NetScaler を AAA 仮想サーバまたは Gateway（SSL VPN／ICA Proxy／CVPN／RDP Proxy）として構成している場合、無権限の攻撃者が遠隔から認証を回避できる。Citrix は 8/19 に修正済みだが悪用中の表示はまだ付けていない。Previdian は「PoC 一致のリクエストは確認したが、実システムの侵害成功を確認したものではない」としている。Shadowserver は NetScaler ADC 22,000 台超、Gateway 約 1,700 台をインターネット上に観測。
攻撃者が Coder の Cloudflare 基盤に侵入し、registry.coder.com の IP プールへ不正なサーバを追加した。配信期間は 8/31 07:35〜21:45 UTC。環境変数、クラウド／AI ツールの API キー、CI/CD 資格情報、OIDC トークン、SSH 鍵、DB パスワードが coder-infra[.]com へ送出された。修正版は 2.37.0／2.36.4／2.35.7／2.34.9。攻撃者側基盤のログが得られず、Coder 自身が全被害を特定できないとしている。
攻撃者は被害者のメールアドレスで Lenovo ID を新規登録し、その ID で Dropbox にログインした。Dropbox のパスワードは不要である。アクセス期間は 8/4〜21。Dropbox は Lenovo ID 経由の全セッションを失効させ、当該経路のログイン時に自社パスワードの入力を必須とする変更を入れた。Lenovo は「Lenovo ID と Dropbox のレガシー連携に起因する」とし、Lenovo 顧客への影響は確認されていないと回答している。
研究者 Chaotic Eclipse（別名 Nightmare Eclipse）が、Falcon Sensor の Office 悪性マクロ修復処理を悪用する PoC を GitHub に公開した。完全更新済みの Windows 11 25H2 および Windows Server 2025 で動作するとされる。CrowdStrike は「主張を積極的に調査中」と回答。防御製品そのものが SYSTEM 権限への踏み台になる構図である。
攻撃者が同社サービスを侵害し 1 億 5,300 万件超の運転免許証データを販売したとされる件で、複数の集団訴訟が提起された。本人確認をアウトソースする構造そのもののリスクが問われる。
細工した HTML ページ経由で、サンドボックス内での任意コード実行に至る。Chrome 152.0.7977.82 未満が対象で、Edge や Opera など Chromium ベースの他ブラウザも影響を受ける。発見者は Salvatore Gulizia（Serotav）、報告日は 8/4、報奨金は 1,000 ドル。本日の KEV 新規追加はこの 1 件のみで、収載総数は 1,698 → 1,699 件。
KEV 未収載のため CISA の対応期限は存在しない。ただし PoC 公開後に複数国の IP から試行が観測され、ベルギー CCB が全該当機器の優先パッチ適用を勧告している。期限がないことは緊急度が低いことを意味しない。
REPLICATION 属性を持つアカウントが、DB サーバの実行 OS ユーザとして任意コードを実行できる。2014 年の PostgreSQL 9.4 での論理デコーディング導入以来 12 年間存在した。バックアップツール、スタンバイ、CDC パイプライン、監視系がこの属性を日常的に保持している点が実務上の難所。CVSS 9.0 未満だが、悪用に必要な前提が広く満たされているため掲載する。
1 日超過：CVE-2026-83548 SonicWall SMA1000（10.0）／CVE-2026-83549 同（7.8）／CVE-2026-9586 Sangoma Switchvox（9.8）／CVE-2026-82329 JFrog Artifactory（9.8）／CVE-2026-49869 Kestra OSS（10.0）。残り 3 日（9/9）：CVE-2021-23758 Ajax.NET Professional（9.8）／CVE-2022-0995 Linux Kernel（7.8）／CVE-2015-5287 Red Hat ABRT（7.8）／CVE-2015-3246 Red Hat libuser（7.2）。残り 4 日（9/10）：CVE-2026-66384 JFrog Artifactory（5.3）。残り 8 日（9/14）：CVE-2026-81578／CVE-2026-82078 PaperCut NG/MF。残り 10 日（9/16）：CVE-2026-48710 Starlette／CVE-2026-59822 LiteLLM。大幅超過のまま：CVE-2026-60004 Gitea（9 日）、CVE-2026-8452 Citrix NetScaler（8 日）、CVE-2019-1068 Microsoft SQL Server（8 日）、CVE-2023-49105 ownCloud（7 日）、CVE-2026-53362 Linux Kernel（7 日）。
