Top > Blog > Security > 日次レポート

セキュリティレポート 2026-11-05

対象期間：2026年11月04日 07:00～2026年11月05日 07:00（日本時間）

本記事は公開情報を基にAIで自動作成しています。対応前に各項目の一次情報をご確認ください。

本日の要点

セキュリティ日次レポート：2026年11月5日

調査対象期間：2026年11月4日 07:00以上～11月5日 07:00未満（日本時間）

今回の調査では、JVNで2026年11月4日に公開された脆弱性情報6件を確認しました。特に注意が必要なのは、実際の悪用が確認されているAirbyteの任意コード実行の脆弱性と、WordPress向けバックアップ製品Akeeba BackupのCSRF脆弱性です。 Japan Vulnerability Notes

ただし、本レポートは対象期間全体の確定版ではありません。調査時点で11月5日07:00（日本時間）までの情報をすべて確認できておらず、後続の公表情報が含まれていない可能性があります。

  • 緊急：Airbyteで任意コード実行の脆弱性。JVNは悪用を確認済みとしています。
  • 重要：Hinemosのパスワード変更APIに権限管理の不備。管理者パスワードを変更される可能性があります。
  • WordPress：Akeeba Backup for WordPressの旧バージョンにCSRF脆弱性。
  • 医療システム：INFINITT PACS System Managerにコード実行につながる2件の脆弱性。
  • 産業制御システム：CISAの11月3日付アドバイザリをJVNが11月4日に紹介。

新規脆弱性

1. 【緊急】Airbyteで任意コード実行の脆弱性（JVN#12040144）

JVN公開：2026年11月4日 12:00（日本時間）
ベンダー側の初回公表：2026年10月17日（時刻不明）
CVE：未割り当て
CVSS：8.7（v4.0）、8.8（v3.0、JVN評価）

データ統合プラットフォームAirbyteに、不適切なクラスの読み込みを通じて任意のコードを実行できる脆弱性が確認されました。

JVNによる影響対象はAirbyte 1.7.0～2.1.0です。開発元のアドバイザリでは、2.2.0未満を影響対象としており、Airbyte 2.2.0で修正されています。

攻撃者が細工したマニフェストを処理させることで、Connector BuilderまたはManifest Serverのコンテナ内でコマンドが実行される可能性があります。

特にAirbyte 1.xの一部構成では、該当サービスへのネットワークアクセスが可能な攻撃者が、認証なしで悪用できる場合があります。

悪用状況：JVNは悪用を確認済みとしています。ただし、具体的な被害組織、侵害件数、攻撃開始時期は今回確認した資料では明らかになっていません。 JVN#12040144: Airbyteにおける任意のコードが実行可能な脆弱性

推奨対応：Airbyte 2.2.0以降へ更新してください。更新できない場合は、Connector BuilderおよびManifest Serverへのネットワークアクセスを制限し、利用者権限を見直してください。

出典：JVN#12040144 ／ Airbyte公式セキュリティアドバイザリ

2. 【重要】Hinemosの権限管理不備（CVE-2026-109849）

JVN公開：2026年11月4日 16:00（日本時間）
CVSS：7.1（v4.0）、6.5（v3.0）
脆弱性種別：不適切な権限の割り当て（CWE-266）

システム運用管理ソフトウェアHinemosのパスワード変更APIに、アクセス権限の検証が不十分な問題が確認されました。

特定の権限を持つ一般ユーザーが、管理者ユーザーのパスワードを変更できる可能性があります。

影響バージョン：7.2.0、7.1.0～7.1.2、7.0.0～7.0.4、6.2.0～6.2.2、6.1.0～6.1.2、6.0.0～6.0.3。さらに古いバージョンも影響を受ける可能性があります。

推奨対応：有償版では開発元の修正パッチを適用し、OSS版では更新済みインストーラによるアップデートを実施してください。保守終了版については、開発元が提供する回避策を確認してください。 JVN#46901199: Hinemosにおける不適切な権限の割り当ての脆弱性

出典：JVN#46901199

3. 【WordPress】Akeeba BackupなどにCSRF脆弱性（CVE-2026-105296）

JVN公開：2026年11月4日 12:00（日本時間）
ベンダー側の公表：2026年7月30日（時刻不明）
CVSS：5.1（v4.0）、5.4（v3.0）

Akeeba Ltd.が提供するバックアップ・管理関連製品に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が確認されました。

