セキュリティレポート 2026-11-10

対象期間：2026年11月09日 07:00～2026年11月10日 07:00（日本時間）

本記事は公開情報を基にAIで自動作成しています。対応前に各項目の一次情報をご確認ください。

生成リクエスト開始：2026-11-10T07:15:05.774633+09:00／応答受信：2026-11-10T07:16:06.031247+09:00

調査概要

レポート日付：2026年11月10日（火）
対象期間：2026年11月9日 07:00以上～11月10日 07:00未満（日本時間・JST）

本記事は、JVN、JPCERT/CC、IPA、主要ソフトウェア開発元およびLinuxディストリビューションの公式セキュリティ情報を調査し、確認できた脆弱性と重要な更新をまとめたものです。

今回の対象期間では、JVNに7件の新着・更新掲載を確認しました。このうち、Webtop Media Transcoderでは開発元による実際の悪用確認が報告されています。また、WordPress向けサーバー環境「KUSANAGI」、NECのリモート操作製品「WebSAM WinShare」、UbuntuのOpenJDKなど、Webサイト運用やシステム管理に関連する重要な情報が公開されています。 Japan Vulnerability Notes

なお、JVNの新着一覧で確認できた時刻は日本時間として扱います。Ubuntuなど日付のみの資料については、公開時刻・タイムゾーンを確認できていないため、対象期間内の新規公表件数には含めず、日時不明の重要情報として整理します。

本日の要点

【最優先】Webtop Media Transcoderで悪用確認：CVE-2026-111793。認証済み利用者による細工されたファイルのアップロードを通じ、機微情報が取得される可能性があります。開発元は実際の攻撃を確認しており、修正パッチを提供しています。
【優先度：高】NEC WebSAM WinShareに深刻な脆弱性：認証不要のネットワーク攻撃によって、リモート操作対象PC上でSYSTEM権限の任意コード実行につながる可能性があります。CVSS v3.0基本値は最大9.8です。
【優先度：高】KUSANAGIのWordPress向けNginx設定に脆弱性：CVE-2026-117477。細工されたURLによってHTTPレスポンスヘッダーを操作される可能性があります。KUSANAGI 9には修正版が提供されています。
【優先度：高】Ubuntuでlibnfsの任意コード実行につながる問題を修正：CVE-2026-108985。Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS、26.10向けの修正パッケージが公開されています。
【確認推奨】UbuntuのOpenJDK 8・11にセキュリティ更新：11月9日付で複数のCVEに対応する更新が掲載されました。Java実行環境のパッケージ更新状況を確認してください。

新規脆弱性・重要な更新

1. 【新規情報・最優先】Webtop Media Transcoderで実際の悪用が確認された脆弱性

識別子：CVE-2026-111793／JVNVU#93403064
JVN公開日時：2026年11月9日 11:00（日本時間）
影響製品：Webtop Media Transcoder 1.1.22.0より前のバージョン

オープンウェーブメッセージングが提供するWebtop Media Transcoderに、異なるセキュリティ領域間でリソースが不適切に移動される脆弱性が存在します。

攻撃者が対象製品にログインできる場合、特定の手順で作成したファイルをアップロードすることで、機微な情報を取得できる可能性があります。

特に重要なのは、開発元がこの脆弱性を悪用した攻撃を既に確認していることです。単に攻撃コードが公開された段階ではなく、実際の悪用に関する報告が存在します。 JVNVU#93403064: Webtop Media Transcoderにおける異なる領域間での不適切なリソースの移動の脆弱性

攻撃条件：対象製品へのログインが可能であること、および細工したファイルをアップロードすることが必要です。認証不要の攻撃とは区別する必要があります。

想定される影響：機密情報の漏えい。取得される可能性がある情報の具体的な種類や、確認済みの被害範囲は今回の資料では特定できませんでした。

対策：開発元は修正パッチを提供しています。製品管理者は開発元に問い合わせ、対象バージョンとパッチ適用状況を確認してください。

編集上の対応優先度：最優先。認証が必要な脆弱性ですが、実際の悪用が確認されているため、影響する製品を使用している組織ではパッチ適用と不審なログイン・ファイルアップロード履歴の確認を優先すべきです。

