更新履歴（2026年11月7日）
レポート作成日時：2026/11/07 00:28（第1版）｜最終更新日時：2026/11/07 01:28（第2版）
主な変更
- 第2版 01:28 追加（カード）：Symfony の Serializer（8.2）と Yaml（8.7）、LLM アプリ基盤の Dify の SSRF（7.2）、AI エージェント基盤 Internet of Agents のコード注入（PoC 公開済み）、Grida のフォーム回答ファイルの認可漏れ（8.2）、Apache Axis 1.x の SOAP Fault 経由のコード実行（点数なし・修正版は出ない方針）。 変化なし：第1版のカードはすべてそのまま。Go の非公開修正（11/10）にも新しい情報はない。KEV は 2 件のまま（WordPress Core、Apple の CVE-2024-27834）で、新規なし。 確認した範囲：NVD の公開日 11/06 15:20〜16:30 UTC（日本時間 00:20〜01:30）の 21 件をすべて読んだ。7.0 以上は 5 件、点数がないが載せたものが 1 件。Avast・AVG・Norton のサンドボックス脱出ほか 3 件（点数なし）は、読者企業の基盤ではないため載せていない。 取得できず・見ていない：NVD の更新日の照会、ZDI、JVN、GitHub Advisory、oss-security、AWS、MSRC などのベンダー公告、報道（tier D）は今回の差分では見ていない。GitHub のアドバイザリ本文は開いていない。 タグ：10 件の上限のため、第1版のうち Webmin・Usermin、Johnson Controls EasyIO Neo、Go を products から外し、今回の項目を足した。本文には引き続き載っている。
もっと見る（過去の版 1件）閉じる
- 第1版 00:28 追加（カード）：Craft CMS（認証なしの SQL インジェクション 9.8 ほか）、Jumis（9.8）、AI 基盤の Skyvern（8.8）と Agenta（8.5）、Wazuh の 8 件（最大 8.8）、Webmin・Usermin、Parse Server、Johnson Controls の機器、一覧のみのカード（CPython・wish・Fluxbox ほか）、Go の非公開修正の事前告知。 KEV：照会（11/03〜11/06 15:30 UTC）は 2 件のまま。WordPress Core（CVE-2026-119977、期限は 11/06）と Apple の CVE-2024-27834（期限 11/18）。新規なし。 確認した範囲：前日（11/06）のレポートは第16版（22:28）まで更新が続いたため、今回は第16版以降の差分（NVD の公開日 11/06 13:00〜15:30 UTC、日本時間 22:00〜00:30）を重点に見た。公開日の照会は 65 件をすべて読んだ。7.0 以上は 28 件で、13:17 UTC 台の 3 件（Elementor 2 件、Upsell Order Bump）は第16版の確認期間（13:30 UTC まで）と重なるため載せていない。更新日の照会は 222 件と大きく、先頭の約 1 割（点数 5.5 以下）しか読めておらず、点数が後から付いたものの拾い漏れがありうる。AWS のセキュリティ速報の最新は 2026-172-AWS のままで新着なし。ZDI、JVN、GitHub Advisory、oss-security は一覧を確認した。 見直したもの：kaniko の Azure トークン漏えい（9.3）は、製品別の一覧に既にあるため再掲していない。Cisco Snort の ZDI-26-867（CVE-2026-20043）は Cisco の公告が 10/21 付けのため載せていない。 取得できず：NVD の個別ページ（JavaScript 必須で本文なし。API で代替）。MSRC、Ubuntu・Debian・Cisco・Fortinet・Palo Alto のフィード、IPA、JPCERT/CC、CERT/CC、Project Zero、Linux カーネルの告知、報道（tier D）は今回見ていない。 タグ：当日の第1版のため新規に付けた。
前日のレポート（11/6）からの変化（役割別）
情報システム担当
- 新規の緊急：Craft CMS：認証なしの SQL インジェクションで管理者権限を奪える（CVE-2026-123488）：解消方法は公告で確認
エンジニア
- 新規 10 件のうち、CVSS が未公表のものは 1 件、NVD で裏取りできていない ID は 0 件です。
- CVE-2026-123675：Internet of Agents／CVSS 8.3
