AWS (ECS/EC2) の対応が必要な脆弱性

AWS (ECS/EC2) 環境で影響を受ける／対応が必要な重大・クリティカル脆弱性の一覧です。各詳細ページで具体的なパッチ・回避策を確認してください。

AWS (ECS/EC2) で対応が必要なもの 235件（掲載 271件中）。掲載271件のうち、AWS・GCP・Azure で必要な対応が分かれるものはありません（対応内容はいずれもベンダー提供の更新の適用です）。環境の違いが出るのは主に Linux（OS 側の修正の有無）です。作業の内容で絞りたい場合は「必要な対応で絞り込む」のほうが有効です。

悪用確認(KEV)のみ

AWS (ECS/EC2) の対応が必要な脆弱性235件

Critical CVSS 10.0 KEV 悪用確認

Metabase の /api/session/reset_password に未認証SQLインジェクション（CVSS 10.0・悪用確認）

CVE-2026-72898Metabase / Metabase登録: 2026/08/10

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Arista VeloCloud Orchestrator On-Prem の OS コマンドインジェクション（未認証・ゼロデイ悪用・KEV／CVSS 10.0）

CVE-2026-16812Arista Networks / VeloCloud Orchestrator (VCO) On-Prem 5.2.0〜5.2.3.14未満 / 6.1.0〜6.1.3.4未満 / 6.4.0〜6.4.2.4未満 / 7.0.0〜7.0.0.1未満登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 10.0

JetBrains TeamCity で Kotlin DSL のサンドボックスを抜けてコード実行ができた

CVE-2026-65906JetBrains / TeamCity登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 10.0

Oracle Coherence の Core に未認証リモートから完全掌握に至る欠陥（CVSS 10.0）

CVE-2026-60217Oracle / Oracle Coherence（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 10.0

@fastify/http-proxy の WebSocket 経路でパストラバーサルにより rewrite プレフィックスを迂回

CVE-2026-15631Fastify / @fastify/http-proxy登録: 2026/07/18

AWSGCPAzureLinux
Critical CVSS 10.0

Fastify の reply-from で upstream を跨ぐ誤転送が起きる

CVE-2026-16158Fastify / @fastify/reply-from登録: 2026/07/18

AWSGCPAzureLinux
Critical CVSS 10.0

Jupyter Enterprise Gateway で Kubernetes マニフェストに YAML インジェクションができ、特権 Pod を作られる

CVE-2026-44182Project Jupyter / Jupyter Enterprise Gateway登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 10.0

Jupyter Enterprise Gateway で KERNEL_ 環境変数がテンプレートに展開され、Kubernetes 上で任意コード実行（SSTI）

CVE-2026-44181Project Jupyter / Jupyter Enterprise Gateway登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 10.0

Roundcube Webmail ゼロクリック格納型XSS（メール閲覧だけで実行）

CVE-2026-54433Roundcube / Roundcube Webmail登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認ランサム悪用

SonicWall SMA1000 アプライアンス Work Place 未認証SSRF（ゼロデイ悪用・KEV）

CVE-2026-15409SonicWall / SMA1000 Appliances (SMA6210/7210/8200v ほか)登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 10.0

Roundcube Webmail の HTML メール CSS 無害化不足（SSRF・内部情報の漏えい）

CVE-2026-62643Roundcube / Roundcube Webmail 1.6.17 未満 / 1.7.2 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Adobe ColdFusion パストラバーサル（任意コード実行）

CVE-2026-48282Adobe / ColdFusion登録: 2026/07/07

AWSGCPAzureLinux
Critical CVSS 10.0

Traefik の認証ミドルウェアがアンダースコア版ヘッダを消し残す（CVSS 10.0）

CVE-2026-54763Traefik Labs / Traefik v2.11.51 未満 / v3.0.0 以上 v3.6.22 未満 / v3.7.0 以上 v3.7.6 未満登録: 2026/07/06

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

SimpleHelp 認証バイパス（OIDC 署名未検証）

CVE-2026-48558SimpleHelp / SimpleHelp登録: 2026/06/29

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Ivanti Sentry OS コマンドインジェクション（root RCE）

CVE-2026-10520Ivanti / Sentry登録: 2026/06/11

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Cisco Catalyst SD-WAN 認証バイパスによる管理者権限奪取（未認証・実際に悪用・KEV）

CVE-2026-20182Cisco / Catalyst SD-WAN Controller / Manager / Validator登録: 2026/05/14

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Quest KACE SMA の SSO 認証回避で管理者権限を奪取（悪用確認済み）

CVE-2025-32975Quest / KACE Systems Management Appliance (SMA)登録: 2026/04/20（CVE公開: 2025年）

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Craft CMS で認証不要のリモートコード実行（悪用確認済み）

CVE-2025-32432Craft CMS / Craft CMS登録: 2026/03/20（CVE公開: 2025年）

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認ランサム悪用

Cisco FMC のデシリアライズで未認証 root RCE（ランサムウェア悪用）

CVE-2026-20131Cisco / Secure Firewall Management Center (FMC)登録: 2026/03/19

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Cisco Catalyst SD-WAN の認証回避で管理者権限を奪取（悪用確認済み）

CVE-2026-20127Cisco / Catalyst SD-WAN Controller / Manager / Validator登録: 2026/02/25

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Cisco メールGWの隔離機能で未認証の root コマンド実行（悪用確認済み）

CVE-2025-20393Cisco / AsyncOS for Secure Email Gateway / Secure Email and Web Manager登録: 2025/12/17

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認ランサム悪用

React Server Components で認証前のコード実行（ランサム利用あり）

CVE-2025-55182Meta / React Server Components登録: 2025/12/05

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Adobe Experience Manager Forms の設定不備で RCE（悪用確認済み）

CVE-2025-54253Adobe / Experience Manager (AEM) Forms登録: 2025/10/15

AWSGCPAzureLinux
Critical CVSS 9.9

containerd の CRI チェックポイント取り込みでノード内イメージタグ汚染（越境コード実行）

CVE-2026-50195containerd / containerd 2.1.0〜2.1.8 / 2.2.0〜2.2.4 / 2.3.0〜2.3.1登録: 2026/07/26

AWSGCPAzureLinux
Critical CVSS 9.9

Kata Containers の既定設定でホストのルートFSをゲストへ露出（CVSS 9.9・3.31.0 で修正）

CVE-2026-44210kata-containers / Kata Containers登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 9.9

Oracle WebLogic Server の SAML 経路に低権限から乗っ取りへ至る欠陥（CVSS 9.9）

CVE-2026-60206Oracle / Oracle WebLogic Server（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.9

