CVE-2026-109849

【脆弱性】Hinemosに不適切な権限の割り当て JVNが、NTTデータ先端技術のHinemosの不適切な権限の割り当ての脆弱性を公表。利用組織は、まずバージョンと有償版/OSS版の別の確認を。 ・CVE-2026-109849：管理者のパスワードを変更される恐れ ・有償版はパッチ、OSS版は最新インストーラで更新 https://t.co/DW48o8hhqs

【11/4 夕方】CVE・脆弱性ニュースまとめ ■国内 ① NTTデータ インテリリンク「Hinemos」：パスワード変更APIの権限の不備で、管理者のパスワードを変更されうる脆弱性（CVE-2026-109849、CVSS v4.0 7.1／v3.0 6.5） 統合運用管理ソフトウェアのHinemosについて、JVNが4日、権限の割り当ての不備を公表しました。管理者でない利用者にも割り当てられる特定の権限でパスワード変更APIにアクセスできる攻撃者が、管理者ユーザーのパスワードを変更できてしまうものです。対象はHinemos ver.7.2.0、7.1.0〜7.1.2、7.0.0〜7.0.4のほか、標準保守が終了した6.2.0〜6.2.2、6.1.0〜6.1.2、6.0.0〜6.0.3で、6.0以前の保守終了版も影響を受ける可能性があるとしています。対策は、有償版では開発元が提供するパッチの適用、OSS版では最新インストーラーによる更新で、保守終了版については開発元が示す回避策で影響を軽減できるとしています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109849 出典：JVN https://jvn.jp/en/jp/JVN46901199/index.html ■海外 ② Perforce「Puppet Enterprise」（続報）：Puppet Serverのコード実行の脆弱性で、攻撃コード（PoC）が公開される（CVE-2026-115731、CVSS v4.0 9.4） 4日朝に取り上げた、Puppet Serverのレポート処理の脆弱性について、OpenVoxプロジェクトのGitHubアドバイザリに、細工したレポートでサーバー上のシェルコマンドを実行するサンプルが含まれていると、SecurityOnlineが4日に報道しました。署名済みのエージェント証明書を持つ攻撃者が、細工したレポートを送ることでPuppet Server上で任意のコードを実行できてしまう問題で、証明書の発行を十分な確認なしに自動承認している環境では、ログインしていない攻撃者でも証明書を手に入れられるおそれがあります。対象は2023.8.13未満、2025.8〜2025.12.1未満、2026.0.1未満で、修正版はそれぞれ2023.8.13、2025.12.1、2026.0.1です。現時点で実際の悪用の報告は確認できていませんが、攻撃コードが出回ったことで悪用のハードルは下がったとみられるため、未更新の場合は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115731 出典：Perforce https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution 出典：SecurityOnline https://securityonline.info/puppet-server-rce-cve-2026-115731-poc/ ③ s2Member「s2Member（WordPressの会員管理プラグイン）」：決済通知のパラメーター経由でサーバー上のコードを実行されうる脆弱性（CVE-2026-86596、CVSS v3.1 9.8） WordPressの会員管理プラグインs2Memberで、決済通知のitem_nameパラメーターの処理に不備があり、サーバー上で任意のコードを実行されうる脆弱性が公表されました。メールテンプレートに組み込まれる値の無害化が不十分で、PHPコードの開始部分が再構成されてしまうことが原因とされています。対象は260927以前で、修正版は261001です。攻撃コードの公開が11月3日に記録されています。ただし、CVEの記録内ではログイン不要とする見出しと、カスタムレベル以上のアカウントが必要とする説明が食い違っており、悪用の前提条件は確認できていません。悪用についても、悪用済みリストに載ったとする情報がある一方、実際の悪用は記録されていないとする情報もあり、確定できていません。いずれにしても深刻度が高いため、プラグインを使っている場合は261001への更新を優先してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-86596 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/bbe64cd3-c5ca-4867-90de-4784510a1126?source=cve ■注意点 ・米CISAのKEVには、3日のWordPress本体（CVE-2026-119977）以降、新しい追加は確認できていません。 ・Ciscoは11月4日（米国時間）にIdentity Services Engine、UCS Central、Unified Communications Managerのアドバイザリを公表予定と予告しています。日本時間の本夕方時点では詳細が確認できていないため、明日の回で確認します。 ・昼の回で取り上げたAirbyteの脆弱性は、JVNが「悪用が確認されています」と記載しています。未更新の場合は、Connector Builderへの通信制限と閲覧権限の見直しを優先してください。 #脆弱性 #CVE #サイバーセキュリティ