本文へ移動

#セキュリティレポート 2026/10/30

更新履歴（2026年10月30日）

レポート作成日時：2026/10/30 00:43（第1版）｜最終更新日時：2026/10/30 04:28（第5版）

主な変更

  • 第5版 04:28追加（表）：ServiceNow AI Platform の CVE-2026-103093（管理者ロールからホスト OS でのコード実行、9.4）と CVE-2026-103094（7.1）。ZDI が 10/29 に公開した MLflow の8件のうち 7.0 以上の4件（ZDI-26-843・844・845・847）。HashiCorp Nomad の CVE-2026-119168（シンボリックリンク追跡、8.8。修正版 2.1.0）。Node.js の forge（CVE-2026-118779・118782）と joi（CVE-2026-118772）の各 7.5。NVD への登録は ServiceNow・forge・joi・Nomad が 10/29 19:17 UTC（日本時間 10/30 04:17）で、第4版の後に出た。変化：Nomad は第4版の CVE-2026-107347 とは別の件で、同じ日に 119168 が加わった。CISA KEV の新しい追加はない（直近4件は Linux カーネル・ESX・Adobe Commerce・Brotli で、10/27・10/28 付）。AWS は 2026-156-AWS が最新のまま。JVN の最新は 10/29 12:00 の Apache Struts 2 REST プラグインで、新着はない。第4版までの項目の点数・修正版に、ほかの変更は確認できていない。見送り：Ubiquiti WiFiman Desktop for macOS（7.8・7.5）と、画像処理ライブラリ vtk の7件（最大 8.2）は、読者企業の基盤から外れるため載せていない。ZDI の MLflow の残り4件（5.4〜6.8）と node-glob（6.3）も基準外。取得できず：GitHub Advisory の一覧は検索結果が空で読めず、Agno・open の「修正版」欄の再確認はできていない。NVD は 10/29 18:29〜19:28 UTC の公開分だけを読み、更新日ベース（nvd-modified）は今回見ていない。OSV・Cisco・Fortinet・Palo Alto・MSRC・Ubuntu・Debian・Red Hat も確認していない。ServiceNow の公告（KB3228994）と HashiCorp の公告（HCSEC-2026-53）は開けておらず、NVD の記載による。タグ：get_report がタグを返さなかったため、第5版でも本文全体から付け直した。10件の上限のため、products は ServiceNow AI Platform・forge・Kubeflow Pipelines を入れていない。
もっと見る（過去の版 4件）閉じる
  • 第4版 03:29追加（表）：HashiCorp Nomad（コンテナなどの実行を管理する基盤）の CVE-2026-107347（8.4）。Botan（暗号ライブラリ）の CVE-2026-118769（9.2）。どちらも NVD への登録が 10/29 18:17 UTC（日本時間 10/30 03:17）で、第3版の後に出た。変化：CISA KEV の新しい追加はない（直近4件は 10/27・10/28 で掲載済み）。AWS は 2026-156-AWS が最新のまま。ZDI は 10/28 公開分まで、JVN の最新は 10/29 12:00 の Apache Struts 2 REST プラグインで、新着はない。第3版までの項目の点数・修正版に、ほかの変更は確認できていない。見送り：agent-zero（CVE-2026-51851）、DB-GPT（51863）、SuperAGI（51902・51903・51905）、XAgent（51912）はパストラバーサルや組織をまたぐ情報漏えいだが、点数が付いておらず、載せていない。点数が付けば再確認する。Botan の他3件（6.1・5.9・4.8）と CPython の 5.3 も基準外。取得できず：NVD の更新日ベース（233件）は先頭の約10万字だけ読み、残りは未読。OSV・Cisco・Fortinet・Palo Alto・MSRC・Ubuntu・Debian は今回確認していない。HashiCorp と Botan のベンダー公告は開けておらず、NVD の記載による。タグ：get_report がタグを返さなかったため、第4版でも本文全体から付け直した。10件の上限のため、前版で入れていた可能性のある Microsoft Edge は products から外した。
  • 第3版 02:28追加（カード）：AWS Private CA Connector for Kubernetes（EKS の証明書発行まわり。CVE-2026-119115、NVD 8.5）。AWS の公告 2026-156-AWS は日本時間 10/30 01:30 の公開で、第2版の1分後だった。Progress WS_FTP Server（Windows のファイル転送サーバー。CVE-2026-84295 の 10.0 を含む6件が 9.0 以上）。Frappe Framework（Python の業務アプリ基盤。CVE-2026-119145、9.9）。追加（表）：WordPress のテーマ24件・プラグイン3件の 9.8〜10.0（PHP オブジェクトインジェクション等）。WordPress の 7.1〜8.5 の追加分。Microsoft Edge の 7.4〜8.8（10件）。minimatch（npm、8.7）。sigstore-js（7.4）。Kubeflow Pipelines（7.5、3件）。変化：Seroval の GHSA-7rv5-mrxv-xcr9 に修正版 1.6.8 を確認した（GitHub の評価は 7.3）。Agno と open は GitHub アドバイザリの「修正版」欄が Unknown のまま。第2版の項目の点数・修正版に、ほかの変更は確認できていない。CISA KEV の新しい追加はない（直近4件は 10/27・10/28）。ZDI・JVN にも新着はない。AWS は 2026-156-AWS が最新。見送り：Monkeytype の CI 設定（9.3）、Botan（7.3）、Rapid7 Insight Agent（7.8）、FlexNet Publisher、Centreon、Szafir は、読者企業の基盤から外れるため載せていない。点数のない Android アプリ17件も載せていない。取得できず：NVD の 10/29 16:00〜17:30 UTC 公開分（約40万字）は要約を通して読んだため、取りこぼしがありうる。更新日ベース（nvd-modified）、GitHub・OSV の一覧、Cisco・Fortinet・Palo Alto・MSRC・Ubuntu・Debian は今回確認していない。WS_FTP のベンダー公告（Progress の知識ベース）は開けず、NVD の記載による。タグ：get_report がタグを返さなかったため、第3版でも本文全体から付け直した。10件の上限のため、ZITADEL・Kubeflow Pipelines は products に入れていない。
  • 第2版 01:29追加（カード）：IBM Langflow OSS（AI ワークフロー基盤）。IBM の公告3本（10/19・10/28 付）に、認証なしの OS コマンド実行 9.8、認証済みユーザーからのコード実行 9.9 などが並ぶ。NVD への登録が 10/29 16:17 UTC（日本時間 10/30 01:17）で、第1版の後に出た。Crawl4AI（Python の LLM 向けクローラー、Docker サーバー版に 8.7・8.3・7.7）も追加。追加（表）：ZITADEL（9.1・8.6 を2件）、OpenText Advanced Authentication Server（9.2）、RT-Labs P-Net（産業用通信、最大 9.3）、WordPress プラグインの PHP オブジェクトインジェクション（7.2〜8.8、18件）、Microsoft .NET・ASP.NET Core（7.8）。変化：CISA KEV の新しい追加はない（直近は 10/27・10/28 の4件で、掲載済み）。AWS の最新公告は 2026-155-AWS（10/28）のまま。JVN・ZDI の新着もなし。第1版の項目に、修正版や点数の変更は確認できていない。見送り：Langflow の低・中（6.5 以下）、Parse Server（3.1 以下）、Wasmtime（7.0 未満）、KeePassXC・ImageMagick（今回の基準外）、ZDI の Valkey（ZDI-26-833、8.8）は10/29 までの掲載有無を確認できていない。取得できず：MSRC の個別ページは本文が取れず、.NET の修正版は NVD の記載による。今回は NVD・CISA KEV・GitHub・AWS・ZDI・JVN のみ確認し、OSV・Cisco・Fortinet・Palo Alto・Ubuntu・Debian は見ていない。NVD の 10/29 15:00〜16:30 UTC 公開分は約35万字のうち前半20万字までで、末尾約15万字は未読。タグ：get_report がタグを返さなかったため、第2版でも本文全体から付け直した。
  • 第1版 00:43追加（カード）：Agno の PandasTools（9.2）、vLLM の2件（8.1・7.5）、npm の open（7.7）。追加（表）：llama.cpp の ggml-rpc（8.7）、Seroval・systeminformation（GitHub の評価 High）、oapi-codegen、Elastic Cloud Enterprise、OpenEMR、WordPress プラグインの高、FreeMail、flat、Python-Markdown。いずれも NVD または GitHub アドバイザリの値。変化：CISA KEV に新しい追加はない（確認できた6件は PHP2Shell の2件・Fragnesia・Adobe Commerce・Brotli・ESX で、10/29 までに掲載済み）。AWS の最新公告は 2026-155-AWS（10/28）のまま。ZDI は10/28 公開分までで、10/29 付の追加はない。JVN の新着はヤマハ・Apache Struts・PHP で、掲載済み。見送り：ZDI の Alpine iLX-F511（Pwn2Own の 0day、最大 8.8）、Electrum（GitHub の評価 Critical、暗号資産ウォレット）、Mem0 の他利用者の会話が見える欠陥（Moderate）、GROWI（JVN、最大 6.9）、Keycloak（6.8）、dnsmasq（6.8 以下）は載せていない。取得できず：OSV、Cisco、Fortinet、MSRC、CISA の公告一覧は今回確認していない。NVD の10/29 11:30 UTC 以降の新規公開115件は約27万字のうち前半を読み、末尾の約7万字は未読。更新分（556件）は先頭の約10万字のみで、点数が付いた項目が残っている可能性がある。個別の CVE ページは本文が取れず、修正版は GitHub アドバイザリの記載による。Web 検索はフックの制限で使えなかった。タグ：get_report がタグを返さなかったため、前日分は引き継げていない。今回の本文から付け直した。