出典：JVN：Webtop Media Transcoderにおける脆弱性

2. 【新規情報・高】NEC WebSAM WinShareに認証不要で任意コード実行につながる脆弱性

識別子：CVE-2026-113362、CVE-2026-113363、CVE-2026-113364
JVN公開日時：2026年11月9日 14:00（日本時間）
対象製品：NEC WebSAM WinShare

NECのリモート操作製品WebSAM WinShareに、権限昇格および任意コード実行につながる3件の脆弱性が確認されました。

特に危険なのは、ネットワーク経由で細工したパケットを送信することにより、リモート操作対象PCでSYSTEM権限のコマンドまたはコードが実行される可能性がある2件です。

CVE	問題と攻撃条件	CVSS v3.0
CVE-2026-113362	不適切なファイルアクセス権設定。一般ユーザー権限を持つローカル攻撃者によるSYSTEM権限への昇格	7.8
CVE-2026-113363	通信処理の問題。認証不要のネットワーク攻撃によるSYSTEM権限での任意コマンド実行	9.8
CVE-2026-113364	ヒープベースのバッファオーバーフロー。認証不要のネットワーク攻撃によるSYSTEM権限での任意コード実行	9.8

CVSSはJVN掲載の基本値です。CVSS v4.0では、CVE-2026-113362が8.5、残る2件がそれぞれ9.3と評価されています。 JVN#89009783: WebSAM WinShareにおける複数の脆弱性

影響バージョン：

CVE-2026-113362：Ver 7.5.0以前（一部例外あり）、7.6.0、7.7.0～7.7.1
CVE-2026-113363：Ver 7.2.0～7.5.0、7.6.0、7.7.0～7.7.2
CVE-2026-113364：Ver 7.5.0以前、7.6.0、7.7.0～7.7.2

CVE-2026-113362についてはVer 7.3.3が影響対象から除外されています。バージョンごとに影響条件が異なるため、NECの公式情報と照合してください。

想定される業務上の影響：リモート操作対象PCの乗っ取り、保存データや認証情報の窃取、マルウェアの実行、業務端末の停止などにつながる可能性があります。

対策：NECはWinShare Ver 7.6および7.7向けに修正モジュールを提供しています。これらは対象となる下位バージョンにも適用可能と案内されています。修正モジュールの取得にはNECサポートポータルへのログインが必要です。

編集上の対応優先度：高。認証不要でSYSTEM権限のコード実行が可能になるため、リモート操作対象PCの通信経路を確認し、修正モジュールの適用を優先してください。実際の悪用状況は今回の資料では未確認です。

出典：JVN#89009783、NEC公式セキュリティ情報 NV26-006。 NV26-006: セキュリティ情報 | NEC

3. 【新規情報・高】KUSANAGIのWordPress向けNginx設定にHTTPヘッダーインジェクション

識別子：CVE-2026-117477／JVNVU#92635551
JVN公開日時：2026年11月9日 11:30（日本時間）
開発元：GMOプライム・ストラテジー

WordPressなどのCMS向け高速実行環境「KUSANAGI」に、HTTPヘッダーインジェクションの脆弱性が公開されました。

問題は、KUSANAGIで構築したWordPress環境のNginx設定ファイルに含まれるリダイレクトルールにあります。

攻撃者が細工したURLへ利用者を誘導すると、HTTPレスポンスに任意のヘッダーが挿入される可能性があります。

影響するバージョン：

KUSANAGI 7、8、9の対象構成
Free／Business／Premium Edition：9.12.2-1以前
Security／Enterprise Edition：10.7.2-1以前

