CVE-2026-120447

🆕 New CVE bufanyun HotGo: auth bypass in sms login verification (CVE-2026-120447) Attackers who know a user's phone number can set the login code and take over accounts, including admin ones. Patch → see advisory https://cve.now/CVE-2026-120447?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

【11/3 昼】CVE・脆弱性ニュースまとめ ■国内 前回（3日朝）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Zyxel「GS1900シリーズ（スマートスイッチ）」：ログインなしで、LAN内からOSコマンドを実行されうる脆弱性（CVE-2026-107441、CVSS v3.1 8.8） Zyxelの法人向けスマートスイッチGS1900シリーズで、管理画面のCGIプログラムに範囲外書き込みの脆弱性があると、Zyxelが3日に公表しました。同じLAN内にいる攻撃者が、ログインせずに細工したHTTPリクエストを送ることで、OSコマンドを実行できてしまうおそれがあります。対象はGS1900-8、-8HP、-10HP、-16、-24、-24E、-24EP、-24HPv2、-48、-48HPv2の10機種で、いずれもファームウェア2.90の「.2」版以前が影響を受け、「.3」版（例：GS1900-24Eは2.90(AAHK.3)C0）で修正されています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-107441 出典：Zyxel https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026 ② Zyxel「無線LANアクセスポイント（NWA・WAX・WBEシリーズ）、FWA7、USG LITE 60AX」：LAN内の攻撃者に機器の権限を奪われうる脆弱性（CVE-2026-76955、CVSS v3.1 8.8） Zyxelは同じく3日、法人向け無線LANアクセスポイントなどに含まれるプログラム「zdp_wtp」にバッファオーバーフローの脆弱性があると公表しました。LAN内の攻撃者が悪用すると、機器の上で権限を昇格できてしまうおそれがあります。対象はNWA50AX、NWA110AX、NWA210AX、WAX630S、WBE660Sなど38機種のアクセスポイント（主にファームウェア7.12系・7.40系）、屋外無線ブリッジのFWA7、セキュリティルーターUSG LITE 60AX（V2.00〜V2.30）です。修正版は機種ごとに用意されており（例：NWA110AXは7.12(ABTG.1)C0、USG LITE 60AXはクラウド経由でV2.40）、WAC500Hは問い合わせでホットフィックスを提供するとしています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-76955 出典：Zyxel https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-buffer-overflow-vulnerability-in-certain-aps-fwa7-and-security-routers-11-03-2026 ③ HotGo「HotGo（Go製の管理画面フレームワーク）」：SMSのログイン認証コードを攻撃者が指定でき、管理者アカウントも乗っ取られうる脆弱性（CVE-2026-120447、CVSS v4.0 9.2／v3.1 8.1） Go言語で業務システムの管理画面を作るオープンソースのフレームワークHotGoで、SMS認証コードの送信処理（/admin/sms/send）が、呼び出し側が送った「Code」の値をそのまま認証コードとして使ってしまう問題です。相手の携帯電話番号を知っていれば、ログインしていない攻撃者が自分で決めたコードを設定し、SMSログインを通って管理者を含むアカウントを乗っ取れるおそれがあります。影響は2.8.4〜2.15.1で、開発元のGitHubには日本時間2日に修正のコミットが入っていますが、修正を含むリリース版の番号は確認できていません。現時点で悪用の報告は確認できていませんが、利用している場合は修正コミットの取り込みか、SMSログインの無効化を検討してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120447 出典：VulnCheck https://www.vulncheck.com/advisories/hotgo-through-2.15.1-authentication-bypass-via-client-set-sms-verification-code 出典：HotGo（GitHub） https://github.com/bufanyun/hotgo/commit/cb57056c746650e6ff86dec1e97d404b63dcfd30 ■注意点 ・米CISAのKEVは3日昼の時点でも、10月30日のIvanti Connect Secure 2件以降の追加がありません。 ・ほかに、WordPressの定番キャッシュプラグインWP Fastest Cache（1.5.3以前、CVE-2026-111464、CVSS 5.9）で、公開登録を有効にしたマルチサイト構成に限り、新規登録者のユーザー名とパスワードがキャッシュ経由で漏れうる問題が公表されています。 ・動画共有基盤AVideoのエンコーダー（8.1.0より前）のログイン不要のコマンド実行（CVE-2026-61567、CVSS 10.0）は、10月28日公開の記録に米CISAの評価が追記されたもので、悪用の報告は確認できていません。3日は祝日のため、国内の注意喚起は休み明けにまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ

#NØØT_Security_Alerts 🚨 #ALERT — HotGo SMS Authentication Bypass Enables Administrator Account Takeover November 2, 2026 PRODUCT: bufanyun HotGo. CVE: CVE-2026-120447. SEVERITY: CRITICAL — CVSS 4.0: 9.2 (VulnCheck CNA). AFFECTED: v2.8.4–v2.15.1, where SMS authentication is configured and the relevant endpoints are reachable. IMPACT: An unauthenticated attacker knowing a target user’s mobile number can supply a chosen verification code through /admin/sms/send, then authenticate through /admin/site/mobileLogin. The original researcher reproduced super-administrator token issuance in a controlled laboratory using a simulated SMS provider. SMS interception was not required. EXPLOITATION STATUS: Public laboratory proof; malicious exploitation in the wild NOT established. FIX: Upstream commit cb57056c removes client control of the verification code. The maintainer acknowledged remediation November 2. No numbered fixed release was independently established. Later versions with nonfunctional SMS authentication must not automatically be treated as validated fixes. TRIAGE: Review exposed routes, SMS configuration, available HTTP request records, hg_sys_sms_log, suspicious administrator logins and newly issued sessions. Request bodies may not be logged; SMS records alone cannot establish attacker control. URGENT ACTION: Restrict or temporarily disable affected SMS-login routes while maintaining a tested alternative authentication path. Preserve relevant evidence, deploy and validate the upstream code fix, and verify the actual running build and SMS authentication behavior. If compromise is suspected, invalidate affected sessions and investigate unauthorized administrative changes. Updating code does not reverse previous account takeover. SOURCE — ORIGINAL RESEARCH: https://vul.yulun.ac.cn/zh-CN/20261102/hotgo/ SOURCE — VENDOR ACKNOWLEDGMENT: https://github.com/bufanyun/hotgo/issues/240 SOURCE — UPSTREAM FIX: https://github.com/bufanyun/hotgo/commit/cb57056c746650e6ff86dec1e97d404b63dcfd30 SOURCE — OFFICIAL CNA RECORD: https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/120xxx/CVE-2026-120447.json CONFIDENCE: HIGH for the verified code defect, researcher reproduction and upstream correction; LIMITED for real-world exploitation and packaged-release remediation. #CyberSecurity #AppSec #CVE #IncidentResponse