GMOを利用している方へ
23:10の第7報は、10/27 12:00の攻撃者予告と、要求に応じない方針を説明しています。第6報のアカウント点検は続いてください。00:20の日付訂正は基準後です。
第7報と第6報の確認範囲 →SECURITY REVIEW · 2026-10-27 00:18 JST / 2026-10-26 15:18 UTC
再開・予告・decoderの到達を、分けて確認する。
ConnectWiseの日次更新、GMO第7報、ソフトバンク緊急速報の再開、Brotli下流の到達条件を一次資料で整理しました。NVD 98件の新規収録は事件数ではありません。
対象：2026-10-27 00:18 JST / 2026-10-26 15:18 UTC。差分窓：21:35〜00:18 JST。
実取得は00:48 JST以降。日付のみの同日続報は参考枠です。
忙しい人向け：使っているものだけ。
ConnectWise / ソフトバンク
ConnectWise 23:00更新はオンボーディング準備の継続であり、復元開始報告ではありません。ソフトバンクは災害・避難情報を23:17に再開しました。
復旧と再開を分ける →Brotli / HTTP2Shell
欠陥はHTTP/2ではなくC decoderです。.NETは修正ランタイムとNativeAOT再発行、FFmpeg/ClickHouse/Arrowは到達条件が別です。Bandit HTTP/2一連は別クラスタです。
下流の到達と対策 →公開サービス・境界機器
FortiSandbox、Harbor webhook、mongoshのeMudhra CA、MCP Toolbox、Camel Saxon、Mautic 7はNVD初収録です。Receivedを悪用確定としないでください。
NVD窓の条件と一次案内 →差分窓の登録・勧告更新 · 12群
DB収録・改訂や勧告の更新時刻で整理しています。攻撃の開始時刻や、新たに発生した被害件数ではありません。
00:16 JST（NVD published 15:16:39 UTC） · CNA記録・成立条件に留保
mongosh：同梱Node.jsのeMudhra中間CA
CVE-2026-115930はmongosh 2.14.0未満がNode.js同梱TLSストアに復旧可能なeMudhra中間CAを含む問題。2.14.0はNode.js 24.22.1以降を同梱するとNVDは説明。npm経由はホストNodeの更新が別条件。Tailworm修正の証明ではない。
確認すること配布経路ごとのmongosh版とホストNode版を分けて照合する。eMudhra不信任が目的ならNode 24.22.1系とmongosh 2.14.0を案内どおり確認する。
00:16 JST（NVD published 15:16:45 UTC） · CNA記録・成立条件に留保
MCP Toolbox：未認証のファイル持ち出しとローカル上書き
CVE-2026-93328はgoogleapis/mcp-toolbox 1.2.0–1.4.0のcloud-storage sourceにおけるパストラバーサルと認可欠如。未認証でホストファイルを外部GCSへ持ち出し、ローカルを上書きできるとNVDは記載。Received。
確認すること対象版を公開している場合のみPR 3454と配布元修正を照合する。
00:16 JST（NVD published 15:16:41 UTC） · CNA記録・成立条件に留保
Avocent ACS8000：wsserverのコマンド組み立て
CVE-2026-65184はroot権限wsserverがWebSocket欄からsystem()/popen()へコマンドを渡す、というrunZero報告。公開鍵session経路がアプライアンスsession検査を行わない。Received。修正版は本調査で未確定。
確認すること該当アプライアンスをインターネット管理している場合のみrunZero勧告とベンダー案内を照合する。
00:16 JST（NVD published 15:16:45 UTC台） · CNA記録・成立条件に留保
Apache Camel：Saxon XXEとOAuthトークンキャッシュ
CVE-2026-90885はcamel-saxonのXXE（4.0.0以上4.18.5未満、4.19.0以上4.22.2未満）。CVE-2026-94386はOAuthトークンキャッシュの取り違え（4.19.0以上4.22.2未満）。前回補完したDocling経路とは別条件。
確認すること使っているコンポーネントと系列を4.18.5 / 4.22.2以降の公式案内と照合する。Camel全体の一括RCEとして数えない。
23:00 JST（14:00 UTC 日次更新） · 公表・更新を確認
ConnectWise：14:00 UTC更新は準備継続であり、復元開始報告ではない
