RESEARCH DATABASE
影響条件と対策を、一次資料へ戻って確認できる一覧です。
最新の調査基準：2026-10-26 21:35 JST。論点の数は新しい被害事件の件数ではありません。
15:30 JST（GHSA公開）
GitHubのmalware勧告はdsh-plugin-blender-3d 0.2.1と@walknpm/todo-cli 2.0.1のpostinstallによる採掘プログラムと永続化処理を説明しています。rootやパスワード不要sudoの有無で処理が異なります。全npmパッケージやBlender本体の侵害という意味ではありません。
確認すること：該当版の導入履歴を確認してください。実行済みなら環境を隔離し、永続化・外部通信・資格情報への到達を調査し、安全な環境から必要な鍵を失効してください。
16:33 JST（GHSA公開）
GitHubは@worca/app 1.14.0-rc.2 / 1.14.0-rc.4をmalwareと分類し、実行・導入した端末を侵害された前提で扱うよう案内しています。公開記録は具体的な被害組織数や侵入開始日時を示していません。
確認すること：対象版を導入した環境を隔離して調査してください。別の安全な端末から鍵・秘密情報を更新し、パッケージ削除だけで復旧完了としないでください。
18:31 JST（GHSA公開）
publish-poc-test3の対象7版はpostinstallで利用環境のnpm認証を用いた公開処理を試みると報告されています。publish-poc-base 1.0.7はREADME断片と資格情報を含む一時ファイルを準備しますが、その版では公開・通信の前に削除すると説明されています。両者を同じ外部送信成功と数えないでください。
確認すること：対象版とCIの導入ログ、npm公開履歴を確認してください。不審な公開があれば該当トークンを失効し、依存関係と公開権限を見直してください。
test3勧告 / base勧告 / OpenSSF原記録
21:30 JST（GHSA公開）
対象はnetweavex 1.1.0 / 1.1.1 / 1.1.2です。原分析は正規パッケージの複製、難読化、import時のGitHubからのコード取得・実行を説明しています。分析時の取得先はplaceholderだったとも記載されており、特定の情報窃取が成功したとまでは確認していません。
確認すること：該当版を実行せず導入履歴を確認してください。実行済みなら外部通信と実行履歴を調査し、秘密情報の露出に応じて失効・再構築を行ってください。
18:31 JST（GHSA公開）
zagents-framework 6.25.30.10b5 / 99.25.30.10b5とchanges-lxc-wrapper 0.0.0 / 0.1.0は、installまたはimportで基本端末情報を送ると記録されています。GitHubはmalware区分ですが、原分析の分類はPROBABLY_PENTESTです。大規模な資格情報窃取事件と同一視しないでください。
確認すること：利用目的と導入経路を確認し、不要な対象パッケージを除外してください。実行済みなら送信先と実際の影響を調査してください。
14:58 JST（開発元勧告）、21:17 JST（NVD収録）
開発元は14:58 JSTに3勧告を公開しました。ログイン済み利用者による画像取得先の制御、redirect・DNS再解決による内部宛先への到達、AI provider keyを使うimprove_promptの権限不足が対象です。任意の未認証利用者による全サーバー侵害ではありません。
確認すること：Builder 1.36.1以降とFrappe v16.36.1以降の要件を照合してください。画像取得先・公開保存物・AI利用ログを確認し、更新できない場合は対象APIの制限とAIキーの一時除去を検討してください。
18:16 JST（NVD収録）
CVE-2026-116372は200以外の成功応答、116469はタグ・category・sharing group UUIDの大文字小文字によって、配信フィルターを迂回できる問題です。開発元は16:53 / 18:25 JSTのコミットで対処しています。MISP本体すべての侵害や、全てのfeedデータの流出確認ではありません。
確認すること：両修正を含む稼働コードを照合し、TLP等の許可設定と配信履歴を確認してください。最低の配布リリース番号は今回未確定です。
20:16 JST（NVD収録）
CVE-2026-89209はIdP-initiated SSOで有効なSAML応答を再利用する条件の認証回避です。Mendix 9用モジュール3.6.29未満、10/11用4.2.4未満が対象です。任意のSAML応答を作るだけで成立するとまでは記載していません。
