更新履歴（2026年11月4日）
レポート作成日時：2026/11/04 00:28（第1版）｜最終更新日時：2026/11/04 01:29（第2版）
主な変更
- 第2版 01:29 追加（カード）：Ziroom ZHOME A0101 のコード注入（CVE-2026-121260、3.1 で 9.1、PoC 公開・修正版なし）。rsync の CPU 枯渇（CVE-2026-119741、4.0 で 8.7）。GLPI の特権昇格（CVE-2026-121559、4.0 で 8.6）。Label Studio の SSRF とトークン漏えい（CVE-2026-121561、3.1 で 7.7）。 続報：Eclipse Vert.x に同日付の vertx-stomp の件（CVE-2026-118487、3.1 で 7.5）が加わり、一覧のカードに追記した。Apache Camel、FreeRDP ほか第1版の項目に変化はない。Linux カーネルの CVE-2026-98432 は、oss-security の最新が 11/03 付の返信のまま。 確認した範囲：NVD の公開日（11/03 15:30〜16:35 UTC、日本時間 11/04 00:30〜01:35）は54件。前半の約100,000文字と後半の続きを読んだ。7.0 以上で載せたのは上の4件と Vert.x。一覧のみで載せなかったのは、ash_authentication の TOTP（7.6）、AB Download Manager（8.8）、smart-sso（8.8）、nnn（7.8）、Foxel（8.7）、FastBee（8.7）、PAICNI CFNext（7.7）、bbs-go（8.3）、LogChimp（7.1）、Volmarg PMS（8.6）、NVIDIA Slurm の CVE-2026-65168（7.0）。Django の6件（最大 6.9）、HDF5、WPPConnect（8.2、3.1 は 5.9）などは基準未満または読者企業での利用が少ないと判断した。 更新日の照会（同時間帯、CRITICAL・3.1）は3件。Ziroom のほか、Apple の CVE-2026-112690（10/26 公開、10.0）と Sunhillo SureLine の CVE-2026-112352（10/27 公開、9.8）は既存記録の再評価で、個別記録は開いておらず今回は載せていない。KEV の照会（10/31〜11/03 16:35 UTC）は0件。 公告の確認：ベンダー公告の本文は開いていない。個別記録は NVD の API で開いて確認した（CVE-2026-119741、121559、121561、121260）。AWS の公告一覧（先頭の新しいものは 2026-162-AWS、11/02）、ZDI（先頭は ZDI-26-850）、oss-security に、載せる新しい動きはなかった。 タグ：前の版のタグは取得結果に含まれなかったため、本文全体から付け直した。製品名は上限10件のため、優先順（PoC 公開・修正版なしの Ziroom、AI 関連の Label Studio を優先）で Nagios XI と Dockhand を外し、rsync と GLPI も入れていない。 未確認：Barracuda、python-jose、CWP、Qlib の修正版、Rancher の GHSA-f898-2c8h-r7jc は今回も再確認していない。OSV、JVN、JPCERT/CC、CERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto、Project Zero、報道（tier D）は見ていない。
もっと見る（過去の版 1件）閉じる
- 第1版 00:28 新規：11/03 のレポート（第14版、最終 20:28）以降に NVD へ載った分（11/03 11:00〜15:30 UTC、日本時間 20:00〜11/04 00:30）を中心に作った。 追加（カード）：Apache Camel camel-hazelcast の逆シリアル化によるコード実行（CVE-2026-78162、NVD で 9.8）。FreeRDP の証明書検証の不備（CVE-2026-121392、4.0 で 9.1）。Nodemailer の宛先解析の3件（各 4.0 で 8.3）。MongoDB Node.js ドライバー（4.0 で 8.3）。Mistune（8.7）、Dockhand（8.7）、Parse Server（8.2）、Firefox（8.8）、Nagios XI（8.6）、BuddyBoss App（8.8）、Froxlor（8.6）、svg-sanitizer（8.7）、SurrealDB（8.8）。AzuraCast ほかは一覧の記載のみでまとめた。 続報：Linux カーネルの CVE-2026-98432 は、oss-security に 11/03 付の返信が最新で、新しい投稿はない。Ivanti Connect Secure の CVE-2026-111357（KEV、期限 11/02）に動きはない。 確認した範囲：NVD の公開日の照会（11/03 11:00〜15:30 UTC）は138件で、全体の約433,000文字を先頭から約100,000文字ずつ読み切った。7.0 以上は上のカードの分。Linux カーネルの28件（CVE-2026-99243〜99270）、Apache HertzBeat、Eclipse Mnestix AAS Generator の CVE-2026-89295 は点数なし。基準未満は、ALO Suite の別件（最大 6.9）、NVIDIA CUDA（5.5）、runZero（6.5）、Ivanti Connect Secure の CVE-2026-118527（4.3）、FreeRDP と SurrealDB、AzuraCast、Froxlor、svg-sanitizer、Wasmtime、Frappe HRMS の低い点数のもの、AMD の Compressonator・Radeon（最大 6.9）など。更新日の照会は、CRITICAL（3.1）が Apache Camel の1件、CRITICAL（4.0）が0件。