/ VERIFIED SECURITY INTELLIGENCESECURITY
SECURITY
WATCH.
公式情報に基づく脆弱性アラート。更新日順に表示。
CRITICALPalo Alto Networks PAN-OS（PA-Series、VM-Series、Panoramaを含む）／PHPPHP2Shellの実悪用続報：Linux権限昇格との連鎖をCISAがKEV登録米CISAがLinuxカーネルのCVE-2026-46300を悪用確認リストに追加し、既報のPHP2Shellとの連鎖リスクを明記した。セキュリティ企業Dreamも、ファイアウォールを含む25台のサーバーでroot権限が奪取されたとする調査結果を公表。PHPだけでなく、OSカーネルと管理機器まで点検する必要がある。 PHP2Shellの実悪用について、Palo Alto Networksが2026年10月29日、インターネットに公開されたPAN-OS管理画面への攻撃を公式に確認した。Unit 42はLinuxカーネル権限昇格との連鎖に使われた攻撃ツールも独立検証。従来の「メーカー未公表」の報告から一歩進み、PAN-OSの該当ホットフィックス適用と管理画面の公開制限が具体的な優先対応となった。悪用確認・修正版あり（製品別確認）CRITICALProgress Software WS_FTP Server（Windows）WS_FTP Serverに最大CVSS 10.0、認証情報漏えいとOSコマンド注入の重大脆弱性2026年10月29日、Windows版ファイル転送サーバー「WS_FTP Server」について、管理者認証情報の漏えい、権限昇格、OSコマンド注入など少なくとも7件のHIGH／CRITICAL脆弱性がCVE登録された。Progress SoftwareのCNA公式記録では最大CVSS 10.0。修正版は10月1日までに公開済みで、対象環境では更新と管理機能の公開範囲の点検が必要だ。CRITICALRed Hat OpenShift AI (RHOAI)／rhoai/odh-ai-gateway-payload-processing-rhel9Red Hat OpenShift AIのAI GatewayにCRITICAL認可回避、別テナントのLLM利用枠を不正消費の恐れRed Hat OpenShift AIのAI Gatewayコンポーネントに、別テナントのモデル識別子を利用して認可を回避する脆弱性「CVE-2026-117574」が公表された。Red Hatの公式CVE記録はCVSS 9.1（CRITICAL）と評価。認証済み攻撃者が別テナントのAPIキーを利用した不正なモデル要求を行い、LLMの利用枠を消費できる恐れがある。影響する製品リリース番号と修正版は追加確認が必要だ。CRITICALLangflow OSSLangflow OSSにCRITICAL脆弱性2件、認証回避と遠隔コード実行の恐れAIワークフロー基盤「Langflow OSS」に、認証回避と任意コード実行を含む複数の脆弱性が判明した。IBMは2026年10月28日に公式勧告を公表し、29日に更新。CVSS 9.8のCRITICALが2件、8.8のHIGHが1件含まれ、影響する1.0.0〜1.12.8から修正版1.13.0への更新を求めている。HIGHnvm-sh/nvm（Node Version Manager）nvmのバージョン指定処理にコマンド注入の脆弱性（CVE-2026-118905）Node.jsのバージョン管理ツール「nvm」に、外部から影響を受けたバージョン指定を通じてシェルコマンドを実行され得る脆弱性が確認された。開発元が2026年10月29日に公表したCVE-2026-118905はCVSS 7.0（HIGH）。影響範囲はnvm 0.31.2〜0.40.5で、0.40.6への更新が推奨されている。HIGHflat（npm、hughsk/flat）npm flatのunflatten()にHIGH DoS、巨大数値キーでNode.js停止の恐れNode.jsのデータ変換ライブラリ「flat」に、短い入力から巨大な配列を作り、サーバーの処理を停止させる恐れがある脆弱性CVE-2026-119051が公表された。6.0.1以前が対象で、深刻度はHIGH、CVSS 8.2。外部入力をunflatten()で復元し、その結果を配列として走査するアプリケーションでは、暫定的な入力制限などが必要となる。HIGHopen（npm）／関連製品 @modelcontextprotocol/inspectornpm openにPowerShellコマンド注入（HIGH）、MCP InspectorのOAuth経路にも影響Node.js向けURL起動ライブラリ「open」で、WindowsやWSL上のPowerShellコマンド注入につながる脆弱性CVE-2026-119025が公表された。影響は7.2.0以上11.0.0未満で、修正版は11.0.0。悪意あるMCPサーバーのOAuth認可URLを開く経路にも関係し、MCP Inspectorでは2.12.0への更新が推奨される。