【11/6 本日のまとめ】CVE・脆弱性ニュースまとめ ■国内 ① 三菱電機「MELSEC iQ-Rシリーズほか」：CC-Link IE TSN通信の改ざんとサービス拒否の脆弱性、対象製品に2機種を追加、修正版の予定なし（CVE-2026-13584、CVSS v4.0 7.1） 同一ネットワークセグメントにアクセスできる攻撃者が、特定のタイミングで細工したパケットを送ることで、制御入出力値などの通信データを改ざんできてしまいます。制御機能への干渉や誤動作により、サービス拒否を引き起こすおそれがあります。対象はMELSEC iQ-RシリーズやiQ-Fシリーズ、CC-Link IE TSN関連製品など122製品の全バージョンで、11月5日の更新でNZ2CT-GNとFR-D800-Eの2製品が追加されました。修正版の予定はなく、三菱電機のアドバイザリが示す対策（対象製品とCC-Link IE TSNネットワークへの物理アクセス制限など）を取ることが求められています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-13584 出典：三菱電機 https://www.mitsubishielectric.com/psirt/vulnerability/pdf/2026-005_en.pdf ■海外 ② WordPress「WordPress本体」（続報）：更新中のコード実行の脆弱性、米CISAのKEV対応期限は本日11月6日（CVE-2026-119977、CVSS v3.1 8.1） 10月31日に取り上げ、3日に米CISAが悪用確認済みとしてKEVへ追加したWordPress本体の脆弱性について、米連邦機関向けの対応期限が本日11月6日です。WordPress本体を「完全パッケージ」で更新する数秒間、展開されたファイルがWebから見える決まった場所に置かれるため、ログインしていない攻撃者がそのタイミングでインストーラーを呼び出し、サーバー上でコードを実行されるおそれがあります。影響は4.7〜7.1.3で、修正版は10月28日公開のWordPress本体7.1.4で、各系列にも修正が戻されています。攻撃コード（PoC）は11月4日にGitHubで公開されており、CISAは更新だけでなく侵害の痕跡の調査も求めています。なお、この期限は米連邦機関向けの制度上のもので、一般のサイトに法的な期限があるわけではありませんが、未更新のサイトはまずバージョン確認と更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119977 出典：WordPress https://wordpress.org/news/2026/10/wordpress-7-1-4 出典：ThreatDefence https://threatdefence.com/article/wordpress-7-1-4-upgrade-window-rce-hunting 出典：Rescana https://www.rescana.com/post/wordpress-core-7-1-4-upgrade-staging-race-rce ③ Red Hat「Keycloak」：SAMLの署名検証をすり抜け、連携ユーザーのアカウントを乗っ取られうる脆弱性、修正版はまだ公表されず（CVE-2026-117691、CVSS v3.1 9.1） SAMLのHTTP-Redirectバインディングで、サーバーがパーセントエンコードされたパラメーター名（%53AMLResponseなど）を処理する一方、署名の検証はエンコードされていない名前だけを確認するため、署名のない細工したSAMLメッセージを正規のものとして処理してしまいます。攻撃者はログインなしに、連携している任意のユーザーとしてログインし、その権限やデータを奪うことができます。対象はRed Hat Build of KeycloakとRed Hat Single Sign-On 7で、報告者はThink-itのMayssen Aidoudi氏です。5日時点でRed Hatから修正版は公表されておらず、回避策も示されていないため、SAML連携を使っている環境はRed Hatのアドバイザリの更新を確認してください。現時点で攻撃コードの公開や実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-117691 出典：Red Hat https://access.redhat.com/security/cve/CVE-2026-117691 ④ OPNsense「os-acme-client」：証明書の発行権限を持つ利用者がroot権限で任意のコードを実行できてしまう脆弱性、4.18で修正（CVE-2026-123025、CVSS 9.4） 5日に公開されたOSコマンドインジェクションの脆弱性です。Google Cloud DNSの検証モジュールで、設定に含まれるアカウント名やプロジェクト名を検証やエスケープなしにシェルコマンドへ組み込んでしまうため、Web画面やAPIから証明書の発行・更新ができる権限を持つ利用者が、root権限で任意のコマンドを実行できてしまいます。対象はos-acme-clientプラグインの4.17までで、修正版の4.18が公開されています。報告者は解説とPoCの公開を予定しているとしています。現時点で実際の悪用の報告は確認できていませんが、Google Cloud DNSを使っている環境はプラグインを4.18へ更新してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123025 出典：GitHub https://github.com/opnsense/plugins/pull/5873 ⑤ WordPressプラグイン「Security For WooCommerce」：ログインなしで管理者アカウントを作られ、サイトを乗っ取られうる脆弱性、修正版は未確認（CVE-2026-100109、CVSS 9.8） 5日に公開された権限チェックの不備です。