Trust CenterはMonday October 26 14:00 UTCの更新を公開。phased partner onboardingの準備継続と、既存バックアップからの復元開始が可能になり次第案内する、と説明。10/26に復元を開始できたという達成報告ではない。影響接続は個別手順まで無効維持。アーカイブは暗号化・隔離・保全、他製品への波及indicationなし。次回は10/27 14:00 UTC。
確認すること対象接続は無効のまま。サービス別の再有効化手順が出るまで再接続しない。M365側はEntraサインイン、アプリ登録、同意、転送規則、登録デバイスを別作業として続ける。インフラ復旧や日次更新を再接続許可と読まない。
23:07〜00:16 JST（GHSA updated） · 公表・更新を確認
GHSA：新規公開0、既存reviewed 19件の改訂
公開窓は0件。updated 19件はaiohttp 3.14.4、Keycloak、kobako、Grav、Wagtail、Talos Linux、Dolibarr、ImageSharp、PostCSS、Open WebUIの古いGHSA再タッチ、Log4j 1-to-2 bridge等。updatedは本文・範囲の改訂であり、今夜の新規ゼロデイ公開集合ではない。
確認すること導入済みなら各GHSAの現行版境界を照合する。前回の公開件数へ足し直さない。
23:10 JST（第7報の本文基準） · 公表・更新を確認
GMO第7報：12:00は攻撃者予告。要求には応じない
攻撃者とみられる者から10/27 12:00に情報公開とランサムウェア攻撃の予告を受けたと説明。要求には応じない。端末調査協力で10/26 22時時点まで回収し解析中。マルウェア設置の確定ではない。第6報のアカウント保護は再掲。パスワードや認証コードを尋ねることはない。
確認すること当該サービスへ接続した端末・アカウントがある場合、別の安全な端末から第6報の点検を続ける。公式以外の金銭要求や「被害金を取り戻す」連絡には応じない。12:00を公式の情報公開時刻としない。端末未提出を未被害としない。
23:16 JST（NVD published 14:16:24 UTC） · CNA記録・成立条件に留保
FortiSandbox：代替経路による認証回避（NVD Received）
CVE-2026-107656はFortiSandbox 5.0.0–5.0.6、4.4.0–4.4.9、4.2全版と対応PaaSについて、代替経路の認証回避と細工HTTPによる未認可コードまたはコマンド実行の可能性を記載。状態はReceived。修正版番号はNVDから推定しない。
確認することインターネットに管理面を出している場合のみFortiGuard FG-IR-26-185を読み、系列ごとの公式修正を照合する。Receivedを緊急悪用確定としない。
23:16 JST（NVD published 14:16:28 UTC） · CNA記録・成立条件に留保
Harbor：ProjectAdminのwebhook SSRF
CVE-2026-111590はwebhook宛先検証不足。ProjectAdminがプライベート・リンクローカル宛先を置け、応答本文が実行ログに残る条件。未認証の全Harbor侵害ではない。
確認することwebhook作成権限と宛先制限を確認し、GHSA-2phj-cp9f-qq6wの修正を照合する。
23:16 JST台（NVD Deferred） · CNA記録・成立条件に留保
Mautic 7：upload / SSTI / デシリアライズ / SQLi等の一連
CVE-2026-115188〜115196はMautic 7の別条件。キャンペーンimportのupload、Twig SSTI、デシリアライズ、管理AJAXとdashboard APIのSQLi、stored XSS、Asset API経路、Stats API権限、公開formのopen redirect。認証済み権限や特定機能が前提のものが含まれる。9件を未認証全サーバー侵害として足さない。
確認すること該当機能を使っている場合のみ各GHSAの修正版と権限設定を照合する。
GHSA-mxjf-pghx-h299 / GHSA-h7pm-79gc-8867 / GHSA-5r63-8h35-j3mw
23:16 JST台（NVD published） · CNA記録・成立条件に留保
Bandit HTTP/2等：HTTP2Shell（Brotli）とは別クラスタ
mtrudel banditのHTTP/2・HTTP/1.1実装に資源枯渇・複雑度・圧縮増幅・リクエスト密輸等の一連がNVDへ入った。CVE-2026-111497のBrotli decoder欠陥とは別。HTTP/2利用だけでBrotli修正対象へ混ぜない。hackneyの別CVEも同バッチ。
確認することElixir/Banditまたはhackneyを公開面で使う場合のみ、各CVEの成立条件と配布元修正を照合する。
23:17 JST（公式本文） · 公表・更新を確認
ソフトバンク：災害・避難情報を23:17に再開
