更新履歴（2026年10月31日）
レポート作成日時：2026/10/31 00:34（第1版）｜最終更新日時：2026/10/31 01:55（第2版）
主な変更
- 第2版 01:55 前回（第1版 00:34）以降の NVD 公開分（10/30 15:30〜16:55 UTC、日本時間 10/31 00:30〜01:55、48件）を読み、新しく動いた項目を足した。 追加（カード）：AI 推論基盤 LMDeploy の認証なしコード実行（CVE-2026-119706、9.8）。Python のテンプレートライブラリ pybars3・pybars4 のコード実行（CVE-2026-119716・119717、9.2）。AI エージェント基盤の Paperclip（CVE-2026-119713、8.8）と、MCP サーバー機能を持つ Zuke（CVE-2026-119287、8.0）。 追加（表）：Scribus 6件（各 8.5）、Blender 3件（各 8.5）、Rancher Fleet（7.9）、Zuke のほか3件（7.0〜7.5）、SonicJS・abp-next-admin・PipesHub（各 7.1）。 KEV：NVD の KEV 照会（10/28〜10/30）で、10/28 追加の Linux カーネル（CVE-2026-46300、期限 10/31）と VMware ESX（CVE-2026-41709、期限 11/11）も読めた。この2件が前日までのレポートに載っているかは今回確認していないため、表に記した。GitLab・Cisco の期限 11/01 は変わらない。 変化なし：第1版のカードの内容。今回は「修正版なし」だった項目（CakePHP・OpenDeepWiki・MuseBot・MONAI・CVE-2026-119557・SQLite・phpMyAdmin）の修正版やベンダー公告の再確認ができておらず、状況は第1版のまま。 取得できず：NVD の更新日（nvd-modified）での照会、OSV・Debian・Ubuntu・Cisco・Fortinet・Palo Alto・MSRC・Chrome・Project Zero・JVN・ZDI・AWS・Google Cloud・報道（tier D）は今回見ていない。NVD は WebFetch の要約を通して読んだため、7.0 未満と判断された項目の点数は確認していない。 登録：publish_vulnerabilities で、第1版分と今回分を合わせて送る。 タグ：前の版のタグが取得結果に含まれていなかったため、今回の本文全体から付け直した。products は 10件の上限のため、MuseBot・MONAI・Google Cloud Application Integration・pybars3 などは入れていない。
もっと見る（過去の版 1件）閉じる
- 第1版 00:34 初回公開。前日（10/30）のレポートは第18版まで更新済みのため、今回は10/30 11:30 UTC（日本時間 20:30）から 15:34 UTC（日本時間 10/31 00:34）までの NVD 公開分を中心に読み、新しく動いた項目だけをカードにした。 追加（カード）：CakePHP の SQL インジェクション2件（CVE-2026-119418・119419、9.2）。AI 関連の OSS 3件（OpenDeepWiki の CVE-2026-119597 と MuseBot の CVE-2026-119660 が各 9.8、MONAI の CVE-2026-119578 が 8.5）。n8n の2件（CVE-2026-119408・119557）、Traefik の2件（CVE-2026-119572・119574）、SQLite の4件（各 8.5）、phpMyAdmin の2件（7.7・7.6）。Google Cloud の Application Integration（CVE-2026-93327、9.4）は、Google が 9/11 に修正済みで利用者の作業は不要。 続報：CISA が 10/29 に KEV へ追加した GitLab CE/EE（CVE-2026-97229）と Cisco Secure Firewall ASA・FTD（CVE-2026-76418）は、対応期限 11/01 が変わらない。NVD の KEV 照会（10/29〜10/30）で読めたのはこの2件で、新しい追加はない。 