Langflow で認証済みユーザーが DB 直接操作により superuser へ昇格し任意コマンドを実行できる

CVE-2026-8635IBM / Langflow OSS 1.0.0 - 1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

IBM Langflow OSS ディスクキャッシュの安全でないデシリアライズによるRCE

CVE-2026-8476IBM / Langflow OSS 1.0.0-1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

IBM Langflow OSS コード検証APIの exec() 実行による認証済みユーザーからのRCE

CVE-2026-8481IBM / Langflow OSS 1.0.0-1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

IBM Langflow ToolGuard 経由のコード実行（allow_custom_components=false を迂回）

CVE-2026-9135IBM / Langflow OSS 1.0.0 〜 1.10.0（Langflow 1.9.2 以前）登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

Adobe ColdFusion コードインジェクション（低権限から任意コード実行）

CVE-2026-48322Adobe / ColdFusion登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.9

PAN-OS の LSVPN に XML インジェクション（未認証・CVSS 9.9）

CVE-2026-0284Palo Alto Networks / PAN-OS 10.2.0〜12.1.6（Large Scale VPN 機能）登録: 2026/07/09

AWSGCPAzureLinux
Critical CVSS 9.9 KEV 悪用確認

Cisco ASA/FTD の VPN Web サーバで root 権限のRCE（悪用確認済み）

CVE-2025-20333Cisco / Secure Firewall ASA / Secure Firewall Threat Defense (FTD)登録: 2025/09/25

AWSGCPAzureLinux
Critical CVSS 9.8 NEW KEV 悪用確認

TrueConf Server の 4307/TCP に認証が無い（未文書の関数呼び出しで任意スクリプト実行・KEV 収載）

CVE-2026-72529TrueConf / TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応）登録: 2026/08/19

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Progress LoadMaster の未認証コマンドインジェクション（悪用確認済み・KEV）

CVE-2026-8037Progress / Progress ADC 製品（LoadMaster アプライアンス）登録: 2026/08/07

AWSGCPAzureLinux
Critical CVSS 9.8

PHP の PostgreSQL 拡張にバックスラッシュのエスケープ漏れによる SQL インジェクション

CVE-2026-17543PHP / PHP 8.2.0〜8.2.32 / 8.3.0〜8.3.32 / 8.4.0〜8.4.23 / 8.5.0〜8.5.8（ext-pgsql を使う構成）登録: 2026/07/30

AWSGCPAzureLinux
Critical CVSS 9.8

PHP の BCMath 拡張 bccomp() に領域外書き込み（スタックとヒープを破壊）

CVE-2026-17544PHP / PHP 8.4.0〜8.4.23 / 8.5.0〜8.5.8（ext-bcmath を有効にした構成）登録: 2026/07/30

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Traffic Server regex_remap のスタックオーバーフロー（CVSS 9.8）

CVE-2026-58179Apache Software Foundation / Apache Traffic Server 8.0.0〜8.1.9 / 9.0.0〜9.2.14 / 10.0.0〜10.1.3登録: 2026/07/29

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Traffic Server の Cripts に境界外書き込みなど複数の欠陥

CVE-2026-58177Apache / Apache Traffic Server登録: 2026/07/29

AWSGCPAzureLinux
Critical CVSS 9.8

Keras の Lambda レイヤー逆シリアライズで安全モードが無効化され任意コード実行

CVE-2026-12481keras-team / Keras 3.14.0登録: 2026/07/28

AWSGCPAzureLinux
Critical CVSS 9.8

IBM WebSphere Liberty の Collective Controller で任意コード実行

CVE-2026-14976IBM / WebSphere Application Server Liberty登録: 2026/07/28

AWSGCPAzureLinux
Critical CVSS 9.8

IBM WebSphere Application Server の危険な逆シリアル化でRCE

CVE-2026-14974IBM / WebSphere Application Server (traditional)登録: 2026/07/28

AWSGCPAzureLinux
Critical CVSS 9.8

IBM WebSphere Application Server の認証バイパス（未認証要求）

CVE-2026-16184IBM / WebSphere Application Server (traditional)登録: 2026/07/28

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

JetBrains TeamCity のデシリアライズ欠陥（未認証リモートコード実行・悪用確認済み）

CVE-2026-63077JetBrains / TeamCity 2025.11.7 未満、および 2026.1 〜 2026.1.2登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Thrift C++ バインディングのヒープバッファオーバーフロー（CVSS 9.8・0.24.0 で修正）

CVE-2026-55971apache / Thrift登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.8

JFrog Artifactory の認証処理の不備で権限昇格

CVE-2026-66014JFrog / Artifactory (Self-Managed)登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.8

IBM Langflow の MCP エンドポイントで未認証の越境アクセス（CVSS 9.8・認可欠如）

CVE-2026-7663IBM / Langflow OSS 1.0.0〜1.9.6登録: 2026/07/26

AWSGCPAzureLinux
Critical CVSS 9.8

Citrix NetScaler ADC/Gateway に複数のメモリオーバーフロー欠陥（CVSS 8.8・Gateway/AAA構成で異常動作・DoS）

CVE-2026-8452Citrix (Cloud Software Group) / NetScaler ADC / NetScaler Gateway 14.1-72.61 以前・13.1-63.18 以前（FIPS/NDcPP 含む）登録: 2026/07/25

AWSGCPAzureLinux
Critical CVSS 9.8

IntelliJ IDEA の UI Designer フォームファイルで任意コード実行

CVE-2026-64815JetBrains / IntelliJ IDEA登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 9.8

Progress MOVEit Transfer のセッション失効不備（評価が割れる）

CVE-2026-15967Progress Software / MOVEit Transfer登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 9.8

MOVEit Transfer のクロスドメイン許可設定の不備

CVE-2026-15966Progress Software / MOVEit Transfer登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 9.8

Progress MOVEit Transfer の認証不備（なりすましの恐れ）

CVE-2026-10697Progress Software / MOVEit Transfer登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Microsoft SharePoint 信頼できないデータのデシリアライズによる未認証RCE（KEV登録）

CVE-2026-50522Microsoft / SharePoint登録: 2026/07/22

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Check Point SmartConsole 不適切な認証によるログイントークン奪取（管理者権限で認証可能・KEV登録）

CVE-2026-16232Check Point / SmartConsole / Quantum Security Management / Multi-Domain Security Management登録: 2026/07/22