確認すること：利用するSAMLモジュールを3.6.29または4.2.4以降へ更新してください。直ちに更新できない場合はIdP-initiated SSOの無効化を開発元の案内と照合してください。
20:16 JST（NVD収録）
JetEngine 3.9.0以前のSQL injectionはContributor、Media Library Assistant 3.42以前のSQL injectionはAuthor、AI Engine 3.8.6以前の認可不足はContributorの権限条件を原資料で確認しました。ほかのXSS・CSRF登録も含め、全件を未認証RCEや実悪用とは扱いません。
確認すること：JetEngine 3.9.0.1、Media Library Assistant 3.43、AI Engine 3.8.7以降を照合し、投稿者権限と利用プラグインを点検してください。残りの個別記録はNVD索引から製品別の修正を確認してください。
15:17 JST（NVD収録）
CVE-2026-116120〜116123は登録・再設定の資源消費、登録競合、sign-inの情報差、認証試行制限に関するCNA記録です。公式のPublicApiLimiterGuardはreverse proxy等で制限する設計と明記し、現在の登録処理にはwithSignupClaimもあります。登録番号の増加だけで全版未修正とは判断できません。
確認すること：外部公開した登録・再設定・ログインのレート制限をproxy側も含めて確認してください。異常な登録・セッション失効ログと利用版を照合し、最低出荷修正版は未確定として扱ってください。
CVE-2026-116120 / CVE-2026-116121 / CVE-2026-116122 / CVE-2026-116123 / 公式guardコード / 公式登録処理
20:16 JST（NVD収録）
CVE-2026-116258〜116262は1.4.0までのAFC・Web Inspector等のメモリ処理に関するCNA登録です。device infoにはローカル条件の項目も含まれます。公式コードは確認しましたが、研究者サイトは動的表示で詳細を取得できず、接続・ペアリング等の全条件と最低修正版は未確定です。
確認すること：利用する端末管理ツールと同梱版、信頼して接続する装置を確認してください。全iPhoneが任意のWeb閲覧だけで侵害されると解釈せず、不審な端末・プロトコル応答の処理を隔離してください。
16:17 JST（NVD収録）
CVE-2026-116124は1.14.60までのOLE2 parserに関するCNA登録です。GNOME公式mirrorで9/26の境界書込み修正コミットを確認しました。元GitLabページはHTTP成功でもchallenge画面のため本文は読めていません。今回の新規修正ではなく、最低配布修正版は未確定です。
確認すること：文書解析・変換処理の同梱libgsfを棚卸しし、当該修正を含む配布物を確認してください。非信頼のOLE2文書を扱う処理環境と権限を制限してください。
21:17 JST（NVD収録）
CVE-2026-96432はQNetworkAccessManagerが悪意ある・侵害されたHTTP/2サーバーの応答列を処理して停止する問題です。公式表は6.8.0〜6.8.9、6.9.0〜6.11.2を対象としています。利用アプリからのコード実行や全Qt製品の侵害確認ではありません。
確認すること：Qt 6.8.10 / 6.11.3等の該当系列を照合し、アプリや同梱ライブラリの更新を行ってください。接続先の制御と再起動監視も確認してください。
19:16 JST（NVD収録）
CVE-2026-112250はBRAIN2 3.09以前で、SQL Server Integrated SecurityとWindowsサービスアカウント指定を組み合わせた場合に平文パスワードがsetup logへ残る問題です。ログは通常、導入した管理者の一時領域にあり、標準ユーザーへ無条件公開されるという説明ではありません。
確認すること：3.10以降へ更新し、該当setup logの安全な除去とアクセス権を確認してください。露出が疑われるサービスアカウントは資格情報を変更してください。
21:17 JST（NVD収録）
PictShare CVE-2026-116263は予測できる一時ファイル名による競合で、検査後の内容が差し替わる問題です。10/18の修正とv3.7.2タグを確認しましたがGitHub Release APIは404でした。EasyImage CVE-2026-116223は削除権限の問題で、10/24の関連hardeningコミットを確認しています。両製品の条件は同一ではありません。
