セキュリティレポート 2026-11-07

対象期間：2026年11月06日 07:00～2026年11月07日 07:00（日本時間）

本記事は公開情報を基にAIで自動作成しています。対応前に各項目の一次情報をご確認ください。

本日の要点

2026年11月7日版のセキュリティ日次レポートです。調査対象期間は、2026年11月6日（金）07:00から11月7日（土）07:00直前まで（日本時間）です。

今回の調査では、AWSから新たに公開された3件のCVEに関するセキュリティ情報、LinuxのAPTパッケージ管理に関する既存アドバイザリの更新、JVNに掲載された産業制御システム関連の情報を確認しました。

特に注意が必要なのは、Amazon Aurora PostgreSQLのBabelfish機能に関する脆弱性と、AWS Systems Manager（SSM）を利用する特定の構成でOSコマンドが実行される問題です。いずれもAWSの公式アドバイザリで内容を確認しています。 CVE-2026-119923 and CVE-2026-119924: Issues with Babelfish for Aurora PostgreSQL

また、UbuntuおよびDebianのAPTパッケージ管理に関する脆弱性について、AWSが2026年11月7日06:30（日本時間）に既存情報を更新しています。クラウド環境だけでなく、自社管理のLinuxサーバーやコンテナ環境でも対応状況の確認が必要です。 CVE-2026-109518 – APT package manager that affects Ubuntu and Debian operating systems

なお、以下では対象期間内の新規公表と既存情報の更新を区別しています。公開日が対象期間内であっても、時刻を確認できない情報は参考情報として扱います。

新規脆弱性

1. AWS Babelfish for Aurora PostgreSQLに複数の脆弱性（CVE-2026-119923、CVE-2026-119924）

公開日時：2026年11月7日03:00（日本時間）

重要度：AWSによる分類は「Important（対応が必要）」

AWSは、Babelfish for PostgreSQLおよびBabelfish for Aurora PostgreSQLに存在する2件のメモリ安全性に関する脆弱性を公開しました。

Babelfishは、PostgreSQLでMicrosoft SQL Serverの通信プロトコル（TDS）を利用できるようにする機能です。

今回公表された問題は次のとおりです。

CVE-2026-119923：TDS接続時のハンドシェイク処理におけるメモリ安全性の問題。認証されていないリモートの攻撃者が、データベースプロセスの機密性、完全性、可用性に影響を与える可能性があります。
CVE-2026-119924：TDSのリモートプロシージャコール要求処理におけるメモリ安全性の問題。認証済みのリモート攻撃者が、プロセスメモリの一部を読み取ったり、サービス運用妨害を引き起こしたりする可能性があります。

影響するBabelfish for PostgreSQLのバージョン系列は、1.0～1.5、2.1～2.15、3.1～3.12、4.0～4.8、5.1～5.4です。Aurora PostgreSQL向けについては、各メジャーバージョン内の特定のマイナーバージョンが影響を受けます。

AWSは、Babelfish for PostgreSQLの修正版として4.10、5.6、6.1を案内しています。Aurora PostgreSQL利用者には、修正版を含む対応エンジンバージョンへの更新を推奨しています。

暫定対策：アップデートが完了するまでは、VPCセキュリティグループを利用してTDSポート（標準ではTCP 1433）へのアクセスを信頼できる接続元に制限します。

CVSSスコアおよび実際の悪用状況は、確認したAWSアドバイザリでは未確認です。

出典：AWS Security Bulletin 2026-166-AWS。 CVE-2026-119923 and CVE-2026-119924: Issues with Babelfish for Aurora PostgreSQL

2. AWS Trusted Remote Executionの設定例にOSコマンドインジェクション（CVE-2026-122193）

公開日時：2026年11月7日02:00（日本時間）

重要度：AWSによる分類は「Important（対応が必要）」

AWSは、Trusted Remote Execution（REX）のセットアップガイドに含まれていたサンプルスクリプトに、OSコマンドインジェクションの脆弱性が存在したことを公表しました。

この問題は、REXの配布済みプログラム本体ではなく、セットアップ用のサンプルコードに存在します。

問題のサンプルを利用してAWS Systems ManagerのSSMドキュメント「Rex-RO」または「Rex-RW」を作成した環境が対象です。

SSMドキュメントを実行する権限を持つ利用者が細工した入力パラメータを指定すると、本来のREXサンドボックスの外側で、意図しないOSコマンドが実行される可能性があります。

scriptArgsパラメータにも同種の問題があります。

対策：AWSは問題のセットアップ例をドキュメントから削除しました。過去に該当する手順を利用した場合、作成したSSMドキュメントをAWSアカウントおよびリージョンごとに削除することを推奨しています。