見送り：Dell OpenManage Enterprise、vsftpd、OPNsense、SOCFortress CoPilot、WordPress の Kirki など 7.0 以上の項目は、カードにせず下の表にまとめた。MLflow の ZDI 8件（ZDI-26-840〜847）は 10/29 公開で前日のレポート掲載済み。 取得できず：NVD は WebFetch の要約を通して読んだ。公開分186件は全6区間を読んだが、区間の切れ目の3件（CVE-2026-119556、CVE-2026-119665、CVE-2015-20130）は点数が読めていない。更新日（nvd-modified）での照会はタイムアウトで取れず、公開後に点数が付いた項目の拾い漏れがありうる。その後は NVD が 503 を返し、個別の CVE ページは開けていない。OSV・Debian・Ubuntu・Cisco・Fortinet・Palo Alto・MSRC・Chrome・Project Zero は見ていない。JVN の最新は三菱電機製品の公告（10/30 14:00 更新）で、内容は開いていない。AWS の公告は 2026-156-AWS が最新のまま、ZDI も 10/29 の MLflow 以降の新着はない。Web 検索は使っていない。 登録：publish_vulnerabilities で今回のカード分を送る。 タグ：当日第1版のため、本文から新規に付けた。products は 10件の上限のため MuseBot を入れていない。
前日のレポート（10/30）からの変化（役割別）
情報システム担当
- 新規の緊急：LMDeploy の認証なしコード実行（/update_weights の pickle）（CVE-2026-119706）：解消方法は公告で確認
- 新規の緊急：MuseBot の固定署名キー（CVE-2026-119660）：解消方法は公告で確認
- 新規の緊急：OpenDeepWiki の固定署名鍵（CVE-2026-119597）：解消方法は公告で確認
- 新規の緊急：Google Cloud Application Integration のデシリアライズ（Google 側で修正済み）（CVE-2026-93327）：解消方法は公告で確認
エンジニア
- 新規 21 件のうち、CVSS が未公表のものは 0 件、NVD で裏取りできていない ID は 0 件です。
- CVE-2026-119706：LMDeploy の認証なしコード実行（/update_weights の pickle）／CVSS 9.8
- CVE-2026-119660：MuseBot の固定署名キー／CVSS 9.8
- CVE-2026-119597：OpenDeepWiki の固定署名鍵／CVSS 9.8
- CVE-2026-93327：Google Cloud Application Integration のデシリアライズ（Google 側で修正済み）／CVSS 9.4
- CVE-2026-119713：Paperclip の実行ワークスペース経由コマンド実行／CVSS 8.8
経営者
- 新たに掲載した脆弱性は 21 件です（緊急 4 件・高 14 件）。前回から続いているものは 2 件です。
AI 推論基盤 LMDeploy に認証なしのコード実行（9.8）。CakePHP と AI 系 OSS にも 9 点超
AI モデルを動かす LMDeploy で、ログインなしにサーバーのコマンドを実行される欠陥が公開された（9.8、修正版は未確認）。Python のテンプレートライブラリ pybars3・pybars4 にも、テンプレートを書ける人が Python コードを動かせる欠陥が出た（9.2）。第1版の CakePHP の SQL インジェクション（9.2）、OpenDeepWiki と MuseBot の固定鍵（各 9.8）、n8n・Traefik の更新は引き続き対象。GitLab と Cisco ASA・FTD の悪用確認済み2件は、米政府機関の対応期限が 11/01 に迫っている。
重大度別の件数
この日に掲載した脆弱性 23 件の内訳です（当サイトの基準）。件数を押すと、その重大度の一覧を開きます。
低 0 件・点数なし 0 件／この日の掲載分をすべて見る
今日やること
この日に掲載した 23 件を、緊急度順（悪用の確認 → CVSS → EPSS）に並べています。解消方法の根拠は公告（編集部の転記）か NVD の条件です。一覧で見る