1.0.10から1.0.16までの同プラグインは、ユーザー作成の処理で権限の確認をしておらず、ログインしていない訪問者でもその処理を呼び出せてしまいます。さらに作成するアカウントの権限も呼び出し側が指定できるため、攻撃者は管理者アカウントを作ってサイトを完全に乗っ取ることができます。5日時点で修正版は確認できておらず、攻撃コードの公開や実際の悪用の報告も確認できていません。利用しているサイトはプラグインの更新を確認し、修正版が出るまでは無効化も検討するとともに、不審な管理者アカウントがないかを確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-100109 出典：CVE-DB https://www.cve-db.com/cves/CVE-2026-100109 ⑥ Edimax「BR-6208AC（無線LANルーター）」：遠隔からコマンドを実行されうる脆弱性、攻撃コードが公開済みで修正版はなし（CVE-2026-122051、CVSS 9.3） 4日に公開されたコマンドインジェクションの脆弱性です。ファームウェア1.32の/goform/mpの処理で、受け取った値を検証せずにコマンドへ渡してしまうため、遠隔の攻撃者がルーター上で任意のコマンドを実行できてしまいます。攻撃コードはすでに公開されており、ベンダーへ早期に連絡されましたが回答はなかったとされています。同じ機種では10月にもコマンドインジェクションなど4件の脆弱性が公表されており、ベンダーは同機種をサポート終了として新しいファームウェアを出さないとしています。利用している場合は、管理画面をインターネットに公開しないことに加え、機器の買い替えを検討してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-122051 出典：Edimax https://www.edimax.com/edimax/post/post/data/edimax/global/security_notice_br-6208ac_v2/ ⑦ IBM「Watson Speech Services Cartridge」：細工した署名付きメッセージで任意のコードを実行されうる脆弱性、5.4.0 Patch 8で修正（CVE-2026-82418、CVSS v3.1 9.8） CVEレコードが4日に公開された脆弱性です（IBMの注意喚起自体は10月22日付です）。音声処理の実行環境で使う暗号化ライブラリに含まれるOpenSSLのUse-after-freeが原因で、細工したPKCS#7やS/MIMEの署名付きメッセージを処理させると、署名の検証中にメモリの解放後使用が起き、遠隔の攻撃者に任意のコードを実行されるおそれがあります。対象は4.0.0から5.4.0までで、修正版は5.4.0 Patch 8です。現時点で攻撃コードの公開や実際の悪用の報告は確認できていません。Cloud Pak for Dataで同製品を使っている場合は、Patch 8への更新を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-82418 出典：IBM https://www.ibm.com/support/pages/node/7293510 ⑧ PHP「PHP」（続報）：PHP2Shellの攻撃成功がハニーポットで1,200件超、未修正のCVE-2026-115560も（CVE-2026-109618／CVE-2026-109619、CVSS v4.0 9.2） 10月21日に修正されたPHP2Shellについて、5日に更新された解説では、ハニーポットで1,200件を超える攻撃の成功が記録されたと伝えています。Kasperskyが3日に伝えたCensysの調査では、脆弱なPHP版で動くサーバー約4,600万台のうち約2,900万台が11月3日時点でも未対応とされています。PHPは11月3日に緩和策を改訂し、入力の入れ子の上限などを下げるよう追加で求めています。なお、10月23日に公表された別のRCEの脆弱性CVE-2026-115560は、11月3日に公開されたリリース候補版（8.5.13RC1、8.4.28RC1）でも修正されておらず、PHPは深刻度スコアをまだ公表していません。対象の構成ではsession.upload_progress.enabled=0の設定を維持し、PHP2Shellの修正版（8.5.12、8.4.27、8.3.36、8.2.35）が未適用のサーバーはまず更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109618 出典：ThreatDefence https://threatdefence.com/article/php2shell-php-remote-code-execution-advisory 出典：Kaspersky https://www.kaspersky.com/blog/php2shell-two-weeks-after-patches/56647/ ⑨ SignalWire「FreeSWITCH」：SIPのメッセージ処理でOSコマンドを実行され、実際の悪用も観測される脆弱性、1.11.3で修正（CVE-2026-116779、CVSS v3.1 9.8） SIPのMESSAGEを受けたときの処理で、宛先の「+」の左側をチャットの通信方式の指定として扱い、「api」を選ぶとFreeSWITCHのAPIコマンドを実行できてしまいます。APIコマンドにはOSのコマンドを実行するものもあり、認証済みのアカウントで届くほか、標準設定ではパスワードを持たない利用者でも条件を満たす場合があります。