Apache httpdを使用している構成は対象外です。問題となるのはWordPress向けNginx設定です。 JVNVU#92635551: KUSANAGIにおけるHTTPヘッダーインジェクションの脆弱性

CVSS：開発元およびJVNによる評価は、CVSS v3.1基本値6.1、CVSS v4.0基本値5.1です。

修正版：KUSANAGI 9では、Free／Business／Premium Editionの9.12.3-1以降、Security／Enterprise Editionの10.7.3-1以降で修正されています。

対策：KUSANAGI 9では、開発元が案内するパッケージ更新を適用してください。更新できない場合には、Nginx設定の修正による緩和策が案内されています。

KUSANAGI 7および8はサポートが終了しており、修正アップデートは提供されません。開発元が公開している設定変更による緩和策を実施し、サポートされる環境への移行を検討してください。

編集上の対応優先度：高。公開WebサイトのHTTP応答に影響する問題であり、WordPress本体の更新だけでは解消されません。KUSANAGIの利用有無、Nginx設定、導入バージョンを確認する必要があります。

出典：KUSANAGI公式セキュリティアドバイザリ

4. 【新規情報】SS1／SS1クラウドおよびrocoeyesに情報漏えい・ファイル削除の脆弱性

識別子：CVE-2026-109582、CVE-2026-113437／JVN#76179675
JVN公開日時：2026年11月9日 15:00（日本時間）

IT資産管理製品SS1、SS1クラウド、および関連製品rocoeyesに、複数の脆弱性が公表されました。

CVE-2026-109582は、重要な情報が安全でない方法で保存される問題です。ローカル環境の攻撃者が、製品で使用する機微情報を取得する可能性があります。

CVE-2026-113437はパストラバーサルの脆弱性であり、ネットワーク経由で任意のファイルを削除される可能性があります。

JVNによるCVSS v4.0基本値は、それぞれ5.1および6.9です。 JVN#76179675: SS1／SS1クラウドおよびそのODM製品rocoeyesにおける複数の脆弱性

主な影響バージョン：SS1エージェント17.0.0.50以前、SS1クラウドエージェント3.2.0以前、rocoeyesエージェント3.1.1以前です。CVEごとに影響製品は異なります。

対策：開発元が提供する修正版への更新が必要です。JVNでは、SS1の複数のバージョン系列、SS1クラウド3.1系・3.2系、rocoeyes向けの修正版が案内されています。

編集上の対応優先度：中～高。特にファイル削除の脆弱性は業務端末や管理対象システムの可用性に影響する可能性があります。対象エージェントの配布状況と更新状態を確認してください。

出典：JVN#76179675：SS1／SS1クラウドおよびrocoeyesにおける複数の脆弱性

5. 【新規情報】Effekseerで細工されたファイルによるアプリケーション異常終了

識別子：CVE-2026-120386／JVN#56286875
JVN公開日時：2026年11月9日 12:00（日本時間）
影響バージョン：Effekseer 1.80.7以前

パーティクルエフェクト編集ツールEffekseerに、入力データの検証不備が確認されました。

細工されたエフェクトファイルをEffekseerランタイムを組み込んだアプリケーションで読み込むと、アプリケーションが異常終了する可能性があります。

ゲームクライアントや3DCGビューアなど、Effekseerランタイムを組み込む製品も影響を受ける可能性があります。

CVSS：JVNによるCVSS v3.0基本値4.3、CVSS v4.0基本値5.1。

対策：修正版Effekseer 1.80.8へ更新してください。組み込み先のアプリケーションについては、修正版ライブラリを取り込んだビルドの提供が必要になる場合があります。

