【10/30 夕方】CVE・脆弱性ニュースまとめ ■国内 前回（10/30 昼）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で新たに対象となるものはありませんでした。 ■海外 ① Ivanti「Ivanti Connect Secure」：悪用された攻撃の連鎖のうち、root権限への昇格の脆弱性などを追加修正（CVE-2026-111357、CVE-2026-118527、最初の入り口のCVE-2026-104935は米CISA KEV登録済み） Ivanti Connect SecureのVPN装置が10月初めから狙われていた件で、Ivantiは29日（米国時間）、攻撃の連鎖に使われた残り2件の脆弱性の修正版を出しました。攻撃は、ログイン前の認証回避（CVE-2026-104935、13日に修正済み）でコマンドを実行し、さらに内部サービスの設定の扱いの不備（CVE-2026-111357）でroot権限まで奪う流れで、Volexityは修正をすべて当てていた22.8R2.4の装置でも侵害を確認していました。CVE-2026-111357の深刻度は、報道ではIvantiの評価として8.8、http://cve.orgの記録では7.0となっており、http://cve.orgの記録は30日に「2026年10月に実際に悪用された」と更新されています。攻撃者（Volexityの呼称でUTA0576）は、装置に保存されたドメインの認証情報を抜き取り、Active DirectoryからLAPSの管理者パスワードやBitLockerの回復キーなどを探していたほか、メモリ上だけで動いて痕跡を消すため、Ivantiの整合性チェックツールでは見つからなかったとされています。修正版は25.1.1.3と22.8R2.6で、これで公表済みの脆弱性がすべて直ります。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-111357 出典：Ivanti https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935 出典：Volexity https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/ 出典：The Stack https://www.thestack.technology/ivanti-patches-two-more-cves-amid-highly-unusual-connect-secure-exploitation/ ② Drupal「Commerce Core」：ECサイト向けモジュールにアクセス制御の不備、Drupalが実際の悪用を確認（CVE-2026-118539、Drupal独自評価「Highly critical」21/25） Drupalでネットショップを作るためのモジュールCommerce Coreで、一部のURLやデータ項目の保護が足りず、本来できないはずの操作ができてしまう脆弱性です。Drupalは28日の勧告で、店舗側に金銭的な被害が出るおそれがあり、すでに実際に悪用されていると明記しましたが、攻撃の中身や規模は公表していません。影響するのは2.41より前と3.0.0〜3.3.12で、修正版は8.x-2.41と3.3.13です。http://cve.orgには30日に登録されましたが、CVSSの値はまだ付いておらず、米CISAのKEVにも入っていません。Drupalは更新に加えて、注文データにおかしな点がないかの確認を求めています。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118539 出典：http://Drupal.org https://www.drupal.org/sa-contrib-2026-254 出典：The Hacker News https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html ■注意点 ・Ivanti Connect Secure（①）は、13日の修正だけでは足りません。25.1.1.3か22.8R2.6まで上げたうえで、整合性チェックが問題なしでも安心せず、VPN装置から社内への不審な通信や、Active Directoryのサービスアカウントの使われ方を確認してください。 ・Drupal Commerce（②）はDrupal本体とは別のモジュールなので、本体を更新しただけでは直りません。モジュールを更新し、金額や割引、支払い状況が合わない注文がないか確かめてください。 ・前回（10/30 昼）以降、米CISAのKEVへの新規追加はありません（30日夕方時点）。 #脆弱性 #CVE #サイバーセキュリティ