HIGH（3.1）の21件のうち、公開が 11/03 より前だったのは8件で、Oracle PeopleSoft・Payroll、Apple の iOS・macOS・Safari、Blender への再評価だった。読者企業での利用が少ない、または既報のため載せていない。KEV は 10/31〜11/03 15:30 UTC の照会で0件。oss-security、AWS の公告一覧（先頭は 2026-164-AWS）、ZDI（先頭は ZDI-26-850）、GitHub Advisory の先頭15件に、載せる新しい動きはなかった。 公告の確認：ベンダーの公告本文は開いていない。個別の記録は NVD の API で開いて確認した（CVE-2026-78162、121392、121424、119179、121437、121448、121414、120572、119742、76124、121436、121444、121417）。GitHub の公告、Mozilla・Nagios・MongoDB・Apache の公告ページは、NVD の参照先として載せたのみ。 未確認：Barracuda、python-jose、CWP、Qlib の修正版と、Rancher の GHSA-f898-2c8h-r7jc は今回も再確認していない。OSV、JVN、JPCERT/CC、CERT/CC、MSRC、Ubuntu・Debian、Cisco・Fortinet・Palo Alto、Project Zero、報道（tier D）は今回見ていない。 タグ：前の日の版のタグが取得結果に含まれていなかったため、今回の本文全体から3種類とも付けた。製品名は 10 件の上限があり、Froxlor、svg-sanitizer、SurrealDB、AzuraCast は外れた。
前日のレポート（11/3）からの変化（役割別）
情報システム担当
- 新規の緊急：camel（apache）（CVE-2026-78162）：Apache Camel camel-hazelcast のバージョンアップ
- 新規の緊急：Ziroom ZHOME A0101：Lua の loadstring を介したコード注入（3.1 で 9.1、PoC 公開）（CVE-2026-121260）：解消方法は公告で確認
エンジニア
- 新規 32 件のうち、CVSS が未公表のものは 0 件、NVD で裏取りできていない ID は 0 件です。
- CVE-2026-78162：camel（apache）／CVSS 9.8／EPSS 0.9%
- CVE-2026-121260：Ziroom ZHOME A0101：Lua の loadstring を介したコード注入（3.1 で 9.1、PoC 公開）／CVSS 9.1
- CVE-2026-85035：Zephyr：一覧で 8.8（個別記録は未開封）／CVSS 8.8
- CVE-2026-76124：BuddyBoss App：send_feedback の任意ファイルアップロード／CVSS 8.8
- CVE-2026-121429：AzuraCast：一覧で 8.8（個別記録は未開封）／CVSS 8.8
経営者
- 新たに掲載した脆弱性は 32 件です（緊急 2 件・高 23 件）。前回から続いているものは 0 件です。
Apache Camel の camel-hazelcast（9.8）、FreeRDP（4.0 で 9.1）に続き、Ziroom の機器（3.1 で 9.1、PoC 公開）が緊急に加わった。rsync、GLPI、AI データ作成ツールの Label Studio も出ている
11/04 01:29（日本時間）の第2版です。第1版（00:28）以降の NVD の公開日の照会は54件で、7.0 以上のうち読者企業に関係しそうなものを足した。緊急は Ziroom ZHOME A0101 で、Lua の loadstring を使う処理にコード注入があり、PoC が公開され、ベンダーの応答も修正版もない（点数は報告を受けた VulDB の評価で、前提に高い権限が要る）。rsync は、公開デーモンに届く未認証の相手が CPU を使い切らせられる（4.0 で 8.7、3.5.1 まで）。GLPI は、技術者権限のユーザーがスーパー管理者を複製して乗っ取れる。Label Studio は、ログイン済みの利用者が社内 URL を取得させ、管理者の API トークンまで露出させうる。第1版の Camel と FreeRDP は変化なし。KEV の新規追加もない。
重大度別の件数
緊急（9.0 以上、または悪用確認済み）
3
Apache Camel、FreeRDP、Ziroom ZHOME A0101
高（7.0〜8.9）
15
Nodemailer、MongoDB Node.js ドライバー、Mistune、Dockhand、Parse Server、Firefox、Nagios XI、BuddyBoss App、Froxlor、svg-sanitizer、SurrealDB、rsync、GLPI、Label Studio、AzuraCast ほか（一覧のみ）
中（4.0〜6.9）
0
7.0 未満は載せていない
点数なし
0
今回の新規はなし（Linux カーネル 28件と Mnestix AAS Generator は点数待ちで未掲載）
今日やること
Java 案件で Apache Camel の camel-hazelcast を使っていれば、4.18.5・4.22.1・4.23.0 のいずれかへ更新する。更新できない間は、Hazelcast の設定に逆シリアル化フィルターを明示し、クラスターの認証と TLS を有効にする。Ivanti Connect Secure を使っていれば、CVE-2026-111357（KEV、期限 11/02）の修正も引き続き確認する。
Node.js・Next.js 案件の lock ファイルで、nodemailer が 10.1.4 未満、MongoDB の Node.js ドライバーが 6.22.0 未満（6 系）または 7.8.0 未満（7 系）、parse-server が 8.6.110 未満でないかを調べる。Python 案件では mistune が 3.3.4 未満、label-studio が 1.23.2 未満でないか、PHP 案件では svg-sanitizer が 1.1.0 未満でないかを見る。
