/web/20211222154335/https://www.vmware.com/security/advisories/VMSA-2021-0029.html ; https://nvd.nist.gov/vuln/detail/CVE-2021-22054", "cwes": [ "CWE-918" ], "vulnerabilityNameJa": "Omnissa Workspace ONE サーバーサイドリクエストフォージェリ", "shortDescriptionJa": "以前は VMware Workspace One UEM と呼ばれていた Omnissa Workspace One UEM には、サーバー側リクエスト フォージェリ (SSRF) の脆弱性があり、UEM へのネットワーク アクセス権を持つ悪意のある攻撃者が認証なしでリクエストを送信し、機密情報にアクセスする可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2021-016410", "vulnerabilityNameJvn": "VMware Workspace ONE UEM コンソールにおけるサーバサイドのリクエストフォージェリの脆弱性", "shortDescriptionJvn": "VMware Workspace ONE UEM コンソールには、サーバサイドのリクエストフォージェリの脆弱性が存在します。 ", "impactJvn": "情報を取得される可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2025-26399", "vendorProject": "SolarWinds", "product": "Web Help Desk", "vulnerabilityName": "SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerability", "dateAdded": "2026-03-09", "shortDescription": "SolarWinds Web Help Desk contain a deserialization of untrusted data vulnerability in AjaxProxy that could allow an attacker to run commands on the host machine.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-12", "knownRansomwareCampaignUse": "Known", "notes": "https://www.solarwinds.com/trust-center/security-advisories/cve-2025-26399 ; https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_12-8-7-hotfix-1_release_notes.htm ; https://nvd.nist.gov/vuln/detail/CVE-2025-26399", "cwes": [ "CWE-502" ], "vulnerabilityNameJa": "SolarWinds Web ヘルプデスクの信頼できないデータのデシリアライゼーションの脆弱性", "shortDescriptionJa": "SolarWinds Web Help Desk には、AjaxProxy における信頼できないデータの逆シリアル化の脆弱性があり、攻撃者がホスト マシン上でコマンドを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2025-019343", "vulnerabilityNameJvn": "SolarWinds の Web Help Desk における信頼できないデータのデシリアライゼーションに関する脆弱性", "shortDescriptionJvn": "SolarWinds の Web Help Desk には、信頼できないデータのデシリアライゼーションに関する脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダアドバイザリまたはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-1603", "vendorProject": "Ivanti", "product": " Endpoint Manager (EPM)", "vulnerabilityName": "Ivanti Endpoint Manager (EPM) Authentication Bypass Vulnerability", "dateAdded": "2026-03-09", "shortDescription": "Ivanti Endpoint Manager (EPM) contains an authentication bypass using an alternate path or channel vulnerability that could allow a remote unauthenticated attacker to leak specific stored credential data.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-23", "knownRansomwareCampaignUse": "Unknown", "notes": "https://hub.ivanti.com/s/article/Security-Advisory-EPM-February-2026-for-EPM-2024?language=en_US ; https://nvd.nist.gov/vuln/detail/CVE-2026-1603", "cwes": [ "CWE-288" ], "vulnerabilityNameJa": "Ivanti Endpoint Manager (EPM) の認証バイパスの脆弱性", "shortDescriptionJa": "Ivanti Endpoint Manager (EPM) には、代替パスまたはチャネルを使用した認証バイパスの脆弱性が含まれており、認証されていないリモートの攻撃者が特定の保存された資格情報データを漏洩する可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-003901", "vulnerabilityNameJvn": "IvantiのIvanti Endpoint Managerにおける代替パスまたはチャネルを使用した認証回避に関する脆弱性", "shortDescriptionJvn": "Ivanti Endpoint Manager 2024 SU5以前のバージョンには認証バイパスの脆弱性があり、リモートの未認証攻撃者が特定の保存された認証情報データを漏洩させる可能性があります。