CVE-2026-112816

こないだのLinuxカーネル（TCPのUAF）の件とは違って「全員関係ある」わけではないけど、対象のインフラを組んでいる人にとっては背筋が凍るCVSS 10.0（満点）の脆弱性が出た。 UbuntuのCanonical社が開発するコンテナ・仮想マシン基盤「LXD」の脆弱性（CVE-2026-112816）。 何が起きているかというと、管理API（HTTPS）におけるTLSクライアント証明書の検証ロジックに致命的な穴があったらしい。 このせいで、本来は正規のクライアント証明書を厳密に照合してアクセスを許可すべきところ、攻撃者が細工した証明書チェーンを投げつけるだけで「信頼されたクライアント」として認証をすり抜けられてしまう。 パスワードも秘密鍵も不要で、公開証明書の情報を悪用されるだけで、配下の仮想マシンはもちろんホストサーバー自体のroot権限まで丸ごと掌握されかねない。 ⚫︎無関係な人: 普通のUbuntuデスクトップ、WSL2、Docker単体での開発環境など。LXDを動かしていなければ影響なし。 ⚫︎即対応が必要な人: 研究用サーバーや社内インフラなどでLXD（またはMicroCloud）を運用し、管理ポートをネットワーク公開している環境。 対応策 各LTS向けに修正版（4.0.15 / 5.0.11 / 5.21.9 / 6.10.1）がすでにリリースされている。Snapで導入している環境であれば、以下のコマンドで即座に更新が可能だ。 ⁠sudo snap refresh lxd⁠ 自前で仮想化基盤を運用している方は、APIポートの露出確認とあわせて早めのパッチ適用をおすすめします。 詳細・一次情報はこちら👇 https://cve.now/CVE-2026-112816

🔴 Canonical LXD: client impersonation via certificate flaw in HTTPS listener (CVE-2026-112816) An unauthenticated attacker can impersonate a trusted client to take full control of the cluster and its VMs. Patch → 4.0.15, 5.0.11 and more https://cve.now/CVE-2026-112816?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

Ubuntu LXD 爆出满分 10.0 高危漏洞，无需密码即可接管虚拟机｜CVE-2026-112816 https://www.appinn.com/cve-2026-112816/ https://t.co/ggUF3GARP1