確認すること：PictShareは3.7.2相当のタグ・修正収録、EasyImageは該当修正と認証・保存先設定を照合してください。任意の番号を新たな最低修正版として推定しないでください。
16:17 JST（NVD収録）
CVE-2026-116228は2.17.10までのLocal HTTP Serviceの認証不足に関するCNA登録です。公式コードでは既定のlocalhost origin処理と、設定によって広がるCORS条件、指定hostでのlistenを確認しました。外部Webページから全設定で無条件侵害できるとまでは検証していません。
確認すること：ローカルHTTPサービスのlisten先、CORS_ORIGIN、実行ユーザーとローカル利用者の権限を確認してください。最低修正版は未確定です。
17:17 JST（NVD収録）
FFXIV Teamcraft CVE-2026-116229はrendererのclipboard IPC、Plague Inc Evolved CVE-2026-116230はWorkshop scenarioのデシリアライズが対象です。Teamcraft 11.4.32の公開は10/13で、今夜の新規修正ではありません。ゲーム本体すべてや通常の閲覧だけへの一般化は避けてください。
確認すること：Teamcraft 11.4.32、Plague Inc Evolved 1.24.0.4等の修正案内を利用環境と照合し、非信頼のscenario・renderer入力を制限してください。
16:25 / 18:00 JST（公式フィード）
16:25 JSTのJPCERT/CCはPHPの実証・環境依存条件とupload progress緩和を追記し、Brotli注意喚起を公開しました。18:00のJVNもBrotliを掲載しています。新たなPHP/Brotliの別CVEではなく、国内向け説明の更新です。
確認すること：PHPは修正版への更新・侵害調査を継続し、CVE-2026-115560へのsession.upload_progress.enabled=0と全worker再起動を確認してください。Brotliは1.0.10 / 1.1.1 / 1.2.1の分岐別修正と同梱製品の案内を照合してください。
17:17〜19:16 JST（NVD収録）
CVE-2026-116231〜116237はPugongying X5 Pro 7.6.1のSer2net、SNMP、Dnsmasq、IPsec、L2TP、PPPoE等の設定処理に関するCNA登録です。改行注入とuploadを一括して無認証の外部侵入へ一般化せず、管理操作への到達と権限条件の追加確認が必要です。
確認すること：機種・firmware、管理口の公開範囲、設定変更履歴を確認してください。最低修正版は未確定のため、ベンダー案内と不要な管理アクセスの制限を照合してください。
21:17 JST（NVD収録）
CNAはLogsign SIEM 6.4.120以上6.4.122未満のpath traversalと、Liman MYS 2.3.4-1124以上2.3.5-1131未満のパスワード回復を別件として記録しています。国の原通知ページは動的画面で本文を取得できず、成立条件と実悪用は今回独立確認できていません。
確認すること：Logsign 6.4.122、Liman 2.3.5-1131等の配布元案内を利用系列と照合し、管理経路の公開・回復手順・関連ログを確認してください。
21:00 JST（第6報の基準時刻）
別の安全な端末から全端末・全セッションをログアウトし、FX・証券・メール・Google等のパスワード変更とMFAを案内。心当たりのない連携アプリ・転送設定・拡張機能・登録端末の削除、点検完了までブラウザー同期をオンにしないことも追加。全接続端末への感染確定ではない。
確認すること：公式窓口で案内を確認し、全sessionの失効と追加された認証・連携を点検する。フルスキャンと切離したバックアップを行い、任意のPC調査は事前確認書の範囲を確認する。
17:00 JST（運営元の更新表示）
外部調査で契約者情報以外の漏えいを新たに1契約確認。計345契約、345契約への個別連絡を完了したと説明。345人や全受信者の漏えいではない。管理画面・API・配信は停止継続、次回報告予定は10/27 12:00頃。
確認すること：契約別の対象情報を最新通知と照合し、代替配信・問い合わせ対応と偽メールへの注意を続ける。通知完了を調査終了や再開許可とみなさない。
15:37:47 JST（ページ更新メタデータ）
浜松町・浅草・京都の3施設で、9/21までに成立し宿泊日が9/21以降という両条件を満たす一部予約に不審メッセージ。TEMAIRAZU経由で予約情報が閲覧取得された可能性を説明。全予約の確定流出や、この時刻の新規侵入ではない。
