F5は2026年9月22日、BIG-IP APMをOAuth認可サーバーとして使う構成に、未認証でリモートコード実行につながるヒープベースのバッファオーバーフロー CVE-2026-94127(CVSS v3.1 9.8)があり、すでに悪用されていると公表しました。CISAは同日KEVへ追加し、BOD 26-04の最短区分である「3日以内の修正とフォレンジックトリアージ」を求めています。NVD、CISA KEVのJSONフィード、CERT-EUのアドバイザリ、F5の技術文書を一次情報として、影響を受ける構成とバージョン、該当確認のしかた、証拠保全からホットフィックス適用、侵害痕跡の確認までを整理します。
Zyxel GS1900シリーズのスマートマネージドスイッチに、未認証のHTTPリクエストでOSコマンドを実行できるスタックベースのバッファオーバーフロー CVE-2026-7273 があります。Zyxelは2026年6月16日に修正ファームウェアを公開していましたが、GreyNoiseは中国語話者と疑われる攻撃者が8月17日ごろから悪用し、48か国996台から設定ファイルとハッシュ化されたroot資格情報を持ち出したと報告しました。CISAは9月21日にKEVへ追加し、対応期限を9月24日としています。Zyxelのアドバイザリ、NVD、CISA KEV、GreyNoiseの報告を一次情報として、影響モデルと修正版、TFTPを使った攻撃の流れ、更新手順、侵害痕跡の確認、資格情報の更新までを整理します。
CERT Polskaが発見・公表したMikroTik RouterOSの脆弱性6件のうち、SSH公開鍵認証のバイパス(CVE-2026-67276)と細工したユーザー名による権限昇格(CVE-2026-86060)を組み合わせた攻撃チェーン「MikroTrick」は、2026年9月2日以降に実際の攻撃で使われています。MikroTikのアドバイザリ、CERT Polska、NVD、CISA KEVの一次情報をもとに、影響バージョン、RSA指数を1にする認証バイパスの仕組み、侵害痕跡(ops ユーザー、ログ文字列)、Flagged状態の確認、6.49.21/7.23.4/7.24.2への更新と暫定策を整理します。
GitLabが2026年9月10日に公開したCritical Patch Release(19.3.2/19.2.6/19.1.8)を公式リリースノート・NVD・CISA KEVの一次情報で整理します。リポジトリコミットAPIのパストラバーサルCVE-2026-85706(CVSS 10.0、未認証で任意ファイル読み取り)は公開翌日にKEVへ追加されました。EE限定のCVE-2026-87719(CVSS 9.9)やRCEに至るCVE-2026-88765を含む18件の内容と、ログ調査・シークレット棚卸しの手順を解説します。