CVE-2026-122193

🆕 New CVE AWS Trusted Remote Execution: command injection in example SSM documents (CVE-2026-122193) Low-privilege users permitted to invoke an SSM document can run arbitrary commands as root on managed instances. No patch listed yet https://cve.now/CVE-2026-122193?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

【11/7 朝】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① SonicWall「SonicOS」：SSLVPNのSAML・多要素認証のすり抜け、米CISAがKEVへ追加し悪用を確認（CVE-2026-19868ほか、CVSS v3.1 7.5） 11月6日にSonicWallが7件の脆弱性をまとめたアドバイザリSNWLID-2026-0014を公表し、うちSSLVPNのCVE-2026-19868は同日に米CISAが悪用確認済みとしてKEVへ追加しました。SAMLを有効にしたSSLVPNで、別の認証方法の正規の認証情報を持つ利用者がSAMLの認証をすり抜け、SAMLで強制している多要素認証も回避されてしまうおそれがあります。SonicWallは悪用の可能性を示す報告があるとして、速やかな更新を強く求めています。同じアドバイザリには、管理画面のセッション検証の不備（CVE-2026-107154、CVSS v3.1 8.8）やクロスドメインポリシーの不備（CVE-2026-107155、CVSS v3.1 8.8）、SSLVPNの認証前ヒープバッファオーバーフロー（CVE-2026-82308、CVSS v3.1 7.5）も含まれます。対象はSonicOS 7.3.3-7015以前と8.2.2-8015以前で、KEVの対応期限は11月20日です。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19868 出典：SonicWall https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014 出典：CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog ② Craft CMS「Craft CMS」：ログインなしで管理者を奪われうるSQLインジェクション、4.18.9と5.11.2で修正（CVE-2026-123488、CVSS v3.1 9.8） 11月6日に公表された、ログインなしで狙えるSQLインジェクションの脆弱性です。要素の検索機能で、属性の指定値を検証せずにSQLへ組み込んでしまうため、ログインしていない攻撃者がデータベースを読み書きでき、管理者フラグの設定やパスワードハッシュの書き換えで管理者権限を奪われるおそれがあります。同じ版にはGraphQLのeager-loading経由のSQLインジェクション（CVE-2026-123491、CVSS v4.0 8.8）もあり、パスワードハッシュやセッショントークンを読み取られるおそれがあります。対象はCraft CMS 4.0.0から4.18.9未満と5.0.0から5.11.2未満で、修正版は4.18.9と5.11.2です。現時点で実際の悪用の報告は確認できていませんが、公開しているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123488 出典：Craft CMS https://github.com/craftcms/cms/security/advisories/GHSA-qcvp-ggx3-97r6 ③ AWS「Babelfish for PostgreSQL」：TDS処理のヒープバッファオーバーフローでOSコマンドを実行されうる脆弱性、4.10・5.6・6.1で修正（CVE-2026-119923、CVSS v3.1 9.8） TDSの事前ログイン処理のヒープバッファオーバーフローで、細工したパケットをTDSポートへ送ることで、遠隔の攻撃者にデータベースプロセスの権限でOSコマンドを実行されるおそれがあります。対象はBabelfish for PostgreSQL拡張の1.0〜1.5、2.1〜2.15、3.1〜3.12、4.0〜4.8、5.1〜5.4と、Babelfishを使うAmazon Aurora PostgreSQLです。修正版はBabelfish拡張の4.10、5.6、6.1以降で、Aurora側も各系列の修正版へ更新する必要があります。同じTDS処理には、認証済みの利用者が隣接するメモリを読み取れる範囲外読み取り（CVE-2026-119924、CVSS v3.1 8.1）もあり、あわせて修正されています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119923 出典：AWS https://aws.amazon.com/security/security-bulletins/2026-166-aws/ ④ AWS「Trusted Remote Execution」：サンプルのSSMドキュメントでroot権限のコマンド実行、作成済みドキュメントの削除が必要（CVE-2026-122193、CVSS v3.1 9.9） サンプルとして提供されたSSMドキュメントの作成スクリプトにOSコマンドインジェクションがあり、Rex-ROまたはRex-RWのSSMドキュメントを呼び出せる認証済みの利用者が、管理対象インスタンス上でroot権限で任意のコマンドを実行できてしまうおそれがあります。Cedarによるポリシーの強制もすり抜けてしまいます。対象は2026年7月28日より前にこのサンプルスクリプトで作られたRex-RO・Rex-RWのSSMドキュメントで、修正版の提供ではなく、作成済みのドキュメントの削除が求められています。