AWSGCPAzureLinux
Critical CVSS 9.8

n8n の computer-use でシェルのサンドボックスが効かない不備

CVE-2026-65590n8n / n8n (@n8n/computer-use)登録: 2026/07/22

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

WordPress コアの REST API バッチ経路の取り違えで SQLインジェクションからRCEに至る

CVE-2026-63030WordPress / WordPress 6.9.0〜6.9.4 / 7.0.0〜7.0.1登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Langflow の validate エンドポイントで未認証の任意コード実行が可能

CVE-2026-0770Langflow / Langflow 1.7.3 以前登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.8

Netty の XmlDecoder に XXE の危険（DTD 処理が有効なまま）

CVE-2026-56817Netty / Netty登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.8

ktransformers の ZMQ ソケットで未認証の pickle デシリアライズにより任意コマンドが実行できる

CVE-2026-63767kvcache-ai / ktransformers 0.6.3 以前登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

GPT-SoVITS の webui.py で未認証の OS コマンドインジェクションが可能

CVE-2026-63766RVC-Boss / GPT-SoVITS 20250606v2pro 以前登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

AVideo の Live プラグインで OS コマンドインジェクション（CVE-2026-45578 の修正不備）

CVE-2026-64625WWBN / AVideo 29.0 未満登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

SailPoint IdentityIQ のベアラートークン検証不備

CVE-2026-12341SailPoint / IdentityIQ登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

Langflow の auto_login エンドポイントが未認証で長期有効な superuser トークンを発行する認証不備

CVE-2026-9103IBM / Langflow OSS 1.0.0 - 1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8

Bricksforge (WordPress) の Pro Forms 登録処理で未認証の管理者アカウント作成が可能な権限昇格

CVE-2026-14956Bricksforge / Bricksforge (WordPress プラグイン) 3.1.8.6 以前登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8

IBM Langflow OSS 公開フロー実行エンドポイントの認証不要リモートコード実行

CVE-2026-13448IBM / Langflow OSS 1.0.0-1.10.1登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8

IBM Langflow OSS ハードコードされた認証情報（1.10.1 も影響・1.10.2 で修正）

CVE-2026-13446IBM / Langflow OSS 1.0.0-1.10.1登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

IBM Langflow の未認証リモートコード実行（KEV 収載・是正期限 2026-08-07）

CVE-2026-9198IBM / Langflow OSS（1.0.0 以上 1.10.1 未満）登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Microsoft SharePoint Server 未認証の遠隔コード実行（信頼できないデータのデシリアライズ・実際に悪用・KEV）

CVE-2026-58644Microsoft / SharePoint Server 2016 / 2019 / Subscription Edition登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Fortinet FortiSandbox 未認証のOSコマンドインジェクション（WEB UI・実際に悪用・KEV）

CVE-2026-25089Fortinet / FortiSandbox / FortiSandbox Cloud / FortiSandbox PaaS登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Fortinet FortiSandbox 未認証のOSコマンドインジェクション（実際に悪用・KEV）

CVE-2026-39808Fortinet / FortiSandbox登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Oracle E-Business Suite Payments 未認証の乗っ取り（File Transmission・実際に悪用・KEV）

CVE-2026-46817Oracle / E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15)登録: 2026/07/15

AWSGCPAzureLinux
Critical CVSS 9.8

Oracle PeopleSoft PeopleTools 未認証RCE（Environment Management Hubへ資格情報不要のHTTPで悪用・ShinyHunters実害）

CVE-2026-35278Oracle / PeopleSoft Enterprise PeopleTools登録: 2026/07/15

AWSGCPAzureLinux
Critical CVSS 9.8

JetBrains YouTrack 認証バイパス（データベース直接アクセスによる管理者権限取得）

CVE-2026-62422JetBrains / YouTrack登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Twig テンプレート名経由のコードインジェクション（3.26.0 で修正）

CVE-2026-46633Twig / Twig（PHP テンプレートエンジン）登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Kylin バックエンドAPI の OS コマンドインジェクション

CVE-2026-62392Apache Software Foundation / Apache Kylin登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Microsoft SharePoint Server 認証欠如による権限昇格（未認証・実際に悪用・KEV）

CVE-2026-56164Microsoft / SharePoint Server 2016 / 2019 / Subscription Edition登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Microsoft Dynamics 365 Business Central / NAV デシリアライズによる未認証RCE

CVE-2026-55944Microsoft / Dynamics 365 Business Central / Dynamics NAV登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Active Directory ドメインサービスのヒープオーバーフロー（未認証RCE・CVSS 9.8）

CVE-2026-49164Microsoft / Windows Server / Windows 10・11（Active Directory Domain Services。2026年7月の累積更新で修正）登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Kylin のテーブルカタログ更新APIにおける SQL インジェクション（未認証で完全侵害）

CVE-2026-62390Apache Software Foundation / Apache Kylin 4.0.0 以上 5.0.3 以下登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Symfony の argv 解釈差による APP_ENV / APP_DEBUG 上書き（CVE-2024-50340 の修正不備）

CVE-2026-47767Symfony / Symfony 5.4.46 以上 5.4.52 未満 / 6.4.40 未満 / 7.4.12 未満 / 8.0.12 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Twig の template_from_string() がサンドボックスのセキュリティポリシーを迂回する

CVE-2026-46634Twig (Symfony) / Twig 3.9.0 以上 3.26.0 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Balbooa Forms (Joomla) 認証不要の任意ファイルアップロード（RCE）

CVE-2026-56291Balbooa / Balbooa Forms (Joomla 拡張)登録: 2026/07/10

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

iCagenda (Joomla) 認証不要の任意ファイルアップロード（RCE）

CVE-2026-48939iCagenda / iCagenda (Joomla 拡張)登録: 2026/07/10

AWSGCPAzureLinux
Critical CVSS 9.8

IntelliJ IDEA がプロジェクトを開くだけでコード実行（CVSS 9.8）

CVE-2026-59792JetBrains / IntelliJ IDEA 2026.1.4 未満（2026.2 系も対象）登録: 2026/07/10

AWSGCPAzureLinux
Critical CVSS 9.8

IBM API Connect 認証不要のSQLインジェクション（パスワードリセット）

CVE-2026-9074IBM / API Connect（10.0.8.0 から 10.0.8.9 まで、および 12.1.0.0 から 12.1.0.3 まで）登録: 2026/07/08

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

JoomShaper SP Page Builder (Joomla) 認証不要の任意ファイルアップロード（RCE）

CVE-2026-48908JoomShaper / SP Page Builder (Joomla 拡張)登録: 2026/07/07

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Joomla Page Builder CK 認証不要の任意ファイルアップロード（RCE）

