#ダッシュボード

本日の更新履歴

セキュリティレポート 2026/11/05

1. 第11版 16:28
   • 追加（カード）：OPNsense（ファイアウォール）の証明書自動取得プラグイン os-acme-client の OS コマンドインジェクション（CVE-2026-123025、MITRE の評価で 4.0 の 9.4、4.17.0 まで）。修正は 4.18 として開発ツリーに取り込み済みで、リリース日は未定。TrueNAS SCALE の middlewared の HA 認証バイパス（CVE-2026-123033、3.1 で 8.3）。修正版の 25.10.8 は未公開。iTerm2 の x-man-page: URL ハンドラの引数インジェクション（CVE-2026-123014、4.0 で 8.7、3.7.7beta2 で修正）。
   • 続報：一覧のみのカード（第10版）に、Wowza Streaming Engine の XXE（CVE-2026-123029、3.1 で 7.5、ベンダー評価は Critical、4.12.2 で修正）を追記した。
   • 変化なし：第10版までのカード（Kyverno、SHIRASAGI、Samsung Exynos、Edimax BR-6208AC、Apple WebKit、GLPI、Pocket ID、GPUStack、Yuxi、Mistral Vibe、Amazon EKS Network Policy Agent、tsParticles、Linksys、Nexus Repository 3、WPO365、Firecracker、PHP、Brotli、pgAdmin 4、Airbyte、Sogou、Rails、FreeRDP、Traefik、APT、GetPaid、Barracuda、WatchGuard、SEPPmail、DataGerry、Symfony、Yealink、bitcoinjs-lib、ESP-IDF、DeepSeek Harness ほか）に、新しい動きは見つからなかった。
   • KEV：照会（11/02〜11/05 07:30 UTC）は 2 件のまま。WordPress Core（CVE-2026-119977、11/03 追加、期限 11/06）と、Apple の CVE-2024-27834（11/04 追加、期限 11/18）。The Hacker News は、後者が情報窃取型マルウェアの配布に使われたと CISA が述べたと伝えるが、CISA のカタログは開いておらず、報道ベース・未確認として扱い、本文の評価には使っていない。
   • 確認した範囲：NVD の公開日（11/05 05:00〜07:30 UTC、日本時間 14:00〜16:30）は 41 件（受付 34、保留 7）。前回（05:30 UTC まで）より後に載った 7.0 以上は、iTerm2、OPNsense、Wowza、TrueNAS の 4 件。ほかの 7.0 以上は第10版で掲載済み（GiveWP、Motors、LiteSpeed Cache、netlify-okta-auth、Gogs）。載せなかったのは、7.0 未満の記録（Redux Framework の 2 件が 6.4、Customer Reviews for WooCommerce が 6.4、GodotSteam が 6.5、st-mems-android-linux-sensors-hal が 4.2）と、点数がまだ付いていない WordPress プラグインの 27 件（Dokan、CatFolders、FV Flowplayer、Essential Real Estate、WP Event Manager、Tutor LMS ほか）。後者は点数が付いたら見直す。更新日の照会（同じ時間帯、CRITICAL・3.1）は 0 件。取得は WebFetch の要約で、点数は要約の記載による。
   • 公告の確認：NVD の個別記録（CVE-2026-123025、123033、123014、123029）を API で開いた。TrueNAS のインパクトステートメント、OPNsense の GitHub プルリクエスト #5873、Wowza のドキュメントのページを開いた（いずれも要約による）。iTerm2 の GitLab コミットは NVD の参照先で、本文は開いていない。AWS のセキュリティ速報のフィードは、最新が 2026-170-AWS（11/04 21:53 UTC）のままで新着なし。
   • oss-security・JVN・GitHub Advisory・ZDI・MSRC：oss-security の 11/05 のページは「No messages for this day」と表示され、投稿の有無は判断できなかった。JVN の一覧は、最新が JVN#55454512（SHIRASAGI、11/05 14:00）と JVNVU#98354779（Siemens 製品のアップデート、11/05 09:00）のままで、第10版以降の新規なし。GitHub Advisory（reviewed・critical）の最新は 11/03 の @enspirit/elo のままで、11/05 の公開は見つからなかった。ZDI の公開フィードの最新は 11/04 の ZDI-26-874（Ashlar-Vellum Cobalt、7.8）のままで、必ず確認する製品に当たるものはない。11/03 の ZDI-26-867（Cisco Snort、9.8）は、前日までのレポートで扱った可能性があるが、確認していない。MSRC のフィードは、11/04 付けが Edge に取り込まれた Chromium の 24 件のみで、点数のないフィードのため個別には開いていない。