社員端末の Firefox を 159.0.1 以降へ上げ、FreeRDP を使うリモートデスクトップ（Remmina など）は 3.32.2 以降の取り込み状況を確かめる。GLPI（資産管理・ヘルプデスク）を使っていれば 10.0.28 または 11.0.10 へ、rsync を公開デーモンで動かしていれば接続元の制限を確認する。Dockhand、Nagios XI、Froxlor、WordPress の BuddyBoss App を使っていれば、それぞれ 1.0.54、2026R2、2.3.15、3.2.2 以降かを確認する。
経営・技術責任者が判断すること
CTO・CAIO 向け技術責任者
Node.js の基盤ライブラリ（メール送信、DB ドライバー、BaaS）の脆弱性が、1日にまとめて出た。依存関係の棚卸しと、更新を自動で提案する仕組み（Dependabot など）を、全案件で揃えるかを決める。AI 向けのデータ作成ツール（Label Studio など）を社内で動かす場合は、社内 URL に届かない配置にするかも合わせて決める。
CIO・情シス向け情報システム責任者
Hazelcast のように、認証も暗号化も初期状態で無効な基盤が社内や顧客先にないかを確かめる範囲を決める。見つかれば、更新と並行して、ネットワークの分離を先に進めるか判断する。GLPI のように、権限が細かく分かれた社内ツールの管理者権限が、技術者権限から奪えないかも棚卸しの対象に入れたい。
経営・事業責任者経営企画を含む
顧客案件の本番環境でライブラリの更新を急ぐ場合に、検証の時間をどこまで削るかを技術責任者と決める。点数が暫定の項目（FreeRDP など）は、NVD の分析後に優先度が変わりうる点も共有しておく。
重大度の見方
まず今日中に該当するかを調べる
使っていれば今週中に更新を計画する
通常の更新で対応。このレポートには載せていない
点数が付いたら見直す
脆弱性ごとの内容と対策
CVSS 3.1 で 9.8（NVD の Primary 評価。ネットワーク経由、権限・操作とも不要）。4.0 では 10.0（Apache 側の Secondary 評価）。CISA の SSVC は「PoC あり、自動化可能、技術的影響は全面的」。
- 内容
- Camel の Hazelcast 連携は、以前の脆弱性（CVE-2026-43865）の対策として Java の逆シリアル化フィルターを付けていた。ところが2つの経路で付け漏れていた。ひとつは ReplicatedHazelcastAggregationRepository で、hazelcastInstance を渡さない場合にフィルターが入らない。もうひとつはクライアントモードで、ClientConfig も hazelcastConfigUri も渡さない場合に、フィルターなしの設定が作られる。どちらも、Hazelcast クラスターに書き込める者が、型の制限なしで Java オブジェクトを復元させられ、Camel が交換データを処理する前にリモートコード実行に至る（CWE-502）。Hazelcast は初期状態で認証も TLS も有効でないため、クラスター自体が弱点になりやすい。
- 影響
- org.apache.camel:camel-hazelcast の 4.0.0 以上 4.18.5 未満、および 4.19.0 以上 4.22.1 未満（NVD の記載）。4.14.x 以前は保守が終わっており、修正は出ない。Java 案件で Camel と Hazelcast を組み合わせて使う場合が対象。悪用の報告は確認できていない（SSVC の「PoC」は、実証コードが存在するという意味）。
- 対策
- 4.18.5、4.22.1、4.23.0 のいずれかへ更新する（4.23.0 が推奨と記載）。すぐ更新できない間は、Hazelcast の設定に JavaSerializationFilterConfig を明示するか、作成済みの HazelcastInstance を渡す。つなぎとして JVM に -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!* を付け、Hazelcast のクラスター認証と TLS を有効にする（NVD の記録にある緩和策）。
- 続報
第1版 公開は 10/19 だが、11/03 14:47 UTC（日本時間 23:47）に NVD の記録が更新され、更新日の照会（CRITICAL 評価）で拾った。NVD の個別記録を開いて確認した。Apache の公告ページ本文は開いていない。過去のレポートで扱ったかどうかは確認していない。第2版では変化なし。
- 出典
- NVD CVE-2026-78162Apache Camel：CVE-2026-78162（NVD の参照先）
CVSS 4.0 で 9.1、3.1 で 7.4（どちらも VulnCheck 評価。3.1 が Primary、4.0 が Secondary）。NVD の状態は分析中。評価は暫定で、NVD の分析後に変わりうる。
- 内容
- FreeRDP（RDP のオープンソース実装）の tls_verify_certificate() が、SAN（証明書に書かれた接続先名）が合わなくても Common Name に頼り、IP アドレスと DNS 名を同じ種類として比べてしまう（CWE-295）。クライアントが信頼する認証局の証明書を持つ攻撃者が、サーバーになりすまし、キー入力・クリップボード・画面の内容を盗める。同じ 11/03 15:17 UTC に、FreeRDP の記録が27件前後まとめて載った。一覧では、CVE-2026-121386 が 4.0 で 8.7、121398 と 121409 が各 8.2、121393・121394・121395・121400・121402・121404・121407・121412 が各 7.1 などの評価だった。
- 影響
- 121392 は FreeRDP 3.32.2 未満のすべての版（NVD の記載）。ほかの記録の影響範囲と修正版は、個別には開いていない。FreeRDP は Linux のリモートデスクトップ用クライアントや、Remmina、一部の VDI・踏み台製品の内部で使われる。悪用の報告は確認できていない。