編集上の対応優先度：中。細工されたファイルを読み込ませる必要がありますが、外部からエフェクトファイルを受け取る製品では対応を検討してください。

出典：JVN#56286875。 JVN#56286875: Effekseerにおける入力データ検証不備の脆弱性

6. 【更新情報】Zabbix agentのDLL読み込みに関する脆弱性

識別子：CVE-2026-59781／JVN#42011956
JVN初回公開日：2026年8月28日
JVN更新日：2026年11月9日

Zabbix agentにおけるDLL読み込みの脆弱性について、JVNが影響バージョンとベンダー情報を更新しました。

この脆弱性は、インストール時のファイルアクセス権設定に関連する問題であり、不正なDLLの読み込みを通じて管理者権限で任意のコードが実行される可能性があります。

影響バージョン：Zabbix agent 6.0.48未満、7.0.29未満、7.4.13未満です。

CVSS：JVNによるCVSS v3.0基本値6.7、CVSS v4.0基本値5.4。

今回の変更：JVNの更新履歴には、2026年11月9日に影響システムおよびベンダー情報が更新されたと記載されています。ただし、更新前の情報を取得できていないため、影響範囲が拡大したかどうかは確定していません。

対策：Zabbix agentを開発元が案内する修正版へ更新してください。特にWindows上でエージェントを運用する環境では、インストール先のアクセス権と更新状況を確認してください。

編集上の対応優先度：中。悪用にはローカル権限などの条件がありますが、管理対象端末での権限昇格につながるため、端末管理者による対応が必要です。

出典：JVN#42011956。 JVN#42011956: Zabbix agentにおけるDLL読み込みに関する脆弱性

7. 【更新情報】Siemens製品のセキュリティアドバイザリを更新

識別子：JVNVU#98354779
JVN初回公開日：2026年11月5日
JVN更新日：2026年11月9日

JVNは、Siemens製品に関する2026年11月のセキュリティ情報を更新しました。

11月9日時点の資料には、PHP2Shell、Node2Shell、Node-REDの認証不備に関連する6件の更新アドバイザリが掲載されています。

今回確認できた対象には、Siemens製ソフトウェア、RUGGEDCOM APE1808、SIMATIC IoT2050、Industrial Edge Management関連製品などがあります。

今回のJVN更新は、新たに6件のCVEが登録されたことを意味するものではありません。既存の製品別アドバイザリに対する更新として整理されています。 JVNVU#98354779: Siemens製品に対するアップデート（2026年11月）

今回の変更：JVNは11月9日に詳細情報を更新しています。11月6日時点の記録では5件の更新アドバイザリが掲載されていましたが、今回取得した最新版では6件となっています。ただし、過去時点の公式本文との差分を直接検証できていないため、追加された個別項目は確定していません。

対策：対象となるSiemens製品を使用している場合、製品型番、ソフトウェアバージョン、導入構成を各SSAアドバイザリと照合してください。

編集上の対応優先度：対象環境では高。産業制御システムや管理インターフェースに影響する可能性があるため、対象製品を保有する組織では個別アドバイザリの確認が必要です。

出典：JVNVU#98354779：Siemens製品に対するアップデート（2026年11月）

日時不明・遅れて把握した重要情報

1. 【日時不明の重要情報】Ubuntuのlibnfsに任意コード実行につながる脆弱性

識別子：CVE-2026-108985／USN-9008-1
公表日：2026年11月9日（公開時刻・タイムゾーン未確認）

Canonicalは、UbuntuのNFSクライアントライブラリlibnfsに存在する脆弱性を修正しました。

問題はZDRデコード処理で最大サイズの制限が適切に適用されず、メモリ領域外への書き込みが発生することです。

細工されたネットワーク通信を処理した場合、サービス運用妨害や任意コード実行につながる可能性があります。

対象となるUbuntu：22.04 LTS、24.04 LTS、26.04 LTS、26.10。

修正パッケージ：

Ubuntu	修正版パッケージ
22.04 LTS	libnfs13 4.0.0-1ubuntu0.2
24.04 LTS	libnfs14 5.0.2-1ubuntu0.24.04.2
26.04 LTS	libnfs14 5.0.2-1ubuntu1.2
26.10	libnfs14 5.0.2-1ubuntu3.1

