CVE-2026-20030Disclosure

Cisco patches a Crosswork SQL injection flaw, CVE-2026-20030, rated CVSS 10.0. A BroadWorks XXE bug (CVE-2026-20320) also gets a fix. #Cisco #CVE #SQLInjection #Crosswork #BroadWorks #XXE #Vulnerability #InfoSec https://securityonline.info/cisco-crosswork-cve-2026-20030/

【リンク集：週末のセキュリティ関連ニュース/記事】 ＜脆弱性＞ ・シスコ、CrossworkとSecure Workloadに存在する脆弱性9件を修正　うち5件はCVSS 10.0（CVE-2026-20030、CVE-2026-20357他） https://thehackernews.com/2026/08/cisco-patches-nine-crosswork-and-secure.html ・MLFlowの重大な欠陥が悪用される　月間3,000万回ダウンロードされるAIプラットフォーム（CVE-2026-64849） https://hackread.com/attackers-exploit-critical-mlflow-ai-platform-flaw/ ・米CISA、悪用されているTrueConfサーバーの脆弱性へのパッチ適用を連邦政府機関に命じる（CVE-2026-72529、CVE-2026-72530） https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-actively-exploited-trueconf-server-flaws/ ・ライブラリ「isolated-vm」の重大な脆弱性により、ホスト上でRCEが可能に https://www.securityweek.com/critical-isolated-vm-vulnerability-leads-to-rce-on-host/ ・マイクロソフト、最大深刻度の脆弱性を複数修正　コード実行や権限昇格を許す恐れ（CVE-2026-69836、CVE-2026-65816他） https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-max-severity-entra-id-flaw-exploited-in-attacks/ ＜マルウェア・その他脅威＞ ・Androidマルウェア「ToxicPanda」　VPN権限を悪用してGoogle Playをブロック https://www.bleepingcomputer.com/news/security/toxicpanda-android-malware-uses-vpn-permissions-to-block-google-play/ ・AndroidマルウェアがFirebaseを悪用し、ICICI・SBI・Axisなどインド各銀行になりすまし　政府の無効化通知で明らかに https://ministryofcyberaffairs.com/news/indian-banks-including-icici-sbi-axis-impersonated-by-android-malware-using-firebase-government-blocking-notices-show-48362865-20a2-4665-9df6-09386ad3e106 ・Microsoft Teams悪用のフィッシング攻撃で新マルウェア「SynkLoader」が拡散される https://www.bleepingcomputer.com/news/security/new-synkloader-malware-pushed-in-microsoft-teams-phishing-campaign/ ・車のヘッドユニット狙うマルウェアが発見される https://securelist.com/android-head-unit-malware/121106/ ・FTPバナーを悪用し、新種のWindows向けマルウェアが配布される https://www.bleepingcomputer.com/news/security/hackers-abuse-ftp-server-banners-to-deliver-new-windows-malware/ ・人気AIブランド装い、マルウェアを拡散する攻撃が複数確認される https://www.helpnetsecurity.com/2026/08/21/ai-brand-impersonation-malware-malware-research/ ・偽マネーロンダリング対策サイト、ユーザーを騙して暗号通貨の取引を承認させる https://hackread.com/fake-aml-sites-crypto-approving-malicious-transactions/ ・1万ドルで販売されるフィッシングキット、パスキー登録で乗っ取ったアカウントへの永続的なアクセスが可能と主張 https://www.theregister.com/cyber-crime/2026/08/21/10k-phishing-kit-claims-it-can-plant-rogue-passkeys-for-persistent-access-to-pwned-accounts/5291006 ・トロイの木馬化された14件のnpmパッケージ、AI活用するC2機能備えたLinux向けバックドアRedC2 4.0を配布 https://thehackernews.com/2026/08/14-trojanized-npm-packages-drop-redc2.html ・バンキング型トロイの木馬Manic・Grandoreiro・ToxicPanda 2.0の詳細 https://www.securityweek.com/banking-trojans-manic-grandoreiro-toxicpanda-2-0-in-the-spotlight/ ＜データ侵害/サイバー犯罪＞ ・トロント小児病院のデータ侵害で職員と求職者の情報が流出 https://www.bleepingcomputer.com/news/security/sickkids-data-breach-exposes-employee-and-job-applicant-info/ ・米PE投資会社アポロがデータ侵害の発生を認める　金融大手狙ったハッキング攻撃が相次ぐさなか https://techcrunch.com/2026/08/21/private-equity-firm-apollo-confirms-data-breach-amid-hacking-wave-targeting-financial-giants/ ＜AI関連＞ ・暗号化されたプロンプトでGrokやGeminiの安全対策が破られる恐れ https://www.securityweek.com/encrypted-prompts-bypass-ai-safety-guardrails-in-grok-and-gemini/ ・自システムへの模擬攻撃にAIを活用しなければ、その隙を攻撃者に突かれることに https://www.theregister.com/security/2026/08/22/if-youre-not-using-ai-to-attack-your-own-systems-your-adversaries-will/5291346 ・暴走したAIモデルを制御する方法、最先端の研究所も依然明らかにせず https://techcrunch.com/2026/08/22/frontier-ai-labs-still-wont-say-how-theyd-contain-a-rogue-model/ ・OWASP、新セキュリティ指針でAIスキルの主要なリスクを指摘 https://www.darkreading.com/application-security/owasp-flags-top-ai-skill-risks-security-blueprint ・OpenAI、制御機能を複数追加　本来ならすでに実装されているべき？ https://www.darkreading.com/application-security/openai-adds-controls-already ・AIのサイバー攻撃能力をベンチマークテストで順位付け https://www.aikido.dev/blog/ai-model-benchmarks-aug-21-2026 ・詳細不明のAIモデル「Ox Alpha」無料版、コーディングベンチマークでトップに https://startupfortune.com/a-mystery-model-called-ox-alpha-just-topped-coding-benchmarks-for-free/ ・AI企業が書籍を廃棄しているとして、複数の活動団体が米連邦取引委員会に苦情 https://www.theregister.com/ai-and-ml/2026/08/21/ai-companies-are-burning-books-advocates-complain-to-ftc/5291299 ＜サイバー戦/APT/国家型アクター/地政学関連＞ ・イラン系ハッカーの攻撃で英発電所が4日間停止　米水道施設への攻撃と同時期に発生 https://securityaffairs.com/197734/cyber-warfare-2/uk-power-plant-disabled-for-four-days-by-iran-linked-hackers-concurrent-with-us-water-attacks.html ・米政府の研究所が中国製LiDARにおけるセキュリティ上の欠陥を調査 https://techcrunch.com/2026/08/21/us-government-lab-is-probing-chinese-lidar-for-security-vulnerabilities/ ＜逮捕/テイクダウン/制裁/違反/その他法執行関連＞ ・Uberに8億2,500万ユーロの制裁金　ドライバーのアカウント自動停止をめぐるGDPR違反で https://techcrunch.com/2026/08/23/uber-faces-fine-of-nearly-1b-over-automated-driver-suspensions/ ・インド政府、銀行詐欺に関連するGoogle Firebaseアカウントの削除を命じる https://www.reuters.com/world/india/india-orders-removal-google-firebase-accounts-after-spotting-scam-pattern-2026-08-21/ ＜プライバシー＞ ・アリババ、ユーザー追跡目的でWebAudio使いフィンガープリンティングを作成 https://cyberinsider.com/alibaba-spotted-using-webaudio-fingerprinting-for-user-tracking/ ・TikTok、児童のプライバシー侵害訴訟で和解金4億米ドルの支払いに合意 https://techcrunch.com/2026/08/21/tiktok-reaches-400m-settlement-over-childrens-privacy-lawsuit/ ・米上院議員、法執行機関のハッキングツール使用法について見直すよう監査機関に要請 https://techcrunch.com/2026/08/21/senator-asks-us-federal-watchdog-to-review-how-feds-use-hacking-tools/ ＜リサーチ/攻撃手法/TTP＞ ・脅威インテリジェンス：Xユーザー狙ったDMCA関連の認証情報フィッシング https://ministryofcyberaffairs.com/news/threat-intelligence-dmca-themed-credential-phishing-targeting-x-twitter-users-cf7df827-ab3b-4ffc-a556-1c293a83d814 ・Windowsの名前付きパイプに危機　プロセス間通信を保全する方法 https://www.bleepingcomputer.com/news/security/named-pipes-under-attack-securing-windows-interprocess-communication/ ・漏洩状態のAWSキー数百件、悪用されれば企業アカウントの完全な乗っ取りが可能に https://www.bleepingcomputer.com/news/security/hundreds-of-leaked-aws-keys-give-full-control-over-corporate-accounts/ ・Microsoft Defenderの正規ドライバー、起動時にセキュリティソフトを削除する攻撃ツールとして悪用される可能性 https://thehackernews.com/2026/08/microsoft-defenders-own-driver-can-be.html ＜その他＞ ・「EchoBench」で自律型ペネトレーションテストツールを評価　人間による実測値を基準としたベンチマーク https://www.netspi.com/blog/technical-blog/ai-ml-pentesting/introducing-echobench-a-human-calibrated-benchmark-for-autonomous-pentesting/

