CVE-2026-53412CVSS 9.8 超危険2026-07-17
ZoomWindowsクライアントの不適切な入力検証によるアカウント乗っ取り
Zoom Windowsデスクトップクライアント、Zoom Windows VDIクライアント、およびZoom Windowsミーティング SDKにおいて、不適切な入力検証（CWE-20）に起因する重大なセキュリティ上の欠陥が存在します。認証されていない攻撃者がネットワークアクセスを通じてアカウントの乗っ取りを実行できます。本脆弱性により、攻撃者はユーザーの操作を必要とせず、ネットワークインターフェースを介してリモートから脆弱性を悪用し、被害者のZoomアカウントを完全に制御することが可能となります。本脆弱性は、修正が適用されていないすべてのZoom Windows関連コンポーネントのユーザーに影響します。攻撃者はネットワーク経由で攻撃を開始するだけで脆弱性を悪用でき、ローカル権限は不要でリモートから操作可能です。
コンポーネント
Zoomは広く利用されているビデオ会議・コラボレーションソフトウェアであり、デスクトップクライアント、VDIクライアント、およびミーティング SDKを提供し、世界中でリアルタイムの音声・映像通信をサポートしています。
リスク
- アカウントの完全な乗っ取り：攻撃者は被害者のZoomアカウントを不正に完全制御し、会議履歴、連絡先リスト、および機密通信内容にアクセス可能
- プライバシー侵害とデータ改ざん：機密性・完整性・可用性への影響がいずれも高いため、攻撃者は機密情報を窃取したり会議データを改ざんしたりすることが可能
- 認証不要のリモート攻撃：攻撃ベクターがネットワーク（NETWORK）経由であり、特権不要（PR:N）かつユーザー操作不要（UI:N）、攻撃複雑度が低（AC:L）であるため、自動化による悪用が極めて容易
出典
対処方法- 多要素認証（MFA）を有効化してアカウントのセキュリティを強化するトのセキュリティを強化する
- Zoomサービスに対する異常な未認証アクセスの試みについてネットワークトラフィックを監視する
CVE-2026-44181CVSS 9.8 超危険2026-07-17
Jupyter Enterprise Gatewayにおけるサーバーサイドテンプレートインジェクション脆弱性によるリモートコード実行
Jupyter Enterprise Gateway 2.0.0rc2 以上かつ 3.3.0 未満のバージョンにおいて、Kubernetes マニフェストレンダリングモジュールが環境変数（KERNEL_XXX）を適切に処理しないため、サーバーサイドテンプレートインジェクション（SSTI、CWE-1336）のセキュリティ上の欠陥が存在します。攻撃者は環境変数に Jinja2 テンプレート式を注入することで、Enterprise Gateway サービス上で任意の Python コードおよびオペレーティングシステムコマンドを実行できます。この脆弱性により、攻撃者は Kubernetes サービスアカウントトークンおよびシークレットを窃取し、さらに特権 Pod またはhostPath ボリュームをマウントした Pod をスケジュールすることで Kubernetes クラスター全体を完全に掌握することが可能です。本問題は 3.3.0 にて修正済みです。
コンポーネント
Jupyter Enterprise Gateway は、Apache Spark、Kubernetes、Docker Swarm などの分散クラスター上でリモートの Jupyter Notebook カーネルを起動するためのサービスコンポーネントです。
リスク
- クラスターの完全掌握：攻撃者はこの脆弱性を悪用して Kubernetes サービスアカウントトークンおよびシークレットを窃取し、Kubernetes クラスターを完全に乗っ取ることができます
- 任意コードの実行：攻撃者は Enterprise Gateway サービスプロセス内で任意の Python コードおよびオペレーティングシステムコマンドを実行できます
- ラテラルムーブメントと永続化：特権 Pod のスケジューリングまたは hostPath ボリュームのマウントを通じて、攻撃者は基盤となるホストマシンに深く侵入し、永続的な制御を実現できます
出典
対処方法- Jupyter Enterprise Gateway を直ちに 3.3.0 以上のバージョンへアップグレードしてくださいンへアップグレードしてください
- Kubernetes サービスアカウントの権限を厳格に制限し、最小権限の原則に従ってください
- Enterprise Gateway サービスにおける異常なプロセス生成およびリソースアクセスの挙動を監視してください
CVE-2023-49899CVSS 9.8 超危険2026-07-16
影響を受けるデバイスが通信チャネルの送信元を検証しないことによるリモートコマンド実行
影響を受けるデバイスにおいて、通信チャネルの送信元が適切に検証されないことに起因する送信元検証エラー（CWE-346）のセキュリティ上の欠陥が存在します。認証されていないリモートの攻撃者がこの脆弱性を悪用することで、デバイス上で任意のコマンドを実行できます。この脆弱性により、攻撃者はネットワーク経由で攻撃を行い、ユーザーの操作や特権を一切必要とせず、影響を受けるシステムを完全に制御することが可能です。この脆弱性は当該欠陥が修正されていないすべてのデバイスに影響し、攻撃者は細工したネットワークリクエストを送信するだけで脆弱性を悪用でき、システムが完全に乗っ取られる可能性があります。
コンポーネント
影響を受けるデバイスには、ネットワーク通信チャネルを処理するモジュールが含まれており、このモジュールは外部からの接続要求の受信および処理を担当しています。
リスク
- システムの完全制御：攻撃者はこの脆弱性を悪用して被害者のシステム上で任意のコードを実行し、ユーザー権限に応じてプログラムのインストール、データの閲覧・変更・削除、または完全な権限を持つ新規アカウントの作成が可能です
- ユーザー操作不要の攻撃：攻撃者はユーザーに何らかの操作を促す必要がなく、ネットワーク経由で悪意のあるリクエストを送信するだけで脆弱性を発火させることができます
