更新履歴（2026年11月3日）
レポート作成日時：2026/11/03 00:30（第1版）｜最終更新日時：2026/11/03 01:50（第2版）
主な変更
- 第2版 01:50 追加（カード）：SUSE Rancher Fleet の管理クラスタ認証情報の悪用（CVE-2026-94290、9.1）と Rancher Manager の SSRF（CVE-2026-88809、7.6）。CWP の追加8件（CVE-2026-77876 が 9.8 ほか）。 追加（カード）：Linux カーネルの io_uring・トレース・Bluetooth など（7.8）、Eclipse ThreadX の NetX Duo（8.7）、NLnet Labs Krill の3件（8.4）。 更新：第1版のカードは、出典と内容を保ったまま、CWP のカードに追加分への案内を足した。KEV は 10/30〜11/02 16:50 UTC の照会で Ivanti の1件のまま、新規なし。python-jose と Apache Syncope に修正版・点数の変化は見つからなかった。 確認した範囲：NVD の公開日の照会（11/02 15:30〜16:50 UTC、日本時間 00:30〜01:50）は45件。うち一覧の読めた45件を確認した。更新日の照会（同時間帯）は494件で、読めたのは先頭の24件。pypdf（CVE-2025-55197、CVE-2026-27628 ほか）の古い記録に 3.1 で 7.5 が付いている。公告 ID が確認できない INFINITT PACS の CVE-2026-16306（遠隔コード実行、点数なし）はカードにしていない。 未確認：SUSE、Linux カーネル、Eclipse、NLnet Labs の公告と、CWP の更新履歴は開いていない。JVN、OSV、JPCERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto、CERT/CC、Project Zero、報道（tier D）は今回も見ていない。NVD は WebFetch の要約を通して読んでおり、読み違いが残る可能性がある。 タグ：前の版のタグが取得結果に含まれていなかったため、本文全体から3種類とも付け直した。製品名は10件の上限があり、悪用確認済み・9以上・AI 関連・読者企業での利用の順で選んだ（Dell OpenManage Enterprise、Camaleon CMS、Apache Syncope、Netpbm は外れた）。
もっと見る（過去の版 1件）閉じる
- 第1版 00:30 新規：11/02 のレポート（第20版、最終 20:28）以降に NVD へ載った分（11/02 11:30〜15:35 UTC、日本時間 20:30〜11/03 00:35）を中心に作った。公開日の照会は80件で、そのうち約70件の記載を読み、7.0 以上のものをカードにした。 追加（カード）：Barracuda Email Security Gateway の認証バイパス（CVE-2026-116606、9.3）とタイムゾーン設定の OS コマンド注入（CVE-2026-111560、8.6）。Control Web Panel の3件（各 9.8）。Python の JOSE ライブラリ python-jose の空 HMAC 鍵による認証回避（CVE-2026-120459）。 追加（カード）：中国系の管理画面向け OSS（ape-volo-admin、madong-admin-saas、HotGo、DoraCMS、GoFound）の認証・認可の欠陥。OpenCSG CSGHub（AI モデルの共有基盤）の未認証での非公開リポジトリ読み取り。Dell OpenManage Enterprise の OS コマンド注入。Joomla 拡張・StageIt、Netpbm・QuickJS-NG、Jpom、Camaleon CMS、WooCommerce 用プラグイン、Chatify・LaraDashboard、Apache Syncope、Intel SGX DCAP。 続報：Ivanti Connect Secure の CVE-2026-111357（KEV）。期限は 11/02 で、日本時間ではすでに過ぎた。 確認した範囲：NVD の更新日の照会（11/02 11:30〜15:35 UTC）は284件で、先頭の4件しか読めていない。KEV は 10/30〜11/02 15:35 UTC の照会で Ivanti の1件のみ。oss-security の最新は 11/02 の C-Kermit、AWS セキュリティ情報の最新は 10/30 22:15 PDT の Linux カーネル CVE-2026-98432、ZDI の公開済みアドバイザリは 10/29 の MLflow が最新、GitHub Advisory（レビュー済み）の先頭15件は 10/30 付。 未確認：Apache Syncope の公告（lists.apache.org）、Joomla・WordPress 各拡張のベンダー公告、Barracuda 本家の公告、CWP の更新履歴は開いていない。JVN、OSV、JPCERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto、CERT/CC、Project Zero、報道（tier D）は今回見ていない。 タグ：当日の第1版のため、本文から付け直した。
