CVE-2026-86596

🆕 New CVE remote code execution in IPN email template handling (CVE-2026-86596) An attacker with custom-level access can inject PHP code via the item_name parameter to run any code on the server. No patch listed yet https://cve.now/CVE-2026-86596?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

🚨 Update: public exploit code for CVE-2026-86596 is out on GitHub. No patch listed yet https://cve.now/CVE-2026-86596?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=exploit

【11/3 朝】CVE・脆弱性ニュースまとめ ■国内 前回（2日23時）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Google「Android」：11月のセキュリティ情報を公開、操作なしで遠隔からコードを実行されうるFrameworkの脆弱性など（CVE-2026-58868ほか、Critical） Googleが11月のAndroidセキュリティ情報を公開し（米国時間2日）、日本時間3日早朝に計216件のCVEがhttp://cve.orgに登録されました。最も深刻なのはFramework部分の脆弱性（CVE-2026-58868）で、利用者の操作なしに、遠隔から追加の権限なしでコードを実行されるおそれがあるとしています。ほかにもSystem部分の遠隔コード実行2件（CVE-2026-58876、CVE-2026-58936）や、カーネルのBluetooth・pKVMなどの権限昇格がCriticalと評価され、2日に取り上げたMediaTekのモデムの脆弱性もこの中で修正対象に含まれています。対象はAndroid 14〜17で、セキュリティパッチレベル「2026-11-05」以降ですべて修正されます。今回の情報では実際の悪用に関する記載はありませんが、端末メーカーからアップデートが届いたら早めに適用してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-58868 出典：Android セキュリティ情報 https://source.android.com/docs/security/bulletin/2026/2026-11-01 ② Absolute Security「Secure Access（リモートアクセスVPN）」：認証を回避して端末側のセキュリティ設定を書き換えられうる脆弱性など2件（CVE-2026-116769、CVSS v4.0 9.3／CVE-2026-97718、CVSS v4.0 9.4） リモートアクセスVPN製品Secure Accessのサーバーで、2件の脆弱性が日本時間3日早朝に公表されました。CVE-2026-116769は認証回避の脆弱性で、攻撃者がサーバーを経由して接続端末（クライアント）のセキュリティ設定を書き換えられるおそれがあり、13.0以上14.61未満が対象です。CVE-2026-97718はクロスサイトリクエストフォージェリ（CSRF）で、セキュリティ対策が回避されることで、管理者に攻撃者の管理するアカウントを作らせることができてしまい、14.60が対象です。修正版は14.61で、現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-116769 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-97718 出典：Absolute Security https://www.absolute.com/platform/security-information/vulnerability-archive/cve-2026-116769 ③ Control Web Panel「CWP（Linuxサーバー管理パネル）」：ログインなしでOSコマンドを実行されうる脆弱性など2件（CVE-2026-77876、CVSS v3.1 9.8／CVE-2026-73696、CVSS v3.1 9.1） レンタルサーバーやVPSで使われる無料のサーバー管理パネルCWPで、2件の脆弱性が登録されました。CVE-2026-77876は利用者パネルの「protected_directory」機能で、送られた値がそのままシェルのコマンドに渡り、任意のコマンドを実行されてしまう問題で、1.16より前が対象です。CVE-2026-73696はリダイレクトの後に処理が止まらない不具合で、ログインしていない攻撃者が本来は認証が必要な利用者パネルの機能に届いてしまい、1.12より前が対象です。登録元のVulnCheckは修正済みの版としてそれぞれ1.16、1.12を示しており、現時点で悪用の報告は確認できていませんが、CWPは過去にも脆弱性2件（CVE-2022-44877、CVE-2025-48703）がKEVに登録されているため、更新をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-77876 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-73696 出典：VulnCheck https://www.vulncheck.com/advisories/control-web-panel-cwp-os-command-injection-via-protected-directory ④ SUSE「Rancher（Kubernetes管理基盤）」：認証情報がクラウド事業者側に漏れうる問題と、管理クラスターの管理者権限を奪われうる問題（CVE-2026-88811、CVE-2026-94290、いずれもCVSS v3.1 9.1） 複数のKubernetesクラスターをまとめて管理するRancherで、2件の脆弱性が公表されました。CVE-2026-88811は、Rancher Managerの中継機能（meta proxy）が送られた情報を正しく取り除かず、Rancherの認証情報がクラウド事業者側に渡ってしまうおそれがある問題で、2.11〜2.15系の各版（例：2.15.3、2.14.7、2.13.11、2.12.15、2.11.19より前）が対象です。CVE-2026-94290はFleet（GitOps機能）の管理処理で、一般の利用者が管理する名前空間のクラスター定義に管理クラスター自身の認証情報をひも付けられ、その利用者の設定が管理クラスター上で高い権限のまま実行されてしまう問題で、Fleet 0.13〜0.16系（例：0.16.3より前）が対象です。それぞれの系統で修正版が出ており、現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-88811 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-94290 出典：Rancher（GitHub） https://github.com/rancher/rancher/security/advisories/GHSA-x82x-2qj6-5rm2 出典：Rancher Fleet（GitHub） https://github.com/rancher/fleet/security/advisories/GHSA-qfmw-gw96-ffcr ⑤ Chainguard「kaniko（コンテナイメージのビルドツール）」：偽のレジストリにAzure（Entra ID）のアクセストークンを送ってしまう脆弱性（CVE-2026-105769、CVSS v3.1 9.3） CI環境などでコンテナイメージを作るkanikoで、Azure Container Registry（ACR）かどうかの判定が甘く、「.azurecr.io」を含むだけの偽のホスト名（例：http://x.azurecr.io.attacker.com）もACRとして扱ってしまう問題です。Dockerfileがそうした偽のホストのイメージを参照すると、ビルド環境のAzureの認証情報（サービスプリンシパルやマネージドIDなど）からトークンを取得し、攻撃者のサーバーに送ってしまうおそれがあります。影響は1.25.20より前で、1.25.20で修正されています。現時点で悪用の報告は確認できていませんが、外部から受け取ったDockerfileをビルドする環境では特に注意が必要です。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-105769 出典：Chainguard（GitHub） https://github.com/chainguard-forks/kaniko/security/advisories/GHSA-5q7h-w9jf-cx97 ⑥ python-jose「python-jose（Python向けJWTライブラリ）」：空の鍵を受け入れてしまい、ログイン用のトークンを偽造されうる脆弱性（CVE-2026-120459、CVSS v4.0 9.1／v3.1 7.4、修正版なし） PythonでJWT（ログイン状態などを表すトークン）を扱うpython-joseで、HMAC方式（HS256など）の検証用の鍵が空でも受け入れてしまう問題です。アプリ側の設定ミスなどで検証用の鍵が空になっている場合、ログインしていない攻撃者が好きな内容のトークンを作り、正規のものとして通してしまうおそれがあります。影響は3.5.0以前で、3.5.0が現時点の最新版のため修正版はありません（GitHubの報告は3月から未解決）。現時点で悪用の報告は確認できていませんが、検証用の鍵が空にならないことを確認するか、保守が続いている別のJWTライブラリへの移行を検討してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120459 出典：VulnCheck https://www.vulncheck.com/advisories/python-jose-through-3.5.0-authentication-bypass-via-empty-hmac-key ⑦ Themefic「Ultra Addons for Contact Form 7（WordPressプラグイン）」：ログインなしでサーバー上の任意のファイルを削除されうる脆弱性（CVE-2026-102435、CVSS v3.1 9.8） WordPressの定番フォームプラグインContact Form 7の拡張プラグインで、PDF生成機能の処理がファイルの場所を正しく確かめていないため、ログインしていない攻撃者がサーバー上の任意のファイルを削除できてしまう脆弱性です。登録元のWordfenceによると、wp-config.phpなどを消されるとサイトを乗っ取られ、コードを実行されることにもつながりうるとしています。攻撃できるのはPDF生成アドオンが有効で、PDFを作る設定のフォームがある場合に限られます。影響は3.5.54以前で、修正のための変更がプラグインの配布元に反映されているため、最新版への更新を確認してください。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-102435 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/187777a4-3438-489c-ad3b-7e16753189d6 ■注意点 ・米CISAのKEVは3日朝の時点でも、10月30日のIvanti Connect Secure 2件以降の追加がありません。 ・ほかに、PostgreSQLのODBCドライバpsqlODBCで、信頼できないサーバーや通信の盗み見・改ざんを受けた場合にクライアント側のメモリを壊されうる脆弱性など11件（最大CVSS 7.5、18.00.0006より前が対象）、ID管理基盤Apache Syncopeで管理者がGroovyのサンドボックスを抜けられる問題などが公表されています。 ・WordPressの会員管理プラグインs2Member（CVE-2026-86596、CVSS 9.8）は、登録内容で「ログイン不要」と「特定の権限が必要」の説明が食い違っているため、今回は取り上げていません。3日は祝日のため、国内の注意喚起は休み明けにまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ

🔒 #CyberSecurity CVE-2026-102435 and CVE-2026-86596: Critical WordPress Plugin Vulnerabilities —… "Three critical vulnerabilities affecting WordPress plugins have been disclosed this…" 🔗 https://securityarsenal.com/blog/cve-2026-102435-and-cve-2026-86596-critical-wordpress-plugin-vulnerabilities-detection-and-remediation-guide #CyberSecurity #ThreatIntel #cve2026102435 #critical #cve

WordPress 会員制プラグイン s2Member（260927以下）にメールテンプレート経由のコード実行。PHPタグ除去が「<?」しか見ておらず、整形後に開始タグが組み上がる。NVDの記述とCVSSで認証要否が食い違っている点も整理した。 https://cve.autoarticles.net/cve/CVE-2026-86596

CVE-2026-86596 (CRITICAL / 9.8) — The s2Member plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, <= 260927... https://nvd.nist.gov/vuln/detail/CVE-2026-86596 #wordpress #php

NØØT Security Alerts Classification: Critical CVE: CVE-2026-86596 Product: clavaque / s2member Summary: VulnCheck reports real-world exploitation activity affecting clavaque / s2member. Evidence: Active exploitation reported; Severe impact class Impact: The vulnerability has a severe impact class such as code execution, authentication bypass, account takeover, or privilege escalation. Action: Prioritize vendor remediation, identify exposed affected systems, and investigate for evidence of exploitation when applicable. Date: 02 Nov 2026 Source: https://vulncheck.com/ #NØØT #CyberSecurity #InfoSec #ThreatIntelligence #CyberThreats #CVE #CyberDefense #s2member #CVE_2026_86596 #ActiveExploitation #Exploit

Ledenzone of betaalmuur op je WordPress-site via s2Member? Versies t.e.m. 260927 hebben een kritiek lek (CVE-2026-86596): een buitenstaander kan zonder login code uitvoeren op je server. Update naar 261001. Gratis indicatie van je site: https://phpguard.be/?utm_source=x&utm_medium=social&utm_campaign=nieuwshaak