【10/31 夕方】CVE・脆弱性ニュースまとめ ■国内 ① コルネ「Welcart e-Commerce（WordPress向けネットショップ用プラグイン）」：ログイン不要の保存型XSSと、会員アカウント乗っ取りにつながる欠陥（CVE-2026-118070 CVSS v3.1 7.2、CVE-2026-119166 CVSS v3.1 5.3） 国内のネットショップで広く使われているWordPressプラグインWelcartについて、31日にhttp://cve.orgへ2件の脆弱性が登録されました。CVE-2026-118070は、決済サービス（ROBOT PAYMENT）から戻ってくる通信を偽装して注文データに不正なスクリプトを仕込めるもので、管理者が管理画面でその注文を開いたときにスクリプトが動きます。CVE-2026-119166は、会員IDの番号を指定するだけで、ログインなしで既存の会員のメールアドレスとパスワードを書き換え、その会員になりすませるおそれがあるものです。影響はどちらも2.12.5以前で、10月23日公開の2.12.6で複数のセキュリティ修正が入っています。31日夕方の時点で、悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118070 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-119166 出典：http://WordPress.org（Welcart） https://wordpress.org/plugins/usc-e-shop/ ■海外 ② WordPress「WordPress本体」：本体の更新中に、ログイン不要で任意のコードを実行されうる競合状態の脆弱性（CVE-2026-119977、CVSS v3.1 8.1） WordPress本体を「完全パッケージ」で更新する数秒間、新しいファイルがWebから見える決まった場所（wp-content/upgrade/）に展開されるため、攻撃者がそのタイミングでインストーラーを呼び出すと、サーバー上でコードを実行されるおそれがあります。自動のバックグラウンド更新も対象です。影響は4.7〜7.1.3で、10月28日公開の7.1.4で修正され、4.7系まで各系列に修正が戻されています。28日時点ではCVE番号がありませんでしたが、31日にCVE-2026-119977として登録されました。Wordfenceによると、攻撃者はすでにこの経路を狙った試行を始めていて、最初の21時間で1万8500件超のリクエストを観測していますが、乗っ取りの確認は報告されておらず、KEVにも入っていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-119977 出典：WordPress https://wordpress.org/documentation/wordpress-version/version-7-1-4/ 出典：WordPress（GitHub） https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg 出典：SecurityWeek https://www.securityweek.com/fresh-wordpress-vulnerability-in-attackers-crosshairs/ ③ Canonical「LXD／MicroCloud（コンテナ・仮想マシン管理）」：他人の公開証明書だけで認証を突破し、クラスター全体を操作されうる脆弱性（CVE-2026-112816、CVSS v4.0 10.0） Ubuntuの開発元CanonicalのLXDで、相互TLS認証の際に、クライアントが送った証明書チェーンのうち鍵の所有を証明しない中間証明書まで信頼済みの一覧と照合していました。このため、LXDのHTTPS APIに届く攻撃者が、信頼済みユーザーの公開証明書を中間証明書として紛れ込ませると、そのユーザーとして認証され、権限によってはホストのroot権限まで得られるおそれがあります。影響はLXD 4.0.14、5.0.10、5.21.8、6.9以降の各系列で、修正版は4.0.15、5.0.11、5.21.9、6.10.1（MicroCloudは2.1.5と3.4.1）です。米CISAの評価では悪用は「なし」で、KEVにも入っていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-112816 出典：Canonical https://discourse.ubuntu.com/t/security-advisory-critical-vulnerability-found-in-canonical-lxd-and-microcloud/90557 出典：Canonical（GitHub） https://github.com/canonical/lxd/security/advisories/GHSA-99jp-jwmc-65p4 ④ JetBrains「IntelliJ IDEAなどのIDE、Toolbox App」：認証局eMudhraの中間証明書の秘密鍵流出で、通信の相手になりすまされるおそれ（CVE-2026-118697、CVSS v3.1 9.0） インドの認証局eMudhraの中間証明書8枚の秘密鍵が流出し、通信を傍受できる攻撃者が、JetBrains製品の接続先のWebサイトやサービスになりすませる状態になっています。JetBrainsのIDEは同梱のJava実行環境（JBR）の証明書一覧を使うため、OSを更新しても守られません。CVE-2026-118697は、Toolbox AppとIDEが使う常駐サービスjetbrainsdが流出した証明書を信頼してしまう問題で、Toolbox App 3.9.1／3.8.2、jetbrainsd 0.9.9728で修正されました。IntelliJ IDEA 2026.2.4、PyCharm、PhpStorm、WebStorm、Riderなど各製品にも修正版が出ていますが、2025.1以前とToolbox App 3.7以前には修正が出ません。JetBrainsは、公表時点で悪用は確認していないとしています。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118697 出典：JetBrains https://blog.jetbrains.com/security/2026/10/compromised-emudhra-certificates-ides/ ⑤ weDevs「Project Manager（WordPress向けプロジェクト管理プラグイン）」：ログイン不要で任意のコードを実行できる脆弱性（CVE-2026-116512、CVSS v3.1 9.8） タスク管理やカンバンを提供するWordPressプラグインProject Managerで、REST APIに渡す「id」の値が入力チェックの処理にそのまま組み込まれ、PHPの関数として呼び出されてしまう脆弱性です。WordPress本体が権限チェックより先にこの入力チェックを実行するため、ログインしていない攻撃者でもサーバー上でコードを実行できるおそれがあります。影響は4.1.1以前で、10月29日公開の4.1.2で修正されています。31日夕方の時点で、悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-116512 出典：http://WordPress.org（Project Manager） https://wordpress.org/plugins/wedevs-project-manager/ ■注意点 ・WordPress本体（②）は、7.1.4への更新そのものも古い更新処理で展開されます。可能ならWebサーバー側で /wp-content/upgrade/ への外部アクセスを先に遮断してから更新し、更新後はダッシュボードで実際のバージョンを確認してください。 ・JetBrains製品（④）は、OSの証明書更新では対策になりません。IDEとToolbox Appをそれぞれ修正版にし、古いIDEを使い続ける場合はToolbox Appだけでも更新してjetbrainsdを0.9.9728以降にしてください。 ・米CISAのKEVは31日夕方の時点で30日以降の追加がありません。GitLab（CVE-2026-97229）とCisco ASA／FTD（CVE-2026-76418）は11月1日、Ivanti Connect Secure（CVE-2026-111357）は11月2日（いずれも米国時間）が対応期限です。 #脆弱性 #CVE #サイバーセキュリティ

CVE 10.0: CVE-2026-112816, no emudhra required https://www.cve.org/CVERecord?id=CVE-2026-112816 (https://news.ycombinator.com/item?id=50310937)