影響する製品バージョンは該当しません。対象は特定のセットアップ例から作成されたSSMドキュメントです。CVSSスコアおよび実際の悪用状況は未確認です。

出典：AWS Security Bulletin 2026-173-AWS。 CVE-2026-122193 – Issue with Trusted Remote Execution Setup Guide – OS command injection in the example SSM documents in Trusted Remote Execution (REX)

更新情報

1. Ubuntu・DebianのAPTパッケージ管理に関する脆弱性（CVE-2026-109518）

今回の更新日時：2026年11月7日06:30（日本時間）

初回公開：2026年11月6日13:00（日本時間）

AWSは、UbuntuおよびDebianで使用されるAPTパッケージ管理ツールの脆弱性について、既存のセキュリティ情報を更新しました。

この脆弱性は、APTがHTTP経由のパッケージ取得元を使用し、再試行設定が有効な場合など、特定の条件下で発生します。

攻撃者がホストとパッケージ配布サーバーの通信経路上に位置する場合、検証を通過していないパッケージをAPTにインストールさせる可能性があります。

そのパッケージに含まれるメンテナースクリプトは高い権限で実行されるため、システムの侵害につながるおそれがあります。

影響する環境には、標準設定のUbuntu 22.04 LTS以降およびDebian 12以降が含まれます。

AWSが案内しているUbuntuの修正版は以下のとおりです。

Ubuntu 22.04 LTS：apt 2.4.15ubuntu0.1
Ubuntu 24.04 LTS：apt 2.8.4ubuntu0.1
Ubuntu 26.04 LTS：apt 3.2.1ubuntu0.1

Debianの修正版については、Debian Security Advisory DSA-6607-1を参照する必要があります。

AWSは、影響するホストでAPTを更新することを推奨しています。更新時には再試行を無効にするオプション「Acquire::Retries=0」を使用する手順が案内されています。

また、UbuntuまたはDebianを使用したコンテナイメージについても、修正版APTを含むイメージの再ビルドと再デプロイが必要です。

今回確認できた更新はAWSの既存アドバイザリに対するものです。CanonicalおよびDebianによる修正版の公開日は2026年11月4日であり、対象期間内の新規公開ではありません。

CVSSスコアおよび実際の悪用状況は、確認したAWSアドバイザリでは未確認です。

出典：AWS Security Bulletin 2026-172-AWS。 CVE-2026-109518 – APT package manager that affects Ubuntu and Debian operating systems

2. Siemens製品のセキュリティ情報をJVNが更新

JVN更新日時：2026年11月6日09:00（日本時間、JVN新着一覧の表示）

JVN初回公開日：2026年11月5日（時刻不明）

JVNは、Siemens製品を対象とする2026年11月のセキュリティ情報「JVNVU#98354779」を更新しました。

個別ページの更新履歴では、2026年11月6日に詳細情報が更新されたことが確認できます。

今回確認したページには、5件の更新アドバイザリが掲載されています。内容は、Node2Shell、PHP2Shell、およびNode-REDの認証不足に関する問題です。

主な対象には、Siemens製ソフトウェア、RUGGEDCOM APE1808、SIMATIC IoT2050などが含まれます。

ただし、JVNは影響バージョンや対策の詳細についてSiemensの各アドバイザリを参照するよう案内しています。

本調査では、各Siemensアドバイザリの影響バージョン、CVSSスコア、修正版を個別に照合できていないため、これらは未確認とします。

対象製品を使用している場合は、該当するSiemensアドバイザリと導入環境の照合を推奨します。

出典：JVN JVNVU#98354779。 JVNVU#98354779: Siemens製品に対するアップデート（2026年11月）

3. 三菱電機の産業制御システムに関するCISA情報

JVN公開日時：2026年11月6日09:30（日本時間、JVN新着一覧の表示）

JVNは「JVNVU#90841469」を公開し、米国CISAが2026年11月5日に公表した産業制御システム関連のアドバイザリを紹介しました。

今回のJVN情報には、三菱電機のCC-Link IE TSN通信プロトコルに関する既存アドバイザリの更新が1件含まれています。

対象は「ICSA-26-211-07」のUpdate Bです。

これは新しい脆弱性の発見を示すものではなく、既存のCISAアドバイザリに関する更新情報です。

影響する具体的な製品・バージョン、CVE番号、CVSSスコア、修正版は、本調査で確認したJVNページからは特定できませんでした。

CC-Link IE TSNを利用する産業機器の管理者は、メーカーおよびCISAの最新アドバイザリを確認してください。

出典：JVN JVNVU#90841469。 JVNVU#90841469: CISA ICS Advisory / ICS Medical Advisory（2026年11月05日）