- CVE-2026-123488：Craft CMS：認証なしの SQL インジェクションで管理者権限を奪える／CVSS 9.8
- CVE-2026-123783：Skyvern：サンドボックス回避でサーバー上のコード実行／CVSS 8.8
- CVE-2026-123792：Symfony Yaml：細工した小さな YAML で PHP プロセスが長時間占有される／CVSS 8.7
- CVE-2026-123786：Agenta：ワークフロー URL 書き換えの SSRF で秘密取得用トークンが漏れる／CVSS 8.5
経営者
- 新たに掲載した脆弱性は 10 件です（緊急 1 件・高 6 件）。前回から続いているものは 0 件です。
Craft CMS に認証なしの SQL インジェクション（9.8）。第2版で Symfony・Dify・Internet of Agents を追加。KEV の新規はなし
第2版では、NVD に 11/07 01:17（日本時間）前後に載った 21 件を確認し、6 件をカードにした。PHP の Symfony は、Serializer のファイル読み取り（8.2）と Yaml の処理遅延による停止（8.7）が並ぶ。後者は、YAML 向けの設定をしていなくても、Symfony 7.4 以降の入力受け口なら JSON を YAML として読ませて突ける。LLM アプリ基盤の Dify は、認証済みのコンソール利用者が SSRF の対策を回避でき、AWS 上ではインスタンスのメタデータから認証情報を読める恐れがある（7.2、1.15.0 未満が対象）。Internet of Agents のコード実行ツールには、PoC が公開された注入の欠陥があり、ベンダーはまだ応答していない。
第1版から続く最重要は Craft CMS である。検索のエンドポイントから、認証なしで SQL を流し込め、管理者権限まで取れる（9.8）。4 系は 4.18.9、5 系は 5.11.2 で修正されている。AI 関連では Skyvern（8.8）と Agenta（8.5）、監視基盤では Wazuh の 8 件（4.14.9 で修正）が載っている。Go は 11/10 に、非公開の修正 12 件を含むリリースが予告されている。
KEV の新規はなく、WordPress Core の期限（11/06）は過ぎている。NVD の分析の多くが未了で、点数は暫定。
重大度別の件数
緊急（9.0 以上、または悪用確認済み）
2
Craft CMS（9.8）、Jumis（9.8）
高（7.0〜8.9）
11
Symfony、Dify、Internet of Agents、Grida、Skyvern、Agenta、Wazuh、Webmin・Usermin、Parse Server、Johnson Controls の機器、一覧のみのカード
中（4.0〜6.9）
0
7.0 未満は、必ず確認する製品のみ載せている。今回は該当なし
点数なし
2
Go 1.27.4・1.26.11 の非公開修正、Apache Axis 1.x
今日やること
Craft CMS で受託サイトを作っていれば、版を確かめ、4 系は 4.18.9、5 系は 5.11.2 へ上げる。公開サイトなので今日のうちに着手したい。PHP 案件では Symfony も確かめる（5.4.56・6.4.50・7.4.23・8.1.11 より古い版が対象）。
AI の検証環境で Skyvern・Agenta・Dify・Internet of Agents が動いていないかを調べる。Agenta は 0.122.5、Dify は 1.15.0 へ。Skyvern と Internet of Agents は修正版が見当たらないため、利用者を絞り、コンテナで隔離する。Wazuh を運用していれば 4.14.9 へ。
Go 案件のビルド環境（CI のイメージ、顧客へ納める Go 製バイナリ）を洗い出す。11/10 のリリース後に、すぐ再ビルドできる状態にしておく。
経営・技術責任者が判断すること
CTO・CAIO 向け技術責任者
Skyvern・Agenta・Dify・Internet of Agents は、AI エージェント周辺で「許可リストやサンドボックスを信じる」実装の弱さと、LLM の API キーやクラウドの認証情報という秘密の集まりが狙われる点を示している。Skyvern は禁止リスト方式を、バイトコードから関数を作る方法で破られた。Dify と Agenta は、利用者が指定した宛先へサーバーが要求を送る部分から秘密が漏れる。サンドボックスや宛先チェックは安全の根拠にせず、プロセスやコンテナ、ネットワークで分ける設計が前提になる。
CIO・情シス向け情報システム責任者
