【11/8 夕方】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① TOTOLINK「CA300-PoE」（続報）：設定処理のバッファオーバーフローが新たに4件公表、攻撃コードが公開（CVE-2026-124057ほか、CVSS v4.0 最大9.4） 今朝の回でお伝えした無線LANアクセスポイント「CA300-PoE」のバッファオーバーフロー9件とは別に、新たに4件が11月7日に公表されました。対象はいずれもファームウェア6.2c.884で、無線LANの複数設定（CVE-2026-124057）やリピーター設定（CVE-2026-124058）、WDS設定（CVE-2026-124059）、カスタムモジュールのアップロード処理（CVE-2026-124060）に問題があり、いずれも高い権限でのログインが必要ですが、遠隔から引き起こせるとされています。4件すべてで攻撃コードが公開されたとCVE記録に記されています。確認した範囲では修正版は示されていません。管理画面をインターネットに公開しないことと、ファームウェアの更新情報の確認を行ってください。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-124057 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-124060 出典：VulDB https://vuldb.com/vuln/432113 出典：VulDB https://vuldb.com/vuln/432115 ② CivetWeb「CivetWeb」：HTTP/2処理の解放済みメモリ使用でアクセス制御をすり抜けられたりサーバーを落とされたりする脆弱性、修正版はまだ示されず（CVE-2026-124040、CVSS v4.0 9.2） 組み込み向けWebサーバー「CivetWeb」のHTTP/2処理に、解放済みメモリを使ってしまう脆弱性が公表され、11月8日にCVE記録が更新されました。HTTP/2を有効にしてビルドした環境で、解放されたリクエストメソッドやパスの情報を保持してしまうため、ログインしていない遠隔の攻撃者がこれらの情報を省いたHEADERSフレームを送ることで、アクセス制御が見ているメソッドやパスを偽装されたり、サーバーを異常終了させられたりするおそれがあります。対象は1.16までで、確認した範囲では修正版は示されていません。HTTP/2を無効にすることが回避策になります。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-124040 出典：CivetWeb https://github.com/civetweb/civetweb/issues/1379 ③ Microsoft「Windows Paint」：ネットワーク経由でコードを実行されうる脆弱性、修正版11.2609.401.0はMicrosoft Storeからのみ提供（CVE-2026-83844、CVSS v3.1 8.1） Windows標準の画像編集アプリ「Paint」の範囲外読み取りで、権限のない攻撃者がネットワーク経由でコードを実行できてしまう脆弱性です。10月13日に公表され、Microsoftは11月6日に案内を更新し、修正版としてビルド11.2609.401.0を示しました。この修正はWindows UpdateではなくMicrosoft Store経由でのみ届くため、Windows Updateだけでは直りません。なお、CVE記録では11.2605.91.0未満が対象とされており、案内との間に食い違いがあるため、11.2609.401.0以上になっているかを確認するのが確実です。Microsoftは悪用された報告はなく、悪用の可能性は低いと評価しています。利用者ごとにインストールされるアプリのため、端末内のすべての利用者分が更新されているかも確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-83844 出典：Microsoft https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844 出典：The Hacker News https://thehackernews.com/2026/11/microsoft-paint-rce-fix-now-available.html ■注意点 ・TOTOLINK CA300-PoE（CVE-2026-124057ほか）は、今朝の9件に続く追加の4件で、攻撃コードが公開され修正版が示されていません。管理画面をインターネットに公開せず、ファームウェアの更新情報を確認してください。 ・CivetWeb（CVE-2026-124040）は修正版がまだ示されていません。HTTP/2を有効にしている環境は、無効化での回避を検討してください。 ・Windows Paint（CVE-2026-83844）の修正はMicrosoft Store経由でのみ届きます。Windows Updateで最新になっていても安心せず、Paintが11.2609.401.0以上かを確認してください。 #脆弱性 #CVE #サイバーセキュリティ