- GitLab：GitLab のバージョンアップ（19.2.8 以上、19.3.5 以上、19.4.2 以上）※NVD の条件から推定（CVE-2026-97229・緊急・悪用確認済み・CVSS 10.0）
- Cisco ASA：Cisco ASA のバージョンアップ（9.16.4.104 以上、9.18.4.96 以上、9.20.4.50 以上、9.22.3.200 以上、9.23.1.48 以上、9.24.1.27 以上）※NVD の条件から推定（CVE-2026-76418・緊急・悪用確認済み・CVSS 8.6）
- LMDeploy の認証なしコード実行（/update_weights の pickle）：解消方法はベンダーの公告で確認（CVE-2026-119706・緊急・CVSS 9.8）
さらに表示（20件）閉じる
- MuseBot の固定署名キー：解消方法はベンダーの公告で確認（CVE-2026-119660・緊急・CVSS 9.8）
- OpenDeepWiki の固定署名鍵：解消方法はベンダーの公告で確認（CVE-2026-119597・緊急・CVSS 9.8）
- Google Cloud Application Integration のデシリアライズ（Google 側で修正済み）：解消方法はベンダーの公告で確認（CVE-2026-93327・緊急・CVSS 9.4）
- Paperclip の実行ワークスペース経由コマンド実行：@paperclipai/server のバージョンアップ（2026.416.0 以降）（CVE-2026-119713・高・CVSS 8.8）
- n8n の非推奨ノードが隔離外で動く：n8n のバージョンアップ（2.42.6 / 2.43.3 / 3.0.1 以降）（CVE-2026-119408・高・CVSS 8.8）
- Traefik Ingress NGINX プロバイダーで mTLS が無効化：Traefik のバージョンアップ（3.7.15 以降）（CVE-2026-119572・高・CVSS 8.7）
- pybars4 のテンプレート経由コード実行：解消方法はベンダーの公告で確認（CVE-2026-119717・高・CVSS 8.1）
- pybars3 のテンプレート経由コード実行：解消方法はベンダーの公告で確認（CVE-2026-119716・高・CVSS 8.1）
- CakePHP の SQL インジェクション（COLLATE）：解消方法はベンダーの公告で確認（CVE-2026-119419・高・CVSS 8.1）
- CakePHP の SQL インジェクション（WindowExpression）：解消方法はベンダーの公告で確認（CVE-2026-119418・高・CVSS 8.1）
- Zuke の MCP レジストリ経由コマンド実行：Zuke のバージョンアップ（1.51.0 以降）（CVE-2026-119287・高・CVSS 8.0）
- SQLite CLI の .recover 経由 OS コマンド実行：解消方法はベンダーの公告で確認（CVE-2026-119586・高・CVSS 7.8）
- MONAI の作業フォルダ読み込みによるコード実行：解消方法はベンダーの公告で確認（CVE-2026-119578・高・CVSS 7.8）
- SQLite セッション拡張のメモリ領域あふれ：解消方法はベンダーの公告で確認（CVE-2026-119379・高・CVSS 7.8）
- SQLite FTS5 のメモリ領域あふれ（2件目）：解消方法はベンダーの公告で確認（CVE-2026-119374・高・CVSS 7.8）
- SQLite FTS5 のメモリ領域あふれ：解消方法はベンダーの公告で確認（CVE-2026-119373・高・CVSS 7.8）
- phpMyAdmin の CSRF 検査回避：解消方法はベンダーの公告で確認（CVE-2026-119426・高・CVSS 7.5）
- phpMyAdmin の WebAuthn 署名未検証：解消方法はベンダーの公告で確認（CVE-2026-119561・注意・CVSS 6.8）
- Traefik FastProxy の競合状態でプロセス停止：Traefik のバージョンアップ（3.7.15 以降）（CVE-2026-119574・注意・CVSS 5.9）
- n8n Databricks ノードのパストラバーサル：解消方法はベンダーの公告で確認（CVE-2026-119557・注意・CVSS 5.9）
役割別確認ポイント
ページ上部の役割ボタンで、表示するブロックを絞り込めます。
