Security

概要 米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、JoomlaのContent Editor（JCE）拡張機能に存在する脆弱性CVE-2026-48907（CVSSスコア10.0）を既知の悪用済み脆弱性カタログ（KEV）に追加した。この脆弱性は不適切なアクセス制御に起因し、未認証のユーザーが悪意のあるPHPコードをサーバー上にアップロード・実行することを可能にする最大深刻度の欠陥だ。CISAはすべての連邦政府機関（FCEB）に対し、2026年6月19日までに修正パッチを適用するよう義務付けている。 技術的な詳細 Widget Factory社が開発するJCE拡張機能のバージョン1.0.0から2.9.99.4までが対象となる。攻撃者は「index.php?option=com_jce&task=profiles.import」へのリクエストを通じて不正なエディタープロファイルをインポートし、Webシェルを展開してサーバーへの永続的なバックドアを確立する。既にパブリックな悪用コードが公開されており、攻撃は自動化されているため、被害が広がるリスクが高い。修正版はバージョン2.9.99.5として2026年6月3日にリリース済みだ。 対応と注意事項 Joomlaは、更新を適用しても「すでに侵害されたサイトはクリーンアップされない」と警告している。Joomlaサイトの管理者はJCEを最新版（2.9.99.5以降）へアップデートするとともに、アクセスログを精査して不審なエディタープロファイルのインポートリクエストがなかったか確認することが推奨される。既に侵害を受けている場合はサーバー全体のフォレンジック調査が必要となる。公開されているエクスプロイトコードにより攻撃の自動化が進んでいることから、パッチ適用は一刻を争う対応が求められる。

概要 セキュリティ研究者「Nightmare Eclipse」は、Microsoft Defenderのマルウェア対策エンジン（Malware Protection Engine）に存在するゼロデイ権限昇格脆弱性「RoguePlanet」のPoC（概念実証コード）を公開した。この脆弱性はCVE-2026-50656として追跡されており、完全にパッチが適用された最新のWindows 10およびWindows 11上でも、SYSTEM権限を持つコマンドプロンプトを起動できる。Microsoftはすでに脆弱性を認識しており、「高品質なセキュリティアップデートの提供に向けて作業中」と声明を出した。 技術的な詳細 RoguePlanetの本質はレースコンディションであり、タイミング次第でSYSTEM権限のシェルを取得できる。研究者によれば「エクスプロイトはレースコンディションのため成否がある。一部の機器では100%の成功率を達成できたが、機器によっては安定しないこともある」とのことで、環境依存の再現性を持つ点が特徴だ。またリアルタイム保護の有効・無効を問わず機能することが確認されており、単純な保護機能の無効化では根本的な緩和とならない。 開示の背景と研究者との対立 今回の公開は、MicrosoftのバグバウンティおよびVDP（脆弱性開示プログラム）をめぐる研究者との継続的な対立の一部として行われた。Nightmare Eclipseは過去にも「BlueHammer」「RedSun」「GreenPlasma」「MiniPlasma」「YellowKey」など複数のWindowsゼロデイを公開しており、GitHubおよびGitLabからリポジトリを削除されたと主張した後、自己管理のGitリポジトリ上でPoCを公開している。なお、MicrosoftはCVE-2026-50656の公式通知において元の研究者をクレジットしていない。 現在の対応状況 Microsoftは「本脆弱性に対処する高品質なセキュリティアップデートの提供に向けて作業中」とし、アップデートが利用可能になり次第CVE上で情報を提供するとしているが、公開時期は明らかにしていない。現時点で記事内では暫定的な緩和策や設定変更は案内されておらず、根本的な対処にはMicrosoftの修正パッチの適用が必要となる。企業・個人ユーザーともに、Microsoftのセキュリティ情報を継続的に確認し、パッチの公開次第、速やかに適用することが強く推奨される。

