【10/31 夕方】CVE・脆弱性ニュースまとめ ■国内 ① コルネ「Welcart e-Commerce（WordPress向けネットショップ用プラグイン）」：ログイン不要の保存型XSSと、会員アカウント乗っ取りにつながる欠陥（CVE-2026-118070 CVSS v3.1 7.2、CVE-2026-119166 CVSS v3.1 5.3） 国内のネットショップで広く使われているWordPressプラグインWelcartについて、31日にhttp://cve.orgへ2件の脆弱性が登録されました。CVE-2026-118070は、決済サービス（ROBOT PAYMENT）から戻ってくる通信を偽装して注文データに不正なスクリプトを仕込めるもので、管理者が管理画面でその注文を開いたときにスクリプトが動きます。CVE-2026-119166は、会員IDの番号を指定するだけで、ログインなしで既存の会員のメールアドレスとパスワードを書き換え、その会員になりすませるおそれがあるものです。影響はどちらも2.12.5以前で、10月23日公開の2.12.6で複数のセキュリティ修正が入っています。31日夕方の時点で、悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118070 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-119166 出典：http://WordPress.org（Welcart） https://wordpress.org/plugins/usc-e-shop/ ■海外 ② WordPress「WordPress本体」：本体の更新中に、ログイン不要で任意のコードを実行されうる競合状態の脆弱性（CVE-2026-119977、CVSS v3.1 8.1） WordPress本体を「完全パッケージ」で更新する数秒間、新しいファイルがWebから見える決まった場所（wp-content/upgrade/）に展開されるため、攻撃者がそのタイミングでインストーラーを呼び出すと、サーバー上でコードを実行されるおそれがあります。自動のバックグラウンド更新も対象です。影響は4.7〜7.1.3で、10月28日公開の7.1.4で修正され、4.7系まで各系列に修正が戻されています。28日時点ではCVE番号がありませんでしたが、31日にCVE-2026-119977として登録されました。Wordfenceによると、攻撃者はすでにこの経路を狙った試行を始めていて、最初の21時間で1万8500件超のリクエストを観測していますが、乗っ取りの確認は報告されておらず、KEVにも入っていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-119977 出典：WordPress https://wordpress.org/documentation/wordpress-version/version-7-1-4/ 出典：WordPress（GitHub） https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg 出典：SecurityWeek https://www.securityweek.com/fresh-wordpress-vulnerability-in-attackers-crosshairs/ ③ Canonical「LXD／MicroCloud（コンテナ・仮想マシン管理）」：他人の公開証明書だけで認証を突破し、クラスター全体を操作されうる脆弱性（CVE-2026-112816、CVSS v4.0 10.0） Ubuntuの開発元CanonicalのLXDで、相互TLS認証の際に、クライアントが送った証明書チェーンのうち鍵の所有を証明しない中間証明書まで信頼済みの一覧と照合していました。このため、LXDのHTTPS APIに届く攻撃者が、信頼済みユーザーの公開証明書を中間証明書として紛れ込ませると、そのユーザーとして認証され、権限によってはホストのroot権限まで得られるおそれがあります。影響はLXD 4.0.14、5.0.10、5.21.8、6.9以降の各系列で、修正版は4.0.15、5.0.11、5.21.9、6.10.1（MicroCloudは2.1.5と3.4.1）です。米CISAの評価では悪用は「なし」で、KEVにも入っていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-112816 出典：Canonical https://discourse.ubuntu.com/t/security-advisory-critical-vulnerability-found-in-canonical-lxd-and-microcloud/90557 出典：Canonical（GitHub） https://github.com/canonical/lxd/security/advisories/GHSA-99jp-jwmc-65p4 ④ JetBrains「IntelliJ IDEAなどのIDE、Toolbox App」：認証局eMudhraの中間証明書の秘密鍵流出で、通信の相手になりすまされるおそれ（CVE-2026-118697、CVSS v3.1 9.0） インドの認証局eMudhraの中間証明書8枚の秘密鍵が流出し、通信を傍受できる攻撃者が、JetBrains製品の接続先のWebサイトやサービスになりすませる状態になっています。JetBrainsのIDEは同梱のJava実行環境（JBR）の証明書一覧を使うため、OSを更新しても守られません。CVE-2026-118697は、Toolbox AppとIDEが使う常駐サービスjetbrainsdが流出した証明書を信頼してしまう問題で、Toolbox App 3.9.1／3.8.2、jetbrainsd 0.9.9728で修正されました。IntelliJ IDEA 2026.2.4、PyCharm、PhpStorm、WebStorm、Riderなど各製品にも修正版が出ていますが、2025.1以前とToolbox App 3.7以前には修正が出ません。JetBrainsは、公表時点で悪用は確認していないとしています。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118697 出典：JetBrains https://blog.jetbrains.com/security/2026/10/compromised-emudhra-certificates-ides/ ⑤ weDevs「Project Manager（WordPress向けプロジェクト管理プラグイン）」：ログイン不要で任意のコードを実行できる脆弱性（CVE-2026-116512、CVSS v3.1 9.8） タスク管理やカンバンを提供するWordPressプラグインProject Managerで、REST APIに渡す「id」の値が入力チェックの処理にそのまま組み込まれ、PHPの関数として呼び出されてしまう脆弱性です。WordPress本体が権限チェックより先にこの入力チェックを実行するため、ログインしていない攻撃者でもサーバー上でコードを実行できるおそれがあります。影響は4.1.1以前で、10月29日公開の4.1.2で修正されています。31日夕方の時点で、悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-116512 出典：http://WordPress.org（Project Manager） https://wordpress.org/plugins/wedevs-project-manager/ ■注意点 ・WordPress本体（②）は、7.1.4への更新そのものも古い更新処理で展開されます。可能ならWebサーバー側で /wp-content/upgrade/ への外部アクセスを先に遮断してから更新し、更新後はダッシュボードで実際のバージョンを確認してください。 ・JetBrains製品（④）は、OSの証明書更新では対策になりません。IDEとToolbox Appをそれぞれ修正版にし、古いIDEを使い続ける場合はToolbox Appだけでも更新してjetbrainsdを0.9.9728以降にしてください。 ・米CISAのKEVは31日夕方の時点で30日以降の追加がありません。GitLab（CVE-2026-97229）とCisco ASA／FTD（CVE-2026-76418）は11月1日、Ivanti Connect Secure（CVE-2026-111357）は11月2日（いずれも米国時間）が対応期限です。 #脆弱性 #CVE #サイバーセキュリティ