判断すること
AI 系 OSS の「初期値のまま公開」を禁止するCAIO・CTO
OpenDeepWiki と MuseBot は、ソースに書かれた鍵がそのまま署名に使われていた。LMDeploy は、モデルの重みを更新する口に認証がなく、細工したデータを送るだけでコードが動く。PoC 用に立てた環境でも、公開した時点で誰でも入れる。AI 案件の標準手順に、初期の鍵・パスワードの変更と、社内ネットワーク限定での検証を入れておきたい。
ノーコード・自動化基盤の権限設計CTO・CIO
n8n は、ワークフローを作れる人が本体で JavaScript を動かせるというものだった。Paperclip も、API キーを持つ人が設定した命令をサーバーが実行する。「作成権限」は実質的にサーバー操作権限になる。誰に与えているかの棚卸しと、更新の担当者を決めておくと迷わない。
期限付きの悪用確認済み案件の扱い事業責任者
GitLab と Cisco は 11/01 が期限で、今日明日が週末にかかる。顧客のサーバーを預かっている場合は、連絡の要否と夜間・休日の作業可否を今日のうちに決めておきたい。
担当ごとのやること
経営・事業責任者判断と顧客対応
- GitLab・Cisco の期限（11/01）を踏まえ、休日作業の可否を決める
- CakePHP・n8n を納品した顧客への連絡要否を決める
- AI の PoC を顧客環境に置く場合の公開範囲のルールを確認する
CTO・CAIO開発・AI基盤
- LMDeploy・OpenDeepWiki・MuseBot・MONAI・n8n・Paperclip の利用有無を全チームに確認する
- CakePHP の SQL 部品や pybars のテンプレートに利用者の入力を渡す箇所を点検する
- AI 関連 OSS の初期の鍵・パスワード変更と、管理用 API の認証を標準手順にする
CIO・情シス社内システム
- 自己ホストの GitLab と Cisco ASA・FTD の版を確認し、11/01 までに更新する
- Traefik を 3.7.15 以降へ上げ、Ingress の mTLS 設定を確認する
- phpMyAdmin を外部に出していないか確認する
全社員日常の行動
- 試用で立てた AI ツールや自動化の環境は、情シスに伝えておく
- パスワードや鍵を初期値のまま使わない
- 不審なログイン通知が来たら情シスへ連絡する
重大度の見方
CVSS（0〜10点）と「実際に悪用されているか」で4段階に分けている。
9.0点以上、または悪用確認済み。乗っ取りや情報流出に直結。使っていれば即日対応
7.0〜8.9点、または条件付きで深刻。今週中に対応
4.0〜6.9点。次回の定期更新で対応
提供元が修正済み。当社側の作業は不要
脆弱性ごとの内容と対策
NVD に載る CVSS 3.1 の評価（報告元の VulnCheck が付与）。CVSS 4.0 では 9.3。NVD の分析は未了
- 内容
- InternLM の LMDeploy（0.9.0〜0.18.0）で、モデルの重みを更新する /update_weights に細工した pickle データを送ると、検証なしに復元されて OS のコマンドが動く。ログインは要らない。
- 影響
- API サーバーの権限でサーバーを乗っ取られる。CISA の分類では、PoC があり自動化もできる評価。
- 対策
- 修正版は確認できていない（公開されている修正の PR は #4964 だが、取り込み済みの版は未確認）。API を外部に出さず、/update_weights への接続をネットワークで遮断する（当社の見立て）
- 出典
- VulnCheck：LMDeploy 公告 GitHub：LMDeploy issue 4698 NVD：CVE-2026-119706
確認する人：LLM 推論基盤を自前で動かす AI 担当、Python の開発者
VulnCheck が付けた CVSS 4.0 の評価。CVSS 3.1 では 8.1。NVD の分析は未了
- 内容
- Handlebars 形式のテンプレートを扱う pybars3（0.9.7 まで）と pybars4（0.9.13 まで）で、括弧で囲んだパスの扱いに不備があり、テンプレートを書ける人が Python のコードを実行できる。
- 影響
- 利用者や外部がテンプレートを投稿できるアプリで、サーバーが乗っ取られる。テンプレートを開発者しか書かない構成では、影響は小さい。
- 対策
