CVE-2026-76193CVSS 10.0 超危険2026-08-26
Adobe Campaign Classic のサーバーサイドリクエストフォージェリにより任意コード実行に至る
Adobe Campaign Classic（ACC）には、サーバーサイドリクエストフォージェリ（SSRF、CWE-918）の脆弱性が存在し、現在の利用者の文脈において任意コードの実行を招く可能性があります。攻撃者はこれを悪用して任意のコードを実行でき、本問題の悪用に利用者の操作は不要です。影響のスコープは変更され、攻撃経路はネットワーク、攻撃の複雑さは低く、特権も利用者の操作も要さず、機密性・完全性・可用性のいずれにも高い影響をもたらします。
コンポーネント
Adobe Campaign Classic（ACC）はアドビが提供する企業向けの顧客体験管理の基盤で、大規模なマーケティング活動、顧客との関わり、データ分析の管理に用いられます。
リスク
- システムの完全な制御：攻撃者は被害者のシステム上で任意のコードを実行でき、現在の利用者の権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
- 利用者の操作を要しない攻撃：本問題の悪用に利用者の操作は不要で、攻撃者はネットワーク経由で遠隔から脆弱性を発火でき、押下や特定の操作を促す必要がありません
- 影響の大きさ：CVSS の評価が 10.0 であるため、本脆弱性はシステムの機密性・完全性・可用性のいずれにも深刻な脅威となり、データの漏洩、システムの改竄、サービスの停止を招き得ます
出典
対処方法- ネットワーク層の防護方策を配備し、サーバー側から外部資源への要求の権限を限定してください
- 異常なネットワーク要求の挙動、とりわけ応用サーバーの内部から発せられる想定外の外部接続を監視してください
CVE-2026-49845CVSS 9.8 超危険2026-08-25
Apache Hive Metastore の SQL インジェクションにより意図しない区画メタデータが改竄される
Apache Hive の 4.2.1 より前のバージョンでは、Hive Metastore のモジュールが直接 SQL による区画名の解析で束縛引数を用いないため、SQL インジェクション（CWE-94）というセキュリティ上の欠陥が存在します。直接 SQL が有効（既定の設定）の場合、認証済みの利用者は Metastore の RPC 要求において単一引用符を含む悪意ある区画名を組み立てることで、生成される WHERE 句を変え、意図しない区画のメタデータ（統計情報の更新、切り詰めの対象、ファイルメタデータのキャッシュ操作を含む）を読み取り、改変し、あるいは影響を与えられます。本脆弱性は 4.2.1 へ更新していないすべての利用者に影響し、既定の構成のままでも危険な状態にあります。攻撃者は Hive Metastore の API へのアクセス権を要しますが、追加の操作なしに遠隔から脆弱性を発火でき、データの完全性と機密性が損なわれます。
コンポーネント
Apache Hive は Hadoop に基づくデータウェアハウスのソフトウェアで、データの集約、照会、分析の機能を提供します。Hive Metastore はその中核部品として、メタデータの保存と管理を担います。
リスク
- メタデータ完全性の毀損：攻撃者は区画の統計情報を改竄し、誤った区画を切り詰め、ファイルメタデータのキャッシュを上書きでき、分析結果の誤りやデータの喪失を招きます
- 意図しないデータの読み取り：悪意ある SQL インジェクションを組み立てることで、本来アクセス権のない他の区画のメタデータを読み取れ、情報の漏洩を招きます
- サービス可用性への影響：悪意あるメタデータの操作は Hive の照会の失敗やクラスタのメタデータサービスの不安定化を招き得ます
出典
対処方法- 本脆弱性を修正するため、Apache Hive を直ちに 4.2.1 以降へ更新してください
- 直ちに更新できない場合は、設定で直接 SQL の機能を無効化する（metastore.try.direct.sql を false にする）ことを検討してください。ただし性能への影響に留意が必要です
- Hive Metastore のログを監視し、異常な区画名の要求や SQL の実行エラーを検知してください
パッケージ汚染npm2026-08-26
video-crate-check@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
b6e4b0ebdbced85be25afce02f96127b
パッケージ汚染npm2026-08-26
dim-svelte-ui@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
79a6e5f110d2cb98c9f4eb3ea907ead5
パッケージ汚染npm2026-08-26
foldmap@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
8d169bb521c0d8bfac7a3392e91586b7
パッケージ汚染npm2026-08-26
snapbuf@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
baf1194cbb49351eecfcd42cefa140c1
パッケージ汚染npm2026-08-26
svelte-cls-ui@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
6a2584b73187f37ff11840990f7fd015
パッケージ汚染npm2026-08-26
tailwind-scrollbar-hider@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
355da2493d77fd98b8c1ebfb27ccd215
パッケージ汚染npm2026-08-26
wm-eslint-fe@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
40c0f64bf298e095e08c26d8d07284c2
パッケージ汚染npm2026-08-26
array-shuffler-utils-99@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
d1ad4df3c8c6f8ced9916ba2adb646cb
パッケージ汚染npm2026-08-26
fivem-tool-helper@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
166b6e97d6b9fa31581166abf409010e
パッケージ汚染npm2026-08-26
fivem-tool-helper-v2@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
1ea028ac42fbe1ceb74eb935d943ffb3