影響対象は次のとおりです。

  • Akeeba Backup for WordPress：9.1.8未満
  • Akeeba Backup for Joomla!：10.3.7未満
  • Akeeba Solo：9.1.8未満
  • Admin Tools for Joomla!：7.9.0未満

認証済みユーザーが攻撃者の用意したWebページを開いた場合、本人が意図していない操作を実行させられる可能性があります。

推奨対応：WordPressサイトでAkeeba Backupを使用している場合は、プラグインのバージョンを確認し、9.1.8以降へ更新してください。

なお、本件は2026年11月4日にJVNが公開した情報ですが、ベンダーは7月に対策版を案内しています。脆弱性そのものが11月4日に初めて公表されたわけではありません。 JVN#44272550: 複数のAkeeba製品におけるクロスサイトリクエストフォージェリの脆弱性

出典：JVN#44272550

4. INFINITT PACS System Managerのコード実行脆弱性

JVN公開：2026年11月4日 10:15（日本時間）
CERT/CC初回公開：2026年11月2日（時刻不明）
CVE：CVE-2026-16305、CVE-2026-16306
CVSS：未確認

医療画像管理システムINFINITT PACSのSystem Managerに、コード実行につながる2件の脆弱性が確認されました。

CVE-2026-16305では、権限の低いローカルユーザーが更新処理を悪用し、管理者権限でコマンドを実行できる可能性があります。

CVE-2026-16306では、細工されたURLをユーザーに開かせることで、不正な処理を実行させられる可能性があります。

影響バージョン：System Manager 3.0.11.3、3.0.11.5。

修正バージョン：3.0.12.3、3.0.12.5。

CERT/CCは、これらの脆弱性について実際の悪用を示す情報は確認していないと説明しています。医療機関では業務への影響を評価したうえで、適切な修正版への更新を進める必要があります。 VU#203719 – INFINITT PACS System Manager Contains Multiple Code Execution Vulnerabilities

出典：JVNVU#99859918 ／ CERT/CC VU#203719

5. Androidアプリ「BaseChat」に複数の脆弱性

JVN公開：2026年11月4日 10:15（日本時間）
対象：BaseChat – Audio Dating App（Android）
CVE・CVSS・修正バージョン：未確認

JVNは、Android向けアプリ「BaseChat – Audio Dating App」に複数の脆弱性があるとして、CERT/CCのアドバイザリを紹介しました。

JVNから参照できるCERT/CC資料では、Android版9.8.1が対象として示されています。ただし、今回の調査では詳細な影響範囲と修正状況の照合が完了していません。 JVNVU#92281274: Androidアプリ「BaseChat – Audio Dating App」における複数の脆弱性

出典：JVNVU#92281274

更新情報

CISA産業制御システム向けアドバイザリ

JVN公開：2026年11月4日 10:15（日本時間）
CISAアドバイザリ対象日：2026年11月3日（時刻不明）

JVNは、CISAが公表した産業制御システム向けアドバイザリ1件を紹介しました。

対象はSubnet SolutionsのPowerSYSTEM Centerで、アドバイザリ番号はICSA-26-307-01です。

今回はCISAの個別ページ取得時にHTTP 403エラーが発生したため、CVE番号、影響バージョン、CVSS、具体的な対策については未確認とします。

本件は11月4日のJVN新規掲載情報ですが、元のCISAアドバイザリは11月3日付です。 JVNVU#91151184: CISA ICS Advisory / ICS Medical Advisory（2026年11月03日）

出典：JVNVU#91151184 ／ CISA ICSA-26-307-01

攻撃・情報流出報道

Airbyteの脆弱性悪用を確認

今回確認した情報のうち、実際の悪用が明示されている重要案件はAirbyteです。

JVNは当該脆弱性について悪用を確認済みと記載しています。一方、開発元の公開資料だけでは、具体的な攻撃キャンペーンや被害規模までは確認できませんでした。

このため、脆弱性の悪用が確認されていることと、特定企業で情報流出が発生したことは区別する必要があります。 JVN#12040144: Airbyteにおける任意のコードが実行可能な脆弱性

