更新と侵害調査を続ける。
PHP・GitLab・PAN-OS・Arista・Nextcloud CODE・Plex等。対象構成と稼働版を確認し、パッチ適用に加えて既存の侵入も調査します。
朝の21群・条件別対応表 →SECURITY REVIEW · 2026-10-26 13:01 JST
広がる影響を、
自分の対応へ。
国内の漏えいと業務障害、ソフトウェアの追加勧告、AI・MCPまで。新しく判明したことと、継続中の対応を一次資料から整理しました。
対象：2026-10-26 13:01 JST / 04:01 UTC。差分窓：10:27〜13:01 JST。
実取得は13:04 JST以降。日付だけの同日続報は参考枠へ分けています。
忙しい人向け：自分に関係する行だけ。
パスワード変更の、その先まで。
LiteLLM・Railway・ConnectWise等では鍵の失効、追加権限とログを確認。GMOデスクトップクラウドのFX利用者は、別の安全な端末から変更し、残存する全セッションも切断します。
GMOの一次案内 →設計端末とローカルAPIも確認。
富士電機V-SFT、電子納品物検査支援システム、Brotli同梱先、Continue・OpenBB等。製品名だけで判断せず、ファイルを開く条件、実行権限とAPI到達範囲を確認します。
10:27以降の差分 →機能と許可を絞り、修正を追う。
Tailwormの最低修正版は今回未確定。1.104.2や0.29.6を修正版と推定せず、SSH・接続許可・Serve/Funnel等を機能別に確認します。
Tailworm特集 →10:27〜13:01：追加情報を時刻順に。
配信・DB収録の時刻で並べています。攻撃開始時刻ではありません。NVD項目はCNA記録を入口に、公式コードや変更履歴と照合。未確定の最低修正版は推測していません。
11:05:33 / 11:11:58 JST（RSS配信） · 公表・配信を確認
Brotli：Ghostscript等の同梱コピーも確認
oss-secでCVE-2026-111497の下流利用先とGhostscriptの既存同梱更新が示された。原メールの重複URLは後続メールで訂正。全製品で同じ条件のRCEとはしない。
確認することNodeやBun以外のPDF・画像・フォント処理系も配布元の組込み版を照合する。
一次メール / 訂正 / Ghostscript変更
11:17:06 JST（NVD収録） · CNA記録・成立条件に留保
OpenBB：ローカルAPIのCORSと到達範囲
CVE-2026-116108。CNAは4.7.2/5.0.0までのアクセス制御を指摘。公式コードのCORS既定値を確認したが、それだけで資格情報窃取やRCEの独立実証にはならない。最低修正版は未確定。
確認することbind先、認証、許可origin、ブラウザーからの到達性を確認する。
11:17:06 JST（NVD収録） · CNA記録・成立条件に留保
Datafeedr Product Sets：AJAX認可不足
CVE-2026-116107。対象1.3.24以前。公式変更履歴では10/5の1.3.25でAJAX handlerの権限確認を追加。1.3.26にも追加修正があり、今朝の新規修正ではない。
確認すること1.3.25以上の修正を照合し、1.3.26とDatafeedr API 1.4.3以上の追加対策も確認する。
11:17:06 JST（NVD収録） · CNA記録・成立条件に留保
HeyCyan Android：平文通信とFileProvider
CVE-2026-116105 / 116106。CNA対象1.0.103。平文通信とFileProviderアクセス制御の2件。リンク先研究資料は404で、再現と最低修正版は未確認。
確認すること利用端末と扱う機微情報、配布元通知を確認する。
12:00 JST（JVNフィード） · 公表・配信を確認
電子納品物検査支援システム：導入先のアクセス権
CVE-2026-113345。Ver.4.0.36以前のインストール先ファイルをローカル低権限利用者が改ざんでき、コード実行につながる可能性。最低修正版の番号は未確定。
確認すること導入済み環境を更新し、新規導入には最新版インストーラを使う。
12:17:10 JST（NVD収録） · CNA記録・成立条件に留保
Continue：MCP起動設定の信頼境界
CVE-2026-116109。CNAはContinue 2.0.0のMCP transportにOSコマンドインジェクションと記載。現行公式コードで設定からstdio接続を生成する経路を確認したが、対象版の全成立条件、遠隔入力経路、最低修正版は未確定。
確認すること非信頼のMCP起動定義を読み込まず、実行権限と秘密情報を絞る。
12:17:11 JST（NVD収録） · CNA記録・成立条件に留保
LiveWallPaper：ローカル管理APIの公開範囲
CVE-2026-116110。対象Windows版2.6.8.0。10/24の開発元修正はlisten先を全インターフェースからループバックへ変更し、パス等を検査する。最低リリース番号と実悪用は未確定。
確認すること修正コミットを含む配布物と管理APIの到達範囲を確認する。
12:17:11 JST（NVD収録） · CNA記録・成立条件に留保
Civilization V：Lua sandboxの型混同報告
CVE-2026-116111。CNA対象1.0.3.144。研究者本文の取得に制限があり、ベンダー勧告、最低修正版、実悪用は未確定。通常起動だけで無条件RCEとはしない。