前日のレポート（11/2）からの変化（役割別）
情報システム担当
- 新規の緊急：data center attestation primitives（intel）（CVE-2026-20702）：data center attestation primitives（intel） のバージョンアップ
- 新規の緊急：Control Web Panel：protected_directory の OS コマンド注入（9.8）（CVE-2026-77876）：解消方法は公告で確認
- 新規の緊急：Control Web Panel：phpini_editor の任意ファイル書き込みと OS コマンド注入（9.8）（CVE-2026-73697）：解消方法は公告で確認
- 新規の緊急：Control Web Panel：リダイレクト後も処理が続く認証回避（9.8）（CVE-2026-73696）：解消方法は公告で確認
- 新規の緊急：Control Web Panel：module パラメータのパストラバーサル（9.8）（CVE-2026-73695）：解消方法は公告で確認
- ほかに新規の緊急が 4 件あります。（CVE-2026-120442、CVE-2026-120446、CVE-2026-116606、CVE-2026-94290）
エンジニア
- 新規 56 件のうち、CVSS が未公表のものは 5 件、NVD で裏取りできていない ID は 0 件です。（CVE-2026-114364、CVE-2026-113687、CVE-2026-113511、CVE-2026-110535、CVE-2026-109083）
- CVE-2026-20702：data center attestation primitives（intel）／CVSS 10.0／EPSS 0.4%
- CVE-2026-77876：Control Web Panel：protected_directory の OS コマンド注入（9.8）／CVSS 9.8
- CVE-2026-73697：Control Web Panel：phpini_editor の任意ファイル書き込みと OS コマンド注入（9.8）／CVSS 9.8
- CVE-2026-73696：Control Web Panel：リダイレクト後も処理が続く認証回避（9.8）／CVSS 9.8
- CVE-2026-73695：Control Web Panel：module パラメータのパストラバーサル（9.8）／CVSS 9.8
経営者
- 新たに掲載した脆弱性は 56 件です（緊急 9 件・高 40 件）。前回から続いているものは 1 件です。
Rancher Fleet に 9.1、CWP は追加8件で計11件。Barracuda のメールゲートウェイは認証なしで設定を書き換えられる
01:17（日本時間）に NVD へ載った分を加えました。SUSE Rancher Fleet は、管理クラスタの認証情報を悪用できます（9.1）。Control Web Panel は新たに8件が載り、最大 9.8 です。Linux カーネルは 7.8 の権限昇格系が複数並びました。夜の第1版の Barracuda Email Security Gateway（9.3）、python-jose（9.1）は、修正版・悪用の新しい報告とも見つかっていません。Ivanti Connect Secure の KEV 期限（11/02）は日本時間ではすでに過ぎています。
重大度別の件数
緊急（9.0 以上、または悪用確認済み）
8
Ivanti、Barracuda、CWP（2件）、python-jose、管理画面系 OSS、Intel SGX DCAP、Rancher Fleet
高（7.0〜8.9）
11
Linux カーネル、ThreadX、Krill、CSGHub、Dell OME ほか
中（4.0〜6.9）
0
7.0 未満は載せていない
点数なし
1
Apache Syncope
今日やること
Ivanti Connect Secure を使っていれば、CVE-2026-111357 の修正を今すぐ確認する。KEV の期限は過ぎている。
Barracuda の Email Security Gateway（9.4.0.030 未満）、WAF、Load Balancer ADC の管理画面と、Control Web Panel、Rancher・Fleet の管理画面が外から見えていないか調べ、見えていれば遮断する。
