ニュース
監視ツールCactiに認証なしでDBを抜かれる脆弱性 CVE-2026-39893
インフラセキュリティ
サーバーやネットワークの状態をグラフで監視する定番ツール『Cacti』に、認証なしでデータベースを操作されかねない脆弱性が見つかりました。CVE-2026-39893、深刻度は最高クラスのCVSS9.8。絞り込み用の値からのSQLインジェクションで、ゲスト閲覧を有効にした環境ではログインなしに悪用できます。1.2.30以前が対象で、1.2.31へ更新を。
2026.06.2532 views
ニュース
社内チャット基盤Rocket.Chatに認証なしで乗っ取りの脆弱性3件、CVE-2026-45688ほか最新版へ更新を
セキュリティ開発
官公庁や企業で使われる社内チャット基盤『Rocket.Chat』に、認証なしで他人のアカウントを乗っ取られかねない脆弱性が3件見つかりました。最も深刻なCVE-2026-45688とCVE-2026-45689はCVSS9.1。ログインの窓口にデータベース用の記号を割り込ませて本人確認をすり抜け、アクセス権の窃取や管理者昇格に至る恐れがあります。各系統の最新版へ更新を。
2026.06.2584 views
ニュース
セルフホスト型Git『Gogs』の脆弱性6件、0.14.3で解消済み
セキュリティ開発
自分のサーバーでソースコードを管理できる軽量なGitサービス『Gogs』に、脆弱性が6件見つかりました。最も深刻なCVE-2026-52813は認証なしでサーバーを乗っ取れるCVSS10.0。ほかにコード実行や管理者権限の奪取も含まれます。0.14.3より前が対象で、この1回の更新でまとめて修正されます。自分でGogsを運用しているなら今すぐ更新を。
2026.06.2552 views
ニュース
Mastodonにサーバーを踏み台にされる脆弱性、安全なバージョンと対策
インフラセキュリティ
分散型SNS『Mastodon』のサーバーソフトに、外部からサーバー自身を踏み台にして不正な接続をさせられる脆弱性が見つかりました。CVE-2026-47389、深刻度はCVSS8.6。攻撃者がDNSを細工するだけで、サーバー内部やクラウドの管理情報（鍵）に到達され、認証情報を盗まれる恐れがあります。4.5.9以前・4.4.16以前・4.3.22以前が対象で、運営者は4.5.10／4.4.17／4.3.23へ更新を。
2026.06.2552 views
ニュース
自宅メディアサーバーJellyfinに脆弱性2件、ファイル書き換えの恐れ、CVE-2026-48793ほかv10.11.10へ更新を
セキュリティインフラ
自宅サーバーで映画や音楽を配信できる人気ソフト『Jellyfin』に、攻撃者がサーバー上の本来書き込めない場所へファイルを書き込める脆弱性が2件見つかりました。CVE-2026-48793とCVE-2026-49247、深刻度はいずれもCVSS8.8。管理者権限は不要で、複数人で共有していたり外部に公開していたりするサーバーほど危険です。10.11.10より前が対象で、10.11.10へ更新を。
2026.06.2539 views
ニュース
Ghost CVE-2026-53943、更新先をv6.54.1へ訂正
セキュリティ開発
ブログやニュースレターを配信できる人気ツール『Ghost』に、サイトの表示を外部から汚染して運営者のアカウントを乗っ取られかねない脆弱性が見つかりました。CVE-2026-53943、深刻度はCVSS9.6。認証なしで特定のヘッダーを送ると、汚染された表示が他の閲覧者にも配られ、公開サイトと管理画面が同じドメインだとスタッフ乗っ取りに至る恐れがあります。4.0.0〜6.36系が対象で、6.37.0へ更新を。
2026.06.2532 views
ニュース
Rcloneに追加6件、CVE-2026-49980はv1.74.4以降へ
セキュリティインフラ
クラウドにファイルを保存・同期する定番ツール『Rclone』に、認証なしで遠隔から悪用できる脆弱性が見つかりました。CVE-2026-49980、深刻度は最高クラスのCVSS9.8。リモート操作機能（rcd）をネットワークに開いていると、細工した通信を一度送るだけで、Rcloneが動くマシン上で任意のコマンドを実行される恐れがあります。1.46.0〜1.74.2が対象で、1.74.3へ更新を。
2026.06.2549 views
ニュース
AIエージェント搭載ターミナルWarpの脆弱性と安全なバージョン
セキュリティ開発
AIエージェントを搭載した開発者向けターミナル『Warp』に、脆弱性が4件見つかりました。CVE-2026-48704ほか、深刻度はいずれもCVSS8.6〜8.8。細工した文書を開いたり、画面の出力を受け取ったり、悪意あるリポジトリでAIに作業させたりするだけで、手元のパソコンで勝手にプログラムを実行される恐れがあります。最新版への更新が必要です。
2026.06.2569 views
ニュース
AIの学習データ基盤Feastに認証なしの脆弱性が相次ぐ、サーバー乗っ取りとファイル書き込み CVE-2026-56121ほか、v0.63.0へ更新を
セキュリティAI
AIや機械学習の開発でデータを管理する基盤『Feast』に、認証なしでサーバーを乗っ取られる脆弱性が見つかりました。CVE-2026-56121、深刻度は最高クラスのCVSS9.8。バージョン0.63.0より前が対象で、外部から細工した通信を一度送るだけで、Feastを動かすサーバー上で任意のプログラムを実行される恐れがあります。すぐに0.63.0へ更新してください。
2026.06.2551 views
ニュース
スマホアプリ即時更新サービスCapgoに脆弱性多数、アカウント乗っ取りの恐れ、CVE-2026-56237、v12.128.2へ更新を
開発セキュリティ
スマホアプリの中身を審査なしで即時更新できるサービス『Capgo』に、認証の不備による脆弱性が多数見つかりました。CVE-2026-56237ほか、最も重い深刻度はCVSS9.1。他人のアカウントや組織を乗っ取り、アプリに配るプログラム更新を不正に操作される恐れがあります。バージョン12.128.1以前が対象で、修正版12.128.2以降への更新が必要です。
2026.06.2462 views
ニュース
WordPressのUltimate Memberに管理者乗っ取り脆弱性、2.12.0以降で修正
セキュリティ開発
世界20万サイト以上が使う会員制サイト構築プラグイン『Ultimate Member』に、投稿者権限の利用者が管理者を乗っ取れる脆弱性が見つかりました。CVE-2026-7761、深刻度はCVSS8.8。バージョン2.11.4以前が対象で、最新の2.12.0への更新が必要です。パスワード再設定用リンクを盗まれ、サイトを丸ごと奪われる恐れがあります。
2026.06.2446 views
ニュース
GeoVisionの防犯機器GV-I/O Box 4E、乗っ取り脆弱性はv2.12で解消
インフラセキュリティ
防犯カメラと連動して警報や電気錠を制御するGeoVision製機器「GV-I/O Box 4E」に、パスワードなしで遠隔から乗っ取られる脆弱性が8件見つかりました。最大の深刻度はCVSS10.0。古いバージョン2.09が対象で、修正版2.12への更新が必要です。放置すると機器が攻撃の踏み台やネットワーク侵入の起点にされる恐れがあります。
2026.06.2448 views