CVE-2026-56290Joomlack / Page Builder CK (Joomla 拡張)登録: 2026/07/07

AWSGCPAzureLinux
Critical CVSS 9.8

FreeRDP クライアント（32ビットビルド）の整数オーバーフローによるヒープ破壊

CVE-2026-57156FreeRDP / FreeRDP クライアント 3.28.0 未満（**32ビットビルドのみ**）登録: 2026/07/06

AWSGCPAzureLinux
Critical CVSS 9.8

Budibase の公開アプリから未認証でバックエンドDBを全件読み書きできる欠陥（CVSS 10.0）

CVE-2026-54350Budibase / Budibase 3.39.12 より前登録: 2026/06/26

AWSGCPAzureLinux
Critical CVSS 9.8

Flowise の文書ストアAPIに未認証で任意ファイルを書き込める欠陥（CVSS 9.8・再起動でRCE）

CVE-2025-71338FlowiseAI / Flowise 3.1.3 以前登録: 2026/06/25

AWSGCPAzureLinux
Critical CVSS 9.8

Node.js の TLS ホスト名にヌル文字を埋めると接続先が静かにすり替わる欠陥（NVD 9.8 / ベンダー Medium）

CVE-2026-48930Node.js（OpenJS Foundation） / Node.js 22 / 24 / 26（22.23.0・24.17.0・26.3.1 より前）登録: 2026/06/25

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

PTC Windchill / FlexPLM 不適切な入力検証（未認証 RCE）

CVE-2026-12569PTC / Windchill / FlexPLM登録: 2026/06/25

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Splunk Enterprise 認証欠如（任意ファイル作成／切り詰め）

CVE-2026-20253Splunk / Splunk Enterprise登録: 2026/06/18

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

Oracle PeopleSoft PeopleTools 認証欠如（システム乗っ取り）

CVE-2026-35273Oracle / PeopleSoft Enterprise PeopleTools登録: 2026/06/12

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Joomla 拡張 JCE (Joomla Content Editor) の不正アクセス制御（未認証で PHP アップロード・実行）

CVE-2026-48907Widget Factory (JCE) / JCE editor extension for Joomla登録: 2026/06/05

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

Nx Console 悪意あるバージョン公開によるサプライチェーン侵害（資格情報窃取）

CVE-2026-48027Nx / Nx Console (VS Code 拡張)登録: 2026/05/27

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Mirasvit Full Page Cache Warmer（Magento 2）PHPオブジェクトインジェクションによる未認証RCE

CVE-2026-45247Mirasvit / Full Page Cache Warmer (Magento 2 拡張)登録: 2026/05/26

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

LiteSpeed cPanelプラグイン権限昇格（root到達・実際に悪用・KEV）

CVE-2026-48172LiteSpeed Technologies / LiteSpeed User-End cPanel Plugin (2.4.5 より前)登録: 2026/05/21

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Drupal core の SQL インジェクション（権限昇格・RCE の可能性）

CVE-2026-9082Drupal / Drupal core登録: 2026/05/20

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

BerriAI LiteLLM 認証キー検証の SQL インジェクション（プロキシDB読み取り・改ざん）

CVE-2026-42208BerriAI / LiteLLM (AI Gateway / proxy)登録: 2026/05/08

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

cPanel & WHM ログインフローの認証バイパス（CRLFインジェクションによる未認証アクセス）

CVE-2026-41940WebPros / cPanel & WHM / WP Squared登録: 2026/04/29

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

marimo ターミナルWebSocketの認証欠如による未認証RCE（KEV）

CVE-2026-39987marimo-team / marimo (0.23.0 より前)登録: 2026/04/09

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

NetScaler の SAML IDP 構成で境界外読み取り（悪用確認済み）

CVE-2026-3055Citrix / NetScaler ADC / NetScaler Gateway登録: 2026/03/30

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Langflow の公開フローAPIで認証不要のコード実行（悪用確認済み）

CVE-2026-33017Langflow / Langflow登録: 2026/03/25

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Laravel Livewire v3 で認証不要のコード実行（悪用確認済み）

CVE-2025-54068Laravel / Livewire登録: 2026/03/20（CVE公開: 2025年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

SharePoint Server の逆シリアル化で認証なしコード実行（悪用確認済み）

CVE-2026-20963Microsoft / Microsoft SharePoint Server登録: 2026/03/18

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

SolarWinds Web Help Desk のデシリアライズでRCE（悪用確認済み）

CVE-2025-26399SolarWinds / Web Help Desk登録: 2026/03/09（CVE公開: 2025年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

GitLab の Webhook で未認証SSRF（内部ネットワークへ到達・悪用確認済み）

CVE-2021-22175GitLab / GitLab CE/EE登録: 2026/02/18（CVE公開: 2021年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

SolarWinds Web Help Desk の制御回避で機能へ不正到達（悪用確認済み）

CVE-2025-40536SolarWinds / Web Help Desk登録: 2026/02/12

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Fortinet FortiClient EMS SQLインジェクション（未認証で任意コード実行）

CVE-2026-21643Fortinet / FortiClient EMS登録: 2026/02/06

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

React Native の開発サーバーでコマンド実行（悪用確認済み）

CVE-2025-11953React Native Community / React Native Community CLI登録: 2026/02/05（CVE公開: 2025年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

SolarWinds Web Help Desk に別のデシリアライズRCE（悪用確認済み）

CVE-2025-40551SolarWinds / Web Help Desk登録: 2026/02/03

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Ivanti Endpoint Manager Mobile コードインジェクション（未認証RCE）

CVE-2026-1340Ivanti / Endpoint Manager Mobile (EPMM)登録: 2026/01/29

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

GNU InetUtils telnetd の引数インジェクションで認証を回避（悪用確認済み）

CVE-2026-24061GNU / GNU InetUtils (telnetd)登録: 2026/01/26

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

VMware vCenter Server の DCERPC ヒープオーバーフローで RCE（悪用確認済み）

CVE-2024-37079Broadcom (VMware) / VMware vCenter Server / Cloud Foundation登録: 2026/01/23（CVE公開: 2024年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Cisco Unified CM などで未認証コマンド実行から root 昇格（悪用確認済み）

CVE-2026-20045Cisco / Unified Communications Manager / IM and Presence / Unity Connection登録: 2026/01/21

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Gladinet CentreStack / Triofox の暗号鍵ハードコードで未認証ファイル読み取り