- 高い機密性・完全性への損害：攻撃者は機密データを窃取してシステムの状態を改ざんし、情報漏洩およびシステム機能の異常を引き起こす可能性があります
出典
対処方法- すべてのインバウンド通信チャネルの送信元および身元を厳格に検証する信元および身元を厳格に検証する
- ネットワーク層のアクセスコントロールリスト（ACL）を実装して信頼できる送信元を制限する
- 異常なコマンド実行ログを監視し、侵入検知システムを導入する
CVE-2023-49900CVSS 9.8 超危険2026-07-16
SetParameterコマンドの未認証リモートコード実行脆弱性によるリモートコード実行
関連コンポーネントにおいて、SetParameter コマンドはユーザー入力が適切にサニタイズされていないため、OSコマンドインジェクション（CWE-78）のセキュリティ欠陥が存在します。認証されていないリモート攻撃者はこの脆弱性を悪用してリモートコード実行を行うことができます。この脆弱性により、攻撃者はネットワーク経由で直接攻撃を開始でき、ユーザーの操作や特権資格情報を一切必要とせずに影響を受けるシステムを完全に制御できます。この脆弱性はパッチが適用されていないすべての関連サービスインスタンスに影響し、攻撃者は特細工された SetParameter リクエストを送信するだけで脆弱性を悪用し、システムを完全に乗っ取ることができます。
コンポーネント
このコンポーネントはパラメーター設定を処理するための SetParameter コマンドインターフェースを提供していますが、入力データに対する厳格な検証およびサニタイズが欠如しているため、悪意のあるコマンドのインジェクションが可能となっています。
リスク
- システムの完全制御：攻撃者はこの脆弱性を悪用して被害者のシステム上で任意のコードを実行し、ユーザー権限に応じてプログラムのインストール、データの閲覧・変更・削除、または完全な権限を持つ新規アカウントの作成が可能です
- ユーザー操作不要の攻撃：攻撃者はユーザーに何らかの操作を誘導する必要がなく、ネットワーク経由で悪意のあるリクエストを送信するだけで脆弱性をトリガーできます
- 高い機密性・完全性への影響：CVSSスコアは機密性・完全性・可用性への影響がいずれも高であることを示しており、攻撃者が機密データを窃取し、システム状態を改ざんし、サービスを停止させる可能性があることを意味します
出典
対処方法- コンポーネントを公式リリースの修正バージョンに直ちに更新してください正バージョンに直ちに更新してください
- ファイアウォールまたは WAF レベルで SetParameter コマンドへのリクエストを厳格にフィルタリングおよび監視してください
- 入力データに対して厳格なホワイトリスト検証および特殊文字のエスケープ処理を実施してください
パッケージ汚染npm2026-07-17
agentto@0.5.36 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
08011aa6b7f86bb8d5968017e69ba3fc
パッケージ汚染npm2026-07-17
channel-worker@2.5.39 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
287e020b33ecef4ea61c8c11d5f96fa2
パッケージ汚染npm2026-07-17
codeam-cli@2.61.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
c2d417f5b21993e689c4ee7f70fdc61f
パッケージ汚染npm2026-07-17
isite@2026.7.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
045515e313d28302f4177d865ad089c0
パッケージ汚染npm2026-07-17
netcontrol-agent@1.0.5 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
ad2ec3ee89dc4809c90e0a88df970bb2
パッケージ汚染npm2026-07-17
patchwork-os@1.1.0-beta.3.canary.414 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
f14edeae46b6994bdbd4330119765c52
パッケージ汚染npm2026-07-17
phantomx-tool-client@1.0.8 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
a1e857a3ae67383242674482e809c15b
パッケージ汚染pypi2026-07-17
airflow-provider-spirit@0.0.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
f30a8a03278a36f099ab4f3df297b91c
パッケージ汚染pypi2026-07-18
darkglitch@1.2.0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
fa94b3faf1d48c41e07aada064153bc7
パッケージ汚染pypi2026-07-17
dde-common@0.0.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
15c39fb5942de814f4ee0b3df71f769e
パッケージ汚染pypi2026-07-18
trongridme@0.0.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
8b51a89c45e815662701fb76fa012f91