緊急地震速報・津波警報に加え、国・地方公共団体の災害・避難情報配信を10/26 23:17に再開。SoftBank / Y!mobile / LINEMOは緊急速報メールの全情報を受信できると説明。メンテナンスは10/23 6:47〜10/26 23:17。キャリア経路の再開であり、PHPエコシステム全体の修正完了ではない。
確認すること該当回線では緊急速報設定を確認すれば足りる場合が多い。キャリア再開を自組織PHPのパッチ完了や悪用終了とみなさない。
既存事案の対策と条件の補足 · 6群
既公表資料の条件、修正・配置方法、業務影響を補完。今回の時間帯に起きた新しい侵害として数え直していません。
10/25 JFrog・Microsoft一次。NVD lastMod 23:16 JST · 既存の問題・対応範囲の補完
Brotli：.NET / FFmpeg / ClickHouse / Arrowの到達はHTTP/2欠陥ではない
CVE-2026-111497はC decoderの範囲外書き込み。通称HTTP2Shell/Node2Shell/Brotli2Shellは同じCVE。.NETはSIGSEGVでRCE未実証、修正8.0.33/9.0.22/10.0.14、NativeAOTは再発行。FFmpeg→libjxl brob箱でポインタ破壊、修正リリース未確認。ClickHouseはbr約23MBでcrash、PR merge・リリース未出荷扱い。Arrowは534バイト無限ループ、issue未close。Cloudflare緊急WAFは既定Log。cybersecuritynewsは403。
確認すること同梱コピーと実際の展開経路を棚卸しする。Accept-Encodingからbrを外すだけで完了としない。NativeAOTは再発行。ClickHouse/Arrow/libjxlは配布済み修正を確認できるまで未修正として扱う。Logルールを遮断完了としない。
JFrog Brotli2Shell / dotnet/announcements#494 / Cloudflare emergency WAF 2026-10-25 / Google CNA CVE-2026-111497
21:00 JST（第6報）。第7報が再掲 · 既存の問題・対応範囲の補完
GMO第6報：アカウント保護の依頼は撤回されていない
第6報の4点（フルスキャン、オフラインバックアップ、別端末からの全セッション切断・パスワード・MFA・同期オフ、任意の端末預かり）は第7報でも再掲。FXに限らず証券・メール・Google等。全接続端末への感染確定ではない。
確認すること別の信頼できる端末から点検を続ける。点検完了までブラウザー同期をオンにしない。
17:00 JST更新（前回窓内）。次回10/27 12:00頃 · 既存の問題・対応範囲の補完
ブラストメール：345契約・再開未定は17:00案内のまま
契約者情報以外の漏えい確認345契約、個別連絡345。再開時刻は未定。この窓の本文差分なし。345人や全受信者、345件の新しい侵入ではない。
確認すること個別通知で対象項目を確認し、連絡・配信の代替経路を維持する。すべてに連絡済みを調査終了や再開許可としない。
JSON timeline最終 14:45 JST（05:45 UTC） · 既存の問題・対応範囲の補完
PAN-OS PHP：この窓の新しいETA削除はない
11.1.4-h38 / 11.1.6-h40 / 11.1.10-h36 / 11.1.13-h16 はreleased。残ETA（例: 11.2.13-h4と10.2.13-h27が10/27）は05:45Z以前の表のまま。悪用は自社製品に対する認識なし。GlobalProtect portal等はimpactedではないという既存区別を維持。
確認すること管理面をインターネットから閉じ、自系列がreleased側かETA側かを表で照合する。コンテンツ署名をOS hotfixの代替にしない。PANの「認識していない」をPHP一般の未悪用と読み替えない。
最新安定 1.104.2（10/21）。この窓の新tagなし · 既存の問題・対応範囲の補完
Tailscale：1.104.2のまま。Tailworm最低修正版は未確定
公式bulletinとGitHub releasesの最新安定は1.104.2（eMudhra）。この窓に新しいtagもbulletinもない。ソースmerge、check mode、TS_SSH_DISABLE_FORWARDING=1は配布済み修正の証明に使わない。
確認することeMudhra不信任が目的なら1.104.2以降。SSH転送・Serve/Funnel・headscaleは項目別に公式修正が出るまで、代替管理経路の確認と不要転送の停止に留める。
JPCERT 16:25 / JVN 18:00 JST（前回窓内） · 既存の問題・対応範囲の補完
PHP / Brotli国内注意喚起：16:25 / 18:00の案内を継続
AT-2026-0033はPoCや試行通信がある一方、実行成功は版・環境・メモリ配置に依存すると追記。CVE-2026-115560はsession.upload_progress.enabled=0と全ワーカー再起動。Brotli AT-2026-0034は系列ごとの修正境界。この窓の新規国内注意喚起なし。
