つみかさね

【セキュリティ日報】CVSS10.0の脆弱性4件など新規CVE287件、WordPressプラグインに厳重注意

2026-11-10データソース: NVD, OSV, GHSA, JVN
CVENVD脆弱性WordPressOpenSSHCISA KEVIoT機器

本日は新規CVEが287件公開され、うちCriticalが20件、Highが88件と非常に多い1日でした。CISA KEVにはOpenSSH・FreeSwitch・GPUStackの3件が新たに追加されています。CVSSスコア10.0の脆弱性も4件公開されており、WordPressプラグインやIoT機器を中心に早急な確認を推奨します。

本日の概要

指標数値
新規CVE(本日公開)287件
Critical (9.0+)20件
High (7.0-8.9)88件
Medium (4.0-6.9)132件
悪用確認(CISA KEV 新規)3件
影響エコシステムnpm, PyPI

悪用が確認された脆弱性(CISA KEV)

CVE-2026-123158（OpenBSD OpenSSH）

OpenBSD OpenSSH(Linux版)に、想定外のステータスコード・戻り値の不備による認証バイパスの脆弱性が確認されました。広く利用されているSSHサーバーソフトウェアであり影響範囲が大きいです。2026年11月9日にCISA KEVへ追加、対応期限は2026年11月12日です。ベンダーの手順に従い至急パッチを適用してください(ランサムウェアでの悪用: 未確認)。

CVE-2026-116779（SignalWire FreeSwitch）

SignalWire FreeSwitchに、設定・認証情報の漏えいや任意の通話制御・コマンド実行を許すコードインジェクションの脆弱性が確認されました。2026年11月9日にCISA KEVへ追加、対応期限は2026年11月12日です。ベンダーの手順に従い至急パッチを適用してください(ランサムウェアでの悪用: 未確認)。

CVE-2026-102895（GPUStack）

GPUStackに、認証なしで管理者権限の操作(ユーザー・モデル変更、APIキー発行、ワーカー/クラウド事業者のシークレット漏えい、コード実行)が可能になる認証不備の脆弱性が確認されました。2026年11月9日にCISA KEVへ追加、対応期限は2026年11月12日です。ベンダーの手順に従い至急パッチを適用してください(ランサムウェアでの悪用: 未確認)。

Critical/High脆弱性の詳細解説

CVE-2026-124580：Feiyuxing VW2100/VEC10GPのOSコマンドインジェクション

CVSS 10.0(v3.1)。Chengdu Feiyuxing Technology製のVW2100・VEC10GPルーターで、Weixin認証エンドポイントのextendパラメータを操作することでOSコマンドインジェクションが可能です。攻撃はリモートから可能で、Exploitは既に公開されています。ベンダーは連絡に応答しておらず、修正版は現時点でありません。該当機器を使用している場合は外部からのアクセス遮断などの回避策を検討してください。

CVE-2026-115252：WordPress「Confection Cable」プラグインのRCE

CVSS 10.0(v3.1)。バージョン0.4.0〜0.4.7で、権限・nonceチェックなしに設定値をPHPファイルへ書き込み配信してしまうため、未認証の攻撃者が任意のPHPコードを実行できます。該当プラグインの利用者は至急最新版へのアップデートを推奨します。

CVE-2026-110468 / CVE-2026-110469：WidzialniCMSの無制限ファイルアップロード

CVSS 10.0(v4.0)。/panel/controllers/save_photo.phpおよび/panel/upload.phpのパス検証不備により、未認証の攻撃者が任意の場所へファイルをアップロードでき、リモートコード実行につながります。バージョン2.5で修正済みのため、アップデートを推奨します。

CVE-2026-124585：Feiyuxing VW2100/VEC10GPのOSコマンドインジェクション(第2件)

CVSS 9.9(v3.1)。同製品のWeb管理インターフェース(add_expmac機能)のmacパラメータ操作により、OSコマンドインジェクションが可能です。CVE-2026-124580と同様にExploitが公開済みで、ベンダーからの応答もありません。

CVE-2026-124079：rConfigのデシリアライズRCE

CVSS 9.8(v3.1)。rConfig Core 8.2.19未満、rConfig Pro 8.4.1未満に、Redisキューへのジョブ注入を通じた未認証のデシリアライズ脆弱性が確認されました。攻撃者はキューワーカー権限で任意のPHP・OSコマンドを実行できる可能性があります。至急修正版へのアップデートを推奨します。

CVE-2026-123751：WordPress「WP Duplicate」プラグインのRCE

CVSS 9.8(v3.1)。バージョン1.1.11以前で、認証値の検証とアップロードファイルの種別・パスの検証が不十分なため、未認証の攻撃者が任意ファイルを書き込みRCEにつながります。NVDの公開情報では「野放しで活発に悪用されている」との記載があります(本日時点でCISA KEVには未掲載)。該当プラグインの利用者は至急確認してください。

CVE-2026-15266 / CVE-2026-6715：IBM ConcertのOSコマンド実行

CVSS 9.8(v3.1)。IBM Concert 1.0〜3.0.1.1に、入力検証不備によるOSコマンド実行の脆弱性が2件公開されました。いずれもリモートからサービス権限でのコマンド実行が可能です。IBMの修正情報を確認し適用してください。

