日常・業務への実影響
医療予約、クラウド、個人情報、金銭を出典付きで整理。未確認の被害額は推計しません。
影響一覧 →SECURITY REVIEW · 2026-10-28 13:18:44 JST / 2026-10-28 04:18:44 UTC
修正を急ぐものと、すでに暮らしを止めたもの。
Brotli・Commerceの既知悪用、GMO・@linkの続報、ネットワーク機器、ブラウザ、AI・認証・開発基盤まで。実被害と可能性を別の一覧で確認できます。
対象：2026-10-28 13:18:44 JST / 2026-10-28 04:18:44 UTC。差分窓：10月27日18:47〜10月28日13:18:44 JST。
実取得は10月28日13:21 JST以降の現行改訂。日付のみの同日続報は参考枠です。
忙しい人向け：使っているものだけ。
公開基盤の優先更新
BrotliとCommerceのKEV追加を確認。修正済みかを稼働する製品・系列で点検。
悪用確認と対策 →AI・認証・開発基盤
MLflow、MCP、Authlib、Better Auth、GitPython等を勧告別の対象範囲から確認。
MCPの追加設定 →端末・ネットワーク
NetScaler、PAN-OS、WatchGuard、ブラウザ・メールを点検。出荷予定と配備完了は別。
端末と機器 →差分窓の登録・勧告更新 · 62群
DB収録・改訂や勧告の更新時刻で整理しています。攻撃の開始時刻や、新たに発生した被害件数ではありません。
10/28 00:19 JST status · 公表・更新を確認
Railway：新規登録は停止継続、次回報告予定は基準後
10月27日15:19 UTCのstatus更新でも新規登録停止は継続、再開日は未定。既存deployの継続と、build・dashboard等の障害を分ける。約100,000workspaces・最大1.85%は環境変数の潜在影響範囲で確定漏えい人数ではない。
確認すること旧secretを発行元で失効・再発行し監査する。次回10月28日16:00 UTCの予定を、今回基準時点の復旧実績として扱わない。
10/28 00:30 JST更新 · 公表・更新を確認
Studio：連名報告の受付は11月上旬予定
28日00:30更新では個人情報保護委員会への連名報告受付は未開始。本人通知は共同報告に含まれない。暗号鍵読出しと外部取得可能状態が確認されたが、情報の実取得件数は未確定。
確認することフォームデータの利用実態を調査し、本人通知を別途判断する。外部APIキーは発行元で失効する。鍵更新だけで過去の取得可能性が消えたとしない。
10/28 04:00頃確認 / 11:00 JST第13報 · 公表・更新を確認
GMO：犯人サイトのドメイン停止と、補償案内の続報
第13報は10月28日04:00頃の犯人サイトのドメイン停止を確認。停止は情報の回収、複製の削除、サービス復旧の完了を意味しない。第12報の特別お見舞金の上限300万円は条件付きの制度で、総被害額・支払済み額ではない。第12報は見出し19:10と経緯欄19:00の不一致がある。
確認すること犯人サイトや流出物へアクセスせず、公式の個別連絡・代替環境・補償条件を確認する。認証情報や手数料を求める便乗連絡に応じない。
10/28 04:00:02 JST catalog release · 公表・更新を確認
KEV：BrotliとAdobe Commerceを追加、悪用確認を優先度へ反映
CISA 2026.10.27版は1,760件。CVE-2026-111497とCVE-2026-48356を新たに収録、期限は11月10日。脆弱性の悪用確認であり、全ての.NET・Node.js環境や加盟店が侵害されたという意味ではない。被害人数・実損額は示されていない。
確認することBrotli 1.2.1、Node.js 22.23.4 / 24.22.1 / 26.12.1など製品別の修正を確認。AdobeはAPSB26-73の版別July cumulative updateを確認する。KEVの米連邦機関期限を全利用者への法的期限としない。
10/28 12:30 JST更新 · 公表・更新を確認
@link：一部医療機関でβ版テスト、全面再開ではない
10月28日12:30更新は一部の医療機関でクラウドβ版のテスト利用を開始した段階。患者アプリ・Web予約・外部システム連携等は停止継続。医療機関の予約業務への影響は続き、漏えい対象数も調査中。
確認すること予約・変更は利用医療機関へ直接確認する。再開予定・返金予定と実施済みを区別し、再開時のパスワード再設定案内を確認する。
GHSA公開：2026-10-27T13:27:58Z 〜 2026-10-27T13:27:58Z · 公表・更新を確認
ajenti：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-vcw3-r3fx-j444
Ajenti has potential Remote Code Execution
aj(pip): 対象< 2.2.13→ 修正版2.2.13
GHSA公開：2026-10-27T13:29:57Z 〜 2026-10-27T13:29:57Z · 公表・更新を確認
dcmjs：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-px68-xx5g-48q5
dcmjs: DS/IS VALUE REPRESENTATION INPUT VALIDATION BYPASS
dcmjs(npm): 対象< 0.52.0→ 修正版0.52.0
GHSA公開：2026-10-27T13:29:47Z 〜 2026-10-27T13:29:47Z · 公表・更新を確認
wails：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-47hv-j4px-h3c9
Wails: wildcardPatternToRegex allows Origin bypass via suffix match in BindingsAllowedOrigins
github.com/wailsapp/wails/v2(go): 対象>= 2.0.0, < 2.13.0→ 修正版2.13.0
GHSA公開：2026-10-27T13:29:25Z 〜 2026-10-27T13:29:25Z · 公表・更新を確認
dolibarr：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-v5fq-cf5m-vwv7
Dolibarr has SQL Injection in societe/class/societe.class.php via localtax1_value parameter
dolibarr/dolibarr(composer): 対象<= 23.0.0→ 修正版修正版の記載なし
GHSA公開：2026-10-27T13:30:41Z 〜 2026-10-27T13:30:41Z · 公表・更新を確認
agno：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-m4w4-3r8h-jw98
Agno: Arbitrary code execution via `eval()` on `field_type` in `FunctionCall`
agno(pip): 対象< 2.3.24→ 修正版2.3.24
GHSA公開：2026-10-27T13:30:17Z 〜 2026-10-27T13:30:17Z · 公表・更新を確認
oauthlib：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-3jp2-3mrg-2vxc
OAuthLib: Bearer token can be retrieved as long as client knows a valid client ID for device workflow
oauthlib(pip): 対象>= 3.3.0, < 4.0.0→ 修正版4.0.0
GHSA公開：2026-10-27T13:30:10Z 〜 2026-10-27T13:30:10Z · 公表・更新を確認
MONAI：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-6hp3-vr39-rqw8
MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM (pydicom DS/IS Validation Bypass)
monai(pip): 対象< 1.6.1→ 修正版1.6.1
GHSA公開：2026-10-27T14:27:53Z 〜 2026-10-27T14:27:53Z · 公表・更新を確認
guava：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-xxph-c9ww-hj94
Google Guava: CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation
com.google.guava:guava(maven): 対象>= 4.0, <= 33.7.1→ 修正版33.7.2
GHSA公開：2026-10-27T14:43:57Z 〜 2026-10-27T14:43:57Z · 公表・更新を確認
siyuan：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-c8r8-95hg-mp34
SiYuan: MCP file tool's blocklist is incomplete relative to the HTTP file API it claims to align with, exposing publish-mode passwords and other sensitive workspace files
github.com/siyuan-note/siyuan/kernel(go): 対象< 0.0.0-20260808051406-3542530c505f→ 修正版0.0.0-20260808051406-3542530c505f
GHSA公開：2026-10-27T14:43:16Z 〜 2026-10-27T14:43:19Z · 公表・更新を確認
fpdf2：公開勧告と修正範囲の確認
今回のGHSA公開窓で2勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（2件）
GHSA-wqw6-wpr3-45rh
fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'
fpdf2(pip): 対象>= 2.5.0, < 2.8.8→ 修正版2.8.8
GHSA-rw7v-4hrq-x6r9
fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content
fpdf2(pip): 対象<= 2.8.7→ 修正版2.8.8
GHSA公開：2026-10-27T14:44:19Z 〜 2026-10-27T14:44:19Z · 公表・更新を確認
Ghost：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-qrh6-cwg3-343x
Ghost: Authorization Bypass in Comment Like Feature
ghost(npm): 対象>= 5.9.0, < 6.44.1→ 修正版6.44.1
GHSA公開：2026-10-27T14:45:53Z 〜 2026-10-27T15:36:17Z · 公表・更新を確認
vLLM：model revision指定とP2P offloading
requestのmm_processor_kwargs.code_revisionからの実行と、特定P2P secondary tierのsocket枯渇を分ける。すべての構成が同じ条件ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること各勧告の機能条件を確認。実行問題は0.31.0、P2P問題は0.32.0で修正。model取得・APIへのアクセスを制限する。