   • 今回見ていないもの：Ubuntu・Debian、Cisco・Fortinet・Palo Alto のフィード、osv、JPCERT/CC、CERT/CC、Project Zero、報道（tier D）のうち The Hacker News 以外は、今回の差分確認では見ていない。The Hacker News の 11/05 の記事は 2 件で、Apple の KEV の件と、OpenAI の検証パイプラインの発表（脆弱性情報ではない）だった。
   • タグ：当日の記録にタグが含まれていなかったため、本文全体から付け直した。製品名は上限 10 件のため、優先順（悪用確認済み、未修正で公開済み、CVSS 9 以上）で選び、Xen、Ruby on Rails、pgAdmin 4、FreeRDP、Traefik、Barracuda Email Security Gateway、Qihoo 360 D シリーズ、OPNsense、TrueNAS SCALE などは外した。
   • 未確認：OPNsense 4.18 のパッケージとしての配布状況と、悪用の有無。TrueNAS の 25.10.8 以外のリリース系統の修正版と、公開予定日。iTerm2 の 3.7.7beta2 以外の修正版（安定版）の公開状況。第10版までの未確認項目（Kyverno の公告の記載の食い違い、SHIRASAGI の悪用状況と認証の要否など）は、今回の確認範囲で新しい情報なし。
2. 第10版 14:28
   • 追加（カード）：Kubernetes のポリシー基盤 Kyverno の欠陥 21 件（CVE-2026-122302〜122323）。名前空間の管理者（テナント）が、他の名前空間やクラスタ全体のリソースを読み書きできる型が中心で、3.1 で 9.9 が 5 件（122303・122304・122310・122311・122313）、9.8 が 1 件（122302）、9.1 が 1 件（122321）。いずれも 1.19.2 で修正と NVD にある。SHIRASAGI（国内の CMS）の OS コマンドインジェクション（CVE-2026-118869、JVN 掲載の評価で 8.8、1.21.1 で修正）。一覧のみのカードを 1 つ追加した（DStarGateway の 9.2、GiveWP の 8.8、LiteSpeed Cache の 8.2、Motors プラグインの 8.1、fflate の 7.3 ほか）。点数なしのカードを 1 つ追加した（Samsung Exynos の 35 件超）。
   • 続報：なし。
   • 変化なし：第9版までのカード（Edimax BR-6208AC、Apple WebKit、GLPI、Pocket ID、GPUStack、Yuxi、Mistral Vibe、Amazon EKS Network Policy Agent、tsParticles、Linksys、Nexus Repository 3、WPO365、Firecracker、PHP、Brotli、pgAdmin 4、Airbyte、Sogou、Rails、FreeRDP、Traefik、APT、GetPaid、Barracuda、WatchGuard、SEPPmail、DataGerry、Symfony、Yealink、bitcoinjs-lib、ESP-IDF、DeepSeek Harness ほか）に、新しい動きは見つからなかった。
   • KEV：照会（11/02〜11/05 05:30 UTC）は 2 件のまま。WordPress Core（CVE-2026-119977、11/03 追加、期限 11/06）と、Apple の CVE-2024-27834（11/04 追加、期限 11/18）。
   • 確認した範囲：NVD の公開日（11/05 00:00〜05:30 UTC、日本時間 11/05 09:00〜14:30）は 85 件。応答が約 25 万文字あり、3 回に分けて読んだ。区切りで途切れた記録が 2 件あり（1 件は ID を読めない Samsung Exynos の記録で、点数なし）。7.0 以上で載せたのは上の系統。載せなかったのは、Campcodes の Bitcoin Wallet System（122049、3.7）、laspy（122052、5.3）、Yank Note（122154・122157、各 5.5・6.3）、AI 関連の Audio8_TTS・AIlice・KnowledgeGraphEmbedding・ppl.nn（各 6.3）など、7.0 未満の記録。更新日の照会（同じ時間帯、CRITICAL・3.1）は 8 件で、Edimax（第9版で掲載済み）と Kyverno の 7 件（122302・122303・122304・122310・122311・122313・122321）。取得は WebFetch の要約で、点数は要約の記載による。