CVE-2025-14611Gladinet / CentreStack / Triofox登録: 2025/12/15

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

GeoServer の GetMap で XXE によるファイル読み取り（悪用確認済み）

CVE-2025-58360OSGeo / GeoServer登録: 2025/12/11

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Oracle Identity Manager の認証不備で乗っ取り（悪用確認済み）

CVE-2025-61757Oracle / Fusion Middleware / Identity Manager登録: 2025/11/21

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

XWiki の SolrSearch で未認証の任意コード実行（悪用確認済み）

CVE-2025-24893XWiki / XWiki Platform登録: 2025/10/30

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

WSUS の逆シリアル化で認証なしリモートコード実行（悪用確認済み）

CVE-2025-59287Microsoft / Windows Server Update Services (WSUS)登録: 2025/10/24

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Kentico Xperience の認証回避（空ユーザー名のダイジェスト認証）

CVE-2025-2746Kentico / Xperience CMS登録: 2025/10/20

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Kentico Xperience の認証回避（同期の None 設定）

CVE-2025-2747Kentico / Xperience CMS登録: 2025/10/20

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

SKYSEA Client View の認証不備でコード実行（実際の攻撃を観測）

CVE-2016-7836Sky（Ｓｋｙ株式会社） / SKYSEA Client View登録: 2025/10/14（CVE公開: 2017年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

Oracle E-Business Suite の未認証RCE（ランサム利用・悪用確認済み）

CVE-2025-61882Oracle / E-Business Suite (Concurrent Processing)登録: 2025/10/06

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Jenkins CLI のデシリアライズ欠陥で未認証リモートコード実行（悪用確認済み）

CVE-2017-1000353Jenkins / Jenkins登録: 2025/10/02（CVE公開: 2018年）

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

Fortra GoAnywhere MFT のデシリアライズでRCE（ランサム悪用）

CVE-2025-10035Fortra / GoAnywhere MFT登録: 2025/09/29

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

FreePBX の未認証アクセスから任意コード実行（悪用確認済み）

CVE-2025-57819Sangoma / FreePBX登録: 2025/08/29

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

NetScaler ADC/Gateway のメモリ破壊で未認証RCE（悪用確認済み）

CVE-2025-7775Citrix / NetScaler ADC / NetScaler Gateway登録: 2025/08/26

AWSGCPAzureLinux
Critical CVSS 9.6

containerd の CRI で CDI 密輸によるチェックポイント復元時の権限昇格（CVSS 9.6）

CVE-2026-53492containerd / containerd 2.1.0〜2.1.8 / 2.2.0〜2.2.4 / 2.3.0〜2.3.1登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.6

Centreon centreon-open-tickets モジュールの Server-Side Template Injection（SSTI）による RCE

CVE-2026-14453Centreon / Centreon centreon-open-tickets モジュール登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.6

Adobe ColdFusion の入力値検証不備で任意コード実行（管理ゾーン到達が前提）

CVE-2026-48284Adobe / Adobe ColdFusion登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.6 KEV 悪用確認ランサム悪用

@tanstack/* npm パッケージへの悪意あるバージョン混入（OIDC 悪用のサプライチェーン侵害）

CVE-2026-45321TanStack / @tanstack/* (npm パッケージ群)登録: 2026/05/12

AWSGCPAzureLinux
Critical CVSS 9.3 NEW KEV 悪用確認

MLflow の未認証SSRFでクラウドのメタデータ資格情報が抜かれている

CVE-2026-64849MLflow / MLflow Tracking Server登録: 2026/08/17

AWSGCPAzureLinux
Critical CVSS 9.3

Unbound の既定設定でDNSキャッシュポイズニングが成立（so-reuseport がスレッド識別子になる・1.25.2 で修正）

CVE-2026-50252NLnet Labs / Unbound登録: 2026/07/22

AWSGCPAzureLinux
Critical CVSS 9.3

Adobe ColdFusion の不適切な認可による権限昇格（CVSS 9.3・隣接ネットワークから）

CVE-2026-48321adobe / ColdFusion登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.3 KEV 悪用確認ランサム悪用

Check Point Security Gateway IKEv1 認証バイパス（VPN 不正接続）

CVE-2026-50751Check Point / Security Gateway (Remote Access / Mobile Access)登録: 2026/06/08

AWSGCPAzureLinux
Critical CVSS 9.1

undici の共有キャッシュで他人のCookieが配られる

CVE-2026-13697OpenJS Foundation / Node.js / undici（cache interceptor）登録: 2026/07/29

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Traffic Server のディスクキャッシュ処理で状態破壊とクラッシュ

CVE-2026-58163Apache / Apache Traffic Server登録: 2026/07/29

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Traffic Server の入力検証不備（評価が 7.7 から 10.0 まで割れる）

CVE-2026-33267Apache / Apache Traffic Server登録: 2026/07/29

AWSGCPAzureLinux
Critical CVSS 9.1

PostCSS で任意ファイルの読み取りと DoS につながる欠陥

CVE-2026-45623PostCSS / postcss登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Thrift の C++ バインディングに境界外読み取り（0.24.0 で修正）

CVE-2026-58662Apache / Apache Thrift登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Thrift の c_glib バインディングに境界外読み取り

CVE-2026-58023Apache / Apache Thrift登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Thrift の c_glib で TLS 証明書のホスト名を検証しない

CVE-2026-48144Apache / Apache Thrift登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.1

JetBrains TeamCity の Git VCS root 設定経由でコード実行ができた

CVE-2026-65907JetBrains / TeamCity登録: 2026/07/23

AWSGCPAzureLinux
Critical CVSS 9.1

Eclipse OpenJ9 の -Xtrace でバッファアンダーフロー

CVE-2026-16439Eclipse Foundation / Eclipse OpenJ9登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.1

Netty の OCSP 応答検証が甘く失効チェックを回避できる

CVE-2026-56820Netty / Netty登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.1

Wazuh クラスタDAPI の安全でないデシリアライズとRBAC迂回（マスターノードでの任意コード実行）

CVE-2026-28220Wazuh / Wazuh登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.1

FreeRDP crypto_rsa_common() のヒープバッファオーバーフロー（RDPサーバ側・未認証で発火）

CVE-2026-64620FreeRDP / FreeRDP 3.27.1 以前（3.28.0 で修正）登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.1

xrdp の vnc-any 経路に整数オーバーフローで情報漏えいとクラッシュ

CVE-2026-41521neutrinolabs / xrdp登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.1

zrok Python SDK ProxyShare の絶対URL受け入れによるSSRF（urljoin でターゲットホストを差し替え）

CVE-2026-45568OpenZiti / zrok 2.0.3 より前（Python SDK）登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.1

