Zyxel GS1900 CVE-2026-107441ほか4件 — 11月5日の脆弱性まとめ（悪用確認4件）

Zyxel の GS1900 シリーズ（スマートマネージド・スイッチ）を社内で使っている会社は、今日中にファームウェアを修正版へ更新し、Web 管理画面を社内の限られた端末からしか開けない状態にする。 CVE-2026-107441 は、同じネットワーク内にいる認証なしの攻撃者が細工した HTTP リクエストを送るだけで、スイッチ上で OS コマンドを実行できる欠陥である。発見者の Binarly は、約1,000台に対するゼロデイ攻撃で悪用されたと述べている。あわせて、自社で Airbyte を運用している場合は 2.2 以降へ更新する。古い OS のまま使い続けている Apple 端末は、CISA の悪用一覧に載った CVE-2024-27834 の対象になり得るため、OS が更新できるかを確認する。

11月5日（JST）に確認した Zyxel の公式アドバイザリ、Binarly のブログ、SecurityWeek、CISA KEV、NVD、JVN、Airbyte のアドバイザリ、Debian のセキュリティトラッカー、Siemens の公式情報、VulnCheck のブログに基づく。明記のない点は「記載なし」とする。本日の5件のうち、悪用が報じられている・確認されているのは4件（Zyxel、Apple、Airbyte、Node-RED）で、情報源はそれぞれ異なる（一覧の「悪用状況」に出典の種類を書いた）。

GS1900 のファームウェアに含まれる CGI プログラム（Web 管理画面の裏で動く処理）に、範囲外書き込み（メモリの確保範囲の外へデータを書き込める欠陥）がある。Zyxel のアドバイザリによると、同じネットワーク（LAN）内にいる認証なしの攻撃者が、細工した HTTP リクエストを送ることで、OS コマンドを実行できる可能性がある。NVD への掲載は11月3日で、深刻度は CVSS 3.1 で 8.8（High）。この値は Zyxel が付与したものである。

平易に言うと、オフィスの配線の要になるスイッチが、ネットワーク内の誰かに乗っ取られ得るということである。スイッチを押さえられると、通信の盗み見や、ほかの機器への足がかりづくりに使われるおそれがある。「インターネットから直接入られる」類の欠陥ではなく、まず同じ LAN に入られる必要がある。ただし、管理画面を外部へ公開している場合や、来客用 Wi-Fi・個人端末と業務ネットワークが分かれていない場合は、その前提が崩れる。

- 影響バージョン: 下表のとおり、各モデルの「2.90(XXXX.2)C0 以前」
- 修正版: 各モデルの「2.90(XXXX.3)C0」。Zyxel は、パッチを出すのはサポート期間内のモデルに限ると説明している
- 悪用: Zyxel のアドバイザリは、悪用について記載していない。一方、この欠陥を Zyxel へ報告した Binarly は、ゼロデイとして約1,000台に悪用されたと述べている。攻撃は、以前に中国系の攻撃者によるものとされた攻撃だと説明されている。SecurityWeek（11月5日）も同じ内容を報じている
- 6月の更新では防げない: 6月に修正された CVE-2026-7273 は、今回悪用された欠陥ではなかった。つまり、6月の更新を済ませていても今回の対策にはならず、10月23日以降の修正版が別途必要になる
- 経緯: Binarly は9月29日に Zyxel へ報告し、修正版は10月23日に公開された
- CISA KEV: 11月4日時点のカタログには未掲載

回避策と確認方法: 第一に、表のモデルを使っていれば、Zyxel の公式ダウンロードから該当モデルの修正版ファームウェアを入手して更新する。第二に、スイッチの Web 管理画面をインターネットへ公開していないことを確認する。第三に、管理画面を開ける端末を、管理用の VLAN（管理者専用の仮想的なネットワーク）や管理者の PC に限る。現在の版は、スイッチの Web 管理画面にログインしたあとの情報表示画面で確認できる。サポート期間を過ぎたモデルにはパッチが出ないため、買い替えや、管理画面にそもそも届かないネットワーク構成を検討する。ファイアウォールやネットワーク機器の守りを見直す際は、UTM・ファイアウォールの費用の記事も参考になる。公式: Zyxel アドバイザリ、Binarly のブログ、SecurityWeek

CVE-2024-27834 は、Apple の iOS・iPadOS・macOS・Safari・tvOS・watchOS に関わる、認証の不備（Improper Authentication）に分類される欠陥である。任意の読み書きができる攻撃者が、ポインタ認証（Pointer Authentication、メモリ破壊を使った攻撃を難しくする保護機能）を回避できる可能性がある。深刻度は NVD で CVSS 3.1 の 5.5（Medium）。米 CISA は11月4日にこの欠陥を KEV（悪用が確認された脆弱性の一覧）へ追加した。米連邦機関の対応期限は11月18日である。

