脆弱性・脅威情報 MCP Toolboxに認証回避3件｜AIのDB接続が危険
Google製MCPサーバ「MCP Toolbox for Databases」に認証・認可回避の脆弱性3件（CVE-2026-11717ほか、最大CVSS9.1）。影響は1.0.0〜1.3.0、修正はv1.4.0。台帳に載らないAI用DB接続サーバの探し方を解説。
脆弱性・脅威情報
脆弱性・脅威情報 
脆弱性・脅威情報 Vault Secrets Operatorに緊急脆弱性 CVSS9.6
HashiCorpのVault Secrets Operator 1.3.0〜1.4.1にCVSS9.6の脆弱性CVE-2026-8715。オペレーターPod上の任意ファイルを読み取られ外部送信される恐れがあります。悪用条件は編集権限を持つ一般ユーザーで、修正は1.5.0のみ。確認手順と移行の注意点を解説します。
脆弱性・脅威情報 Tenable Security Centerに緊急脆弱性、非管理者でRCE
脆弱性管理コンソール「Tenable Security Center」6.8.0以前に計20件の脆弱性。最も深刻なCVE-2026-19626（CVSS 9.9）は認証済みの非管理者アカウントで任意コード実行に至ります。該当判定と優先度の考え方を整理しました。
脆弱性・脅威情報 WatchGuard Firebox脆弱性17件、11.x系は修正なし
UTMアプライアンスWatchGuard FireboxのFireware OSにCVE-2026-13050が公開されました。実は7月2日に17件が一括公表され修正版は共通、11.x系は修正なしです。確認手順を整理します。
脆弱性・脅威情報 Apache Airflowに脆弱性、CVE-2026-58076でRCE
Apache Airflow 3.3.1で多数の脆弱性が修正されました。最も深刻なCVE-2026-58076（CVSS 8.8）はDAGを書ける利用者がスケジューラとAPIサーバで任意コードを実行できるもの。認証情報が平文で表示されるマスク漏れも複数あります。
脆弱性・脅威情報 Ray脆弱性が悪用中、開発者端末がRCE標的に
AI分散実行フレームワークRayの脆弱性CVE-2025-62593が実攻撃で悪用され、CISAが2026年8月17日にKEVへ追加。狙われるのは公開サーバではなくRayを動かす開発者端末です。localhost束縛でも防げない理由を解説します。
脆弱性・脅威情報 VITEC Flamingoに未認証RCE 2件、root奪取
社内向けIPTV配信アプライアンス「VITEC Flamingo」に、認証不要でroot権限のコマンド実行を許す脆弱性2件が公表されました。escapeshellargが効かなかった二重評価の仕組みと、資産台帳に載りにくいAV機器という落とし穴を整理します。
脆弱性・脅威情報 VSee Clinicに脆弱性2件、未認証でSFTP情報露出
遠隔医療プラットフォームVSee Clinicに深刻な脆弱性2件。認証不要でSFTP接続情報が平文露出（CVE-2026-13380、CVSS9.0）と、他人のファイルを取得・削除できるIDOR（CVE-2026-13381）。修正版と自社影響の確認手順を解説します。
脆弱性・脅威情報 Svelteに脆弱性4件、devalueはNuxtにも同梱
WebフレームワークSvelteとシリアライズ用ライブラリdevalueに脆弱性4件が公表されました。XSS2件とDoS2件で、修正はSvelte 5.55.7とdevalue 5.8.1。devalueはNuxtにも同梱されており、Svelteを使っていない組織にも該当します。
脆弱性・脅威情報 Webminに認証バイパス 2.641更新では不十分
サーバ管理ツールWebminに認証バイパスや権限昇格の脆弱性が相次いで修正されました。報道された「2.641で修正」だけでは不十分で、その後の2.652・2.653でSSRFとACL迂回も修正されています。該当判定と優先度の考え方を解説します。
脆弱性・脅威情報 Gallagher入退室アプリに脆弱性、トークン平文保存
入退室管理システムのモバイルアプリ Gallagher Command Centre Mobile に、セッショントークンを平文保存する脆弱性CVE-2025-47147が公表。端末に触れられるとドア操作権限が渡る恐れ。9.40.123以降へ更新を。
脆弱性・脅威情報 miCheckerにXXE脆弱性、総務省が対策版
総務省が提供するウェブアクセシビリティ評価ツール「miChecker」にXXE脆弱性（CVE-2026-14304）が公表されました。CVSSは低ですが、動くのは社内LANの端末で、入力は外部サイトです。情シスの管理外に置かれやすい点まで解説します。
脆弱性・脅威情報 CISA ICS勧告15件、空調とCAD端末も対象
2026年8月13日、CISAがICS勧告15件を公表。工場向けと思われがちですが、ビル空調コントローラ、映像監視サーバ、設計部門のCAD端末が含まれます。オフィスしかない企業でも見るべき3分類を整理します。
脆弱性・脅威情報 F-RevoCRMにXSS脆弱性、修正版は8.0.4のみ
国産オープンソースCRM「F-RevoCRM」にクロスサイトスクリプティングの脆弱性CVE-2026-71368が公表されました。対象は7.3.0〜8.0.3。修正版は8.0.4のみで、7系向けの単独パッチはありません。該当確認と移行判断の要点を解説します。
脆弱性・脅威情報 ESP-IDFにDHCP脆弱性 ESP32搭載機器が影響
ESP-IDFのDHCPサーバに境界外読み取りの脆弱性CVE-2026-45160。細工されたDHCP要求で機器がアドレスを配れなくなります。ESP32搭載IoT機器の洗い出し方と、ベンダー任せにせざるを得ない運用の現実を整理します。