- 修正版は確認できていない。テンプレートを外部の人に書かせない。pybars3 は upstream の issue #88 を確認する
- 出典
- VulnCheck：pybars3 公告 GitHub：pybars3 issue 88 NVD：CVE-2026-119716
確認する人：Python で Web アプリやレポート生成を作る開発者
NVD に載る CVSS 4.0 の評価。CVSS 3.1 では 8.1。GitHub の重大度は Critical（未レビュー）
- 内容
- PHP の開発フレームワーク CakePHP（5.4.3 まで）で、ウィンドウ関数の指定（WindowExpression の range・frame）や照合順序（COLLATE）の指定が検証されず、後ろに SQL を足せる。
- 影響
- 利用者の入力をこれらの機能に渡している場合、データベースの情報が抜き取られたり書き換えられたりするおそれ。
- 対策
- 修正版は確認できていない（GitHub の項目欄は「不明」）。当面は、利用者の入力をこれらの指定に直接渡さず、固定の値だけを許可する（当社の見立て）
- 出典
- GitHub Advisory：GHSA-h3r5-88vp-3qm7（CVE-2026-119418） GitHub Advisory：GHSA-6q38-2qcr-3x34（CVE-2026-119419） NVD：CVE-2026-119418
確認する人：CakePHP で受託開発している案件の担当
OpenDeepWiki と MuseBot は NVD に載る CVSS 3.1 の評価（9.8）。MONAI は CVSS 4.0 で 8.5
- 内容
- OpenDeepWiki（2.0.6 まで）は、署名用の鍵が設定ファイルに固定で書かれており、誰でも管理者のトークンを作れる。MuseBot は、初期の署名キーが固定で、管理者のセッションを偽造できる。医療画像用の機械学習基盤 MONAI は、細工した作業フォルダを読み込むと任意の Python コードが動く。
- 影響
- 社内検証用や PoC 用に立てた AI ツールが、外部公開されていれば即座に乗っ取られる。MONAI は、外部から受け取ったデータを読み込む環境が対象。
- 対策
- 修正版は確認できていない（OpenDeepWiki の GitHub 項目に修正版の記載なし）。使っていれば、鍵を自分で作り直して外部公開を止め、MONAI は出どころ不明の作業フォルダを読み込まない
- 出典
- GitHub Advisory：GHSA-fc52-73gp-r537（OpenDeepWiki） NVD：CVE-2026-119597 NVD：CVE-2026-119660 NVD：CVE-2026-119578
確認する人：AI 基盤・PoC を担当するチーム、Python・.NET の開発者
8.8 は Paperclip（CVSS 3.1、VulnCheck が付与）。Zuke は GitHub が付けた CVSS 3.1 で 8.0。どちらも NVD の分析は未了
- 内容
- Paperclip（@paperclipai/server、2026.403.0 以上 2026.416.0 未満）：API キーを持つ人が実行ワークスペースに後始末用のコマンドを設定でき、アーカイブ時にサーバー上で実行される。Zuke（Deno 製のビルド自動化、1.51.0 未満）：MCP のレジストリ機能で、書き込める第三者が実行するプログラムと引数を決められる。
- 影響
- どちらも、権限を持つ人（またはレジストリに書ける人）が、サーバーや作業者の環境でコマンドを動かせる。Zuke は registry を --allow-run で動かし、他人が書き換えられる場合が対象で、既定のローカル設定は影響を受けない。
- 対策
- Paperclip は 2026.416.0 以降、Zuke は 1.51.0 以降へ更新する
- 出典
- GitHub Advisory：GHSA-vr7g-88fq-vhq3（Paperclip） GitHub Advisory：GHSA-2rmh-5cw4-33gr（Zuke） NVD：CVE-2026-119713
確認する人：AI エージェント基盤・MCP を試している開発者
CVE-2026-119408 の NVD の評価（CVSS 3.1）。GitHub では CVSS 4.0 で 8.7。CVE-2026-119557 は 8.2（CVSS 4.0）
- 内容
