GMO / Railway利用者
GMOは00:20の依頼日訂正。12:00は攻撃者予告です。Railwayは復旧通知で、旧secretの失効・再発行を続けます。
当事者更新を確認 →SECURITY REVIEW · 2026-10-27 07:47 JST / 2026-10-26 22:47 UTC
鍵・公開API・端末更新を、導入したものから。
GMOの訂正とRailwayの復旧更新、Appleのsecurity release、Consul・OpenHands・MCP・AI推論基盤の対策を一次資料から整理しました。DB収録と新しい侵害を分けています。
対象：2026-10-27 07:47 JST / 2026-10-26 22:47 UTC。差分窓：00:18〜07:47 JST。
実取得は07:50 JST以降。日付のみの同日続報は参考枠です。
忙しい人向け：使っているものだけ。
Consul / Kubernetes
cached leaf証明書と秘密鍵、HTTP API DoS、mesh認可、namespaceの境界を別々に点検します。
Consulの条件と修正 →OpenHands / MCP / AI基盤
公開sandbox認証、Cloud Run MCP bucket、vLLM・ONNX入力経路を棚卸し。版だけでなく到達条件を確認します。
公開APIとAI基盤を確認 →端末 / SDK / 依存package
Appleの対応系列更新、native TLS、Go JOSE、圧縮decoderと悪性packageを確認。324件のApple CNA収録を新規被害数にしません。
端末と依存関係を照合 →差分窓の登録・勧告更新 · 17群
DB収録・改訂や勧告の更新時刻で整理しています。攻撃の開始時刻や、新たに発生した被害件数ではありません。
00:20 JST（公式訂正） · 公表・更新を確認
GMO：00:20の日付訂正を確認、12:00は攻撃者予告
第7報は端末調査の依頼日を10/23から10/25へ00:20 JSTに訂正。第7報の本文基準は前日23:10で、端末は解析中。10/27 12:00の情報公開・ランサムウェア攻撃は攻撃者とみられる者からの予告であり、実行済みの確定被害ではない。
確認すること第6報の端末検査・バックアップ・アカウント保護を続ける。公式の個別連絡を確認し、認証コードや金銭を求める連絡へ応じない。
00:48〜06:21 JST（GHSA updated） · 公表・更新を確認
GHSA reviewed改訂31件：AirflowやCA bundleは既存公開
公開窓のreviewedは0件、改訂窓は31件。Airflow JWT logout / Hive / Edge3 / Google / Sqoop / Mongo provider、NASA AIT-Core、AgentScope、Aim、AutoGPT、certifi emSign CA、ImageSharp等の既存勧告を含む。2022〜2025年公開のものもあり、31件を今朝の新規ゼロデイへ換算しない。
確認すること導入済みpackageと各GHSAの現行range・修正を確認する。certifiのCA不信任と、他のTailwormやBrotli修正を混同しない。
01:17 JST（NVD published） · CNA記録・成立条件に留保
OpenHands SDK：公開sandbox agentの未認証コマンド実行
CVE-2026-112346のCNA記録はSDK 1.52.0未満で、空のsession_api_keysによる無認証のsandbox command実行を説明。公開portへ到達できる場合、sandbox内rootとmountされたworkspace・secretが対象。確認したPR #5209はDockerWorkspaceのhost側port公開を127.0.0.1へ制限し、container内の0.0.0.0待受は維持する。CNAが併記するApptainerへの同じ修正の適用は、このPRからは確認できない。
確認することsoftware-agent-sdk 1.52.0以降の修正を照合し、workspaceを再作成してhost側port公開とsession key設定を確認する。agent-server imageのtagだけでSDK launcher修正の適用を判定しない。到達可能だったworkspaceのsecretはログ調査と失効・再発行を別作業で実施する。
01:17 JST（NVD published） · CNA記録・成立条件に留保
Cloud Run MCP：ビルド用bucketのsquatting
CVE-2026-85297は1.11.0未満のGoogle Cloud Run MCP。bucket squattingによるソースコード取得・コード実行・持ち出しをGoogle CNAは説明。前回収録のMCP Toolbox cloud-storage問題とは別。
確認することCloud Run MCPを1.11.0以降へ更新する。ToolboxとCloud Run MCPを同じ製品として一括判定せず、使ったビルド経路と機密情報の露出を確認する。
01:17 JST（NVD published） · CNA記録・成立条件に留保
Netty tcnative：native TLSのbuffer・ticket・SNI
CVE-2026-116539〜116542はnative TLSのBIO buffer・bytes consumed報告・SNI・session ticket rotation等、成立条件が異なる。116540の公式GHSAはOpenSSL 3.0以降とのbuild、hot rotationと同時handshake、影響版2.0.81.Final以降・修正2.0.84.Finalを記載。CNA記録の下限2.0.66.Finalとの差があるため、最低影響版を本調査で確定しない。Java本体更新のみでnative library置換済みとはしない。
確認することnetty-tcnative 2.0.84.Finalの修正と実際にloadしたnative artifactを確認。OpenSSL系列、ticket rotation、SNI routingの利用条件を分けて照合する。
Netty公式UAF勧告 / 開発元・CNA参照 1 / 開発元・CNA参照 2 / 開発元・CNA参照 3 / 開発元・CNA参照 4 / 開発元・CNA参照 5
01:17 JST（NVD published） · CNA記録・成立条件に留保
Apache Vysper：全版に影響、修正版を待たない
CVE-2026-115721はXML解析の無制限allocation、115748はXEP-0077の認証検査欠落。プロジェクトはretiredで全版が対象、Apacheは修正版リリース予定なしと説明。後者は認証済み利用者による他accountの侵害条件。
確認することVysperを使っている場合は代替へ移行する。未発表の修正版番号を設定せず、移行まで到達制限・登録機能制限を検討する。
01:17〜05:42 JST（GHSA published） · 公表・更新を確認
npm：malware新規25件と既存改訂を分離
新規25件にはnpmの@greenlake/*、@ppa-web-components/*、@drone-js-ext/*、ctf-agent 0.1.0等を含む。公開は16:17〜20:42 UTC。GHSA一覧登録は導入企業の侵害確定ではなく、package名やscope一致だけで他版へ一般化しない。
確認することlockfile、SBOM、install logで各GHSAのpackageとversionを照合する。実行済みなら隔離と、その実行環境に置かれたsecretの失効・再発行を別の安全な端末から行う。単にuninstallして完了としない。
02:17 JST（NVD published） · CNA記録・成立条件に留保
vLLM：template・共有memory・OCR・CORS・Responsesの複数条件
CVE-2026-115911〜115918は0.32.0で修正とCNAが記載。request chat templateによる資源枯渇、共有memory識別子、音声encoder、OCR/画像処理、token ID境界、CORS、Responses経路を含む。認証済みcaller・特定modelや設定が必要なものを未認証の一括RCEへまとめない。
確認することvLLM 0.32.0を照合し、公開APIの認証、任意template、model供給元、画像・音声入力、CORSの設定を確認する。
開発元・CNA参照 1 / 開発元・CNA参照 2 / 開発元・CNA参照 3 / 開発元・CNA参照 4 / 開発元・CNA参照 5
02:17 JST（NVD published） · CNA記録・成立条件に留保
Autobahn / Rust zip / snappy-java / Go compress：decoderの別問題
Autobahn CVE-2026-116579はopt-in permessage-brotliの出力上限を展開後に確認するDoSで26.10.1修正。Rust zip 115905はcentral/local header名の不一致で9.0.5修正、同時収録の115906〜115909は別境界。snappy-java 116590は1.1.10.9、Go compress 116591のzstd panicは1.20.2修正。Brotli2Shell CVE-2026-111497とは別。
確認すること実際に利用したdecoderと信頼できない入力経路を棚卸しし、それぞれの修正を適用。圧縮形式が同じというだけで別CVEの修正まで完了と判定しない。