python-jose、Camaleon CMS、WordPress・Joomla の拡張を、顧客案件と社内で洗い出す。Linux カーネルの更新も計画に入れる。
経営・技術責任者が判断すること
CTO・CAIO認証ライブラリの版管理
python-jose は空の鍵を受け入れて署名検証を通す。JWT を使う Python 案件は、全社の依存関係から python-jose を洗い出し、置き換えるか修正版を待つかを決めたい。修正版は NVD の記載に見当たらない。
CIO期限が過ぎた KEV の扱い
Ivanti の期限は日本時間で過ぎた。更新が済んでいない顧客があれば、停止して切り分けるか、監視を強めて続けるかを、今日の朝一番で決める。
CIO・CAIO管理画面ソフトと OSS の公開範囲
CWP は11件、中国系の管理画面 OSS は5製品で、修正版の記載が乏しい。受託案件の雛形に使っていれば、版の固定と、公開範囲の絞り込みを標準にするかを決めたい。Rancher・Fleet のような基盤の管理画面も同じ扱いにするかを、あわせて決める。
重大度の見方
9.0 以上、または悪用確認済み。当日中に対応を始める。
7.0〜8.9。数日以内に対応する。
点数が公表されていない。内容から判断し、点数が出たら見直す。
ゲージの目盛りは、NVD に載る点数（Primary か Secondary）で、高い方を使っている。
脆弱性ごとの内容と対策
CVE-2026-94290 は 3.1 で 9.1、CVE-2026-88809 は 3.1 で 7.6。どちらも NVD に載る Secondary 評価で、NVD 自身の評価は未付与。
- 内容
- Rancher Fleet（Kubernetes 向けの継続的デプロイ基盤）は、kubeconfig シークレットの参照制限が足りず、管理クラスタの認証情報を悪用できる（94290）。Rancher Manager は /meta/proxy が許可リスト外の宛先にもリクエストを転送する（SSRF、88809）。
- 影響
- 版の範囲は、開いた範囲の記載から読み取れなかった。Kubernetes の管理基盤で、複数クラスタをまとめて操作できる位置にある。悪用の報告は確認できていない。
- 対策
- 修正版は未確認（SUSE の公告は開いていない）。Rancher・Fleet を使っていれば、SUSE の公告で版を確認し、管理画面とシークレットの参照権限を絞る（後半は当社の提案）。
- 続報
第2版 NVD に 11/02 16:17 UTC（日本時間 11/03 01:17）に載った。一覧の記載による。
- 出典
- NVD CVE-2026-94290NVD CVE-2026-88809
CVE-2026-77876 が 3.1 で 9.8（NVD の Primary）、4.0 で 9.3（Secondary）。ほかは 3.1 で 7.7〜8.4、1件（77881）は 6.9 未満の評価。出どころはいずれも NVD。
- 内容
- 前の版のCWP 3件に加え、同じ16:17 UTC に8件が載った。77876 は protected_directory の OS コマンド注入（9.8）。77877 は loopback API で root 向けルートの認証が欠けている。77878・77880・104080 はそれぞれ別の入口からの OS コマンド注入。77879 は access_token() の SQL インジェクションで認証結果を偽造できる。77881 は認証不要のブラインド SQL インジェクション。
- 影響
- 版は 1.16 未満（77876・77879・77880）と 1.30 未満（77877・77878・77881・104080）。CWP 全体で、管理画面が外から届く構成だと、サーバーの乗っ取りに至る恐れがある。悪用の報告は確認できていない。
- 対策
- NVD の記載から、1.30 以降へ更新するのが目安。CWP の更新履歴は開いておらず、修正版は未確認。更新までは管理画面の公開を止める（後半は当社の提案）。
- 続報
第2版 NVD に 11/02 16:17 UTC に載った。前の版の3件（73695〜73697）と合わせ、CWP は11件になった。一覧の記載による。
- 出典
- NVD CVE-2026-77876NVD CVE-2026-77877NVD CVE-2026-104080
CNA（脆弱性の採番元）が付けた CVSS 3.1 の 7.8 が11件前後。99218・99224 は 7.0。NVD 自身の評価は未付与。
- 内容
- io_uring の waitid で完了が二重になる／解放後に参照する（99227・99231）、トレース機能の履歴・フィルタ処理の解放後使用や二重解放（99233・99235〜99238）、Bluetooth L2CAP の競合（99239）、キーリング処理の解放後参照（99224）。多くはローカルの利用者が権限を上げる類。
- 影響
