CVE-2026-115731

🆕 New CVEs Perforce Puppet Enterprise 2023.8.13 fixes 2 critical CVEs Worst: remote code execution in report processing (CVE-2026-115731) Patch → 2023.8.13 https://cve.now/CVE-2026-115731?release=CVE-2026-115732&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

Puppet Server RCE CVE-2026-115731 (CVSS 9.4) now has a public proof-of-concept exploit. Update OpenVox and Puppet Enterprise to patched versions. #Puppet #OpenVox #CVE2026115731 #CVE2026115732 #RCE #PoC #DevOps #PatchNow https://securityonline.info/puppet-server-rce-cve-2026-115731-poc/

Patch Puppet Enterprise now: CVSS 9.4 RCE on Puppet Server CVE-2026-115731: any CA-signed agent cert can run code via a crafted report. With weak CA autosigning, an unauthenticated attacker can get one. Fixed in 2023.8.13, 2025.12.1, 2026.0.1; restart puppetserver. No exploitation stated. https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution #Puppet #CVE

🚨 It is possible to see elevated activities targeting Perforce Puppet Enterprise (CVE-2026-115731) vuldb.​com/vuln/430662/cti https://t.co/gXFffMPgKM

【11/4 夕方】CVE・脆弱性ニュースまとめ ■国内 ① NTTデータ インテリリンク「Hinemos」：パスワード変更APIの権限の不備で、管理者のパスワードを変更されうる脆弱性（CVE-2026-109849、CVSS v4.0 7.1／v3.0 6.5） 統合運用管理ソフトウェアのHinemosについて、JVNが4日、権限の割り当ての不備を公表しました。管理者でない利用者にも割り当てられる特定の権限でパスワード変更APIにアクセスできる攻撃者が、管理者ユーザーのパスワードを変更できてしまうものです。対象はHinemos ver.7.2.0、7.1.0〜7.1.2、7.0.0〜7.0.4のほか、標準保守が終了した6.2.0〜6.2.2、6.1.0〜6.1.2、6.0.0〜6.0.3で、6.0以前の保守終了版も影響を受ける可能性があるとしています。対策は、有償版では開発元が提供するパッチの適用、OSS版では最新インストーラーによる更新で、保守終了版については開発元が示す回避策で影響を軽減できるとしています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109849 出典：JVN https://jvn.jp/en/jp/JVN46901199/index.html ■海外 ② Perforce「Puppet Enterprise」（続報）：Puppet Serverのコード実行の脆弱性で、攻撃コード（PoC）が公開される（CVE-2026-115731、CVSS v4.0 9.4） 4日朝に取り上げた、Puppet Serverのレポート処理の脆弱性について、OpenVoxプロジェクトのGitHubアドバイザリに、細工したレポートでサーバー上のシェルコマンドを実行するサンプルが含まれていると、SecurityOnlineが4日に報道しました。署名済みのエージェント証明書を持つ攻撃者が、細工したレポートを送ることでPuppet Server上で任意のコードを実行できてしまう問題で、証明書の発行を十分な確認なしに自動承認している環境では、ログインしていない攻撃者でも証明書を手に入れられるおそれがあります。対象は2023.8.13未満、2025.8〜2025.12.1未満、2026.0.1未満で、修正版はそれぞれ2023.8.13、2025.12.1、2026.0.1です。現時点で実際の悪用の報告は確認できていませんが、攻撃コードが出回ったことで悪用のハードルは下がったとみられるため、未更新の場合は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115731 出典：Perforce https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution 出典：SecurityOnline https://securityonline.info/puppet-server-rce-cve-2026-115731-poc/ ③ s2Member「s2Member（WordPressの会員管理プラグイン）」：決済通知のパラメーター経由でサーバー上のコードを実行されうる脆弱性（CVE-2026-86596、CVSS v3.1 9.8） WordPressの会員管理プラグインs2Memberで、決済通知のitem_nameパラメーターの処理に不備があり、サーバー上で任意のコードを実行されうる脆弱性が公表されました。メールテンプレートに組み込まれる値の無害化が不十分で、PHPコードの開始部分が再構成されてしまうことが原因とされています。対象は260927以前で、修正版は261001です。攻撃コードの公開が11月3日に記録されています。ただし、CVEの記録内ではログイン不要とする見出しと、カスタムレベル以上のアカウントが必要とする説明が食い違っており、悪用の前提条件は確認できていません。悪用についても、悪用済みリストに載ったとする情報がある一方、実際の悪用は記録されていないとする情報もあり、確定できていません。いずれにしても深刻度が高いため、プラグインを使っている場合は261001への更新を優先してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-86596 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/bbe64cd3-c5ca-4867-90de-4784510a1126?source=cve ■注意点 ・米CISAのKEVには、3日のWordPress本体（CVE-2026-119977）以降、新しい追加は確認できていません。 ・Ciscoは11月4日（米国時間）にIdentity Services Engine、UCS Central、Unified Communications Managerのアドバイザリを公表予定と予告しています。日本時間の本夕方時点では詳細が確認できていないため、明日の回で確認します。 ・昼の回で取り上げたAirbyteの脆弱性は、JVNが「悪用が確認されています」と記載しています。未更新の場合は、Connector Builderへの通信制限と閲覧権限の見直しを優先してください。 #脆弱性 #CVE #サイバーセキュリティ