確認すること：予約の詳細を知る連絡でもメッセージ内のURLから入力・送金せず、施設や予約サイトの公式窓口で確認する。カード情報を入力済みならカード会社へ相談する。
14:32 JST（開発元勧告）、17:17 JST（NVD収録）
CVE-2026-96581の開発元勧告は14:32 JSTで前回基準前の公表です。attribute multitenancyで、主キー等を受け付けるupsert付きcreate actionから他テナントのレコードを更新・取得できる条件を説明します。全create actionや全Ashアプリが同じ構成とは限りません。
確認すること：Ash 3.37.2以降を照合し、テナントを跨ぐupsertとレコード移動履歴を確認してください。暫定upsert_conditionはMnesiaでは効かないとの例外にも注意してください。
10/22公表、10/26 NVD収録
10/22公表の5勧告をNVD収録に合わせて補完しました。Doclingの入出力パス、Keycloak introspection結果の期限、AWS2-S3のオブジェクト名の式評価、CoAPのエラー情報漏えいは別の条件です。Keycloakの問題はtoken introspectionを有効にした場合で、既定ではありません。
確認すること：4.18.5 / 4.22.2 / 4.23.0等へ更新してください。外部入力からDocling出力先を指定できる経路は、更新後もoutputBaseDirectoryを設定してください。S3 headerと期限切れtokenの扱いを確認してください。
Docling出力先 / Docling引数 / Keycloak期限 / S3式評価 / CoAPエラー
9/21付勧告、10/26 NVD収録
9/21付のRT-Labs資料はSOEM 2.0.0以前の6件を説明しています。悪意ある・侵害されたEtherCAT装置がmasterへ不正な応答を返すことが前提で、長さ・累積量・配列添字等の検証不足からメモリ破損、情報漏えい、停止の可能性があります。一般のインターネット到達だけで成立する問題ではありません。
確認すること：SOEM 2.0.1以降の組込みを製品ベンダーと照合してください。EtherCAT区画への装置追加、保守用接続、master権限を確認し、設備の停止手順と検証計画に沿って更新してください。
10/23原報告公開、16:17 JST（NVD収録）
10/23公開の6件をNVD収録に合わせて補完しました。CCAvenue、nexi Alpha Bank、Eurobank、iKhokha、OPay、Mintpayの個別プラグインで、通知の真正性や既定の空secretによる支払済み・取消等への状態変更が問題です。銀行本体やWooCommerce本体の侵害ではありません。
確認すること：iKhokhaは3.0.4以降を照合してください。他5件は原資料で既知の修正版なしとされるため、影響連携の利用停止・代替と、決済事業者の記録による入金照合を検討してください。
CCAvenue原報告 / nexi Alpha Bank原報告 / Eurobank原報告 / iKhokha原報告 / OPay原報告 / Mintpay原報告
10/23開発元公表、10/26 NVD収録
CVE-2026-113438のNVD収録に合わせ、10/23の開発元説明を再確認しました。LDAP認証でLinux/DockerまたはWindows Novell providerと、ADまたは匿名bindを許すLDAPを組み合わせた条件が対象です。ローカル・SAML・パスキー等を含む全利用者の認証回避ではありません。
確認すること：対象構成では1.5.9.1以降へ更新してください。1.5.9.0には修正が含まれない点、LDAP+LocalではLDAP利用者が対象となる点を確認してください。
13:00 JST（既報JVN）、16:17 JST（NVD収録）
CVE-2026-107894〜107900は前回までにJVN情報として掲載した7件です。今回NVDへ収録されましたが、新しい7事件や新たな7件の実悪用を意味しません。細工したV7形式ファイルを設計端末で開く条件が継続します。
確認すること：6.2.11.0以前の利用と外部設計ファイルの取扱いを確認し、6.2.12.0の改善情報・パッチを照合してください。
10/24観測・初公開、最終追記10/26 11:28:31 JST
研究者はPHP8.4.26 / single-worker Apache mod_php / 128MiBの3対象で、HTTP要求と35回のApache-child shellを相関。UID33での実行で、35被害者やroot取得ではない。本稿は全PCAPの独立再分析やPoC実行をしていない。Unit42の政府機関侵入との紐付け撤回は別に維持する。
確認すること：更新に加え、PHP workerからの不審な子プロセス・通信・ファイル作成と前後のHTTP記録を調べる。500エラーや巨大Cookieだけを成功・無被害の判定に使わない。
研究者一次報告 / 公開履歴 / 証拠索引と限界 / Unit42現行訂正
SSH転送PRは10/26 12:08:59 JST merge。前回以前の変更
公式PR21942はUnixの転送を認証済みローカルユーザー資格情報で処理する構成へ変更。ServeのPR21931もmerge済みだが、最新安定版は1.104.2、headscale0.29.6で、Tailworm全体の最低修正版は今回未確定。接続policyのPR21944はopen。mainへのmergeを配布済み修正としない。
確認すること：不要な転送は、代替管理経路を確認後、tailscaledのservice環境でTS_SSH_DISABLE_FORWARDING=1を設定して再起動する暫定策を照合。check modeやこのflagだけで全研究項目の修正完了とはしない。
10/22 22:00 JST一次研究公開。観測7/14〜9/22
Huntressは79組織で497件の成功サインイン、少なくとも48台の不正Entra端末登録、MFA差替えと受信箱規則を報告。盗用sessionの再利用とその後の永続化を分ける。今日の79件の侵入やConnectWiseと同一の原因を確認した資料ではない。
確認すること：session失効とパスワード変更に加え、登録端末・MFA手段・受信箱規則・新しいenterprise applicationと同意を調査し不正なものを除去する。失敗試行数だけで対応優先度を決めない。
10/26 02:55:33 JST一次研究公開。観測9/15以降
Wizは盗用tokenによる850超のアカウントと13,500超の不審branchを報告。workflowが秘密をログへ出し、GitHub APIで回収後runを削除する。調べたpublic実行は承認holdで阻止されたが、private / Enterpriseでは実行と後続操作を観測。branch数は被害組織数ではない。
確認すること：ci-sync- branch、sync-check workflow、短時間で削除されたrunやcloud側role引受けを確認。実行されたrepoでtokenと到達可能secretsを失効・交換し、self-hosted runnerと権限も調査する。保留中の不審workflowを承認しない。
10/21 23:57:50 JST一次研究公開
改変Telegram・WeChat等のAPKやOnion Box container内のhookを分析。2FA情報・session等の取得能力を示すが、信頼できる被害者数は未確定。Android17で全chainが成立したとも、OS更新だけで全件を防げるとも証明されていない。
確認すること：配布元・署名とアプリの由来を点検。不審な改変版がある場合は安全な端末からsessionと認証手段を調査する。LSPatchの残存ファイルだけで感染を確定せず、前年の感染数を今回へ加算しない。
18:10:22 JST（公式勧告のSummary edit）
勧告の古い「firmwareを準備中」という説明を削除した更新。NeatOS26.5.4は引き続き段階配信、Pulseは組織別、非Pulse OTAは10/28目標。cloud側修正は別枠で約2週間見込みで、今回の説明更新は全配信完了の証明ではない。
確認すること：PulseのRoadmapと実機版を確認し、必要なwebhook資格情報の更新はcloud修正完了確認と分ける。日付や勧告の編集だけで全端末修正済みとはしない。
21:39:58編集 / 21:40:23更新 JST（基準21:35の後）
記事作成は10/21だが、公式APIは基準後の改訂を記録。取得した同梱PHPのpatch一覧・future release記述を21:35以前の確定内容へ遡らせない。14.3.0.14等の本文と14.3.0.15等のdownload名を独自に最小修正版へ整理しない。
確認すること：利用者は系列・OSに合う現行公式案内を照合できるが、本稿では後取得の版番号を確定差分へ含めない。古い系列の部分緩和を完全な修正と扱わない。
10/26日付。HTTP Last-Modified16:00:20 JST、復旧・公開時刻は未確定
現行ページはPHP対応で停止した問い合わせ・FAQ・避難所管理・ごみ分別検索等の復旧と、侵害・漏えい未確認を説明。serverのresource更新時刻を実際の復旧や初回公開時刻とせず、対象時点を完全復元できない参考枠に分ける。
確認すること：利用する機能の公式状態を確認する。予防停止を侵害確定とせず、この町の案内を全自治体の復旧へ一般化しない。
JSONの条件・留保もあわせて確認してください。網羅的な全世界の被害統計ではありません。