ここで押さえておきたいのは、欠陥そのものは2024年5月に修正済みの古いものだという点である。今回新しいのは、KEV に追加されたという事実だけである。報道によれば、情報窃取マルウェアを配る攻撃に使われているとされる。この点は報道ベースで、本稿が一次情報で確認できたのは KEV への追加である。

- 修正版: Safari 17.5、iOS 16.7.8 / iPadOS 16.7.8、iOS 17.5 / iPadOS 17.5、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5
- 現実的なリスク: 現行の OS に更新できている端末は、すでに修正済み。問題になるのは、古い OS のまま更新が止まっている端末（買い替え時期を過ぎた iPhone・iPad・Mac など）
- 悪用: CISA KEV に追加。報道によれば、情報窃取マルウェアの配布に使われたとされる

確認方法: iPhone・iPad は「設定」→「一般」→「情報」で iOS / iPadOS の版を、Mac は「このMacについて」で macOS の版を見る。上の修正版以降になっていれば対処できている。更新が出ない古い端末は、業務のメールや社内システム、パスワード管理に使わない運用へ切り替えるのが現実的である。公式: CISA KEV、NVD

Airbyte は、さまざまな業務システムのデータを集めて別の場所へ送る、データ連携のツールである。自社のサーバーで運用するセルフマネージド版に、安全でないリフレクション（CWE-470。プログラムが外部の入力で動作を決めてしまう種類の弱点）の欠陥がある。JVN によると、Airbyte の権限を持つユーザーが、Connector Builder または ManifestServer のコンテナで任意のコードを実行できる可能性がある。JVN の公表は11月4日で、CVE 番号は JVN には載っていない。識別子は JVN#12040144 と GHSA-g35w-6r6v-h4r7 である。

- 何が起きるか: Airbyte の画面や API を使える人が、サーバー内のコンテナで好きなプログラムを動かせる。つなぎ先のデータベースや認証情報の流出につながり得る
- 深刻度: JVN は CVSS v4.0 で 8.7、v3.0 で 8.8 と評価し、深刻度を「緊急」と表記している。Airbyte 側の評価は CVSS 3.1 で 9.9
- 影響バージョン: Airbyte 1.7.0 から 2.1.0（JVN）
- 修正版: Airbyte 2.2 以降。リリースノートは公式に掲載されている。SecurityOnline の報道によれば、1.x 系には修正が出ない
- 悪用: JVN が「悪用が確認されている」と記載している

平易に言うと、「Airbyte にログインできる人」を信用の限界にしていた設計が、実際には内部のコードを動かす足場になり得た、という話である。外部の攻撃者がいきなり入れるわけではないが、認証情報が漏れた場合や、権限を広く配っている場合に被害が大きくなる。確認方法と対処: 管理画面またはデプロイの設定で現在の版を確認し、1.7.0〜2.1.0 の範囲であれば 2.2 以降へ更新する。更新までの間は、Airbyte の画面と API を社内の限られた端末からしか開けないようにし、不要なユーザー権限を外す。公式: JVN#12040144、GitHub アドバイザリ、Airbyte 2.2 リリースノート

APT は、Debian や Ubuntu でソフトウェアを入れる・更新するための標準の仕組みである。NVD は11月4日に CVE-2026-109518 を掲載した。パッケージを入れている最中の、APT のクライアントとアーカイブ（配布サーバー）の間の HTTP 通信を操作できる経路上の攻撃者（悪意あるミラーやプロキシを含む）が、署名などの検証を受けていない攻撃者用のパッケージを APT に入れさせ、root 権限でコードを実行できる可能性がある。原因はハードリンクの再利用である。

- 発動条件: リダイレクトに従い、ダウンロードを再試行する場合に限られる。設定の Acquire::Retries が 0 以外のときで、これは Debian 12（bookworm）と Ubuntu 22.04 LTS の既定値（3）に当たる。それより古いリリースは、既定の設定では影響を受けない
- 深刻度: CVSS v4.0 で 7.7（High）。付与元は CNA の Ubuntu
- 修正版（apt のバージョン）: Debian 12 bookworm は 2.6.2（脆弱な版は 2.6.1、DLA-4880-1）。Debian 13 trixie は 3.0.4（脆弱な版は 3.0.3、DSA-6607-1）。forky / sid は 3.3.6
- Ubuntu: 修正版の数字は、Ubuntu の公式ページで確認する
- 悪用: 悪用の報告はない

平易に言うと、配達の途中で荷物をすり替えられる状況を、APT の検証をすり抜けて作れてしまう欠陥である。攻撃には通信経路を操作できる位置が必要なので、信頼できるネットワーク内で HTTPS のミラーを使っていれば、現実的なリスクは小さい。確認方法は次のとおり。

