つづき 【8. Linux・VMwareの悪用確認、ZITADELの認証問題】 ■ Linuxカーネル CVE-2026-46300 10月28日、CISA KEVに追加された。 IPsec ESP処理に関する権限昇格の問題で、実際の悪用が認定されている。 PHPの脆弱性と組み合わせた攻撃経路にも注意が必要。 ただし、ランサムウェアでの利用はCISA上では「Unknown」であり、確認済みとは区別する必要がある。 EC2、ECS/EKSのホスト、通常のLinuxサーバーでは実行中のカーネルを確認したい。 WSL2の場合は、UbuntuのaptだけでなくMicrosoftが提供するWSLカーネルの更新が別途必要になる。 Canonical公式： https://ubuntu.com/blog/fragnesia-linux-vulnerability-fixes-available ■ VMware ESX CVE-2026-41709 管理者権限を持つ攻撃者が、一部の操作をログに残さず実行できる可能性がある。 10月28日にCISA KEV登録。 認証不要RCEではないが、悪用が認定されているため、該当するESXi環境では更新と操作履歴の調査が必要。 Broadcom公式： https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 ■ ZITADEL Login V2 CVE-2026-119127 / 119128 10月29日に新しい脆弱性情報が公開された。 ・パスワード再設定や招待メールのリンクを攻撃者側へ誘導できる可能性 ・認証手段を未登録のアカウントに対し、最初の資格情報を不正に設定できる可能性 修正版4.19.5は10月15日に公開済み。 Login V2を利用している場合は修正状況を確認したい。 ZITADEL公式： https://github.com/zitadel/zitadel/releases/tag/v4.19.5 ⸻ ここ数日の情報を見ると、重大脆弱性そのものに加えて、修正を適用したつもりでも残ってしまう問題が目立つ。 今回のAlpine LinuxのGitLab事例は、かなり分かりやすい。 GitLab本体は更新したのに、独自に組み込んだRubyが未修正だった。 同じように、 ・Lambdaの管理ランタイムは更新されても、コンテナは再ビルドが必要 ・GitLab本体を更新してもRunnerやAI Gatewayは別 ・OSのCAストアを更新しても、アプリ独自のCAストアは別 ・Ubuntuの.NETを更新しても、自己完結型アプリには自動反映されない ・証明書の検証を厳格化すると、既存設定によっては正規の通信や証明書更新が失敗する という違いがある。 もちろん、実際の攻撃が確認されたGitLabやCiscoのような問題は優先して対応したい。 一方で、修正作業そのものによってシステムを停止させないための確認も必要になる。 特に今回は、AWS Private CA Connectorのように、セキュリティ修正によって証明書の更新が停止する可能性まで公式に案内されている。 ソフトウェアの更新だけで終わらせず、実際に利用しているランタイム、ライブラリ、証明書ストア、コンテナ、CI/CD環境まで修正が届いているか。 さらに、適用後に正常に動作しているかまで確認する必要がありそう。 Cloudflare CEOが予告した未公表案件、PHPの追加修正、主要Electronアプリへの個別反映については、今回新たに通知できる確定情報は確認できていない。 引き続き、悪用状況と下流製品への修正反映を追っていきたい。 ※2026年10月30日夜時点で確認できた公開情報に基づく整理。10月23〜29日に公表された情報も含む。修正予定日と実際の展開完了、悪用の確認と攻撃成功の確認は区別しています。対象環境の構成や正確な修正版は、各開発元の最新情報をご確認ください。