- 対策
- 3.32.2 以降へ更新する。FreeRDP を同梱する製品（Remmina など）は、各ディストリビューションの更新で取り込まれた版を確認する。更新までは、信頼できない回線経由の RDP 接続を避け、可能なら RDP を VPN 内に閉じる（後半は当社の提案）。他の記録の修正版は未確認。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。121392 は個別の記録を開いて確認し、ほかの点数は一覧の記載による。VulnCheck と GitHub の公告ページ本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121392GitHub：FreeRDP GHSA-jq25-3374-4262（NVD の参照先）
CVSS 3.1 で 9.1（Primary）、4.0 で 8.5（Secondary）。どちらも脆弱性 DB の VulDB（NVD の記録では cna@vuldb.com）が付けた評価。必要な権限が高い（PR:H）ため、数値ほど差し迫っていない見込み（当社の読み取り）。NVD の状態は保留（Deferred）。
- 内容
- ファームウェア 1.0.1.0（Build 202004151405）の usr/lib/lua/luci/controller/api/zrUsb.lua にある loadstring の使い方で、入力が Lua のコードとして実行される（CWE-94・CWE-74）。遠隔から攻撃でき、攻撃の手順を書いた資料が公開されている。ベンダーは、事前の連絡に応答していない（NVD の記載）。
- 影響
- ZHOME A0101 の 1.0.1.0 Build 202004151405（NVD の記載。範囲の指定はない）。賃貸住宅などに置かれる家庭用ルーター系の機器で、読者企業の業務環境に直接は関係しない見込み。ただし、顧客先や社宅に置かれている場合は影響がありうる。悪用の報告は確認できていない。
- 対策
- 修正版は未公表。管理画面を外部に出さず、利用者を絞る。該当機器が業務ネットワークにあれば、分離するか交換を検討する（後半は当社の提案）。
- 続報
第2版 NVD に 11/03 16:17 UTC（日本時間 11/04 01:17）に載った。個別の記録を開いて確認した。VulDB のページは NVD の参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-121260VulDB：VDB-430226（NVD の参照先）
CVSS 4.0 で 8.3（VulnCheck の Secondary 評価）。3.1 では 6.5（121424 の Primary）。3件とも一覧で 8.3 を確認した。NVD の状態は未分析。
- 内容
- アドレス解析が RFC 5322 の入れ子のコメントを正しく扱えず、最初の閉じ括弧で止まる。そのため、コメントの中に別のアドレスを隠すと、そちらが本当の宛先として扱われる。攻撃者は、メールの宛先をすり替え、mailparser での送信者の偽装や、標準に沿った検証・許可リストの回避ができる（CWE-20）。121425 と121426 は、個別の記録を開いておらず、内容は未確認。
- 影響
- 121424 は nodemailer 3.0.0 以上 10.1.4 未満（NVD の記載）。ユーザー入力を宛先にそのまま渡している Node.js・Next.js 案件（問い合わせフォーム、招待メールなど）が該当しうる。悪用の報告は確認できていない。
- 対策
- nodemailer を 10.1.4 以降へ上げる。宛先を使う前に、アドレスの形式を自前でも検証する。他の2件の修正版は未確認なので、GitHub の公告で確かめる。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。121424 の個別記録を開いて確認し、ほかの2件は一覧の記載による。参照先の GitHub 公告（GHSA-8c8m-p3m8-cjg8）の本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121424GitHub：nodemailer GHSA-8c8m-p3m8-cjg8（NVD の参照先）NVD CVE-2026-121425NVD CVE-2026-121426
CVSS 4.0 で 8.3、3.1 で 7.0（どちらも MongoDB 自身（CNA）が付けた Secondary 評価）。NVD の状態は未分析。
- 内容
- 接続管理の欠陥で、前の操作の応答がまだ残っている接続が、プールに戻されて再利用されることがある。クライアント側の操作タイムアウト（オプション）を有効にしたアプリでは、通常のリクエストを送れる未認証の相手が、データベースの応答を別のリクエストと取り違えさせられる。結果として、他の利用者のレコードが見える、結果が誤る、正規のリクエストが失敗するといった影響が出る（CWE-226）。
- 影響
- Node.js Driver の 6.11.0 以上 6.22.0 未満、および 7.0.0 以上 7.8.0 未満（NVD の記載）。クライアント側のタイムアウト（timeoutMS）を使う Node.js 案件が対象。悪用の報告は確認できていない。
- 対策
- 6.22.0（6.x 系）または 7.8.0（7.x 系）へ更新する。更新までは、操作タイムアウトの設定を外せるか検討する（後半は当社の提案）。MongoDB の Jira（NODE-7958）は NVD の参照先で、本文は開いていない。
- 続報
第1版 NVD に 11/03 14:17 UTC（日本時間 23:17）に載った。個別の記録を開いて確認した。第2版では変化なし。
- 出典
- NVD CVE-2026-119179MongoDB Jira：NODE-7958（NVD の参照先）
CVSS 4.0 で 8.7（Secondary）、3.1 で 7.5（Primary）。どちらも VulnCheck の評価。可用性への影響のみ。NVD の状態は分析待ち。