レポート作成日時：2026/10/30 00:43｜最終更新日時：2026/10/30 04:28｜対象期間：2026/10/29 00:00〜2026/10/30 04:28（日本時間。NVD は UTC で 10/28 15:00〜10/29 19:28）。第5版は、第4版（03:29）以降の差分が中心

認証なしで 10.0 の WS_FTP と、WordPress の 9.8 が27件。ServiceNow の 9.4 と MLflow の ZDI 公開も加わった

第5版（04:28）で増えたのは、表の4項目だった。ServiceNow AI Platform（業務ワークフローの SaaS 基盤）では、管理者ロールのユーザーがサンドボックスを抜けてホスト OS でコードを動かせる欠陥（CVE-2026-103093）に、登録元の ServiceNow が 9.4 を付けた。ZDI は 10/29 に MLflow（機械学習の実験管理ソフト）の8件を公開し、7.0 以上の4件に 3.17.0 までの修正が出ている。HashiCorp Nomad（コンテナなどの実行を管理する基盤）には、第4版とは別に、シンボリックリンク追跡の CVE-2026-119168（8.8）が出て、2.1.0 で修正された。Node.js の forge と joi には、停止につながる 7.5 が加わった。第4版までの内容は変わらない。Progress WS_FTP Server（Windows のファイル転送サーバー）は、認証なしで管理者の認証情報に届く CVE-2026-84295 が 10.0 で、ほかに 9.0 以上が5件ある。WordPress は、テーマ24件・プラグイン3件に 9.8〜10.0 が付いた。AWS は、cert-manager 用の aws-privateca-issuer（EKS アドオン）に認可の不備を公表し、v1.10.1 で修正している。CISA の悪用確認の新規追加はなく、Langflow などにも変化はない。

重大度別の件数

緊急（9.0以上）46

Langflow 6件・Agno（カード）、WS_FTP 6件・Frappe（カード）、表に WordPress テーマ・プラグイン27件、ServiceNow・Botan・OpenText・P-Net・ZITADEL（報告者・CNA の評価を含む）

高（7.0〜8.9）106

Langflow 11件・Crawl4AI 3件・vLLM 2件・open・AWS Private CA Connector（カード）。表に WordPress、Microsoft Edge 10件、Kubeflow 3件、MLflow 4件、Nomad 2件、forge・joi、ServiceNow、minimatch、sigstore-js、P-Net、ZITADEL、.NET など

点数なし0

今回の新規はなし。Seroval の一部・systeminformation は GitHub の評価のみで、点数は未確認

悪用確認済み0

新規の追加はない。10/29 までの掲載分は、その日のレポートを参照

今日やること3つ

  1. Langflow を使っているなら、1.13.0 以上へ更新する。社外から届く環境は今日中に着手したい。更新前に、MCP の stdio 機能を使っているかを確認し、使っている場合は設定の追加も要る（カード参照）。過去にフローをエクスポートしたファイルに認証情報が残っていれば、失効・再発行する。
  2. EKS で cert-manager と aws-privateca-issuer を使っているなら、v1.10.1 へ更新する。先に、CertificateRequest・Certificate・Ingress の issuerRef.kind が明示されているかを洗い出す。指定がないと、更新後に発行が失敗し、期限切れで止まる。Agno は版と PandasTools の有効化を確認し、vLLM は 0.32.0 以上、Crawl4AI の Docker サーバー版は 0.9.5 以上、MLflow は 3.17.0 以上へ。
  3. WordPress は、表に挙げたテーマ・プラグイン（AjaxLoadMore Cache 10.0、GEO my WordPress、Zoho Flow、各テーマ 9.8）を使っていないか、全サイトで棚卸しする。Progress WS_FTP Server（Windows）を使っているなら、2024.0.6・2025.0.3 より前かを確認し、管理者のパスワードを変える。Frappe は 15.121.0・16.34.0 以上へ。npm は open 11.0.0 以上、minimatch 11.0.1 以上へ。

経営・技術責任者が判断すること

1. AI エージェントに持たせる権限の線引きCAIO・CTO向け

Agno の件は、モデルが選んだ関数をそのまま実行する作りが原因だった。Langflow も、画面上で書いたコードを実行する機能が攻撃の入口になっている。MLflow でも、読み込んだモデルファイルの復元からコードが動く件が2つ出た。エージェントが呼べる関数は許可リストで決め、モデルや成果物の取り込み元を限り、実行環境を隔離する。この基準を、受託案件の設計レビューに入れたい。