各アカウントとリージョンで、サンプルから作ったドキュメントが残っていないかを確認してください。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-122193 出典：AWS https://aws.amazon.com/security/security-bulletins/2026-173-aws/ ⑤ JetBrains「CLion」：セーフモードをすり抜けてコードを実行されうる脆弱性、2026.2と2026.1.4で修正（CVE-2026-123831／CVE-2026-123832、CVSS v3.1 9.6） セーフモードでもコードが実行されてしまう脆弱性が2件公表されました。Mesonプロジェクトの設定（CVE-2026-123831）とJSONコンパイルデータベース（CVE-2026-123832）の処理で、信頼できないプロジェクトを開いた利用者にコードを実行されてしまうおそれがあります。攻撃には利用者が細工したプロジェクトを開く操作が必要ですが、セーフモードは本来こうした実行を抑えるための機能のため、影響は大きくなっています。対象はCLion 2026.2未満で、修正版は2026.2と2026.1.4です。現時点で攻撃コードの公開や実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123831 出典：JetBrains https://www.jetbrains.com/privacy-security/issues-fixed/ ⑥ JupyterLab「JupyterLab Desktop」：細工したURLやノートブックのリンクでコードを実行されうる脆弱性、4.6.2-1で修正（CVE-2026-102530／CVE-2026-86044、CVSS v3.1 9.6） リモートサーバーへの接続画面でURLを安全に処理していないため、細工したURLを送信させられた利用者の画面でスクリプトが実行され、特権のあるプロセス間通信を悪用して利用者の権限で任意のコードを実行されてしまうおそれがあります。もう1件は、信頼できないノートブック内の細工したリンクをクリックすると、Jupyterサーバーのトークンが漏れてコードを実行される問題です（CVE-2026-86044、CVSS v3.1 9.6）。対象はJupyterLab Desktop 4.6.2-1未満で、修正版は4.6.2-1です。現時点で実際の悪用の報告は確認できていませんが、デスクトップアプリを使っている場合は更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-102530 出典：JupyterLab https://github.com/jupyterlab/jupyterlab-desktop/security/advisories/GHSA-vrj4-r4fw-9rfh ⑦ Chartbrew「Chartbrew」：認証なしのSQLインジェクションやアカウント乗っ取りなど重大な脆弱性が複数、5.2.3で修正（CVE-2026-54349ほか、CVSS v3.1 9.8） 公開ダッシュボードのSQLインジェクション（CVE-2026-54349、CVSS v3.1 9.8）をはじめ、複数の重大な脆弱性がまとめて公表されました。認証なしでセッショントークンを偽造してアカウントを乗っ取られる問題（CVE-2026-85295、CVSS v3.1 9.8）や、管理用のキュー画面が認証なしで開けてしまう問題（CVE-2026-86005、CVSS v4.0 9.3）、API接続の設定から内部ネットワークへ到達されるSSRF（CVE-2026-68935、CVSS v3.1 9.1）も含まれます。対象はChartbrew 5.2.3未満で、修正版は5.2.1と5.2.3です。現時点で実際の悪用の報告は確認できていませんが、インターネットに公開している環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-54349 出典：Chartbrew https://github.com/chartbrew/chartbrew/security/advisories/GHSA-qvv4-r3q6-8797 出典：Chartbrew https://github.com/chartbrew/chartbrew/releases/tag/v5.2.3 ⑧ Symfony「Symfony」：YAMLパーサーの処理時間の問題でサービス拒否を起こされうる脆弱性、各系列の修正版で対応（CVE-2026-123792、CVSS v4.0 8.7） YAMLのパーサーに処理時間の問題があり、小さな細工したYAML文書を処理させるだけでPHPプロセスを数秒から数分占有され、サービス拒否を引き起こされるおそれがあります。ログインなしで狙える問題で、YAMLを外部から受け取る処理がある環境で影響します。対象はSymfony 5.4.56未満、6.4.50未満、7.4.23未満、8.1.11未満で、修正版は各系列の5.4.56、6.4.50、7.4.23、8.1.11です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123792 出典：Symfony https://github.com/symfony/symfony/security/advisories/GHSA-hwfg-qwvh-2wfx ■注意点 ・SonicWall SonicOS（CVE-2026-19868）は米CISAがKEVへ追加し、悪用が確認されています。SSLVPNでSAMLを使っている環境は、対応期限の11月20日を待たずに更新してください。 ・Craft CMS（CVE-2026-123488）とChartbrew（CVE-2026-54349ほか）は、ログインなしで管理者権限やデータベースを奪われうる重大な問題です。公開している環境は修正版への更新を急いでください。 ・AWSのBabelfishとTrusted Remote Executionは、AWSのセキュリティ情報で修正方法を確認してください。REXは更新ではなく作成済みドキュメントの削除が必要です。 #脆弱性 #CVE #サイバーセキュリティ