同じ日に公表されたWebSocketのヒープ上書き（CVE-2026-116785、CVSS 9.1）とICEの検証不備（CVE-2026-116790、CVSS 9.1）は1.11.2で修正されています。CVE-2026-116779は実際の悪用が観測されたと記録されており、電話基盤として使っている環境は1.11.3への更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-116779 出典：GitHub https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p ⑩ Apache「Juneau」：CVSS 10.0の脆弱性が8件まとめて公表、9.2.1で修正（CVE-2026-121489ほか、CVSS v4.0 10.0） JavaのRESTフレームワークであるApache Juneauに、5日に8件の脆弱性がまとめて公表されました。マイクロサービスのファイル公開機能では、指定した範囲の外のファイルを読み書き・削除されるパストラバーサルがあり、値の変換処理では指定されたクラスが実行されてしまう問題があります。このほか、CSRF、ログやエラーメッセージへの機微な情報の混入、リダイレクト先への認証情報の漏えい、レスポンス分割、クロスサイトスクリプティングが含まれます。対象は9.2.0までで、修正版は9.2.1です。ファイル公開機能は既定では無効ですが、有効にしている環境は影響を確認し、修正版への更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121489 出典：Apache https://lists.apache.org/thread.html/j05q7vw08j48o96tdlzcsd4sozx1lyl6 ⑪ Apache「OFBiz」：認証の回避とコード実行の脆弱性が2件、24.09.08で修正（CVE-2026-82907／CVE-2026-83542、CVSS v3.1 9.8） 業務システム基盤のApache OFBizに、ログインなしで狙える重大な脆弱性が2件公表されました。1件は、外部ログイン用のキー（externalLoginKey）が期限もなく、使い回しもできるため、キーを入手した攻撃者が他人のセッションをそのまま奪ってしまう認証回避です。もう1件は、細工した画面部品のXMLとGroovyの式を読み込ませて、ログインなしでサーバー上の任意のコードを実行できてしまう問題です。対象は24.09の24.09.08未満で、修正版は24.09.08です。現時点で実際の悪用の報告は確認できていませんが、インターネットに公開している環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-82907 出典：Apache https://lists.apache.org/thread.html/7b2syzksp7klt9fvhdg0olldvs2g83lz ⑫ SuiteCRM「SuiteCRM」：認証済みの利用者によるコード実行と管理者によるPHP注入、7.15.2と8.10.2で修正（CVE-2026-71550／CVE-2026-100358、CVSS v3.1 9.9／9.4） オープンソースのCRMであるSuiteCRMに、コードを実行される脆弱性が2件公表されました。ワークフロー機能では、パスの指定をすり抜けてPHPのファイルを読み込ませることができ、ワークフローの権限を持つ認証済みの利用者がサーバー上で任意のコードを実行できてしまいます。もう1件は、管理者が使う項目の編集画面でPHPのコードを注入でき、保存されたコードが後の画面表示で実行されてしまう問題です。対象は7.15.2未満と8.10.2未満で、修正版は7.15.2と8.10.2です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-71550 出典：GitHub https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-cx24-rr7r-mxrg ⑬ Kubeflow「Kubeflow Pipelines」：低権限の利用者が共有パイプラインへ攻撃者の版を差し込める認可の不備、2.18.0で修正（CVE-2026-77596、CVSS v3.1 9.6） 機械学習の処理手順を管理するKubeflow Pipelinesに、認可の確認をすり抜ける脆弱性が公表されました。パイプラインの登録時に、対象の名前空間が空の場合に権限の確認が行われないため、低権限のテナントが共有パイプラインを作ったり、既存の共有パイプラインへ攻撃者の版を差し込んだりできてしまいます。認証用のプロキシなしでAPIが直接届く環境では、ログインしていない利用者でも同じ迂回が可能です。定期実行が最新版を追う設定の場合、差し込まれた版が別テナントの名前空間で実行されるおそれがあります。対象は2.18.0未満で、修正版は2.18.0です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-77596 出典：GitHub https://github.com/kubeflow/pipelines/security/advisories/GHSA-rjr3-43j3-4q8g ⑭ BTCPay Server「BTCPay Server」：ログインなしで決済ノードの認証情報を取り出され、資金を動かされうる脆弱性、2.4.2で修正（CVE-2026-119757、CVSS v4.0 9.3） ビットコイン決済のBTCPay Serverに、ログインなしで狙える情報漏えいの脆弱性が公表されました。Lightning Networkのノード（LND）の認証情報ファイル（.macaroon）を取り出せてしまい、取り出した認証情報を使うとLNDノードを完全に操作され、資金を移動されるおそれがあります。対象は2.4.2未満（2.4.2のリリース候補版を含む）で、修正版は2.4.2です。