2. 公告から NVD 登録までの遅れの扱いCTO・CIO向け

Langflow の IBM 公告は 10/19 と 10/28 付で、NVD への登録は 10/29 だった。MLflow も、ZDI が報告した 4月・6月から、修正版 3.15.0〜3.17.0 を経て、公開は 10/29 になった。NVD だけを見ていると、最大10日遅れる。AI 関連の主要な製品は、ベンダーの公告と GitHub を直接見る担当を決める。AWS のように、公告を出したあとで修正版の挙動（今回は issuerRef.kind の厳格化）が変わる場合は、更新前の影響確認も担当に含める。

3. 外部の MCP サーバーにつなぐ範囲CTO・CAIO向け

open の件は、接続先の MCP サーバーが返す値が入口になる。Langflow の MCP stdio も、設定次第でコマンド実行の経路になる。社内で使ってよい MCP サーバーを一覧にし、それ以外へは開発機から接続しない運用にするかを決めたい。

重大度の見方

緊急9.0以上。ログインなしで遠隔から成立しやすく、被害が大きい。
高7.0〜8.9。条件はあるが、情報漏えいや停止につながる。
点数なし未公表。評価が付く前の公開。点数は推測しない。

脆弱性ごとの内容と対策

IBM Langflow OSS（AI ワークフローを画面上で組み立てる Python 製ソフト）。認証なしの OS コマンド実行 9.8 と、コード実行 9.9 が3件緊急
CVE-2026-104339CVE-2026-110186CVE-2026-93680CVE-2026-107327AI関連第2版
CVSS
9.9

点数は IBM の公告と NVD に載る値（CVSS 3.1。104339・110186・93680 が 9.8、107327〜107329 が 9.9）。ゲージは高い方

内容
IBM の公告3本に、Langflow OSS 1.0.0 以降の多数の欠陥が載る。認証なしで成立するのは、OS コマンド注入の CVE-2026-104339（9.8、1.12.3 以下）、コード生成の制御不備 CVE-2026-110186（9.8、1.12.8 以下）、認証の不備 CVE-2026-93680（9.8、1.12.8 以下）。認証済みユーザーからは、CVE-2026-107327・107328・107329（9.9、1.12.4 以下）で任意のコードが動き、影響が実行環境の外へ広がる評価になっている。8.8 の CVE-2026-101288・104324・104328・107326・110193・110196・110309、8.5 の 103092（SQL の実行）、8.1 の 104317（メッセージブローカー経由）、7.5 の 110245（認証なしで情報取得）も同じ公告に載る。
影響
Langflow を社外や社内の多数に開いている環境では、サーバー上でコードが動き、連携先の API キーやフローに入れた認証情報が抜かれるおそれがある。9.8 のうち2件は認証なしで成立するため、インターネットに出している場合の優先度が最も高い。
対策
1.13.0 以上へ更新する（IBM の公告 node/7294467。1.12.8 以下が対象で、回避策は「なし」と書かれている）。node/7293015 は 1.12.4 で、node/7293016 は 1.12.5 で修正されると書かれており、1.13.0 はそれらも含むと読める。MCP の stdio を使う環境は、LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true と LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true を設定し、再起動する。公開ワークフローでは LANGFLOW_ALLOW_PUBLIC_CUSTOM_COMPONENTS を有効にしない。過去にエクスポートしたフローのファイルは更新では直らないため、含まれる認証情報を失効・再発行する（CVE-2026-77817）。
続報

第2版IBM の公開は 10/19（node/7293015・7293016）と 10/28（node/7294467）で、NVD への登録は 10/29 16:17 UTC。悪用の報告は確認できておらず、CISA KEV にも載っていない。node/7293016 の公告は CVE-2026-110244 を 6.5 としているが、NVD の記載とは点数が異なる。

出典
IBM 公告 node/7294467（1.13.0）IBM 公告 node/7293016（1.12.5）IBM 公告 node/7293015（1.12.4）NVD CVE-2026-104339

確認する人：Langflow を運用する AI 基盤担当、AI ワークフローを受託開発している担当

Progress WS_FTP Server（Windows のファイル転送サーバー）。認証なしで管理者の認証情報に届く 10.0 ほか、9.0 以上が6件緊急
CVE-2026-84295CVE-2026-90868CVE-2026-90864CVE-2026-90866CVE-2026-90863CVE-2026-90865第3版
CVSS
10.0

点数は NVD に載る値（CVSS 3.1。84295 が 10.0、90868 が 9.9、90864・90866・90863 が 9.1、90865 が 9.0）。NVD の分析は未了（Awaiting Analysis）。ゲージは高い方

内容
CVE-2026-84295 は認証の不備と認証情報の保護不足で、認証なしの遠隔の攻撃者が管理者の認証情報を含む情報に届く。CVE-2026-90868 と 90865 は OS コマンドインジェクション、90864 と 90866 はパストラバーサル（90866 は RCE の恐れ）、90863 は委任された管理者の権限逸脱。8.1 の 90867（Web 管理コンソールのアクセス制御）、7.7 の 84294（Ad Hoc Transfer のパス制限）、7.5 の 90869（SSH サービスの停止）も同時に登録された。
影響
取引先とのファイル受け渡しに WS_FTP を外へ出している環境では、管理者権限の奪取から、保管ファイルの流出やサーバー上でのコード実行に進むおそれがある。悪用の報告は確認できていない。
対策
NVD の記載では、影響は 2024.0.6 より前と 2025.0.3 より前（Windows）で、修正版は 2024.0.6・2025.0.3 と読める（NVD に「修正版」の欄はなく、上限値からの読み取り）。更新に加えて、管理者アカウントのパスワードを変更し、ログで不審な管理操作がないかを確認する。ベンダーの公告（Progress の知識ベース）は開けておらず、ほかの6件の対象版は未確認。
続報

第3版NVD への登録は 10/29。KEV には載っていない。ベンダー公告の本文と、回避策の有無は未確認。

出典
NVD CVE-2026-84295NVD CVE-2026-90868NVD CVE-2026-90866

確認する人：ファイル転送サーバーを運用する情報システム、取引先とのデータ連携を担当する事業部門

Frappe Framework（Python の業務アプリ基盤。ERPNext などの土台）。アップロードのパス検証がなく、サーバー上でコードが動く緊急
CVE-2026-119145CVE-2026-119144GHSA-9pp9-wgp9-3p3j第3版
CVSS
9.9

点数は NVD に載る値（119145 は CVSS 3.1 が 9.9、4.0 が 9.4。登録元は VulnCheck。119144 は 3.1 で 8.8）。NVD の分析は保留（Deferred）。ゲージは高い方