AWS (@awscloud) published a 9.9 with no patch and no workaround. The vulnerable code was an example in its own setup guide; the fix is deleting what the guide told you to create. No exploitation yet. https://severitydaily.com/aws-trusted-remote-execution-cve-2026-122193-9-9-setup-guide-example-ssm-documents-rex-ro-rex-rw-no-patch-ghsa-patched-0-1-0-equals-affected-version-n-a-cpe-n-a-root-cedar-only-in-cve-record-bulletin/

🚨🚨🚨 CRITICAL AWS REX VULNERABILITY - CVE-2026-122193 (CVSS 9.9) turns AWS's example REX SSM documents into a command-execution path on managed instances.🚨🚨🚨 📌 What happened: The Rex-RO and Rex-RW SSM documents from AWS's Trusted Remote Execution (REX) setup guide pass unsanitized scriptArgs straight into OS commands. 🔑 Key facts: ▪️ CWE-78 OS command injection, CVSS v3.1 9.9 Critical ▪️ Commands bypass REX sandbox controls ▪️ They run with the SSM execution IAM role ▪️ Shipped REX artifacts are not affected ▪️ No patch for the example; no confirmed in-the-wild use ⚠️ Why it matters: Any account that copied the guide may hold a ready-made route to privilege escalation and lateral movement. 🛡️ Do this now: 1⃣ Delete Rex-RO and Rex-RW in every account and region 2⃣ Limit SSM invoke permissions to tightly scoped principals 3⃣ Search CloudTrail for invocations with unusual scriptArgs 4⃣ Tighten IAM policies on SSM execution roles 🔗 Full analysis: https://badgersignal.com/articles/amazon-web-services-aws-rex-documentation-os-command-injection-cve2026122193 📊 Infographic attached for the breakdown at a glance. 💬 Do you review vendor example scripts before they land in your accounts, or only your own code? #CyberSecurity #ThreatIntelligence #InfoSec #BadgerSignal #AWS #CloudSecurity

🚨 CVE-2026-122193 (9.9) 🚨 Trusted Remote Execution (REX), the SSM remote admin tool, lets anyone who can invoke its Rex-RO or Rex-RW documents run commands as root. REX before 2026-07-28 is affected. Delete the Rex-RO and Rex-RW documents the example script created. https://t.co/SCHPDXJaN3

サンプルSSMドキュメントまで・・ サンプル SSM ドキュメントにおけるコマンドインジェクション (CVE-2026-122193)。 Trusted Remote Execution（REX）サンプルのSSMドキュメントには、プロビジョニングスクリプトにOSコマンドインジェクションの欠陥が含まれています。権限の低いログイン権限を持つ攻撃者が、Rex‐RO または Rex‐RW SSM ドキュメントを呼び出すことが許可された場合、ネットワーク経由でリモートでアクセスし、管理対象インスタンス上で root として任意のコマンドを実行でき、Cedar ポリシーの適用を回避できる。CVSSは9.9とのこと。 https://aws.amazon.com/jp/security/security-bulletins/2026-173-aws/

CVE-2026-122193 (CRITICAL / 9.9) — OS command injection in the example SSM document provisioning script in Trusted Remote Execution (REX) before 2026-07-28... https://nvd.nist.gov/vuln/detail/CVE-2026-122193 #server #web

AWS REX CVE-2026-122193: setup-guide example SSM docs (Rex-RO/Rex-RW) allow OS command injection via scriptArgs—outside the Cedar sandbox. Shipped REX is fine. Delete those docs in every account/Region you created them in. https://aws.amazon.com/security/security-bulletins/2026-173-aws/

CVE-2026-122193 · CRITICAL · CVSS 9.9 Trusted Remote Execution (REX) before 2026-07-28 has an OS command injection weakness, potentially allowing authenticated remote users to execute arbitrary commands as root. CVSS 3.1 · AMZN https://cve.new/CVE-2026-122193