Craft CMS は認証なしで成り立つ SQL インジェクションで、公開サイトが直接の対象になる。受託サイトで使っている CMS とその版を台帳で持っているかを確かめたい。PHP の Symfony は多くのフレームワークや CMS の部品になっており、自社で直接入れていなくても composer.lock に入っていることがある。Wazuh は監視の要で、ここが破られると他の防御の目も弱まる。管理画面を管理ネットワークに限り、更新の予定を立てる。
経営・事業責任者経営企画を含む
Go の非公開修正は 11/10 に出る。内容は未公開で、影響の大きさはまだ分からない。Go で作った納品物があれば、再ビルドと再納品の段取りを、技術責任者に事前に聞いておく。Craft CMS や Symfony で作った顧客サイトがあれば、更新が済んだかの報告を求めたい。
重大度の見方
まず今日中に該当するかを調べる
使っていれば今週中に更新を計画する
通常の更新で対応。必ず確認する製品のみ載せている
点数が付いたら見直す
脆弱性ごとの内容と対策
CVE-2026-123488 は CVSS 3.1 で 9.8（VulnCheck が付けた Primary 評価。NVD の個別記録で確認）。ほかは一覧の記載で、123491 が 8.8（v4.0）、123490 が 8.8（v3.1）、123489 が 7.1。NVD の状態は Received（分析前）で、点数は暫定。KEV には載っていない。
- 内容
- Craft CMS（PHP 製のコンテンツ管理システム）。123488：要素検索のエンドポイントで、パラメータが無害化されないままクエリに連結され、認証なしで SQL を実行できる。DB の書き込みもできるため、users テーブルの管理者フラグを立てたり、パスワードのハッシュを書き換えたりして、管理者になれる。ほかの 3 件は、GraphQL の eager-loading 引数からの認証なし SQL インジェクション（123491）、管理画面の利用者が getOwners() の条件から管理者へ昇格できる件（123490）、getNext()・getPrev() 経由のブラインド SQL インジェクション（123489）（一覧の記載）。
- 影響
- 123488 は Craft CMS 4.0.0 以上 4.18.9 未満と 5.0.0 以上 5.11.2 未満（NVD の記録）。ほかの 3 件の対象版は確認できていない。Craft CMS で受託サイトを作っていれば関わる。悪用の報告は確認できていない。
- 対策
- 123488 は 4 系なら 4.18.9、5 系なら 5.11.2 へ更新する（NVD の記録）。ほかの 3 件の修正版は未確認なので、更新の際は GitHub のアドバイザリで確かめる。更新までの間は、公開側の検索・GraphQL の入口を WAF などで絞る（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC（日本時間 11/07 00:17）に載った。123488 は NVD の個別記録（API）を開いて確認した。GitHub のアドバイザリ（GHSA-qcvp-ggx3-97r6）と VulnCheck の記事は参照先で、本文は開いていない。
- 出典
- GitHub：Craft CMS のアドバイザリ GHSA-qcvp-ggx3-97r6（NVD の参照先・未開封）NVD CVE-2026-123488NVD CVE-2026-123491NVD CVE-2026-123490NVD CVE-2026-123489
CVSS 3.1 で 9.8（NVD 一覧の記載。評価元は Secondary と表示されていた）。NVD の個別記録は開いていない。評価は暫定。
- 内容
- Jumis Pro SIA の Jumis。同梱の SQL Server の管理者パスワードが、公開されている情報であるサーバー名から導かれる。サーバー名を知る相手が、管理者として DB に入れる（一覧の記載）。
- 影響
- 対象版と修正の有無は確認できていない。ラトビアの会計・ERP 製品で、読者企業が使う可能性は低い。9.0 以上のため載せた。
- 対策
- 修正版は未確認。使っている場合は、ベンダーの公告を確かめ、SQL Server の管理者パスワードを推測できない値に変え、DB への接続元を絞る（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。一覧の記載のみで、ベンダーの公告は見つけていない。
- 出典
- NVD CVE-2026-59105
ゲージは 123792 の値（CVSS 4.0 で 8.7）。121623 は 4.0 で 8.2。どちらも Symfony 側の CNA が付けた評価（NVD の個別記録で確認）。NVD の状態は Received で、評価は暫定。KEV には載っていない。
