独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月4日、Hinemosにおける不適切な権限の割り当ての脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。三井物産セキュアディレクション株式会社の野口晋義氏が報告を行っている。影響を受けるシステムは以下の通り。
Hinemos ver.7.2.0
Hinemos ver.7.1.0から7.1.2まで
Hinemos ver.7.0.0から7.0.4まで
Hinemos ver.6.2.0から6.2.2まで（通常保守サポート終了済み）
Hinemos ver.6.1.0から6.1.2まで（通常保守サポート終了済み）
Hinemos ver.6.0.0から6.0.3まで（通常保守サポート終了済み）
※すでにサポート終了をしたHinemos ver.6.0以前のバージョンも本脆弱性の影響を受ける可能性がある
株式会社NTTデータ先端技術が提供するHinemosには、パスワード変更APIにおける不適切な権限の割り当ての脆弱性（CVE-2026-109849）が存在し、一般ユーザに割り当て可能な特定の権限でパスワード変更APIにアクセス可能な攻撃者によって、管理者ユーザのパスワードを変更される可能性がある。
JVNでは、下記の対策を案内している。
・有償版契約者向け対策
開発者が提供する情報をもとにパッチを適用
・OSS版ユーザ向け対策
開発者が提供する情報をもとに最新版のインストーラを実行し、アップデートをインストール
・通常保守サポート終了済みバージョンユーザ向け対策
開発者が提供する回避策を適用することで、本脆弱性の影響を軽減することが可能。
