Windmillプラットフォームに存在するCVE-2026-29059脆弱性は、'get_log_file'エンドポイントでのファイルパス処理の不十分な検証によって発生した。攻撃者は../ディレクトリトラバーサル文字列を用いて、サーバー上の任意のファイルを読み取ることができる。この手法により、/etc/passwdのようなシステムファイルへのアクセスが可能になり、SUPERADMIN_SECRET環境変数が設定されていれば、スーパーユーザー権限を奪取できる。

この脆弱性はWindmill 1.603.3版で修正され、ファイル名パラメータにディレクトリトラバーサルをブロックするチェックが追加された。セキュリティ研究者は、この脆弱性が24カ国で約170のシステムで実際に悪用されていることを確認した。悪用の試みは、Windmillエンドポイントだけでなく、Nextcloudのプロキシパス経由でも観測された。

同時期、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用済み脆弱性リストに追加した。他の重要な脆弱性としては、WordPressとLangflowに存在する認証なしリモートコード実行の脆弱性も含まれる。CISAは、連邦機関に対し、2026年7月24日までにこれらの脆弱性を修正するよう要請した。