CRITICALGitLab Community Edition (CE) / Enterprise Edition (EE)GitLabのCRITICAL RCE（CVE-2026-97229）をCISA KEVに追加、実悪用確認GitLabのCI/CD正規表現処理に存在するCVSS 10.0の遠隔コード実行脆弱性「CVE-2026-97229」が、米CISAの実悪用確認リスト（KEV）に2026年10月29日付で追加された。対象はGitLab CE/EEの一部19.2〜19.4系列。10月12日に修正版が提供されているが、別の重大な正規表現処理の問題にも対応するため、自己管理環境では後続のセキュリティパッチへの更新が重要となる。CRITICALChat AI with Dispatcher、LogixFast Auth（いずれもWordPressプラグイン）WordPressプラグイン2件にCRITICAL 9.8、認証不要のRCEと管理者アカウント奪取WordPress向けの「Chat AI with Dispatcher」と「LogixFast Auth」に、認証不要の攻撃でサイトを侵害する恐れがある別々の脆弱性が公表された。前者はPHPファイルの不正アップロードによるコード実行、後者はパスワードリセット用コードの誤送信による管理者アカウント奪取が問題となる。両件のCISA ADP評価はCVSS 9.8だ。CRITICALSophos UTM / SG UTMSophos UTMにCRITICAL 9.2、認証不要のroot権限RCEとEOL製品への手動パッチ要請Sophosは2026年10月28日、サポートを終了した統合セキュリティ製品「Sophos UTM」に、認証不要でroot権限の任意コマンド実行につながる重大な脆弱性CVE-2026-118633があると公表した。メールプロキシのスキャン機能を使う環境が対象で、同社は手動パッチの早急な適用を要請している。HIGHTwisted（twisted.web HTTP/2 server）Twisted HTTP/2サーバーにHIGHのRapid Reset型DoS（GHSA-vpp8-g58w-m8mp）Python製の非同期ネットワーク基盤TwistedのHTTP/2サーバーに、認証不要の遠隔サービス拒否脆弱性が確認された。ストリームを直後にリセットする要求を繰り返すことで、同時ストリーム数の制限を回避してCPU処理を増幅できる。開発元はHIGH／CVSS 7.5と評価し、修正を含む26.10.0rc1を公開している。HIGHnpm decode-uri-componentdecode-uri-componentにHIGH DoS、0.5.0でも残った二次計算量問題（CVE-2026-118664）Node.js向けnpmライブラリ「decode-uri-component」に、細工した入力のデコードで処理時間が二次的に増え、Webサーバーのイベントループを停止させ得る脆弱性が確認された。CVE-2026-118664はCVSS 8.2（HIGH）。先行する別のDoS問題を修正した0.5.0にも残っており、0.5.1への更新が必要だ。HIGH@angular/build（Angular CLIのビルドツール）Angularビルド生成マニフェストにコード注入脆弱性（HIGH・CVSS 7.7）Angularの公式ビルドツール「@angular/build」に、静的プリレンダリングとサーバーサイドレンダリングを組み合わせた構成で、外部データ由来の経路情報が実行可能なサーバーマニフェストに混入するコード注入脆弱性が見つかった。開発元は2026年10月28日にHIGH（CVSS 7.7）として公表し、20・21・22系の修正版を案内した。更新後は再ビルドと再デプロイが必要となる。HIGHSSL Wireless SMS Notification（WordPressプラグイン）／Wild Apricot Login（WordPressプラグイン）WordPress認証連携プラグイン2件に未修正HIGH、アカウント乗っ取りの恐れWordPressの認証連携プラグイン「SSL Wireless SMS Notification」と「Wild Apricot Login」に、アカウント乗っ取りにつながる2件のHIGH脆弱性が公表された。前者はSMS認証の検証不足、後者は特定のMultisite環境でのSSOアカウント紐付け不備が問題だ。10月29日時点で両件とも修正版が確認できず、利用サイトは停止・代替認証への移行を優先したい。CRITICALBot for Telegram on WooCommerce（WordPressプラグイン、Guru Team）WordPressのTelegram連携プラグインにCRITICAL 9.8、管理者アカウント乗っ取りの恐れWordPressのTelegram連携プラグイン「Bot for Telegram on WooCommerce」で、認証なしに管理者を含む利用者のアカウントを乗っ取れる恐れがある脆弱性CVE-2026-109516が公表された。