NIGHT SECURITY REVIEW · 2026-10-25
23:18。
今夜の確認と対応。
進行中の侵害対応を続けながら、新しい報告の成立条件を確認する。
対象：2026-10-25 23:18 JST / 14:18 UTC。実取得は基準後。
当時の本文の不変な再現ではありません。未記載の編集時刻は未確定です。
今夜の優先事項
- 実悪用と公開サービスの対応を継続。PHP・GitLab・CODE・Plex等、更新と侵害調査を並行。Tailwormの話題で既存の作業を止めない。
- Tailscaleの機能別棚卸し。SSH・headscale・conn25・Serveの有効化と権限を確認。不要な許可を削減。
- ConnectWiseの23:00更新。10/26の段階onboardingは目標。個別手順が来るまで接続無効を維持。
- 認証・管理・AI実行基盤。下表の該当条件と修正先を照合。NVD掲載を新規発生や実悪用へ読み替えない。
- Fortinet・証明書・Brotli・DNS。同梱コピー、コンテナ、稼働プロセスまで対策を確認。
23:00更新：復旧目標と再接続許可
ConnectWiseは10/25 14:00 UTCに更新。既存バックアップの復元アクセスを先に、その後のpartner再登録を案内する計画です。基盤の復旧は全機能の復旧ではなく、10/26は段階再開の目標。保管済みbackupの説明とは別に、顧客M365の不正な認証・追加鍵・権限・メール操作を調査します。
追加確認：認証と実行基盤
以下の多くは開発元が10/8–10に公開済みで、10/25はNVDへの記録掲載です。今回の資料だけでは実悪用は確認していません。認証条件・有効な機能・同梱先を照合してください。
| 対象・CVE | 影響条件 | 修正・暫定対応 | 一次資料・留保 |
|---|---|---|---|
Snipe-IT CVE-2026-116199 | 8.6.2以前。Google SSO、メール形式username、無効化済みローカルユーザーに有効Google identityが残る条件 | 8.6.3。offboardingをIdP側でも完了し、旧権限での再ログインを確認 | 開発元。既定username形式は同じ条件ではない。開発元Moderate、NVDには9.2の採点 |
Snipe-IT CVE-2026-116200 | 8.6.2以前、LDAP StartTLS利用、経路上の攻撃者 | 8.6.3。暗号化失敗時にbindを続けない。疑わしい場合はservice/user資格情報を調査・更新 | 開発元。単にGoogle SSOだけの問題ではない |
Parse Server CVE-2026-116163 | AuthAdapterを継承した独自adapterの検証methodが呼ばれない。built-inやplain objectは別 | 8.6.102 / 9.10.5-alpha.2。系列を照合し独自認証・追加factorの動作を確認 | 開発元。全アプリへの無条件認証回避ではない |
Parse Server CVE-2026-116165 | MongoDB配置。master keyなしでclass schema削除、CLP/protected fields喪失。PostgreSQLは対象外 | 8.6.101 / 9.10.4-alpha.4以降。上のadapter問題もあればそちらの修正先を満たす。消えたschema/権限は更新だけでは復元されない | 開発元。object ACLは引き続き適用 |
YesWiki CVE-2026-116207 | 未認証のBazar検索APIのSQL injection。開発元対象欄は4.6.7–4.7.0未満 / 5alpha1–alpha4未満 | 4.7.0 / 5.0.0-alpha4。認証情報への影響と公開APIを確認 | 開発元。NVD本文は4.6.0からと記載し開始版が不一致。4.6.0–6を安全と断定しない |
rclone CVE-2026-116191 | 1.75.1以前、serve webdavのroot外書込み経路 | 1.75.2。公開範囲とバックエンド権限を制限し、root外の書込みを調査 | 開発元。全serve形式の同じ問題とはしない |
rclone CVE-2026-116192 | rcd --rc-serve と既存http/netstorage remote。宛先置換、header・一時署名等の漏えい | 不要な公開を止め、remote/backendと出口を制限。確実な最低修正版は保留 | 開発元。構造化欄は1.74.2修正、本文は1.75.1でも再現と不整合。1.74.2だけで完了としない |
vLLM CVE-2026-116176 | 0.9.2以上0.24.0未満、P2pNcclConnectorを利用するprefill workerとAPI呼出し。SSRF・KV-cache送信 | 当該修正は 0.24.0。connector経路・送信先・API権限を制限 | 開発元。全LLMサーバーで無条件漏えいとはしない |
vLLM CVE-2026-116172 | 0.22.0以上0.24.0未満、Rust gRPC frontendの候補数検証回避でEngineCore停止 | 当該修正は 0.24.0。RESTの検証だけでgRPCも保護されるとしない | 開発元 |
vLLM CVE-2026-116179 / -116180 | 動画frame数のrequest override（0.18.0以降）や、connector cache済みprefixのlogprobsで共有engine DoS | 0.31.0以降。動画API・KV connector・共有tenantの条件を確認 | 動画 / logprobs。0.24.0への更新だけでvLLMの全件対処としない |
Firecrawl / CVE-2026-116066 | PlaywrightサービスのSSRF proxy。検査時と実接続時でDNSを別々に解決するため、スクレイプ先のDNSを制御する者が内部アドレスへ切替可能。全スクレイプエンジンが同じ実装ではない | CNA記載は 2.11.586未満。一次Issueは脆弱なcommitと独立DNS解決を説明。使用イメージ・Playwrightサービスが修正commitを含むことを確認し、内部・metadata宛egressを制限する。版境界はCNA記載で、今回リリースノートまで独立確定していない。 | 開発元Issue #5256、修正commit、GHSA NVD掲載：10/25 12:16:27.370 UTC。 |