- 内容
- Symfony（PHP のフレームワーク）。123792：Yaml コンポーネントが、細工した小さな文書を非効率に処理し、PHP のプロセスが数秒から数分占有される。JSON も YAML として読めるため、7.4 以降で Yaml コンポーネントを入れ、acceptFormat を絞っていない #[MapRequestPayload] の入力受け口は、YAML の Content-Type で JSON を送るだけで突かれる。121623：Serializer の DataUriNormalizer が「data:」を大文字小文字を区別して調べるため、「DATA:,/../../../etc/passwd」のような値がファイルパスとして開かれ、任意のローカルファイルを読める。FrameworkBundle の既定で登録されており、信頼できない入力をこの型へ変換する入力受け口が対象になる。
- 影響
- 両件とも、5.4.56 未満、6.x は 6.4.50 未満、7.x は 7.4.23 未満、8.x は 8.1.11 未満（NVD の記録）。Symfony を使う PHP 案件が関わる。部品として取り込んでいる製品も、composer.lock で確かめたい。悪用の報告は確認できていない。
- 対策
- 5.4.56、6.4.50、7.4.23、8.1.11 以降へ更新する（NVD の記録から読み取った版。公告本文は未確認）。更新までの間は、#[MapRequestPayload] の acceptFormat を json に絞り、信頼できない入力を DataUriNormalizer に渡さない（当社の提案）。
- 続報
第2版 NVD に 11/06 16:17 UTC（日本時間 11/07 01:17）に載った。NVD の個別記録（API）を開いて確認した。GHSA（GHSA-hwfg-qwvh-2wfx、GHSA-pxj9-jh84-vhm5）と修正コミットは参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-123792NVD CVE-2026-121623GitHub：Symfony のアドバイザリ GHSA-hwfg-qwvh-2wfx（NVD の参照先・未開封）GitHub：Symfony のアドバイザリ GHSA-pxj9-jh84-vhm5（NVD の参照先・未開封）
CVSS 3.1 で 8.3（VulDB が付けた Primary 評価）。同じ記録の 4.0 では 5.5（PoC の段階）。高い方の 8.3 を使った。NVD の状態は Deferred。KEV には載っていない。
- 内容
- OpenBMB の Internet of Agents（複数の AI エージェントをつなぐ基盤）。im_client/agents/tools/code_executor.py の execute_code 関数で、filename と lang の引数の扱いからコード注入が起き、リモートから攻撃できる。エクスプロイトは公開されている。
- 影響
- コミット 9d78e88e47160eb42ee1ee8538c05e1c2c47877a までが対象（NVD の記録）。ローリングリリースのため、版の範囲はない。ベンダーには Issue で報告済みだが、応答はまだない。
- 対策
- 修正版は確認できていない。使っている場合は、コード実行ツールを無効にするか、専用のコンテナに隔離し、外部から届かないようにする（当社の提案）。Issue の進み具合を見る。
- 続報
第2版 NVD に 11/06 16:17 UTC に載った。NVD の個別記録（API）を開いて確認した。VulDB の記事と GitHub の Issue は参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-123675GitHub：IoA の Issue #18（NVD の参照先・未開封）VulDB：VDB-431792（NVD の参照先・未開封）
CVSS 3.1 で 7.6（VulnCheck が付けた Primary 評価）、4.0 で 7.2。高い方の 7.6 を使った。NVD の状態は Received で、評価は暫定。KEV には載っていない。
- 内容
- Dify（LLM アプリの開発・運用基盤）。Squid プロキシは送信元の許可ルールだけを持ち、宛先を拒否するルールがない。make_request() も宛先の IP を別に検証しない。このため、認証済みのコンソール利用者が、内部サービスやクラウドのメタデータ宛先へ任意の HTTP 要求を送れる。AWS ではインスタンスのメタデータから IAM の認証情報を読める恐れがある。HTTP Request ノードを使うと、内部サービスへの POST・PUT・DELETE もできる（CWE-918）。