概要 2026年6月12〜14日にかけて、WordPressプラグインベンダーAwesome Motiveが運営するコンテンツデリバリーネットワーク（CDN）が侵害され、同社の主要プラグイン3本のJavaScriptファイルに悪意あるコードが埋め込まれた。影響を受けたのはOptinMonster（100万以上のサイトで使用）、TrustPulse、PushEngageで、合計120万サイト以上が潜在的な脅威にさらされた。セキュリティ企業Sansecが6月13日に侵害を発見し、OptinMonsterとTrustPulseのCDNスクリプトは6月12日22:42 UTCに除去され、PushEngageは6月14日までに対応が行われた。 侵害の経緯と攻撃手法 攻撃者はまず、Awesome Motiveのマーケティングウェブサイト上で稼働していたUpdraftPlusプラグインの既知の脆弱性を悪用してサーバーへのアクセスを取得した。そのサーバーは本番環境とは分離されていたものの、CDNアカウントのAPIキーが保存されており、攻撃者はこれを窃取して以下のCDNファイルを直接改ざんした： a.omappapi.com/app/js/api.min.js（OptinMonster） a.opmnstr.com/app/js/api.min.js（OptinMonster） a.trstplse.com/app/js/api.min.js（TrustPulse） clientcdn.pushengage.com/sdks/pushengage-web-sdk.js（PushEngage） 改ざんされたスクリプトは高度な検出回避機能を備えており、ヘッドレスブラウザやWebDriverの検出を避けるロジックを持ち、さらにlocalStorageに24時間のタイムスタンプを書き込んで同一サイトでの再実行を抑制した。ログイン状態のWordPress管理者がサイトを訪問した場合にのみコードが起動するという巧妙な設計で、一般ユーザーには無害に見える構造になっていた。 不正管理者アカウント作成とバックドア設置の仕組み スクリプトが起動すると、管理者のセッションを利用してREST APIおよびAJAXエンドポイントから認証トークンとnonceを収集した。その後、以下の4つの経路を試みて不正な管理者アカウントを作成した： REST API（/wp-json/wp/v2/users） 管理フォーム（/wp-admin/user-new.php） WordPress AJAX 隠しiframe 作成されるアカウントは固定型（developer_api1 / customer1usx@gmail.com）とランダム型（dev_xxxxxx / dev_xxxxxx@gmail.com）の2パターンがあった。Patchstackの観測では、36時間で81のIPアドレスから271件の不正リクエストが検出されており、そのうち267件がランダム型のアカウント名を使用していた。 管理者アカウント取得後は、ZIPファイル形式のバックドアを/wp-admin/update.php?action=upload-plugin経由でアップロードし、「Content Delivery Helper」または「Database Optimizer」という無害に見える名称のプラグインとしてインストールした。このバックドアはウェブシェルや任意のPHP実行機能を備えており、攻撃者に完全なリモートアクセス権限を与えた。収集したデータはXOR暗号化（鍵：jX9kM2nP4qR6sT8v）でエンコードされ、正規サービスのtidio.comを模倣して4月28日に登録されたC2ドメインtidio.cc（IP: 84.201.6.54）へ送信された。 影響範囲と対応状況 OptinMonsterとTrustPulseへの悪意あるコード注入は6月12日22:17 UTCから始まり、わずか25分後の22:42 UTCには除去された。一方、PushEngageは6月14日まで侵害された状態が続いた。Awesome Motiveの他製品（WPForms：600万インストール、All in One SEO：300万インストール、MonsterInsights：200万インストール）への侵害は現時点では確認されていないが、警戒が必要な状況にある。 