【11/3 夕方】CVE・脆弱性ニュースまとめ ■国内 前回（3日昼）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① ManageEngine「Log360、EventLog Analyzer（ログ管理・SIEM）」：ログインなしで製品に不正アクセスされうる脆弱性など2件（CVE-2026-13594、CVSS v3.1 9.1／CVE-2026-16900、CVSS v3.1 7.5） 国内企業でもログ管理や監査対応に使われるManageEngineのLog360とEventLog Analyzerで、2件の脆弱性がhttp://cve.orgに登録されました。CVE-2026-13594はアクセス制御の不備で、攻撃者が製品に不正にアクセスできてしまうおそれがあり、ビルド13025〜13061が対象で、13062（7月6日公開）で修正されています。CVE-2026-16900はログ収集用の「ローカルコレクター」の登録処理で認証を回避される問題で、ログインしていない攻撃者がコレクターになりすまして設定情報を取得したり、偽のログを流し込んだりできるおそれがあり、13070以前が対象で、13071（8月25日公開）で修正されています。修正版は数カ月前に出ており、現時点で悪用の報告は確認できていませんが、未更新の環境は13071以降への更新をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-13594 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-16900 出典：ManageEngine https://www.manageengine.com/products/eventlog/advisory/CVE-2026-13594.html 出典：ManageEngine https://www.manageengine.com/products/eventlog/advisory/CVE-2026-16900.html ② WSO2「API Manager、API Control Plane」：自分で登録しただけの利用者が、管理者権限を奪いうる脆弱性（CVE-2026-4052、CVSS v3.1 9.8） API管理基盤のWSO2 API Managerで、WSO2 Identity Serverを「Resident Key Manager」としてデータベースを共有する構成に限って起きる脆弱性です。この構成では、セルフ登録した一般の利用者がIdentity Serverのトークン発行窓口からトークンを取得し、API Managerのシステム用REST APIを呼び出せてしまい、管理者アカウントの乗っ取りにつながるおそれがあります。対象はAPI Manager 4.1.0〜4.6.0、API Control Plane 4.5.0・4.6.0、Identity Server用のKey Managerコネクター1.8.8未満で、WSO2の勧告（6月18日付）は、両製品を最新のU2アップデートにしたうえでコネクターを更新するよう案内しています。CVEの記録は日本時間3日夕方に公開されたもので、現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-4052 出典：WSO2 https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5212/ ③ ACF Extended「Advanced Custom Fields: Extended PRO（WordPressプラグイン）」：条件がそろうと、ログインなしでWordPressの関数を呼び出されうる脆弱性（CVE-2026-120534、CVSS v3.1 9.8） WordPressの定番プラグインACF（Advanced Custom Fields）を拡張する有料版プラグインで、フォーム表示の処理が設定値を十分に確かめないまま関数の呼び出しに使ってしまう問題です。ログインしていない攻撃者が、引数を指定してWordPressの任意の関数を呼び出せてしまうおそれがあります。ただし、管理者が初期設定では無効の「shortcode_preview」をそのフォームで有効にしている場合か、サーバーでOpenSSLの関数が使えない場合に限られると、登録元のWordfenceは説明しています。対象は0.9.2.6以前で、開発元の更新履歴では最新版は0.9.2.8（10月19日）ですが、どの版で修正されたかは明記が確認できていません。現時点で悪用の報告は確認できていないため、利用している場合は最新版への更新をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120534 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/b8a7a925-2b9e-43bc-b649-c7ec518e063c 出典：ACF Extended https://www.acf-extended.com/changelog ④ AxxonSoft「Axxon One（映像監視システム）」：初期パスワードのまま管理者としてログインされうる脆弱性（CVE-2026-121022、CVSS v4.0 9.2／v3.1 8.1） 防犯カメラの映像を管理するVMS（ビデオ管理ソフト）Axxon Oneで、Webクライアントが初回ログイン時に初期パスワードの変更を強制していなかった問題です。新しく導入したシステムでは、ログインしていない攻撃者が初期の認証情報で組み込みの管理者としてログインできてしまうおそれがあります。WindowsとLinuxの3.0.0より前が対象で、3.0.0で初回ログイン時のパスワード変更が必須になりました。現時点で悪用の報告は確認できていませんが、更新とあわせて、管理者パスワードが初期値のままになっていないか確認してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-121022 出典：AxxonSoft https://www.axxonsoft.com/legal/axxonsoft-vulnerability-disclosure-policy/security-advisories#CVE-2026-121022 ■注意点 ・米CISAのKEVは3日夕方の時点でも、10月30日のIvanti Connect Secure 2件以降の追加がありません。 ・同じManageEngineの鍵・証明書管理製品Key Manager Plusでも、正しいIDとパスワードを持つ攻撃者が二要素認証を飛ばしてログインできる問題（CVE-2026-77799、CVSS 7.4）が登録されており、7150以前が対象で7151で修正されています。 ・WordPressのBuddyPress向けプラグイン「BuddyPress XProfile Custom Image Field」（3.1.0以前、CVE-2026-120518、CVSS 9.1）で、登録を公開している場合にログインなしでサーバー上のファイルを削除されうる問題も公表されていますが、修正版は確認できていません。 #脆弱性 #CVE #サイバーセキュリティ
