タグ: 脆弱性
- AI
グーグル、新AI「Gemini 4 Carbon」発表 脆弱性発見で88.2％、まずサイバー防御側に限定提供
米グーグルは10月28日、最上位の新AIモデル「Gemini 4 Carbon」を発表した。ソフトウェアの脆弱性の発見・悪用可能性の検証・修正の各ベンチマークで最高水準の成績を挙げたとし、まず一部のサイバー防御担当者に限って提供する。開発者や一般向けの公開は安全対策を詰めてからとし、時期は示していない。料金は導入期に入力100万トークン2ドル、出力10ドル。
- テクノロジー
圧縮ソフト「Brotli」に深刻な欠陥 米政府が悪用を確認、Node.jsなどに影響
米グーグルが開発するデータ圧縮ソフト「Brotli」のC言語版に、細工した圧縮データを展開させると任意のプログラムを実行されるおそれのある欠陥が見つかった。グーグルは10月21日に修正版を公開し、JPCERT/CCは26日に注意喚起を出した。米CISAは27日、悪用が確認された脆弱性の目録に加えた。Node.jsやPython向けの部品も影響を受ける。
- テクノロジー
ロボット掃除機「Eufy」2機種に欠陥 米CISAが修正版の番号を訂正
米サイバーセキュリティ・インフラ安全保障庁（CISA）は10月27日、ロボット掃除機「Eufy Omni C20」と「Omni X10 Pro」の脆弱性情報を更新した。9月の初版では両機種とも1.6.4以降へ更新するよう案内していたが、Omni C20は1.4.6以降、Omni X10 Proは3.1.36へと改めた。Omni C20の欠陥は3件で、深刻度は最大9.4。日本のJVNも28日に案内した。
- テクノロジー
車載通信ソフト「vsomeip」に欠陥 短い通信1つで最大約4GBのメモリーを確保させられる
脆弱性対策情報ポータルJVNは10月27日、車の電子制御ユニット間の通信などに使われるオープンソースソフト「vsomeip」に、過剰なメモリー割り当ての脆弱性があると公表した。初期設定のままだと、認証の無い相手が短い通信を1つ送るだけで最大約4GBのメモリーを確保させられ、サービスが止まるおそれがある。対象は3.7.3以前で、7月6日公開の3.7.4で修正済み。
- テクノロジー
スマホ用ブラウザ「Sleipnir Mobile」に欠陥 偽のアドレスバーを表示されるおそれ
脆弱性対策情報ポータルJVNは10月27日、フェンリル株式会社のAndroid向けブラウザ「Sleipnir Mobile for Android」に、偽のアドレスバーなどを表示される脆弱性があると公表した。細工されたウェブページを開くと、フィッシングの被害にあうおそれがある。対象は3.9.0より前の版で、同社は10月15日に修正版3.9.0を公開し、更新を求めている。
- テクノロジー
ソフト製品の脆弱性届出、7〜9月は179件 前年同期の1.4倍 IPA集計
情報処理推進機構（IPA）は10月22日、JPCERTコーディネーションセンター（JPCERT/CC）と取りまとめた2026年7〜9月の脆弱性関連情報の届出状況を公表した。届出は240件で、ソフトウェア製品が179件と、前年同期の126件の約1.4倍だった。ウェブサイトは61件。通知から90日以上たっても修正の報告が無いウェブサイトの届出は1067件で、取扱い中の半数にあたる。
- テクノロジー
ヤマハの無線LANルーター「NWR100」に深刻な欠陥 深刻度9.8、VPNソフトなど計3製品
脆弱性対策情報ポータルJVNは10月28日、ヤマハのネットワーク製品3つの脆弱性を公表した。小規模オフィス向け無線LANルーターNWR100は、特定のリクエストで任意のOSコマンドを実行されるおそれがあり、深刻度は10点満点の9.8。対策版のRev.26.00.08が出ている。VPNソフトYMS-VPN8と監視ソフトLAN Monitorのインストーラにも欠陥があった。
- テクノロジー
ウェブメール「Roundcube」に欠陥20件 更新版1.6.20と1.7.5を公開
オープンソースのウェブメールソフト「Roundcube Webmail」の開発元は10月19日、20件のセキュリティ上の欠陥を修正した更新版1.6.20と1.7.5を公開した。メールサーバーへの不正な命令の挿入やメールヘッダーの改ざん、外部画像の読み込み防止機能のすり抜けなどを直した。開発元は1.6系と1.7系を使うすべての環境に更新を強く勧めている。JPCERT/CCも10月28日の週報で取り上げた。
- テクノロジー
社内wiki「GROWI」に欠陥3件 閲覧権限のないページを読まれるおそれ v8.0.7で修正
脆弱性対策情報ポータルJVNは10月27日、オープンソースのwikiソフト「GROWI」に3件の脆弱性があると公表した。ログインできる利用者が閲覧権限のないページの本文やコメントを取得したり、閲覧のみの利用者が下書きを書き換えたりできるおそれがある。対象はv8.0.6以前で、開発元の株式会社GROWIはv8.0.7への更新を求めている。3件のうち2件には回避策が無い。
- テクノロジー
サイト改ざんの報告、7〜9月は603件で前期の3倍超 JPCERT/CC四半期報告
JPCERTコーディネーションセンター（JPCERT/CC）は10月22日、7〜9月の活動四半期レポートを公表した。寄せられたインシデント報告は1万2932件で前期より8％減った一方、ウェブサイト改ざんは603件と前期の181件から3倍超に増えた。国内の通販サイトにカード情報を盗むとみられる不正なコードが埋め込まれた事例もあった。