   • 公告の確認：NVD の個別記録（CVE-2026-122302、122303、122146）を API で開いた。Kyverno の GitHub 公告（GHSA-jcw5-3wcg-fqx5、122303 に対応）と、リリースの v1.19.2 のページを開いた。JVN#55454512（SHIRASAGI）のページを開いた。ほかの Kyverno の記録（19 件）と一覧のみのカードの点数は、一覧の記載による。AWS のセキュリティ速報のフィードは、先頭が 2026-170-AWS のままで新着なし。
   • oss-security・JVN・ZDI・JPCERT/CC・GitHub Advisory：oss-security は 11/05 の投稿がまだなく、最新は 11/04 の 12 件目（apt の DSA 6607-1）のまま。JVN の一覧には、JVN#55454512（SHIRASAGI、11/05 14:00）と JVNVU#98354779（Siemens 製品のアップデート 2026年11月、11/05 09:00）が加わった。後者は本文を開いておらず、載せていない。ZDI の公開フィードの最新は 11/04 の ZDI-26-874（Ashlar-Vellum Cobalt、7.8）で、MailEnable の ZDI-26-869（7.4）も見たが、基準に届かないか必ず確認する製品の外のため載せていない。JPCERT/CC は 11/05 09:52 の週次報告のタイトル（Edge、Sophos UTM、Cisco Secure Firewall ASA・FTD、Jenkins、WordPress、Adobe、ヤマハ NWR100、WatchGuard ほか）のみを見て、本文は開いていない。GitHub Advisory（reviewed・critical）の最新は 11/03 の Elo（@enspirit/elo）で、11/05 の新規は見つからなかった。
   • 今回見ていないもの：MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto のフィード、osv、Project Zero、CERT/CC、報道（tier D）は今回の差分確認では見ていない。
   • タグ：当日の記録にタグが含まれていなかったため、本文全体から付け直した。製品名は上限 10 件のため、優先順（悪用確認済み、未修正で公開済み、CVSS 9 以上、AI 関連）で選び、pgAdmin 4、Traefik、Mistral Vibe、Barracuda、FreeRDP、Qihoo 360、WPO365、Nexus Repository、GLPI、Pocket ID、Yuxi、SHIRASAGI などは外した。
   • 未確認：Kyverno の修正版について、GHSA-jcw5-3wcg-fqx5 のページは「Patched versions 1.19.2」と「Fix status: not fixed（1.19.1 と HEAD も未修正）」を併記しており、記載が一致しない。NVD は 1.19.2 を影響なし（unaffected）と書き、リリース v1.19.2 のページは 24 件の GitHub 公告に対応するセキュリティリリースと書く。公告は 1.17.0 の同じ経路の到達性を未確認とする一方、NVD は 1.17.0 以上を影響ありとする。リリースの日付は 10/20 23:50 と読めるが、ページに年の表記はない。SHIRASAGI の悪用状況と、攻撃に認証が要るかどうか。第9版までの未確認項目は、今回の確認範囲で新しい情報なし。
3. 第9版 09:28
   • 追加（カード）：Edimax BR-6208AC（ルーター）の /goform/mp に、コマンドインジェクションが見つかった件（CVE-2026-122051、3.1 で 10.0・4.0 で 9.3）。PoC は公開済みで、ベンダーは連絡に応じていないと NVD にあり、修正版の記載もない。一覧のみのカード（第8版）の Campcodes に、CVE-2026-122050（3.1 で 7.3）を追記した。
   • 続報：なし。
   • 変化なし：第8版までのカード（Apple WebKit、GLPI、Pocket ID、GPUStack、Yuxi、Mistral Vibe、Amazon EKS Network Policy Agent、tsParticles、Linksys、Nexus Repository 3、WPO365、Firecracker、PHP、Brotli、pgAdmin 4、Airbyte、Sogou、Rails、FreeRDP、Traefik、APT、GetPaid、Barracuda、WatchGuard、SEPPmail、DataGerry、Symfony、Yealink、bitcoinjs-lib、ESP-IDF、DeepSeek Harness ほか）に、このほかの新しい動きは見つからなかった。