【11/4 朝】CVE・脆弱性ニュースまとめ ■国内 4日朝の時点で、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① WordPress「WordPress本体」（続報）：本体の更新中にログインなしでコードを実行されうる脆弱性を、米CISAが悪用確認済みとしてKEVに追加（CVE-2026-119977、CVSS v3.1 8.1） 10月31日に取り上げた、WordPress本体を「完全パッケージ」で更新する数秒間に、展開中のファイルを狙ってサーバー上でコードを実行されうる競合状態の脆弱性について、米CISAが3日（米国時間）に悪用確認済み脆弱性カタログ（KEV）へ追加しました。CVEの記録にもCISAによる「悪用あり（active）」の評価が付いており、米連邦機関には11月6日までの対応が求められています。CISAは具体的な被害の内容は明らかにしていません。影響は4.7〜7.1.3で、10月28日公開の7.1.4（4.7系まで各系列にも修正を提供）で修正されています。自動更新が止まっているサイトは、すぐにバージョンを確認して更新してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119977 出典：WordPress https://wordpress.org/news/2026/10/wordpress-7-1-4 出典：CISA KEV https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-119977 ② Google「Chrome」：Chrome 157の安定版で213件の脆弱性を修正、うち7件がCritical（CVE-2026-121156ほか、CVE記録のCVSS v3.1 9.6） Googleが3日（米国時間）、Chrome 157をWindows、Mac、Linux向けの安定版として公開し、213件のセキュリティ修正を含むと発表しました。Criticalと評価されたのは、Dawn（WebGPUの実装）のバッファオーバーフロー（CVE-2026-121156、CVE-2026-121247）、ANGLE（グラフィックス処理）のメモリ破損（CVE-2026-121229）、WebGL・Prerender・Geometry・Coreの解放後使用（CVE-2026-121246、CVE-2026-121035、CVE-2026-121203、CVE-2026-121126）の7件です。CVEの記録では、細工したWebページを開くだけで、サンドボックスの外でコードを実行されるおそれがあるものが含まれています。修正版はLinuxが157.0.8103.38、Windows・Macが157.0.8103.38/39で、今回の発表には実際の悪用に関する記載はありません。順次配信されるため、メニューの「Chromeについて」から更新と再起動を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121156 出典：Chrome Releases https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop.html ③ SolarWinds「Dameware（リモート操作・保守ツール）」：遠隔操作先の端末を乗っ取られうるコマンドインジェクション（CVE-2026-28336、CVSS v3.1 9.9） 社内PCのリモートサポートに使われるDamewareで、コマンドインジェクションの脆弱性が3日に公表されました。SolarWindsによると、悪用には認証が必要ですが、成功すると遠隔操作されている側の端末が乗っ取られるおそれがあります。対象は2026.3以前のすべてのバージョンで、2026.3.1で修正されています。同時に、認証後のバッファオーバーフロー（CVE-2026-28335、CVSS 8.4）なども修正されました。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-28336 出典：SolarWinds https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336 ④ HPE「HPE Networking Fabric Composer（データセンターのネットワーク管理）」：ハードコードされたパスワードで、ログインなしに管理者権限を奪われうる脆弱性など（CVE-2026-95731、CVSS v3.1 9.8／CVE-2026-95732・CVE-2026-95733、9.6） HPEが、データセンターのスイッチ群をまとめて管理するFabric Composer（AFC）について、複数の脆弱性を公表しました。CVE-2026-95731はCLIに埋め込まれたパスワードの問題で、ログインしていない遠隔の攻撃者が管理者権限でシステムに入れてしまうおそれがあります。CVE-2026-95732とCVE-2026-95733は、同じネットワーク内の攻撃者が認証なしで任意のコードを実行できてしまう問題です。対象は7.4.0以前と7.3.4以前で、修正版は7.4.1以降と7.3.5以降です。HPEは社内の調査で見つけたもので、公開された攻撃コードは把握していないとしていますが、管理画面とCLIを専用の管理用ネットワークに限定するよう勧めています。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-95731 出典：HPE https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05172en_us&docLocale=en_US ⑤ SonicWall「GMS（Global Management System、ファイアウォールの統合管理）」：ログインなしで内部ファイルを読まれうる脆弱性、サポート終了製品のため修正版なし（CVE-2026-109593、CISAによる評価CVSS v3.1 9.1） SonicWallのファイアウォールをまとめて管理するGMSで、ネットワーク越しに届く攻撃者が、ログインせずにGMS内部のファイルを読み取り、機密情報を得られるおそれがある脆弱性が公表されました。あわせて、ログイン後のSQLインジェクション（CVE-2026-109594）も公表されています。対象は9.5.2以前で、SonicWallの勧告は「サポート終了（EOL）のGMS」が対象とする内容で、修正版の案内は確認できていません。