確認すること対象系列の修正と実際に配置されたコピーを照合する。緩和設定をPHP全体の修正完了と同一視しない。
参考：同日でも公開時刻は未確定 · 2群
対象時刻後に取得した現行本文です。次の情報を基準時刻以前の確定した差分には含めません。
00:20 JST訂正（基準00:18の後） · 基準時刻以前の公開は未確定
参考：GMO第7報の日付訂正は基準の2分後
取得HTMLに「10月27日 0:20 訂正 誤）10月23日 正）10月25日」（端末調査依頼日）。訂正そのものを23:10時点の確定事実へ戻さない。顧客向け依頼日は取得時点では10/25に訂正済み。
確認すること現行公式ページの依頼日を確認する。訂正時刻を侵入や解析完了の時刻としない。
RSS pubDate 15:38 UTC（基準15:18の後） · 基準時刻以前の公開は未確定
参考：BleepingComputerの.NET記事RSSは基準後
Microsoft releases emergency .NET patches のRSSは15:38 UTC。一次は10/25のdotnet/announcements#494/#493。基準後記事を窓内新規出荷としない。
確認すること.NET対策は#494/#493の一次案内を照合する。NativeAOT再発行とFramework対象外を維持する。
収集範囲・重複・限界
98NVD新規
1,048NVD改訂
0GHSA公開窓
161検証した保存・参照応答
NVD新規98件は改訂1048件に全件重複。GHSA新規公開0件（unreviewed0、malware0）、改訂19件。今回からmalwareも明示的に取得し、前回の検索範囲との差を留保します。KEVは2026.10.23版・1,756件で、前回原本と同一。非掲載を悪用不存在の証明にはしません。161応答のうち55件は過去原本への参照で重複保存を避けています。
- 対象時刻後に取得した現行改訂です。公開・DB収録・侵入・修正提供を分けてください。
- deltaには窓内のDB初収録と公式注意喚起を含み、新規発見・新しい被害を一律には意味しません。
- NVD新規98件は更新1,048件に全件重複します。GHSA公開0件、modified 19件は既存reviewedの改訂です。
- 98＋1,048＋19を事件数や被害組織数へ足し合わせないでください。
- NVD Received / DeferredはCNA受け取りまたは分析待ちであり、CVSS確定・悪用確認ではありません。
- HTTP2Shell / Node2Shell / Brotli2Shellは同じCVE-2026-111497です。HTTP/2プロトコル欠陥ではありません。
- Bandit HTTP/2資源枯渇クラスタはBrotli decoder欠陥と別です。
- KEV非掲載、更新なし、フィード未配信は悪用や被害がない証明ではありません。
- FortiSandbox等の修正版番号をNVD Received本文から推定しません。
- ConnectWiseの10/26オンボーディング目標は14:00 UTC更新では準備継続です。復旧作業中を再接続許可としない。
- GMOの10/27 12:00は攻撃者予告。公式の情報公開時刻でも解析完了時刻でもない。
- GMO第7報の00:20 JST日付訂正は基準後。23:10本文へ書き戻さない。
- ソフトバンク23:17再開は当該メール種別の配信再開。PHPエコシステム全体のクローズではない。
- Tailscale 1.104.2はeMudhra用。Tailwormの最低修正版は今回も未確定。
- ClickHouse PR mergeとlibjxl main bumpを、利用者向け修正リリース出荷と同一視しない。
- Arrow issue未close。NativeAOTは共有runtime更新だけではdecoderが置換されない。
- Cloudflare緊急WAFは既定Log。Logを遮断完了としない。
- cybersecuritynews.comとReddit JSONは403。二次報道を権威にしない。
- 実取得は00:48 JST以降。HTTP原本は基準時刻後の現行改訂で、無記載の追記を完全には復元できない。
- 全世界の全事件を網羅しない。報道・SNSは一次探索の入口に限り、攻撃者主張を確定被害へ足さない。
data/2026-10-27-0018/incident-register.json / data/2026-10-27-0018/collection-summary.json / data/2026-10-27-0018-vendors/collection-summary.json / docs/research-collection-2026-10-27-0018.md / docs/research-2026-10-27-0018.md / data/latest.json