   • KEV：照会（11/02〜11/05 00:30 UTC）は2件のまま。WordPress Core（CVE-2026-119977、11/03 追加、期限 11/06）と、Apple の CVE-2024-27834（11/04 追加、期限 11/18）。
   • 確認した範囲：NVD の公開日（11/04 23:20〜11/05 00:30 UTC、日本時間 11/05 08:20〜09:30）は 3 件。Edimax の 122051 のほか、Campcodes の Bitcoin Wallet System（122049、3.1 で 3.7）と、Campcodes の Complete Sales and Inventory System（122050、3.1 で 7.3）。載せなかったのは 122049 のみ。更新日の照会（同じ時間帯、CRITICAL・3.1）は Edimax の 1 件のみ。取得は WebFetch の要約で、点数は要約の記載による。
   • 公告の確認：NVD の個別記録（CVE-2026-122051）を開いた（要約による）。VulDB のページと GitHub の PoC リポジトリは NVD の参照先で、本文は開いていない。AWS のセキュリティ速報のフィードは、先頭が 2026-170-AWS のままで新着なし。
   • oss-security・JVN：oss-security は 11/05 の投稿がまだなく、最新は 11/04 の 12 件目（apt の DSA 6607-1）のまま。JVN の一覧には、JVNVU#98354779（Siemens 製品のアップデート 2026年11月、日付は 11/05 09:00 と表示）が加わった。本文は開いておらず、載せていない。第8版以降のほかの新規はなし。
   • 今回見ていないもの：ZDI、JPCERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto のフィード、GitHub Advisory、osv、報道（tier D）は今回の差分確認では見ていない。
   • タグ：当日の記録にタグが含まれていなかったため、本文全体から付け直した。製品名は上限10件のため、優先順（悪用確認済み、未修正で公開済み、CVSS 9 以上、AI 関連）で選び、pgAdmin 4、FreeRDP、AWS Firecracker、Amazon EKS Network Policy Agent、Traefik、GLPI、Pocket ID、Yuxi、tsParticles などは外した。
   • 未確認：Edimax BR-6208AC の修正版（記載なし）と、PoC の中身。JVNVU#98354779 の内容。第8版までの未確認項目は、今回の確認範囲で新しい情報なし。
4. 第8版 08:28
   • 追加（カード）：Apple の WebKit と OS 各製品の CVE-2024-27834（Pointer Authentication の回避、3.1 で 5.5）。CISA が 2026/11/04 に KEV へ加え、期限は 11/18。公開は 2024年5月で、修正は当時すでに出ている。点数は低いが、悪用確認済みのため緊急に分類した。GLPI（IT 資産管理）の、ログイン途中の細工した URL で OTP 検証を飛ばせる件（CVE-2026-52848、4.0 で 9.2、11.0.8 で修正）。Pocket ID（パスキー認証の OIDC プロバイダ）の、メールアドレスを変えても確認トークンが無効にならない件（CVE-2026-115770、3.1 で 9.6、2.12.0 で修正）。一覧のみのカードを1つ追加した（Samba の CVE-2026-4408 が 9.8、VitaFit の SNS ログイン API が 9.8、GLib・GnuTLS の更新、Dulwich・radare2・VeraCrypt ほか）。
   • 続報：@tsparticles/mcp-server に、不正な JSON 1件でプロセスが落ちる別件（CVE-2026-76892、4.0 で 8.7、4.3.1 で修正）が加わった。同じ製品のリリース用ワークフローの件（CVE-2026-76826、7.5）は一覧のみのカードに入れた。VitaFit は、第7版の一覧のみのカードにある件とは別に、SNS ログイン API（54384、9.8）ほか3件が載った。
   • 変化なし：第7版までのカード（GPUStack、Yuxi、Mistral Vibe、Amazon EKS Network Policy Agent、Linksys、Nexus Repository 3、WPO365、Firecracker、PHP、Brotli、pgAdmin 4、Airbyte、Sogou、Rails、FreeRDP、Traefik、APT、GetPaid、Barracuda、WatchGuard、SEPPmail、DataGerry、Symfony、Yealink、bitcoinjs-lib、ESP-IDF、DeepSeek Harness ほか）に、このほかの新しい動きは見つからなかった。
