セキュリティ脅威情報

Python Imaging Library (Pillow) のマルチフレーム画像ローダーにおいて、フレーム間のモード遷移時に古いネイティブ画像ストレージが再利用されることに起因する脆弱性が存在する。フレーム0で狭いモード（Lなど）用のストレージが割り当てられた後、同一寸法でより広いモード（RGBやCMYKなど）を持つ後続のフレームに切り替わると、Pillowは古いネイティブバッファに対してより広いピクセルデータをデコードしてしまう。これにより、PSD、MPO、DCX、MICなどのフォーマットにおいて、ネイティブ領域での領域外書き込み（Out-of-bounds Write）、領域外読み取り（Out-of-bounds Read）、プロセス強制終了、さらには特定のランタイムプロファイルにおける任意のコード実行を引き起こす可能性がある。

HPE製品群において、合計32件の脆弱性が公表された。詳細な説明は提供されていないものの、CVSS基本値が最高10に達する極めて重大な脆弱性が複数含まれており、システムの広範囲な侵害につながるおそれがある。

Cisco社が実施した包括的な内部セキュリティレビューの結果、複数の脆弱性が発見された。これらは不適切なアクセス制御、不適切な無効化、外部からアクセス可能なファイルやディレクトリに関する問題に起因しており、CVSS v3.1基本値は9.9のCriticalと評価されている。

Sentry-JavascriptのNext.js向けSDKにおいて、tunnelRoute機能を使用する際にミドルウェアのバイパスが発生する脆弱性が存在する。SDKはブラウザイベントをサーバーのトンネルパスへ転送する際、ミドルウェアによる拒否を防ぐためにリクエストのミドルウェア処理をスキップする。しかし、このスキップ対象の範囲がリクエストのリライト範囲よりも広く設定されているため、トンネルパス配下の特定のリクエストに対してミドルウェアが実行されない状態となる。これにより、認可チェックをミドルウェアのみに依存している場合に意図しないアクセスが発生する可能性がある。

DOMPurify において、特定の非デフォルト設定（SAFE_FOR_TEMPLATES: true および DOM を返すモード）を使用している際、アタッチされたシャドウドルート内のテンプレート表現の処理に不備が存在する。攻撃者は、無効な要素によって分離された複数のテキストノードにテンプレート表現を分割して配置することで、サニタイズ処理をすり抜けさせることができる。サニタイズ時に分離要素が削除されると、断片が結合して完全な式となり、下流のテンプレートエンジンによって評価されることで、クライアントサイドではクロスサイトスクリプティング、サーバーサイドのテンプレートコンテキストではテンプレートインジェクションに発展するおそれがある。

Node.jsプロジェクトは、サポート中のリリースライン（22.x、24.x、26.x）向けにセキュリティアップデートを公開し、Brotliデコーダの不具合やTLS証明書の検証バイパスなど計10件の脆弱性を修正しました。

インドの認証局eMudhraが発行した中間証明書8件について、署名用の秘密鍵が極めて容易に復元できる状態にあったことが判明しました。ハードウェアセキュリティモジュール（HSM）の鍵生成スクリプトに欠陥があり、不適切な強度の鍵が生成されたことが原因です。各ブラウザベンダーやIT企業は該当証明書の緊急遮断やルート証明書の信頼取り消しなどの対応を進めています。

JPCERT/CCとIPAが運営するJVNにおいて、ISC BINDに関する複数の脆弱性情報が公開されました。CVE-2026-19630、CVE-2026-94300、CVE-2026-96888、CVE-2026-97313の4件の脆弱性が含まれており、詳細や対策はISCのアドバイザリを参照するよう案内されています。

Cisco Systemsは、侵入検知エンジン「Snort 3」に複数の脆弱性が判明したと発表しました。計算処理の脆弱性や域外書き込みなど4件のCVE番号が割り当てられており、Ciscoの複数製品にも影響が及びます。同社は各製品向けに修正版を提供しています。

セキュリティ企業FoxIOが、HTTP/3のヘッダー圧縮スキームであるQPACKの脆弱性を公表しました。認証不要のリモート攻撃者がHTTP/3サーバーに大きなメモリ増幅を引き起こしてクラッシュさせるおそれがあり、複数のスタックに影響しています。

株式会社カプコンは、運営するオンライン会員サービス「CAPCOM ID」において第三者による不正アクセスが発生し、メールアドレスやシステム固有の識別情報など最大約1,177万件が外部に漏洩したと発表しました。また、一部のアカウントでパスワードが不正に変更されたことも確認されています。

株式会社コロナは、利用している外部クラウドサービスへの不正アクセスに関する第2報を公開しました。施工案件に関する情報が流出した可能性があり、氏名や住所など約24,000名分の個人情報および施工関連資料が含まれることが判明しています。特定アカウントの認証情報が漏えいし、多要素認証未設定やパスワードの強度不足もあったとされています。

紀宝町は、利用しているメール配信サービス「ブラストメール」の提供元である株式会社ラクスライトクラウドへの不正アクセスにより、契約者の氏名やメールアドレスなどの個人情報が漏洩した可能性があると発表しました。提供元ではサービスを停止し、詳細な調査を進めています。

アバハウスインターナショナルは、社内システムへ不正アクセスを受けたと発表しました。海外の第三者による不正なログインを起点に不正プログラムが実行され、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文情報などの会員情報およびEC受注情報が漏えいした可能性があるとしています。顧客からの不審な返金案内メールに関する問い合わせをきっかけに発覚しました。

株式会社リクルートは、運営する「カーセンサーnet」と「C-MATCH」への不正アクセスにより、最大3,709,551件の個人情報が外部に漏えいした可能性があると発表しました。同社は不審なアクセスを検知した10月17日午後5時頃より、関連する全サービスの運用を一時停止しています。

H.I.S.ホテルホールディングスは、メールマガジン配信に利用している外部サービスが不正アクセスを受けたことを確認しました。ホテル会員約14万人分の氏名およびメールアドレスが外部に流出したおそれがあります。クレジットカード情報は含まれていないとしています。