深刻度はCRITICAL、CVSS 9.8。影響は1.3.0以前で、10月29日時点で確認できる修正版はない。導入サイトではプラグインの停止・削除と不審なログインの確認を急ぎたい。HIGHDatadog dd-trace（npm、Node.js用APMトレーサー）Datadog dd-traceにHIGH ReDoS、URLのクエリ文字列でNode.jsサーバー停止の恐れNode.js向けAPMトレーサー「dd-trace」で、HTTPリクエストのURLクエリ文字列を秘匿化する正規表現にReDoS脆弱性が確認された。CVE-2026-116693はHIGH（CVSS 8.7）。攻撃者が制御する入力によってCPUを長時間占有し、Webサービスの応答停止につながる恐れがある。開発元は5.131.1と6.20.1で修正済みだ。CRITICALfrangoteam FUXA（Node-RED連携を有効化した構成）FUXAのNode-RED連携にCRITICAL認証回避、未認証RCEの恐れ産業向けWeb HMI「FUXA」のNode-RED連携で、認証を回避して遠隔からコードを実行できる恐れがある脆弱性CVE-2026-42922が、2026年10月29日にCisco Talosから公表された。重大度はCVSS 9.8のCRITICAL。開発元はFUXA v1.3.3で対処したと回答しており、Node-RED連携を有効化した運用環境ではバージョンとアクセス制御の確認が急がれる。CRITICALopenEQUELLAopenEQUELLAにCRITICAL含む4件、認証済み利用者からのRCEとXXEを開発元が公表教育・学習コンテンツ管理基盤openEQUELLAで、OSコマンド実行、FreeMarkerテンプレート注入、Javaデシリアライズ、XML外部実体参照（XXE）の脆弱性4件が開発元から公表された。いずれも2026.1.0未満が対象で、同版への更新が推奨される。攻撃に必要な権限は脆弱性ごとに異なり、無条件に認証不要で攻撃できるわけではない。HIGHHighcharts Core（Stock / Maps / Ganttを含む該当構成）、Highcharts Grid Lite／Grid Pro、Highcharts DashboardsHighchartsにHIGH脆弱性複数、XSSとプロトタイプ汚染Highcharts Coreだけでなく、Grid Lite／Grid ProとDashboardsにも複数のHIGH脆弱性がある。開発元は2026年9月29日に勧告を公開し、10月28日にGitHub Advisory Databaseで審査登録された。XSSやプロトタイプ汚染が問題となり、CoreとGrid／Dashboardsでは修正版が異なる。各製品の導入バージョンと外部設定の入力経路を確認したい。HIGHOvenMediaEngine（OvenMediaLabs）OvenMediaEngineのOVT中継にHIGH DoS、CVE-2026-118689（修正版未公表）動画配信基盤OvenMediaEngineのOVT中継で、認証なしに接続を占有し続けることで配信を妨害できる可能性が指摘された。CVE-2026-118689はHIGHと評価されるが、公開のCVSS値は未レビューのGitHub Advisoryによるもの。開発元は修正を含むOVT2変更の統合を報告した一方、正式な修正版のリリースは確認されていない。HIGHBricks Theme / Bricks BuilderBricksの認証不要情報漏えい脆弱性2件、2.4.4で修正WordPress向けサイト構築ツールBricksで、認証なしに情報を読み取られる恐れがある脆弱性2件（CVE-2026-118803／118804）が公表された。影響するのは2.4.4未満のバージョン。ユーザー情報や非公開投稿、クーポン情報が漏えいする可能性があり、開発元はセキュリティ修正を含む2.4.4への更新を推奨している。CRITICALSignal K Server（signalk-server）Signal K ServerにCRITICAL認証回避、ログZIPからJWT秘密鍵が漏えいし管理者権限奪取の恐れ船舶向けデータサーバーSignal K Serverで、認証なしで取得できるログZIPにJWT署名鍵が含まれ、管理者権限の奪取につながるCRITICAL脆弱性が確認された。開発元は2.33.0で修正済み。インターネットに公開された該当サーバーは優先して更新と設定確認が必要だ。HIGHre2js（npm）re2jsのLOOKBEHINDS処理にHIGH脆弱性、反復マッチングでCPU停止の恐れNode.js向け正規表現ライブラリre2jsで、明示的にLOOKBEHINDSを有効化した反復マッチングがCPUを過剰消費するHIGH脆弱性が確認された。影響は2.2.0以上2.8.7未満。開発元は2.8.7で修正し、外部入力を処理するサーバーでの更新と利用箇所の点検が求められる。HIGHsysteminformation（npm、Windows上のservices()）systeminformationのWindowsサービス取得にコマンド注入、HIGH脆弱性を修正Node.jsのシステム情報取得ライブラリsysteminformationで、Windows環境のservices()に細工したサービス名を渡すとPowerShellコマンドが実行され得るHIGH脆弱性が確認された。影響は呼び出し元が信頼できない入力を渡す構成に依存し、修正版5.33.16が公開されている。HIGHgraphql-scalars（GraphQLPhoneNumber）graphql-scalarsの電話番号検証にHIGH脆弱性、短い入力で認証前DoSの恐れGraphQL向けライブラリgraphql-scalarsの電話番号検証処理に、短い不正入力だけでNode.jsのイベントループを長時間停止させ得るHIGH脆弱性が確認された。GraphQLPhoneNumberを公開入力に使うサーバーでは、認証前の検証段階でサービス停止が起こる恐れがある。修正版は2.0.1。CRITICALnodejs-whisper（npm）nodejs-whisperにCRITICALコマンド注入、音声ファイル名からOSコマンド実行の恐れ音声文字起こし用Node.jsライブラリnodejs-whisperに、音声ファイル名を介してOSコマンドが実行され得るCRITICAL脆弱性がある。影響するのは0.4.0未満で、ユーザーが指定できるファイルパスを処理するアプリケーションが主な懸念対象。GitHubの審査済み勧告と修正版コードを照合した。HIGHseroval（npm）SerovalにHIGH脆弱性3件、WebサーバーのDoSと不正な関数呼び出しWebアプリケーションで利用されるシリアライズライブラリ「seroval」に、HIGH評価の脆弱性3件が確認されました。信頼できないJSONをデシリアライズする構成では、サービス停止やアプリケーション内の関数の意図しない呼び出しにつながる恐れがあります。3件の修正版は1.6.8です。HIGHhappy-domHappy DOMのHTML解析でSSRF、HIGH脆弱性を21.0.0で修正Node.js向けDOM実装Happy DOMで、信頼できないHTMLに含まれるiframeや外部CSSを読み込むと、サーバーから攻撃者指定先へHTTP通信するSSRFが起こり得る。21.0.0では外部リソースの自動ロードが無効化された。HIGHVue I18n（vue-i18n、@intlify/core等の関連パッケージ）Vue I18nのHTML翻訳にXSS回避漏れ、HIGH脆弱性の修正版を確認Vue I18nのHTML翻訳処理に、iframeのsrcdoc属性を経由してXSS対策を回避できるHIGH脆弱性がある。翻訳をv-htmlで表示し、信頼できない内容が入る構成が対象で、11.4.14などで修正済みだ。HIGH@graphql-tools/executor-legacy-wsGraphQL ToolsでWebSocket認証情報が別ユーザーへ引き継がれるHIGH脆弱性GraphQL ToolsのWebSocket実行ライブラリで、前の利用者の認証情報が次の利用者の接続に残るHIGH脆弱性が確認された。共有executorを使うゲートウェイなどが対象で、1.1.36への更新が推奨される。HIGHn8nn8nでコード実行リスク2件、旧ノードと画像処理のHIGH脆弱性ワークフロー自動化基盤n8nの開発元は10月28日、任意コード実行につながり得るHIGHの脆弱性2件を公表した。旧コード実行ノードの隔離回避と、公式Dockerイメージに含まれるGraphicsMagickの画像処理が対象だ。利用中のバージョンとワークフロー構成を確認し、修正版への更新が必要となる。CRITICALBetter AuthBetter Authにアカウント乗っ取り脆弱性2件。Magic LinkとOAuth Proxyの異なる攻撃条件を解説Better AuthのCVE-2026-114607（CVSS 9.1）。特定のMagic Link・OAuth・状態保存設定の併用時に、メールアドレスを知る攻撃者が他人のセッションを取得する恐れ。1.7.7へ更新。 Better AuthのOAuth Proxyプラグインに、特定のsecret共有とcookie保存設定を組み合わせると、攻撃者が他人のメールアドレスを使ってそのアカウントへログインできるHIGH脆弱性がある。Magic Linkの既報とは別の経路で、同じ1.7.7で修正される。修正状況は最新記事で確認HIGHundici (Node.js)Node.jsのHTTP基盤undiciにHIGH脆弱性4件。HTTP/2 WebSocketのDoSを追記undiciのCVE-2026-109829（7.4）、CVE-2026-109383（7.4）、CVE-2026-87018（7.5）。影響する設定を確認し、6.29.1／7.30.1／8.12.2の該当修正版へ更新。 Node.jsのHTTPクライアントundiciに、HTTP/2経由のWebSocket接続で悪意ある接続先がNode.jsプロセスを停止させ得るHIGH脆弱性がある。