WordPress と PrestaShop が中心。BSC Testnet のスマートコントラクトに次段ペイロードを置く EtherHiding の手法で、偽 CAPTCHA から Windows の「ファイル名を指定して実行」に PowerShell を貼り付けさせる。後半ではペイロードが WebRTC データチャネルのステージャに差し替えられ、相手のいないハンドシェイクを自分で書いて成立させる。受信コードはディスクに落とさず DOM に追加して実行する。8 月は 1 日あたり約 400 サイト、ピーク 536 サイトが RPC を叩いていた。対処は BSC Testnet RPC エンドポイント群の遮断と、Web 以外の UDP トラフィックの監視になる。
韓国の自動車・メディア分野の 2 組織で、トロイの木馬化された HAProxy ロードバランサに直接組み込まれた形で発見された。HAProxy の脆弱性ではなく、ホスト上でのコード実行と稼働バイナリの置換が前提。C2 リクエストはバックエンドに到達せず、HAProxy 自身の接続カウンタからも消される。特定の画像パスへのリクエストがフィルタを C2 モードに切り替える。Rapid7 は北朝鮮系国家支援アクターの関与を中程度の確度で示唆している。
Microsoft によれば、AI へのプロンプト隠蔽に使われていた ASCII Smuggling の手法が、従来型のフィッシングに転用された。「funding」などの金銭誘引語を不可視文字で分割し、フィルタの解析を通り抜ける。人間の目には正常な文面に見える。攻撃は 2026 年 2 月上旬から観測されている。
Super Forms の CVE-2026-14894（CVSS 9.8、6.3.314 で修正）と Elementor Pro の CVE-2026-32475（9.0／9.8、4.2.2 で修正）。いずれもファイル種別検証の欠落による無認証の任意ファイルアップロードで、PHP ウェブシェルの設置から管理者アカウント作成・データ持ち出し・サイト全体の乗っ取りに至る。
CVE-2026-85046（V8 の型混同、CVSS 8.8）が悪用中。Chromium ベースの Edge・Opera 等も同系統の更新が要る。KEV 収載により連邦機関の対応期限は 9/18。
修正は 8 月 13 日出荷。output_plugin_libraries というサーバパラメータが追加され、既定値は 'pgoutput, test_decoding'。wal2json や decoderbufs を使っている環境は、更新後に論理デコーディングが拒否されるため、事前にパラメータ設定の追加が必要である。
Plex は詳細を明かさず、CVE 番号は申請中としたうえで「全サーバ所有者およびデスクトップ利用者はできるだけ早く更新を」と呼びかけている。NAS 上で稼働している場合、パッケージマネージャに未反映のことがあり手動導入が必要。
9/4 公表：JVN#32505330 エクシング CPTrans-ME-X、JVNVU#94249914 CISA ICS Advisory（9/3）、JVNVU#96680494 Casdoor 認可回避、JVNVU#97027767 Siemens 製品アップデート（2026年9月）。9/3 公表：Apache Tomcat 2 件、OpenSSL 2 件、ISC BIND 1 件、Apache Tomcat（7/14 分）1 件。Siemens の 9 月分が入っており、制御系を持つ組織は該当有無の確認が要る。
1. Citrix NetScaler を最優先で確認する。 AAA 仮想サーバまたは Gateway 構成の機器は CVE-2026-19490 の対象になりうる。CTX696939 で該当ビルドを確認し、8/19 の修正版へ更新する。KEV 未収載のため期限は設定されていないが、複数国の IP から試行が観測されている。
2. 9/5 期限を過ぎた KEV 5 件を今日中に片付ける。 SonicWall SMA1000（CVE-2026-83548／83549）、Sangoma Switchvox（CVE-2026-9586）、JFrog Artifactory（CVE-2026-82329）、Kestra OSS（CVE-2026-49869）。いずれも認証不要または境界装置であり、放置している時間がそのまま露出時間になる。
3. Coder 利用組織は、8/31 07:35〜21:45 UTC のモジュール取得履歴を洗う。 ファイアウォール・プロキシ・DNS・VPC フローログで coder-infra[.]com への接続を、プロビジョナログで data.external.telemetry を検索する。該当があれば、環境変数・API キー・CI/CD 資格情報・OIDC トークン・SSH 鍵・DB パスワードをすべてローテートし、キャッシュ済みモジュールを削除したうえで 2.37.0／2.36.4／2.35.7／2.34.9 へ更新する。
