日次セキュリティ情報 每日 IT 安全摘要

【日次セキュリティ情報】2026/11/09（月）｜緊急 6件・重要 3件

各位

本日のセキュリティ情報をお送りします。

対象期間：2026-11-08 09:12 JST 頃 ～ 2026-11-09 09:10 JST 頃

凡例：🔴 緊急（Critical）／🟠 重要（High）／⚪ 参考情報

🔴 緊急（Critical）

  1. OpenSSH「sshole」（CVE-2026-123158）を狙う攻撃の継続観測

    既報の脆弱性について、SANS ISC のハニーポットでは長いパスワードを用いた悪用試行が 11 月 5 日から確認され、11 月 6 日に 713 件、11 月 7 日に 246 件を記録しています。musl libc 環境で PAM を使わない OpenSSH（一部の Alpine Linux 等）が対象です。OpenSSH 10.6p2 以降への更新と、インターネットに公開された Alpine 系ホスト／コンテナの確認を行ってください。

  2. OpenAM 16.1.4 未満の複数の脆弱性（CVE-2026-123551 ほか、CVSS 最大 10.0）

    未認証で有効なセッショントークンを読み取れる情報漏えい（CVE-2026-123551、CVSS 10.0）、SAML v2.0 ECP で署名のないアサーションを受け入れる認証回避（CVE-2026-123550、CVSS 9.8）、自己登録時に制限属性を設定できる不備（CVE-2026-123549、CVSS 9.8）が公開されています。OpenAM を利用している場合は 16.1.4 へ更新してください。

  3. IBM Concert の OS コマンドインジェクション（CVE-2026-6715／CVE-2026-15266、CVSS 9.8）

    IBM Concert 1.0～3.0.1.1 で任意のシステムコマンドを実行される可能性があります。同時に IBM DataStage on Cloud Pak for Data（CVE-2026-107331、CVSS 9.9）、Process Mining（CVE-2026-114464、CVSS 9.3）、WebSphere eXtreme Scale（CVE-2026-101117、CVSS 9.1）、Optim（CVE-2026-17466、CVSS 9.1）も公開されています。IBM の公告に従い修正版を適用してください。

  4. OpenEMR の複数の脆弱性（CVE-2026-124469 ほか、CVSS 最大 9.9）

    SQL インジェクション（CVE-2026-124469）、fax/sms モジュールのパストラバーサルとアクセス制御不備（CVE-2026-124450／CVE-2026-124490）、ワンタイム認証の使用回数制限が無視される不備（CVE-2026-124445）などが公開されています。8.4.0 へ更新してください。

  5. Craft CMS の GraphQL 認可回避（CVE-2026-124427、CVSS 9.8）

    Craft CMS 5.0.0～5.11.1 で、匿名の GraphQL クライアントが権限外のセクションのエントリを読み取れる可能性があります。5.11.2 へ更新してください。

  6. imgproxy の ICO 読み込み処理における整数オーバーフロー（CVE-2026-123614、CVSS 9.8）

    imgproxy 4.0.0～4.0.15 で、細工した ICO 画像によりヒープバッファオーバーフローが発生する可能性があります。4.0.16 へ更新してください。

🟠 重要（High）

  1. UnrealIRCd 6.2.7.1 で、IRCv3「label」タグのエスケープ不備により一般ユーザーがサーバー間通信に改行を挿入し、サーバー権限でコマンドを実行できる脆弱性（CVE-2026-114713）が修正されました。ホットパッチも提供されています。

  2. Windows「ペイント」のコード実行の脆弱性（CVE-2026-83844）について、Microsoft は CVSS を 8.1 から 7.0 に修正しました。修正は Microsoft Store 経由で配信されるため、Store アプリの更新が抑止されていないか確認してください。

  3. Home Assistant（core 2026.11.0 で検証）について、リフレッシュトークンの秘密情報が config/.storage/auth に平文で保存され、2 種類のトークンが失効せず、パスワード変更でもトークンが無効化されないとの報告が公開されています。設定バックアップの保護と、パスワード変更時の長期トークンの手動削除を検討してください。

⚪ 参考情報

  1. 米 CISA、FBI など 5 機関が、産業用冷凍・冷蔵設備およびコールドチェーン監視システムを標的とするサイバー攻撃について共同で注意喚起しました。温度の改ざんにより食品や医薬品に影響が出るおそれがあります。

  2. 国内では情報漏えいの公表が続いています。花キューピットの会員情報 423 万 8,242 件、アイリスオーヤマの外部クラウドサービス経由で約 770 万人分の可能性、GMO コマース（委託先アララ経由）のメールアドレス 221 万 3,960 件、ソニー生命「お客さま WEB サービス」経由のメディケア生命の契約者等約 38.5 万件、チームスピリットの開発用サーバー経由の 28,824 件などが公表されています。また、総務省消防庁は安否情報システムへの不正アクセスを受けてサービスを停止しています。

各プロジェクトの状況に応じて、対応要否をご判断ください。

本メールは自動収集した情報をもとに作成しています。