【11/3 昼】CVE・脆弱性ニュースまとめ ■国内 前回（3日朝）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Zyxel「GS1900シリーズ（スマートスイッチ）」：ログインなしで、LAN内からOSコマンドを実行されうる脆弱性（CVE-2026-107441、CVSS v3.1 8.8） Zyxelの法人向けスマートスイッチGS1900シリーズで、管理画面のCGIプログラムに範囲外書き込みの脆弱性があると、Zyxelが3日に公表しました。同じLAN内にいる攻撃者が、ログインせずに細工したHTTPリクエストを送ることで、OSコマンドを実行できてしまうおそれがあります。対象はGS1900-8、-8HP、-10HP、-16、-24、-24E、-24EP、-24HPv2、-48、-48HPv2の10機種で、いずれもファームウェア2.90の「.2」版以前が影響を受け、「.3」版（例：GS1900-24Eは2.90(AAHK.3)C0）で修正されています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-107441 出典：Zyxel https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026 ② Zyxel「無線LANアクセスポイント（NWA・WAX・WBEシリーズ）、FWA7、USG LITE 60AX」：LAN内の攻撃者に機器の権限を奪われうる脆弱性（CVE-2026-76955、CVSS v3.1 8.8） Zyxelは同じく3日、法人向け無線LANアクセスポイントなどに含まれるプログラム「zdp_wtp」にバッファオーバーフローの脆弱性があると公表しました。LAN内の攻撃者が悪用すると、機器の上で権限を昇格できてしまうおそれがあります。対象はNWA50AX、NWA110AX、NWA210AX、WAX630S、WBE660Sなど38機種のアクセスポイント（主にファームウェア7.12系・7.40系）、屋外無線ブリッジのFWA7、セキュリティルーターUSG LITE 60AX（V2.00〜V2.30）です。修正版は機種ごとに用意されており（例：NWA110AXは7.12(ABTG.1)C0、USG LITE 60AXはクラウド経由でV2.40）、WAC500Hは問い合わせでホットフィックスを提供するとしています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-76955 出典：Zyxel https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-buffer-overflow-vulnerability-in-certain-aps-fwa7-and-security-routers-11-03-2026 ③ HotGo「HotGo（Go製の管理画面フレームワーク）」：SMSのログイン認証コードを攻撃者が指定でき、管理者アカウントも乗っ取られうる脆弱性（CVE-2026-120447、CVSS v4.0 9.2／v3.1 8.1） Go言語で業務システムの管理画面を作るオープンソースのフレームワークHotGoで、SMS認証コードの送信処理（/admin/sms/send）が、呼び出し側が送った「Code」の値をそのまま認証コードとして使ってしまう問題です。相手の携帯電話番号を知っていれば、ログインしていない攻撃者が自分で決めたコードを設定し、SMSログインを通って管理者を含むアカウントを乗っ取れるおそれがあります。影響は2.8.4〜2.15.1で、開発元のGitHubには日本時間2日に修正のコミットが入っていますが、修正を含むリリース版の番号は確認できていません。現時点で悪用の報告は確認できていませんが、利用している場合は修正コミットの取り込みか、SMSログインの無効化を検討してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120447 出典：VulnCheck https://www.vulncheck.com/advisories/hotgo-through-2.15.1-authentication-bypass-via-client-set-sms-verification-code 出典：HotGo（GitHub） https://github.com/bufanyun/hotgo/commit/cb57056c746650e6ff86dec1e97d404b63dcfd30 ■注意点 ・米CISAのKEVは3日昼の時点でも、10月30日のIvanti Connect Secure 2件以降の追加がありません。 ・ほかに、WordPressの定番キャッシュプラグインWP Fastest Cache（1.5.3以前、CVE-2026-111464、CVSS 5.9）で、公開登録を有効にしたマルチサイト構成に限り、新規登録者のユーザー名とパスワードがキャッシュ経由で漏れうる問題が公表されています。 ・動画共有基盤AVideoのエンコーダー（8.1.0より前）のログイン不要のコマンド実行（CVE-2026-61567、CVSS 10.0）は、10月28日公開の記録に米CISAの評価が追記されたもので、悪用の報告は確認できていません。3日は祝日のため、国内の注意喚起は休み明けにまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ
