DAILY RECORD · 2026-10-24
画像、Wasm、AI、国内製品、OTと証明書。前日の広域調査は24事案群。
10/26 10:27 JST時点の振り返り。原資料の日付のみの項目は厳密なJST日付が未確定です。
実悪用確認・KEVカタログ公開 · 04:30:18 JST カタログ公開（個別dateAddedは原資料10/23）
CISA原資料のdateAddedは10/23だが、保存カタログの公開日時はUTC 10/23 19:30:18、JSTでは10/24未明。AristaとNextcloud Built-in CODE Serverの追加を確認した。CODEは停止・無効化中でも脆弱な入口が残るという条件が重要。
確認すること CODEは26.4.303以降への更新または削除を確認。CISA期限は米連邦機関向けで、一般利用者共通の法的期限ではない。
原因説明の訂正 · 06:00 JST（UTC 10/23 21:00）
ベンダーは、過去に公開され未失効だったmaster keyから所有者のGitHub OAuth token、CI秘密へ到達したと説明。初報の作業ログ等に関する仮説を、確定原因として残さない。
確認すること 対象の悪性配布物を隔離し、残存ローダと派生した鍵を調査。クリーンな環境から失効と再構築を行う。
緊急勧告・実装更新 · 原資料10/24、時刻未記載
eMudhraへの対応は、ブラウザー以外の実行環境へ続く。Oracleの緊急勧告とPython sslの対応を、定例CPUやmainへのマージだけで完了としない。
確認すること アプリ同梱JREやOSバックポートを確認。配布済みビルドと実際に使用するTLS経路を照合する。
本調査の更新 · 19:13 JST 基準
Pillow、Wasmtime、Ruby、Laravel、Echo、AI/MCP、プリザンター、LIFF、HPE、三菱電機等を条件別に整理した。24件の新規侵害を意味しない。
確認すること 製品名だけで対象と判断せず、入力形式・有効な機能・系列・権限・同梱バージョンを確認する。
修正・依存先の点検 · 原資料10/24等、修正版公開日は各資料を参照
Envoy/Istio、自動応答展開、Python/Perl wheels、open62541など、利用者が直接インストールした覚えのないライブラリにも確認範囲が広がる。
確認すること 静的リンクや組込み製品は再ビルド・ベンダー配布物まで追う。ATS 9.2.16には一部未修正の例外がある。