- 具体的な版の範囲は、開いた範囲に記載がなかった。クラウド VM やコンテナのホストで、第三者が任意コードを動かせる環境（共用サーバー、CI ランナー）では、権限昇格の足がかりになりうる。
- 対策
- ディストリビューションのカーネル更新を待って適用する。個別の修正版は未確認。
- 続報
第2版 NVD に 11/02 16:17 UTC に載った。他に NTFS・DAMON・キーリングの不具合など点数なしのものが約20件ある。
- 出典
- NVD CVE-2026-99227NVD CVE-2026-99239NVD CVE-2026-99224
CVE-2026-114408 は 4.0 で 8.7、CVE-2026-115653 は 4.0 で 7.0。どちらも NVD に載る Secondary 評価。
- 内容
- NetX Duo は ICMPv6 の Packet Too Big を処理する際に戻り値を確かめず、NULL 参照でネットワークが止まる（114408）。Cortex-M の PendSV でスタックポインタを検証せず、ユーザーモードのモジュールが特権領域へ書き込める（115653）。
- 影響
- 組み込み機器（IoT・産業用機器）の通信スタックと OS。版の範囲は、開いた範囲に記載がなかった。
- 対策
- 修正版は未確認。機器メーカーの更新情報を確認する。
- 続報
第2版 NVD に 11/02 16:17 UTC に載った。一覧の記載による。
- 出典
- NVD CVE-2026-114408NVD CVE-2026-115653
CVSS 3.1 で 8.4（NVD に載る Secondary 評価）。NVD 自身の評価は未付与。
- 内容
- セッショントークンの nonce が再起動でリセットされて再利用できる（109140）。CA 制限つきのロールが、CA 以外のリクエストで全権限を持つ（109141）。同じサーバー上の親 CA との処理で、子のハンドルを検証しない（109142）。
- 影響
- 経路情報の認証に使う RPKI の運用ソフト。使っているのは主にネットワーク事業者で、読者企業での利用は少ない見込み。
- 対策
- 修正版は未確認。使っていれば NLnet Labs の公告を確認する。
- 続報
第2版 NVD に 11/02 16:17 UTC に載った。
- 出典
- NVD CVE-2026-109140NVD CVE-2026-109141NVD CVE-2026-109142
点数は今回確認していません。KEV 掲載（悪用確認済み）として扱う。
- 内容
- NVD の KEV 照会で、Ivanti Connect Secure（対象は 22.8R2.4）の CVE-2026-111357 が返った。CISA の KEV には 10/30 に追加され、対応の期限は 11/02 だった。脆弱性の種類は、今回は個別記録を開いていない。
- 影響
- VPN の入口になる機器で、侵入されると社内ネットワークへの足がかりになる。悪用が確認されたものとして扱う。
- 対策
- Ivanti の公告で修正版を確認し、更新する。更新が終わるまでは、管理画面を外から届かないようにし、不審なログインの履歴を見る（後半は当社の提案）。
- 続報
第2版 10/30〜11/02 16:50 UTC の KEV 照会も、この1件のみ。新規の追加はない。
過去の続報を見る（1件）閉じる
第1版 10/30〜11/02 15:35 UTC の KEV 照会は、この1件のみを返した。11/02 のレポートの扱いから変化はない。
- 出典
- NVD CVE-2026-111357NVD API：KEV の照会
CVSS 4.0 で、CVE-2026-116606 が 9.3、CVE-2026-111560 が 8.6。出どころ：NVD に載る Secondary 評価（Mandiant の報告）。NVD 自身の評価は未付与。
- 内容
- CVE-2026-116606 は、設定のインポート機能を認証なしで呼び出せ、細工したバックアップアーカイブを復元させて、装置の設定を書き換えられる（認証バイパス）。CVE-2026-111560 は、タイムゾーンの設定欄に混ぜた文字列が OS コマンドとして root 権限で動く。管理者権限が前提と Mandiant の記載にあるが、Barracuda 側の公告の URL には「認証前」の語があり、前提条件は食い違う。
- 影響
- 116606 は Email Security Gateway 9.4.0.030 未満。111560 は Email Security Gateway 9.4.0.27 以前、Load Balancer ADC 6.4.0 以前、Web Application Firewall 11.0.1 以前、Web Security Gateway 16.1.100.100 以前、Message Archiver 5.5.4.0 以前、WAF Control Center 2.2.1 以前。悪用の報告は確認できていない。
