タグ: JPCERTコーディネーションセンター（JPCERT/CC）

• テクノロジー2026年11月3日 20:12

  PHPの深刻な欠陥「PHP2shell」　IPA、VPN機器など組み込み製品も更新を

  情報処理推進機構（IPA）は11月2日、ウェブで広く使われるプログラミング言語PHPの深刻な欠陥「PHP2shell」の注意喚起を更新し、VPN機器などに組み込まれたPHPも製品開発者の更新を適用するよう求めた。欠陥は認証なしで外部から任意のコードを実行されるおそれがあり、米当局は悪用を確認している。修正版は8.5.12など4つの版で、8.1以前には提供されない。

• テクノロジー2026年11月3日 15:13

  国産WAF「SiteGuard」に悪用確認の欠陥　サーバーを最高権限で操られるおそれ

  EGセキュアソリューションズ（東京・港）のウェブ防御ソフト「SiteGuard Server Edition」に、サーバー上で最高権限の任意のOSコマンドを実行されるおそれのある欠陥（CVE-2026-106931）が見つかった。同社は10月14日に公表し、悪用を確認していると説明した。JPCERT/CCも同日に注意喚起を出し、米CISAは20日、悪用が確認された脆弱性の目録に加えた。初期設定で有効な統計機能が原因で、修正版はVer8.00 Update5などとなる。

• テクノロジー2026年10月31日 16:03

  圧縮ソフト「Brotli」に深刻な欠陥　米政府が悪用を確認、Node.jsなどに影響

  米グーグルが開発するデータ圧縮ソフト「Brotli」のC言語版に、細工した圧縮データを展開させると任意のプログラムを実行されるおそれのある欠陥が見つかった。グーグルは10月21日に修正版を公開し、JPCERT/CCは26日に注意喚起を出した。米CISAは27日、悪用が確認された脆弱性の目録に加えた。Node.jsやPython向けの部品も影響を受ける。

• テクノロジー2026年10月30日 7:30

  ソフト製品の脆弱性届出、7〜9月は179件　前年同期の1.4倍　IPA集計

  情報処理推進機構（IPA）は10月22日、JPCERTコーディネーションセンター（JPCERT/CC）と取りまとめた2026年7〜9月の脆弱性関連情報の届出状況を公表した。届出は240件で、ソフトウェア製品が179件と、前年同期の126件の約1.4倍だった。ウェブサイトは61件。通知から90日以上たっても修正の報告が無いウェブサイトの届出は1067件で、取扱い中の半数にあたる。

• テクノロジー2026年10月29日 19:31

  ヤマハの無線LANルーター「NWR100」に深刻な欠陥　深刻度9.8、VPNソフトなど計3製品

  脆弱性対策情報ポータルJVNは10月28日、ヤマハのネットワーク製品3つの脆弱性を公表した。小規模オフィス向け無線LANルーターNWR100は、特定のリクエストで任意のOSコマンドを実行されるおそれがあり、深刻度は10点満点の9.8。対策版のRev.26.00.08が出ている。VPNソフトYMS-VPN8と監視ソフトLAN Monitorのインストーラにも欠陥があった。

• テクノロジー2026年10月29日 15:31

  ウェブメール「Roundcube」に欠陥20件　更新版1.6.20と1.7.5を公開

  オープンソースのウェブメールソフト「Roundcube Webmail」の開発元は10月19日、20件のセキュリティ上の欠陥を修正した更新版1.6.20と1.7.5を公開した。メールサーバーへの不正な命令の挿入やメールヘッダーの改ざん、外部画像の読み込み防止機能のすり抜けなどを直した。開発元は1.6系と1.7系を使うすべての環境に更新を強く勧めている。JPCERT/CCも10月28日の週報で取り上げた。

• テクノロジー2026年10月29日 2:31

  社内wiki「GROWI」に欠陥3件　閲覧権限のないページを読まれるおそれ　v8.0.7で修正

  脆弱性対策情報ポータルJVNは10月27日、オープンソースのwikiソフト「GROWI」に3件の脆弱性があると公表した。ログインできる利用者が閲覧権限のないページの本文やコメントを取得したり、閲覧のみの利用者が下書きを書き換えたりできるおそれがある。対象はv8.0.6以前で、開発元の株式会社GROWIはv8.0.7への更新を求めている。3件のうち2件には回避策が無い。

• テクノロジー2026年10月28日 14:34

  サイト改ざんの報告、7〜9月は603件で前期の3倍超　JPCERT/CC四半期報告

  JPCERTコーディネーションセンター（JPCERT/CC）は10月22日、7〜9月の活動四半期レポートを公表した。寄せられたインシデント報告は1万2932件で前期より8％減った一方、ウェブサイト改ざんは603件と前期の181件から3倍超に増えた。国内の通販サイトにカード情報を盗むとみられる不正なコードが埋め込まれた事例もあった。

• テクノロジー2026年10月28日 7:30

  富士電機の操作盤画面ソフト「V-SFT」に欠陥7件　細工ファイルで任意コード実行のおそれ

  脆弱性対策情報ポータルJVNは10月26日、富士電機の作画ソフト「V-SFT」に7件の脆弱性があると公表した。細工されたV7形式ファイルを開くと、情報が漏れたり任意のコードを実行されたりするおそれがある。対象はver 6.2.11.0以前で、富士電機は修正を含む6.2.12.0を出した。同ソフトの欠陥の公表は4月に続き今年2回目で、報告者はいずれも同じ研究者。

• テクノロジー2026年10月26日 19:31

  ソフトバンクの緊急速報メール、10月26日夜に全面再開　PHPの欠陥対応で災害・避難情報は88時間停止

  ソフトバンクは、PHPの脆弱性への対応で10月23日午前6時47分から止めていた緊急速報メールについて、国・地方公共団体による災害・避難情報の配信を26日午後11時17分に再開した。緊急地震速報と津波警報は25日午前9時25分に再開済みで、ソフトバンク、ワイモバイル、LINEMOの利用者は全ての情報を受信できる状態に戻った。災害・避難情報が止まっていたのは約88時間半になる。