つづき ━━━━━━━━━━━━ 【3】Google Android：権限確認の不備により端末内で権限昇格の恐れ ━━━━━━━━━━━━ ■ CVE番号 CVE-2026-58866 初回公開：2026/11/02 CVE情報更新：2026/11/03 ■ 概要 AndroidのAccessibilityWindowManagerに、権限確認の不備があります。 この機能は、画面操作を補助するアクセシビリティ機能に関連しています。 権限確認が不十分なため、本来許可されない操作や権限昇格につながる恐れがあります。 権限昇格とは、通常より強い操作権限を不正に取得することです。 ■ 影響製品・バージョン Google Android 影響する詳細なバージョンは、今回確認した情報だけでは確定できません。 Android公式の2026年11月セキュリティ更新情報で、利用端末の対象状況を確認してください。 ■ CVSS v3.1 Base：8.4／10（高） 評価元：CISA-ADP ■ CVSS的コメント (a) Threat：悪用・攻撃容易性 CVSS評価ではローカル攻撃、事前権限不要、利用者操作不要とされています。 実際の悪用状況：不明。 理由：確認した公開CVE情報から、実環境での悪用事例を特定できないためです。 (b) Environmental：配置環境・到達性 今回の評価はローカル攻撃です。 そのため、インターネットから直接アクセスできるかどうかよりも、端末上で不正な処理を実行できる状態にあるかが重要です。 管理対象端末では、アプリの導入制御やセキュリティ更新の適用状況を確認する必要があります。 ※Threat／Environmentalは定性的評価。 ■ 推奨対応 ・Androidのセキュリティパッチレベルを確認 ・端末メーカーが提供する11月の修正を適用 ・不審なアプリの導入を制限 ・組織管理端末はMDM等で更新状況を確認 ■ 一次情報 Android公式： https://source.android.com/docs/security/bulletin/2026/2026-11-01 http://CVE.org： https://www.cve.org/CVERecord?id=CVE-2026-58866 NVD： https://nvd.nist.gov/vuln/detail/CVE-2026-58866 ━━━━━━━━━━━━ 【本日の総括】 ━━━━━━━━━━━━ 【1】Google Brotli 実際の悪用が確認済み。11月5日にTrendAI製品の修正情報が更新されました。 【2】NoMachine 認証不要の遠隔コード実行が問題。Webサービスの公開状況と修正版を確認してください。 【3】Google Android 端末内の権限確認に不備。OS更新と端末管理が基本対策です。 【CVSS評価の考え方】 Base： 脆弱性自体の技術的な深刻度。 Threat： 実際の悪用状況や攻撃コードの成熟度。 Environmental： 自組織の構成、到達性、資産重要度、補完対策。 今回のThreat／Environmentalは定性的評価であり、正式な環境評価値ではありません。 なおCVSS v3.1ではThreatに相当する指標群をTemporalと呼びます。 【実務上のポイント】 優先順位はCVSSの点数だけでは決まりません。 Brotliは悪用確認済み、NoMachineは認証不要のネットワーク攻撃、Androidはローカル権限昇格という違いがあります。 対象製品の有無、攻撃経路、修正状況を確認して対応順を判断してください。 #CVE #脆弱性情報 #サイバーセキュリティ #CVSS #Brotli #NoMachine #Android #ITインフラ