8.11.0と8.11.1が対象で、8.11.2で修正された。修正状況は最新記事で確認CRITICALBrotli / Web基盤【10月28日更新】Brotliの重大脆弱性、CISAが悪用確認。Node.js・Python・Web基盤の修正状況を再点検2026年10月27日、米国CISAがGoogle BrotliのCVE-2026-111497を既知の悪用確認済み脆弱性（KEV）に登録した。10月26日時点では実環境での悪用は確認できないと記載していたが、最新の一次情報では状況が変化している。Brotliの圧縮データを扱うNode.js、Bun、Python、プロキシなどの担当者は、各製品の修正版を優先して確認したい。修正状況は最新記事で確認CRITICALnest-adminnest-adminに管理者認証回避の重大脆弱性。固定JWT署名鍵を修正したv1.0.1を公開nest-adminの固定JWT署名鍵により管理者トークンを偽造できる恐れ。CVE-2026-117564（CVSS 9.3）。v1.0.1への更新とJWT署名鍵のローテーションを推奨。修正版あり・悪用未確認CRITICALAdobe Commerce / Magento Open SourceAdobe Commerce／Magentoの重大脆弱性CVE-2026-48356、CISAが悪用確認済みリストに追加Adobe CommerceとMagento Open Sourceの危険なファイルアップロード制限不備（CVE-2026-48356、CVSS 9.6）がCISA KEVに追加。Adobeの2026年7月修正更新を適用し、不審なアップロードや権限変更を調査する。悪用確認・修正版ありCRITICAL@fastify/express@fastify/expressにCritical認証回避、特定設定で管理画面の保護を迂回FastifyとExpressを連携させる`@fastify/express`で、特定のURL正規化設定により管理画面などの認証・認可ミドルウェアを迂回できる重大な脆弱性が公表された。開発元はCritical（CVSS 9.1）と評価し、修正版4.0.9への更新を求めている。HIGH@modelcontextprotocol/sdk / @modelcontextprotocol/server / @modelcontextprotocol/node / @modelcontextprotocol/honoMCP TypeScript SDKのHTTPサーバーにHIGH DoS脆弱性、4製品で修正Model Context Protocol（MCP）のTypeScript SDKに、HTTPサーバーが受け付けるPOST本文のサイズとJSON-RPCバッチ数を制限しない脆弱性が見つかった。信頼できないクライアントが到達可能なサーバーではメモリ枯渇や処理停滞につながり得るため、SDKの利用形態と修正版を確認したい。HIGHBun / HTTP/3 QPACKBunのHTTP/3にHIGH脆弱性、少量の通信からメモリ枯渇・CPU停止のおそれ。v1.4.4で修正BunのHTTP/3（QPACK）ヘッダー展開処理に、遠隔の相手が少ない通信量で大量のメモリ消費やCPU停止を引き起こせるHighのDoS脆弱性が見つかりました。対象はHTTP/3を明示的に使う構成で、修正版はBun 1.4.4です。既存のBrotli脆弱性とは別の問題として、影響条件と更新時の注意点を整理します。HIGHKirki (WordPress)WordPressのKirkiに管理者権限奪取の恐れ。購読者権限から悪用可能なCVE-2026-75891Kirki 6.2.5以前にPHPオブジェクトインジェクション（CVSS 8.8）。購読者以上の権限で特定条件下に管理者パスワードが変更される可能性。最新版へ更新。修正版あり・悪用未確認CRITICALQode Membership (WordPress)Qode Membershipに認証回避の重大脆弱性。Facebookログイン経由で管理者になりすます恐れWordPressのQode Membership 2.0.6.2以前でFacebook認証処理の検証不備（CVE-2026-92885、CVSS 9.8）。未認証の攻撃者が既存ユーザーになりすます恐れ。2.0.6.3へ更新。修正版あり・悪用未確認HIGHAnalytics Insights (WordPress)Analytics Insightsに未認証の蓄積型XSS。GA4のリアルタイムページタイトルが攻撃経路にAnalytics Insights 6.3.12以前に未認証の蓄積型XSS（CVE-2026-111820、CVSS 7.2）。GA4のリアルタイムページタイトルを経由して悪意あるスクリプトが表示される恐れ。6.4へ更新。修正版あり・悪用未確認CRITICALGridbox (Joomla)Joomla拡張Gridboxに認証不要の重大脆弱性2件。SQLインジェクションを修正Gridbox 2.20.4.2未満でCVE-2026-102788／102789（いずれもCVSS v4 9.3）。URLのソート指定と編集タスクの認可不足が問題。開発元は10月27日に2.20.4.2を公開。修正版あり・悪用未確認CRITICALArcGIS ServerArcGIS ServerにCVSS 9.8のSQLインジェクション。自治体・企業の地理情報基盤に緊急パッチArcGIS ServerのCVE-2026-10757はCVSS 9.8の重大なSQLインジェクション。Windows／Linuxの12.1、12.0、11.5、11.3、11.1に影響。Esriの累積セキュリティパッチを至急適用。修正版あり・悪用未確認CRITICALOpenPanelOpenPanelに重大な脆弱性2件。実行制御と認証情報保護に不備OpenPanelのWebhook実行制御と通知ルールに関する2件の重大なセキュリティ勧告を整理。修正版の適用確認を推奨HIGH.NET / ASP.NET Core.NETが定例外の緊急更新。10月の修正不十分だった2件を再修正Microsoftが.NET 8／9／10と11 RC3の定例外セキュリティ更新を公開。CVE-2026-70197とCVE-2026-102870は10月13日の修正が不十分で、再修正が必要。修正版あり・悪用未確認HIGHTraefikTraefik ForwardAuthに認証混同の脆弱性。別ユーザーの接続で権限を引き継ぐ恐れTraefik ForwardAuthがNTLMやKerberosの接続単位認証を共有プールで処理する際、他ユーザーの認証済み接続を再利用する問題（GHSA-hrpp-p4fc-wwf8、HIGH・CVSS 7.0）。修正版あり・悪用未確認HIGHTraefikTraefikのIngressでmTLS認証が無効化。異なる設定のIngress混在に注意Traefik v3.7系のKubernetes Ingress NGINX providerで、同一ホストのIngress間でmTLS設定が競合するとクライアント証明書認証が無効化される問題（GHSA-p8wx-ph99-xgcr、HIGH・CVSS 7.0）。修正版あり・悪用未確認CRITICALHashiCorp consul-k8sConsul-k8sに重大なnamespace間の権限回避。コンポーネントACLの乗っ取りリスクHashiCorp consul-k8sで別namespaceのServiceAccountを使ってConsulコンポーネントのACL権限を取得できる恐れ（CVE-2026-110720、CVSS 9.9）。該当設定と修正版を解説。修正版あり・悪用未確認CRITICALKenerステータス監視Kenerに管理者認証回避。固定JWT秘密鍵が原因Kener 3.0.0以上4.1.10未満で秘密鍵が未設定の場合、固定のフォールバック鍵によってセッショントークンを偽造できる脆弱性（CVE-2026-116747、CVSS 9.2）。修正版あり・悪用未確認CRITICALOpenHands Software Agent SDKOpenHands Agent SDKに認証不要RCE。公開されたサンドボックスに重大リスクOpenHands Software Agent SDK 1.52.0未満で、DockerWorkspaceなどのサンドボックスエージェントサーバーが外部到達可能な場合に認証不要のコマンド実行につながるCVE-2026-112346（CVSS 9.3）。修正版あり・悪用未確認HIGHHashiCorp ConsulConsulのmTLS証明書APIに認可回避。秘密鍵取得となりすましの恐れHashiCorp Consulのサービスメッシュ証明書APIで、ACLトークンなしにキャッシュ済み証明書と秘密鍵を取得できるCVE-2026-105765。サービスのなりすましリスクと修正版を解説。修正版あり・悪用未確認HIGHHashiCorp ConsulConsulのHTTP APIに認証不要DoS。巨大リクエストでメモリ枯渇の恐れHashiCorp ConsulのHTTP APIで、認証確認前に大きなリクエストを読み込みメモリ枯渇を招くCVE-2026-105626。対象環境と修正版を解説。修正版あり・悪用未確認HIGHHashiCorp ConsulConsulのサービスメッシュ登録に権限回避の脆弱性。Envoy設定の改変リスクHashiCorp Consulのサービスメッシュ登録処理で権限を回避できるCVE-2026-105608（CVSS 8.8）。service write権限からmesh write権限が必要な設定操作に及ぶ条件と修正版を解説。修正版あり・悪用未確認HIGHGoogle Cloud Run MCPGoogle Cloud Run MCPに重大脆弱性。デプロイ用ソースコード流出の恐れCloud Run MCPのバケット所有者検証不備（CVE-2026-85297）により、デプロイ時のソースコードが攻撃者管理のCloud Storageバケットに送られる恐れ。修正版1.11.0と運用対策を整理。修正版あり・悪用未確認HIGHNetty tcnativeTLS通信でJavaサーバーが停止する恐れ。