リモートコード実行

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開 Web アプリケーションにおいて、認証なしで利用できる深刻なリモートコード実行の脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。この脆弱性により、攻撃者は特定の Web リクエストを構築することで、root 権限でバックエンドコンテナ内でコードを実行し、ローカルの保護されたリソースや外部ネットワークにアクセスできる可能性があります。XBOW は、EAC が公表した脆弱性開示ポリシーに基づいてこの問題を報告し、EAC チームによって検証された後、この脆弱性はアメリカ合衆国の中間選挙の前に修正されたと述べています。

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開Webアプリケーションにおいて、認証なしで悪用可能な深刻なレベルのリモートコード実行脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。

OpenAIはXプラットフォームで投稿し、最近のレッドチーム演習で、広く使用されている圧縮ライブラリBrotliに、認証なしでリモートコードを実行できる脆弱性が存在することを発見したと述べています。Node.js、Bun、Envoyなどのソフトウェアにはこのライブラリが組み込まれています。攻撃者は悪意のある圧縮データを送信することで、パッチが適用されていないサーバーを乗っ取ることができ、また、悪意のあるサーバーを通じて圧縮データを受け取るクライアントを乗っ取ることも可能です。OpenAIは、この問題の根本原因が今年の2月にBrotliのソースコードで修正されたが、その時点ではセキュリティ脆弱性として認識されていなかったと述べています。Brotliを内蔵しているソフトウェアはすべて、同期して更新する必要があります。The Hacker Newsによると、この脆弱性の識別番号はCVE-2026-111497で、Node.jsは10月21日に修正バージョンをリリースしました。

中国工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が監視したところ、PHPに2つのリモートコード実行の超危険な脆弱性が存在し、深刻な危害をもたらすことが判明しました。PHPは、Web開発に広く使用されているオープンソースのサーバーサイドスクリプト言語であり、認証されていない攻撃者がこれらの脆弱性を利用してリモートで任意のコードを実行し、サーバーの制御、機密情報の漏洩、業務の中断などの危害を引き起こす可能性があります。影響を受ける範囲は、8.5シリーズの8.5.12未満、8.4シリーズの8.4.27未満、8.3シリーズの8.3.36未満、8.2シリーズの8.2.35未満、及び8.1シリーズおよびそれ以前のバージョンを含みます。PHPセキュリティチームは脆弱性を修正し、安全に関する公告を発表しました。NVDBは関連する機関とユーザーに対し、直ちに調査を行い、最新の安全バージョンにアップグレードするか、一時的にオフラインにする、セッションアップロード進捗機能を無効にする、ネットワーク隔離、ネットワークアクセス制限などの一時的な防護措置を講じることを推奨し、監視と管理を強化し、アカウント、パスワード、キーなどの証明書を適時修正するように呼びかけています。

腾讯云安全中心監視によると、PHPにリモートコード実行の脆弱性が公開されました。脆弱性番号はそれぞれCVE-2026-109618、CVE-2026-109619で、コードネームは「php2shell」です。この脆弱性により、認証されていないリモート攻撃者が特製のmultipart POSTリクエストを送信することで、メモリ破壊を引き起こし、最終的にリモートコード実行を実現し、サーバーを完全に制御するなどの危害をもたらす可能性があります。腾讯云安全は、影響を受ける範囲にある場合は、迅速に安全な自己点検を行い、適時に更新修正を行い、外部攻撃者による侵入を避けることを推奨します。

慢雾安全予警は、PHPが10月20日に安全公告を発表し、リモートコード実行（RCE）を引き起こす可能性のある2つの深刻なセキュリティ脆弱性、番号はそれぞれCVE-2026-109618とCVE-2026-109619で、CVSS v4スコアはどちらも9.2であることを明らかにしたと述べています。現在、PHP公式は修正パッチをまだ発表しておらず、脆弱性の具体的な影響を受けるバージョンや利用条件はまだ確認されていません。既存の情報によると、PHP公式は10月21日14:00 UTC（北京時間22:00）に安全更新を発表する予定です。慢雾は関連機関に対し、サーバーおよび業務システム内のPHPバージョンを早急に調査し、特に公に露出しているPHPサービスに注意を払い、パッチが公開された後に迅速にアップグレードすることを推奨しています。暫定的にアップグレードできないシステムは、アクセス元を制限し、必要に応じて隔離措置を講じるべきです。

据 The Hacker News 报道，Cyata 研究员披露 Anthropic 维护的 mcp-server-git 存在三项严重安全漏洞（CVE-2025-68143/44/45），可被利用执行路径穿越与参数注入，甚至实现远程代码执行。这些漏洞可通过提示注入被武器化，攻击者仅需控制 AI 助手读取恶意内容即可触发攻击。漏洞已在 2025 年 9 月与 12 月版本中修复，官方已移除 git_init 工具并增强路径校验，建议用户尽快更新至最新版。

