ownCloudの脆弱性が悪用され、フィリピンの原子力研究機関から核関連レコードが盗まれる（CVE-2023-49105）

ownCloudの脆弱性が悪用され、フィリピンの原子力研究機関から核関連レコードが盗まれる（CVE-2023-49105）

The Hacker News – Aug 28, 2026

米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は27日、ownCloudの重大なセキュリティ欠陥をKEV（悪用が確認済みの脆弱性）カタログに追加するとともに、連邦政府文民機関（FCEB）に対して30日までにパッチを適用するよう指示した。中国語を話す脅威アクターがこれを悪用し、フィリピンの原子力研究機関を攻撃したとの報告が入っているそうだ。加えて、同国海軍にサービスを提供する海洋工学・造船会社も同じアクターの攻撃を受けてデータを盗まれたという。

この脆弱性はCVE-2023-49105（CVSSスコア：9.8）として追跡されており、WebDAV APIの認証バイパスに関するバグと説明されている。被害者のユーザー名が判明していて、なおかつ署名キーが設定されていない（デフォルト設定では未設定の）場合、攻撃者は認証なしで任意のファイルへのアクセス、変更、または削除が可能になるとのこと。ownCloudが2023年11月に公表したこの欠陥はバージョン10.13.1で修正されているが、10.6.0〜10.13.0までの「コア」バージョンに影響が及ぶという。

原子力研究機関から盗まれたのは合計約372MBのファイル176件で、核物質の管理記録、2023〜2028年を対象とした戦略計画の草案、研究用原子炉の炉心構成部品、過去の燃料在庫データ、プレゼンテーション資料、職員の個人情報、ZKTeco BioTimeの勤怠・人事データベースのSQLダンプ（192MB）、BitLockerキー、KeePassデータベース、AxCryptで暗号化されたファイルなど認証情報が含まれるようだ。

なお、この脅威アクターはWordPress用LiteSpeed Cacheプラグインの重大な脆弱性（CVE-2024-28000、CVSSスコア：9.8）を悪用し、フィリピン海軍の委託先である別の海洋工学・造船企業が運営するWordPressサイトへの昇格された権限でのアクセス権も取得していたと報じられている。

WordPressプラグイン／テーマに5件の重大な脆弱性、サイト乗っ取りやRCEが可能に（CVE-2026-82222、CVE-2026-76581他）

The Hacker News – Aug 29, 2026

WPMU DEV Dashboard、Avada、TranslatePress、Pods、GiveWPといったWordPressのプラグインやテーマにおいて、認証バイパスやアカウント乗っ取り、任意のコード実行を可能にする重大なセキュリティ脆弱性が複数公表された。

それぞれの概要については以下のように説明されている。

• CVE-2026-82222（CVSSスコア10.0）：GiveWPプラグインの脆弱性で、サイトの完全な乗っ取りを可能にする（バージョン4.16.7.1までの全バージョンに影響）
• CVE-2026-76581（同9.8）：WPMU DEV Dashboardプラグインにおける認証バイパスの脆弱性とされ、管理者権限の取得とサイト乗っ取りにつながる恐れがある（バージョン5.0.1までの全バージョンに影響）
• CVE-2026-18431（同9.8）：WordPressのテーマ「Avada」における任意ファイル書き込みの脆弱性で、リモートコード実行やサイトの完全な侵害を引き起こすことができる（バージョン7.16までの全バージョンに影響。ただし、Fusion Builderプラグインがバージョン3.16以下でインストールされ、有効になっている場合のみ）
• CVE-2026-19632（同9.8）：プラグイン「TranslatePress – Translate Multilingual sites with AI Translation」における機微情報漏洩の脆弱性。管理者用パスワードリセットURL（未加工のもの）を抽出でき、管理者アカウントの完全な乗っ取りが可能になる（バージョン3.3.1までの全バージョンに影響。ただし、自動文字列保存機能が有効であり、かつ対象となる管理者のプロファイルロケールが公開済みの「secondary language（第二言語）」に設定されている場合のみ）
• CVE-2026-19598（同9.8）：「Pods – Custom Content Types and Fields」プラグインにおける権限昇格の欠陥。「管理者（Administrator）」への権限昇格に加え、サイト所有者を含む任意のユーザーアカウントのパスワードを上書きすることが可能になる（バージョン3.3.9までの全バージョンに影響）

エストニアのサイバーセキュリティ企業Patchstackによると、この中で最も深刻なCVE-2026-82222は、不具合のある「safe unserialize（安全なアンシリアライズ）」ヘルパー、そのヘルパーに攻撃者が制御可能なデータを渡す寄付フロー、そしてGiveWPに同梱されているコード内のガジェットチェーンを結び付けるものとされる。根本的な原因は共通しているそうで、「オブジェクトを除去しないシリアライズ用サニタイザーを信頼すること、データベースから読み戻したデータを信頼できるものとしてアンシリアライズすること、そして開発専用のライブラリを本番環境に含めてしまい、そこからすぐに利用可能なガジェットチェーンを提供してしまうこと」と記されている。