米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は月曜日、脅威アクターがIBM Aspera FaspexとSignalWire FreeSwitchの新たな脆弱性を攻撃に悪用していると警告しました。
Faspexの脆弱性は「CVE-2026-123218」（CVSSスコア9.8）として追跡されており、細工したメッセージを介して悪用可能な認可バイパスの欠陥です。悪用に成功すると、認証済みユーザーが完全な管理者権限を取得できる可能性があります。
IBMは金曜日、Aspera Faspexのバージョン5.0.19 PL1でこのセキュリティ上の欠陥を修正し、利用者に対して可能な限り早く更新するよう促しました。
SignalWire FreeSwitchの脆弱性は「CVE-2026-116779」（CVSSスコア9.8）として追跡されています。アドバイザリでは、機密情報の漏えい、任意の通話制御、コマンド実行につながるコードインジェクションの問題と説明されています。
この脆弱性の根本的な原因は、受信したSIP MESSAGEの「To」ユーザーをプラス記号（+）で分割する際、左側をチャットプロトコルのセレクターとして扱う関数にあります。
チャット層では、受信したSIP MESSAGEを処理するチャットプロトコルを指定できます。このため、ピアはサーバーが実行するAPIコマンドを制御するメッセージを送り込めます。コマンドはFreeSwitchプロセスの権限で実行されます。
NISTのアドバイザリには、次のように記載されています。「受信チャットは標準の内部プロファイルと外部プロファイルで有効になっており、認証済みのプロファイルアカウントであれば十分である。パスワード情報を持たない標準のディレクトリユーザーも、影響を受ける構成ではこの障壁を取り除ける」
この脆弱性に対処したSignalWire FreeSwitchのバージョン1.11.3がリリースされています。
CISAは月曜日、この2件の脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。BOD 26-04の規定に基づき、連邦政府機関に対して3日以内にパッチを適用するよう求めています。
10月28日に公開されたSignalWireのアドバイザリは、この脆弱性の悪用が「実環境で確認されている」と記していますが、攻撃の詳細は明らかにしていません。IBMのアドバイザリは悪用に触れておらず、攻撃に関する詳細も公表されていないようです。
CISAはこのほか、GPUStackの重大な認証バイパスの脆弱性と、最近修正されたSSHoleの脆弱性についても、実環境で悪用されているとして各組織に注意を促しました。
GPUStackの脆弱性は「CVE-2026-102895」（CVSSスコア9.8）として追跡されています。リモートの未認証の攻撃者が、脆弱なサーバーの完全な管理者アクセスを取得できる可能性があります。7月末には、悪用されているとの指摘がありました。
SSHoleは「CVE-2026-123158」として追跡されており、一部のLinuxディストリビューションに影響します。深刻度の高い認証の問題で、リモートの攻撃者がrootなどのアカウントにアクセスできる可能性があります。パッチの公開から数日後の週末に、悪用が始まりました。
