#ゼロデイ

Zimbra Classic UIの保存型XSSを使うロシア系スパイ活動を国際共同アドバイザリで確認。10.1.20への更新、mailbox.log、ZimbraWebアプリ固有パスワード、2FAスクラッチコード、IMAP設定、DNS・HTTPS流出痕跡の確認点を整理。

depthfirstのAIセキュリティエージェントがFFmpegで21件のゼロデイを発見。CVE付き9件、RTSP URLからAV1 over RTPへ届く経路、同梱FFmpegの確認まで整理する。

2026年2月24日以前にKnowledgeDeliverを入れてweb.configのmachineKeyを変えていない環境が対象。ViewStateデシリアライズの仕組み、Godzillaのメモリ内実行、JS改ざんによるCobalt Strike配布までの攻撃チェーンと、Event ID 1316からの追跡手順

2026年5月11日にGoogle GTIGが公表した、攻撃者がLLMで生成したゼロデイの初確認事例。OSSウェブ系管理ツールの2FAバイパスを「ハードコードされた信頼仮定」のセマンティック欠陥として発見、Pythonエクスプロイトに残ったハルシネートCVSSスコアと教科書的構造が手がかりだった。APT45・UNC2814の周辺動向まで整理

2025年12月から悪用が続いていたAdobe Acrobat ReaderのプロトタイプPollution RCEに、2026年4月11日にパッチが配布された。CVSS 8.6、Priority 1。72時間以内の適用が推奨される。

2025年11月から活発に悪用されているAdobe Reader/Acrobatのゼロデイ。サンドボックスバイパスとRCEを2バグの組み合わせで実現し、最新版を含む全バージョンが影響を受ける。パッチ未提供。

Anthropicが非公開モデルClaude Mythos PreviewでOpenBSD 27年もの・FFmpeg 16年もの・FreeBSD 17年ものを含む数千件のゼロデイを発見。危険すぎて一般公開できないと判断し、Project Glasswingとして12社のパートナーに限定提供する。

WebGPU実装DawnのUAF脆弱性CVE-2026-5281がin-the-wildで悪用確認。Chrome 146.0.7680.177/178へのアップデートが必要。

Cisco Secure FMCの未認証RCE脆弱性CVE-2026-20131（CVSS 10.0）をInterlockランサムウェアグループがCisco公表の36日前から悪用。Amazon Threat Intelligenceが詳細なツールキットを解析した。

GoogleがChrome 146.0.7680.75で修正した2件のゼロデイ脆弱性。Skia（CVSS 8.8）とV8（CVSS 8.8）への攻撃が実環境で確認されており、2026年に入って3件目のChrome緊急パッチとなった。

同じ週にCISA KEVカタログへ追加されたChromium CSSエンジンUAF、Roundcubeの10年潜伏RCE、BeyondTrustのランサムウェア悪用RCE、Daguのデフォルト認証なしRCE。4件すべてで即時パッチ適用が必要。

Dell RecoverPoint for VMsのCVSS 10.0脆弱性が、中国関連の脅威グループUNC6201によって1年半以上にわたり悪用されていたことが判明した。