OWN NEWS GATHER
← 戻る
The Hacker News

FirefoxやChrome、Adobe、VMwareに重大な脆弱性　各社が一斉にセキュリティアップデートを公開

要点

  • MozillaはFirefox向けに、すでに実証コードが公開されている2件の深刻な脆弱性を修正する更新プログラムをリリースした。

  • GoogleはChrome向けに、画面表示抽象化システム「Ozone」に関する深刻なバグなど15件の脆弱性を修正した。

  • AdobeはColdFusionやCommerceなどを対象に、任意のコード実行につながるものを含む計88件の脆弱性の修正を公開した。

  • BroadcomはVMware Avi Load Balancerにおける、管理プレーンへの不正アクセスにつながる認証バイパスの脆弱性を解消した。

  • いずれの脆弱性も現時点で実際の攻撃への悪用は報告されていないが、各社は速やかなシステム更新を強く推奨している。

  • MozillaやGoogle、Adobe、Broadcomなどの主要なテック企業が、自社製品に存在する重大なセキュリティ脆弱性を修正するための更新プログラムを一斉にリリースした。セキュリティメディアの「The Hacker News」が2026年7月15日に報じたところによると、修正された脆弱性の中には、すでに攻撃手法の実証コードが公開されているものや、システムの制御権を奪われる危険性があるものが多数含まれているという。

Firefox：実証コードが公開済みの重大な脆弱性に対処

Mozillaは、Webブラウザ「Firefox」の最新アップデートであるバージョン152.0.6をリリースし、2件の深刻な脆弱性を修正した。
修正対象は、ブラウザ上でプログラムを高速実行する技術「WebAssembly」における無効なポインタの脆弱性（CVE-2026-15718）と、ウェブページの構造を操作する仕組みであるDOMのナビゲーション機能におけるサイト分離（異なるサイト間のデータを保護するセキュリティ機能）の脆弱性（CVE-2026-15719）の2件である。
Mozillaはセキュリティアドバイザリの中で、これら2つの脆弱性について悪用のための実証コードがすでに一般公開されていると警告している。ただし、現時点では実際のサイバー攻撃に悪用された事例は確認されていないという。

Chrome：表示システム関連のメモリ解放後使用バグを修正

Googleも「Chrome」向けに15件の脆弱性を修正するセキュリティアップデートを配信した。
このうち、画面表示システムとブラウザの通信を仲介する抽象化レイヤー「Ozone」（Linux、ChromeOS、Fuchsiaに対応）に関する、深刻な「Use-after-free（メモリ解放後にその領域へアクセスする不具合）」のバグ2件（CVE-2026-15764およびCVE-2026-15765）が修正された。
米国国立標準技術研究所（NIST）のデータベースによると、Linux向けの古いChrome（バージョン150.0.7871.125未満）に影響するCVE-2026-15764では、攻撃者がユーザーを特定の操作へ誘導することで、細工したページを介してメモリ破壊を引き起こし、システムを不正操作される恐れがある。Googleは、WindowsおよびMac向けにはバージョン150.0.7871.124/.125、Linux向けにはバージョン150.0.7871.124を公開して対処した。

Adobe：ColdFusionやCommerceなど計88件の脆弱性を修正

Adobeは、Webアプリ開発プラットフォーム「ColdFusion」やEC（電子商取引）サイト向けの「Adobe Commerce」、「Adobe Experience Manager」、「Illustrator」など、複数の主要製品における計88件の脆弱性を修正する大規模アップデートを公開した。
特に「ColdFusion」では、任意のコード実行や権限昇格（本来持っていない操作権限を取得すること）につながる8つの深刻なバグ（CVSSスコア9.0〜9.9、CVSSは脆弱性の深刻度を評価する最大10.0の基準値）が修正された。具体的には、意図しないファイルアクセスを許すパストラバーサル（CVE-2026-48318など）や、コードインジェクション（CVE-2026-48322）、不適切な入力値検証（CVE-2026-48284）、SQLインジェクション（CVE-2026-48324）、認証の欠如（CVE-2026-48325）などである。これらは「ColdFusion 2025 Update 11」および「ColdFusion 2023 Update 22」で解消される。
また、「Adobe Commerce」および「Magento Open Source」ではファイルアップロード時の脆弱性（CVE-2026-48356）などが修正された。「Adobe Experience Manager」では、サーバーを介して不正なリクエストを送信させるSSRF（サーバーサイドリクエストフォージェリ）脆弱性（CVE-2026-48259）や、外部XMLファイルの読み込みを適切に制限しない脆弱性（CVE-2026-48359）が解消されている。

VMware：ロードバランサーにおける認証回避の脆弱性を解消

Broadcomは、ネットワーク上の負荷を分散する装置である「VMware Avi Load Balancer」における、深刻な認証バイパス（正規のログイン手続きを経ずにシステムにアクセスする脆弱性）のバグ（CVE-2026-47865、CVSSスコア: 9.8）に対する修正をリリースした。この脆弱性を悪用すると、ネットワークアクセスを持つ悪意のあるユーザーが、システム全体を管理する「Aviコントロールプレーン」に不正アクセスできる恐れがあるという。本脆弱性は、NATOサイバーセキュリティセンターのFilip Waeytens氏によって発見され、Broadcomへ報告されたと説明されている。

今回公開された一連のアップデートにおいて、実際に脆弱性が悪用された攻撃事例は報告されていない。しかし、過去にはこれらの製品に存在するバグがサイバー攻撃者によって兵器化（攻撃用ツールとして作成されること）された事例が数多く知られている。そのため、各企業や個人ユーザーに対して、被害を未然に防ぐために早期のシステム更新を適用することが強く推奨されている。

元URL