CVE-2026-120230

🔴 2 critical CVEs in WAVLINK products Worst: os command injection in ioos binary via file_id (CVE-2026-120229) Patch → see advisories https://cve.now/CVE-2026-120229?release=CVE-2026-120230&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

【11/2 朝】CVE・脆弱性ニュースまとめ ■国内 前回（1日夜）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① PrefectHQ「Prefab UI（Python向け生成UIライブラリ）」：サンドボックスを抜け出し、サーバー上のファイルを読み書き・コード実行されうる脆弱性（CVE-2026-120338、CVSS v3.1 10.0） Prefab UIには、AIなどが書いたPythonコードをブラウザ技術（Pyodide）で隔離して動かす「Generative UI」機能がありますが、起動時に読み書き・通信の権限を制限せずに実行環境（Deno）を立ち上げていたため、隔離が実質的に効いていない状態でした。コードを渡せる相手であれば、サーバーのOSユーザーの権限でファイルを読み書きでき、仮想環境に細工したファイルを置くことでコード実行を居座らせることもできるおそれがあります。特にFastMCPのGenerativeUI機能で公開したMCPサーバーに認証をかけていない場合は、サーバーに届く誰でもこのツールを呼び出せます。影響は0.14.0〜0.20.2で、0.21.0で修正されています（Generative UIは任意で有効にする機能で、Denoが入っている環境が対象）。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120338 出典：PrefectHQ（GitHub） https://github.com/PrefectHQ/prefab/security/advisories/GHSA-595q-jv4r-q7j9 ② Liquid Web / StellarWP「BookIt（WordPress予約プラグイン）」：ログイン不要のSQLインジェクション（CVE-2026-62048、CVSS v3.1 9.3） 予約・スケジュール管理用のWordPressプラグインBookItで、送られた値を正しく処理せずにデータベースへの命令（SQL）に組み込んでしまう脆弱性です。登録元のPatchstackによると、ログインしていない攻撃者でもネットワーク越しに攻撃でき、データベースの情報を盗み出されるおそれがあります。影響は2.6.0.6以前で、2.6.0.7で修正されています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-62048 出典：Patchstack https://patchstack.com/database/wordpress/plugin/bookit/vulnerability/wordpress-bookit-plugin-2-6-0-6-sql-injection-vulnerability ③ Horizon DataSys「Reboot Restore Standard（PC復元ソフト）」：カーネルドライバのメモリ破壊で、PCの最高権限を奪われうる脆弱性（CVE-2026-120232、CVSS v4.0 9.3／v3.1 8.8、実証コード公開済み） 再起動するとPCを決まった状態に戻すWindows向けソフトReboot Restore Standardで、カーネルドライバ（shield.sys）の処理にメモリ破壊の脆弱性があり、日本時間2日0時にhttp://cve.orgへ登録されました。登録元のVulDBによると、攻撃にはそのPCにログインできる権限が必要ですが、成功するとシステム全体に影響する操作ができるおそれがあります。影響は13.0〜13.2で、攻撃の実証コード（PoC）が公開されています。修正は次のリリースで予定されているとされ、現時点で修正版は確認できていません。実際の攻撃に使われたという報告も確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120232 出典：VulDB https://vuldb.com/vuln/429591 ④（続報）WAVLINK「無線LANルーター WN553X1-B／WN701AE」：OSコマンドインジェクションがさらに6件登録（CVE-2026-120229／120230／120231／120238／120239／120240、CVSS v3.1 9.1〜9.9、実証コード公開済み） 1日に取り上げたWAVLINK製品のOSコマンドインジェクションについて、1日夜から2日未明（日本時間）にかけて同じ2機種で6件が追加登録されました。WN553X1-B（260403_2.0.0）ではOpenVPNやWireGuardの設定処理、パスワード確認処理など5か所、WN701AE（260105）ではVLANグループの削除処理で、受け取った値がそのままOSのコマンドに渡ってしまいます。登録元のVulDBによると、いずれもネットワーク越しに攻撃でき、ログインできる立場（CVE-2026-120229は管理者権限）が前提です。攻撃の実証コード（PoC）は公開されていますが、修正版や実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120229 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120230 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120231 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120238 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120239 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120240 出典：VulDB https://vuldb.com/vuln/429588 ■注意点 ・米CISAのKEVは2日朝の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・JavaのWebフレームワークApache Wicketで、XSSや認可の適用漏れ、アップロード上限が効かない問題など18件のCVEが2日朝（日本時間）に公開されました（最大CVSS 8.3）。9.14.0〜9.24.0と10.0.0〜10.9.1が対象のものがあり、利用している場合はApacheの告知を確認のうえ更新をおすすめします。 ・WAVLINK（④）やReboot Restore（③）は修正版がまだ確認できていません。ルーターは管理画面を外部に公開せず、PCはログインできる人を限るなどの対策をおすすめします。 #脆弱性 #CVE #サイバーセキュリティ