攻撃・情報流出報道

1. ロシア連邦国家統計局へのサイバー攻撃と大規模データ窃取の主張

報道日：2026年11月6日（日本時間での公開時刻は未確認）

TechRadarは、ロシア連邦国家統計局（Rosstat）に対するサイバー攻撃について報じました。

攻撃者を名乗るグループは、同機関の内部システムへ侵入し、約23TBのデータを取得したと主張しています。

報道によると、Rosstatは2026年10月29日から11月1日にかけて情報システムが攻撃を受けたことを認めています。

一方、同機関は、データベースの侵害や法的に保護される情報の漏えいは確認されていないと説明しています。

したがって、約23TBのデータ窃取は攻撃者側の主張であり、当事者が確認した事実ではありません。

攻撃による実際の情報流出範囲については、引き続き確認が必要です。

出典：TechRadar（2026年11月6日）。 Russian Federal State Statistics Service says it was hit by massive cyberattack — hackers steal 23TB of data, including Ukraine war casualty figures | TechRadar

2. Chainalysisの顧客情報流出について続報

報道日：2026年11月6日（日本時間での公開時刻は未確認）

暗号資産分析サービスを提供するChainalysisで発生したセキュリティインシデントについて、TechRadarが続報を掲載しました。

Chainalysisは2026年10月30日に攻撃を公表し、11月4日に調査結果を更新しています。

報道によると、顧客のアカウント情報やパスワードに関する情報が攻撃者に取得された可能性があり、同社はパスワードリセットなどの対策を実施しています。

一部サービスについても、調査と安全確認のため一時的に停止しました。

今回の報道は、対象期間中に新たな攻撃が発生したことを意味するものではありません。

また、情報流出の詳細な範囲については、当事者の公式発表と報道内容を区別して扱う必要があります。

出典：TechRadar（2026年11月6日）。 Chainalysis admits all users affected in major data breach — names, usernames, password hashes, and live tokens all exposed | TechRadar

重点対象の確認状況

WordPress、PHP、Linux、AWS、およびJava関連技術について、公式のセキュリティ情報や新着一覧を中心に調査しました。

重点対象	今回の確認結果
WordPress	公式ニュース一覧を確認。対象期間内の新規セキュリティリリースは確認できませんでした。
PHP	IPAの重要なセキュリティ情報一覧を確認。PHP2Shellに関する直近の掲載更新日は2026年11月2日でした。
Linux	APTのCVE-2026-109518に関するAWSアドバイザリの更新を確認しました。
AWS	BabelfishおよびTrusted Remote Executionに関する新規アドバイザリを確認しました。
EC-CUBE 3/4	関連情報を検索しましたが、対象期間内の新規公表・更新を裏付ける公式資料は確認できませんでした。
Java JDK/JRE	IPAの注意喚起一覧では、Oracle Javaに関する2026年10月21日の情報を確認しました。対象期間内の新規情報は未確認です。
Spring Framework / Boot / Security	Spring公式のセキュリティアドバイザリ一覧を確認しました。対象期間内の新規掲載は確認できませんでした。
Apache Tomcat	公式のセキュリティ情報とリリース情報を確認しました。対象期間内の新規脆弱性情報は確認できませんでした。
Log4j 1.x / 2.x	対象期間内の新規公表・更新について、個別アドバイザリとの十分な照合ができていません。
Struts / Hibernate / Jackson / Jakarta EE関連製品	対象期間内の新規公表・更新を確認できていません。製品ごとの公式アドバイザリを網羅的に調査した結果ではありません。

確認に使用した主な公式情報源は、WordPress公式ニュース、IPA重要なセキュリティ情報、Spring Security Advisories、Apache Tomcat Securityです。 WordPress News | The latest news about WordPress and the WordPress community

参考情報：対象期間外の注意喚起

PHP2Shellに関するIPAの注意喚起

IPAは、PHPの脆弱性「CVE-2026-109618」「CVE-2026-109619」に関する注意喚起を2026年10月22日に公開し、10月27日および11月2日に更新しています。