4. ID フェデレーションの「初回紐づけ」を点検する。 外部 IdP からの主張（メールアドレスの所有）だけで既存アカウントに結び付けていないか。Dropbox の事例のとおり、既存の認証手段による確認を挟まない設計は、連携先の検証品質をそのまま自社の認証強度にしてしまう。
5. Chromium 系ブラウザの更新を、Chrome 以外も含めて確認する。 CVE-2026-85046 は Edge・Opera など Chromium ベースの製品にも及ぶ。資産管理台帳上「Chrome」だけを更新対象にしている場合、取りこぼしが出る。
6. PostgreSQL の更新前に output_plugin_libraries を確認する。 wal2json や decoderbufs を使っている環境は、更新するとそのままでは論理デコーディングが拒否される。CDC パイプラインが止まるため、パラメータ追加を先に済ませる。
本日は日曜であり、週次（内閣府・総務省・金融庁）および月次（防衛省・厚労省・外務省・国交省）は対象外。なお前回実行は 9/4 であり 9/5 分の実行記録がないため、本日の差分は 9/4〜9/6 の 3 日分を対象とした。
国家サイバー統括室（NCO）— 新着なし。 Chrome ブラウザ経由でトップページを直接取得した。新着情報欄の最新は 2026年8月5日付「松本デジタル大臣兼サイバー安全保障担当大臣のシンガポール訪問(結果)」および「『安全基準等策定ガイドライン（案）』に関する意見の募集について」のままである。（NCO トップ）
IPA — 新着 1 件。 9月4日付「『ひろげよう情報セキュリティコンクール2026』の募集要項を公開しました」がセキュリティ区分に追加された。前回のセキュリティ区分最新は 8月27日付であり、8 日ぶりの更新。技術情報ではなく小中高生向けの標語・ポスター・4コマ漫画の募集である。（IPA 新着情報）
経済産業省 — セキュリティ関連の新着なし。 プレスリリース最新は 9月4日付の 2 件（最低賃金引上げ対応の中小企業支援策、託送供給収入見通しの変更承認）で、いずれもサイバーセキュリティ関連ではない。「安全・安心」区分の最新は 8月27日付「東北サイバーセキュリティシンポジウム2026」のままである。サイバーセキュリティ政策ページ（meti.go.jp/policy/netsecurity）は本文が空で返ったため、プレスリリース側で代替確認した。（経産省ニュースリリース）
警察庁サイバー警察局 — 新着なし。 新着情報欄の最新は「サイバー警察局便り R8 Vol.13『SNSやメールの乗っ取り・なりすましに注意!!』」（令和8年9月3日付）のままで、前回実行時に記録済みである。（サイバー警察局）
JPCERT/CC — 新着なし。 注意喚起の最新は 8月15日付「NetScaler ADC および NetScaler Gateway におけるリモートコード実行につながる脆弱性（CVE-2026-8452）」のまま。Weekly Report は 9月2日号、CyberNewsFlash は 8月13日付が最新である。本日世界動向で扱った CVE-2026-19490（NetScaler の認証バイパス）についての注意喚起は現時点で出ていない。8月15日の注意喚起は別系統の CVE-2026-8452 である。（JPCERT/CC）
JVN — 新着 10 件。 最終更新日は 2026/09/04。9/4 公表分 4 件（エクシング CPTrans-ME-X、CISA ICS Advisory、Casdoor、Siemens 2026年9月分）、9/3 公表分 6 件（Apache Tomcat ×2、OpenSSL ×2、ISC BIND、Apache Tomcat 7/14分）。詳細はパッチ欄に記載。（JVN）
デジタル庁 — 新着なし。 新着・更新の最新は 9月4日付（熊本地震対応状況、エリアデータ連携基盤共同利用ガイドブック第3.0版、令和9年度概算要求書ほか）で、セキュリティ関連はない。サイバーセキュリティ政策ページの最終更新日は 2026年4月7日のままである。調達情報に 9月4日付「令和8年度eラーニング『情報セキュリティ基礎』の教材改修に係る請負」の一般競争入札が出ている。（デジタル庁／サイバーセキュリティ）
障害記録 — （1）CISA 公式 KEV JSON フィードは本日も空応答、25 日連続。cvefeed.io のミラーで代替。（2）経産省サイバーセキュリティ政策ページが空応答。（3）デジタル庁の新着・更新一覧は取得ツールの参照元制約により直接取得できず、トップページの新着欄で代替。（4）Claude 内蔵ブラウザは www.cyber.go.jp が未許可のため、NCO は Chrome 拡張側で取得。（5）BleepingComputer の RSS は 9/4 12:56 EDT が最新であり、9/5 記事は個別記事から補完。（6）cybersecuritynews.com の RSS は応答サイズの都合で本日は取り込まず、The Hacker News と BleepingComputer で代替。