Netty tcnativeに脆弱性3件Netty tcnativeのTLS処理にCVE-2026-116539、CVE-2026-116540、CVE-2026-116541が公表。ネイティブTLSのメモリ破損や接続障害のリスクと2.0.84.Finalへの更新を整理。修正版あり・悪用未確認HIGHBandit (Elixir HTTP server)HTTP/2やWebSocketでサービス停止の恐れ。Elixir製WebサーバーBanditに複数の重大脆弱性Bandit 1.14.0でHTTP/2の受信制御・ヘッダー展開、HTTP/1.1のチャンク処理、WebSocketの断片化など複数のリソース枯渇問題が修正された。主要CVEと実務対応を整理する。修正版あり・悪用未確認CRITICALGoogle Cloud MCP Toolbox for DatabasesGoogle Cloud MCP Toolboxに重大脆弱性。認証なしでサーバーファイル流出・上書きの恐れGoogle Cloud MCP Toolbox for Databasesのcloud-storage連携にパストラバーサルと認可不備（CVE-2026-93328、CVSS 9.3）。影響範囲と1.5.0以降への更新、アクセス制限設定を解説。修正版あり・悪用未確認CRITICALhackney (Erlang HTTP client)Erlang HTTPクライアントhackneyに重大脆弱性。独自CAのTLS検証を回避される恐れhackneyの独自CA指定時に公開CAの証明書チェーンを受け入れる不備（CVE-2026-115693、CVSS 9.1）。影響バージョン、攻撃成立条件、4.9.0への更新を整理。修正版あり・悪用未確認CRITICALParse Server独自認証の検証処理が実行されない。Parse Serverに重大な認証回避脆弱性Node.js製バックエンドParse Serverで、AuthAdapterを継承した独自認証アダプターの検証処理が呼ばれず、任意の認証データが受け入れられる脆弱性（CVE-2026-116163、CVSS 9.1）。対象構成、修正版、緩和策を公式勧告から整理。修正版あり・悪用未確認HIGHStarman / Plack HTTP::Server::PSGIPerl系Webサーバーに2件の脆弱性。Starmanの応答混同とPlackのサービス停止リスクStarmanのHTTP応答混同（CVE-2026-115823）と、PlackのHTTP::Server::PSGIにおける巨大Content-Lengthによるサービス停止（CVE-2026-115825）が10月25日に公表。修正版、成立条件と運用上の確認事項を整理する。HIGHApache TomcatApache Tomcatに認証回避とHTTP/2の混同リスク。10月20日公表の2件を点検Apache Tomcatで、特定のJNDIRealm構成における認証回避（CVE-2026-101296）と、非同期ServletのHTTP/2処理における利用者間のリクエスト・レスポンス混同（CVE-2026-101356）が公表された。影響条件、修正版、確認事項を整理する。CRITICALYesWikiログイン不要で管理者乗っ取りも。YesWikiの公開APIに重大なSQLインジェクションYesWikiのBazar公開APIに認証不要のSQLインジェクション（CVE-2026-116207）。情報窃取やパスワード再設定キーの悪用による管理者アカウント乗っ取りの恐れ。影響版と修正版、確認事項を解説。HIGHASP.NET Core / .NET（Linux）更新しても直らない？ASP.NET CoreのLinux配布物に権限昇格の脆弱性MicrosoftがCVE-2026-114148（HIGH・CVSS 7.8）を公表。Linux向けASP.NET Core 8・9の一部tarballと.NET 8～11のソースビルド配布物に不適切な所有権情報が含まれる。影響条件、修正版、上書き更新では解消しない理由を解説する。CRITICALEcho (Go)認証を設定しても突破される？WebフレームワークEchoに重大脆弱性、修正版公開Go製WebフレームワークEchoのProxyミドルウェアに認証回避（CVSS 9.1）とWebSocket切断後のリソース残留によるサービス停止（CVSS 8.2）の脆弱性。共通の修正版v4.16.1／v5.4.1と対処を整理。修正状況は最新記事で確認HIGHBunNode.jsだけじゃない。Bunにも重大なBrotli脆弱性、v1.4.4への更新をBun 1.4.4がBrotliのメモリ破壊、危殆化した認証局の証明書問題、HTTP/3のQPACK増幅によるサービス停止リスクに対応。サーバー・開発環境での確認事項を整理する。修正状況は最新記事で確認CRITICALCollabora Online Built-in CODE Server更新済みでも侵入の痕跡は残る。