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2017-7921", "vendorProject": "Hikvision", "product": "Multiple Products", "vulnerabilityName": "Hikvision Multiple Products Improper Authentication Vulnerability", "dateAdded": "2026-03-05", "shortDescription": "Multiple Hikvision products contain an improper authentication vulnerability that could allow a malicious user to escalate privileges on the system and gain access to sensitive information.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://www.hikvision.com/us-en/support/document-center/special-notices/privilege-escalating-vulnerability-in-certain-hikvision-ip-cameras/ ; https://nvd.nist.gov/vuln/detail/CVE-2017-7921", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Hikvision の複数製品における不適切な認証の脆弱性", "shortDescriptionJa": "複数の Hikvision 製品には不適切な認証の脆弱性があり、悪意のあるユーザーがシステム上で権限を昇格し、機密情報にアクセスできるようになる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2017-003961", "vulnerabilityNameJvn": "複数の Hikvision 製品における認証に関する脆弱性", "shortDescriptionJvn": "複数の Hikvision 製品には、認証に関する脆弱性が存在します。", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2021-22681", "vendorProject": "Rockwell", "product": "Multiple Products", "vulnerabilityName": "Rockwell Multiple Products Insufficient Protected Credentials Vulnerability", "dateAdded": "2026-03-05", "shortDescription": "Multiple Rockwell products contain an insufficient protected credentials vulnerability. Studio 5000 Logix Designer software may allow a key to be discovered. This key is used to verify Logix controllers are communicating with Rockwell Automation design software. If successfully exploited, this vulnerability could allow an unauthorized application to connect with Logix controllers. To leverage this vulnerability, an unauthorized user would require network access to the controller.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.rockwellautomation.com/app/answers/answer_view/a_id/1130301/~/cve-2021-22681%3A-authentication-bypass-vulnerability-found-in-logix-controllers- ; https://www.cisa.gov/news-events/ics-advisories/icsa-21-056-03 ; https://nvd.nist.gov/vuln/detail/CVE-2021-22681", "cwes": [ "CWE-522" ], "vulnerabilityNameJa": "ロックウェルの複数の製品における不十分な保護された資格情報の脆弱性", "shortDescriptionJa": "複数のRockwell製品に、認証情報が適切に保護されていない脆弱性が存在します。Studio 5000 Logix Designerソフトウェアにより、キーが盗み出される可能性があります。このキーは、LogixコントローラがRockwell Automation設計ソフトウェアと通信していることを確認するために使用されます。この脆弱性が悪用されると、不正なアプリケーションがLogixコントローラに接続できるようになる可能性があります。この脆弱性を悪用するには、不正なユーザーがコントローラへのネットワークアクセスが必要となります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2021-001119", "vulnerabilityNameJvn": "複数の Rockwell Automation Logix コントローラ製品に認証情報の不十分な保護の脆弱性", "shortDescriptionJvn": "複数の Rockwell Automation Logix コントローラ製品には認証情報の不十分な保護の脆弱性が存在します。 Rockwell Automation 社が提供する Studio 5000 Logix Designer には認証情報の不十分な保護により認証メカニズムをバイパスできる脆弱性 (CWE-522) が存在します。", "impactJvn": "認証されていない遠隔の第三者によって、認証メカニズムをバイパスして Logix コントローラに接続されたり、許可されていないサードパーティー製ツールを利用して Logix コントローラの構成やアプリケーションコードを変更されたりする可能性があります。", "requiredActionJvn": "[ワークアラウンドを実施する] 本脆弱性を修正するパッチは提供されません。 Rockwell Automation 社によると、製品個別の回避策を適用することで、本脆弱性の影響を軽減することが可能とのことです。 また同社はセキュリティガイドラインに沿った一般的な対策をあわせて、適用することを推奨しています。 共通 　　詳細はRockwell Automation 社が提供する Rockwell Automation’s System Security Design Guidelines などを参照してください。 　