内容
CVE-2026-119145 は、ファイルのアップロード処理が保存先のパスを検証しない。認証済みの利用者が細工したファイルを保存先の外に置け、サーバー上のコード実行につながる。CVE-2026-119144 は、認証済みの利用者によるサーバー側テンプレートの注入（8.8）。
影響
Frappe や ERPNext を社内外の多数の利用者に開いている環境では、低い権限のアカウントからサーバーの乗っ取りに届く。CISA の評価欄（NVD に記載）は、悪用「なし」としている。
対策
NVD の記載では、15.x は 15.121.0、16.x は 16.34.0 で修正。該当の版へ更新する。119144 の修正版は未確認。
続報

第3版NVD への登録は 10/29。GitHub のアドバイザリ本文は開けておらず、参照先の記載は NVD 経由。

出典
GitHub Advisory GHSA-9pp9-wgp9-3p3j（NVD の参照先）NVD CVE-2026-119145NVD CVE-2026-119144

確認する人：Frappe・ERPNext を使う業務システムの開発・運用担当

Agno（Python の AI エージェント基盤。PandasTools が、モデルの指定した関数名をそのまま実行する）緊急
CVE-2026-119050GHSA-jq64-vhh4-4hvvAI関連第1版
CVSS
9.2

点数は GitHub アドバイザリに載る値（CVSS 4.0、Critical）。GitHub の審査は未実施で、影響を受ける版・修正版の欄は Unknown

内容
Agno 3.1.11 までの PandasTools は、モデルが返した関数名を getattr() に渡して呼び出す。プロンプトインジェクションが成立すると、pandas.read_pickle に攻撃者の用意したファイルを読ませてコードを実行させる道と、別の reader で端末上のファイルを読み出す道が開く。
影響
外部の文章やファイルをエージェントに読ませている構成では、「プロンプトインジェクションが通る」という前提を満たしやすい。成立すると、エージェントを動かしているサーバーの権限でコードが動く。
対策
修正版は未確認（アドバイザリは Unknown。GitHub Issue agno-agi/agno#8699 が参照されている）。自社で使っている Agno の版を洗い出し、PandasTools を有効にした箇所を特定する。修正版が出るまでは、PandasTools の無効化、モデルが呼べる関数の許可リスト化、実行環境のサンドボックス化、読み込めるパスの制限を組み合わせる。
続報

第3版02:28 時点で GitHub アドバイザリを再確認した。「修正版」は Unknown のまま、審査は未実施。

出典
GitHub Advisory GHSA-jq64-vhh4-4hvvNVD CVE-2026-119050

確認する人：AI エージェントを自社開発・受託している開発担当、CAIO 配下の AI 基盤担当

AWS Private CA Connector for Kubernetes（aws-privateca-issuer。cert-manager から AWS の認証局で証明書を発行する）。発行者の解決で認可が抜ける高
CVE-2026-1191152026-156-AWS第3版
CVSS
8.5

点数は NVD に載る値（CVSS 3.1 が 8.5、4.0 が 8.4）。AWS の公告ページには点数の記載がない。ゲージは高い方

内容
aws-privateca-issuer の Issuer の解決ロジックに、認可の不備がある。特定の条件で、承認ポリシーにより namespace 単位の Issuer しか使えないはずの利用者が、クラスタ単位の Issuer で署名された証明書を取得できる。取得できる証明書には、下位の認証局（サブ CA）の証明書も含まれる。
影響
EKS 上で、namespace ごとに証明書の発行権限を分けている構成では、その分離が破れる。権限の低い利用者が、社内の信頼の起点に近い証明書を手にしうる。
対策
aws-privateca-issuer v1.10.1、EKS アドオン v1.10.1-eksbuild.1 へ更新する（それより前が対象）。更新後は issuerRef.kind が AWSPCAIssuer か AWSPCAClusterIssuer のどちらかに厳密に判定される。kind が空の場合や、Ingress の注釈から作られる kind: Issuer は Failed になり、クラスタ単位の Issuer を kind: AWSPCAIssuer で参照すると Pending のまま止まる。更新前に CertificateRequest・Certificate・Ingress を洗い出し、kind を明示しておく。すぐ更新できない場合は、承認ポリシーと RBAC を Issuer の名前だけでなく kind まで指定して絞る。フォークした場合は、修正を自分のコードにも反映する。
続報

第3版AWS の公告は 10/29 09:30 PDT（日本時間 10/30 01:30）。悪用の報告は書かれていない。謝辞の記載もない。

出典
AWS 公告 2026-156-AWSNVD CVE-2026-119115

確認する人：EKS・cert-manager を運用するインフラ担当、社内 PKI の担当

Crawl4AI（Python の LLM 向け Web クローラー）の Docker サーバー版。DoS・証明書検証の無効化・任意モデルの読み込み高
CVE-2026-119119CVE-2026-119118CVE-2026-119120AI関連第2版
CVSS
8.7

点数は NVD に載る CNA（登録元）の評価（CVSS 4.0 Secondary。119119 が 8.7、119118 が 8.3、119120 が 7.7）。NVD の 3.1 Primary は 7.5・6.5・7.5。ゲージは高い方

内容
119119 は Docker の API に対する DoS。119118 は、Docker サーバーが Chromium を証明書エラーを無視する指定で起動しており、TLS の検証が効かない。119120 は、API の呼び出し側が、サーバーが読み込む Hugging Face のモデルを指定できる。GitHub 上の同名の注意（GHSA-f856-7xp9-w3cc は High、GHSA-j2qh-f73r-mg3q は Moderate）が 10/15 に出ている。
影響
Crawl4AI の Docker サーバーを社内の複数のアプリから使っていると、API に届く利用者が、サーバーを止めたり、任意のモデルを読み込ませたりできる。モデルの読み込みは、そこから外部のコードが入る道になりうる（この点は説明からの推定）。
対策
NVD の記載では 0.9.5 未満が対象で、修正版は 0.9.5 と読める（GitHub のアドバイザリ側では版を確認できていない）。Docker サーバー版を使っている場合は更新し、API は認証とネットワーク制限で到達範囲を絞る。
出典
GitHub Advisories（Crawl4AI）NVD CVE-2026-119119NVD CVE-2026-119120

確認する人：RAG・データ収集に Crawl4AI を使う開発担当、AI 基盤担当

vLLM（LLM の推論サーバー）の2件。画像の読み込み経由の Ghostscript コード実行と、共有メモリの偽装ハンドルによる pickle 実行高
CVE-2026-115915CVE-2026-115912GHSA-h3rc-j82p-2c3hGHSA-6757-hggm-hp2wAI関連第1版
CVSS
8.1