- 影響
- Dify の 0.6.0 以上 1.15.0 未満（NVD の記録）。コンソールのアカウントを持つ相手が条件で、認証なしでは成り立たない。
- 対策
- 1.15.0 へ更新する（NVD の参照先にリリースがある。本文は未確認）。更新できない間は、コンソールの利用者を絞り、AWS では IMDSv2 を必須にして、ホップ数を 1 に制限する（当社の提案）。
- 続報
第2版 NVD に 11/06 16:18 UTC に載った。NVD の個別記録（API）を開いて確認した。修正コミット、PR #36332、VulnCheck の記事は参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-58141GitHub：Dify 1.15.0（NVD の参照先・未開封）VulnCheck：Dify のアドバイザリ（NVD の参照先・未開封）
CVSS 3.1 で 8.8、4.0 で 8.7（VulnCheck が付けた評価。NVD の個別記録で確認）。NVD の状態は Deferred。KEV には載っていない。
- 内容
- Skyvern（ブラウザ操作を AI に任せる自動化基盤。Python 製）。禁止リストで危険なコードを弾く仕組みを、types.CodeType でバイトコードから関数を作る方法で抜けられる。デプロイしたスクリプトが subprocess や socket を読み込め、Skyvern のサーバー内でコードが動く（CWE-184）。
- 影響
- PyPI の skyvern 1.0.56 以下（NVD の記録）。利用者アカウントを持つ相手が対象で、認証なしでは成り立たない。
- 対策
- NVD の記録に修正版の番号はない。参照先の修正コミットと PR #8937 を含む版を、プロジェクトのリリースで確かめて上げる。それまでは、利用者を信頼できる人に限り、Skyvern を専用のコンテナや VM に隔離する（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。NVD の個別記録（API）を開いて確認した。修正コミットとリリースは参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-123783GitHub：Skyvern PR #8937（NVD の参照先・未開封）VulnCheck：Skyvern のアドバイザリ（NVD の参照先・未開封）
CVSS 3.1 で 8.5、4.0 で 8.4（VulnCheck が付けた評価。NVD の個別記録で確認）。NVD の状態は Received で、評価は暫定。KEV には載っていない。
- 内容
- Agenta（LLM アプリの評価・運用基盤）。ワークフローを編集できるメンバーが、リビジョンの URL を任意に指定できる。呼び出しがその先へ飛ぶため、secret-resolve の Authorization トークンを取得して、ボルトにあるプロバイダーの秘密（LLM の API キーなど）を読めたり、社内やクラウドのメタデータ宛先へ届いたりする（CWE-918）。
- 影響
- Agenta 0.122.5 未満（NVD の記録）。ワークスペースに編集権限を持つ相手が条件。
- 対策
- 0.122.5 へ更新する（NVD の記録）。更新できない間は、編集権限を持つメンバーを絞り、LLM の API キーを取れる範囲を最小にする（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。NVD の個別記録（API）を開いて確認した。GHSA は 2 件が参照先にあり、本文は開いていない。
- 出典
- NVD CVE-2026-123786GitHub：Agenta v0.122.5（NVD の参照先・未開封）GitHub：Agenta のアドバイザリ GHSA-pr74-8wxx-gj2h（NVD の参照先・未開封）
ゲージは 112340 の値（CVSS 4.0 で 8.8。NVD の一覧の記載）。112338 は 4.0 で 8.2（NVD の個別記録で確認。3.1 では 5.9）、112339 は 8.2、112336・112341 は 7.1、112334 は 6.9、112335 は 6.8、112337 は 6.3（一覧の記載。評価元は VulnCheck）。状態は Received で、評価は暫定。
- 内容
