11/11 サイバーセキュリティ ３選

1. Google Chromium：CVE-2026-125350

• 11月10日にCISA KEVへ新規追加、実悪用確認済み。XMLコンポーネントのUse-After-Freeにより、細工されたWebページからサンドボックス内で任意コードを実行される可能性があります。 [cisa.gov]
• Google Chromeだけでなく、Microsoft Edge、OperaなどChromium系ブラウザーにも影響し得ます。対応期限は11月24日です。 [cisa.gov]

2. Barracuda Email Security Gateway：CVE-2026-116606

• 11月10日KEV追加。未認証のリモート攻撃者が設定インポート機能を悪用し、細工したバックアップからアプライアンス全体の設定を改変できる可能性があります。 [cisa.gov]
• CVE-2026-111560との連鎖が可能で、CISAはフォレンジック・トリアージを要求。期限は11月13日です。 [cisa.gov]

3. OpenSSH on Linux：CVE-2026-123158

• 既出（ここでは昨日付け）
• 11月9日KEV追加の認証迂回脆弱性。二次情報ではCVSS 8.1で、悪用後にクラウドメタデータ、パスワードハッシュ、root SSH鍵を探索し、authorized_keysを書き換える活動が観測されています。※詳細は要確認 [thehackernews.com], [immunitysec.com]
• 広範に利用されるInternet-facingな管理経路であるため、新規KEV群の中でも優先度を高くしました。

特記事項

• GPUStack CVE-2026-102895：未認証管理者アクセス、クラウド資格情報漏洩、コード実行につながるKEV。二次評価CVSS 9.8。※CVSSは要確認 [thehackernews.com], [immunitysec.com]
• SignalWire FreeSWITCH CVE-2026-116779：設定・資格情報漏洩、任意通話制御、コマンド実行。フォレンジック・トリアージ対象です。 [cisa.gov], [thehackernews.com]
• IBM Aspera Faspex CVE-2026-123218：認証済み利用者による認可迂回・権限昇格。フォレンジック・トリアージ対象です。 [cisa.gov], [thehackernews.com]
• SonicWall SonicOS SSLVPN CVE-2026-19868：SAML認証・MFA迂回につながる実悪用案件。VPN境界機器として継続確認対象です。 [immunitysec.com]
• Ivanti Connect Secure CVE-2026-111357 / 118527 / 104935：連鎖可能で、111357はフォレンジック・トリアージ対象です。 [immunitysec.com]

今朝の要点

• 市場： CPI上振れで米10年債が4.98%へ上昇。株式は小幅安ですが、騰落銘柄数はほぼ均衡しており、全面的なリスク回避ではありません。 [pulsafi.com], [thestreet.com], [quant500.com]
• AI： CoreWeaveの売上と受注は強い一方、巨額債務と設備投資が残ります。今後も「需要の有無」より契約済み需要が債務返済とキャッシュ創出に結び付くかが焦点です。 [reuters.com]
• サイバー： 今朝は、広範利用のChromium、境界メール機器かつフォレンジック対象のBarracuda ESG、管理基盤のOpenSSHを最優先とします。 [cisa.gov], [thehackernews.com]