■04/19(日)〜04/25(土) のセキュリティ関連情報
目 次
【1】PackageKitにTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性
【2】PHPUnitに引数インジェクションの脆弱性
【3】ASP.NET Coreに権限昇格の脆弱性
【4】複数のApple製品に脆弱性
【5】Google Chromeに複数の脆弱性
【6】GitLabに複数の脆弱性
【7】複数のAtlassian製品に脆弱性
【8】CrowdStrikeのセルフホスト型LogScaleにパストラバーサルの脆弱性
【9】MOVEit WAFに複数の脆弱性
【10】複数のMozilla製品に脆弱性
【11】複数のOracle製品に脆弱性
【12】SKYSEA Client ViewおよびSKYMEC IT Managerに不適切なファイルアクセス権設定の脆弱性
【13】IPAが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」のサイトを公開
【14】JPCERT/CCが「Cisco ASAおよびFTDにおける複数の脆弱性（CVE-2025-20333、CVE-2025-20362）に関する注意喚起」を更新
【15】JPCERT/CCのLogonTracerに複数の脆弱性
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
【1】PackageKitにTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性
情報源
https://github.com/PackageKit/PackageKit/security/advisories/GHSA-f55j-vvr9-69xv
概要
PackageKitには、Time-of-check Time-of-use (TOCTOU) 競合状態の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://github.security.telekom.com/2026/04/pack2theroot-linux-local-privilege-escalation.html
【2】PHPUnitに引数インジェクションの脆弱性
情報源
https://github.com/sebastianbergmann/phpunit/security/advisories/GHSA-qrr6-mg7r-m243
概要
PHPUnitには、引数インジェクションの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
【3】ASP.NET Coreに権限昇格の脆弱性
情報源
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40372
概要
ASP.NET Coreには、権限昇格の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://github.com/dotnet/announcements/issues/395
【4】複数のApple製品に脆弱性
情報源
https://support.apple.com/ja-jp/127002
概要
複数のApple製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/ja-jp/127003
【5】Google Chromeに複数の脆弱性
情報源
https://chromereleases.googleblog.com/2026/04/stable-channel-update-for-desktop_22.html
概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
【6】GitLabに複数の脆弱性
情報源
https://docs.gitlab.com/releases/patches/patch-release-gitlab-18-11-1-released/
概要
GitLabには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
【7】複数のAtlassian製品に脆弱性
情報源
https://confluence.atlassian.com/security/security-bulletin-april-21-2026-1770913890.html
概要
複数のAtlassian製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
【8】CrowdStrikeのセルフホスト型LogScaleにパストラバーサルの脆弱性
情報源
https://www.crowdstrike.com/en-us/security-advisories/cve-2026-40050/
概要
CrowdStrikeが提供するセルフホスト型LogScaleには、パストラバーサルの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
【9】MOVEit WAFに複数の脆弱性
情報源
https://community.progress.com/s/article/MOVEit-WAF-Critical-Security-Bulletin-April-2026-CVE-2026-3517-CVE-2026-3518-CVE-2026-3519-CVE-2026-4048-CVE-2026-21876
概要
Progress Softwareが提供するMOVEit WAFには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
【10】複数のMozilla製品に脆弱性
情報源
https://www.mozilla.org/en-US/security/advisories/mfsa2026-30/
概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbirdが影響を受けます。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.mozilla.org/en-US/security/advisories/mfsa2026-31/
https://www.mozilla.org/en-US/security/advisories/mfsa2026-32/
https://www.mozilla.org/en-US/security/advisories/mfsa2026-33/
https://www.mozilla.org/en-US/security/advisories/mfsa2026-34/
【11】複数のOracle製品に脆弱性
情報源
https://www.oracle.com/security-alerts/cpuapr2026.html
概要
複数のOracle製品には、脆弱性があります。対象となる製品およびバージョンは多岐にわたります。詳細は、開発者が提供する情報を参照してください。
【12】SKYSEA Client ViewおよびSKYMEC IT Managerに不適切なファイルアクセス権設定の脆弱性
情報源
https://jvn.jp/jp/JVN63376363/
概要
Ｓｋｙ株式会社が提供するSKYSEA Client ViewおよびSKYMEC IT Managerには、不適切なファイルアクセス権設定の脆弱性があります。この問題は、バージョンアップまたはパッチを適用することで解決します。また、対策実施前に作成された部署情報付きインストーラーを保有している場合には再作成が必要とのことです。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.skyseaclientview.net/news/260420_01/
【13】IPAが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」のサイトを公開
情報源
https://www.ipa.go.jp/security/scs/
概要
独立行政法人情報処理推進機構（IPA）は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」のサイトを公開しました。本サイトでは、制度の概要や要求事項・評価基準、評価機関などの情報が紹介されています。
【14】JPCERT/CCが「Cisco ASAおよびFTDにおける複数の脆弱性（CVE-2025-20333、CVE-2025-20362）に関する注意喚起」を更新
情報源
https://www.jpcert.or.jp/at/2025/at250021.html
概要
JPCERT/CCは、「Cisco ASAおよびFTDにおける複数の脆弱性（CVE-2025-20333、CVE-2025-20362）に関する注意喚起」を更新しました。本更新では、Ciscoが公開した当該脆弱性の修正適用後も残置する永続化機能を有するマルウェアが設置されていた事案について、検出手法や検出された場合の対処方法などを整理しています。攻撃時期によっては、パッチ適用済みの場合でも侵害を受けている可能性があるため、同注意喚起を参考に侵害の有無を調査することが推奨されます。
関連文書
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-CISAED25-03
【15】JPCERT/CCのLogonTracerに複数の脆弱性
情報源
https://www.jpcert.or.jp/press/2026/PR20260423.html
概要
JPCERT/CCが提供するLogonTracerには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、JPCERT/CCが提供する情報を参照してください。
関連文書
https://github.com/JPCERTCC/LogonTracer
https://jvn.jp/jp/JVN57877356/
コメント