点数は GitHub アドバイザリの値（CVSS 3.1。115915 が 8.1、115912 が 7.5。どちらも High）。ゲージは高い方

内容
115915：ImageMediaIO が MIME タイプでなく Pillow の署名判別で形式を決めるため、image/png と偽った EPS ファイルが Pillow 経由でホストの Ghostscript に渡る。ホストの Ghostscript が CVE-2024-29510 の影響下だと、vLLM プロセスの権限でコマンドが動く。報告者はローダー層で再現し、HTTP 経路はソースの追跡のみ。115912：--mm-processor-cache-type shm を使うと、呼び出し側が作った共有メモリのハンドルをワーカーが信用し、pickle.loads() に渡す。認証済み（低権限）の呼び出しで成立する。
影響
マルチモーダル（画像・音声入力）の推論 API を社外・社内の多数に開いている環境では、API キーを持つ利用者から推論サーバーのコード実行に届く。115915 は Ghostscript が入っていない構成なら実行に至らない。
対策
どちらも vLLM 0.32.0 で修正。115915 は、Ghostscript を入れない構成にするか CVE-2024-29510 の修正済みビルドを使い、Pillow を 12.3.0 以上にする。115912 は、更新まで --mm-processor-cache-type shm を使わない（アドバイザリに回避策の記載はなく、これは説明からの推定）。画像を受ける API は、認証とネットワーク制御で到達範囲を絞る。
出典
GitHub Advisory GHSA-h3rc-j82p-2c3hGitHub Advisory GHSA-6757-hggm-hp2wNVD CVE-2026-115915NVD CVE-2026-115912

確認する人：LLM を自社で動かしている AI 基盤担当、コンテナイメージを作る開発担当

open（Node.js の URL・ファイルを開く npm パッケージ）。細工した URL で Windows と WSL の PowerShell コードが動く高
CVE-2026-119025GHSA-jgwm-4pmq-r4w4AI関連第1版
CVSS
7.7

点数は NVD の値（CVSS 4.0 が 7.7、3.1 の Primary が 7.5）。GitHub の審査は未実施で、影響を受ける版・修正版の欄は Unknown

内容
open 7.2.0 以上 11.0.0 未満が対象。URL に $(...) のサブ式を埋め込むと、index.js がエスケープしないまま powershell -EncodedCommand に渡し、そこで実行される。アドバイザリが想定する入口は、悪意のある MCP サーバーが OAuth の authorization_endpoint に仕込んだ値。
影響
Windows や WSL 上で、MCP クライアントや CLI が認可画面を開くのに open を使っていると、接続先 MCP サーバーの出す値でユーザー権限のコードが動く。macOS・Linux には触れられていない。
対策
open 11.0.0 以上へ更新する（説明文の「11.0.0 未満」からの読み取り。修正コミットは sindresorhus/open の 274d704 と書かれている）。lock ファイルで推移的な依存も含めて open の版を確認する。更新まで、信頼できない MCP サーバーの接続先 URL をそのまま開かない。
続報

第3版02:28 時点で GitHub アドバイザリを再確認した。「修正版」は Unknown のまま。参照先に v11.0.0 のリリースが挙がっている。

出典
GitHub Advisory GHSA-jgwm-4pmq-r4w4NVD CVE-2026-119025

確認する人：Node.js で CLI・MCP クライアントを作る開発担当、Windows 開発機を管理する情報システム

AI関連の注目トピック

今回の期間に裏取りできた AI 関連は、Langflow、Crawl4AI、Agno、vLLM、open（MCP の認可フロー）、llama.cpp、Kubeflow Pipelines、MLflow。次の項目は手がかりとして載せる。

  • Langflow：IBM の公告3本に、認証なしの OS コマンド実行（CVE-2026-104339・110186・93680、各 9.8）と、認証済みユーザーからのコード実行（CVE-2026-107327〜107329、各 9.9）。1.13.0 以上で、3本とも対象外になる。カードを参照。
  • Crawl4AI：Docker サーバー版の DoS・TLS 検証の無効化・任意の Hugging Face モデル読み込み（CVE-2026-119119・119118・119120）。0.9.5 未満が対象。カードを参照。
  • Agno の PandasTools：モデル出力の関数名を getattr() に渡し、read_pickle 経由でコードが動く（CVE-2026-119050、9.2）。カードを参照。
  • vLLM：EPS ファイル経由の Ghostscript 実行（CVE-2026-115915、8.1）と、共有メモリの偽装ハンドルによる pickle 実行（CVE-2026-115912、7.5）。0.32.0 で修正。同じ日に GitHub へ載った vLLM の他の3件（CORS 設定、Phi-4 の音声処理、DeepSeek-OCR の画像処理）は Low・Moderate のため載せていない。
  • npm の open：悪意のある MCP サーバーの OAuth 値から PowerShell コードが動く（CVE-2026-119025、7.7）。カードを参照。
  • MLflow（第5版で追加）：ZDI が 10/29 に8件を公開した。認証なしで SSRF から情報が漏れる ZDI-26-844（CVE-2026-118628、8.2）、AI Gateway の api_base 経由の SSRF ZDI-26-847（CVE-2026-71211、7.7）、モデルや SHAP エクスプレイナーの読み込みで信頼できないデータを復元してコードが動く ZDI-26-845（CVE-2024-37052、7.8）・ZDI-26-843（CVE-2026-118627、7.8）。修正は 3.15.0（845）と 3.17.0（843・844・847）。表を参照。
  • llama.cpp の ggml-rpc：過大なメッセージ長でサーバーが落ちる（CVE-2026-119052、8.7）。表を参照。
  • Kubeflow Pipelines（機械学習パイプラインの基盤）：アーティファクト取得のパストラバーサル、認可なしのログ取得、圧縮ファイル展開による資源枯渇（CVE-2026-118758・118759・118761、各 7.5）。2.18.0 より前が対象（118758 の記載による）。表を参照。
  • Mem0（AI の長期記憶）で、セッション鍵の区切り文字の衝突から他テナントの会話が見える欠陥（CVE-2026-116575）。GitHub の評価は Moderate のため表には載せていない。
  • agent-zero・DB-GPT・SuperAGI・XAgent（AI エージェント基盤）に、パストラバーサルや組織をまたぐ情報漏えいの CVE が6件、NVD に 10/29 18:17 UTC に登録された（CVE-2026-51851・51863・51902・51903・51905・51912）。点数は付いておらず、修正版も未確認のため、カードにはしていない。点数が付いた時点で再確認する。
Langflow の公告 10/19・10/28（IBM）→NVD への登録 10/29 16:17 UTC→本レポートの第2版 10/30 01:29

担当ごとのやること

AI 基盤LLM・エージェント・MCP

  • Langflow を 1.13.0 以上へ。MCP stdio の設定と、過去のエクスポートに含まれる認証情報を確認する
  • Agno の版と PandasTools の利用箇所を洗い出す
  • vLLM を 0.32.0 へ。shm キャッシュの設定を確認する
  • Crawl4AI の Docker サーバー版を 0.9.5 以上へ
  • MLflow を 3.17.0 以上へ。Tracking Server を外に出していないか確認し、出所の不明なモデルファイルを読み込まない
  • llama.cpp の RPC サーバーを外部に出していないか確認し、b11935 以降へ
  • Kubeflow Pipelines を 2.18.0 以上へ。UI・API に届く範囲を絞る

