NEWSkillSec — AI Skill のセキュリティを「マルウェア検知」から「能力監査」へSkillSec詳しく見る →
← 情報センターへ戻る
SECURITY INTEL · DAILY
RSS

2026-10-23 ~ 10-25 デイリーセキュリティ情報

CSSA 0 · CVE 3 · 汚染 6

10.0 超危険 · CVE-2026-79844 HPE コンポーネントの認証バイパスによりリモートコード実行が可能

CVE 情報 3

CVE-2026-79844 CVSS 10.0 超危険 2026-10-23

HPE コンポーネントの認証バイパスによりリモートコード実行が可能

関連する HPE コンポーネントにおいて、代替パスまたはチャネルを用いた認証バイパス（CWE-288）の欠陥により、攻撃者はネットワーク経由で低複雑度・特権不要・ユーザー操作不要で攻撃できます。本脆弱性はスコープを変更し、機密性と完全性に高い影響を与えます。攻撃者は悪意あるリクエストを組み立てて認証を回避し、システム制御権や機密データを取得できます。未修正の関連 HPE コンポーネントすべてが影響を受け、ネットワーク到達性のみでリモート悪用が可能です。

コンポーネント
HPE（Hewlett Packard Enterprise）はエンタープライズ向け IT インフラ、ソフトウェア、サービスを提供し、そのコンポーネントはデータセンターやクラウド環境で広く利用されています。
リスク
  • 一般ユーザーから管理者へ：被害者が管理者権限で対象コンポーネントを実行している場合、攻撃者は同等の権限を取得できる
  • 完全なシステム制御：攻撃者はこの脆弱性を悪用して被害システム上で任意コードを実行し、ユーザー権限に応じてプログラムのインストール、データの閲覧・変更・削除、または完全権限の新規アカウント作成が可能
  • ユーザー操作不要の攻撃：リモートネットワーク攻撃により、ユーザー操作なしで認証バイパスを悪用して不正アクセスを得られる
出典
NVD · CVE-2026-79844
対処方法
  • 異常な認証リクエストとアクセスログを監視する
  • 実行環境で厳格なアクセス制御リスト（ACL）を適用する
  • 信頼できない送信元からのネットワーク接続要求を遮断する
CVE-2026-79847 CVSS 10.0 超危険 2026-10-23

HPE コンポーネントのメモリバッファ境界操作制限不備によりリモートコード実行が可能

関連する HPE コンポーネントにおいて、メモリバッファ境界内操作の不適切な制限（CWE-119）により重大な欠陥があります。攻撃者はネットワーク経由で低複雑度・特権不要・ユーザー操作不要で攻撃できます。悪用に成功するとシステムのスコープが変わり、機密性・完全性・可用性に高い影響を与え、リモートコード実行やシステム完全制御の喪失につながる可能性があります。未パッチの影響を受ける HPE コンポーネントすべてが対象で、ユーザー操作なしにネットワーク経由で完全制御が可能です。

コンポーネント
HPE（Hewlett Packard Enterprise）はエンタープライズ向けコンピューティング、ストレージ、ネットワークソリューションを提供し、そのソフトウェアコンポーネントはデータセンターや企業 IT インフラで広く利用されています。
リスク
  • 一般ユーザーから管理者へ：被害者が管理者権限で対象サービスを実行している場合、攻撃者は同等の権限を取得できる
  • 完全なシステム制御：攻撃者はこの脆弱性を悪用して被害システム上で任意コードを実行し、ユーザー権限に応じてプログラムのインストール、データの閲覧・変更・削除、または完全権限の新規アカウント作成が可能
  • ユーザー操作不要の攻撃：リモートネットワーク要求だけで脆弱性を誘発でき、クリック等の操作は不要。攻撃ベクトルはネットワーク（NETWORK）から直接到達可能
出典
NVD · CVE-2026-79847
対処方法
  • 異常なメモリアクセス挙動のログを監視する
  • 実行環境でサンドボックス隔離を有効にする
  • 信頼できない送信元からのネットワーク要求を遮断し、公式のセキュリティパッチを速やかに適用する
CVE-2025-30047 CVSS 10.0 超危険 2026-10-23

CGM CLININET のデシリアライズ欠陥によりリモートコード実行が可能

CGM CLININET 2026.MS3 より前のバージョンでは、HTTP ベースの管理 API モジュールが入力データの厳密な検証を欠き、信頼できないデータのデシリアライズ（CWE-502）欠陥があります。攻撃者はその API に細工した Java シリアライズオブジェクトを送り、デシリアライズ過程で任意コード実行を誘発し、root 権限でサーバーを完全制御できます。2026.MS3 に未更新のすべての CGM CLININET ユーザーが影響を受け、特に同一 LAN 内の環境が危険です。認証不要で攻撃可能で、成功するとサーバーが完全に乗っ取られます。

コンポーネント
CGM CLININET は医療情報システムソフトウェアで、サーバー側の管理モジュールは HTTP API 経由で Java オブジェクトシリアライズによりデータをやり取りします。
リスク
  • root 権限での任意コード実行：攻撃者は最高権限で任意コマンドを実行し、システムを完全制御できる
  • 完全なシステム制御：マルウェアのインストール、機微な医療データの窃取、重要ファイルの改ざん・削除、完全権限の新規アカウント作成が可能
  • LAN 内リモート攻撃：同一 LAN 上の攻撃者は公開された API に直接悪意あるリクエストを送り、ユーザー操作なしで脆弱性を誘発できる
出典
NVD · CVE-2025-30047
対処方法
  • 直ちに CGM CLININET を 2026.MS3 以降へアップグレードして本脆弱性を修正する
  • ネットワーク層で管理 API ポートへのアクセスを制限し、信頼できる管理端末のみ接続を許可する
  • 侵入検知システム（IDS）を導入し、異常なシリアライズデータ通信量や不審なプロセス実行を監視する

パッケージ汚染 6

パッケージ汚染 npm 2026-10-23

opencode-skills-collection@4.1.16 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
e9743d6b273d061da2b71bfe16e38531
パッケージ汚染 npm 2026-10-23

imgdecode@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
e0045e77aaf42e2c2420d27f303e8567
パッケージ汚染 npm 2026-10-23

kvarzo8f3atestmetest@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
01d6d58477bcae8174dbf2314e608950
パッケージ汚染 npm 2026-10-23

sdk-utils-testmetest@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
b6b7503996e68c3e361edccd2c537cbe
パッケージ汚染 npm 2026-10-25

tailwind-base-buttons@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
15ff1c7078fdfbea0cc5ea11ee5f0321
パッケージ汚染 npm 2026-10-25

tailwindcss-theme-kit@>= 0 が悪意あるコンポーネントとして検知

このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。

MD5
3bf89fd8b40230877d887d8b105021d0
← 情報センターへ戻るRSSCleanSource SCA でこれらのリスクを自動監視 →