CVE-2026-115213：WordPress「EASY-JS-WPAPI」プラグインの管理者権限奪取

CVSS 9.8(v3.1)。バージョン2.0以前で、保存された管理者認証情報が未認証ユーザーに開示され、かつ認証処理の検証も不十分なため、サイトの完全な管理者権限を奪取されます。該当プラグインの利用停止または最新版への更新を推奨します。

エコシステム別サマリー

OSVでは3件の脆弱性が確認されました。

  • PyPI: Django(CVE-2025-26699、長い文字列処理時のDoS、修正版4.2.20/5.0.13/5.1.7) / PyTorch(CVE-2026-24747、torch.load(weights_only=True)時の信頼できないチェックポイントファイルによるRCE、修正版2.10.0)
  • npm: Next.js(CVE-2026-45109、Turbopack使用時のmiddleware.tsにおけるミドルウェア/プロキシバイパスの修正漏れ、修正版15.5.18/16.2.6)

JVN日本語情報

本日はJVN iPedia(MyJVN)から情報を取得できませんでした。

評価が更新された既存のCVE

新規ではなく、評価が更新された既存の脆弱性です。

CVECVSS公開日概要
CVE-2022-222749.82022-03-25SonicOSのスタックベースバッファオーバーフロー(DoSまたはコード実行)
CVE-2024-223949.82024-02-08SonicOS SSL-VPNの認証不備(特定条件下で認証バイパス)
CVE-2024-537049.82025-01-09悪用確認: SonicOS SSLVPN認証機構の認証バイパス(ランサムウェアでの悪用も確認)

まとめ

本日はCriticalが20件、Highが88件と件数の多い1日でした。特にWordPressプラグイン・IoT機器を中心にCVSS10.0の脆弱性が4件公開されており、公開済みのExploitを使った攻撃リスクが高い状態です。該当する製品を利用している場合は、影響バージョンを確認のうえ早めのアップデートを推奨します。また、CISA KEVにはOpenSSH・FreeSwitch・GPUStackの3件が新たに追加されました。いずれも対応期限が2026年11月12日と短く設定されているため、優先的な対応を検討してください。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, CISA Known Exploited Vulnerabilities Catalog AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

export const severityData = [
  { name: "Critical", count: 20, color: "#dc2626" },
  { name: "High", count: 88, color: "#f97316" },
  { name: "Medium", count: 132, color: "#eab308" },
  { name: "Low", count: 12, color: "#22c55e" }
];

export const ecosystemData = [
  { name: "npm", count: 1 },
  { name: "PyPI", count: 2 }
];

export const dailySummaryData = [
  {
    "id": "CVE-2026-124580",
    "title": "Feiyuxing VW2100/VEC10GP OSコマンドインジェクション",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["Feiyuxing VW2100/VEC10GP利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "外部アクセス遮断などの回避策を検討(修正版未提供)"
  },
  {
    "id": "CVE-2026-115252",
    "title": "WordPress Confection CableプラグインのRCE",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["WordPress Confection Cableプラグイン利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "0.4.7以降の修正版へアップデート"
  },
  {
    "id": "CVE-2026-110468",
    "title": "WidzialniCMSの無制限ファイルアップロード",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["WidzialniCMS利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "v2.5以降へアップデート"
  },
  {
    "id": "CVE-2026-124585",
    "title": "Feiyuxing VW2100/VEC10GP OSコマンドインジェクション(第2件)",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["Feiyuxing VW2100/VEC10GP利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "外部アクセス遮断などの回避策を検討(修正版未提供)"
  },
  {
    "id": "CVE-2026-124079",
    "title": "rConfigのデシリアライズRCE",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["rConfig Core/Pro利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "Core 8.2.19以降・Pro 8.4.1以降へアップデート"
  },
  {
    "id": "CVE-2026-123751",
    "title": "WordPress WP Duplicateプラグインの任意ファイルアップロードRCE",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["WordPress WP Duplicateプラグイン利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "プラグインの利用停止または最新版へ更新"
  },
  {
    "id": "CVE-2026-15266",
    "title": "IBM ConcertのOSコマンド実行",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["IBM Concert利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "IBMの修正情報を確認し適用"
  },
  {
    "id": "CVE-2026-6715",
    "title": "IBM ConcertのOSコマンドインジェクション",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["IBM Concert利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "IBMの修正情報を確認し適用"
  },
  {
    "id": "CVE-2026-115213",
    "title": "WordPress EASY-JS-WPAPIプラグインの管理者権限奪取",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["WordPress EASY-JS-WPAPIプラグイン利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "プラグインの利用停止を推奨"
  },
  {
    "id": "CVE-2026-123158",
    "title": "OpenBSD OpenSSHの認証バイパス",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["OpenSSH(Linux)利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "ベンダー手順に従い至急パッチ適用(期限2026-11-12)"
  },
  {
    "id": "CVE-2026-116779",
    "title": "SignalWire FreeSwitchのコードインジェクション",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["FreeSwitch利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "ベンダー手順に従い至急パッチ適用(期限2026-11-12)"
  },
  {
    "id": "CVE-2026-102895",
    "title": "GPUStackの認証不備",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["GPUStack利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "ベンダー手順に従い至急パッチ適用(期限2026-11-12)"
  }
];
Xでシェアはてブ
データソース: NVD API 2.0 (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog (CC0 1.0)
"This product uses the NVD API but is not endorsed or certified by the NVD."
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。