* すべてのコントロールデバイスやシステムのネットワークへの接続を最小限に抑え、インターネットからアクセスできないようにする 　* コントロールシステムネットワークとデバイスをファイアウォールで防御し、業務用ネットワークから分離する 　* 44818/TCP ポートへの外部からのアクセスを制限、もしくはブロックする 　　* Rockwell Automation 製品が使用する TCP/UDP ポートについては、BF7490 (要ログイン) を参照してください 　* リモートアクセスが必要な場合は、仮想プライベートネットワーク (VPN) を使用する ControlLogix 5580 v32 およびそれ以降 　* コントローラのモードスイッチを Run に設定する。 　* Run に設定できない場合、開発者は次のワークアラウンドを推奨しています。 　　　* フロントポートを介して Logix Designer 接続用の CIP Security を適用する。 　　　* フロントポートを利用しない場合は 1756-EN4TR ControlLogix Ethernet/IP Module を使用して CIP Security を適用する。 ControlLogix 5580 v31 　* コントローラのモードスイッチを Run に設定する。 　* Run に設定できない場合、開発者は次のワークアラウンドを推奨しています。 　　　* v32 以降にアップデートし v32 のワークアラウンドを適用する。 　　　* v32 以降にアップデートできない場合、1756-EN4TR Controll Logix Ethernet/IP Module を使用して CIP Security を適用する。 ControlLogix 5570 v31 およびそれ以降 　* コントローラのモードスイッチを Run に設定する。 　* Run に設定できない場合、開発者は次のワークアラウンドを推奨しています。 　　　* 1756-EN4TR Controll Logix Ethernet/IP Module を使用して CIP Security を適用する。 ControlLogix 5580 v28-v30、ControlLogix 5570 v18 およびそれ以降、ControlLogix 5560 v16 およびそれ以降、ControlLogix 5550 v16、GuardLogix 5580 v31 およびそれ以降、GuardLogix 5570 v20 およびそれ以降、GuardLogix 5560 v16 およびそれ以降, 1768 CompactLogix v16 およびそれ以降、1769 CompactLogix v16 およびそれ以降、CompactLogix 5370 v20 およびそれ以降、CompactLogix 5380 v28 およびそれ以降、CompactLogix 5480 v32 およびそれ以降、Compact GuardLogix 5370 v28 およびそれ以降、Compact GuardLogix 5380 v31 およびそれ以降、FlexLogix 1794-L34 v16、DriveLogix 5370 v16 およびそれ以降 　* コントローラのモードスイッチを Run に設定する。 SoftLogix 5800 　* 緩和策は提供されていません。一般的な多層防御戦略については Converged Plantwide Ethernet (CPwE) Design and Implementation Guide を参照してください。" }, { "cveID": "CVE-2023-43000", "vendorProject": "Apple", "product": "Multiple Products", "vulnerabilityName": "Apple Multiple products Use-After-Free Vulnerability", "dateAdded": "2026-03-05", "shortDescription": "Apple macOS, iOS, iPadOS, and Safari 16.6 contain a use-after-free vulnerability due to the processing of maliciously crafted web content that may lead to memory corruption.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/120324 ; https://support.apple.com/en-us/120331 ; https://support.apple.com/en-us/120338 ; https://nvd.nist.gov/vuln/detail/CVE-2023-43000", "cwes": [ "CWE-416" ], "vulnerabilityNameJa": "Apple 複数製品におけるメモリ使用後の脆弱性", "shortDescriptionJa": "Apple macOS、iOS、iPadOS、Safari 16.6 には、悪意を持って作成された Web コンテンツの処理に起因するメモリ破損につながる可能性のある、解放後使用の脆弱性が含まれています。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2023-029913", "vulnerabilityNameJvn": "複数のアップル製品における解放済みメモリの使用に関する脆弱性", "shortDescriptionJvn": "Safari、iPadOS、iOS 等複数のアップル製品には、解放済みメモリの使用に関する脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2021-30952", "vendorProject": "Apple", "product": "Multiple Products", "vulnerabilityName": "Apple Multiple Products Integer Overflow or Wraparound Vulnerability", "dateAdded": "2026-03-05", "shortDescription": "Apple tvOS, macOS, Safari, iPadOS and watchOS contain an integer overflow or wraparound vulnerability due to the processing of maliciously crafted web content that may lead to arbitrary code execution.