- 対策
- 116606 は 9.4.0.030 以降へ更新する。111560 の修正版は、開いた範囲に記載がなく未確認。更新までは管理画面を外から届かないようにする（後半は当社の提案）。
- 続報
第1版 NVD に 11/02 13:17 UTC（日本時間 22:17）に載った。Mandiant の開示文書を2件開いて確認した。報告は 10/22（116606）と 10/15（111560）。Barracuda 本家の公告は開いていない。第2版では新しい動きはない。
- 出典
- Mandiant：MNDT-2026-0042（CVE-2026-116606）Mandiant：MNDT-2026-0041（CVE-2026-111560）NVD CVE-2026-116606NVD CVE-2026-111560
CVSS 3.1 で 9.8（NVD の Primary）、4.0 で 9.3（Secondary）。3件とも同じ。
- 内容
- CWP は Linux サーバーの管理画面ソフト。NVD の記載では、CVE-2026-73695 は module パラメータのパストラバーサルで PHP ファイルを取り込める。CVE-2026-73696 はリダイレクト後も処理が続く認証回避。CVE-2026-73697 は phpini_editor からの任意ファイル書き込みと OS コマンド注入。
- 影響
- 73695・73697 は webpanel_version 1.16 未満、73696 は 1.12 未満。管理画面が外から届く構成では、サーバーの乗っ取りに至る恐れがある。悪用の報告は確認できていない。
- 対策
- NVD の記載では、73695・73697 は 1.16、73696 は 1.12 で修正。CWP の更新履歴は開いていない。更新までは管理画面の公開を止める（後半は当社の提案）。
- 続報
第1版 NVD に 11/02 15:17 UTC（日本時間 11/03 00:17）に載った。一覧の記載による。第2版で同じ CWP の追加8件が出たため、上の「追加分」のカードを参照。
- 出典
- NVD CVE-2026-73695NVD CVE-2026-73696NVD CVE-2026-73697
CVSS 4.0 で 9.1（Secondary）、3.1 で 7.4（NVD の Primary）。ゲージは高い方（4.0）。
- 内容
- python-jose（JWT などを扱う Python ライブラリ）が、空の HMAC 鍵を受け付ける。鍵が空になる設定ミスや入力があると、攻撃者が作った署名付きトークンが本物として通る（CWE-347）。
- 影響
- 3.5.0 以前。FastAPI などで JWT の検証に使っていれば対象になりうる。悪用の報告は確認できていない。
- 対策
- 修正版は、開いた範囲では確認できなかった（第2版でも変化なし）。鍵が空でないことを、呼び出し側で必ず検査する。PyJWT など保守の続いているライブラリへの置き換えも検討する（後半は当社の提案）。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。参照先に python-jose の GitHub issue 398 と VulnCheck の公告がある。
- 出典
- NVD CVE-2026-120459GitHub：python-jose issue 398（NVD の参照先）
最大は ape-volo-admin の CVE-2026-120442（3.1 で 9.8、4.0 で 9.3）。出どころ：NVD の Primary（3.1）と Secondary（4.0）。
- 内容
- CVE-2026-120442 は JWT の署名鍵がコードに埋め込まれていて、誰でも通行証を作れる。madong-admin-saas の CVE-2026-120446 は、テナント管理 API に認証がなく（3.1 で 9.4）、CVE-2026-120445 は認可の不備（8.8）。HotGo の CVE-2026-120447 は、SMS 認証コードをクライアントが指定でき（4.0 で 9.2）、DoraCMS の CVE-2026-120448 は API キーの所有者を差し替えられる（8.6／8.1）。GoFound の CVE-2026-120444 は、database パラメータからのパストラバーサル（8.1）。
- 影響
- ape-volo-admin 3.6.1 未満、madong-admin-saas 5.1.4 以下、HotGo 2.15.1 以下、DoraCMS 3.1.0 以下、GoFound 1.4.1 以下。管理画面の雛形として受託案件に入っていれば、認証が丸ごと破られる。
- 対策