編集上の対応優先度：高。任意コード実行につながる可能性があるため、libnfsを使用するサーバーやアプリケーションでは修正パッケージへの更新を優先してください。

出典：Ubuntu USN-9008-1。 USN-9008-1: libnfs vulnerability | Ubuntu security notices | Ubuntu

2. 【日時不明の重要情報】Ubuntu OpenJDK 8・11のセキュリティ更新

公表日：2026年11月9日（公開時刻・タイムゾーン未確認）
識別子：USN-9009-1、USN-9010-1

Ubuntuの公式セキュリティ情報一覧に、OpenJDK 8およびOpenJDK 11向けの更新が掲載されました。

USN-9009-1はOpenJDK 8、USN-9010-1はOpenJDK 11を対象とし、いずれも複数のセキュリティ問題を修正するものです。

対象にはUbuntu 22.04 LTS、24.04 LTS、26.04 LTSなどが含まれます。旧バージョン向けの拡張セキュリティ保守対象も掲載されています。

公式一覧では多数のCVEが列挙されていますが、今回の調査では個別通知の本文取得に失敗したため、脆弱性ごとの攻撃条件、修正パッケージ番号、CVSSを確定できていません。

対策：Ubuntu上でOpenJDK 8または11を使用している場合、対象となるパッケージのセキュリティ更新を確認してください。

編集上の対応優先度：中～高。Javaアプリケーションサーバーを運用している環境では、JDKの更新とアプリケーション互換性の確認が必要です。

出典：Ubuntu USN-9009-1、Ubuntu USN-9010-1。 Security notices | Ubuntu

3. 【日時不明の重要情報】UbuntuでFreeRDPなどのセキュリティ更新

公表日：2026年11月9日（公開時刻・タイムゾーン未確認）

Ubuntuは、FreeRDP、Fetchmail、pyasn1などのパッケージに対するセキュリティ更新も公開しています。

FreeRDPについてはUSN-9007-1が掲載され、Ubuntu 24.04 LTS、26.04 LTS、26.10が対象です。

また、ca-certificatesについてもUSN-9001-2が公開され、Ubuntu 18.04 LTSおよび20.04 LTSでJKSキーストアの更新に関する問題が修正されています。

Javaの証明書ストアを利用する環境では、証明書更新処理への影響を確認する価値があります。

出典：Ubuntu USN-9007-1、Ubuntu USN-9001-2。 Security notices | Ubuntu

攻撃・情報流出報道

今回の調査では、対象期間内に新たに公表されたサイバー攻撃や情報流出事件について、当事者の公式発表または報道本文と公表日時を十分に照合できた案件は抽出できませんでした。

ただし、脆弱性情報としては、Webtop Media TranscoderのCVE-2026-111793について開発元が実際の悪用を確認しています。この情報は前述の脆弱性情報に掲載しており、独立した情報流出事件として重複計上していません。

また、悪用確認は必ずしも情報流出の発生確認を意味しません。被害を受けた組織、流出情報の種類、被害規模については、今回の調査では確定できていません。

重点対象の確認状況

以下は今回実際に閲覧した情報源と確認できた範囲です。「確認済み：該当情報なし」は、確認した一覧・資料の範囲に限定した結果であり、すべての脆弱性が存在しないことを意味しません。