- 内容
- match.c の差分転送の処理で、隣り合う位置のたびに強いチェックサムを計算させられる。弱いチェックサムの衝突を並行する接続で細工すると、送信側の CPU が尽きる（CWE-407）。rsync の公開デーモンのモジュールに届く未認証のクライアントが対象になる。
- 影響
- rsync 3.5.1 までのすべての版（NVD の記載）。バックアップやミラーリングに rsync デーモンを外部へ公開している環境が該当する。SSH 経由の利用は、この記録の対象かどうか確認できていない。悪用の報告は確認できていない。
- 対策
- 修正版は NVD の記録に記載がなく、未確認。修正のコミットとプルリクエストは公開されている（NVD の参照先）。当面は、rsync デーモンへ届く接続元を絞り、接続数に上限を付ける（後半は当社の提案）。
- 続報
第2版 NVD に 11/03 16:17 UTC（日本時間 11/04 01:17）に載った。個別の記録を開いて確認した。GitHub のコミットと VulnCheck の公告は NVD の参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-119741GitHub：rsync プルリクエスト #1132（NVD の参照先）VulnCheck：rsync の公告（NVD の参照先）
CVSS 4.0 で 8.6（Secondary）、3.1 で 7.2（Primary）。どちらも VulnCheck の評価。必要な権限が高い（PR:H）ため、数値ほど差し迫っていない見込み（当社の読み取り）。NVD の状態は保留（Deferred）。
- 内容
- 複製の処理が権限の確認を飛ばしているため、技術者（Technician）のプロファイルを持つユーザーが、スーパー管理者のアカウントをプロファイルやグループごと複製できる。複製したアカウントには、攻撃者が決めたログイン名とパスワードが付くので、そのままスーパー管理者になれる（CWE-269）。
- 影響
- GLPI 10.0.0 以上 10.0.28 未満、および 11.0.0 以上 11.0.10 未満（NVD の記載）。PHP 製で、社内の資産管理やヘルプデスクに使っている場合が対象。悪用の報告は確認できていない。
- 対策
- 10.0.28 または 11.0.10 へ更新する（NVD の記載）。更新までは、技術者権限を持つユーザーを必要な人に絞り、スーパー管理者のアカウントが意図しない複製で増えていないか確かめる（後半は当社の提案）。
- 続報
第2版 NVD に 11/03 16:17 UTC（日本時間 11/04 01:17）に載った。個別の記録を開いて確認した。GitHub の公告（GHSA-c46f-4v9j-5gpc）は NVD の参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-121559GitHub：GLPI GHSA-c46f-4v9j-5gpc（NVD の参照先）
CVSS 3.1 で 7.7（VulnCheck の Primary 評価）、4.0 では 6.3（Secondary）。NVD の状態は分析待ち。
- 内容
- タスクの取り込みで image 欄に社内のサービスの URL を指定し、画像つきの YOLO または COCO 形式で書き出すと、サーバーが社内 URL を取りに行く（SSRF、CWE-918）。Host ヘッダーを偽ると、組織の所有者の API トークンが露出することもある。
- 影響
- label-studio 1.23.2 未満、label-studio-sdk 2.1.2 未満のすべての版（NVD の記載）。Python 製で、機械学習用のラベル付けを社内や顧客先で動かしている案件が対象。悪用の報告は確認できていない。
- 対策
- label-studio を 1.23.2、label-studio-sdk を 2.1.2 へ更新する（NVD の記載）。更新後は、露出した可能性のある API トークンの入れ替えを検討する（後半は当社の提案）。
- 続報
第2版 NVD に 11/03 16:17 UTC（日本時間 11/04 01:17）に載った。個別の記録を開いて確認した。GitHub の公告（GHSA-6437-7wc6-gmx5）は NVD の参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-121561GitHub：label-studio GHSA-6437-7wc6-gmx5（NVD の参照先）
CVSS 4.0 で 8.7（Secondary）、3.1 で 7.5（Primary）。どちらも VulnCheck の評価。121438 は一覧で 6.9 で、基準未満。NVD の状態は保留（Deferred）。
- 内容
- 強調記号の処理で、「*a_b」のような繰り返しを送ると、処理時間が入力の長さの2乗で増える。短い文書でも1リクエストで数秒間ワーカーを塞ぎ、CPU を使い切れる（CWE-407）。ユーザー投稿の Markdown を HTML に変換する画面が狙われる。
- 影響
- mistune 3.3.0 以上 3.3.4 未満（NVD の記載）。Python 製の Web アプリ、ドキュメント生成、AI のチャット画面で Markdown を描画しているものが該当しうる。悪用の報告は確認できていない。
- 対策
- 3.3.4 へ更新する。更新までは、変換前に入力の長さを制限し、変換処理にタイムアウトを付ける（後半は当社の提案）。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。個別の記録を開いて確認した。GitHub の公告（GHSA-qp42-r9j6-83g9）と修正コミットは NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121437GitHub：mistune GHSA-qp42-r9j6-83g9（NVD の参照先）
CVSS 4.0 で 8.7（Secondary）、3.1 で 8.3（Primary）。どちらも VulnCheck の評価。121449 は一覧で 4.0 の 7.1。NVD の状態は未分析。