Metabase の Snowflake 接続設定から任意ファイル書き込み経由でRCE（CVSS 10）

CVE-2026-50148metabase / Metabase登録: 2026/07/15

AWSGCPAzureLinux
Critical CVSS 9.1

Twig サンドボックス回避（Traversable 値の __toString がポリシー検査を通らない）

CVE-2026-48807twigphp / Twig登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Symfony X509Authenticator 認証バイパス（証明書によるなりすまし）

CVE-2026-45063Symfony / Symfony (PHP framework)登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Symfony OIDC トークン検証不備による認証バイパス

CVE-2026-45069Symfony / symfony/security-http（OidcTokenHandler）登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Pillow の McIdas AREA 画像処理における境界外読み取り（プロセスメモリ漏えい）

CVE-2026-54058Python Pillow / Pillow 12.3.0 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Doris FE の REST 管理 API が未認証で到達可能（クラスタの完全性・可用性に影響）

CVE-2026-58319Apache Software Foundation / Apache Doris 3.1.0 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

gawk do_sub() の整数オーバーフロー（32bit ビルドが対象・ディストリ未修正）

CVE-2026-40469GNU / gawk（GNU awk）登録: 2026/07/13

AWSGCPAzureLinux
Critical CVSS 9.1

Perl の正規表現が黙って誤った一致を返す整数オーバーフロー（CVSS 9.1）

CVE-2026-13221Perl / Perl 5.43.9 以前登録: 2026/07/13

AWSGCPAzureLinux
Critical CVSS 9.1

BOSH CLI の blobs.yml パス走査によるファイル書き込みと情報流出

CVE-2026-47826Cloud Foundry / BOSH CLI v7.10.4 未満登録: 2026/07/09

AWSGCPAzureLinux
Critical CVSS 9.1

HAPI FHIR の XSLT 変換に XXE（外部実体参照）（CVSS 9.1）

CVE-2026-55471HAPI FHIR (org.hl7.fhir.core) / org.hl7.fhir.core 6.9.10 未満登録: 2026/07/08

AWSGCPAzureLinux
Critical CVSS 9.1 KEV 悪用確認ランサム悪用

Palo Alto Networks PAN-OS GlobalProtect 認証バイパス（不正VPN接続）

CVE-2026-0257Palo Alto Networks / PAN-OS (GlobalProtect portal/gateway)登録: 2026/05/29

AWSGCPAzureLinux
Critical CVSS 9.1 KEV 悪用確認

Gladinet Triofox の初期設定画面へ未認証アクセス（悪用確認済み）

CVE-2025-12480Gladinet / Triofox登録: 2025/11/12

AWSGCPAzureLinux
Critical CVSS 9.1 KEV 悪用確認

Adobe Commerce/Magento の入力検証不備でセッション奪取（悪用確認済み）

CVE-2025-54236Adobe / Adobe Commerce / Magento Open Source登録: 2025/10/24

AWSGCPAzureLinux
Critical CVSS 9.0 NEW KEV 悪用確認

TrueConf Server の 4307/TCP でコードインジェクション（隔離環境を脱してホストで任意コード実行・KEV 収載）

CVE-2026-72530TrueConf / TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応）登録: 2026/08/19

AWSGCPAzureLinux
Critical CVSS 9.0

Oracle Product Lifecycle Analytics のアクセス制御不備

CVE-2026-61174Oracle / Supply Chain / Product Lifecycle Analytics登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.0

Open WebUI が他人のセッションでコードを実行できる（CVSS 9.0）

CVE-2026-59216Open WebUI / Open WebUI 0.10.0 未満登録: 2026/07/09

AWSGCPAzureLinux
Critical CVSS 9.0

JupyterLab Git のリネーム差分表示に XSS（CVSS 9.0）

CVE-2026-54527Jupyter / jupyterlab-git 0.30.0b3 以上 0.54.0 未満登録: 2026/07/08

AWSGCPAzureLinux
Critical CVSS 9.0 KEV 悪用確認

Control Web Panel の未認証コマンド実行（悪用確認済み）

CVE-2025-48703CWP / Control Web Panel (CentOS Web Panel)登録: 2025/11/04

AWSGCPAzureLinux
Critical CVSS 9.0 KEV 悪用確認

Sitecore XM/XP の ViewState デシリアライズで RCE（悪用確認済み）

CVE-2025-53690Sitecore / Experience Manager (XM) / Experience Platform (XP)登録: 2025/09/04

AWSGCPAzureLinux
High CVSS 8.9 KEV 悪用確認

Zimbra Collaboration の SNMP 通知処理に OS コマンドインジェクション（KEV 収載・是正期限 2026-08-24）

CVE-2026-73570Zimbra（Synacor） / Zimbra Collaboration Suite (ZCS) 10.1.20 より前（かつ任意パッケージ zimbra-snmp を導入し SNMP 通知を有効にしている場合）登録: 2026/08/13

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認ランサム悪用

Microsoft SharePoint Server デシリアライズ（認証済み RCE）

CVE-2026-45659Microsoft / SharePoint Server登録: 2026/07/01

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Google Chrome / Chromium V8 境界外読み書き（ゼロデイ）

CVE-2026-11645Google / Chromium V8 / Chrome登録: 2026/06/09

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

BerriAI LiteLLM コマンドインジェクション（MCP プレビュー経由の任意コマンド実行）

CVE-2026-42271BerriAI / LiteLLM (AI ゲートウェイ/プロキシ)登録: 2026/06/08

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Langflow オリジン検証不備によるアカウント乗っ取り・RCE（実際に悪用・KEV）

CVE-2025-34291Langflow / Langflow (<= 1.6.9)登録: 2026/05/21（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Apache ActiveMQ Classic の Jolokia 経由コード実行（KEV・実際に悪用／CVSS 8.8）

CVE-2026-34197Apache Software Foundation / Apache ActiveMQ Classic 5.19.4 未満 / 6.0.0〜6.2.3登録: 2026/04/07

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Trivy と GitHub Action の改ざん配布で資格情報窃取（悪用確認済み）

CVE-2026-33634Aqua Security / Trivy / trivy-action / setup-trivy登録: 2026/03/26

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

n8n の式評価でリモートコード実行（認証済みユーザー・悪用確認済み）

CVE-2025-68613n8n / n8n登録: 2026/03/11（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Roundcube Webmail の認証後 RCE（悪用確認済み）