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/HT212975 ; https://support.apple.com/en-us/HT212976 ; https://support.apple.com/en-us/HT212978 ; https://support.apple.com/en-us/HT212980 ; https://support.apple.com/en-us/HT212982 ; https://nvd.nist.gov/vuln/detail/CVE-2021-30952", "cwes": [ "CWE-190" ], "vulnerabilityNameJa": "Apple の複数の製品における整数オーバーフローまたはラップアラウンドの脆弱性", "shortDescriptionJa": "Apple tvOS、macOS、Safari、iPadOS、watchOS には、悪意を持って作成された Web コンテンツの処理に起因する整数オーバーフローまたはラップアラウンドの脆弱性があり、任意のコードの実行につながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2021-021204", "vulnerabilityNameJvn": "アップルの Safari 等複数ベンダの製品における整数オーバーフローの脆弱性", "shortDescriptionJvn": "アップルの Safari 等複数ベンダの製品には、整数オーバーフローの脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2023-41974", "vendorProject": "Apple", "product": "iOS and iPadOS", "vulnerabilityName": "Apple iOS and iPadOS Use-After-Free Vulnerability", "dateAdded": "2026-03-05", "shortDescription": "Apple iOS and iPadOS contain a use-after-free vulnerability. An app may be able to execute arbitrary code with kernel privileges.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-26", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.apple.com/en-us/HT213938 ; https://support.apple.com/kb/HT213938 ; https://nvd.nist.gov/vuln/detail/CVE-2023-41974", "cwes": [ "CWE-416" ], "vulnerabilityNameJa": "Apple iOS および iPadOS のメモリ使用後の脆弱性", "shortDescriptionJa": "Apple iOSおよびiPadOSには、メモリ使用後の解放（use-after-free）の脆弱性が存在します。アプリがカーネル権限で任意のコードを実行できる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2023-024909", "vulnerabilityNameJvn": "アップルの iPadOS および iOS における解放済みメモリの使用に関する脆弱性", "shortDescriptionJvn": "アップルの iPadOS および iOS には、解放済みメモリの使用に関する脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。" }, { "cveID": "CVE-2026-22719", "vendorProject": "Broadcom", "product": "VMware Aria Operations", "vulnerabilityName": "Broadcom VMware Aria Operations Command Injection Vulnerability", "dateAdded": "2026-03-03", "shortDescription": "Broadcom VMware Aria Operations formerly known as vRealize Operations (vROps) contains a command injection vulnerability that allows an unauthenticated attacker to execute arbitrary commands, potentially leading to remote code execution during support‑assisted product migration.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-24", "knownRansomwareCampaignUse": "Unknown", "notes": "https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947 ; https://knowledge.broadcom.com/external/article/430349 ; https://nvd.nist.gov/vuln/detail/CVE-2026-22719", "cwes": [ "CWE-77" ], "vulnerabilityNameJa": "Broadcom VMware Aria Operations のコマンドインジェクション脆弱性", "shortDescriptionJa": "以前は vRealize Operations (vROps) と呼ばれていた Broadcom VMware Aria Operations には、認証されていない攻撃者が任意のコマンドを実行できるコマンド インジェクションの脆弱性があり、サポート支援による製品移行中にリモート コード実行につながる可能性があります。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-006113", "vulnerabilityNameJvn": "VMwareのVMware Aria Operations等の複数製品におけるコマンドインジェクションの脆弱性", "shortDescriptionJvn": "VMware Aria Operationsにはコマンドインジェクションの脆弱性が存在します。悪意のある認証されていない攻撃者がこの問題を悪用すると、任意のコマンドを実行でき、サポート支援製品のマイグレーションが進行中にVMware Aria Operationsでリモートコード実行を引き起こす可能性があります。VMSA-2026-0001の「Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947 」の「Fixed Version」欄に記載されているパッチを適用してください。回避策は同じく「Workarounds」欄に記載されています。