- 内容
- 未認証ではなく、ログイン済みの利用者が、スタック名を二重にエンコードして raw 環境変数のエンドポイントへ送ると、スタックのルート外にある .env ファイルに届く（CWE-22）。他の環境のシークレットを読む、保護されたフォルダのファイルを上書きする、デプロイ用の変数を書き換える、といったことができる。121449 は、同じ製品の別の記録で、内容は個別には開いていない。
- 影響
- Finsys Dockhand 1.0.54 未満のすべての版（NVD の記載）。Docker の Compose スタックを Web 画面で管理している環境が該当する。悪用の報告は確認できていない。
- 対策
- 1.0.54 へ更新する。そのうえで、.env に入れていた認証情報が読まれた可能性を考え、入れ替えを検討する。更新までは、Dockhand の利用者を絞り、画面を社外に出さない（後半は当社の提案）。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。121448 は個別の記録を開いて確認し、121449 は一覧の記載による。GitHub の公告（GHSA-q2vc-4qcx-2vm6）は NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121448GitHub：Dockhand GHSA-q2vc-4qcx-2vm6（NVD の参照先）NVD CVE-2026-121449
CVSS 4.0 で 8.2（Secondary）、3.1 で 5.9（Primary）。どちらも VulnCheck の評価。4.0 は攻撃の前提条件を軽く、3.1 は複雑さを高く見ており、差が出ている。同日の CVE-2026-121415 は一覧で 6.3 で、基準未満。
- 内容
- afterSave トリガーを持つクラスで、ポインタ型フィールドのオブジェクト ID をドット記法のキーで更新すると、シリアライズのエラーを処理できず、Node プロセスが異常終了する（CWE-248）。オブジェクトがセッションなしで書き込める設定なら、未認証のクライアントでも攻撃できる。
- 影響
- parse-server 8.6.110 未満、および 9.0.0 以上 9.10.6-alpha.2 未満（NVD の記載）。Parse Server を使ったモバイル・Web のバックエンドが対象。可用性への影響のみ。悪用の報告は確認できていない。
- 対策
- 8 系は 8.6.110、9 系は 9.10.6-alpha.2 以降へ更新する。9 系の alpha 版で修正されているため、安定版の公開状況は GitHub の公告で確かめる。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。個別の記録を開いて確認した。GitHub の公告（GHSA-wc3c-6843-q7mv）は NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121414GitHub：parse-server GHSA-wc3c-6843-q7mv（NVD の参照先）
CVSS 3.1 で 8.8（Mozilla が付けた Secondary 評価。ネットワーク経由、操作は必要）。NVD の状態は未分析。
- 内容
- Layout: Block and Inline コンポーネントの境界条件の誤り（CWE-119）。細工したページを開くと、メモリの破壊につながりうる。NVD の記載は短く、攻撃の詳細は書かれていない。
- 影響
- 修正は Firefox 159.0.1 に入った、と記載されている。影響範囲の明記はなく、159.0.1 より前が該当すると読める（当社の読み取り）。社員の端末と、Firefox を使う検証環境が対象。悪用の報告は確認できていない。
- 対策
- Firefox を 159.0.1 以降へ更新する。管理下の端末では、自動更新が止まっていないか確認する。Mozilla の公告（mfsa2026-123）は NVD の参照先で、本文は開いていない。
- 続報
第1版 NVD に 11/03 14:17 UTC（日本時間 23:17）に載った。個別の記録を開いて確認した。第2版では変化なし。
- 出典
- NVD CVE-2026-120572Mozilla：mfsa2026-123（NVD の参照先）
CVSS 4.0 で 8.6、3.1 で 7.2（どちらも VulnCheck の Secondary 評価）。必要な権限が高い（PR:H）ため、数値ほど差し迫っていない見込み（当社の読み取り）。NVD の状態は未分析。
- 内容
- mibs.php の install_mib() が、アップロードされたファイル名を不完全な置換フィルターで処理している。タブ文字を含むファイル名を使うと、フィルターをすり抜けて sh に渡り、Web サーバーの権限で任意のコマンドが動く（CWE-78）。
- 影響
- Nagios XI 2026R2 より前のすべての版（NVD の記載）。PHP 製の監視基盤で、社内や顧客先の監視に使っている場合が対象。悪用の報告は確認できていない。
- 対策
- 2026R2 へ更新する。更新までは、MIB のアップロード機能に届く端末とネットワークを、限られた管理者に絞る（後半は当社の提案）。Nagios の公告ページは NVD の参照先で、本文は開いていない。
- 続報
第1版 NVD に 11/03 14:17 UTC（日本時間 23:17）に載った。個別の記録を開いて確認した。第2版では変化なし。
- 出典
- NVD CVE-2026-119742Nagios：XI 2026R2 セキュリティ情報（NVD の参照先）
CVSS 3.1 で 8.8（Wordfence が付けた Primary 評価）。NVD の状態は保留（Deferred）。
- 内容
- send_feedback 関数が、ファイルの種類をクライアントが送る Content-Type だけで判断し、サーバー側で中身も拡張子も確かめていない（CWE-434）。購読者（Subscriber）以上のログイン済み利用者が、実行できるファイルを送れる。アップロードはメール送信後に削除されるが、SMTP 配信中の競合で一時的に見えることがあり、wp_mail() が失敗すると残り続ける。