影響を受けた可能性のあるサイト管理者は以下の対応が推奨される： developer_api1またはdev_xxxxxx形式の不審な管理者アカウントを削除 wp-content/pluginsディレクトリをファイルシステム上で直接検査し、隠しプラグインを確認 サーバーサイドのマルウェアスキャンを実施 すべての認証情報とセキュリティソルトをローテーション C2ドメインtidio.ccをブロック なお、サイトのダッシュボードからは隠しプラグインが見えないよう細工されている可能性があるため、ファイルシステムを直接確認することが重要だ。 サプライチェーン攻撃としての教訓 今回の攻撃は、自身のWordPressサイトが完全にパッチ済みであっても、利用しているプラグインのCDNが侵害された場合にはなす術がないことを示している。攻撃コードはプラグインの配布サーバーではなくCDNファイルに直接埋め込まれており、標準的なファイル整合性チェックでは検出が困難だった。セキュリティ研究者は、CDNを経由したサプライチェーン攻撃に対してはサードパーティリソースの継続的な監視と、ウェブアプリケーションファイアウォール（WAF）による異常なAPI呼び出しの検出が有効な対策であると指摘している。

概要 Ciscoは2026年5月15日、Catalyst SD-WANシリーズに存在する認証バイパス脆弱性（CVE-2026-20182）に対するパッチを公開した。同脆弱性は攻撃者が特殊に細工したパケットを送信することでピアリング認証を回避し、対象システムの管理者権限を遠隔から取得できるもので、深刻度はクリティカルと評価されている。影響を受ける製品はCisco Catalyst SD-WAN Controller（旧称：SD-WAN vSmart）とCisco Catalyst SD-WAN Manager（旧称：SD-WAN vManage）であり、両製品ともに早急なパッチ適用が求められる。 本脆弱性は2026年3月9日にRapid7が発見・報告しており、Ciscoはパッチを2026年5月15日に提供した。その後CISAは脆弱性を「Known Exploited Vulnerabilities（KEV）」カタログに追加しており、実際の攻撃での悪用が確認されている。これは2026年に入ってからSD-WAN製品で悪用が確認されたゼロデイ脆弱性の6件目であり、CiscoのSD-WAN製品群を標的とした攻撃の深刻化を改めて示している。 攻撃の実態と脅威グループ 攻撃活動は2026年5月から活発化しており、Cisco Talosの分析によると「UAT-8616」と呼ばれる高度に洗練された脅威グループが関与していることが判明している。このグループの所属国家や最終的な目的は現時点では不明だが、インフラストラクチャがCisco Talosが監視するOperational Relay Box（ORB）ネットワークと重複していることが確認されている。 侵害後の活動としては、SSHキーの追加、NETCONF設定の改ざん、ルート権限への昇格試みなどが観測されている。Cisco Talosは計10のアクティビティクラスターを特定しており、これらのクラスターは仮想通貨マイナー、認証情報窃取ツール、バックドアといった多様なマルウェアを展開していることが確認されている。 深刻化するSD-WAN製品への標的型攻撃 CISAのKEVカタログには現在、Cisco SD-WAN関連の脆弱性が計15件登録されており、そのうち2026年に発見されたものが5件含まれている。このペースはSD-WAN製品が国家レベルの脅威アクターやサイバー犯罪グループにとって高価値な標的となっていることを示している。SD-WANコントローラーはネットワーク全体のトラフィックルーティングやポリシー制御を担う中枢機器であり、一度侵害されると広範なネットワークへのアクセスが可能になるため、引き続き攻撃者の関心を集めていると考えられる。 影響を受ける製品を利用している組織はCiscoが公開したセキュリティアドバイザリを確認し、速やかにパッチを適用するとともに、異常なSSH接続やNETCONF設定変更の有無を確認することが強く推奨される。

