CVE-2026-111793: Openwave Messaging Limited Webtop Media Transcoder 不正なリソース転送（Spheres間）脆弱性

Japan Vulnerability Notesは、CVE-2026-111793について、「開発者は、この脆弱性を悪用した攻撃が観察されたと述べている」と記載している。[3]JVNアドバイザリーは警告しており、「認証済み攻撃者が特定の手順に従って特別に細工されたファイルをアップロードした場合、機密情報が取得される可能性がある」と述べている。[3]OpenCVEに公開されたCVE記述によると、Openwave Webtop Media Transcoderは、変換されるファイルタイプを制限するための管理者定義のファイルタイプ制限を強制していない。[4]SecurityOnlineが報じたところによると、WebtopはOpenwaveのウェブメールプラットフォームであり、サービスプロバイダーが使用している[5]、またトランスコーダーは添付ファイルを変換して、ユーザーがブラウザでプレビューできるようにしている。[5]ThreatINTのCVEレコードはこの欠陥を「中程度：4.3」[6]としてCVSSスケールで分類し、CWE-669 不正なリソース転送（Spheres間）[6]に分類されている。SecurityWeekが報じたところによると、CISAはOpenwaveとCiscoのセキュリティ欠陥を2026年11月10日に既知の悪用された脆弱性（KEV）カタログに追加し、連邦機関に対して2026年11月24日までにパッチを適用するよう促している。[1]Supedによると、Openwave のセキュリティアドバイザリーとCVEはすでに2026年10月に公開されていた[2]、また修正されたビルドはすでに利用可能だった。[2]SecurityOnlineが報じたところによると、この欠陥は1.1.22.0より前のすべてのバージョンに影響し[5]、Openwave は最新の「Media Server 2.0サポート対象リリースへの移行を推奨している。」[5]このメディアアウトレットは、管理者がパッチの詳細についてOpenwaveに連絡すべきであると付け加えており、JPCERT/CCも助言しているとのことである。[5]