   • KEV：照会（11/01〜11/04 23:30 UTC）は2件。WordPress Core（CVE-2026-119977、11/03 追加、期限 11/06）と、Apple の CVE-2024-27834（11/04 追加、期限 11/18）。第7版の照会（22:30 UTC まで）では1件だった。Apple の NVD の記録は 11/04 21:17 UTC の更新となっており、第7版で見えなかった理由は確認していない。
   • 確認した範囲：NVD の公開日（11/04 22:30〜23:30 UTC、日本時間 11/05 07:30〜08:30）は 23 件。7.0 以上で載せたのは上の系統（GLPI の3件、Pocket ID、tsParticles、Dulwich、radare2、VeraCrypt、VitaFit の4件、Campcodes ほか3件）。載せなかったのは、Webmin の SSRF（CVE-2026-102337、4.9）、Nstbrowser（122028、4.3）、GLPI の 53631（5.3）、Wazuh（62365、5.3）、ezBookkeeping（86041、5.3）、Open edX（97702、5.3）。Pocket ID の CVE-2026-62662 は NVD の一覧に 3.0 の 7.7 しかなく、4.0・3.1 の点数が付くまで基準外とし、一覧のみのカードに入れた。更新日の照会（同じ時間帯、CRITICAL・3.1）は 11 件。読めたのは 9 件で、新しい公開は無く、古い CVE の更新が中心（youlai-boot、Blood Bank Management System、Undertow の3件、GnuTLS の2件、Samba の CVE-2026-4408、GLib の CVE-2026-58016）。応答の末尾約 1.9 万文字は読めていない。このうち Samba・GLib・GnuTLS は Linux の標準部品のため、一覧のみのカードに載せた。ほかは古い件のため載せていない。取得は WebFetch の要約で、点数は要約の記載による。
   • 公告の確認：NVD の個別記録（CVE-2024-27834、2026-52848、115770、76892、4408）を API で開いた。GLPI（GHSA-hgr8-qvp5-mhch）、Pocket ID（GHSA-rm8c-2cv8-jwf6）、tsParticles（GHSA-4p8p-pjpq-2w7h）の GitHub 公告と、Apple の公告、CISA のカタログは NVD の参照先で、本文は開いていない。GLPI の 47678・57152、一覧のみのカードの点数は一覧の記載による。AWS のセキュリティ速報の一覧は、先頭が 2026-170-AWS のままで新着なし。
   • oss-security・JVN：oss-security は 11/05 の投稿がまだなく、最新は 11/04 の 12 件目（apt の DSA 6607-1）のまま。JVN の最新は 11/04 16:00（Hinemos）で、第7版以降の新規なし。
   • 今回見ていないもの：ZDI、JPCERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto のフィード、GitHub Advisory、osv、報道（tier D）は今回の差分確認では見ていない。
   • タグ：当日の記録にタグが含まれていなかったため、本文全体から付け直した。製品名は上限10件のため、優先順（悪用確認済み、未修正で公開済み、CVSS 9 以上、AI 関連）で選び、AWS Firecracker、Amazon EKS Network Policy Agent、Nexus Repository、WPO365、Traefik、Barracuda、GLPI、Pocket ID、Yuxi、tsParticles などは外した。
   • 未確認：Apple の公告本文と、悪用の経路（NVD の参照先に Sekoia の記事があるが、この CVE との対応は未確認）、GLPI の 47678・57152 の影響範囲と修正版、Pocket ID の 62662 の影響範囲、Samba の修正版のうち RHEL 以外、VitaFit・Dulwich・radare2・VeraCrypt の修正版、GPUStack の 103002 の影響範囲と修正版。第7版までの未確認項目は、今回の確認範囲で新しい情報なし。
5. 第7版 07:28
   • 追加（カード）：GPUStack（AI モデルの配信・GPU クラスタ管理）の、認証なしで管理者になれる件（CVE-2026-102895、3.1 で 9.8。ほか SAML 検証の欠落 102894 が 9.1、Kubernetes プロキシの認可欠落 103002 が 8.8）。NVD の記載には、2.1.1 の環境で実際の悪用も確認されたとある。Yuxi（LLM エージェント開発基盤）の、サンドボックスから他テナントへ届く件（CVE-2026-97693、3.1 で 9.9、0.7.1 で修正）。Mistral Vibe（AI コーディングツール）の、細工した Git リポジトリを開くだけでコマンドが動く件（CVE-2026-122133〜122135、3.1 で 8.8、2.25.7 で修正）。