CVE-2025-49113Roundcube / Roundcube Webmail登録: 2026/02/20（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Zimbra Collaboration の未認証ローカルファイル読み出し（悪用確認済み）

CVE-2025-68645Synacor / Zimbra Collaboration (ZCS)登録: 2026/01/22（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Gogs のファイル書き込みAPIでコード実行（悪用確認済み）

CVE-2025-8110Gogs / Gogs登録: 2026/01/12（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Windows SMB クライアントの不備で SYSTEM 権限へ昇格（悪用確認済み）

CVE-2025-33073Microsoft / Windows SMB Client登録: 2025/10/20

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

GNU Bash の環境変数解析で任意コマンド実行（悪用確認済み）

CVE-2014-6278GNU / GNU Bash登録: 2025/10/02（CVE公開: 2014年）

AWSGCPAzureLinux
High CVSS 8.6 KEV 悪用確認

Cisco ASA/FTD で未認証のまま VPN 用URLへ到達（悪用確認済み）

CVE-2025-20362Cisco / Secure Firewall ASA / Secure Firewall Threat Defense (FTD)登録: 2025/09/25

AWSGCPAzureLinux
High CVSS 8.5 KEV 悪用確認

LiteSpeed cPanel プラグインシンボリックリンク追従（共有ホスティングでの権限昇格）

CVE-2026-54420LiteSpeed / LiteSpeed cPanel Plugin / WHM PlugIn登録: 2026/06/14

AWSGCPAzureLinux
High CVSS 8.4 KEV 悪用確認

Langflow 認可バイパス（IDOR による他ユーザー Flow 実行）

CVE-2026-55255Langflow / Langflow登録: 2026/07/07

AWSGCPAzureLinux
High CVSS 8.3

libssh2 クライアントライブラリ ssh2_transport_read() の境界チェック不備（未認証RCE：悪意あるSSHサーバ）

CVE-2026-55200libssh2 / libssh2 (<= 1.11.1)登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 8.1 KEV 悪用確認

N-able N-central 認証バイパス（不完全な修正の再悪用・KEV 是正期限 8/6）

CVE-2026-18577N-able / N-central（バージョン 2026.3.1 まで。2026.3.1.7 以降は影響なし）登録: 2026/08/02

AWSGCPAzureLinux
High CVSS 8.1

Windows Server ネットワークドライバの未認証RCE（悪意あるネットワークトラフィックで任意コード実行）

CVE-2026-56188Microsoft / Windows Server（ネットワークドライバ）登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 8.1 KEV 悪用確認

VMware Aria Operations の未認証コマンドインジェクション（移行作業中に成立）

CVE-2026-22719Broadcom (VMware) / VMware Aria Operations / Cloud Foundation登録: 2026/03/03

AWSGCPAzureLinux
High CVSS 8.0 KEV 悪用確認

Git のサブモジュール処理で任意コード実行（clone だけで発火・悪用確認済み）

CVE-2025-48384Git / Git登録: 2025/08/25

AWSGCPAzureLinux
High CVSS 8.0 KEV 悪用確認

Citrix Session Recording の権限昇格（悪用確認済み）

CVE-2024-8068Citrix / Citrix Session Recording登録: 2025/08/25（CVE公開: 2024年）

AWSGCPAzureLinux
High CVSS 8.0 KEV 悪用確認

Citrix Session Recording のデシリアライズで限定的RCE（悪用確認済み）

CVE-2024-8069Citrix / Citrix Session Recording登録: 2025/08/25（CVE公開: 2024年）

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Microsoft AD FS 権限昇格ゼロデイ（アクセス制御の粒度不足・KEV）

CVE-2026-56155Microsoft / Active Directory Federation Services (AD FS)登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Cisco Catalyst SD-WAN Manager 出力エスケープ不備による root 権限での任意コマンド実行

CVE-2026-20245Cisco / Catalyst SD-WAN Manager (旧 SD-WAN vManage)登録: 2026/06/04

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネル cgroups v1 release_agent 権限昇格（コンテナエスケープ）

CVE-2022-0492Linux / Linux Kernel (cgroups v1)登録: 2026/06/02（CVE公開: 2022年）

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Microsoft Defender のリンク追跡による権限昇格（KEV 収載・悪用確認済み）

CVE-2026-41091Microsoft / Defender（Malware Protection Engine 1.1.26030.3008 以上 1.1.26040.8 未満）登録: 2026/05/20

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネル crypto (algif_aead) の領域間リソース転送不備（ローカル権限昇格）

CVE-2026-31431Linux / Linux Kernel (crypto/algif_aead)登録: 2026/04/22

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネルの整数オーバーフローでローカル権限昇格（悪用確認済み）

CVE-2018-14634Linux / Linux Kernel登録: 2026/01/26（CVE公開: 2018年）

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Windows クラウドファイル用ドライバーの解放後利用で権限昇格（悪用確認済み）

CVE-2025-62221Microsoft / Windows Cloud Files Mini Filter Driver登録: 2025/12/09

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認ランサム悪用

Windows タスクホストのリンク追跡で権限昇格、ランサムウェアに悪用

CVE-2025-60710Microsoft / Windows（Host Process for Windows Tasks）登録: 2025/11/11

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

VMware Tools / Aria Operations のローカル権限昇格で root 奪取（悪用確認済み）

CVE-2025-41244Broadcom (VMware) / VMware Tools / open-vm-tools / Aria Operations登録: 2025/10/30

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Windows 同梱の Agere モデムドライバーで権限昇格（悪用確認済み）

CVE-2025-24990Microsoft / Windows（Agere Modem Driver / ltmdm64.sys）登録: 2025/10/14

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Windows RasMan の不備でローカルから SYSTEM 昇格（悪用確認済み）

CVE-2025-59230Microsoft / Windows Remote Access Connection Manager (RasMan)登録: 2025/10/14

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネル netfilter のヒープ外書き込みで権限昇格（悪用確認済み）

CVE-2021-22555Linux / Linux Kernel登録: 2025/10/06（CVE公開: 2021年）

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

sudo の --chroot でローカルユーザーが root になれる（悪用確認済み）

CVE-2025-32463Sudo / sudo登録: 2025/09/29

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネル POSIX CPU タイマの競合で権限昇格（Android でも悪用確認）