- 修正版は ape-volo-admin の 3.6.1 のみ NVD の記載で確認できた。ほかは修正版の記載が見当たらない。使っていれば、公開範囲を絞り、鍵の入れ替えとアクセスログの確認を行う（後半は当社の提案）。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。VulnCheck の公告が参照先にある。個別記録は開いておらず、一覧の記載による。
- 出典
- NVD CVE-2026-120442NVD CVE-2026-120446NVD CVE-2026-120447NVD CVE-2026-120448
CVSS 3.1 で 10.0（NVD の Primary）、4.0 で 8.9（Secondary）。ゲージは高い方（3.1）。
- 内容
- Intel の公告 intel-sa-01449 を参照する記録。保護機構の不具合により、ネットワーク経由で認証なしに情報が漏れる（CWE-693）。NVD の製品欄に製品名ではなく説明文が入っており、記録に不備がある可能性がある。
- 影響
- NVD の記載では、DCAP 1.20 以上 1.25 未満。機密計算（SGX）を使うクラウドや、証明書の検証サービスを自前で動かす環境が対象になる。
- 対策
- NVD の記載では、1.25 以降へ更新。Intel の公告は開いていない。
- 続報
第1版 公開は 8/11 だが、11/02 に NVD の記録が更新され、更新日の照会に入った。更新日の照会は一部しか読めておらず、同じ更新で点数が付いた他の記録を見落としている可能性がある。
- 出典
- NVD CVE-2026-20702
CVSS 4.0 で 8.7（Secondary）、3.1 で 7.5（Primary）。ゲージは高い方（4.0）。
- 内容
- 認証のない resolve ルートで、非公開リポジトリのファイルを読み取れる（CWE-639）。モデルの重みや学習データ、設定ファイルが外に出る恐れがある。
- 影響
- 社内で CSGHub を立てて AI モデルやデータセットを管理していれば対象。版の範囲は、NVD の記載から読み取れなかった。
- 対策
- 修正版は NVD に記載がない（参照は GitHub issue 1586）。使っていれば、社外から届かないようにし、非公開リポジトリの中身にアクセス記録がないかを見る（後半は当社の提案）。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。
- 出典
- NVD CVE-2026-120426GitHub：CSGHub issue 1586（NVD の参照先）
CVSS 3.1 で 8.0（NVD 掲載の Secondary 評価）。同じ公告の他の CVE は最大 8.8 と Dell のページにあり、公告の Impact 欄は「Critical」。
- 内容
- Dell の公告で、隣接ネットワークから低い権限のアカウントで届く OS コマンド注入。同じ公告に、パストラバーサル、署名検証の不備、XSS など10件超の CVE が並ぶ。
- 影響
- OpenManage Enterprise 4.8.0 未満。サーバー機器をまとめて管理する基盤で、乗っ取られると管理下の機器に影響が及ぶ。
- 対策
- Dell の公告では 4.8.0 以降へ更新。回避策の記載は見当たらない。更新までは管理画面を管理用セグメントに閉じる。
- 続報
第1版 NVD に 11/02 13:17 UTC に載った。Dell の公告を開いて確認した。
- 出典
- Dell：DSA-2026-467NVD CVE-2026-94349
CVSS 4.0 の Secondary 評価。CVE-2026-102802 が 8.9、103419・105602・105600 が 8.6、103420 が 7.2。
- 内容
- Regular Labs の Sourcerer と Articles Anywhere を併用すると PHP コードを注入できる（102802）。Helix Ultimate の Media Picker と Mega Menu で保存型 XSS（103419・105602）。StageIt は、設定文字列経由のコード実行（105600）と CSRF（103420）。
- 影響
- Joomla や PHP の案件で、これらの拡張を使っているサイト。
- 対策
- NVD の記載では、Sourcerer 17.0.1、Articles Anywhere 20.1.1、Helix Ultimate 2.2.11 へ更新。StageIt の修正版は記載がない。
- 続報
第1版 NVD に 11/02 14:17 UTC に載った。一覧の記載による。
- 出典
- NVD CVE-2026-102802NVD CVE-2026-103419NVD CVE-2026-105600
CVSS 4.0 で 8.5（Secondary）、3.1 で 7.8（Primary）。QuickJS-NG の CVE-2026-120439 は 4.0 で 8.3、3.1 で 7.0。
