SECURITY BRIEFING / 2026-10-25
いま優先する、更新と侵害調査。
基準：2026年10月25日 16:34 JST（07:34 UTC）
一次資料で確認した16群の追加・訂正です。資料の取得は基準時刻後です。以前の公表を今回補完したものを含み、16件の新規侵害を示しません。前日の調査も継続して参照してください。
対応の順序
- 実悪用済みの公開資産：Arista VCO、Built-in CODE、SiteGuard、Plex等を優先。更新と侵害調査を並行。
- 緊急更新：FortinetはCVE詳細公開を待たず、対応機種と系列を照合。管理系の外部公開を制限。
- 信頼と資格情報：Java/Pythonの証明書ストア、LiteLLMの鍵、ConnectWise/M365の追加権限を確認。
- 同梱先まで検証：DNS、Brotli、プロキシ、OTクライアント。更新・再起動・再ビルド後に稼働版を確認。
投稿追補：HTTP2Shell / Brotli
指定投稿（10/24 21:06 JST）を一次資料と照合しました。Node2Shellと同じCVE-2026-111497で、HTTP/2限定の新しい欠陥ではありません。Google CNAはCVSS v4.0 9.2と評価。非信頼のBrotli入力を脆弱な実装で展開する経路を確認します。
- Envoy：1.40.0 / 1.39.3 / 1.38.6 / 1.37.8。Brotli decompressorを設定した配置が対象。1.36.12にも修正はありますが同系列はサポート外。
- Istio：1.31.2 / 1.30.6 / 1.29.9。Brotli展開を有効にしたgateway/sidecarを確認。1.29はEOL。
- curl / requests / httpx：実際に読み込むBrotliと応答の自動展開を確認。HTTPを使うだけで全製品一律の影響とはしません。
- 暫定対応：展開前に入力を拒否。Accept-Encodingからbrを外すだけでは、相手からのbr応答を防げません。受信WAFだけで外部応答の展開は直りません。
Patch the PlanetのBrotli専用勧告 · Envoy公式 · Istio公式 · 全対象・条件・確認の詳細 · 専用画面 #40
影響条件と対応
確認した資料に実悪用の明示がない項目を、深刻度やPoCだけで「実悪用済み」とは扱いません。
| 対象 | 影響条件 | 対応 | 根拠・留保 |
|---|---|---|---|
| Fortinet security hardening | 外部到達性のあるFortiOS/Manager/Analyzer/Mail/Authenticatorを製品・系列別に確認 | FortiOS 8.0.2 / 7.6.8 / 7.4.13 / 7.2.14等。製品別の対応表を参照。11/10のCVE詳細公開を待たず、管理公開を制限し計画更新 | 一次資料 1個別CVE・CVSS未公表。実悪用をこの告知単独から推定しない |
| Oracle Java / GraalVM | eMudhra関連ルートを信頼するJSSEとアプリ同梱JRE | 緊急更新または公式keystore/失効確認手順。各稼働ランタイムを再起動。公開表の影響版を修正版と誤記しない | 一次資料 1 / 一次資料 2正確な修正ビルドはサポート配布表を要確認 |
| Python ssl | 侵害済みeMudhra鍵を含む証明書チェーンを処理するPython通信 | denylist対応を使用系列の配布元で確認。mainマージのみで稼働環境の対応完了にしない | 一次資料 1 / 一次資料 2最低配布版は未確定。OSとcertifi、実際のTLS実装を確認 |
| ConnectWise Cloud Backup / M365 | 現在または過去に対象アプリへ同意したテナント。認証後の不正Graph操作等が一次で観測 | 正式な復旧指示まで接続無効維持。先にアプリを削除せず証跡保存し、認証・追加鍵・所有者・権限・同意・メール操作を調査 | 一次資料 1 / 一次資料 210/26は段階再開目標。試行テナント数≠侵害数。旧未確認を更新 |
| LiteLLM 1.107.0 final findings | 対象wheelsまたは配布時間帯・digestに該当するDocker/GHCRイメージ | 対象環境で先にpipを起動しない。隔離・証拠保存、クリーン環境から再構築と到達可能な鍵の失効 | 一次資料 1 / 一次資料 210/23確定原因:未失効master key→GitHub OAuth token→CI secrets |