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-21385", "vendorProject": "Qualcomm", "product": "Multiple Chipsets", "vulnerabilityName": "Qualcomm Multiple Chipsets Memory Corruption Vulnerability", "dateAdded": "2026-03-03", "shortDescription": "Multiple Qualcomm chipsets contain a memory corruption vulnerability while using alignments for memory allocation. ", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-24", "knownRansomwareCampaignUse": "Unknown", "notes": "Please check with specific vendors (OEMs,) for information on patching status. For more information, please see: https://source.android.com/docs/security/bulletin/2026/2026-03-01 ; https://nvd.nist.gov/vuln/detail/CVE-2026-21385", "cwes": [ "CWE-190" ], "vulnerabilityNameJa": "Qualcomm の複数のチップセットにおけるメモリ破損の脆弱性", "shortDescriptionJa": "複数の Qualcomm チップセットには、メモリ割り当てにアライメントを使用する際にメモリ破損の脆弱性が含まれています。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-006215", "vulnerabilityNameJvn": "クアルコムの5g Fixed Wireless Access Platform Firmware等の複数製品における整数オーバーフローの脆弱性", "shortDescriptionJvn": "メモリ割り当ての際にアライメントを使用すると、メモリが破損する問題です。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2022-20775", "vendorProject": "Cisco", "product": "SD-WAN", "vulnerabilityName": "Cisco SD-WAN Path Traversal Vulnerability", "dateAdded": "2026-02-25", "shortDescription": "Cisco SD-WAN CLI contains a path traversal vulnerability that could allow an authenticated local attacker to gain elevated privileges via improper access controls on commands within the application CLI. A successful exploit could allow the attacker to execute arbitrary commands as the root user.", "requiredAction": "Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.", "dueDate": "2026-02-27", "knownRansomwareCampaignUse": "Unknown", "notes": "CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-sd-wan-priv-E6e8tEdF.html ; https://nvd.nist.gov/vuln/detail/CVE-2022-20775", "cwes": [ "CWE-25", "CWE-282" ], "vulnerabilityNameJa": "Cisco SD-WAN パストラバーサルの脆弱性", "shortDescriptionJa": "Cisco SD-WAN CLIにはパストラバーサルの脆弱性があり、認証されたローカル攻撃者がアプリケーションCLI内のコマンドに対する不適切なアクセス制御を介して昇格権限を取得できる可能性があります。この脆弱性を悪用すると、攻撃者はルートユーザーとして任意のコマンドを実行できる可能性があります。", "requiredActionJa": "CISAの緊急指令26-03（URLは下記注記に記載）およびCISAの「Cisco SD-WANデバイスのハント＆ハードニングガイダンス」（URLは下記注記に記載）に記載されている、Cisco SD-WANデバイスに関連するリスクを評価し、軽減するためのCISAガイドラインを遵守してください。クラウドサービスについては、該当するBOD 22-01ガイダンスを遵守するか、軽減策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2022-018187", "vulnerabilityNameJvn": "複数のシスコシステムズ製品におけるパストラバーサルの脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN Manager、Cisco SD-WAN vBond Orchestrator、Cisco SD-WAN vSmart Controller 等複数のシスコシステムズ製品には、パストラバーサルの脆弱性が存在します。 ", "impactJvn": "情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 ", "requiredActionJvn": "ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-20127", "vendorProject": "Cisco", "product": "Catalyst SD-WAN Controller and Manager", "vulnerabilityName": "Cisco Catalyst SD-WAN Controller and Manager Authentication Bypass Vulnerability", "dateAdded": "2026-02-25", "shortDescription": "Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, and Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, contain an authentication bypass vulnerability could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to an affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric.", "requiredAction": "Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.", "dueDate": "2026-02-27", "knownRansomwareCampaignUse": "Unknown", "notes": "CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20127", "cwes": [ "CWE-287" ], "vulnerabilityNameJa": "Cisco Catalyst SD-WAN コントローラおよびマネージャの認証バイパスの脆弱性", "shortDescriptionJa": "Cisco Catalyst SD-WAN コントローラ（旧称 SD-WAN vSmart）および Cisco Catalyst SD-WAN マネージャ（旧称 SD-WAN vManage）には、認証バイパスの脆弱性が存在し、認証されていないリモート攻撃者が認証をバイパスし、影響を受けるシステムの管理者権限を取得できる可能性があります。この脆弱性は、影響を受けるシステムのピアリング認証メカニズムが正常に機能していないために発生します。攻撃者は、影響を受けるシステムに細工されたリクエストを送信することで、この脆弱性を悪用する可能性があります。この脆弱性の悪用に成功すると、攻撃者は影響を受ける Cisco Catalyst SD-WAN コントローラに、内部の高権限を持つ非ルートユーザアカウントとしてログインできる可能性があります。このアカウントを使用して、攻撃者は NETCONF にアクセスし、SD-WAN ファブリックのネットワーク設定を操作できるようになります。", "requiredActionJa": "CISAの緊急指令26-03（URLは下記注記に記載）およびCISAの「Cisco SD-WANデバイスのハント＆ハードニングガイダンス」（URLは下記注記に記載）に記載されている、Cisco SD-WANデバイスに関連するリスクを評価し、軽減するためのCISAガイドラインを遵守してください。クラウドサービスについては、該当するBOD 22-01ガイダンスを遵守するか、軽減策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-005651", "vulnerabilityNameJvn": "シスコシステムズのCisco Catalyst SD-WAN Manager等の複数製品における認証に関する脆弱性", "shortDescriptionJvn": "Cisco Catalyst SD-WAN Controller（旧称SD-WAN vSmart）およびCisco Catalyst SD-WAN Manager（旧称SD-WAN vManage）におけるピアリング認証に脆弱性が存在し、認証されていないリモートの攻撃者が認証を回避して影響を受けるシステム上で管理者権限を取得する可能性があります。この脆弱性は、影響を受けるシステムのピアリング認証メカニズムが正常に機能していないことに起因します。攻撃者は細工されたリクエストを影響を受けるシステムに送信することで、この脆弱性を悪用できます。攻撃に成功すると、攻撃者は影響を受けるCisco Catalyst SD-WAN Controllerに内部の高権限非rootユーザーアカウントとしてログイン可能になります。このアカウントを使用することで、攻撃者はNETCONFにアクセスし、SD-WANファブリックのネットワーク構成を操作できます。 ", "impactJvn": "当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 ", "requiredActionJvn": "正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 " }, { "cveID": "CVE-2026-25108", "vendorProject": "Soliton Systems K.K", "product": "FileZen", "vulnerabilityName": "Soliton Systems K.K FileZen OS Command Injection Vulnerability", "dateAdded": "2026-02-24", "shortDescription": "Soliton Systems K.K FileZen contains an OS command injection vulnerability when an user logs-in to the affected product and sends a specially crafted HTTP request.", "requiredAction": "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.", "dueDate": "2026-03-17", "knownRansomwareCampaignUse": "Unknown", "notes": "https://jvn.jp/en/jp/JVN84622767/ ; https://nvd.nist.gov/vuln/detail/CVE-2026-25108", "cwes": [ "CWE-78" ], "vulnerabilityNameJa": "ソリトンシステムズ株式会社 FileZen OS コマンドインジェクション脆弱性", "shortDescriptionJa": "ソリトンシステムズ株式会社のFileZenには、ユーザーが該当製品にログインし、細工されたHTTPリクエストを送信した場合にOSコマンドインジェクションの脆弱性が存在します。", "requiredActionJa": "ベンダーの指示に従って緩和策を適用するか、クラウド サービスに適用される BOD 22-01 ガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止してください。", "jvnVulnId": "JVNDB-2026-000023", "vulnerabilityNameJvn": "FileZenにおけるOSコマンドインジェクションの脆弱性", "shortDescriptionJvn": "株式会社ソリトンシステムズが提供するFileZenには、次の脆弱性が存在します。 FileZenウイルスチェックオプションが有効な場合、本脆弱性の影響を受けます。 開発者によると、本脆弱性を悪用した攻撃が既に確認されています。 この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。", "impactJvn": "当該製品にログインしているユーザによって細工したHTTPリクエストを送信された場合、任意のOSコマンドを実行される可能性があります。", "requiredActionJvn": "[アップデートする] 開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。 開発者は、本脆弱性を修正した次のファームウェアをリリースしています。