独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月28日、SOYシリーズにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ラックの熊丸匠伍氏が報告を行っている。影響を受けるシステムは以下の通り。
・CVE-2026-73827、CVE-2026-77838
SOY Calendar ver 2.4.0およびそれ以前
・CVE-2026-78032
SOY CMS ver 3.24.0およびそれ以前
・CVE-2026-78238
SOY Gallery ver 2.0.0およびそれ以前
※株式会社Brassicaが提供するSOYシリーズは本脆弱性の影響を受けない。
齋藤毅氏が提供するSOYシリーズには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・クロスサイトスクリプティング（CVE-2026-73827、CVE-2026-77838、CVE-2026-78238）
→当該製品にログインしているユーザーのウェブブラウザ上で、任意のスクリプトを実行される可能性がある
・信頼できないデータのデシリアライゼーション（CVE-2026-78032）
→第三者によって、ウェブサーバの権限で任意のコードを実行される可能性がある
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。