概要 Node.jsは2026年6月17日（水）、現在サポート中の複数リリースラインを対象とするセキュリティリリースを公開した。影響を受けるのは 26.x・24.x・22.x の3ラインで、いずれも最高深刻度が HIGH（高） に分類されている。Node.jsチームはすべてのユーザーに対して速やかな更新を強く推奨している。 影響を受けるバージョン 今回のセキュリティリリースは、現行のアクティブおよびメンテナンス対象リリースラインすべてに影響する。 リリースライン 最高深刻度 26.x（最新版） HIGH 24.x（LTS） HIGH 22.x（LTS） HIGH 脆弱性の具体的な CVE 番号や技術的詳細は、リリース公開とあわせて順次開示される。セキュリティポリシーに従い、悪用リスク低減のため詳細情報の公開はリリース後に行われる。 推奨される対応 Node.js を本番環境で利用しているユーザーおよび組織は、以下の対応を優先的に実施することが求められる。 最新パッチバージョンへのアップグレード: 利用しているリリースラインの最新版に更新する サポート対象バージョンの確認: EOL（サポート終了）バージョンを使用している場合は、LTS バージョンへの移行を検討する セキュリティ通知の購読: Node.js 公式の低頻度アナウンスメーリングリスト「nodejs-sec」に登録することで、今後のセキュリティ情報を迅速に受け取れる Node.js のリリーススケジュールや EOL 情報は、GitHub の release ページで確認できる。

概要 Googleは2026年6月8〜9日、ChromeのJavaScriptエンジン「V8」に存在する高深刻度のゼロデイ脆弱性（CVE-2026-11645）を修正する緊急セキュリティアップデートをリリースした。CVSSスコアは8.8で、攻撃者が細工したHTMLページをユーザーに閲覧させるだけで、ブラウザのサンドボックス内で任意コードを実行できる。Googleは「野生でのエクスプロイトが存在することを確認している」と声明を出しており、実際の攻撃への悪用が認められている。 修正済みバージョンはWindows・macOSが149.0.7827.102/103、Linuxが149.0.7827.102。Chrome以外にもMicrosoft Edge、Brave、Opera、Vivaldi等のChromiumベースブラウザが影響を受けるため、各ベンダーの対応アップデートへの更新も必要となる。 技術的な詳細 CVE-2026-11645の根本原因は、V8エンジンにおける**バッファ外読み書き（Out-of-Bounds Read/Write）**だ。ヒープ破損を引き起こし、ASLR（アドレス空間配置のランダム化）などのメモリ保護機構を迂回できる状態が生じる可能性がある。攻撃は細工されたHTMLページを介してリモートから完結するため、ユーザーに特別な操作を求めない点が危険度を高めている。 脆弱性は匿名の研究者「303f06e3」が2026年4月27日にGoogleへ報告し、責任ある情報開示（Responsible Disclosure）に対して5万5,000ドルのバグバウンティ報奨金が支払われた。公開時点では技術的詳細やProof-of-Conceptコードは非公開とされており、大多数のユーザーが修正版を適用するまで情報制限が維持される見通しだ。 2026年のChromeゼロデイ連続発生 今回のCVE-2026-11645は、2026年に入って実際の攻撃で悪用が確認された5件目のChromeゼロデイとなる。過去4件はCVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281であり、年間を通じてChrome V8を中心とした攻撃が継続していることが浮き彫りになっている。 組織・個人を問わず、ブラウザのアップデートは最優先の対応事項だ。Chromeのアップデートは「メニュー → ヘルプ → Google Chrome について」から適用でき、適用後はブラウザの再起動が必要となる。企業環境では、古いバージョンの残存確認と集中管理による強制更新も推奨される。

概要 ハッカーグループShinyHuntersが、Oracle PeopleSoft Enterprise PeopleToolsに存在するゼロデイ脆弱性CVE-2026-35273を悪用し、大学を中心とした世界100以上の組織に侵入してデータを窃取した。Googleのセキュリティ部門Mandiantはこの攻撃キャンペーンを「UNC6240」として追跡しており、活動期間は2026年5月27日から6月9日にかけてと特定している。Oracleは6月10日に帯域外のセキュリティアドバイザリを公開して緩和策を提供したが、これは攻撃期間が終了した後であり、ゼロデイとして放置されていた期間に対する批判を受けている。 