脆弱性・脅威情報 てがろぐに認証回避の脆弱性、全旧版が対象
国産CGI「てがろぐ」の脆弱性CVE-2026-64940が公表されました。Ver 4.8.4以前のすべてが対象で、第三者に管理画面へログインされる恐れがあります。表題から誤解されやすい影響の実態と、5分でできる自社の該当判定・対処手順を整理します。
脆弱性・脅威情報
脆弱性・脅威情報 脆弱性・脅威情報 SharePoint 2016/2019サポート終了 悪用は継続
オンプレ版SharePoint Server 2016/2019は2026年7月14日にサポート終了。一方JPCERT/CCは7月31日、CVE-2026-50522の悪用観測を追記しました。修正が二度と来ない製品が現に狙われています。ビルド番号での該当判定と移行の考え方を整理します。
脆弱性・脅威情報 Tomcatサンプルアプリに脆弱性、修正版は未公開
Apache Tomcat同梱のサンプルアプリ（examples）にDoS脆弱性CVE-2026-66299が公表されました。修正版11.0.25／10.1.58／9.0.121は執筆時点で未リリースで、打つ手はexamplesの削除一択です。5分でできる該当判定の手順を整理します。
脆弱性・脅威情報 Apache Axis2に未認証RCE 修正版は機能ごと削除
Apache Axis2/Javaのクラスタリング機能に未認証RCEの脆弱性CVE-2026-66713が公表されました。既定は無効ですが、有効なら緊急です。修正版2.0.1は機能ごと削除、旧1.8系に修正版はありません。該当判定の手順と打ち手を整理します。
脆弱性・脅威情報 Next.jsに9件の脆弱性、認証回避やSSRF
Next.jsが2026年7月21日に9件の脆弱性を修正しました。ミドルウェアによる認証の回避やSSRFを含み、影響は12.0.0系まで遡ります。一方で修正版は16.2.11と15.5.21のみ。該当判定と対応の要点を整理します。
脆弱性・脅威情報 Rails脆弱性CVE-2026-66066 鍵の再発行まで必要
Ruby on RailsのActive Storageに脆弱性CVE-2026-66066（KindaRails2Shell、CVSS v4.0で9.5）。認証なしで任意ファイルを読まれsecret_key_baseが漏れる恐れ。修正版と、パッチ後も鍵の再発行が要る理由を整理します。
脆弱性・脅威情報 PHPにSQLインジェクション脆弱性 全ブランチ更新を
PHP開発チームが2026年7月30日、SQLインジェクションを含む4件の脆弱性を修正した8.5.9／8.4.24／8.3.33／8.2.33を公開。影響範囲の見極め方と情シスの優先度判断を整理します。
脆弱性・脅威情報 Appsmithに保存型XSS、内製ツール基盤の盲点
社内業務ツールを内製するローコード基盤Appsmithに保存型XSS（CVE-2026-7299）が見つかりました。DBのテーブル名にスクリプトを仕込み、SQL補完を開いた同僚のセッションを奪う手口です。対象は2.1未満。情シスの点検ポイントを整理します。
脆弱性・脅威情報 業務用清掃ロボットDEEBOT PROに脆弱性10件
業務用清掃ロボットDEEBOT PRO M1／K1VACとアプリECOVACS PROに脆弱性10件（JVNVU#92804348、2026年7月31日）。うち1件は2021年公表のCVSS9.8。開発元は対応不要としますが、情シスが確認すべき点を整理します。
脆弱性・脅威情報 エレコム無線LAN機器7製品に脆弱性 法人向けAPが対象
エレコム製の無線LAN機器7製品にOSコマンドインジェクション2件とXSS1件の脆弱性（JVN#56870912、2026年7月28日）。主対象は法人向けAPのWABシリーズ5製品です。対象型番と修正済みファームウェア、現場での棚卸しの勘所を整理します。
脆弱性・脅威情報 ModSecurityに脆弱性、WAFの検知をすり抜ける恐れ
WAFエンジンModSecurityに検知をすり抜けられる脆弱性CVE-2026-52747（CVSS 8.6）が公表。対象はlibmodsecurity 3.0.0〜3.0.15、修正版は3.0.16。ログに異常が残らない理由と、ルール更新では直らない理由を解説します。
脆弱性・脅威情報 Node.jsに脆弱性11件 HTTP/2の高深刻度に注意
Node.jsが2026年7月29日に11件の脆弱性を修正しました。深刻度Highは3件で、HTTP/2の解放済みメモリ参照とPermission Modelの許可範囲逸脱が中心。修正版と自社の該当判定手順を一次情報から整理します。
脆弱性・脅威情報 Cisco脆弱性開示が月2回に定例化、7日前予告も
Ciscoが2026年7月から脆弱性情報の公開を定例化しました。毎月第1・第3水曜日に公開し、7日前に対象製品を予告します。8月5日はIOS XEなど6製品が対象。CVEをCWE単位で束ねる変更も含め、情シスの脆弱性管理への影響を整理します。
脆弱性・脅威情報 SGLangに未修正のRCE脆弱性、社内LLM基盤に警戒
LLM推論基盤SGLangに認証不要のRCE脆弱性CVE-2026-14890が公表され、修正版は未確認です。該当条件、pickle起因のRCEが3度目である事実、スコア駆動のトリアージが取りこぼす理由と緩和策を解説します。
脆弱性・脅威情報 HTTP/2にDoS脆弱性 フロー制御停止でメモリ枯渇
CERT/CCが2026年7月16日、HTTP/2サーバのフロー制御を悪用したDoS脆弱性VU#885548を公表。未認証・遠隔でメモリ枯渇を起こせます。掲載118社のうち「影響あり」は7社にとどまり、主要実装の多くは状況未公表です。