新着なし。 経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR 関連）、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG、AI・半導体WG、サイバーセキュリティ戦略本部のいずれについても、各所管サイトの新着欄に開催情報・資料の追加は確認できなかった。日曜であり、開催告知が出る曜日ではない。
8/19 に修正された認証バイパスについて、PoC 公開後の 9/3 に豪・米・独の 3 IP から PoC 一致のリクエストが観測された。ベルギー CCB も 9/4 に警告を出したが、CISA KEV への収載は本日時点で確認できない。CRA Art. 14 の「積極的に悪用されている脆弱性」の認知を KEV 収載だけを起点に設計すると、この種の事案で 24 時間ルールを踏み外す。KEV は認知経路の下限であって上限ではない。
Chrome 152.0.7977.82 で修正された 12 件のうち 1 件が悪用中で、CISA は 9/4 に KEV へ収載し期限を 9/18 とした。PACKED_ELEMENTS の配列に PACKED_SMI_ELEMENTS のマップを与えるコンパイラのバグで、任意の読み書きに転じる。発見者への報奨金は 1,000 ドル、報告から修正まで約 1 か月である。Edge や Opera など Chromium 系の他ブラウザも影響を受けるため、「Chrome だけ更新して終わり」にならない資産管理が要る。
攻撃者が Cloudflare 基盤に侵入し、registry.coder.com の IP プールに不正なサーバを追加した。8/31 の 14 時間、Cloudflare は一部リクエストを攻撃者側へ振り分け、情報窃取コード入りの Terraform モジュールが配られた。依存関係の名称もバージョンも正規のままで、中身だけが差し替わっている。SBOM は「何を使っているか」は答えるが「届いたものが本物か」は答えない。ハッシュ検証と署名の有無が被害の有無を分ける。
攻撃者は被害者のメールアドレスで Lenovo ID を新規登録し、その ID で Dropbox にログインした。Dropbox のパスワードも 2 要素も要らない。Lenovo ID を作った覚えのない利用者まで対象になったのは、Dropbox 側がメールアドレスの一致だけで既存アカウントに紐づけたためである。約 5,000 アカウントが 8/4〜21 にアクセスされた。ID フェデレーションの設計で「初回の紐づけ時に既存の認証手段で確認する」を省くと、連携先の検証品質がそのまま自社の認証強度になる。
改ざんされた 5,400 サイト超が、BSC Testnet のスマートコントラクトから次段ペイロードを取得している。無料で使え、消せない。8 月は 1 日あたり約 400 サイト、ピーク 536 サイトが RPC を叩いていた。後半では WebRTC データチャネルのステージャに差し替えられ、受信コードはディスクに落とさず DOM に追加して実行される。対処は配信元の停止ではなく、RPC エンドポイント群の遮断と Web 以外の UDP 監視という通信側の封じ込めになる。
2026 年 9 月 11 日、CRA の脆弱性・インシデント報告義務が動き出す。Art. 14 は「積極的に悪用されている脆弱性」の認知から 24 時間以内の早期警告を求めるが、本日の Citrix NetScaler の事例が示すとおり、悪用の観測はセンサ事業者や一国の CERT から先に出て、KEV には遅れて入る（あるいは入らない）。加えて CISA 公式 JSON フィードは 25 日連続で空応答であり、KEV そのものの取得経路も冗長化が要る。ベンダ自身の観測、WAF・EDR 事業者の通知、各国 CERT の警告を、それぞれ正式な認知経路として手順書に列挙しておく必要がある。
本日は日曜のため、週次・月次チェックはいずれも対象外。週次（NVD・FIRST）および月次（欧州委員会 CRA・EUR-Lex・ENISA・CEN-CENELEC・経産省 SCS／IPA SBOM）は明日 2026-09-07 に実施予定である。9 月の第 1 月曜が 9/7 にあたるため、明日は週次と月次が同時に走る。
CRA 報告義務の適用開始（2026 年 9 月 11 日）まで残り 5 日。日次分に含まれる CISA KEV および JVN／JPCERT の確認結果は上部の各欄に記載した。本日の要注目点は 3 つ。（1）Citrix NetScaler CVE-2026-19490 は KEV 未収載のまま悪用が観測されており、Art. 14 のトリガー判定を KEV 収載だけに依存させる設計の限界を示す。（2）Coder のレジストリ侵害は、SBOM の提出だけでは検知できない配信経路の改ざんであり、CRA が求めるのは部品表に加えて取得成果物の完全性確認であることを裏づける。（3）JVN に国内メーカー製品として エクシング CPTrans-ME-X の複数の脆弱性が公表された（9/4）。EU 市場向け製品ではないと見られるが、組込み／通信機器を扱う国内 PSIRT にとって参照価値がある。