研究・実証 · 21:22 JST（UTC 12:22）
Node2Shellの公式ビルド実証
ImpervaがNode.js 24.22.0の公式ビルドでBrotliの欠陥を実証した。研究室のPoCは、それだけで実環境の攻撃確認にはならない。
確認すること Node.js本体だけでなく、Bun、Envoy、Istio、PythonやPerlの同梱Brotliまで確認する。
DAILY RECORD · 2026-10-22
10/22実証、国内の被害公表、境界機器。
公式ビルドでの実証と、実際の悪用・被害報告を同じラベルにしない。
10/26 10:27 JST時点の振り返り。原資料の日付のみの項目は厳密なJST日付が未確定です。
実悪用の公表 · 原資料10/22、時刻未記載
Arista VCOの悪用公表
VeloCloud OrchestratorのSQL injectionは、到達可能な有効アカウントから昇格し得る。最小の読み取り専用ロールも条件を満たす。
確認すること オンプレ対象系列を更新し、管理操作・アカウント・設定の変化を調べる。
被害公表・運用対応 · CAPCOM原資料10/22、GMO告知日と停止日を区別
国内サービスの公表と停止
CAPCOM IDの漏えい公表と、お名前.com デスクトップクラウドの停止は、CVE一覧だけでは追えない事案。PHPとの共通原因や関連性を、この時系列から推定しない。
確認すること 各社の対象範囲と利用者向け案内を確認する。公表されたレコード数や最大対象台数を被害企業数と混同しない。