- CVE-2026-119408：非推奨の Function・Function Item・LangChain Code ノードが、隔離の外で動く。ワークフローを作成・変更・取り込める利用者が、n8n 本体で JavaScript を実行できる。CVE-2026-119557：Databricks ノードのパストラバーサルで、Webhook などの入力を受ける設定だと、認証なしで保存済みの認証情報を使った任意の API 呼び出しが可能になる（2.14.0〜2.46.3）。
- 影響
- n8n のサーバーと、そこに保存した各種サービスの認証情報が危険にさらされる。
- 対策
- CVE-2026-119408 は 2.42.6、2.43.3、3.0.1 以降へ更新。CVE-2026-119557 は修正版を確認できていない。Databricks ノードに外部入力を直接渡していないかを調べ、認証情報の権限を絞る（当社の見立て）
- 出典
- GitHub Advisory：GHSA-48fh-2c4x-8wcm GitHub Advisory：GHSA-4qwq-628r-75jr NVD：CVE-2026-119408
確認する人：n8n を運用する情シス、自動化案件の担当
CVE-2026-119572 の NVD の評価（CVSS 3.1）。GitHub では CVSS 4.0 で 7.0。CVE-2026-119574 は 8.2（CVSS 4.0）
- 内容
- CVE-2026-119572：Kubernetes の Ingress NGINX プロバイダー（3.7.0-ea.1 以降 3.7.15 未満）で、クライアント証明書を求める設定（mTLS）が黙って無効になり、認証なしでバックエンドに届く。CVE-2026-119574：実験機能 FastProxy（3.2.0 以降 3.7.15 未満）の競合状態で、プロトコル切り替えを繰り返すとプロセスが落ちる。
- 影響
- 証明書で保護したつもりの社内向けサービスが、外から見える。もう一方は、通信だけでプロキシを停止できる。
- 対策
- 3.7.15 以降へ更新（GitHub 項目の修正版欄は「不明」で、本文の記載による）。同じホストに複数の Ingress がある構成を先に洗い出す（当社の見立て）
- 出典
- GitHub Advisory：GHSA-432c-8xc8-xf66 GitHub Advisory：GHSA-r4c9-879g-3g2v NVD：CVE-2026-119572
確認する人：Kubernetes・コンテナ基盤の担当
NVD に載る CVSS 4.0 の評価（Secondary）。4件とも同じ 8.5
- 内容
- 全文検索機能 FTS5 の2か所とセッション拡張でメモリ領域があふれる。コマンドラインの sqlite3 は、.recover の出力に紛れたドットコマンドから OS のコマンドが実行される。
- 影響
- 細工したデータベースファイルを開く機能がある場合、そのプロセスが乗っ取られるおそれ。Python の標準ライブラリや各 OS が同梱している。
- 対策
- 修正版は確認できていない。sqlite.org の CVE 一覧に今回の番号の記載はなかった。OS やランタイム側の更新を待ち、出どころ不明の DB ファイルを開かない
- 出典
- NVD：CVE-2026-119373 NVD：CVE-2026-119586 SQLite：既知の CVE 一覧（今回分の記載なし）
確認する人：Python・組み込み用途で SQLite を使う開発者
詳細：CVE-2026-119373、CVE-2026-119374、CVE-2026-119379、CVE-2026-119586
NVD に載る CVSS 4.0 の評価。CVE-2026-119426 が 7.7、CVE-2026-119561 が 7.6
- 内容
- CVE-2026-119426：POST の送り方次第で CSRF トークンの検査を抜けられ、管理者のブラウザ経由で SQL を実行させられる。CVE-2026-119561：WebAuthn の署名が検証されず、二要素認証を突破できる。
- 影響
- データベース管理画面の乗っ取りと、保存データの閲覧・改ざん。
- 対策
- 修正版は確認できていない。phpmyadmin.net のセキュリティ一覧に2026年の公告はなかった（確認時点）。管理画面は接続元の IP で絞り、インターネットに直接出さない
- 出典