脆弱性の技術的詳細 CVE-2026-35273はCVSSスコア9.8（Critical）の深刻な脆弱性で、PeopleSoft PeopleToolsのUpdates Environment Management（PSEMHUB）コンポーネントに存在するリモートコード実行（RCE）の欠陥だ。認証不要かつユーザー操作も必要とせず、HTTP経由のネットワークアクセスがあれば攻撃者が任意のコードを実行できる。影響を受けるバージョンはPeopleTools 8.61と8.62で、サポートが終了した旧バージョンも同様に影響を受ける可能性がある。 ShinyHuntersは本脆弱性を含む「既存の既知脆弱性と今回のゼロデイを組み合わせたガジェットチェーン」で初期アクセスを獲得したと自ら認めている。攻撃者はポート8888でPythonのSimpleHTTPを実行する公開ステージングサーバーを介して侵入し、MicrosoftのAzureバイナリに偽装したカスタムMeshCentralリモート管理エージェントを展開した。その後、ハードコードされた認証情報を利用したSSHによる横移動を行い、侵害されたディレクトリ内に「README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT」というマーカーファイルを残した。 被害状況と影響を受けた組織 Mandiantは100以上の組織に対して脆弱性を通知したと報告している。標的となった組織の68%が高等教育機関であり、その大半が米国内の大学だ。攻撃者はおよそ300インスタンスへの侵害を確認した。被害を公表したノッティンガム大学（University of Nottingham）では、約45万5,000件のメールアドレスが漏洩し、そこには氏名・住所・電話番号・パスポート番号・障害情報といった機密性の高い個人情報が含まれていた。 ShinyHuntersはこれまでSaaSプラットフォームを主な標的としていたが、今回の攻撃はエンタープライズERPシステムへのターゲット拡大を示しており、ソーシャルエンジニアリング中心の戦術から技術的な脆弱性悪用へと能力が進化していることが示された。 Oracleの対応と推奨される緩和策 Oracleは緊急のセキュリティアドバイザリとして、PSEMHUBサービスの無効化、またはネットワーク境界での/PSEMHUB/*エンドポイントへの外部アクセスのブロックを推奨している。Webアプリケーションファイアウォール（WAF）のルールのみでは不十分とされており、組織はより踏み込んだ対処が求められる。 侵害の痕跡（IoC）として、予期しない.jspウェブシェルファイル、logsやpersistantstorageといった不審なディレクトリ、永続化目的で改ざんされた可能性のある最近変更されたXMLファイルが挙げられる。PeopleSoftを利用している組織はただちにパッチ適用と上記IoC調査を実施することが強く推奨される。

概要 Europolと11カ国の法執行機関が2026年6月10日、暗号資産マネーロンダリングサービス「AudiA6」の解体に成功した。2021年の稼働開始以来、ランサムウェアグループをはじめとする多数のサイバー犯罪組織のために総額3億3600万ユーロ（約4億ドル相当）超の不正資金を洗浄してきたとされる。ジョージアでウクライナ人とロシア人の管理者2名が逮捕されたほか、30台以上のサーバーと25ドメインが押収・閉鎖、80台超の車両と複数の不動産も没収された。暗号資産は69万2000ユーロが凍結、8万6000ユーロが差し押さえられている。 サービスの手口と技術的詳細 AudiA6は「産業規模」の資金洗浄プラットフォームとして機能していた。盗まれた他人の身分証明書を用いて複数の暗号資産取引所に数千件の不正口座（マネーミュール口座）を開設し、6,000件以上のKYC（本人確認）レコードをそれらに紐付けて追跡を困難にしていた。顧客からは洗浄額の3〜10%の手数料を徴収し、「クリーン」にした資金を約1時間以内に返却するという迅速なサービスを売りにしていた。ロシア語話者の仲介者が資金移動を支援し、複雑なトランザクションチェーンを構築することで資金の出所を隠蔽していた。 捜査の経緯とつながり 捜査の転機となったのは2025年9月のポーランド警察による捜査で、ウクライナ人容疑者1名を逮捕した際に押収したデバイスから、ネットワーク参加者を特定する重要な情報が得られた。