- Wazuh（オープンソースのセキュリティ監視基盤。エージェントとマネージャーで構成）。112338：GitHub モジュールが API のページ送り URL を検証せず、マネージャーが API トークン付きで攻撃者のホストへ要求を送る。112340：ダッシュボードのプラグインの /api/request プロキシで Authorization ヘッダーを上書きできる（8.8）。112341：WazuhDB の SQL インジェクションで内部の鍵が抜かれる（7.1）。112339：fluent-forward の TLS でホスト名を検証しない（8.2）。ほか、メモリ解放漏れや境界外書き込み、Azure 連携の SSRF（一覧の記載）。
- 影響
- 112338 は Wazuh 4.3.0 以上 4.14.9 未満（NVD の記録）。ほかの 7 件の対象版は一覧に「4.14.9 未満」とある分のみ確認できた。社内の監視や EDR 代わりに使っていれば関わる。
- 対策
- 4.14.9 へ更新する（NVD の記録）。マネージャーとダッシュボードは、管理ネットワークからだけ届くようにする（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。112338 は NVD の個別記録（API）を開いた。ほかは一覧の記載による。
- 出典
- NVD CVE-2026-112338GitHub：Wazuh v4.14.9（NVD の参照先・未開封）GitHub：Wazuh のアドバイザリ GHSA-jmq7-vgh3-wq9v（NVD の参照先・未開封）
CVSS 4.0 で 8.2（VulnCheck が付けた評価）。同じ記録の 3.1 は 5.9。NVD の個別記録で確認。状態は Received で、評価は暫定。
- 内容
- Grida（デザイン・フォームの作成ツール）。Forms のファイルプレビュー API に認可の確認がなく、公開フォームの情報にある form ID と field ID を指定すると、添付ファイルや Supabase バケットの署名付き URL を、未認証で取得できる（CWE-862）。
- 影響
- Grida 0.0.24 以下（NVD の記録）。フォームの回答に個人情報や添付書類が入る運用で使っていれば関わる。
- 対策
- 修正版の番号は未確認。参照先の修正コミットと PR #1108 を含む版を、プロジェクトのリリースで確かめて上げる（当社の提案）。
- 続報
第2版 NVD に 11/06 16:17 UTC に載った。NVD の個別記録（API）を開いて確認した。修正コミット、PR、VulnCheck の記事は参照先で、本文は開いていない。
- 出典
- NVD CVE-2026-123623GitHub：Grida PR #1108（NVD の参照先・未開封）VulnCheck：Grida のアドバイザリ（NVD の参照先・未開封）
ゲージは 123621 の値（CVSS 3.1 で 8.8）。123620 は 4.0 で 7.7、123622 は 3.1 で 6.1（NVD 一覧の記載）。NVD の個別記録は開いていない。評価は暫定。
- 内容
- Usermin（Webmin のメール・個人設定向け画面）。メール閲覧で、細工した IMAP フォルダ名から OS コマンドが実行される（123620）。detachall.cgi のパストラバーサルで、~/.forward などのファイルを上書きできる（123621）。detach.cgi の type パラメータにクロスサイトスクリプティング（123622、7.0 未満）（一覧の記載）。
- 影響
- 対象版は確認できていない。サーバー管理に Webmin・Usermin を使っていれば関わる。
- 対策
- 修正版は未確認。Webmin・Usermin のリリースノートを確かめて更新し、管理画面は VPN などの内側に置く（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。一覧の記載のみ。
- 出典
- NVD CVE-2026-123621NVD CVE-2026-123620
CVSS 4.0 で 8.7（NVD 一覧の記載）。NVD の個別記録は開いていない。評価は暫定。
- 内容
- Parse Server（Node.js 製のバックエンド）。長いメール入力が、計算量が急に増える正規表現に渡り、イベントループが塞がる（一覧の記載）。
- 影響
- 対象版は確認できていない。モバイルアプリの BaaS として使っていれば関わる。
- 対策
- 修正版は未確認。parse-community の GitHub のアドバイザリで版を確かめて上げる。それまでは、入力するメールの長さをリバースプロキシなどで制限する（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。一覧の記載のみ。