運用中の環境は更新するとともに、LNDの認証情報が漏れていないかもあわせて確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119757 出典：BTCPay Server https://blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/ ⑮ GE Vernova「PowerSYSTEM Center」：低権限の利用者による権限昇格とSQLインジェクション、2026 Update 1.1などで修正（CVE-2026-63017／CVE-2026-63774、CVSS v4.0 9.4） 電力系統の運用で使うGE VernovaのPowerSYSTEM Centerに、認証済みの低権限の利用者が狙える脆弱性が2件公表されました。1件は権限の確認の不備で、管理者しか使えないはずの機能へ届いてしまう問題、もう1件はレポート設計機能のSQLインジェクションで、データベースを読み書きされてしまう問題です。対象は2020（5.29.x以前）、2024（6.0.xから6.2.x）、2026（7.0.xから7.1.x）で、修正は2020 Update 30、2024と2026は2026 Update 1.1へ更新することです。米CISAの勧告では、これらの脆弱性を具体的に標的とした既知の悪用はないとされています。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-63017 出典：CISA https://www.cisa.gov/news-events/ics-advisories/icsa-26-307-01 ⑯ OpenSSH「OpenSSH（Alpine Linuxなど）」：パスワード認証をすり抜け、パスワードなしのアカウントへログインされてしまう脆弱性、10.6p2で修正（CVE-2026-123158、CVSS v3.1 8.1） 5日にOpenSSHとAlpine Linuxが公表した認証回避の脆弱性です。PAMを使わずにビルドされたsshdがmusl libcの環境で動く場合、muslのcrypt()が256バイトを超えるパスワードでエラーを返し、そのエラー表示の「*」が、パスワード未設定のアカウントの記録と一致してしまうため、257〜1,024バイトの長いパスワードでログインできてしまいます。条件は、パスワード認証が有効で、パスワード未設定のアカウントがあり、ほかにパスワード付きのアカウントが1つでもあることです。Alpineの公式クラウドイメージでは、パスワードなしで管理者権限を使えるalpineユーザーが対象になり、root権限を奪われるおそれがあります。修正版はOpenSSH 10.6p2とAlpineの各ブランチ向け修正パッケージで、更新後はsshdの再起動が必要です。現時点で実際の悪用の報告は確認できていませんが、更新できない場合はパスワード認証の無効化を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123158 出典：Alpine Linux https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ ⑰ Metabase「Metabase」：ログインなしでSQLを注入され、管理者を奪われうる脆弱性、悪用が続いているとシンガポール当局が警告（CVE-2026-72898、CVSS v3.1 10.0） シンガポールのサイバーセキュリティ庁（CSA）が4日、Metabaseの脆弱性CVE-2026-72898の悪用が続いているとして注意を呼びかけました。パスワード再設定の処理にSQLを注入され、ログインしていない攻撃者がMetabaseの管理者権限を奪い、接続先データベースの認証情報も取り出されうる問題で、攻撃コードも公開されています。修正版は8月6日に公開され、対象は58〜63の各系列で、安全な版は58.24、59.21、60.17、61.11、62.9、63.5です。米CISAも8月11日にKEVへ追加しています。自社で運用している場合は、未更新のままインターネットに公開していないかを確認し、更新とあわせてセッションの無効化や接続先の認証情報の入れ替えも検討してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-72898 出典：CSA Singapore https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-158/ ⑱ Zoho「ManageEngine Key Manager Plus」：OSコマンドインジェクションなど7件、ビルド7151で修正（CVE-2026-77690ほか、CVSS v3.1 8.8） 6日に報じられたところでは、ZohoのManageEngine Key Manager Plusで7件の脆弱性の修正がまとめられました。中心となるCVE-2026-77690とCVE-2026-77691は、証明書の発行先やMicrosoft CAとの連携の設定でOSコマンドを注入され、ログイン済みの利用者がサーバー上で任意のコマンドを実行できてしまう問題です。ほかに、SAMLログインの回避や二要素認証のすり抜け、鍵や証明書の不正な書き出しなどの問題が含まれます。対象はビルド7151より前で、修正版はビルド7151です。