🚨 Upozorňujeme na několik zranitelností v Cisco Crosswork, CVE-2026-20030, CVE-2026-20357, CVE-2026-20358, CVE-2026-20359. V produktech Cisco Crosswork Data Gateway, Crosswork Network Controller a Crosswork Planning byly identifikovány čtyři kritické zranitelnosti, které se projevují bez ohledu na konfiguraci zařízení. Jedná se o SQL Injection (CVE-2026-20030, CVSS 10.0), chybějící autentizaci pro kritickou funkci (CVE-2026-20357, CVSS 10.0), možnost externí kontroly souborového systému (CVE-2026-20358, CVSS 10.0) a nedostatečně chráněné přihlašovací údaje (CVE-2026-20359, CVSS 9.9). Úspěšné zneužití může útočníkovi umožnit neoprávněný přístup ke kritickým funkcím systému, manipulaci s daty, přístup k souborovému systému, kompromitaci přihlašovacích údajů a potenciálně úplné ovládnutí postiženého prostředí. Zranitelnosti ovlivňují Cisco Crosswork Release 7.2.1 a starší verze. 📌Doporučujeme aktualizovat na verzi 7.2.1-SP.

Cisco Crossworkに最大CVSS 10.0の極めて深刻なSQLインジェクションの脆弱性（CVE-2026-20030等）が発覚 CVE-2026-20030: Cisco Crosswork SQL Command Injection Scores CVSS 10.0　#DailyCyberSecurity (Aug 20) https://securityonline.info/cisco-crosswork-cve-2026-20030/

🛡️ Cisco Crosswork and WordPress: Unexpected Critical Additions Cisco disclosed two perfect-10 vulnerabilities in its Crosswork network automation platform — CVE-2026-20357 and CVE-2026-20030 — as part of a proactive security hardening…

[CVE] CVE-2026-20030 [HIGH PRIORITY] #Cisco Crosswork Security Hardening Release: August 2026 🔗 https://exploitgrid.net/cve/CVE-2026-20030

🛡️ ExploitGrid Daily Threat Digest Top Vulnerabilities (CVEs) of the day CVE-2026-20030 CVE-2026-20315 CVE-2026-20317 CVE-2026-20357 CVE-2026-20358 ..🧵👇

🗄️ Cisco Crosswork hit with a CVSS 10 SQL Injection — unauthenticated, network-exploitable, full system compromise possible. CVE-2026-20030 needs your attention now. #cybersecurity #cisco #ciso #cto #vulnerabilities #mssp https://secalerts.co/vulnerability/CVE-2026-20030?utm_campaign=x https://t.co/rSGT3ER1Fy

一次情報(NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-20030 参照元(ベンダー等): https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-crosswork-UzDTU9Vh, https://www.cve.org/Media/News/item/blog/2026/06/16/Preserving-Vulnerability-Level-Identification

Cisco CrossworkでCVSSスコア10を含む重大(Critical)な脆弱性が多数修正。Data Gateway、Network Controller、Planning各プラットフォームに影響。修正有、緩和策無。 https://securityonline.info/cisco-crosswork-cve-2026-20030/

🚨 CRITICAL — CVE-2026-20030 Cisco Crosswork Security Hardening Release: August 2026 CVSS 10.0 🔴 No patch yet Full analysis → https://sec.kaitan.id/cves/CVE-2026-20030 #Cisco #CyberSecurity #InfoSec