AudiA6の管理者らはサイバー犯罪者向けダークウェブマーケットプレイス「Dark2Web」も運営しており、今回の作戦でこちらも同時に閉鎖された。また、2022年に発生したLastPassへの不正アクセスで盗まれた資金の一部もこのサービスを通じて洗浄されていたことが明らかになっている。米国ではこの2名に対し共謀罪とマネーロンダリング罪で起訴状が提出されており、有罪となれば各罪で最長20年の禁固刑が科される可能性がある。 今後の影響 Europolは今回の摘発について「数億ユーロ規模の不正収益を洗浄するために使われていた重要な金融パイプラインを遮断した」と評価している。本作戦にはEuropolとEurojustに加え、米国シークレットサービス（USSS）、IRS犯罪捜査部（IRS-CI）、ポーランド警察など11カ国の機関が参加した。ランサムウェア攻撃の収益化を支える洗浄インフラへの打撃は、サイバー犯罪エコシステム全体の弱体化につながるとみられており、国際的な協調捜査の有効性を改めて示す事例となった。

概要 ServiceNowは2026年6月9〜10日、認証バイパスを許すAPIバグにより顧客インスタンスのデータが外部から閲覧可能な状態にあったセキュリティインシデントを公表した。問題のエンドポイントは /api/now/related_list_edit（および /api/now/related_list_edit/create）で、設定上 requires_authentication=false となっており、有効な認証情報を持たない外部ユーザーでも顧客インスタンスのテーブルを参照できた。主に「Australiaプラットフォームリリース」を使用する顧客、またはそれより古いリリースで特定の設定変更を行っていた顧客が影響を受けるとされている。ServiceNowは2026年6月5日にホスト型インスタンスへのセキュリティアップデートを適用済みで、当該エンドポイントは認証必須の設定に変更された。 インシデントの経緯と発覚までの遅延 ServiceNowが最初にこの脆弱性の報告を受けたのは2026年4月22日で、バグバウンティプログラムへの機密提出という形だった。しかし実際にパッチが適用されたのは6月5日であり、報告から修正まで約6週間の空白が生じている。BleepingComputerの報道によると、悪用の疑いがある活動は6月初旬に確認されており、この期間中に攻撃者が同エンドポイントを利用して顧客データを参照した可能性がある。同社は不審なAPIアクセス元としてIPアドレス 51.159.98.241 を特定し、その後「この活動はバグバウンティに関連したセキュリティ研究者または顧客主導のリサーチに起因するものと見られる」との見解を示した。 潜在的な影響とリスク ServiceNowのインスタンスには通常、ITサービスチケット、従業員レコード、資産インベントリ、セキュリティレポートといった組織内の機微情報が格納されている。同社はどのようなデータが実際にアクセス・取得されたかについて具体的な情報を公開していない。また、一部のRedditユーザーは「Australiaリリース以外のバージョンでも外部アクセスの痕跡が確認できた」と報告しており、影響範囲が同社の公式発表より広い可能性も指摘されている。影響を受けた顧客にはサポートケースを通じてインシデント通知が送付されており、通知を受けていない顧客は影響外とされている。 管理者向け対応策と情報開示の限界 TechRadarは影響を受けた可能性のある管理者が取るべき対応として、/api/now/related_list_edit へのリクエストをログで確認すること（特にIPアドレス 51.159.98.241 からのアクセス）、露出した可能性のあるレコードを精査すること、サポートワークフロー経由で共有されたパスワードやトークンをローテーションすること、そしてAPIロギングの有効化を確認することを推奨している。一方で同社はインシデントの詳細に関する情報開示を極めて限定的に留めており、公式ナレッジベース記事へのアクセスにはログインが必要な設計となっている。バグバウンティによる発見から修正まで約6週間を要した点、および実際にアクセスされたデータの内容が明かされない点は、影響を受けた顧客にとって依然として大きな懸念として残っている。