現時点で悪用の報告は確認できていませんが、使い続けている場合はインターネットから届かないようにしたうえで、後継製品への移行を検討してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109593 出典：SonicWall https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0019 ⑥ Perforce「Puppet Enterprise（サーバー構成管理）」：エージェント証明書を持つだけで、Puppet Server上でコードを実行されうる脆弱性など2件（CVE-2026-115731、CVSS v4.0 9.4／CVE-2026-115732、9.0） 多数のサーバーの設定を自動で管理するPuppet Enterpriseで、2件の脆弱性が公表されました。CVE-2026-115731は、エージェントが送るレポートの処理に不正なデータを読み込んでしまう問題があり、認証局が署名したエージェント証明書を1枚でも持っていれば、Puppet Server上で任意のコードを実行できてしまうおそれがあります。証明書の発行を十分な確認なしに自動承認（autosign）している環境では、ログインしていない攻撃者でも証明書を手に入れられるとしています。CVE-2026-115732は証明書の名前の照合が甘く、似た名前の証明書で別のノードになりすませる問題で、Enterprise版では認証局の管理や管理対象ノードでのコマンド実行にもつながるとしています。対象は2023.8.13未満、2025.0〜2025.12.1未満、2026.0.1未満で、それぞれ2023.8.13、2025.12.1、2026.0.1で修正されています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115731 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115732 出典：Perforce https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution ⑦ Docker「Docker Desktop for Windows（WSL2利用時）」：権限のないコンテナから、Windows側のサービスやファイルに届いてしまう脆弱性（CVE-2026-112917、CVSS v4.0 9.2） WSL2を使う構成のDocker Desktop for Windowsで、権限のないLinuxコンテナが32ビットのシステムコールを使うことで、既定のセキュリティ制限（seccomp）をすり抜けられる問題です。その結果、ホスト向けのサービスや、ログイン中の利用者がアクセスできるWindowsのファイルにコンテナから届いてしまうおそれがあります。対象はx86-64のWSL2で、完全に修正されるのはDocker Desktop 4.98.0以降とWSL 3.0.3以降を両方そろえた場合で、Docker Desktopだけ更新してWSLが古いままだと影響が残るとしています。現時点で悪用の報告は確認できていませんが、外部のイメージを動かす開発用PCでは両方の更新を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-112917 出典：Docker https://docs.docker.com/desktop/release-notes/#4980 ⑧ NetApp「StorageGRID（オブジェクトストレージ）」：内部ネットワークの特定ポートから不正な要求を受け付けてしまう脆弱性（CVE-2026-22058、CVSS v4.0 9.1） NetAppのオブジェクトストレージStorageGRIDで、製品固有の知識を持ち、ノード間通信用の「Grid Network」の特定ポートに通信できる攻撃者が、認証なしで不正な要求を送れてしまう脆弱性が公表されました。対象は11.3以降で、修正版は11.9.0.15、12.0.0.9、12.1.0.1です。攻撃にはGrid Networkへ届くことが条件のため、まずはこのネットワークが外部や一般の社内ネットワークから切り離されているかを確認してください。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-22058 出典：NetApp https://security.netapp.com/advisory/NTAP-20261103-0001 ⑨ FreeRDP「FreeRDP（オープンソースのリモートデスクトップクライアント）」：サーバー証明書の確認が甘く、RDP通信を盗聴・改ざんされうる脆弱性（CVE-2026-121392、CVSS v4.0 9.1／v3.1 7.4） LinuxなどでWindowsにリモートデスクトップ接続するときに使われるFreeRDPで、TLS証明書の確認処理が、別名の欄（SAN）が一致しなくても古い方式の名前（CN）で通してしまったり、IPアドレスとホスト名を混同して照合したりする問題です。利用者の端末が信頼する認証局の証明書を持つ攻撃者が通信の間に入ると、接続先の確認をすり抜け、キー入力やクリップボード、画面の内容を盗み見られるおそれがあります。対象は3.32.2より前で、3.32.2で修正されています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121392 出典：FreeRDP（GitHub） https://github.com/FreeRDP/FreeRDP/security/advisories/GHSA-jq25-3374-4262 ■注意点 ・米CISAのKEVへの追加は、10月30日のIvanti Connect Secure 2件以来で、今回は①のWordPress本体1件のみです。 ・Firefoxも159.0.1でレイアウト処理の境界条件の不備（CVE-2026-120572、CISAによる評価CVSS 8.8）を修正しています。Amazon RedshiftのJDBCドライバーでも、接続URLを操作できる場合にコードを実行されうる問題（CVE-2026-119084、CVSS v4.0 9.2）が2.3.0で修正されました。 ・国内では3日が祝日だったため、休み明けの4日にJVN・JPCERT/CCから注意喚起がまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