勧告別：対象バージョンと修正版（2件）
GHSA-h3rc-6mm3-gc2m
vLLM: Request-controlled mm_processor_kwargs.code_revision allows remote code execution
vllm(pip): 対象>= 0.7.3, < 0.31.0→ 修正版0.31.0
GHSA-frvg-qw88-hww9
vllm p2p never connected zmq_exhaustion
vllm(pip): 対象< 0.32.0→ 修正版0.32.0
GHSA公開：2026-10-27T14:45:36Z 〜 2026-10-27T14:45:36Z · 公表・更新を確認
rembg：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-qr6x-7v33-6qmg
Rembg: Unauthenticated SAM model injection permits local-file disclosure through malicious ONNX graphs
rembg(pip): 対象< 2.0.82→ 修正版2.0.82
GHSA公開：2026-10-27T14:45:29Z 〜 2026-10-27T14:45:29Z · 公表・更新を確認
twisted：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-jj36-9pvh-vj5r
Twisted: DNS Response Spoofing in twisted.names Due to Missing Source Address Validation
Twisted(pip): 対象<= 26.4.0→ 修正版26.10.0rc1
GHSA公開：2026-10-27T14:46:51Z 〜 2026-10-27T14:46:51Z · 公表・更新を確認
pylint：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-22qq-2fwx-7p67
Pylint: Arbitrary code execution via pickle deserialization of the stats cache in PYLINT_HOME
pylint(pip): 対象< 4.0.9→ 修正版4.0.9
GHSA公開：2026-10-27T14:46:43Z 〜 2026-10-27T14:46:43Z · 公表・更新を確認
Satori：生成SVGのエスケープ不備
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-wx4j-mvgx-mqwp
Satori-generated SVG has improper escaping
satori(npm): 対象>= 0.0.27, < 0.33.5→ 修正版0.33.5
GHSA公開：2026-10-27T14:49:53Z 〜 2026-10-27T15:32:25Z · 公表・更新を確認
Better Auth：OAuth stateとproxyのアカウント境界
OAuth Proxy、stateのMagicLink流用、DBadapterのrate limit、任意device承認の表示不足を含む。device問題はopt-in機能と利用者の承認等の条件を要する。 この資料だけから実被害の人数や件数は確定しない。
確認することbetter-auth1.7.7と利用adapterを確認。device承認では要求clientと権限をserver検証した内容から表示する。
勧告別：対象バージョンと修正版（4件）
GHSA-44jh-23m7-hpcf
@better-auth/drizzle-adapter: Concurrent requests can exceed rate limits on PostgreSQL
@better-auth/drizzle-adapter(npm): 対象>= 1.6.17, < 1.7.7→ 修正版1.7.7@better-auth/kysely-adapter(npm): 対象>= 1.6.17, < 1.7.0→ 修正版1.7.0better-auth(npm): 対象>= 1.6.17, < 1.7.7→ 修正版1.7.7
GHSA-r4xp-prcw-77qf
better-auth: OAuth Proxy lets an attacker sign in as another user
better-auth(npm): 対象>= 1.5.0-beta.12, < 1.7.7→ 修正版1.7.7
GHSA-965c-763c-88jm
better-auth: OAuth state can be used as a Magic Link to sign in as another user
better-auth(npm): 対象>= 1.4.0-beta.18, < 1.7.7→ 修正版1.7.7
GHSA-q84f-53jg-9ppm
better-auth: Device login approval does not show the requesting client or permissions
better-auth(npm): 対象>= 1.3.8-beta.3, < 1.7.0-rc.3→ 修正版1.7.0-rc.3
GHSA-44jh-23m7-hpcf / GHSA-r4xp-prcw-77qf / GHSA-965c-763c-88jm / GHSA-q84f-53jg-9ppm
GHSA公開：2026-10-27T14:50:18Z 〜 2026-10-27T16:09:22Z · 公表・更新を確認
Authlib：署名・nonce・audience等の検証境界
