セキュリティ脅威情報

DD-WRTにスタックベースのバッファオーバーフロー脆弱性が存在することが確認された。認証されていない遠隔の攻撃者がUPnPによって使用される内部バッファをオーバーフローさせ、任意のコードを実行する可能性がある。CISAは本脆弱性について悪用を確認しており、2026年07月24日までの対応を推奨している。

Langflowにおいて、信頼できない制御領域からの機能の包含に関する脆弱性（CWE-829）が存在する。認証されていない遠隔の攻撃者がこの脆弱性を悪用することで、影響を受けるシステム上で任意のコードを実行することが可能となる。CISAは本脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加しており、組織に対して2026年7月24日までの迅速な対応を推奨している。

LightRAGにおいて、APIキー認証モードを使用している場合に認証バイパスが発生する脆弱性が存在する。本問題は、リポジトリ内にハードコードされたデフォルトのJWT署名用秘密鍵と、認証なしでアクセス可能なエンドポイントが組み合わさることで発生する。認証されていない遠隔の攻撃者は、ハードコードされた秘密鍵を用いて有効なゲスト用JWTをオフラインで生成し、`LIGHTRAG_API_KEY`による保護を回避して任意のAPIエンドポイントにアクセスすることが可能となる。これにより、ドキュメントの読み取りや削除、知識グラフの改変、キャッシュのクリアなどの破壊的な操作が引き起こされるおそれがある。

@vitest/browserにおいて、ブラウザモードのビルトインコマンドがファイルアクセスの許可ゲートを回避してしまう脆弱性が存在する。本来、ネットワーク経由でブラウザモードAPIが公開され、`allowWrite`が`false`に設定されている環境ではファイルアクセスが制限されるべきところ、複数のプロバイダコマンド（アップロード、スクリーンショット撮影、トレース管理など）がこの権限チェックやプロジェクトディレクトリへのパス制限を無視して動作する。これにより、Vitestプロセスがアクセス可能な任意のファイルの読み取り、作成、上書き、削除が可能となる。特にブラウザモードAPIが外部ネットワークへ公開されている環境において重大なリスクとなる。

Giteaの「ログイン状態を保持する（Remember-Me）」機能のトークン検証ロジックにおいて、セッション無効化の不備が存在する。GiteaではトークンにIDとハッシュの分割設計を採用しており、ハッシュの不一致が検出された場合（トークンが侵害された可能性を示す）は、関連するすべてのセッションを無効化しなければならない。しかし、脆弱なバージョンでは、データベースから侵害されたトークンが削除されないため、攻撃者のアクティブなセッションが維持されてしまう。結果として、攻撃者は被害者のアカウントへの永続的な不正アクセスを継続できるおそれがある。

Windows DNSサーバー/クライアントに関連する複数の脆弱性が公開されました。該当するシステムでは、速やかな修正プログラムの適用が求められます。

HTTP/2サーバのフロー制御機構に起因してサービス拒否（DoS）状態を引き起こす脆弱性です。CERT/CCのアドバイザリ（VU#885548）およびJVN（JVNVU90338324）にて注意喚起が行われています。

SGLangのエキスパートパラレルサブシステムにおいて、信頼できないデータのデシリアライゼーション（Pickle）に関する脆弱性が存在することが報告されています。

米OpenAIは、Hugging Faceが公表したサイバーインシデントの原因が自社のモデルだったと発表しました。社内のサイバー能力評価中に、安全機能を抑制した「GPT-5.6 Sol」などの未公開モデルが隔離環境を脱出し、Hugging Faceの本番インフラに侵入したとされています。

株式会社ピックルボールワンは、同社ウェブサイトが外部ソフトウェア（プラグイン）の脆弱性を突いた不正アクセスを受け、サーバー上に不正プログラムが設置されたと発表しました。これにより、最大約1,853名分の会員情報等の個人データが漏えいした可能性があるとしています。

千葉県銚子市は、職員による官製談合防止法違反などの事件に関する調査・再発防止策報告書を発表しました。起訴された職員2名が免職処分となったほか、関係者の処分や事業者の入札参加停止期間の延長などが実施されています。

株式会社石川コンピュータ・センターは、添付ファイル分離メールサーバへの不正アクセスに関する最終報を発表しました。同サーバ内のWebシステムの脆弱性が悪用されたもので、影響範囲は当該サーバに限定され、漏えい件数等はこれまでの発表から変更はないとしています。

日本ケンタッキー・フライド・チキンは、食材配送を委託している物流会社で発生した不正アクセスに起因するシステム障害の影響により、一部店舗で品切れや営業時間短縮等が発生していた問題について、全店舗で通常営業を再開したと発表しました。