出典：JVN#12040144

その他のサイバー攻撃・情報流出

2026年11月4日前後のサイバー攻撃・情報流出に関する報道検索では、複数の候補を確認しました。

ただし、今回の対象期間内に公開されたこと、当事者の公式発表と報道内容が一致していること、実際の被害が確認されていることを十分に照合できた案件はありませんでした。

ランサムウェア攻撃者による被害組織の掲載情報についても、攻撃者側の主張だけでは侵害の事実を確定できないため、個別事件としての掲載を見送ります。

重点対象の確認状況

対象 今回の確認結果
WordPress Akeeba Backupの脆弱性を確認
PHP 期間内の新規情報は未確認。既存のPHP2shell注意喚起を継続監視
Linux 期間内の新規情報は未確認
AWS 期間内の新規情報は未確認
EC-CUBE 3/4 期間内の新規情報は未確認
Java JDK/JRE 期間内の新規情報は未確認
Spring Framework / Boot / Security 期間内の新規情報は未確認
Log4j 1.x / 2.x 期間内の新規情報は未確認
Struts / Hibernate / Jackson / Tomcat 期間内の新規情報は未確認
その他 Airbyte、Hinemos、INFINITT PACSなどを確認

「未確認」は安全性を保証するものではありません。今回の検索では、重点対象のすべてのベンダーアドバイザリを個別に網羅できていません。

参考：対象期間より前に公開された重要情報

PHP2shell（CVE-2026-109618、CVE-2026-109619）

IPAは2026年10月22日にPHPの脆弱性に関する注意喚起を公開し、10月27日および11月2日に更新しています。

今回の対象期間内に新規更新されたことは確認できなかったため、新規脆弱性としては扱いません。

PHPを利用するWebサービスでは、既存の注意喚起に従って影響範囲と対策状況を確認する必要があります。 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

出典：IPA 情報セキュリティ

対応優先順位

  1. 最優先：Airbyteの修正と侵害確認。 影響対象バージョンを使用している場合、2.2.0以降への更新を優先してください。悪用が確認されているため、不審なコマンド実行、サービスログ、認証情報へのアクセス状況も調査してください。
  2. 優先度高：Hinemosのパスワード変更API対策。 該当バージョンの利用状況を確認し、修正パッチまたは最新版を適用してください。管理者アカウントの変更履歴も確認対象です。
  3. 優先度高：医療システムの更新。 INFINITT PACS System Managerを使用する組織では、修正版への移行計画を確認してください。
  4. 優先度中：WordPressのAkeeba Backup更新。 9.1.8未満を利用している場合は更新してください。バックアップ製品の管理画面にアクセスできるユーザーも確認してください。
  5. 継続監視：PHP・Java・EC-CUBEなど。 既存の重要な注意喚起への対応状況を確認するとともに、各ベンダーの最新情報を継続監視してください。

調査上の制約

今回のレポートでは、JVNの新着一覧および個別脆弱性ページ、IPAのセキュリティ情報、JPCERT/CC関連情報、CERT/CC、Airbyteの公式アドバイザリ、WordPress公式情報、CISA関連情報、攻撃・情報流出報道を検索対象としました。

主な制約は次のとおりです。

  • 対象期間の終了時刻である2026年11月5日07:00（日本時間）までの情報を確定的に確認できていません。
  • CISAの個別アドバイザリはHTTP 403エラーで取得できず、詳細を確認できませんでした。
  • NVD/CVEについて、対象期間内の登録・更新履歴を網羅的に取得できていません。
  • AWS、Linuxディストリビューション、Oracle、Spring、Apacheなど、重点対象ベンダーの全アドバイザリを個別に照合できていません。
  • 一部の資料は日付のみの記載であり、日本時間での正確な公開・更新時刻は不明です。
  • 攻撃・情報流出報道について、当事者の公式発表と報道内容の照合が完了していない案件は掲載を見送りました。

編集上の注記：本稿は確認できた一次情報を中心に整理した暫定レポートです。対象期間内のすべての脆弱性・攻撃情報を収録したものではありません。特に11月5日07:00までの追加公表情報について、期間終了後の再確認が必要です。

参照情報

[2026/11/05]

Posted in Security, 日次レポート | Comments Closed