開発Node.js・Python・Go・PHP

  • open を 11.0.0 以上、minimatch を 11.0.1 以上へ。Seroval は 1.6.8、sigstore-js（@sigstore/oci）は 0.7.2 以上へ
  • forge と joi を使うアプリは、依存ツリーで版を確認する。joi は 17.13.9・18.3.1 が修正版
  • systeminformation の利用有無と更新状況を確認する
  • Frappe を 15.121.0・16.34.0 以上へ
  • oapi-codegen に信頼できない OpenAPI 仕様書を渡さない
  • WordPress のテーマ・プラグイン（表の9.8〜10.0、PHP オブジェクトインジェクション 18件、JetEngine・InstaWP Connect・NEX-Forms など）を使う案件は、修正版を確認し、修正版がなければ無効化する

インフラ・運用サーバー・クラウド

  • aws-privateca-issuer を v1.10.1 へ。先に issuerRef.kind を明示する
  • WS_FTP Server（Windows）を 2024.0.6・2025.0.3 以上へ。管理者のパスワードを変更する
  • HashiCorp Nomad は、CVE-2026-119168 が 2.1.0 で修正された（Enterprise は 1.11.12・1.10.18 も）。CVE-2026-107347（割り当て領域の外への書き込み）の修正版は、ベンダーの公告で確認する。クライアントを root で動かしていないかも見る
  • ServiceNow を使っている場合は、ベンダーの公告 KB3228994 で自社の系統（Yokohama・Zurich・Australia）のパッチを確認する
  • Elastic Cloud Enterprise を使っている場合は、10/29 の公告で修正版を確認する
  • ZITADEL を ID 基盤に使っている場合は、4.19.5 以上かを確認する
  • .NET・ASP.NET Core と、Microsoft Edge の更新状況を確認する
  • 推論サーバーのコンテナから Ghostscript を外せるか検討する