現時点で悪用の報告は確認できていませんが、鍵や証明書、パスワードを扱う製品のため、更新とあわせて不審な鍵の書き出しがないかも確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-77690 出典：SecurityOnline https://securityonline.info/manageengine-key-manager-plus-cve-2026-77690-patched/ ⑲ WordPressプラグイン「WP Libre Form」：ログインなしでPHPファイルをアップロードされ、サーバーを乗っ取られうる脆弱性、修正版は未確認（CVE-2026-118423、CVSS v3.1 10.0） フォーム送信でアップロードされるファイルの種類を検証していないため、ログインしていない攻撃者でもPHPファイルをWebから届く場所へアップロードし、実行できてしまいます。対象は1.5.0.1までで、現時点で修正版は確認できていません。攻撃コードの公開は2027年2月1日まで控えられるとされています。利用しているサイトはプラグインの更新を確認し、修正版が出るまでは無効化も検討してください。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-118423 出典：WPScan https://wpscan.com/vulnerability/35149a79-aee1-4f13-ba29-583c2224c5da/ ⑳ WordPressプラグイン「Radius Booking」：認証なしでPHPオブジェクトインジェクションを起こされ、サーバー上でコードを実行されうる脆弱性、1.0.21で修正（CVE-2026-119516、CVSS v3.1 9.8） 予約カレンダーのプラグインで、信頼できないデータをそのまま復元処理に渡してしまうため、ログインしていない攻撃者がサーバー上で有害な処理を実行できてしまいます。対象は1.0.20までで、修正版は1.0.21です。Patchstackは悪用されるおそれがあるとして、直ちに更新するよう求めています。現時点で実際の悪用の報告は確認できていませんが、利用しているサイトは1.0.21以降への更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119516 出典：Patchstack https://patchstack.com/database/wordpress/plugin/radius-booking/vulnerability/wordpress-radius-booking-booking-calendar-for-appointments-services-plugin-1-0-20-php-object-injection-vulnerability?_s_id=cve ㉑ miniOrange「OAuth Single Sign On – SSO (OAuth Client)」：ログインなしで管理者権限を奪われうる権限昇格の脆弱性、プラグインの7.1.4で修正（CVE-2026-120844、CVSS v3.1 9.8） ログイン連携のプラグインで、権限の割り当てに不備があり、ログインしていない攻撃者が管理者権限を奪い、サイトを完全に掌握できてしまいます。対象はプラグインの7.1.3までで、修正版はプラグインの7.1.4です。Patchstackは悪用されるおそれがあるとして、直ちに更新するよう求めています。現時点で実際の悪用の報告は確認できていませんが、利用しているサイトはプラグインの7.1.4以降への更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-120844 出典：Patchstack https://patchstack.com/database/wordpress/plugin/miniorange-login-with-eve-online-google-facebook/vulnerability/wordpress-oauth-single-sign-on-sso-oauth-client-plugin-7-1-3-privilege-escalation-vulnerability?_s_id=cve ㉒ MDJM「MDJM Event Management／Mobile Events Manager」：ログインなしで管理者を含む全ロールを削除されうる脆弱性、修正版は未確認（CVE-2026-88800、CVSS v3.1 9.1） イベント管理のプラグイン2件で、ページ表示のたびにロール削除の要求を権限確認なしに処理してしまい、ログインしていない攻撃者でも管理者を含むあらゆるロールを削除できてしまいます。ロールを削除されると、そのロールの利用者は全員権限を失います。対象は1.7.8.7までで、現時点で修正版は確認できていません。攻撃コードの公開は2027年5月3日まで控えられるとされています。利用しているサイトはプラグインの更新を確認し、修正版が出るまでは無効化も検討するとともに、ロールや管理者アカウントの状態を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-88800 出典：WPScan https://wpscan.com/vulnerability/f39f77ac-1885-4021-a4d2-5a2b7c5260b5/ ■注意点 ・WordPress本体（CVE-2026-119977）は、米連邦機関向けのKEV対応期限が本日11月6日です。未更新のサイトは更新とあわせて侵害の痕跡を確認してください。なお、この期限は米連邦機関向けの制度上のもので、一般のサイトに法的な期限があるわけではありません。 ・OpenSSH（CVE-2026-123158）は、Alpine Linuxなどでパスワードなしのアカウントへログインされてしまう問題です。OpenSSH 10.6p2への更新とsshdの再起動、またはパスワード認証の無効化を行ってください。 ・Metabase（CVE-2026-72898）は、8月の修正後も悪用が続いているとシンガポール当局が警告しています。自社で運用している場合は、未更新のまま公開していないかを確認してください。 #脆弱性 #CVE #サイバーセキュリティ