Amazon EKS Network Policy Agent の、NetworkPolicy の ingress 制御を回避される件（CVE-2026-122266、AWS の重要度は Important、3.1 で 8.7・4.0 で 6.3、VPC CNI 1.22.3・Agent 1.3.7 で修正）。@tsparticles/mcp-server（MCP サーバー）の、ボディ無制限によるサービス停止（CVE-2026-63655、3.1 で 7.5、4.3.1 で修正）。一覧のみのカードを2つ追加した。9.0 以上は IBM Watson Speech Services Cartridge（9.8）、vtenext（9.8）、Comfast CF-WR632AX（10.0）、VitaFit（9.6）、Readest（9.3）。7.0〜8.9 は Telepresence、IBM MQ、ProxySQL、Traccar、SumatraPDF、WebVirtCloud、h2o、ipfixcol2、Dinky ほか。
   • 続報：なし。第6版のカードに新しい動きは見つからなかった。
   • 変化なし：第6版までのカード（Linksys、Nexus Repository 3、WPO365、Firecracker、PHP、Brotli、pgAdmin 4、Airbyte、Sogou、Rails、FreeRDP、Traefik、APT、GetPaid、Barracuda、WatchGuard、SEPPmail、DataGerry、Symfony、Yealink、bitcoinjs-lib、ESP-IDF、DeepSeek Harness ほか）。KEV の新規は、11/01 以降の追加分で WordPress Core（CVE-2026-119977、期限 11/06）の1件のまま。
   • 確認した範囲：NVD の公開日（11/04 20:30〜22:30 UTC、日本時間 11/05 05:30〜07:30）は 98 件。応答が約 28 万文字あり、3回に分けて読んだ。区切りで途切れた記録が1件あり（nvm の1件は ID を読めず、点数は低いと読める）、点数を確認できていない。7.0 以上で載せたのは上の系統。載せなかったのは、7.0 未満の記録で、vtenext の XSS・CSRF、IBM Db2 Genius Hub の 10 件（最大 6.5）、draw.io、Joi、go-chi/chi、nvm の 7 件、powerlevel10k、Jan、npcpy（CVE-2026-122014 は 3.1 で 6.3。AI 関連だが基準未満）など。更新日の照会（同じ時間帯、CRITICAL・3.1）は 11 件で、新しい公開は vtenext、Comfast、Watson、VitaFit の4件（上のとおり）。ほかは古い CVE の更新（X.Org の CVE-2023-6816、Quarkus の 2023-6267、xz の CVE-2024-3094、ChanCMS、Umbraco、Undertow）と、libsoup の CVE-2026-102560（9月公開、NVD 9.8・Red Hat 8.6）で、載せていない。libsoup は 11/02 のレポートの概要欄に名前が出ており、今回は個別記録を開いていない。KEV の照会（11/01〜11/04 22:30 UTC）は1件のまま。
   • 公告の確認：AWS のセキュリティ速報（2026-170-AWS）を開いた。NVD の個別記録（CVE-2026-122266、102895、102894、122134、63655、97693）を API で開いた。GPUStack・Mistral・tsParticles・Yuxi の GitHub 公告とリリース、VulnCheck の記事は NVD の参照先で、本文は開いていない。122133・122135、103002、76893 と、一覧のみのカードの点数は一覧の記載による。「悪用確認済み」（GPUStack）は NVD に転記された公告の文言によるもので、経路や規模の記載はない。
   • oss-security・JVN：oss-security の 11/04 分の一覧（12件）と JVN の一覧を見た。JVN は第6版以降の新規なし。oss-security は、第6版までに載せた件（apt、Rails ほか）に加え、GodotSteam 4.17〜4.23.2（修正版の記載なし）、Data::MuForm 0.05 まで（修正版の記載なし）、libtar の CVE-2021-33643・33644 の修正が不完全との報告、Apache Juneau 9.2.1、OFBiz、glibc の更新が並ぶ。件名のみで本文は開いておらず、点数も無いため載せていない。Node.js の事前告知は継続。
   • 今回見ていないもの：ZDI、JPCERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto のフィード、GitHub Advisory、報道（tier D）は今回の差分確認では見ていない。