開発元・CNA参照 1 / 開発元・CNA参照 2 / 開発元・CNA参照 3 / 開発元・CNA参照 4 / 開発元・CNA参照 5
03:17 JST（NVD published） · CNA記録・成立条件に留保
Consul：cached leaf証明書と秘密鍵の認可回避
CVE-2026-105765はACL有効構成のConsul 1.17.0〜2.0.4。agent HTTP APIのcached service leaf応答がACL token検査を欠き、到達可能な攻撃者が既にcacheされた証明書と秘密鍵を得られる条件。APIは既定でloopbackのみで、同一hostのprocessへ露出が限定される。全サービスの鍵が無条件に取れるという意味ではない。
確認することConsul Community 2.1.0、Enterprise 2.1.0 / 1.21.19を系列別に照合。agent APIの到達制限と、露出した可能性のあるservice identity・証明書を調査する。leaf endpointのblockはConnect-nativeアプリやconsul-templateが依存しない場合のみ検討する。
03:17 JST（NVD published） · CNA記録・成立条件に留保
Consul：HTTP API DoS、mesh登録とhealth checkの認可
CVE-2026-105626は未認証HTTP APIのメモリ枯渇。105608はservice write権限からmesh writeなしのEnvoy escape-hatch設定。115804は認証済み利用者が同一nodeの他service health checkを変更する認可回避。leaf秘密鍵の問題とは成立条件が別。
確認することCommunity 2.1.0、Enterprise 2.1.0 / 1.21.19へ公式の系列別手順で更新。HTTP API公開とservice write権限、check登録を個別に点検する。
03:17 JST（NVD published） · CNA記録・成立条件に留保
ONNX：信用できないmodelのshape inferenceと低bit配列
CVE-2026-115919〜115922は1.22.0未満。RNN/LSTM/GRUのrank検証、ConvTranspose、Scan shape inference、2/4bit unpack配列のサイズ等に関する不正model入力の問題。checker通過だけでshape inferenceの安全性が保証されるとはしない。
確認することONNX 1.22.0以降を照合。外部modelの検証処理を制限付き環境へ置き、時間・memory上限を設定する。
開発元・CNA参照 1 / 開発元・CNA参照 2 / 開発元・CNA参照 3 / 開発元・CNA参照 4 / 開発元・CNA参照 5
03:17 JST（NVD published） · CNA記録・成立条件に留保
Backstage：catalog URL規則のcanonicalization不一致
CVE-2026-115923の3.9.2 / 4.0.2という境界は@backstage/plugin-catalog-backend packageの版。catalog.location.create権限の利用者がraw URL規則とURL readerの正規化差を使い、範囲外のentityをtrustedとして扱わせる条件。Backstage本体release v1.54.10にもcanonical URL照合の修正を確認し、本体版とpackage版を混同しない。
確認すること@backstage/plugin-catalog-backend 3.9.2 / 4.0.2以降を系列別に確認。Backstage本体や独自portalの表示版だけで判定せず、実際の依存package、登録権限、catalog.rules、取得先URLを点検する。
04:12 / 05:46 JST（status 19:12 / 20:46 UTC） · 公表・更新を確認
Railway：復旧チャンネル開設、既存利用者と新規登録を分ける
公式statusは19:12 / 20:46 UTCに復旧継続の通知を掲載し、追加のセキュリティ事件ではないと明記。一次報告の20:41 UTC改訂では既存利用者向けサービスの復旧と、新規登録停止を区別。既存原本との本文差分はContinuous Updatesの追記であり、以前の約10万workspaceという影響推計を今回の新規流出として数え直さない。
確認すること10/21より前に保存した機密環境変数・APIキー等の失効と再発行、GitHubやレジストリの監査を続ける。復旧は旧鍵の安全性を保証しない。新規登録の今週再開は予定。