- 影響
- BuddyBoss App プラグイン 3.2.1 までのすべての版（NVD の記載）。会員登録を開放している WordPress サイトでは、攻撃の入口が広い。悪用の報告は確認できていない。
- 対策
- 3.2.2 へ更新する（NVD の記録に修正版の明記はなく、参照先のベンダーのリリース情報の版から読み取った）。更新までは、会員登録の開放を止めるか、プラグインを無効にすることを検討する（後半は当社の提案）。
- 続報
第1版 NVD に 11/03 13:17 UTC（日本時間 22:17）に載った。個別の記録を開いて確認した。ベンダーのリリース情報と Wordfence のページは NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-76124BuddyBoss：App 3.2.2 のリリース情報（NVD の参照先）Wordfence：CVE-2026-76124（NVD の参照先）
CVSS 4.0 で 8.6（Secondary）、3.1 で 7.2（Primary）。どちらも VulnCheck の評価。NVD の状態は保留（Deferred）。
- 内容
- customers_see_all 権限を持つ管理者が、api_keys.php の絞り込みのない問い合わせにより、全アカウントの API キーとシークレットを見られる。スーパー管理者の鍵も詳細画面に出るため、読んだ者はそれを API に使い、スーパー管理者として全面的に操作できる（CWE-200）。
- 影響
- Froxlor 2.3.8 以上 2.3.15 未満（NVD の記載）。レンタルサーバーや社内ホスティングの管理に Froxlor を使っていれば対象。悪用の報告は確認できていない。
- 対策
- 2.3.15 へ更新し、更新後にスーパー管理者の API キーを入れ替える。古い鍵がすでに見られている可能性がある（後半は当社の提案）。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。個別の記録を開いて確認した。GitHub の公告（GHSA-5fm2-8wxf-xc5v）は NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121436GitHub：Froxlor GHSA-5fm2-8wxf-xc5v（NVD の参照先）
CVSS 4.0 で 8.7（Secondary）、3.1 で 7.5（Primary）。どちらも VulnCheck の評価。121445 は一覧で 8.2 だが、個別の記録は開いていない。NVD の状態は保留（Deferred）。
- 内容
- use 要素の参照関係を調べる hasInfiniteLoop() と countUse() が、経路を指数的に数え上げてしまう。15段の入れ子で広がる use を持つ小さな SVG で、PHP のワーカーを何時間も占有できる。権限も操作も不要で、このライブラリを通すアップロード先が対象（CWE-400）。
- 影響
- svg-sanitizer 0.11.0 以上 1.1.0 未満（NVD の記載）。画像アップロードを受ける PHP の Web サイトや WordPress のプラグインなどで、同梱されている場合がある。悪用の報告は確認できていない。
- 対策
- 1.1.0 へ更新する。同期処理のリクエスト内で SVG を処理しているなら、タイムアウトとサイズの上限を付ける（後半は当社の提案）。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。121444 の個別記録を開いて確認し、121445 は一覧の記載による。GitHub の公告（GHSA-hrwm-vcc9-hcm4）は NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121444GitHub：svg-sanitizer GHSA-hrwm-vcc9-hcm4（NVD の参照先）NVD CVE-2026-121445
CVE-2026-121417 は CVSS 4.0 で 8.8、3.1 で 7.8（どちらも VulnCheck の評価）。ほかは一覧で、121419 が 8.6、121416 と 121423 が各 7.1。NVD の状態は保留（Deferred）。
- 内容
- 121417 は、surrealdb-core の KV バックエンドが、借用したトランザクションの状態をクロージャに渡し、メモリの安全性を future の Drop に頼っている。Rust のアプリが mem::forget などで future を漏らしてからトランザクションを捨てると、プールのワーカーが解放済みのメモリを読み書きし、クラッシュやメモリ破壊につながる（CWE-416）。ローカルでの条件が必要。ほかの3件の内容は、個別には開いていない。
- 影響
- 121417 は surrealdb クレート（Rust）の 3.3.0 未満（NVD の記載）。SurrealDB を組み込み利用する Rust アプリが対象で、通常のサーバー運用は影響が小さい見込み（記録の説明からの読み取り）。ほかの3件の影響範囲は未確認。悪用の報告は確認できていない。
- 対策
- 3.3.0 へ更新する。組み込み利用では、トランザクション周りで mem::forget などを使っていないか確かめる。他の3件の修正版は未確認なので、GitHub の公告で確かめる。
- 続報
第1版 NVD に 11/03 15:17 UTC（日本時間 11/04 00:17）に載った。121417 の個別記録を開いて確認し、ほかは一覧の記載による。GitHub の公告（GHSA-pm86-cc75-q463）は NVD の参照先で、本文は開いていない。第2版では変化なし。
- 出典
- NVD CVE-2026-121417GitHub：SurrealDB GHSA-pm86-cc75-q463（NVD の参照先）NVD CVE-2026-121419