- NVD：CVE-2026-119426 NVD：CVE-2026-119561 phpMyAdmin：セキュリティ公告一覧
確認する人：PHP・WordPress 案件のサーバー管理者
NVD に載る CVSS 4.0 の評価。Google の公告での重大度は Critical
- 内容
- SubWorkflow タスクで、信頼できないデータの復元（デシリアライズ）により、認証済みの利用者が任意のコードを実行できた。
- 影響
- Google 側で 2026-09-11 に修正済み。
- 対策
- Google の公告は「顧客の対応は不要」と明記している
- 出典
- Google Cloud セキュリティ速報一覧（GCP-2026-074） NVD：CVE-2026-93327
確認する人：Google Cloud の利用担当（念のため把握のみ）
点数は今回再取得していません。10/30 のレポートの記載（GitLab 10.0、Cisco 8.6）を参照してください
- 内容
- CISA が 10/29 に、GitLab と Cisco の SSL VPN の欠陥を悪用確認済みの一覧（KEV）に追加した。GitLab は 19.2.8 未満、19.3.5 未満、19.4.2 未満が対象。
- 影響
- ソースコード管理サーバーや VPN 装置が乗っ取られ、社内ネットワークへの入口になるおそれ。
- 対策
- 対応期限は両方とも 11/01。GitLab は上記の版以降へ更新し、Cisco は SSL VPN を公開している機器を優先して更新する。ベンダー公告は今回開いていない
- 続報
第2版 NVD の KEV 照会（10/28〜10/30）でも、期限は 11/01 のまま。この2件に動きはない。
過去の続報を見る（1件）閉じる
第1版 NVD の KEV 照会（10/29〜10/30）で、追加は2件のまま。期限は変わらない。
- 出典
- NVD：CVE-2026-97229 NVD：CVE-2026-76418
確認する人：インフラ担当、GitLab を自社運用する開発責任者
AIを使った攻撃と、AI開発基盤への攻撃
AI 関連 OSS に「初期値のまま」「認証なしの管理口」「隔離の外」が目立った（10/30 公開分）
今回の AI 関連は、攻撃手法の目新しさより、基本の作り込みの甘さが並んだ。OpenDeepWiki と MuseBot は、署名の鍵がソースに書かれたままだった。LMDeploy は、重みを更新する口に認証がなく、受け取ったデータをそのまま復元して実行していた。n8n は、本来は隔離されるはずのノードが本体で動いた。PoC 用に立てた環境ほど放置されやすく、気づかないまま外部公開されている例も多い。
固定の鍵で管理者になりすまされる流れ
- 開発者が、署名用の鍵を設定ファイルやソースに書いたまま公開する
- 攻撃者が公開された鍵を読み、管理者用のトークンを自分で作る
- そのトークンでログインし、設定の変更や管理機能の操作に進む
認証のない口から pickle で乗っ取られる流れ（LMDeploy）
- API サーバーを外部から届く場所に置く（認証の設定がない）
- 攻撃者が /update_weights に、細工した pickle データを base64 で送る
- サーバーが検証せずにデータを復元し、攻撃者のコマンドが API サーバーの権限で動く
AI 案件の責任者がすぐ確認すること
- LMDeploy・OpenDeepWiki・MuseBot・MONAI を社内検証・顧客 PoC で動かしていないか
- 鍵・パスワードが初期値のまま、あるいはソースに書かれたままになっていないか
- n8n・Paperclip のワークフロー作成・設定変更の権限を、必要な人だけに絞っているか
- PoC 環境がインターネットから直接見える状態になっていないか
出典： VulnCheck（LMDeploy） ／ GitHub Advisory（OpenDeepWiki） ／ GitHub Advisory（n8n） ／ NVD：CVE-2026-119660（MuseBot）
用語メモ
CVSSや修正版は、各社の公式発表・NVD・GitHub Advisory の値をそのまま載せている。「未確認」と書いた項目は、公開時点で公式情報を確認できなかったもの。自社環境が該当するかどうかは、技術担当の確認をもって確定してほしい。
主な出典： NVD ／ GitHub Advisory Database ／ VulnCheck ／ Google Cloud ／ AWS ／ ZDI ／ JVN