   • タグ：当日の記録にタグが含まれていなかったため、本文全体から付け直した。製品名は上限10件のため、優先順で選び、Nexus Repository、WPO365、Traefik、Barracuda、WatchGuard、SEPPmail、Xen、Yuxi、tsParticles、cryptography、Symfony、Yealink などは外した。
   • 未確認：GPUStack の 103002 の影響範囲と修正版（102894 は 2.2.2、102895 は 2.2.0 とあり、2.2.2 以降なら 2 件とも範囲外）、Mistral Vibe の 2.25.7 が修正版であること（範囲の上限からの読み取り）、tsParticles 4.3.1 と Yuxi 0.7.1 の公告本文、一覧のみのカードの修正版、AWS 速報の公開時刻の表記ゆれ（「11/04/2026 13:30 PM PST」）。第6版までの未確認項目は、今回の確認範囲で新しい情報なし。
6. 第6版 05:28
   • 追加（カード）：Sonatype Nexus Repository 3 Pro の、無効化・ロックしたアカウントが SAML・OIDC で再ログインできる件（CVE-2026-113373、4.0 で 9.1、3.86.0 以上 3.98.0 未満）。同じ日に公開された同製品の Rut Auth の認可不備（113374、8.6）ほか5件も同じカードにまとめた。WordPress プラグイン WPO365 | LOGIN の SAML リプレイ防止の不備（CVE-2026-122220、4.0 で 9.1・3.1 で 7.4、45.2 未満）。AWS Firecracker の、失敗したメモリ破棄の後にゲストがプロセスのメモリへ触れる件（CVE-2026-122192、AWS の重要度は Important、4.0 で 7.1・3.1 で 7.5、1.16.2・1.17.0 で修正）。一覧のみのカードに moleculer（Node.js のマイクロサービス基盤、CVE-2026-97705、3.1 で 7.5）を追加。
   • 続報：Linksys E5350 に、セットアップウィザードの認証が欠けている別件（CVE-2026-121933、3.1 で 10.0）が加わった。PoC は公開済みで、ベンダーは連絡に応じていないと NVD にある。
   • 変化なし：第5版までのカード（PHP、Brotli、pgAdmin 4、Airbyte、Sogou、Rails、FreeRDP、Traefik、APT、GetPaid、Barracuda、WatchGuard、SEPPmail、DataGerry、Symfony、Yealink、bitcoinjs-lib、ESP-IDF、DeepSeek Harness ほか）に新しい動きは見つからなかった。KEV の新規は、11/01 以降の追加分で WordPress Core（CVE-2026-119977、期限 11/06）の1件のまま。
   • 確認した範囲：NVD の公開日（11/04 19:30〜20:30 UTC、日本時間 11/05 04:30〜05:30）は 14 件。7.0 以上で載せたのは上の系統。載せなかったのは、Sonatype の 113368（5.3）・113369（6.3）、Zulip の 2件（115474 は 6.5、115574 は 5.3）、solidtime（76806、6.3）。更新日の照会（同じ時間帯、CRITICAL・3.1）は Linksys の 121933 の1件のみ。KEV の照会（11/01〜11/04 20:30 UTC）は1件のまま。一覧は WebFetch の要約による。
   • 公告の確認：AWS のセキュリティ速報（2026-169-AWS）を開いた。NVD の個別記録（CVE-2026-122192、113373、113374、122220）を API で開いた。Sonatype の公告、Firecracker の GitHub 公告、WPO365 の変更履歴と VulnCheck の記事は NVD の参照先で、本文は開いていない。121933、113370〜113372、97705 の点数は一覧の記載による。
   • 今回見ていないもの：ZDI、JPCERT/CC、JVN、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto のフィード、GitHub Advisory、oss-security、報道（tier D）は今回の差分確認では見ていない。
   • タグ：当日の記録にタグが含まれていなかったため、本文全体から付け直した。製品名は上限10件のため、優先順で選び、Traefik、Nexus Repository、WPO365、Barracuda、WatchGuard、SEPPmail、Xen、cryptography、Symfony、Yealink などは外した。
   • 未確認：Nexus 3.98.0 が修正版であること（範囲の上限と参照先のリリースノートからの読み取り）、Nexus の 113370〜113372 の影響範囲、WPO365 の 45.2 の公開状況、Linksys E5350 の修正版。第5版までの未確認項目は、今回の確認範囲で新しい情報なし。