概要 Microsoftは2026年6月のPatch Tuesdayにおいて、過去最多規模となる200件のセキュリティ脆弱性を修正した。このうち33件がCritical評価であり、28件がリモートコード実行（RCE）に関するものだった。脆弱性の種類別では、特権昇格（EoP）が65件、RCEが55件、情報漏洩が30件、スプーフィングが27件、セキュリティ機能バイパスが19件、DoSが7件という内訳となっている。今回のアップデートには6件のゼロデイ修正が含まれており、そのうち5件は公開済み、1件は実際に悪用が確認されていた。 修正された6件のゼロデイの詳細 今回修正されたゼロデイの中でも特に注目を集めているのが、研究者「Nightmare Eclipse」によって2026年5月にパッチより約1か月前に公開された3件の脆弱性だ。同研究者はMicrosoftの脆弱性開示プロセスへの抗議としてPoC（概念実証コード）を公開していた。 YellowKey（CVE-2026-45585）：Windows回復環境（WinRE）のバックドアとして機能するBitLockerバイパス脆弱性。物理アクセスを持つ攻撃者がTPM単体で保護されたシステムの暗号化を迂回可能。Windows 11およびWindows Server 2022/2025が対象。 GreenPlasma（CVE-2026-45586）：Collaborative Translation Framework（CTFMON）に存在する特権昇格脆弱性。ローカル攻撃者が完全にパッチ済みのWindowsシステムでもSYSTEM権限のシェルを取得できる。 MiniPlasma（CVE-2020-17103）：Cloud Files Mini Filter Driverの特権昇格脆弱性。Google Project Zeroが元々報告したもので、同様にSYSTEM権限の取得を許す。 HTTP/2 Bomb（CVE-2026-49160）：HTTP.sysにおけるDoS脆弱性。HTTP/2ヘッダー圧縮を悪用してメモリ枯渇とサーバーダウンを引き起こす可能性がある。 CVE-2026-50507（bitskrieg）：BitLockerのバイパスをもたらす2つ目の脆弱性。「必要なファイルにアクセスできませんでした」エラーを発生させ、WinREによる修復が必要になる場合がある。 CVE-2026-42897：Exchange Server（Outlook Web Access）のスプーフィング脆弱性。細工されたメールを通じて任意のJavaScriptを実行可能で、今回唯一実際に悪用が確認されていた脆弱性。 修正直後に発覚した新ゼロデイ「RoguePlanet」 Patch Tuesdayのリリース数時間後、同じ研究者Nightmare Eclipseがさらに新たなゼロデイ「RoguePlanet」を公開し、セキュリティコミュニティに衝撃を与えた。この脆弱性はMicrosoft Defenderのレースコンディションを悪用するローカル特権昇格（LPE）であり、KB5094126を含む完全にパッチ済みのWindows 10/11環境（正式ビルドおよびCanaryビルドの両方）でSYSTEM権限のコマンドプロンプトを起動できることが確認されている。CVE番号は現時点では割り当てられていない。 研究者によれば、「エクスプロイトは成功するかどうかが不確定だが、一部のマシンでは100%の成功率を達成した」という。なお、元々はSMB共有上の仮想ハードディスク（.vhd/.vhdx）ファイルを対象としたRCEとして開発されたが、Microsoftの防御強化によりLPEへとダウングレードされた形だ。ThreatLockerがエクスプロイトの動作を独自に確認しており、PoCコードは研究者のセルフホスト型リポジトリで公開されている。Microsoftはまだパッチも公式声明も出していない。 対応と今後の見通し 今回のPatch Tuesdayは規模の大きさだけでなく、Nightmare Eclipseによる連続的なゼロデイ公開という文脈でも注目されている。同研究者はMicrosoftの脆弱性開示慣行への不満から、修正リリース前後に相次いでPoCを公開しており、今後も追加の公開が行われる可能性がある。RoguePlanetに対する暫定的な緩和策としては、アプリケーションの許可リスト（allowlisting）の導入が有効とされている。企業および個人ユーザーはできる限り早急に今月の更新プログラムを適用するとともに、RoguePlanetのパッチが提供されるまでエンドポイント保護の強化を検討することが推奨される。