空signature、空HMACキー、algorithm confusion、request_uri SSRF等を含む。1.9.0だけでは空HMACキー問題の修正が足りない。 この資料だけから実被害の人数や件数は確定しない。
確認すること1.9.1以降を確認。issuer/audience/nonce/許可algorithm・鍵設定を照合し、request_uri取得先を制限する。
勧告別：対象バージョンと修正版（8件）
GHSA-8m4g-j4wp-wgcg
Authlib accepts an empty HMAC key, allowing JWS/JWT signature forgery (HS256/HS384/HS512)
Authlib(pip): 対象< 1.9.1→ 修正版1.9.1
GHSA-x4rv-c3wx-4cr8
Authlib: Unvalidated request_uri fetch in JWT-secured authorization request (JAR) leading to SSRF
authlib(pip): 対象>= 1.6.0, < 1.9.0→ 修正版1.9.0
GHSA-c5mf-xmp2-59rc
Authlib: ID token can disable its own nonce validation via the nonce_supported claim
authlib(pip): 対象<= 1.8.0→ 修正版1.9.0
GHSA-fch4-3c6x-j4gc
Authlib: Default JWT bearer grant accepts assertions for the wrong audience
authlib(pip): 対象< 1.9.0→ 修正版1.9.0
GHSA-q686-2qmg-hqc7
Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens
authlib(pip): 対象< 1.9.0→ 修正版1.9.0
GHSA-7vr2-2fgp-9w7p
Authlib incomplete algorithm-confusion fix permits HMAC forgery with prefixed public keys
authlib(pip): 対象>= 1.3.1, <= 1.8.0→ 修正版1.9.0
GHSA-jj7h-c3hg-m23x
Authlib: is_secure_transport() loopback exemption can be bypassed with a userinfo component, allowing cleartext-HTTP URLs to non-loopback hosts
authlib(pip): 対象<= 1.7.2→ 修正版1.8.0
GHSA-6v38-4h7w-rj9h
Authlib: empty signatures validation in JWS JSON deserialization
authlib(pip): 対象<= 1.8.0→ 修正版1.9.0
GHSA-8m4g-j4wp-wgcg / GHSA-x4rv-c3wx-4cr8 / GHSA-c5mf-xmp2-59rc / GHSA-fch4-3c6x-j4gc / GHSA-q686-2qmg-hqc7 / GHSA-7vr2-2fgp-9w7p / GHSA-jj7h-c3hg-m23x / GHSA-6v38-4h7w-rj9h
GHSA公開：2026-10-27T14:50:30Z 〜 2026-10-27T14:50:30Z · 公表・更新を確認
nltk：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-j456-xh4h-cpf2
NLTK: WekaClassifier passes an unvalidated caller-controlled model path to the weka JVM, bypassing nltk.pathsec containment
nltk(pip): 対象<= 3.10.3→ 修正版3.10.4
GHSA公開：2026-10-27T15:04:14Z 〜 2026-10-27T15:32:36Z · 公表・更新を確認
LiteLLM：権限昇格・ファイル読出し・XSS
今回3勧告は製品脆弱性の公開。配布経路の侵害事案とは別に扱う。internal_userからproxy_adminへ昇格する問題は旧系列のexperimental設定にも依存。 この資料だけから実被害の人数や件数は確定しない。
確認すること権限昇格は1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0rc2等の対応系列を確認。暫定EXPERIMENTAL_UI_LOGIN=falseはCLI SSO等も無効化する。
勧告別：対象バージョンと修正版（3件）
GHSA-g5ff-637f-6q2m
LiteLLM: internal_user_viewer arbitrary local file read via `vertex_ai_credentials`
litellm(pip): 対象< 1.95.0→ 修正版1.95.0
GHSA-hhww-mrg2-969h
LiteLLM vulnerable to reflected XSS in /sso/debug/callback
litellm(pip): 対象>= 1.65.5, < 1.85.0→ 修正版1.85.0
GHSA-7hp6-4w63-5g45
LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key
litellm(pip): 対象>= 1.91.0, < 1.100.4→ 修正版1.100.4litellm(pip): 対象>= 1.101.0, < 1.101.3→ 修正版1.101.3litellm(pip): 対象>= 1.102.0, < 1.102.2→ 修正版1.102.2litellm(pip): 対象>= 1.103.0, < 1.103.1→ 修正版1.103.1litellm(pip): 対象>= 1.104.0rc1, < 1.104.0rc2→ 修正版1.104.0rc2