重点対象	確認状況	確認範囲・結果
WordPress本体	確認済み：確認範囲で該当情報なし	公式セキュリティニュースを確認。直近の掲載は10月28日の7.1.4。対象期間内の新規セキュリティリリースは確認されず。
WordPressプラグイン・テーマ	候補あり：詳細調査未完了	Wordfenceプラグインの11月9日付更新情報を確認。個別プラグイン・テーマの脆弱性情報との網羅的な照合は未完了。
PHP	確認済み：確認範囲で該当情報なし	PHP公式ニュースアーカイブを確認。対象期間内の新規セキュリティリリースは確認できず。
EC-CUBE 3/4	候補あり：詳細調査未完了	EC-CUBE公式サイトを確認。プラグインを含む個別セキュリティ告知の照合は未完了。
Linux	確認済み：該当情報あり	Ubuntuで複数の更新を確認。Debianでは11月8日付のLinuxカーネル更新などを確認。Red Hat、Rocky Linux、Amazon Linuxは一覧・入口を確認したが、対象期間の個別更新は十分に照合できず。
AWS	確認済み：確認範囲で該当情報なし	Security Bulletinsを確認。取得できた一覧では11月6日付の情報が直近。既存アドバイザリの更新履歴は網羅的に確認できず。
Java JDK/JRE	確認済み：該当情報あり	UbuntuのOpenJDK 8・11更新を確認。Oracle公式セキュリティ情報も閲覧。その他のJDK配布元は未調査。
Spring Framework／Boot／Security	確認済み：確認範囲で該当情報なし	Spring公式Security Advisoriesの表示範囲を確認。対象期間内の新規掲載は確認できず。全履歴の検証は未完了。
Log4j 1.x／2.x	確認済み：確認範囲で該当情報なし	Apache Logging Services公式セキュリティ情報を確認。対象期間内の新規重要情報は抽出できず。
Apache Tomcat	候補あり：詳細調査未完了	公式セキュリティ情報を閲覧。各系列の個別更新履歴との照合は未完了。
Apache Struts	確認済み：確認範囲で該当情報なし	公式セキュリティ情報を確認。対象期間内の新規情報は抽出できず。
Hibernate／Jackson	未調査	開発元の個別セキュリティアドバイザリおよびGitHub Security Advisoriesとの照合は未実施。
JVN／JPCERT/CC／IPA	確認済み：該当情報あり	JVNの新着7件を確認し、個別資料を閲覧。JPCERT/CCとIPAの公式サイトも確認したが、全更新履歴の照合は未完了。
CVE／NVD／CISA KEV	取得失敗・未調査	CISA KEVの公式一覧取得は403エラー。NVDの対象期間内レコードおよびCVEの公開・更新履歴の一括照合は未完了。

確認範囲の補足として、WordPress公式セキュリティニュースでは10月28日のセキュリティリリースが直近に掲載されていました。一方、Ubuntuでは11月9日付の複数の更新を確認しています。 Security | WordPress News

調査上の制約

今回の調査では、JVNの個別脆弱性情報、NECおよびKUSANAGIの開発元アドバイザリ、Ubuntuの一部セキュリティ通知について本文を取得できました。そのため、影響製品、攻撃条件、修正方法を確認できた案件を中心に掲載しています。

一方、以下の範囲では確認が不十分です。

CISA KEV：公式カタログの取得時に403エラーが発生しました。今回掲載したCVEのKEV登録状況を確定できていません。
Ubuntu OpenJDK：USN-9009-1およびUSN-9010-1の個別本文取得に失敗しました。公式一覧で公開日と対象製品は確認しましたが、修正版パッケージ番号は未確認です。
WordPressプラグイン・テーマ：開発元や脆弱性データベースを横断した調査は完了していません。
Linuxディストリビューション：UbuntuとDebian以外の個別パッケージ更新を十分に照合できていません。
その他：対象期間中のNVD更新履歴、Hibernate・Jacksonの個別アドバイザリ、国内外の攻撃・情報流出報道の網羅的な確認は未完了です。

本レポートの脆弱性情報は、取得できた公式資料に基づいています。公開時刻を確認できない情報は、対象期間内の新規公表と確定せずに掲載しています。

特に、実際の悪用が確認されているWebtop Media Transcoder、認証不要の任意コード実行につながるWebSAM WinShare、およびWordPress向けWebサーバー設定に影響するKUSANAGIについては、対象製品を運用している組織で優先的に影響確認を行う必要があります。

参照情報

[2026/11/10]

Posted in Security | Comments Closed

セキュリティレポート 2026-11-10