Google Pixelスマートフォンがゼロクリック攻撃の標的に（CVE-2026-58704）

Google Pixelスマートフォンがゼロクリック攻撃の標的に（CVE-2026-58704）

The Register – Wed 16 Sept 2026

​​Googleと米当局は15日、Pixelスマートフォンのセルラーモデムに存在するゼロデイ脆弱性が悪用されていると警告した。

この深刻度の高い脆弱性は「不適切な認可（improper authorization）」に分類され、CVE-2026-58704として追跡されている。ユーザーの操作を一切必要とせずに権限チェックを回避し、権限を昇格させることが可能とされるが、アップデートを適用すれば修正できるようだ。

The Registerの記事によると、この脆弱性に関する詳細は現時点で不明なことが多く、Pixelスマートフォンのモデムに存在していること、実際に悪用されていること、そしてユーザーの操作を必要としないゼロクリック攻撃が可能なことしかわかっていないという。ただしゼロクリック攻撃については、商用スパイウェアの開発者が特定の個人を監視するためによく利用する手法だと指摘した。

米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は翌16日、この欠陥をKEV（悪用が確認済みの脆弱性）カタログに追加し、19日までの3日間で修正を施すよう連邦政府各機関に指示した。CISAは先日にも、Google ChromiumのV8エンジンに存在する脆弱性2件（CVE-2026-85046、CVE-2026-87491）をKEVカタログに追加している。

認証不要のRCE脆弱性により、20万超のWordPressサイトが乗っ取りリスクにさらされる恐れ（CVE-2026-78159、CVE-2026-78006）

SecurityWeek – September 16, 2026

人気プラグイン「The Events Calendar」に存在する2件の重大な脆弱性により、20万件以上のWordPressサイトが乗っ取り攻撃の危険にさらされている恐れがあるという。

The Events Calendarは管理者がWebサイト上でイベントカレンダーを簡単に作成・管理できるようにするプラグインで、60万件以上の有効なインストール数を誇っている。WordPressセキュリティ企業のDefiantによると、これらの欠陥はリモートコード実行（RCE）を許すコードインジェクションのバグとされ、バージョン6.17.3.1より前の全バージョンが影響を受けるそうだ。

1つ目のセキュリティ欠陥（CVE-2026-78159、CVSSスコア9.8）は、検証不備に起因する認証不要のコードインジェクションと説明されている。これは特定の条件下において、攻撃者がプレーン配列（plain-array）のペイロードを注入し、チェックを回避した上で、コメント欄を含む単一イベントのHTML処理中にそのコードを実行できるようにするものとされ、8月25日リリースのバージョン6.17.3.1で修正されている。

2つ目の脆弱性（CVE-2026-78006、CVSSスコア9.8）は、認証不要のPHPオブジェクトインジェクションの問題と記されている。イベントへのコメント機能が有効かつ表示されている場合に悪用される可能性があり、プラグインの機能における保護が不十分なことで発生するようだ。こちらは9月10日リリースのバージョン6.17.4.1で修正されている。

WordPressのデータによると、バージョン6.17より前のThe Events Calendarを使っているWebサイトは約24万件あり、これらは上記2件の脆弱性に影響を受けることになる。また、このプラグインは9月10〜14日の間に30万回強ダウンロードされているため、総インストール数の約半分がCVE-2026-78006に対して脆弱なことを意味する。

これら2件の欠陥を悪用するにはプラグインでコメント機能が有効になっている必要があるため、脆弱な状態のWordPressサイトがどの程度存在するのかはわかっていない。