今回の集計表

項目点数状態出典
ServiceNow AI Platform（業務ワークフローの SaaS 基盤。第5版で追加）。CVE-2026-103093：管理者ロールの認証済みユーザーが Rhino サンドボックスの制限を回避し、ホスト OS で任意のコードを実行できる。同時に登録された CVE-2026-103094 は、ユーザーの平文パスワードがシステムテーブルに残り、本来見られない相手に露出しうる9.4・7.1（NVD に載る CVSS 4.0 Secondary。登録元は ServiceNow）NVD の記載では、Yokohama Patch 13 Hot Fix 4a、Zurich Patch 10 Hot Fix 3b・Patch 12・Patch 13、Australia Patch 5 より前が対象。ホスト型インスタンスは修正済み、パートナーとオンプレミスにも修正版が提供されている。悪用は確認されていない（NVD の記載）。NVD の分析は未了（Received）。ベンダー公告 KB3228994 は開けておらず、NVD の参照先として示す。点数は管理者権限が前提NVD CVE-2026-103093NVD CVE-2026-103094ServiceNow KB3228994（NVD の参照先）
MLflow（機械学習の実験管理ソフト。第5版で追加）。ZDI が 10/29 に8件を公開し、7.0 以上は4件。ZDI-26-844（CVE-2026-118628、get-artifacts の SSRF による情報漏えい、認証不要）。ZDI-26-847（CVE-2026-71211、AI Gateway の api_base の SSRF、認証が必要）。ZDI-26-845（CVE-2024-37052、statsmodels の _load_model の復元でコード実行）。ZDI-26-843（CVE-2026-118627、SHAP の load_explainer の復元でコード実行）。残る4件（ZDI-26-840〜842・846）は 5.4〜6.88.2・7.7・7.8・7.8（ZDI＝報告者の評価。CVSS 3.0）修正は 3.17.0（843・844・847。ZDI の記載）と 3.15.0（845）。843・845 は悪意のあるファイルやページを開かせる操作が前提（UI:R）。ZDI の記載では 844 は認証不要。ZDI-26-843 のベクトルは AV:L だが、本文は remote attackers と書いており、前提の読み方に幅がある。MLflow 自身の公告は今回開いていないZDI-26-844ZDI-26-847ZDI-26-845ZDI-26-843
HashiCorp Nomad・Nomad Enterprise（第5版で追加）。CVE-2026-119168：同じクライアント内で割り当てデータを移行するときにシンボリックリンクをたどり、悪意のあるワークロードがホストのディレクトリの権限や所有者を変えられる8.8（NVD に載る CVSS 3.1 Secondary。登録元は HashiCorp。ローカルの低権限が前提）NVD の記載では、Nomad は 0.5.3 以上 2.1.0 未満が対象で、修正版は 2.1.0。Nomad Enterprise は 2.1.0・1.11.12・1.10.18 で修正。OSS の 1.x 向けの修正は示されていない。NVD の分析は未了（Received）。HashiCorp の公告 HCSEC-2026-53 は開けておらず、NVD の参照先として示すNVD CVE-2026-119168HashiCorp HCSEC-2026-53（NVD の参照先）
Node.js の forge（digitalbazaar/forge）の2件と joi（hapijs）の1件（第5版で追加）。forge：CVE-2026-118779（PEM 解析の正規表現が多項式時間で動き、CPU を使い切る DoS）、CVE-2026-118782（PKCS#12 の反復回数が 0 以下でも受け付け、パスワードによる整合性チェックを回避されうる）。joi：CVE-2026-118772（email({ multiple: true }) の空白処理が遅くなり、イベントループを数秒止めうる）7.5（3件。NVD に載る CVSS 3.1 Secondary）joi は 17.13.9 と 18.3.1 が修正版と読める。説明文の対象版（17.1.1〜17.13.9）と、affected 欄の記載（17.1.1 以下・18.3.1 未満）が食い違うため、自社の版は依存ツリーで確認したい。forge の修正版は未確認。攻撃者が PEM や email 文字列を入力できる経路があるかが優先度の分かれ目NVD CVE-2026-118779NVD CVE-2026-118782NVD CVE-2026-118772
HashiCorp Nomad・Nomad Enterprise（コンテナなどの実行を管理する基盤。第4版で追加）。CVE-2026-107347：ディスパッチのペイロードと executor のログ書き込みでシンボリックリンクをたどり、ワークロードが割り当て領域の外へ書き込める。クライアントが root で動く場合は、root でのコード実行に至りうる。同時に登録された CVE-2026-102260（読み取り専用 API が namespace を確認しない）は 4.38.4（NVD に載る CVSS 3.1 Secondary。102260 は 4.3）公開は 10/29 18:17 UTC。修正版は未確認（HashiCorp の公告は開けておらず、NVD の記載による）。KEV には載っていない。クライアントの実行ユーザーと、信頼できないジョブを流しているかが優先度の分かれ目NVD CVE-2026-107347NVD CVE-2026-102260
Botan（C++ の暗号ライブラリ。第4版で追加）。CVE-2026-118769：C API で size_t から int への変換を確認せず、Lion 暗号の利用時にメモリ破壊が起こりうる。同時に登録された Botan の 118766（OCSP クライアントのリダイレクトによる SSRF、6.1）・118768（ocsp_check CLI が署名を検証しない、5.9）・118767（4.8）は基準外9.2（NVD に載る CVSS 4.0 Secondary）到達できるのは限られた構成と読める（Lion 暗号を C API 経由で使う場合）。修正版は未確認で、ベンダーの公告は開けていない。自社で Botan を直接使っているかを確認したいNVD CVE-2026-118769
WordPress のテーマ24件・プラグイン3件の高い評価（第3版で追加）。AjaxLoadMore Cache（CVE-2026-61991、未認証の RCE）、GEO my WordPress（61992）、Zoho Flow（62131、未認証の PHP オブジェクトインジェクション）。テーマは RexCoin・Quirky・Printy・Preservation・Ozisti（54856〜54860）、Legal Stone・Le Truffe（61997・61998）、Marcell から Gunslinger まで（62001〜62018）で、いずれも PHP オブジェクトインジェクション10.0（AjaxLoadMore Cache）・9.8（そのほか全件）（NVD に載る CVSS 3.1。登録元は Patchstack など）AjaxLoadMore Cache は 3.1.1 以前が対象で、修正版は未記載。そのほかの修正版も未確認。公開は 10/29。使っていれば、修正版が出るまで無効化するNVD CVE-2026-61991NVD CVE-2026-61992NVD CVE-2026-62131NVD CVE-2026-54856
WordPress の高（第3版で追加）：MLS On The Fly（SQL インジェクション、CVE-2026-61996、8.5）、WP Crowdfunding（CVE-2026-118083、7.5）、YayMail（管理者権限の PHP オブジェクトインジェクション、CVE-2026-42701、7.2）、未認証の XSS（7.1）が Chained Quiz・Eventer・WP Crowdfunding・Post Video Players・Razorpay Payment Button・Auction Nudge・Easy Property Listings・Blockonomics・YouTube Showcase・GlobalPayments WooCommerce に8.5〜7.1（NVD に載る CVSS 3.1）修正版は未確認。公開は 10/29NVD CVE-2026-61996NVD CVE-2026-118083NVD CVE-2026-42701
minimatch（npm の glob 照合。CVE-2026-118764。optimizationLevel が 2 以上のとき、細工した **/.. パターンで CPU・メモリを使い切る DoS）8.7（NVD に載る CVSS 4.0。GitHub 由来のため NVD の分析は未了）NVD の記載では 11.0.1 より前が対象で、修正版は 11.0.1。攻撃者がパターンを入力できる経路があるかが優先度の分かれ目。lock ファイルで推移的な依存も確認するNVD CVE-2026-118764
sigstore-js（@sigstore/oci。CVE-2026-118763。悪意のあるレジストリが返す送信先 URL を検証せず、レジストリの認証情報が攻撃者のホストに送られる）7.4（GitHub の評価。CVSS 3.1）0.7.2 で修正（NVD の記載）。attachArtifactToImage() を信頼できないレジストリに向けないGHSA-j63v-mwhm-56jx（NVD の参照先）NVD CVE-2026-118763
Kubeflow Pipelines の3件。CVE-2026-118758：ボリューム型アーティファクト取得のパストラバーサル。CVE-2026-118759：認可なしのログ取得。CVE-2026-118761：圧縮アーカイブ展開による資源枯渇7.5（3件。NVD に載る CVSS 3.1。118758 は GitHub の評価）118758 は 2.18.0 より前が対象で、2.18.0 で修正。アップグレード手順書にカスタムストレージ設定の注意がある。118759・118761 の修正版は未確認GHSA-2fg9-fx2f-439r（NVD の参照先）NVD CVE-2026-118758NVD CVE-2026-118759
Microsoft Edge の10件（第3版で追加）。CVE-2026-85890・85897・88077・96192・96196・96198・96199・96203（各 8.8。二重解放・バッファオーバーフロー・解放後使用など）、85899（8.1）、96187（7.4）8.8〜7.4（NVD に載る CVSS 3.1）修正版は未確認。Edge の自動更新が効いているかを確認する。MSRC のページは今回開いていないNVD CVE-2026-85890NVD CVE-2026-96203NVD CVE-2026-96187
ZITADEL（ID 基盤）の3件。CVE-2026-119128：Login V2 の認証バイパス。CVE-2026-119127：Host ヘッダー注入によるアカウント乗っ取り。CVE-2026-119129：デバイス認可の承認に認可チェックがない9.1・8.6・8.6（NVD に載る CVSS 4.0 Secondary。3.1 の Primary は 7.4・8.1・8.1）NVD の記載では 4.19.5 未満（119129 は 3.0.0〜3.4.15 も）が対象で、修正版は 4.19.5 と読める。GitHub に 10/15 付の High が3件出ているNVD CVE-2026-119128NVD CVE-2026-119127NVD CVE-2026-119129GitHub Advisories（ZITADEL）
OpenText Advanced Authentication Server（CVE-2026-112256。信頼されない追加データの受け入れによる ACL 回避）9.2（NVD に載る CVSS 4.0 Secondary）NVD の記載では、6.4.3.9・6.5.0.11・6.6.2.0 で修正。ベンダーの文書は開けていないNVD CVE-2026-112256
RT-Labs P-Net（産業用通信スタック）の複数件。CVE-2026-111732：範囲外書き込み（既定では無効）。CVE-2026-111731・111733・111736・112200・115793：停止（DoS）。CVE-2026-111730・111734・111735 も 7.1 以上9.3・8.7（5件）・7.2・7.1（2件）（NVD に載る CVSS 4.0 Secondary）NVD の記載では 1.0.3 で修正。OT 網に接続された機器は、隣接ネットワークからの攻撃かどうかで優先度が変わるNVD CVE-2026-111732NVD CVE-2026-111731
WordPress プラグインの PHP オブジェクトインジェクション（18件）：Extra Fees Plugin for WooCommerce（CVE-2026-116866）、Dynamic QR Code generator（116867）、BuddyPress Xprofile Custom Field Types（116868）、News Kit Elementor Addons（118073）、WP Media folders（118075）、Frisbii Pay（118076）、Social Snap（118080）、10Web Social Photo Feed（118081）、BuddyBoss Platform（権限昇格、118082）など8.8〜7.2（NVD に載る CVSS 3.1 Secondary）影響する版は「以下」で記載（例：Extra Fees 4.4.0 以下）。修正版はほとんど未記載。公開は 10/29NVD CVE-2026-116866NVD CVE-2026-118073NVD CVE-2026-118082
Microsoft .NET・ASP.NET Core（CVE-2026-114148。既定の権限設定の誤りによるローカル権限昇格）7.8（NVD の値、3.1 Primary）NVD の記載では、.NET 8 は 8.0.427、.NET 9 は 9.0.320、.NET 10 は 10.0.403 より前が対象。MSRC のページは本文が取れず確認できていないNVD CVE-2026-114148
llama.cpp の ggml-rpc サーバー（LLM 推論。CVE-2026-119052。HELLO の後に SET_TENSOR などでメッセージ長を過大に指定すると、未捕捉の例外でプロセスが落ちる。認証なし）8.7（CVSS 4.0。GitHub アドバイザリの値）ビルド b2877 以上 b11935 未満が対象。修正は b11935（PR #31204）。アドバイザリは未審査。RPC サーバーを外に出している環境は確認したいGHSA-rr32-94xq-hrxwNVD CVE-2026-119052
Seroval（Node.js の直列化ライブラリ）の High 3件：CVE-2026-116580（デシリアライズで攻撃者の選んだ関数を呼ぶ）、CVE-2026-116581・CVE-2026-116584（fromJSON が長さを信用し、認証なしでイベントループを止められる）GitHub の評価：High（GHSA-7rv5-mrxv-xcr9 は CVSS 3.1 で 7.3。ほかの2件の点数は未確認）GHSA-7rv5-mrxv-xcr9 は 1.6.7 以前が対象で、1.6.8 で修正。ほかの2件の修正版は未確認。GitHub アドバイザリ公開は10/28。同じライブラリの Moderate 2件は載せていないGHSA-7rv5-mrxv-xcr9GHSA-97r2-qh9m-474hGHSA-wp97-x4hv-qvhp
systeminformation（Node.js のシステム情報ライブラリ。CVE-2026-116576。Windows の services() で Unicode の引用符を使ったコマンドインジェクション）GitHub の評価：High（点数は未確認）Windows のみ。修正版は未確認GHSA-3f7j-7jwc-fxfjNVD CVE-2026-116576
oapi-codegen（Go の OpenAPI コード生成。CVE-2026-119028：enum の値を通じた Go コードの注入。CVE-2026-119027：x-go-name を通じた注入）8.8・7.5（NVD の値、v3.1）修正版は未確認。信頼できない OpenAPI 仕様書を生成にかけないNVD CVE-2026-119028NVD CVE-2026-119027
Elastic Cloud Enterprise の3件（CVE-2026-115709：リンクの追跡でデータの漏えいと消失。CVE-2026-115713：他のデプロイのデータを読み書き。CVE-2026-115708：認証回避と設定変更）8.2・7.5・7.2（NVD の値、v3.1 Secondary）影響は 4.1.0〜4.2.0 と読める項目あり。修正版は未確認。同じ製品の他の4件は 7.0 未満NVD CVE-2026-115709NVD CVE-2026-115713NVD CVE-2026-115708
OpenEMR（PHP の電子カルテ。CVE-2026-49142。Syndromic Surveillance の SQL インジェクション）8.8（NVD の値、v3.1 Primary）修正版は未確認NVD CVE-2026-49142
WordPress プラグインの高：InstaWP Connect（CSRF、CVE-2026-116399、8.8）、JetEngine（SQL インジェクション、CVE-2026-39736、8.5）、Newsmatic テーマ（SQL インジェクション、CVE-2026-110184、7.5）、NEX-Forms（保存型 XSS、CVE-2026-96767、7.2）、NewsmanApp（保存型 XSS、CVE-2026-115821、7.2）8.8〜7.2（NVD の値、v3.1 Secondary）修正版は未確認。公開はいずれも10/29NVD CVE-2026-116399NVD CVE-2026-39736NVD CVE-2026-110184NVD CVE-2026-96767NVD CVE-2026-115821
FreeMail（CVE-2026-119049。メールボックスの不正な権限取得）7.6（NVD の値、v3.1 Primary）修正版は未確認NVD CVE-2026-119049
flat（Node.js。CVE-2026-119051。unflatten() が無制限に資源を確保する DoS）8.2（CVSS 4.0 Secondary。3.1 の Primary は 5.9）修正版は未確認NVD CVE-2026-119051
Python-Markdown（CVE-2019-25781。括弧の処理で CPU を使い切る DoS）8.7（CVSS 4.0 Secondary。3.1 の Primary は 7.5）NVD への登録は今回。修正版は未確認NVD CVE-2019-25781