- 出典
- NVD CVE-2026-123487
ゲージは 106019 の値（CVSS 4.0 で 8.8）。106020・106022 は 8.6、64894 は 7.3（いずれも 4.0。NVD 一覧の記載）。NVD の個別記録は開いていない。評価は暫定。
- 内容
- 入退室管理の C-CURE 9000（Victor 3.20）では、機密情報がログに出る（106019）。ビル設備の EasyIO Neo IO Manager 1.1.0.0 では、検索順序のハイジャック（106020）、機密のメモリ上の平文保存（106022）、更新の仕組みに信頼できない機能が入る（64894）（一覧の記載）。
- 影響
- ビル管理・入退室管理の機器。受託開発の対象になることは少ない。IoT・産業用機器の枠で載せた。
- 対策
- 修正版は未確認。Johnson Controls の公告で確かめる。管理画面と機器はインターネットに出さない（当社の提案）。
- 続報
第1版 NVD に 11/06 15:17 UTC に載った。一覧の記載のみ。
- 出典
- NVD CVE-2026-106019NVD CVE-2026-106020
いずれも NVD 一覧の記載で、個別記録は開いていない。点数は 119170 が 4.0 で 8.2、53980 が 4.0 で 8.6、123784 が 4.0 で 8.5、123618 が 4.0 で 7.6、123485 が 4.0 で 7.1、87045 が 3.1 で 7.5（Secondary）。評価は暫定。
- 内容
- CPython 3.14.10：FIPS モードで hashlib の制限が効かない回帰（119170、分析待ち）。wish（Go の SSH アプリ用ライブラリ）：git ミドルウェアのパストラバーサルで、ルート外のリポジトリに届く（53980）。Fluxbox：スタイルの背景値から OS コマンド（123784、ローカル）。ABP Framework の OpenIddict：外部プロバイダーのログインでアカウント状態と 2 要素の確認が飛ぶ（123618）。ground-station：operator ロールが管理者専用の接続情報を取れる（123485）。Zephyr：HTTP/2 の CONTINUATION で NULL ポインタ書き込み（87045）。
- 影響
- 読者企業の主力基盤ではないため、一覧にとどめる。Python の FIPS 要件がある案件は 119170 を確認する。対象版は確認できていない。
- 対策
- 修正版は未確認。各プロジェクトの公告で確かめる。
- 出典
- NVD CVE-2026-119170NVD CVE-2026-53980NVD CVE-2026-123618
点数は公表されていません（NVD の記録に評価がない）。NVD の状態は Received。
- 内容
- Apache Axis 1.x（Java の SOAP ライブラリ）。SOAP の Fault を解析する際に、exceptionName で指定されたクラスが読み込まれ、data があればその String コンストラクタでインスタンス化される。読み込み時に静的初期化子が動くため、条件に合うクラスがクラスパスにあるとリモートコード実行に至る。解析がハンドラーチェーンより前に行われるので、サービス単位の認証ハンドラーでは防げない（CWE-470）。
- 影響
- Axis 1.x の 1.4 まですべて（NVD の記録）。Axis 1 は開発が終わっており、CVE の発行時点でサポート対象外と明示されている。古い Java の SOAP 連携を引き継いだ案件が関わる。
- 対策
- 修正版のリリースは出ない方針。Axis 2 や CXF などへの移行を計画する。当面は、SOAP の受け口を外部へ出さず、信頼できる相手に限る（当社の提案）。参照先には修正コミットがあり、自前ビルドで取り込む手もある。
- 続報
第2版 NVD に 11/06 16:18 UTC に載った。NVD の個別記録（API）を開いて確認した。Apache のメーリングリストと修正コミットは参照先で、本文は開いていない。悪用の報告は確認できていない。
- 出典
- NVD CVE-2026-90436GitHub：Axis 1 の修正コミット（NVD の参照先・未開封）
点数は公表されていません。重大度の記載もありません。
- 内容
- oss-security に転送された事前告知（11/05）。標準ライブラリとツールチェーンに非公開の修正があり、CVE は 12 件（97033〜97043 と 97054）が挙がる。影響するパッケージと種類は書かれていない。
