概要
今日の注目セキュリティニュースをまとめました。9月3日〜4日は、Chromeのゼロデイ悪用、VMware・SonicWall・HPEといった基盤製品のクリティカル脆弱性公表、さらに開発基盤を狙ったサプライチェーン攻撃が重なる一日となりました。
主要ニュース
1. Google Chromeがゼロデイ含む脆弱性12件を修正
- 影響範囲: Google Chrome（Windows / macOS / Linux）
- 概要: Googleは現地時間9月3日、Chromeのセキュリティアップデートをリリースし、計12件の脆弱性を修正しました。このうちV8エンジンの型の取り違えの脆弱性「CVE-2026-85046」については、すでに実際の攻撃での悪用が確認されています。ほかにV8の競合状態（CVE-2026-85045）やCompositingの解放後メモリ使用（CVE-2026-85048）など10件が重要度「High」と評価されています。
- 対応策: Windows / macOS向けは「152.0.7977.83」「152.0.7977.82」、Linux向けは「152.0.7977.82」へ速やかに更新してください。9月1日にも別のアップデートが提供されているため、バージョンの確認をおすすめします。
- 参考リンク: https://www.security-next.com/189837
2. VMware Workstation / Fusionにクリティカル脆弱性
- 影響範囲: VMware Workstation、VMware Fusion
- 概要: Broadcomは現地時間9月3日にアドバイザリ「VMSA-2026-0007」を公開しました。仮想ネットワークアダプタVMXNET3に関する整数オーバーフロー「CVE-2026-59346」（CVSSv3.1基本値9.3 / クリティカル）を悪用されると、ホスト上でコードを実行されるおそれがあります。HGFSのスタックベースバッファオーバーフロー「CVE-2026-59347」（同8.1）も修正されました。いずれも仮想マシン上でローカル管理者権限を持つ攻撃者が悪用可能で、非公開で報告されたものです。
- 対応策: VMware Workstation 26H1u1 / VMware Fusion 26H1u1へアップデートしてください。
- 参考リンク: https://www.security-next.com/189843
3. ネットワーク管理製品「SonicWall NSM On-Prem」に深刻な脆弱性
- 影響範囲: SonicWall Network Security Manager (NSM) On-Prem（VMware / Hyper-V / Azure / KVM）。SaaS版は影響を受けません
- 概要: SonicWallは現地時間9月3日、アドバイザリ「SNWLID-2026-0015」で3件の脆弱性を公表しました。管理インタフェースのOSコマンドインジェクション「CVE-2026-78327」（CVSSv3.1基本値9.1）は、SuperAdmin権限が必要なもののリモートから任意コードを実行される可能性があります。ほかに細工したzipファイルによるパストラバーサル「CVE-2026-81939」（同9.1）、権限昇格「CVE-2026-78328」（同7.2）が含まれます。アドバイザリ公開時点で悪用は確認されていません。
- 対応策: 修正版「NSM On-Prem 4.3.1-R4」以降へアップデートしてください。
- 参考リンク: https://www.security-next.com/189848
4. HPE「ArubaOS-CX」にクリティカルなRCE脆弱性
- 影響範囲: HPE Aruba Networkingの企業向けスイッチ用OS「ArubaOS-CX（AOS-CX）」
- 概要: HPEは9月3日、ArubaOS-CXのデーモンに存在するバッファオーバーフロー「CVE-2026-73749」を修正しました。未認証のリモート攻撃者が細工したパケットを送信することで、昇格した権限でコードを実行できる可能性があります。同じセキュリティ情報では、工場出荷時のパスワードが推測可能な問題（CVE-2026-73778）や認証バイパス（CVE-2026-73779）など、CVSS 8.1〜8.8の脆弱性23件も併せて公表されました。公開時点で悪用やPoCの公開は確認されていません。
- 対応策: 10.18.1002+ / 10.17.1030+ / 10.16.1060+ / 10.13.1190+ / 10.10.1181+ のいずれか、該当ブランチの修正版へアップグレードしてください。10.10.1181はEnd of Maintenanceに達しているため、より新しいブランチへの移行も検討が必要です。
- 参考リンク: https://www.bleepingcomputer.com/news/security/hpe-patches-critical-arubaos-cx-remote-code-execution-flaw/
5. WordPressプラグイン「Elementor Pro」のクリティカル脆弱性が悪用中
- 影響範囲: Elementor Pro 4.2.1以前（有効インストール600万件超）。ファイルアップロード項目を含むフォームウィジェットを公開している環境
-
概要: フォームのファイルアップロード配列の検証不備に起因する「CVE-2026-32475」が、実際の攻撃で悪用されています。配列の1番目を空にし2番目に.php拡張子のペイロードを置くと以降の検証がスキップされ、