GHSA-g5ff-637f-6q2m / GHSA-hhww-mrg2-969h / GHSA-7hp6-4w63-5g45
GHSA公開：2026-10-27T15:04:33Z 〜 2026-10-27T15:04:39Z · 公表・更新を確認
nodemailer：公開勧告と修正範囲の確認
今回のGHSA公開窓で3勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（3件）
GHSA-4ffr-jq9g-5ffx
Nodemailer: Quadratic backtracking in SMTP AUTH mechanism detection regexes allows pre-auth remote denial of service
nodemailer(npm): 対象>= 3.0.0, <= 10.0.12→ 修正版10.0.13
GHSA-g73g-hqqh-jr95
Nodemailer: RFC 5322 comment inside an angle-bracket address is never stripped
nodemailer(npm): 対象>= 3.0.0, <= 10.0.12→ 修正版10.0.13
GHSA-4g23-2xm8-66gc
Nodemailer: Quadratic (O(n^2)) SMTP client reply parsing lets a malicious server or MITM cause a pre-auth remote denial of service
nodemailer(npm): 対象>= 3.0.0, <= 10.0.9→ 修正版10.0.10
GHSA-4ffr-jq9g-5ffx / GHSA-g73g-hqqh-jr95 / GHSA-4g23-2xm8-66gc
GHSA公開：2026-10-27T15:04:07Z 〜 2026-10-27T15:04:07Z · 公表・更新を確認
msgpack-python：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-j586-36cw-2gc2
MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure
msgpack(pip): 対象< 1.2.3→ 修正版1.2.3
GHSA公開：2026-10-27T15:26:24Z 〜 2026-10-27T15:28:03Z · 公表・更新を確認
GitPython：不信なrepository・refspec・submoduleの境界
branch名のファイル読出し、submoduleのsymlink、pullのunsafe option、環境変数の露出等6勧告。通常のGit transport制限等で成立条件は異なる。 この資料だけから実被害の人数や件数は確定しない。
確認すること3.2.0へ更新。不信repoを秘密情報付きCI環境で処理しない。必要な場合は隔離し、既に露出したログ・credentialを点検する。
勧告別：対象バージョンと修正版（6件）
GHSA-23mf-xhv8-69c2
GitPython: arbitrary file read via attacker-controlled branch name in `Head.checkout()` (incomplete fix of CVE-2026-78679)
GitPython(pip): 対象<= 3.1.62→ 修正版3.2.0
GHSA-gq48-pqfc-9p58
GitPython: Submodule.move() follows an attacker-committed intermediate symlink outside the worktree
GitPython(pip): 対象< 3.2.0→ 修正版3.2.0
GHSA-f9j4-qggq-h239
GitPython Remote.pull() refspec bypasses the --upload-pack unsafe-option guard, enabling arbitrary command execution
GitPython(pip): 対象>= 3.1.30, < 3.2.0→ 修正版3.2.0
GHSA-w8jc-g24h-crhw
GitPython command wrappers omit unsafe protocol and option checks
GitPython(pip): 対象<= 3.1.62→ 修正版3.2.0
GHSA-fx3j-rwgx-fr94
GitPython: separate_git_dir leaks env vars via crafted .gitmodules submodule name
GitPython(pip): 対象<= 3.1.62→ 修正版3.2.0
GHSA-m64x-33q8-m5h7
GitPython parse_actor_and_date() is vulnerable to quadratic backtracking on malformed identity lines
GitPython(pip): 対象<= 3.1.62→ 修正版3.2.0
GHSA-23mf-xhv8-69c2 / GHSA-gq48-pqfc-9p58 / GHSA-f9j4-qggq-h239 / GHSA-w8jc-g24h-crhw / GHSA-fx3j-rwgx-fr94 / GHSA-m64x-33q8-m5h7
GHSA公開：2026-10-27T15:32:45Z 〜 2026-10-27T15:32:45Z · 公表・更新を確認