Paisa / CVE-2026-116067 | ledger / sheet APIのパス逸脱、サーバー可読ファイルの取得とバックアップ削除。既定の user_accounts 未設定では認証不要。設定済みの場合は認証ユーザーに影響する | 0.7.8。開発元リリースはディレクトリー外の読み取り・バックアップ削除修正を明示。API公開を制限し、アクセス証跡と削除されたバックアップを確認する。 | 公式リリース、開発元Issue #420、GHSA NVD掲載：10/25 12:16:28.997 UTC。 |
Dokploy / CVE-2026-116068 | 自組織のowner/adminが他組織のapplicationIdを指定すると、環境変数・deploy・停止等の操作へ到達。owner/adminは対象インスタンス全体の管理者権限を意味しない | CNA記載は 0.30.10まで。10/22の公式PR #5752は組織境界検証修正をcanaryへマージ。安定版の最低番号は今回確定していない。利用する配布物にcommitが入ることを確認し、他組織IDへの操作・環境変数やビルド設定変更を調査する。 | 公式PR、開発元Issue、GHSA NVD掲載：10/25 12:16:29.153 UTC。 |
rotki / CVE-2026-116071 | premium同期バックアップが取得された場合、旧形式の弱い鍵導出でオフライン推測され得る。バックアップ内の取引所APIキー等に影響。全利用者の鍵流出確認という意味ではない | CNA記載は 1.44.2未満。開発元PR #13401はArgon2idと認証付きチャンク暗号化への移行、旧形式復元互換と旧端末の新形式非対応を説明。同期する全端末を更新し、新形式バックアップを生成。既に取得された旧バックアップは更新で消せないため、取得の疑いがあれば内包した資格情報を失効する。 | 公式PR、公式1.44.2、GHSA NVD掲載：10/25 12:16:29.623 UTC。 |
vLLMのNemotron-VL項目は影響開始版に食い違いがあります。利用processorと入力経路を確認し、画像制限・配布元の追加案内を照合してください。0.24.0への更新だけでvLLM全件対応完了とはしません。開発元
継続対応を落とさない
| 担当領域 | 今夜も続けること | 詳細 |
|---|---|---|
| 外部公開PHP / GitLab | PHPの4系列修正と別件upload progress緩和、少なくとも10/17まで調査。GitLab系列別修正版と稼働版を照合 | PHP / 後続PHP / GitLab |
| 実悪用済み機器・サービス | Arista VCO / Nextcloud Built-in CODE / Plex / SiteGuard等。公開到達性の制限と更新後の侵害調査。KEVの米連邦期限を全員共通の法的期限としない | 10/24広域調査 / Plex |
| Fortinet | hardeningを個別CVE詳細公開待ちにしない。FortiOS等5製品、機種・系列・upgrade path別の更新先を照合 | 系列別表 |
| Java / Python / 証明書 | eMudhra対策をアプリ同梱JRE・certifi・OS・実利用TLSまで確認。公開表の影響版を修正版と誤記しない | 前回 / CA |
| Brotli / Node / Bun / Envoy / Istio | 悪性入力の展開経路、応答自動展開、静的リンク・wheel・コンテナを確認。Accept-Encoding変更だけで完了にしない | HTTP2Shell詳細 |
| DNS / proxy / OT | BIND・Unbound・PowerDNS・Knotの製品別修正。ATS 9.2.16の未修正例外。open62541はクライアント側も対象 | 16製品群 |
| CI / AI / cloud資格情報 | LiteLLM対象wheels・containers、Railway環境変数、M365の権限追加。再配布・削除だけで鍵を失効したことにしない | LiteLLM / 一週間 |
| kernel / container | ディストリビューションの修正、ホストの再起動と稼働kernelを確認。アプリの更新では共有kernelを直せない | Infinity Core |
| 国内業務 / API | JPCERT10/23更新、Pleasanter LDAP、公開管理口・決済API・漏えいキー等。IPやheadlineだけで帰属・侵害を断定しない | JPCERT / JVN |
件数と、見えている範囲
| 情報源 | 今回取得した範囲 |
|---|---|
| NVD published | 10/25 07:34:00–14:18:00 UTC、87件。全深刻度、返却totalと件数、全行の日時範囲を検証 |
| NVD modified | 同じ固定窓で87件。今回publishedとCVE集合が一致。174件とは数えない |
| GitHub Advisory API | 同窓の新規公開16件、全てunreviewed、package欄空。開発元勧告の全更新一覧ではない |
| 開発元GHSA | NVD参照からSnipe-IT・Parse Server・YesWiki・rclone・vLLMの既存勧告12件を別取得。全体APIで404でもrepo固有APIで読めた。撤回と推定しない |
| CISA KEV | CISA公式GitHubミラー 2026.10.23版、1,756件。CISA本体の取得制限を公式ミラーで補完。掲載なし≠悪用なし |
| フィード | 一次・研究14、二次ニュース2、JVN1の17取得成功。短いフィードの表示範囲外や日付なし記事を網羅しない。二次は一次探索の入口 |
| IPA / Reddit API | IPAの旧URL404、Reddit JSON403を記録。IPAは公式一覧でPHP10/22掲載を再確認。Reddit本文は別のweb取得で確認。取得失敗を「問題なし」としない |
新規87件と更新87件は今回同じCVE集合。174件と合算できません。DBにないことは無被害の証明ではありません。後取得の本文・フィード範囲・未確定事項を記録し、二次報道は一次情報を探す入口として扱います。