Nextcloud内蔵Collaboraに重大脆弱性、CISAが悪用確認NextcloudのCollabora Online Built-in CODE Server（richdocumentscode）に認証不要のコマンド実行脆弱性CVE-2026-110447（CVSS 9.2）。CISAが悪用を確認。26.4.303以上への更新・アプリ削除と、既存Webシェルの調査が必要。悪用確認・修正版ありCRITICALPostizSNS運用ツールPostizに重大脆弱性3件。認証情報流出・ファイル窃取・なりすましの恐れPostizにCVE-2026-115931／115932／115933の重大脆弱性。サーバーの機密ファイル取得、セッショントークン偽造などの影響と修正版2.25.3を解説。修正版ありHIGHCraft CMSCraft CMSに重大脆弱性。管理画面の低権限ユーザーから秘密鍵漏えい・コード実行の恐れCraft CMSの低権限管理ユーザーから秘密鍵の漏えい、別経路での秘密鍵書き換え、コード実行につながる2件の脆弱性。影響範囲と修正版を公式情報から解説。修正状況は最新記事で確認HIGHundiciエラーを処理してもNode.jsが停止？HTTPライブラリundiciに重大脆弱性Node.jsのHTTP通信ライブラリundiciに、悪意あるHTTP応答によってプロセスが停止し得る脆弱性CVE-2026-109869。影響バージョン、修正版、対処を公式情報から解説する。修正状況は最新記事で確認CRITICALasVereinbase (WordPress)パスワードなしで管理者になりすませる？WordPress「asVereinbase」にCVSS 9.8の重大脆弱性会員管理プラグインasVereinbaseの1.1.8未満に認証回避の脆弱性CVE-2026-110956。管理者を含む任意ユーザーへのなりすましの恐れと対策を解説。修正版ありHIGHUser Profile Builder (WordPress)投稿者が編集者アカウントを作れる？WordPress「User Profile Builder」に権限昇格の脆弱性User Profile Builderの4.0.3以前で、投稿者以上が登録フォームの権限設定を悪用して編集者権限を得る恐れ。CVE-2026-115807の影響と修正版を解説。修正版ありHIGHCraft Commerce Mollie支払っていない注文が「決済済み」に？Craft Commerce Mollieに決済偽装の脆弱性Craft CommerceのMollie決済連携に、別の支払い情報を流用して未払い注文を決済済みにできるCVE-2026-115937。修正版4.4.3と売上照合の実務を解説。修正版ありCRITICALPrime Mover (WordPress)バックアップが攻撃の引き金に？WordPress「Prime Mover」にCVSS 9.8の重大脆弱性Prime Moverのバックアップ・移行処理で不正なコメントがPHPオブジェクトインジェクションにつながるCVE-2026-115806。修正版2.2.2をめぐる公式変更履歴と脆弱性DBの表記差も検証。2.2.2で修正表明・検証状況要確認HIGHMulterファイルを送るだけでサーバー停止？Node.jsのMulterに重大脆弱性、2.5.0へ更新をNode.jsのファイルアップロード処理に使われるMulterで、非同期fileFilterを利用する場合に認証不要の1リクエストでプロセスが停止し得る脆弱性CVE-2026-113872が公表された。影響条件、修正版2.5.0、運用担当者が確認すべき点を整理する。修正版ありCRITICALStorybook開発者のPCが狙われる。Storybookに緊急脆弱性、開発サーバーの起動に注意Storybookの開発サーバーにCritical 9.4とHigh 8.7の脆弱性。悪意あるWebサイトや同じネットワーク上の第三者を起点に、開発ファイルの改ざん、条件次第でコード実行の恐れがある。修正版と企業の点検事項を解説。修正版ありHIGHbody-parserExpress関連のbody-parserに重大脆弱性。認証不要の1リクエストでサーバー停止の恐れExpressなどで使われるbody-parserにHigh（CVSS 7.5）のDoS脆弱性。圧縮リクエストの末尾データが未捕捉例外を起こす可能性があり、修正版1.20.9／2.4.0への更新が必要だ。修正版ありCRITICALLaravelAPIトークンなしで他人になりすませる？Laravelの認証回避脆弱性、CVSS 9.2Laravelの標準TokenGuardに重大な認証回避の脆弱性CVE-2026-114509。特定のMySQL・MariaDB構成でAPIトークンを知らずに他ユーザーとして認証される恐れ。修正版と影響条件を整理。修正版ありHIGHNode.js自社のWebサイトは大丈夫？ Node.jsに脆弱性10件、担当者が確認すべき3つのことNode.jsが10件の脆弱性を修正。Brotliのリモートコード実行につながる問題などHighが4件。自社のシステムで使っているか、修正版へ更新できるか、委託先へ何を確認すべきかを整理する。修正状況は最新記事で確認