確認すること非信頼MOD等の入力と端末権限を確認する。
12:17:11 JST（NVD収録） · CNA記録・成立条件に留保
edoc-doctor-appointment-system：SQL injection登録
CVE-2026-116112。対象コミットcc258425b915d1af9e298777ccd26d160493e68dまで、admin/add-new.phpのspec引数。修正版番号と実被害は未確定。
確認すること該当ソフトウェアの利用版と管理画面の公開範囲を確認する。
13:00 JST（JVNフィード） · 公表・配信を確認
富士電機V-SFT：設計ファイルを開く経路
V-SFT 6.2.11.0以前に7件の脆弱性。細工したV7形式ファイルを開くことで情報漏えいやコード実行のおそれ。実悪用確認ではない。
確認すること配布元のVer.6.2.12.0改善情報とパッチを照合する。
国内外の既存事件：範囲と対応を補完。
10/26に新規発生した事件という意味ではありません。公表日順に並べ、日時の確認できない資料を最後に置きます。
10/9公表、時刻未記載 · 既存事件の補完
Sansan User Forum：外部Commune上の会員情報
漏えい確認1,325名、可能性8,687名で対象項目は異なる。パスワードを含まず、営業AXサービス等への影響はないと説明。委託先と委託元の公表を別事件へ水増ししない。
確認することUser Forumの個別通知で対象と情報項目を確認する。
10/16初報、案内最終更新表示10/20 12:30 · 既存事件の補完
Studio：取得可能状態と実取得の確証を区別
9/30〜10/1の不正アクセスを確認し、10/13発見、10/13〜14対処。実取得は未確認だが取得されたものとみなして対応。全利用サイトの同一被害確定ではない。
確認することメールとログイン後の個別案内で対象情報・必要な対応を確認する。
10/21付取引所開示 · 既存事件の補完
State Bank of India：顧客PIIの予備分析
10/16通報。ダークウェブ上約375,000レコードの予備分析で顧客PII3,897レコードを特定。真正性・完全性・流出元と範囲は追加調査中。375,000人全員の顧客漏えいや銀行業務停止とはしない。
確認すること対象者への銀行公式通知を確認し、推定被害数を拡大しない。
初報10/22、第2報10/23。訂正時刻未記載 · 既存事件の補完
VALTEC：PHP原因説の撤回
初報ページはPHPを原因とした説明を撤回し、自社サービスの脆弱性と訂正。第2報は10/20のマルウェア設置と漏えい可能性を報告する。
確認することPHP2Shellの実被害へ合算せず、個別の対象サービス通知を確認する。
10/23公表、時刻未記載 · 既存事件の補完
futureshop：対象1店舗の会員情報314万件
10/17侵入、10/18情報取得、10/19検知。漏えい3,147,469件は1店舗の会員情報で、全店舗ではない。ハッシュ化パスワードを含みカード情報は含まない。具体的CVEは公表資料から未確定。
確認すること対象店舗の個別通知とパスワード対応を確認する。
第4・5報10/24、時刻未記載 · 既存事件の補完
GMO：FX口座はパスワード変更と全セッション切断
既存のデスクトップクラウド侵害の対応補完。パスワード変更後も既存セッションが残る場合がある。端末スキャンは予防的措置で、全利用者端末への感染確定ではない。
確認すること取引に使っていない端末から変更し、全セッションを切断、取引履歴・残高を確認する。
公表日時未確認 · 既存事件の補完
PingCAP：社内情報とTiDB Cloudを区別
事業者は9/9〜10/7米国時間の盗用資格情報による社内システムアクセスと日本国内最大約5万件の個人情報漏えいを説明。TiDB Cloud不正アクセスとカード情報流出は未確認。後取得の現行ページで、公表日時と対象時刻以前の本文は未確定。
確認すること対象者への個別通知を確認し、不審メール等に備える。
参考：同日でも、13:01以前かは未確定。
10/26日付のみ、13:01以前の公開は未確定 · 13:01以前の公開は未確定
VALTEC第3報：同日・公開時刻未確定の参考情報
後取得の第3報は外部送信確認、企業情報1,213件、売上等データ875社と報告。個人情報件数は調査中。13:01以前の確定情報には含めない。10/26から順次再開と全サービスのパスワード強制変更は予定・案内であり完了確認ではない。
確認すること公開時刻の確証を分け、再開とパスワード変更の個別案内を確認する。
収集範囲・重複・限界。
8NVD新規公開
20NVD更新
13GHSA・全件unreviewed
46保存した応答原本
固定窓は10/26 10:27〜13:01 JST、全深刻度・全ページ。NVD新規8件はすべて更新20件にも含まれます。GHSA13件は今回NVDの8件と前回分5件に重複。合計して新規事件数にしません。KEVは2026.10.23版1,756件で、朝の原本とバイト単位で同じです。
JVN/JPCERT、CISA、Microsoft、GitHub、Unit 42、Talos、oss-sec、SANS、Project Zero等の公式・研究者フィード、国内外の当事者報告を横断。全世界の全事件の完全一覧ではありません。IPA旧URL404、研究者資料404、一部本文取得制限を記録。無記載の後日追記を基準時刻へ完全には復元できません。
PSGIの版境界は、CNA記述と一次勧告Solutionsの不整合が継続中。DBの番号だけで、前回の留保を消していません。