タグ: CISA
- テクノロジー
Outlookの欠陥、すでに悪用 マイクロソフト11月更新 IPAが「緊急」で適用促す
情報処理推進機構（IPA）は11月11日、米マイクロソフトが同日（日本時間）公表した11月の月例セキュリティ更新について、区分「緊急」の注意喚起を出した。メールソフト「Outlook」の欠陥（CVE-2026-124194）を同社が悪用を確認済みとしており、IPAは「至急」更新を適用するよう求めた。細工したファイルを開くと、警告が出ないまま攻撃者の用意した接続先へ通信し、利用者の認証情報が漏れるおそれがある。今月の修正は同社の製品で1094件に上る。
- テクノロジー
国産WAF「SiteGuard」に悪用確認の欠陥 サーバーを最高権限で操られるおそれ
EGセキュアソリューションズ（東京・港）のウェブ防御ソフト「SiteGuard Server Edition」に、サーバー上で最高権限の任意のOSコマンドを実行されるおそれのある欠陥（CVE-2026-106931）が見つかった。同社は10月14日に公表し、悪用を確認していると説明した。JPCERT/CCも同日に注意喚起を出し、米CISAは20日、悪用が確認された脆弱性の目録に加えた。初期設定で有効な統計機能が原因で、修正版はVer8.00 Update5などとなる。
- テクノロジー
ロボット掃除機「Eufy」2機種に欠陥 米CISAが修正版の番号を訂正
米サイバーセキュリティ・インフラ安全保障庁（CISA）は10月27日、ロボット掃除機「Eufy Omni C20」と「Omni X10 Pro」の脆弱性情報を更新した。9月の初版では両機種とも1.6.4以降へ更新するよう案内していたが、Omni C20は1.4.6以降、Omni X10 Proは3.1.36へと改めた。Omni C20の欠陥は3件で、深刻度は最大9.4。日本のJVNも28日に案内した。
- テクノロジー
F5の通信制御機器に認証なしで遠隔操作される欠陥 すでに悪用 JPCERT/CC「国内で広く利用」 深刻度は10点満点の9.8
JPCERT/CCは9月24日、米F5のネットワーク機器「BIG-IP APM」に、認証を受けていない攻撃者が遠隔から任意のプログラムを実行できる欠陥（CVE-2026-94127）があるとして注意喚起を出した。F5は9月22日、この欠陥がすでに悪用されているとするアドバイザリを公表している。JPCERT/CCは「当該製品が国内で広く利用されていることを確認している」と記した。米国立標準技術研究所（NIST）の脆弱性データベースが付けた深刻度はCVSS v3.1で10点満点の9.8、v4.0で9.3といずれも最高区分の「Critical」。影響を受けるのは21.1.0、17.5.0〜17.5.1、17.1.0〜17.1.3の各版で、仮想サーバーにアクセスポリシーとOAuthプロファイルを設定し、OAuth認可サーバーとして構成している場合に限られる。米サイバーセキュリティ・インフラ安全保障庁（CISA）は公表当日の9月22日、悪用が確認された脆弱性の目録に登録し、連邦政府機関の対処期限を3日後の9月25日に設定した。