- 影響
- Go で作った案件の全体が候補になる。内容が出るまで優先度は決められない。
- 対策
- 11/10（火）の米国の営業時間中のリリース後に、1.27.4 または 1.26.11 へ上げる準備をしておく。CI のビルドイメージと、顧客に納める Go 製バイナリの再ビルド手順を確認しておく（当社の提案）。
- 続報
第1版 事前告知の本文（11/05 の投稿）を開いて確認した。Go 公式のリリース情報は未確認。
- 出典
- oss-security：Go 1.27.4 and Go 1.26.11 pre-announcement
AI 関連の注目トピック
| 製品 | 起きること | 点数 | 修正 |
|---|---|---|---|
| Internet of Agents | コード実行ツールにコード注入。PoC は公開済み | 8.3（VulDB、3.1） | 修正版なし（ベンダー未応答） |
| Dify | 認証済みの利用者が SSRF の対策を回避し、クラウドの認証情報に届く | 7.6（VulnCheck、3.1） | 1.15.0 未満が対象 |
| Skyvern | 認証済みの利用者がサンドボックスを破り、サーバー上でコードを実行 | 8.8（VulnCheck） | 版の番号は未公表（1.0.56 以下が対象） |
| Agenta | ワークフローの URL を書き換え、秘密を取り出すトークンが漏れる | 8.5（VulnCheck） | 0.122.5 |
DeepSeek-Reasonix（プロンプト入力の無害化不備）は 6.3 のため、必ず確認する製品の基準（7.0 以上）に届かず載せていない。
担当ごとのやること
エンジニア開発・運用
- Craft CMS を 4.18.9 または 5.11.2 へ上げる。Symfony は 5.4.56・6.4.50・7.4.23・8.1.11 以降へ。
- Agenta は 0.122.5、Dify は 1.15.0、Wazuh は 4.14.9 へ。Skyvern と Internet of Agents は隔離して運用する。
- Parse Server・Webmin を使っていれば、各公告で修正版を確かめる。Axis 1 を使う案件は移行を計画する。
情報システム担当情シス
- Wazuh と Webmin の管理画面を、管理ネットワークだけに絞る。
- 受託サイトの CMS と版の台帳を最新にする。
経営・事業責任者全体管理
- Go 製の納品物の一覧を作らせ、11/10 の更新に備える。
全社員共通
- 特別な対応はない。更新の案内が出たら、期限までに適用する。
今回の集計
| ソース | 状況 |
|---|---|
| NVD 公開日（11/06 15:20〜16:30 UTC） | 21 件をすべて読んだ。7.0 以上は 5 件（Symfony 2 件、Grida、Dify、Internet of Agents）。点数なしで載せたのは Apache Axis の 1 件 |
| NVD 公開日（11/06 13:00〜15:30 UTC） | 第1版で 65 件をすべて読んだ。7.0 以上は 28 件。13:17 UTC 台の 3 件を除き、カードに載せた |
| NVD 更新日 | 第1版で 222 件のうち先頭の約 1 割しか読めず、拾い漏れの余地あり。第2版では照会していない |
| CISA KEV（NVD 経由） | 11/03〜11/06 16:30 UTC で 2 件のまま。新規なし |
| AWS セキュリティ速報 | 第1版で確認。最新は 2026-172-AWS。新着なし |
| ZDI・JVN・GitHub Advisory・oss-security | 第1版で一覧を確認。第2版では見ていない |
| MSRC・Ubuntu・Debian・Cisco・Fortinet・Palo Alto・IPA・JPCERT/CC・CERT/CC・Project Zero・Linux カーネル・報道 | 見ていない |
用語メモ
出典
NVD CVE-2026-123488（Craft CMS） NVD CVE-2026-123792（Symfony Yaml） NVD CVE-2026-121623（Symfony Serializer） NVD CVE-2026-58141（Dify） NVD CVE-2026-123675（Internet of Agents） NVD CVE-2026-90436（Apache Axis 1.x） NVD CVE-2026-123783（Skyvern） NVD CVE-2026-123786（Agenta） NVD CVE-2026-112338（Wazuh） oss-security：Go の事前告知 AWS セキュリティ速報