CVE-2025-38352Linux / Linux Kernel登録: 2025/09/04

AWSGCPAzureLinux
High CVSS 7.7 KEV 悪用確認

Cisco IOS/IOS XE の SNMP でDoSと root コード実行（悪用確認済み）

CVE-2025-20352Cisco / Cisco IOS / IOS XE Software登録: 2025/09/29

AWSGCPAzureLinux
High CVSS 7.5

ProFTPD mod_sftp のパケット長アンダーフローによるヒープバッファオーバーフロー

CVE-2026-53994ProFTPD Project / ProFTPD mod_sftp（1.3.10 より前のバージョン）登録: 2026/07/18

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

SolarWinds Serv-U 未認証の細工POSTによるサービスクラッシュ（DoS）

CVE-2026-28318SolarWinds / Serv-U登録: 2026/06/04

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Microsoft Defender のリソース枯渇でサービス拒否、KEV 収載済み

CVE-2026-45498Microsoft / Microsoft Defender（Antimalware Platform）登録: 2026/05/20

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Apache Tomcat の EncryptInterceptor 迂回によるクラスタ通信の平文露出（KEV 収載）

CVE-2026-34486Apache / Tomcat 11.0.20 / 10.1.53 / 9.0.116登録: 2026/04/09

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

GitLab の CI Lint API で未認証の外部から SSRF（悪用確認済み）

CVE-2021-39935GitLab / GitLab CE/EE登録: 2026/02/03（CVE公開: 2021年）

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Vite の開発サーバーで非公開ファイルが読める（悪用確認済み）

CVE-2025-31125Vite / Vite登録: 2026/01/22（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

eslint-config-prettier の改ざん版にマルウェア混入（悪用確認済み）

CVE-2025-54313Prettier / eslint-config-prettier登録: 2026/01/22（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Versa Concerto の Traefik 設定不備で管理エンドポイントに未認証到達（悪用確認済み）

CVE-2025-34026Versa Networks / Versa Concerto登録: 2026/01/22（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

MongoDB Server の未認証ヒープメモリ漏えい（悪用確認済み）

CVE-2025-14847MongoDB / MongoDB Server登録: 2025/12/29

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Gladinet CentreStack / Triofox の未認証ローカルファイル読み取り（悪用確認済み）

CVE-2025-11371Gladinet / CentreStack / Triofox登録: 2025/11/04

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認ランサム悪用

Oracle E-Business Suite Configurator の SSRF（悪用確認済み）

CVE-2025-61884Oracle / E-Business Suite (Oracle Configurator)登録: 2025/10/20

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Grafana のディレクトリトラバーサルでローカルファイル読み取り（悪用確認済み）

CVE-2021-43798Grafana Labs / Grafana登録: 2025/10/09（CVE公開: 2021年）

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Oracle WebLogic Server（Core）未認証リモートによる機密情報の取得/操作

CVE-2024-21182Oracle / WebLogic Server (Fusion Middleware, Core)登録: 2024/07/16

AWSGCPAzureLinux
High CVSS 7.4 KEV 悪用確認

N-able N-central の認証バイパス（別経路による認証回避・悪用確認済み）

CVE-2026-18556N-able / N-able N-central 2026.1 以前登録: 2026/08/01

AWSGCPAzureLinux
High CVSS 7.3 KEV 悪用確認ランサム悪用

TeamCity のパストラバーサルで認証なしに一部管理操作（悪用確認済み）

CVE-2024-27199JetBrains / TeamCity On-Premises登録: 2026/04/20（CVE公開: 2024年）

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認ランサム悪用

SonicWall SMA1000 管理コンソール認証後OSコマンドインジェクション（ゼロデイ悪用・KEV）

CVE-2026-15410SonicWall / SMA1000 Appliances (SMA6210/7210/8200v ほか)登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認

Kentico Xperience のパストラバーサルで認証後RCE（悪用確認済み）

CVE-2025-2749Kentico / Kentico Xperience登録: 2026/04/20（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認

Zimbra Collaboration の Classic UI 保存型 XSS（悪用確認済み）

CVE-2025-66376Synacor / Zimbra Collaboration (ZCS)登録: 2026/03/18

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認

Roundcube Webmail の SVG 経由のクロスサイトスクリプティング（悪用確認済み）

CVE-2025-68461Roundcube / Roundcube Webmail登録: 2026/02/20（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認

FreePBX filestore モジュールの認証後コマンド注入（悪用確認済み）

CVE-2025-64328Sangoma / FreePBX Endpoint Manager (filestore モジュール)登録: 2026/02/03（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認

Adminer のSSRFでクラウド内部へ到達（悪用確認済み）

CVE-2021-21311Adminer / Adminer登録: 2025/09/29（CVE公開: 2021年）

AWSGCPAzureLinux
High CVSS 7.0 KEV 悪用確認

Windows の WinSock 補助機能ドライバ（afd.sys）に解放後使用　ローカルでSYSTEM相当へ昇格（KEV収載・期限8/25）

CVE-2026-68820Microsoft / Windows Ancillary Function Driver for WinSock（afd.sys）登録: 2026/08/11

AWSGCPAzureLinux
High CVSS 7.0 KEV 悪用確認

Windows カーネルの競合状態でローカル権限昇格（悪用確認済み）

CVE-2025-62215Microsoft / Windows Kernel登録: 2025/11/12

AWSGCPAzureLinux
Medium CVSS 6.7 KEV 悪用確認

Trend Micro Apex One（オンプレミス）の相対パストラバーサル（悪用確認済み・KEV）

CVE-2026-34926Trend Micro / Apex One（オンプレミス版）サーバー ※ Apex One as a Service / Vision One Endpoint Security - Standard Endpoint Protection は本CVEの対象外登録: 2026/05/21

AWSGCPAzureLinux
Medium CVSS 6.1 KEV 悪用確認

Microsoft Exchange Server OWA のクロスサイトスクリプティング（実際に悪用・KEV）

CVE-2026-42897Microsoft / Exchange Server（オンプレミス / Outlook on the web）登録: 2026/05/14

AWSGCPAzureLinux
Medium CVSS 5.9 KEV 悪用確認

WordPress コアの author__not_in パラメータで SQLインジェクションが起きる

CVE-2026-60137WordPress / WordPress 6.8.0〜6.8.5 / 6.9.0〜6.9.4 / 7.0.0〜7.0.1登録: 2026/07/21

AWSGCPAzureLinux
Medium CVSS 5.3 KEV 悪用確認

Cisco Secure Firewall Management Center の固定認証情報（KEV・是正期限 2026-08-01）

CVE-2026-20316Cisco / Secure Firewall Management Center (FMC) Software（旧 Firepower Management Center）登録: 2026/07/29

AWSGCPAzureLinux