Anthropic が管理する公式 mcp-server-git に 3 つのセキュリティ脆弱性が発見されました。これらの脆弱性は、プロンプトインジェクション攻撃手法を通じて悪用される可能性があり、攻撃者は被害者のシステムに直接アクセスすることなく、悪意のある README ファイルや損なわれたウェブページを介して脆弱性を引き起こすことができます。これらの脆弱性には、CVE-2025-68143（制限のない git_init）、CVE-2025-68145（パス検証のバイパス）、および CVE-2025-68144（git_diff におけるパラメータインジェクション）が含まれます。これらの脆弱性をファイルシステム MCP サーバーと組み合わせて使用すると、攻撃者は任意のコードを実行したり、システムファイルを削除したり、任意のファイル内容を大規模言語モデルのコンテキストに読み込むことができます。Cyata は、mcp-server-git が repo_path パラメータに対してパス検証を行っていないため、攻撃者がシステムの任意のディレクトリに Git リポジトリを作成できると指摘しています。さらに、.git/config にクリーンアップフィルターを設定することで、攻撃者は実行権限なしにシェルコマンドを実行することができます。Anthropic は 2025 年 12 月 17 日に CVE 番号を割り当て、修正パッチを提出しました。ユーザーには mcp-server-git を 2025.12.18 以降のバージョンに更新することを推奨します。

慢雾テクノロジーの最高情報セキュリティ責任者 23pds は X プラットフォームで、React/Next.js の最新のリモートコード実行脆弱性に新たな攻撃チェーンが出現したことを受けて、攻撃成功率が大幅に向上するだろうと述べました。現在、多くの DeFi プラットフォームが React を使用しており、この脆弱性の影響を受ける可能性が高いため、各 DeFi プラットフォームは必ずセキュリティリスクに注意する必要があります。

ChainCatcher のメッセージによると、コミュニティの情報では、本日、複数の暗号コミュニティのメンバーが自分の秘密鍵が盗まれたと報告しており、この状況はビットフィンガーブラウザの使用によるものではないかと推測されています。これに対し、ビットフィンガーブラウザの公式はコミュニティで、WPS For Windows の一部バージョンにリモートコード実行の脆弱性が存在すると述べており、攻撃者はこの脆弱性を利用して被害者のターゲットホスト上で任意のコードを実行し、ホストを制御することができるとしています。現在知られている影響を受けるバージョンには、WPS Office 2023 個人版 12.1.0.15120 未満（含む）、WPS Office 企業版（プロフェッショナル版、プロフェッショナル強化版など）11.8.2.12055 未満（含む）が含まれます。この脆弱性は比較的容易に発生し、ユーザーが不明なリンクをクリックした後にハッカーの攻撃を受ける可能性があります。

ChainCatcher のメッセージ、SlowMist の最高情報セキュリティ責任者 23pds がツイートしました。WinRAR にリモートコード実行の脆弱性（CVE-2023-40477）が存在します。攻撃者はターゲットを悪意のあるページに誘導するか、単に悪意のあるファイルを開くだけでこの脆弱性を利用してコードを実行できます。一度ユーザーが実行すると、ハッカーがあなたのコンピュータを制御する可能性があります。暗号通貨ユーザーはアップグレードに注意し、現在出現しているいわゆる「WinRAR 脆弱性検出ツール」も悪意のあるフィッシングプログラムであるため、資金リスクに注意してください。

ChainCatcher のメッセージによると、SlowMist のツイートで、Nuxt.js のリモートコード実行脆弱性 (CVE-2023-3224) の PoC がインターネット上に公開され、現在攻撃の事例が発生しています。Nuxt.js は Vue.js に基づいた軽量アプリケーションフレームワークで、サーバーサイドレンダリング (SSR) アプリケーションを作成するために使用されるほか、静的サイトエンジンとして静的サイトアプリケーションを生成することもでき、優雅なコード構造の層分けやホットリロードなどの特性を持っています。Nuxt にはコードインジェクションの脆弱性が存在し、サーバーが開発モードで起動しているときに、リモートの未承認の攻撃者がこの脆弱性を利用して悪意のあるコードを注入し、ターゲットサーバーの権限を取得することができます。その中で、Nuxt == 3.4.0、Nuxt == 3.4.1、Nuxt == 3.4.2 はすべて影響を受けています。暗号通貨業界にはこのソリューションを使用して前後端サービスを構築しているプラットフォームが多数存在しますので、リスクに注意し、Nuxt を 3.4.3 以上のバージョンにアップグレードしてください。(出典リンク)