表示された版を、上の修正版と見比べる。Debian 12 で 2.6.1、Debian 13 で 3.0.3 のままであれば、更新が必要である。更新は、いつもの apt update と apt upgrade で行う。更新までの間は、HTTPS のミラーを使い、信頼できないプロキシやミラーを経由しない。サーバーを新規に構築したりコンテナを作り直したりする場面で APT を使う自動化があれば、そのイメージの apt の版も確認する。公式: Debian セキュリティトラッカー、NVD、Ubuntu

Node-RED は、機器やサービスをつなぐ処理を、画面上の部品を線でつないで作れるツールである。Siemens の公式情報（SSA-834709、8月公表）によると、Industrial OS 上で Node-RED を入れた SIMATIC IoT2050 の、V4.3.4-1 より前のすべての版で、認証なしの遠隔の攻撃者が最大の権限で任意のコードを実行できる可能性がある。深刻度は Siemens の評価で、CVSS 3.1・4.0 とも 10.0（Critical）である。

- 悪用: VulnCheck が、10月30日から悪用を観測したと報告している（ブログは11月1日更新。Help Net Security が11月3日に報じた）。攻撃者は、認証のない管理 API へ Node-RED のフローを送り込み、そのフローから Linux 用のボット（bot-linux-amd64）を取得して実行し、Web シェルも置く。VulnCheck は、adminAuth を設定していない Node-RED は自動的に見つけられて悪用されると述べている
- 一覧への掲載: VulnCheck は自社の KEV に追加した。CISA KEV には11月4日時点で未掲載
- 影響: Industrial OS 上で Node-RED を入れた SIMATIC IoT2050 の、V4.3.4-1 未満
- 修正版: IoT2050 の V4.3.4-1 以降

平易に言うと、現場の機器をつなぐ装置が、玄関に鍵のないまま外から見える状態なら、すぐに乗っ取られる。確認方法と対処: 第一に、Node-RED をインターネットへ公開しない。第二に、設定ファイルで adminAuth を有効にして、管理画面と管理 API にログインを求める。第三に、IoT2050 は V4.3.4-1 以降へ更新する。第四に、すでに動いているフローを見直し、身に覚えのない exec ノード（OS のコマンドを動かす部品）や、予期しない HTTP の入口（エンドポイント）がないか確認する。IoT 機器の守りを考える際は、脆弱性診断の費用の記事も参考になる。公式: Siemens SSA-834709、VulnCheck のブログ、Help Net Security

- オフィスや店舗、工場で Zyxel の GS1900 シリーズ（8・8HP・10HP・16・24・24E・24EP・24HPv2・48・48HPv2）を使っているか、担当者や導入業者に聞く
- 使っていれば、ファームウェアが修正版（2.90(XXXX.3)C0）になっているかを確認し、なっていなければ更新の日程を決める。6月の更新を済ませていても、今回の対策にはならない
- スイッチの Web 管理画面がインターネットから見えないこと、管理画面を開ける端末が管理者の PC などに限られていることを確認する
- サポート期間を過ぎたスイッチは、パッチが出ない。買い替えか、管理画面へ届かない構成を決める
- 古い iPhone・iPad・Mac で OS の更新が止まっている端末がないか洗い出し、業務利用から外すか買い替えを検討する
- データ連携に Airbyte を自社運用していれば、版を確認し、1.7.0〜2.1.0 なら 2.2 以降への更新を依頼する。更新までは画面と API を社内の限られた端末からしか開けないようにする
- Debian 12・13 や Ubuntu のサーバーがあれば、apt の版を確認し、修正版へ更新する。HTTPS のミラーを使っていることも見る
- Siemens SIMATIC IoT2050 や Node-RED を使っていれば、インターネットへ公開していないこと、adminAuth が有効なことを確認する
- 確認と更新の結果（日付、版、実施者）を一枚のメモに残し、次の棚卸しに使う

- 11月4日の脆弱性まとめ
- 11月3日の脆弱性まとめ
- 脆弱性診断の費用
- UTM・ファイアウォールの費用
- Linux カーネルの Copy Fail（CVE-2026-31431）の対策

- Zyxel セキュリティアドバイザリ（GS1900 の範囲外書き込み、2026年11月3日）
- Binarly: Zyxel GS1900 RCE CVE-2026-107441
- SecurityWeek: Zyxel スイッチへの攻撃は、修正済みの欠陥ではなくゼロデイだった
- CISA KEV カタログ
- NVD: CVE-2024-27834
- JVN#12040144（Airbyte）
- GitHub: GHSA-g35w-6r6v-h4r7
- Airbyte 2.2 リリースノート
- Debian セキュリティトラッカー: CVE-2026-109518
- NVD: CVE-2026-109518
- Ubuntu: CVE-2026-109518
- Siemens SSA-834709
- VulnCheck: Node-RED を狙う攻撃
- Help Net Security: Node-RED CVE-2026-58115 の悪用