点数は NVD の一覧にある最高値。AzuraCast の 121428・121429 は 3.1 と 4.0 で 8.8 と 8.7、121427 は 4.0 で 8.7。ALO Suite の 108047 は 8.6、Zephyr の 85035 は 8.8、Vert.x の 118489 と 118487 は各 7.5（3.1）、NTPsec の 121506 は 7.4。
- 内容
- AzuraCast（PHP 製のネットラジオ管理）3件、AM System の ALO Suite の 108047、Zephyr RTOS（組み込み）の 85035、Eclipse Vert.x（Java）の 118489 と vertx-stomp の 118487、NTPsec の 121506 が、11/03 13:17〜16:17 UTC に載った。ほかに、CoreBunch Instatic（7.1）、hustoj（7.1）、D3TN の µD3TN（最大 7.5）もある。いずれも内容は個別には開いておらず、一覧の記載（製品名と点数）のみ。
- 影響
- 影響範囲と修正版は未確認。読者企業での利用は、Eclipse Vert.x（Java）を使う案件を除き少ない見込み。悪用の報告は確認できていない。
- 対策
- 修正版は未確認。Vert.x を使う Java 案件は、vertx-stomp を含めて依存関係の版を洗い出し、Eclipse の公告が出たら更新する。そのほかは、使っていなければ対応は不要。
- 続報
第2版 Eclipse Vert.x の vertx-stomp（CVE-2026-118487、3.1 で 7.5）が 11/03 16:17 UTC（日本時間 11/04 01:17）に載り、このカードに加えた。一覧の記載による。公告と修正版は未確認。
過去の続報を見る（1件）閉じる
第1版 NVD に 11/03 13:17〜15:17 UTC（日本時間 22:17〜11/04 00:17）に載った。一覧の記載による。点数が付いた時点で再確認する。
- 出典
- NVD CVE-2026-121427NVD CVE-2026-121428NVD CVE-2026-108047NVD CVE-2026-85035NVD CVE-2026-118489NVD CVE-2026-118487NVD CVE-2026-121506
AI関連の注目トピック
今回の時間帯の新しい動きは、AI 向けのデータ作成ツール Label Studio の SSRF とトークン露出（CVE-2026-121561、3.1 で 7.7）。社内 URL へ届く配置のまま動かしていると、取り込みと書き出しの操作だけで内部のサービスを突かれうる。Microsoft Qlib（ZDI-26-848〜850）と MLflow（ZDI-26-846・847）は 11/03 のレポートまでに載せた分で、ZDI の一覧の先頭は ZDI-26-850 のまま変わっていない。AWS の公告一覧にも、新しい項目はなかった。
Node.js 案件で版を確かめる一覧
| パッケージ | 問題のある版 | 修正版 | 内容 |
|---|---|---|---|
| nodemailer | 3.0.0 以上 10.1.4 未満 | 10.1.4 | 入れ子のコメントで宛先をすり替えられる（121424） |
| mongodb（Node.js ドライバー） | 6.11.0 以上 6.22.0 未満、7.0.0 以上 7.8.0 未満 | 6.22.0、7.8.0 | タイムアウト有効時に応答が別のリクエストに混ざる |
| parse-server | 8.6.110 未満、9.0.0 以上 9.10.6-alpha.2 未満 | 8.6.110、9.10.6-alpha.2 | afterSave 付きのクラスで Node プロセスが落ちる |
NVD の記載から作成。修正版は、各社の公告本文では確認していない。
役割別確認ポイント
ページ上部の役割ボタンで、表示するブロックを絞り込めます。
担当ごとのやること
情報システム担当情シス
- 社員端末の Firefox が 159.0.1 以降かを確認し、自動更新が止まっている端末を洗い出す。
- GLPI を使っていれば 10.0.28 または 11.0.10 へ更新し、技術者権限のユーザーを絞る。
- rsync を公開デーモンで動かしていれば、届く接続元を絞る。
- Nagios XI を使っていれば 2026R2 へ更新し、MIB のアップロードに届く管理者を絞る。
- Froxlor や Dockhand を使っていれば、それぞれ 2.3.15・1.0.54 以降へ更新し、管理画面を社外から届かないようにする。
- Hazelcast を社内や顧客先で動かしていれば、認証と TLS が有効かを確かめる。
- Ivanti Connect Secure の更新状況を引き続き確認する（KEV の期限は 11/02 に過ぎた）。
エンジニア開発・運用
- Java 案件で camel-hazelcast を使っていれば、4.18.5・4.22.1・4.23.0 のいずれかへ更新する。
- Node.js・Next.js 案件で nodemailer（10.1.4）、mongodb ドライバー（6.22.0 または 7.8.0）、parse-server（8.6.110）の版を確かめて更新する。
- Python 案件の mistune を 3.3.4 以降へ、label-studio を 1.23.2 以降へ、PHP 案件の svg-sanitizer を 1.1.0 以降へ上げる。
- FreeRDP を同梱する製品の更新を確認し、WordPress の BuddyBoss App は 3.2.2 以降かを見る。
- Java の Eclipse Vert.x を使う案件は、依存の版を洗い出して、公告を待つ。
経営・事業責任者経営企画を含む
- 本番環境のライブラリ更新の優先順位と、顧客への連絡の要否を、技術責任者と決める。
全社員全員
- Firefox の更新通知が出たら、先延ばしにせず適用する。
- 不審なメールや、見覚えのない画面の表示があれば、情シスへすぐ連絡する。