04:16 JST（NVD published） · CNA記録・成立条件に留保
consul-k8s：別namespaceのServiceAccountからcomponent権限
CVE-2026-110720はglobal.acls.manageSystemACLs=trueの構成。別namespaceでServiceAccountを作成しtokenを取得でき、Consul APIにも到達できる利用者が、component向けACL binding ruleを通じて昇格できる条件。
確認することconsul-k8s 2.1.0 / 1.8.18を系列別に照合。Kubernetes RBAC、APIへの到達、system ACL管理の有効化を確認する。
07:16 JST（NVD published） · CNA記録・成立条件に留保
Go JOSE：4.1.5と4.1.6の修正境界を分ける
CVE-2026-116585は空のCBC-HMAC JWE ciphertext、116586は深いJSONによるpanic/stack overflowで4.1.5修正。116587は不正RSA JWKの検証負荷で4.1.6修正、Go 1.24以降の条件がある。4.1.5だけですべて解消とはしない。
確認することgo-jose 4.1.6以降と組込みバイナリの再buildを確認。信用できないJWE / JSON / JWKをparseする入口に入力制限を設ける。
Go JOSE v4.1.5 release / Go JOSE v4.1.6 release / CNA由来NVD記録
07:16 JST（NVD published） · CNA記録・成立条件に留保
Kener / Transmission：管理入口とブラウザ経由RPC
Kener CVE-2026-116747は3.0.0〜4.1.10未満、KENER_SECRET_KEY空/未設定時のDUMMY_SECRET fallbackで管理者emailを知る攻撃者がtokenを偽造。Transmission 116748は4.0.0〜4.1.3未満のCORSがRPC anti-CSRF tokenを他originへ公開する条件。
確認することKener 4.1.10へ更新し固有のsecretを設定、旧sessionを失効。Transmission 4.1.3の修正とRPCの認証・到達制限を照合。両製品を導入している場合に限って優先する。
既存事案の対策と条件の補足 · 5群
既公表資料の条件、修正・配置方法、業務影響を補完。今回の時間帯に起きた新しい侵害として数え直していません。
10/26 release（公式日付）、NVD収録は固定窓内 · 既存の問題・対応範囲の補完
Apple：OS/Safariの10月26日security releaseを照合
Apple一次資料はiOS/iPadOS 27.2と26.7.2、macOS Golden Gate 27.2の10/26 releaseを確認できる。この窓のNVD新規532件中324件はApple CNA記録で、過去releaseの修正にも言及する。324件すべてがこの窓の新規出荷や悪用確認という意味ではない。
確認すること端末ごとの対応系列をSoftware Updateと公式security releases一覧で照合し、OSとSafariを更新。旧系列の端末に27系を一律要求せず、対応機種を確認する。
開発元・CNA参照 1 / 開発元・CNA参照 2 / 開発元・CNA参照 3 / 開発元・CNA参照 4 / 開発元・CNA参照 5
前日23:00 JST更新（今回取得で本文継続） · 既存の問題・対応範囲の補完
ConnectWise：準備継続、個別案内まで接続無効を維持
取得本文の最終更新は10/26 14:00 UTCのまま。phase onboardingの準備と復元開始可能時の通知を説明。10/26目標を達成報告として書き換えず、前回と同じ一次本文を参照。
確認すること対象接続は個別手順まで無効を維持し、M365のapp同意・転送規則・sign-in・deviceを別に調査する。
既存勧告の継続確認 · 既存の問題・対応範囲の補完
PHP / PAN-OS / IceWarp：系列別hotfixと配置確認を継続
PAN JSON timeline最終は10/26 05:45 UTCで、11.1系4 hotfixのreleased情報は前回どおり。IceWarp公式API本文も前回と同一で15:30 UTC改訂。古いIceWarpの設定変更は部分緩和であり完全対処ではない。
確認すること公開管理面を制限し、PHP修正・各製品hotfix・全worker再起動・実際の同梱コピーを確認する。PANのETAを出荷済みへ変えず、IceWarpのmemory_limit=-1等を他環境へ無条件に転用しない。
最新安定10/21（今回取得で照合） · 既存の問題・対応範囲の補完