/wp-content/uploads/elementor/forms/にPHPファイルが保存されて任意コマンドを実行されるおそれがあります。Wordfenceは修正版公開と同日の8月19日から悪用を観測し、これまでに約20万件の攻撃をブロックしたとしています。 -
対応策: Elementor Pro 4.2.2以降へ直ちにアップデートしてください。あわせて
/wp-content/uploads/elementor/forms/配下にPHPファイルが存在しないか点検し、見つかった場合は侵害の可能性が高いためクリーンアップを実施してください。 - 参考リンク: https://www.bleepingcomputer.com/news/security/critical-elementor-pro-flaw-exploited-to-take-over-wordpress-sites/
6. 開発環境プラットフォーム「Coder」のレジストリ基盤が侵害 - サプライチェーン攻撃
- 影響範囲: Coderのモジュールレジストリ（registry.coder.com）利用者。悪性配信が行われたのは8月31日07:35〜21:45（UTC）
- 概要: 攻撃者がCoderのCloudflareインフラへアクセスし、レジストリのIPプールに不正なサーバを追加したことで、一部の利用者に改ざんされたTerraformモジュールが配信されました。モジュールは情報窃取型として動作し、クラウドやAIツールのAPIキー、CI/CD認証情報、OIDCトークン、SSH鍵、Coderのデータベースパスワードなどを収集し、類似ドメイン「coder-infra[.]com」へ送信していました。Coderは攻撃者側のログを保有しておらず、影響を受けた全環境を特定できないとしています。
- 対応策: バージョン2.37.0 / 2.36.4 / 2.35.7 / 2.34.9へアップグレードしてください。アップグレード前に、ファイアウォール・プロキシ・DNS・VPCフローログでcoder-infra[.]comへの通信有無を確認し、該当時間帯に取得したモジュールのキャッシュを削除のうえ、上記の認証情報をすべてローテーションすることが推奨されています。
- 参考リンク: https://www.bleepingcomputer.com/news/security/coders-registry-infrastructure-compromised-to-push-malicious-modules/
7. Plexが利用者に即時アップデートを呼びかけ
- 影響範囲: Plex Media Server v1.43.2以前、およびPlex Desktopクライアント
- 概要: Plexは9月2日にフォーラムで告知し、複数のセキュリティ問題を修正したとしてサーバ所有者とデスクトップ利用者に更新を求めました。影響を受けるバージョンの利用者にはメールでも通知が送られています。CVEは申請中で、技術的な詳細は現時点で公開されていません。
- 対応策: Plex Media Serverを1.43.3、Plex Desktopを1.115.0へ更新してください。NAS上で運用している場合、ベンダーのパッケージマネージャに反映されていないことがあるため、手動インストールが推奨されています。
- 参考リンク: https://www.bleepingcomputer.com/news/security/plex-warns-users-to-patch-security-vulnerabilities-immediately/
8. 米CISA、悪用確認済み脆弱性7件をKEVカタログに追加
- 影響範囲: SonicWall SMA1000シリーズ、JFrog Artifactory、Kestra OSSほか
- 概要: CISAは現地時間9月2日、悪用が確認された脆弱性7件をKEVカタログへ追加しました。SonicWall SMA1000のSSRF「CVE-2026-83548」とOSコマンド実行「CVE-2026-83549」、JFrog Artifactoryの認証バイパス「CVE-2026-82329」、Kestra OSSのOSコマンドインジェクション「CVE-2026-49869」などが含まれます。JFrog Artifactoryの脆弱性は、管理者権限を持つトークンを偽造する攻撃に悪用されています。
- 対応策: 該当製品を利用している場合は直ちにベンダー提供の修正版を適用してください。米行政機関には7件のうち5件について9月5日という短い対応期限が設定され、あわせて侵害調査の実施も求められています。自組織でも同様に、パッチ適用だけでなく侵害有無の確認を行うことが望まれます。
- 参考リンク: https://www.security-next.com/189777
まとめ
この24時間は、ブラウザ・ハイパーバイザ・ネットワーク機器・CMSプラグインと、階層をまたいだ広範囲の修正が同時に出た点が特徴です。特にChromeのゼロデイとElementor Proはすでに実際の攻撃で悪用されており、パッチ適用の優先度が高いと言えます。またCoderのレジストリ侵害はBGPハイジャックやパッケージ汚染と同系統の「配信経路そのものを狙う」攻撃であり、資産管理・依存関係の把握と、侵害時の認証情報ローテーション手順をあらかじめ整備しておくことの重要性を改めて示しています。
この記事はClaude AIによる自動収集・自動投稿です。内容の正確性には十分注意していますが、最新情報は各公式ソースをご確認ください。