Threat Intelligence Daily · 2026-10-03

昨日からの変化

NEW — Zammad:CISAは10月2日にCVE-2026-102489をKEVへ追加した。旧版Zammadではsession hijackから追加の権限昇格を組み合わせ、code executionへ進めるケースが公開されている。
NEW — Citrix NetScaler:CitrixはSAML SPまたはIdPとして動作するcustomer-managed ADC/Gateway向けにCVE-2026-88779を公開した。
NEW — Bouncy Castle:CVE-2026-71885が公開され、MLS X.509 credentialとLeafNode signature keyのbinding不備が明らかになった。1.86で修正済み。
NEW — Fortra BoKS:CVE-2026-79898により、関連する管理権限を持つ認証済みユーザーがshell commandを注入し、BoKS Master上でrootとして処理させられる。

直ちに: Zammad 6.xなどサポート終了版をsupported releaseへ移行し、session異常、管理者操作、server-side executionの痕跡を確認する。
本日:SAML SP/IdPとして利用しているNetScalerを特定し、Citrixのfixed buildへ更新する。
本日:MLSを利用するJavaサービスはBouncy Castle 1.86以降へ更新する。
本日:Fortra BoKS Managerを修正し、完了までBCC/WSI管理経路をtrusted networkへ制限する。

CVE-2026-102489はsession hijackの脆弱性で、CISAは10月2日にKEVへ追加した。公開された事案ではCVE-2026-102490も扱われており、攻撃者がserver accessを得た後のlocal privilege escalationとして影響を広げる。

サポート終了版を優先して更新する。host accessを絞り、異常なsession、管理者操作、公開instance上のprocess/file変更を確認する。

Sources (2)

MLS実装が、X.509 credentialのidentityとLeafNode signature keyを正しく結び付けない場合がある。external commitを許し、独立したadmission checkがない構成ではpeer identityの保証に影響する。

1.86以降へ更新し、MLS membership admissionがこのcredential pathだけに依存していないか確認する。

Sources (2)

CRL URLを追加できる認証済みユーザーが、BCC、WSI APIまたはcommand-line経路からcrlserverのshell command substitutionを起動できる。処理はBoKS Master上でroot権限となる。

Fortraのfixed buildを適用し、更新まで管理interfaceをtrusted networkへ限定する。

Sources (1)

memory overflowによりDoSが発生する。CitrixはSAML構成を前提条件として示し、14.1-73.41、13.1-64.28などをfixed buildとして公開した。

SAMLを有効にしたapplianceから優先して更新する。

Sources (1)

本日の4件で悪用が確認されているのはZammadのみ。残りはexposureとimpactを基にpatch priorityを決める。
認証・identity boundaryに関係する事象では、version updateと合わせてsessionおよびadmin access logを確認する。