用語メモ

プロンプトインジェクションAI に読ませる文章に、攻撃者の指示を紛れ込ませて、AI に意図しない操作をさせる攻撃。
picklePython のデータ保存形式。細工したデータを読み込むと、保存されたコードが動くことがある。
MCPAI エージェントが外部のツールやデータにつながる共通の仕組み。つなぐ先のサーバーが信頼できないと、そこから攻撃される。
PHP オブジェクトインジェクションPHP の保存データの読み戻しに細工したデータを渡し、想定外の処理を動かす攻撃。
cert-manager・サブ CAcert-manager は Kubernetes 上で証明書を自動発行・更新する仕組み。サブ CA（下位の認証局）は、ほかの証明書を発行できる証明書で、漏れると影響が広い。
パストラバーサル「../」などを使い、本来は届かないフォルダのファイルを読み書きする攻撃。
KEVCISA（米国の政府機関）が公表する「実際に悪用が確認された脆弱性」の一覧。
WSLWindows の上で Linux を動かす仕組み。
シンボリックリンク別の場所のファイルを指す「近道」。細工すると、書き込み先を領域の外へ向けられることがある。
SSRFサーバーを踏み台にして、外からは届かない社内の宛先へリクエストを送らせる攻撃。社内の情報や認証情報が漏れる原因になる。
サンドボックスプログラムの動ける範囲を囲って隔離する仕組み。抜けられると、囲いの外のサーバー本体に影響が出る。

出典

第5版の追加：NVD CVE-2026-103093（ServiceNow）NVD CVE-2026-119168（Nomad）NVD CVE-2026-118779（forge）NVD CVE-2026-118772（joi）ZDI-26-844（MLflow）ZDI-26-845（MLflow）ZDI-26-843（MLflow）ZDI-26-847（MLflow）

第4版の追加：NVD CVE-2026-107347（Nomad）NVD CVE-2026-118769（Botan）

第3版の追加：AWS 公告 2026-156-AWSNVD CVE-2026-119115（AWS Private CA Connector）NVD CVE-2026-84295（WS_FTP）NVD CVE-2026-119145（Frappe）NVD CVE-2026-118764（minimatch）NVD CVE-2026-118763（sigstore-js）NVD CVE-2026-118758（Kubeflow Pipelines）NVD CVE-2026-61991（AjaxLoadMore Cache）GitHub Advisory（Seroval）

第2版の追加：IBM 公告 node/7294467（Langflow）IBM 公告 node/7293016（Langflow）IBM 公告 node/7293015（Langflow）GitHub Advisories（Crawl4AI）GitHub Advisories（ZITADEL）NVD CVE-2026-104339（Langflow）NVD CVE-2026-114148（.NET）

第1版の追加：GitHub Advisory（Agno）GitHub Advisory（vLLM 115915）GitHub Advisory（vLLM 115912）GitHub Advisory（open）GitHub Advisory（llama.cpp）GitHub Advisory（Seroval）GitHub Advisory（systeminformation）NVD CVE-2026-119050（Agno）NVD CVE-2026-119025（open）NVD CVE-2026-119052（llama.cpp）NVD CVE-2026-49142（OpenEMR）

JVN・AWS・ZDI・CISA KEV（変化の確認）：JVN 新着AWS セキュリティ公告ZDI 公開済み