Tailscale / eMudhra：最新安定1.104.2、Tailworm修正版は未確定
公式releasesの最新安定は10/21の1.104.2。eMudhra中間CA対応の版をTailwormの最低修正版と読み替えない。ソースmergeや環境変数だけで配布済み修正と断定しない。
確認することeMudhra対応とSSH forwarding / Serve / Funnel等の到達条件を分け、公式bulletinとreleaseを追跡する。代替管理経路を確保したうえで不要転送を停止する。
10/16把握の既存事案・範囲補完 · 既存の問題・対応範囲の補完
Genesys：内部LMS/CRMと顧客platformを区別
当事者は10/16把握の内部business system事案を説明。LMS/CRMのbusiness連絡先・account情報等へのアクセス/取得を確認する一方、Cloud / Engage / Engage Cloudや顧客platform内のcall recording等への侵害は否定。調査は継続。今回窓の新規侵入として数えない。
確認することGenesysを名乗りbusiness情報を引用する不審連絡に注意し、公式窓口で確認。内部CRMの漏えいを顧客contact center全体の侵害へ一般化しない。
参考：同日でも公開時刻は未確定 · 1群
対象時刻後に取得した現行本文です。次の情報を基準時刻以前の確定した差分には含めません。
10/26付・公開時刻は未確定 · 基準時刻以前の公開は未確定
参考：Frontline Educationの8月事案通知
10/26付の当事者公表はFrontline Central / School Health Managementの8/14〜15の不正活動について、個人通知開始を説明。個人によりSSN、出生年月日、政府ID、Medicaid / Student ID等が異なる。新しい10/26侵入ではなく、公開時刻が日付のみのため固定窓内の確定差分から分離。
確認すること対象学区と個別通知で自分の影響情報・対象の信用監視案内を確認する。全児童へ同じ情報が漏えいしたと一般化しない。
収集範囲・重複・限界
532NVD新規
4,815NVD改訂
540GHSA公開窓
182検証した保存・参照応答
NVD新規532件は改訂4815件に全件重複。GHSA新規公開540件（unreviewed515、malware25）、改訂748件。reviewed・unreviewed・malwareを区別し、公開と改訂の重複を台帳で確認してください。KEVは2026.10.23版・1,756件で、前回原本と同一。非掲載を悪用不存在の証明にはしません。182応答のうち78件は過去原本への参照で重複保存を避けています。
- 基準は2026-10-27 07:47 JST。取得は07:50 JST以降の現行改訂で、原公開時の本文を完全には復元しません。
- NVD新規532件は改訂4,815件に全件重複。20件のRejectedを含み、324件はApple CNAです。
- GHSA公開540件はunreviewed515 / malware25 / reviewed0。437件は今回NVD、78件は前回NVDのCVEと重複します。
- GHSA改訂748件は公開540件を全件含む。内訳はunreviewed687 / reviewed31 / malware30。全集合を足して事件数にしません。
- NVD Received / Awaiting Analysis / Deferred、GHSA unreviewedは、悪用・被害の確定を意味しません。
- APIによる収録・改訂時刻は、製品修正の初出荷時刻や攻撃開始時刻とは別です。
- KEV原本一致・非掲載、フィード未配信は悪用不存在の証明ではありません。
- API参照の一部は404/403、研究ページ1件はredirect loop。収集summaryへ失敗を保存し、空件数へ読み替えません。
- Railway復旧通知は追加インシデントではない。新規登録再開予定と既存利用者復旧を分けます。
- Appleの旧系列と新系列のCVEを合算して今朝の新規出荷数としません。
- 全世界の事件・被害を網羅した一覧ではありません。公表のない事案や未確認の攻撃者主張は件数に含めません。
data/2026-10-27-0747/incident-register.json / data/2026-10-27-0747/collection-summary.json / data/2026-10-27-0747-vendors/collection-summary.json / docs/research-collection-2026-10-27-0747.md / docs/research-2026-10-27-0747.md / data/latest.json