CVE-2026-97718

🆕 New CVEs 2 critical CVEs in Absolute Security Secure Access Worst: csrf protection bypass in administrator actions (CVE-2026-97718) Patch → see advisories https://cve.now/CVE-2026-97718?release=CVE-2026-116769&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

【11/3 朝】CVE・脆弱性ニュースまとめ ■国内 前回（2日23時）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Google「Android」：11月のセキュリティ情報を公開、操作なしで遠隔からコードを実行されうるFrameworkの脆弱性など（CVE-2026-58868ほか、Critical） Googleが11月のAndroidセキュリティ情報を公開し（米国時間2日）、日本時間3日早朝に計216件のCVEがhttp://cve.orgに登録されました。最も深刻なのはFramework部分の脆弱性（CVE-2026-58868）で、利用者の操作なしに、遠隔から追加の権限なしでコードを実行されるおそれがあるとしています。ほかにもSystem部分の遠隔コード実行2件（CVE-2026-58876、CVE-2026-58936）や、カーネルのBluetooth・pKVMなどの権限昇格がCriticalと評価され、2日に取り上げたMediaTekのモデムの脆弱性もこの中で修正対象に含まれています。対象はAndroid 14〜17で、セキュリティパッチレベル「2026-11-05」以降ですべて修正されます。今回の情報では実際の悪用に関する記載はありませんが、端末メーカーからアップデートが届いたら早めに適用してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-58868 出典：Android セキュリティ情報 https://source.android.com/docs/security/bulletin/2026/2026-11-01 ② Absolute Security「Secure Access（リモートアクセスVPN）」：認証を回避して端末側のセキュリティ設定を書き換えられうる脆弱性など2件（CVE-2026-116769、CVSS v4.0 9.3／CVE-2026-97718、CVSS v4.0 9.4） リモートアクセスVPN製品Secure Accessのサーバーで、2件の脆弱性が日本時間3日早朝に公表されました。CVE-2026-116769は認証回避の脆弱性で、攻撃者がサーバーを経由して接続端末（クライアント）のセキュリティ設定を書き換えられるおそれがあり、13.0以上14.61未満が対象です。CVE-2026-97718はクロスサイトリクエストフォージェリ（CSRF）で、セキュリティ対策が回避されることで、管理者に攻撃者の管理するアカウントを作らせることができてしまい、14.60が対象です。修正版は14.61で、現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-116769 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-97718 出典：Absolute Security https://www.absolute.com/platform/security-information/vulnerability-archive/cve-2026-116769 ③ Control Web Panel「CWP（Linuxサーバー管理パネル）」：ログインなしでOSコマンドを実行されうる脆弱性など2件（CVE-2026-77876、CVSS v3.1 9.8／CVE-2026-73696、CVSS v3.1 9.1） レンタルサーバーやVPSで使われる無料のサーバー管理パネルCWPで、2件の脆弱性が登録されました。CVE-2026-77876は利用者パネルの「protected_directory」機能で、送られた値がそのままシェルのコマンドに渡り、任意のコマンドを実行されてしまう問題で、1.16より前が対象です。CVE-2026-73696はリダイレクトの後に処理が止まらない不具合で、ログインしていない攻撃者が本来は認証が必要な利用者パネルの機能に届いてしまい、1.12より前が対象です。登録元のVulnCheckは修正済みの版としてそれぞれ1.16、1.12を示しており、現時点で悪用の報告は確認できていませんが、CWPは過去にも脆弱性2件（CVE-2022-44877、CVE-2025-48703）がKEVに登録されているため、更新をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-77876 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-73696 出典：VulnCheck https://www.vulncheck.com/advisories/control-web-panel-cwp-os-command-injection-via-protected-directory ④ SUSE「Rancher（Kubernetes管理基盤）」：認証情報がクラウド事業者側に漏れうる問題と、管理クラスターの管理者権限を奪われうる問題（CVE-2026-88811、CVE-2026-94290、いずれもCVSS v3.1 9.1） 複数のKubernetesクラスターをまとめて管理するRancherで、2件の脆弱性が公表されました。CVE-2026-88811は、Rancher Managerの中継機能（meta proxy）が送られた情報を正しく取り除かず、Rancherの認証情報がクラウド事業者側に渡ってしまうおそれがある問題で、2.11〜2.15系の各版（例：2.15.3、2.14.7、2.13.11、2.12.15、2.11.19より前）が対象です。CVE-2026-94290はFleet（GitOps機能）の管理処理で、一般の利用者が管理する名前空間のクラスター定義に管理クラスター自身の認証情報をひも付けられ、その利用者の設定が管理クラスター上で高い権限のまま実行されてしまう問題で、Fleet 0.13〜0.16系（例：0.16.3より前）が対象です。それぞれの系統で修正版が出ており、現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-88811 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-94290 出典：Rancher（GitHub） https://github.com/rancher/rancher/security/advisories/GHSA-x82x-2qj6-5rm2 出典：Rancher Fleet（GitHub） https://github.com/rancher/fleet/security/advisories/GHSA-qfmw-gw96-ffcr ⑤ Chainguard「kaniko（コンテナイメージのビルドツール）」：偽のレジストリにAzure（Entra ID）のアクセストークンを送ってしまう脆弱性（CVE-2026-105769、CVSS v3.1 9.3） CI環境などでコンテナイメージを作るkanikoで、Azure Container Registry（ACR）かどうかの判定が甘く、「.azurecr.io」を含むだけの偽のホスト名（例：http://x.azurecr.io.attacker.com）もACRとして扱ってしまう問題です。Dockerfileがそうした偽のホストのイメージを参照すると、ビルド環境のAzureの認証情報（サービスプリンシパルやマネージドIDなど）からトークンを取得し、攻撃者のサーバーに送ってしまうおそれがあります。影響は1.25.20より前で、1.25.20で修正されています。現時点で悪用の報告は確認できていませんが、外部から受け取ったDockerfileをビルドする環境では特に注意が必要です。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-105769 出典：Chainguard（GitHub） https://github.com/chainguard-forks/kaniko/security/advisories/GHSA-5q7h-w9jf-cx97 ⑥ python-jose「python-jose（Python向けJWTライブラリ）」：空の鍵を受け入れてしまい、ログイン用のトークンを偽造されうる脆弱性（CVE-2026-120459、CVSS v4.0 9.1／v3.1 7.4、修正版なし） PythonでJWT（ログイン状態などを表すトークン）を扱うpython-joseで、HMAC方式（HS256など）の検証用の鍵が空でも受け入れてしまう問題です。アプリ側の設定ミスなどで検証用の鍵が空になっている場合、ログインしていない攻撃者が好きな内容のトークンを作り、正規のものとして通してしまうおそれがあります。影響は3.5.0以前で、3.5.0が現時点の最新版のため修正版はありません（GitHubの報告は3月から未解決）。現時点で悪用の報告は確認できていませんが、検証用の鍵が空にならないことを確認するか、保守が続いている別のJWTライブラリへの移行を検討してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120459 出典：VulnCheck https://www.vulncheck.com/advisories/python-jose-through-3.5.0-authentication-bypass-via-empty-hmac-key ⑦ Themefic「Ultra Addons for Contact Form 7（WordPressプラグイン）」：ログインなしでサーバー上の任意のファイルを削除されうる脆弱性（CVE-2026-102435、CVSS v3.1 9.8） WordPressの定番フォームプラグインContact Form 7の拡張プラグインで、PDF生成機能の処理がファイルの場所を正しく確かめていないため、ログインしていない攻撃者がサーバー上の任意のファイルを削除できてしまう脆弱性です。登録元のWordfenceによると、wp-config.phpなどを消されるとサイトを乗っ取られ、コードを実行されることにもつながりうるとしています。攻撃できるのはPDF生成アドオンが有効で、PDFを作る設定のフォームがある場合に限られます。影響は3.5.54以前で、修正のための変更がプラグインの配布元に反映されているため、最新版への更新を確認してください。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-102435 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/187777a4-3438-489c-ad3b-7e16753189d6 ■注意点 ・米CISAのKEVは3日朝の時点でも、10月30日のIvanti Connect Secure 2件以降の追加がありません。 ・ほかに、PostgreSQLのODBCドライバpsqlODBCで、信頼できないサーバーや通信の盗み見・改ざんを受けた場合にクライアント側のメモリを壊されうる脆弱性など11件（最大CVSS 7.5、18.00.0006より前が対象）、ID管理基盤Apache Syncopeで管理者がGroovyのサンドボックスを抜けられる問題などが公表されています。 ・WordPressの会員管理プラグインs2Member（CVE-2026-86596、CVSS 9.8）は、登録内容で「ログイン不要」と「特定の権限が必要」の説明が食い違っているため、今回は取り上げていません。3日は祝日のため、国内の注意喚起は休み明けにまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ

