DAILY RECORD · 2026-10-26
Windows .NET、PerlのHTTP処理、Siemens、PHPに関する帰属説明の撤回を追加。
10/26 10:27 JST時点の振り返り。原資料の日付のみの項目は厳密なJST日付が未確定です。
臨時修正の公表 · 03:50:05 JST（UTC 10/25 18:50:05）
MicrosoftはCVE-2026-70197の修正が10/13の更新に含まれなかったと説明。WindowsのIPv4/IPv6 datagram socketを跨ぐ再利用という条件がある。
確認すること Windows runtimeを8.0.33 / 9.0.22 / 10.0.14等の対象系列へ。self-containedアプリは再ビルド・再配布を行い、実行中のruntimeを確認する。
開発元による技術報告 · 01:56〜01:57 JST送信、フィード配信は後
HTTP framingやconnection処理の問題が公表された。StarmanとPSGI/Plackは対象と修正先が異なる。CVE登録数を攻撃件数とは数えない。
確認すること Starman 0.4019以降。Plackは原勧告の修正案内1.0057以降を照合し、対象欄との版境界不整合にも注意する。
国内情報の更新・既存勧告補完 · 09:00 JSTのJVNフィード、本文は日付のみ
Siemensの10月情報が更新され、RUGGEDCOM APE1808上のPAN-OSに関するPHP2Shell勧告を確認。すべてのSiemens製品に同じ欠陥があるという意味ではない。
確認すること SSA-566512の製品・仮想アプライアンス・修正条件を照合する。新規19件/更新21件は月次一覧で、今朝の新規侵入数ではない。
調査説明の訂正 · Unit 42原資料10/25更新、時刻未記載
Unit 42は政府機関の事案の初期侵入をPHP2Shellと確認できず、10/23の説明を撤回した。攻撃試行の観測が消えたという意味ではない。
確認すること 試行の観測、悪用成功、初期侵入の帰属を分ける。「政府機関侵害の原因として確定」とは記載しない。
CVE収録・コード照合 · 10:17:15 JSTにNVD収録、攻撃開始時刻ではない
QuantGeekDev製のMCP serverで、Docker社公式製品とは別。CNA対象0.1.0 / 0.2.0。Windowsのproject_nameをshell文字列へ埋め込む経路を確認。Unixの引数配列経路は同一条件ではない。
確認すること 最低修正版は今回未確定。Windowsの該当toolへ非信頼入力が渡る経路を制限し、公開範囲と実行権限を確認する。
CVE収録・公式コード照合 · 10:17:15 JSTに2件収録、原報告は以前
CVE-2026-116103 / -116104はencode_paramとNNP converterの入力評価経路。CNAは1.39.0まで、非サポート製品と記載。全推論APIで無条件にネットワークRCEが成立するとはしない。
確認すること 最低修正版は未確定。不審なparameterやNNPを変換せず、処理環境・資格情報・外向き通信を隔離する。
CVE収録・既存修正の点検 · 08:17:41 JSTにNVD収録、修正は以前
smg CVE-2026-116095のJPEGメモリ確保は公式1.11.0に修正。llama.cpp CVE-2026-116096はPocket-TTSの悪性mmproj処理。CNAのb11796対処と、assert停止による検出、根本的な防止を区別する。
確認すること smg 1.11.0と画像資源上限を確認。llama.cppでは由来不明のmmprojを読まず、不正モデルを安全に拒否する全体の最低版は未確定として扱う。
10/22研究の再報道で確認 · 00:49 JSTに二次記事、一次研究10/22（日付のみ）
研究者は顧客端末のDownloads内の指示ファイルから、悪性npm導入試行を検知・阻止したと報告。ファイルの実際の流入経路は不明。Webからagentへ至る経路や資格情報転送の実験を、同じ実機で全て観測したとはしない。
確認すること 非信頼ファイルが入るDownloads等でagentを起動しない。見覚えのない指示ファイル・MCP/API宛先・承認設定の変化を確認する。実験の成功率を被害割合として掲載しない。