- 内容
- Netpbm は sgitopnm、winicontopam、picttoppm、xpmtoppm、jbigtopnm でヒープやスタックの破壊。細工した画像を変換させると任意コード実行に届く恐れがある。QuickJS-NG は 32bit 環境の整数オーバーフローと TypedArray の sort によるヒープ破壊。
- 影響
- Linux の画像処理パッケージ netpbm を、サーバー側の画像変換で使っている環境。QuickJS-NG を組み込んだアプリ（スクリプト実行機能）。
- 対策
- NVD の記載では、Netpbm は 10.86.51、11.02.29 または 11.02.30、11.15.07 または 11.15.08。QuickJS-NG は 0.16.0。ディストリビューションの更新を待つ。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。一覧の記載による。
- 出典
- NVD CVE-2026-120431NVD CVE-2026-120438
CVSS 3.1 で 8.8（Primary）、4.0 で 8.7（Secondary）。
- 内容
- ワークスペース（チームや環境の区切り）をまたいで、他のワークスペースの Docker コンテナ・イメージ、SSH のコマンドを一括で操作できる（CWE-639）。
- 影響
- Jpom 2.11.12 以前。デプロイや Docker 管理を Jpom で共有していれば、権限の低い利用者が他の環境のサーバーに命令を送れる。
- 対策
- 修正版は NVD に記載がない。修正コミット ff09fe80 が参照されている。使っていれば、利用者の権限を見直し、公開範囲を絞る（後半は当社の提案）。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。
- 出典
- NVD CVE-2026-120460NVD CVE-2026-120461
CVSS 4.0 の Secondary と 3.1 の Primary がともに 7.1。同じ版で CategoriesController の IDOR（3.1 で 5.4）も修正された。
- 内容
- Ruby on Rails 製の CMS で、メディア管理の処理に認可の確認がなく、権限のない利用者が操作できる。
- 影響
- 2.9.2 未満。
- 対策
- NVD の記載では 2.9.2 へ更新。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。参照先に GitHub の 2.9.2 リリースがある。
- 出典
- NVD CVE-2026-120429GitHub：Camaleon CMS 2.9.2（NVD の参照先）
CVSS 4.0 で 8.6（Secondary）、3.1 で 7.2（Primary）。ゲージは高い方（4.0）。
- 内容
- WooCommerce 用の商品ギャラリー拡張で、Codestar のバックアップ用 AJAX に認可の確認がなく、権限のない利用者が設定を操作できる（CWE-862）。
- 影響
- 2.3.26 未満。
- 対策
- NVD の記載では 2.3.26 へ更新。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。
- 出典
- NVD CVE-2026-120318
CVE-2026-120487 は 4.0 で 8.6（Secondary）、3.1 で 7.2（Primary）。CVE-2026-120425 は 4.0 で 7.1、3.1 で 6.5。
- 内容
- LaraDashboard は SettingPolicy の認可が正しくない。Chatify（Laravel のチャット機能）は、pusher の認可エンドポイントで他人のプライベートチャンネルを購読できる。
- 影響
- LaraDashboard 1.4.5 未満、Chatify 1.6.4 未満。
- 対策
- NVD の記載では LaraDashboard 1.4.5、Chatify 1.6.4 へ更新。
- 続報
第1版 NVD に 11/02 15:17 UTC に載った。
- 出典
- NVD CVE-2026-120487NVD CVE-2026-120425
点数は公表されていません。
- 内容
- BPMN の JUEL 式（109083）と Groovy（113687）がサンドボックスなしで動く。自己更新で非管理者が偽装認証を設定できる（110535）。委任管理者が管理境界の外へ Realm を移せる（113511）。CVE-2026-77051 の SQL インジェクション修正が不完全（114364）。
- 影響
- Syncope 4.0.x（4.0.9 未満）と 4.1.x（4.1.4 未満）。ID 管理基盤で、管理権限を持つ人が任意のコードを動かせる点が重い。