いずれも今回の対象期間より前の情報です。

PHPを利用するWebアプリケーションの管理者は、既存の注意喚起に基づく対応が完了しているか確認してください。

出典：IPA 2026年度重要なセキュリティ情報。 2026年度 | 情報セキュリティ | IPA 独立行政法人情報処理推進機構

Apache Tomcatの既存セキュリティ情報

Apache Tomcatの公式情報では、2026年10月に公開されたセキュリティ修正を確認できます。

例えば、Tomcat 11.0.27では、AJPの応答処理やHTTP/2の非同期処理に関連する問題への修正が掲載されています。

これらは今回の対象期間内に新規公表された情報ではありません。

出典：Apache Tomcat 11 Security Vulnerabilities。 Apache Tomcat® – Apache Tomcat 11 vulnerabilities

対応優先順位

今回確認した情報について、影響の大きさと実際の利用環境を考慮した対応優先順位を整理します。

優先度A：AWS Babelfishの利用状況を確認する。
Babelfish for Aurora PostgreSQLまたはBabelfish for PostgreSQLを利用している場合、影響バージョンとの照合を実施してください。該当環境では修正版への更新を計画し、更新までの間はTDSポートへのアクセス制限を徹底してください。
優先度A：APTパッケージ管理ツールを更新する。
UbuntuおよびDebianの対象環境について、APTのバージョンを確認してください。EC2だけでなく、オンプレミス環境、開発環境、コンテナイメージも対象に含めて確認することを推奨します。
優先度B：AWS Systems ManagerのSSMドキュメントを点検する。
Trusted Remote Executionのセットアップ例を利用したことがある場合、Rex-ROおよびRex-RWドキュメントの存在を確認してください。AWSが案内する削除対応を実施してください。
優先度B：Siemensおよび三菱電機の制御システムを確認する。
対象となる産業制御システムを使用している組織は、JVNからメーカーの公式アドバイザリをたどり、影響する製品やファームウェアの有無を確認してください。
優先度C：既存のPHP・Java・WordPress関連対策を継続確認する。
今回の対象期間内に新規情報を確認できなかった製品についても、過去のセキュリティ更新が適用されているか、継続して点検してください。

これらの優先順位は、今回確認した脆弱性情報に基づく運用上の目安です。実際の対応順序は、外部公開状況、攻撃可能な経路、資産の重要度、既存の防御策によって調整してください。

調査上の制約

今回の調査では、JVN、JPCERT/CC、IPA、AWSの公式セキュリティ情報、およびWordPress、Spring、Apache Tomcatの公式情報を確認しました。

JVNでは2026年11月6日09:00および09:30の新着掲載を確認できました。一方、IPAの重要なセキュリティ情報一覧で確認できた直近の更新は2026年11月2日でした。これは各サイトの確認できた掲載状況を示すものであり、対象期間内のすべての脆弱性情報を調査できたことを意味しません。 Japan Vulnerability Notes

CVE/NVDについては検索を実施しましたが、対象期間内の登録・更新履歴を網羅的に取得できていません。今回掲載したCVEの技術的な説明は、内容を取得できたAWS公式アドバイザリに基づいています。

Siemensの個別アドバイザリ、EC-CUBE、Log4j、Hibernate、Jacksonなどについては、対象期間内の情報を十分に照合できていないため、脆弱性が存在しないとは判断していません。

また、攻撃・情報流出の報道については、記事の公開日を確認できたものの、日本時間での正確な公開時刻を確認できませんでした。このため、厳密な対象期間内の報道件数には含めず、公開日が近接する参考報道として掲載しています。

調査に使用した主要な情報源は以下のとおりです。

まとめ：今回の調査では、AWSのBabelfishとTrusted Remote Executionに関する新規脆弱性情報、およびLinuxのAPTパッケージ管理に関するアドバイザリ更新が、特に確認すべき事項となりました。対象機能を利用するシステムでは、影響範囲の特定と修正対応を優先してください。

本レポートは、2026年11月7日07:00（日本時間）を対象期間の終了時刻として整理した調査結果です。掲載内容は確認できた一次情報および報道資料に基づいており、すべての脆弱性・攻撃事案を網羅するものではありません。

参照情報

[2026/11/08]

Posted in Security, 日次レポート | Comments Closed

セキュリティレポート 2026-11-07