#NØØT_Security_Alerts 🚨 #ALERT — Critical CSRF in Absolute Secure Access 14.60 Can Cause Unauthorized Account Creation October 29, 2026 PRODUCT: Absolute Security Secure Access Server. CVE: CVE-2026-97718 | CRITICAL (CVSS 4.0: 9.4). AFFECTED: Self-hosted server version 14.60 ONLY. FIXED: Server 14.61. Secure Access SaaS customers are not affected, according to Absolute. IMPACT: A cross-site request forgery vulnerability, involving a bypassed security control, permits an attacker to cause an administrator to create an account controlled by the attacker. PREREQUISITES: Exploitation requires an administrator interaction/context; the CNA records passive user interaction (UI:P). It does not require the attacker’s own privileged credentials. The advisory does not establish that the created account necessarily receives administrator privileges. EXPLOITATION STATUS: Vendor disclosure October 29; official Absolute CNA record published November 2. No confirmed malicious exploitation or victim account compromise is established by these primary sources. TRIAGE: Identify servers running 14.60. Review account creation, assigned privileges, administrative sessions and available access logs against authorized change records. The vendor has not published a unique IOC or exact triggering request. Missing logs do not exclude abuse. URGENT ACTION: Restrict administrative interface access to trusted paths and minimize exposure of active privileged sessions. Preserve relevant audit evidence before modifying suspicious accounts. Upgrade affected servers to 14.61 during a controlled maintenance window. Verify running versions, inspect account inventories and permissions, and investigate unauthorized accounts. Disable confirmed malicious accounts, invalidate affected sessions and remediate associated access as warranted. A patched server does not automatically remove accounts created before remediation. SOURCE — VENDOR CVE: https://www.absolute.com/platform/security-information/vulnerability-archive/cve-2026-97718 SOURCE — VENDOR RELEASE ADVISORY: https://www.absolute.com/platform/security-information/vulnerability-archive/multiple-vulnerabilities-addressed-in-secure-access-14-61-and-insights-for-network-4-51 SOURCE — OFFICIAL CNA RECORD: https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97718.json CONFIDENCE: HIGH for vendor-confirmed CSRF mechanism, version scope and fix. LIMITED for the precise attack delivery mechanism, account privileges and observed real-world exploitation. #CyberSecurity #CVE #AppSec #IncidentResponse