| PHP / follow-on | 公開PHPと、特定のsession設定を実行時変更するアプリ | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。upload progress無効化を維持、10/17まで調査を遡る | 一次資料 1 / 一次資料 2試行観測を成功侵害や全3件修正済みと混同しない |
| ISC BIND | GSS-TSIG署名UDPの取得・有効中再送等、RPZやredirect構成等、CVE別条件 | 9.20.30 / 9.21.27、Preview 9.20.30-S1。EOL系列はサポート系列へ移行 | 一次資料 1 / 一次資料 2 / 一次資料 3 / 一次資料 4全BINDへの無条件RCEと記載しない |
| Unbound | DoQ migration、非既定閾値、trust island等、CVE別条件 | 1.26.2または全件用パッチへ | 一次資料 1UAFの公式影響はDoS。RCE実証と推論しない |
| PowerDNS Recursor | 5.3.11 / 5.4.7まで。Web TLSやincoming EDNS subnet等構成依存を含む | 5.3.12 / 5.4.8へ | 一次資料 185559の公開日と発見日表記が不整合、厳密な時系列未確定 |
| PowerDNS Authoritative | 4.9.17 / 5.0.7 / 5.1.4まで、圧縮ポインター処理DoS | 4.9.18 / 5.0.8 / 5.1.5へ | 一次資料 1Recursorと製品・更新先を区別 |
| Knot DNS | 圧縮ポインター、QUIC、DoT等の機能を製品別に確認 | Knot DNS 3.6.2へ | 一次資料 1Knot Resolverと区別。読んだリリースノートはCVEを確定しない |
| Brotli / Bun / Python bindings | 非信頼Brotliのデコード。Bun >=1.0.21,<1.4.4等、同梱コピーを含む | Bun 1.4.4、Python brotli 1.2.1 / brotlicffi 1.2.1.0。Bun compile実行物も再ビルド。OSバックポートは別確認 | 一次資料 1 / 一次資料 2 / 一次資料 3Node公式ビルドのPoCをBun固有の実証や実攻撃確認へ一般化しない |
| Postiz | トークン:2.15.0以上、ファイル:2.23.0以上、共に2.25.3未満。登録ユーザーとSkool/Discord等条件 | 2.25.3へ。自己登録停止は既存ユーザーからの攻撃を解消しない | 一次資料 1 / 一次資料 2 / 一次資料 3検証環境の実証と実環境の悪用を区別 |
| Apache Traffic Server | 15件の各構成。111817は9.xの非既定drop_chunked_trailers有効時等 | 系列別9.2.16 / 10.1.5 / 10.2.1。ただし111817は9.2.16で未修正、設定と追加案内を確認 | 一次資料 1全15件の条件はパッケージ調査ノート参照 |
| open62541 | 1.5.0以上1.5.7未満で悪意あるOPC UAサーバーの型定義を取り込むクライアント | 1.5.7以降へ。組込み・静的リンク先も確認 | 一次資料 1 / 一次資料 2修正版公開8/20とCVE公開10/24を区別 |
| Perl Web::Simple | 0.035未満でbody-parameter matchに到達し、巨大Content-Lengthを送信 | 0.035以降＋MAX_BODY_SIZE。暫定はreverse proxyでContent-Length上限 | 一次資料 1OSコマンド実行ではなく過大なメモリ確保によるDoS |
件数と取得範囲
NVD固定窓は10/24 01:34〜10/25 07:34 UTC。新規公開99件、更新5,432件を全ページ取得しました。重複するため合算できません。APIの内容は後の取得時点の版です。KEVは10/23版、総数1,756、直近17行は前日と一致。新規掲載がないことは無被害の証明ではありません。
GitHub最新100件、公式・研究14フィード、ニュース2フィード、JVN最新20件、PHP4系列も確認。集計方法、取得時刻、未確定の修正版、F5本文の取得制限は詳細に残しています。