- 対策
- NVD の記載では 4.0.9 または 4.1.4 へ更新。Apache の公告は開いておらず、深刻度の評価は未確認。
- 続報
第1版 NVD に 11/02 14:17 UTC に載った。点数が付いたら見直す（第2版の時点でも点数なし）。
- 出典
- NVD CVE-2026-109083NVD CVE-2026-114364
AI 関連の注目トピック
AI 基盤では OpenCSG CSGHub が目立つ。モデルや学習データを置く場所が、認証なしで読めるのは重い。MCP まわりでは、Chainlit 2.12.0 の MCP allowed_urls の回避による SSRF（CVE-2026-120492、4.0 で 6.3、3.1 で 5.4）が載った。7.0 未満のため載せる基準には届かないが、エージェントから内部の宛先へ届く経路になりうるため、使っていれば確認したい（後半は当社の見方）。LaraDashboard の MCP 送信ツールの認可不備（CVE-2026-120450）も 5.3 で基準未満。
GitHub Advisory の先頭には、10/30 付の pypdf（Python の PDF 処理）の高評価が並んでいる。第2版の更新日の照会でも、pypdf の古い記録（CVE-2025-55197、CVE-2026-27628 ほか）に 3.1 で 7.5 の点数が付いたのが見えた。細工した PDF による停止やメモリの使いすぎ。社内文書を取り込む RAG があれば版を見ておきたい。Dify の CVE-2025-63387 も更新されたが、MITRE は disputed としており、点数は 7.5 と 4.3 で割れている。Kubeflow Pipelines と pyasn1 にも高評価がある。ZDI では 10/29 付の MLflow が9件（ZDI-26-839〜847）で、ZDI-26-844（SSRF、8.2）が最大。いずれも一覧の見出しを読んだ範囲で、公告本文は開いていない。
出典：NVD CVE-2026-120426、NVD CVE-2026-120492、NVD CVE-2025-55197（pypdf）、NVD CVE-2025-63387（Dify）、ZDI：公開済みアドバイザリ、GitHub Advisory Database
役割別確認ポイント
ページ上部の役割ボタンで、表示するブロックを絞り込めます。
担当ごとのやること
情報システム担当情シス
- Ivanti Connect Secure の更新状況を今朝一番で確認する（KEV の期限は過ぎた）。
- Barracuda の Email Security Gateway は 9.4.0.030 以降へ更新し、WAF・Load Balancer ADC・Web Security Gateway・Message Archiver の管理画面を外から届かないようにする。
- Control Web Panel（11件）を使うサーバーがあれば、管理画面の公開を止め、更新履歴で 1.30 以降の修正版を確認する。
- Rancher・Fleet を使っていれば、SUSE の公告で版を確認し、管理画面の公開範囲とシークレットの参照権限を絞る。
- Dell OpenManage Enterprise を 4.8.0 以降へ更新する。
- Joomla・WordPress の拡張（Sourcerer、Articles Anywhere、Helix Ultimate、StageIt、Woo Product Gallery Slider）の版を確認する。
- Linux サーバーは、カーネルと netpbm の OS 更新を適用する。
エンジニア開発・運用
- Python 案件の依存関係から python-jose を探し、鍵が空にならないことを検査する。置き換えも検討する。
- 管理画面の雛形に ape-volo-admin、madong-admin-saas、HotGo、DoraCMS、GoFound を使っていないか確認する。
- CSGHub を使っていれば公開範囲を絞る。Jpom は利用者の権限を見直す。
- Ruby 案件で Camaleon CMS を 2.9.2 以降へ、Laravel 案件で LaraDashboard・Chatify を修正版へ更新する。
- Apache Syncope を使う案件は 4.0.9・4.1.4 の適用計画を立てる。
- PDF を取り込む処理で pypdf を、AI 基盤で MLflow を使っていれば版を確認する。
- 組み込み案件で Eclipse ThreadX（NetX Duo）を使っていれば、修正の有無を確認する。
経営・事業責任者経営企画を含む
- 期限切れの KEV（Ivanti）について、顧客への連絡の要否を決める。
- 認証ライブラリや管理画面の雛形に外部 OSS を使う方針を、顧客への説明と合わせて見直す。
全社員全員
- 社外から来たメールで不審な動きがあれば、情シスにすぐ連絡する。