flexible-graphrag：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-vqrg-773h-4wxc
Flexible GraphRAG: Cypher/Graph Injection via broken string-escaping in FalkorDB adapter (_escape()) - full graph wipe from ingested-document content
flexible-graphrag(pip): 対象>= 0.6.0, < 0.8.2→ 修正版0.8.2
GHSA公開：2026-10-27T15:33:22Z 〜 2026-10-27T15:33:42Z · 公表・更新を確認
snappy-java：公開勧告と修正範囲の確認
今回のGHSA公開窓で3勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（3件）
GHSA-gwq9-9ffj-mvrv
snappy-java: Heap buffer overflow in Snappy.uncompress*Array typed-array methods
org.xerial.snappy:snappy-java(maven): 対象<= 1.1.10.8→ 修正版1.1.10.9
GHSA-xqrx-qh46-34m7
snappy-java: JVM crash from unchecked ranges in Snappy.arrayCopy and SnappyOutputStream.rawWrite
org.xerial.snappy:snappy-java(maven): 対象<= 1.1.10.8→ 修正版1.1.10.9
GHSA-q233-g92q-qxp6
snappy-java: Unbounded memory allocation from attacker-declared uncompressed lengtha
org.xerial.snappy:snappy-java(maven): 対象<= 1.1.10.8→ 修正版1.1.10.9
GHSA-gwq9-9ffj-mvrv / GHSA-xqrx-qh46-34m7 / GHSA-q233-g92q-qxp6
GHSA公開：2026-10-27T15:34:28Z 〜 2026-10-27T15:34:33Z · 公表・更新を確認
harness-sdk：公開勧告と修正範囲の確認
今回のGHSA公開窓で2勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（2件）
GHSA-3w55-933p-8pv5
Strands Agents: Local Privilege Escalation via Symlink Attack in Default Session File Storage
strands-agents(pip): 対象< 1.48.0→ 修正版1.48.0
GHSA-763v-5pjm-fx36
Strands Agents: Default FileSessionManager storage is world-readable on shared systems
strands-agents(pip): 対象< 1.48.0→ 修正版1.48.0
GHSA公開：2026-10-27T15:36:35Z 〜 2026-10-27T15:36:35Z · 公表・更新を確認
mongo-python-driver：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-98qm-wvgf-w4cf
MongoDB Python Driver: Out-of-bounds read in BSON decoding via a malformed Regex element
pymongo(pip): 対象>= 3.9.0, <= 4.18.2→ 修正版4.18.3
GHSA公開：2026-10-27T15:37:37Z 〜 2026-10-27T15:37:37Z · 公表・更新を確認
dnspython：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-45c3-73f7-pv4m
dnspython dns.name.from_wire_parser() excessive CPU use
dnspython(pip): 対象< 2.9.0→ 修正版2.9.0
GHSA公開：2026-10-27T15:37:24Z 〜 2026-10-27T15:37:31Z · 公表・更新を確認
dd-trace-py：公開勧告と修正範囲の確認
今回のGHSA公開窓で2勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（2件）
GHSA-3633-r77q-h3v3
Datadog dd-trace-py: ReDoS in URL query string obfuscation
ddtrace(pip): 対象>= 1.5.0, < 3.19.9→ 修正版3.19.9ddtrace(pip): 対象>= 4.0.0, < 4.15.6→ 修正版4.15.6
GHSA-p3m5-h5v9-vqj6
Datadog dd-trace-py: IAST instrumentation can lead to application DOS
ddtrace(pip): 対象>= 3.13.0, < 4.15.5→ 修正版4.15.5
GHSA公開：2026-10-27T15:38:22Z 〜 2026-10-27T15:38:39Z · 公表・更新を確認
PhpSpreadsheet：XXE・外部画像SSRF・資源消費
XML scannerの回避、ODS繰返し行、画像redirectによる許可先回避等。利用readerと系列により対象が異なる。 この資料だけから実被害の人数や件数は確定しない。
確認すること5.10.0 / 3.10.8 / 2.4.8 / 2.1.19 / 1.30.7など勧告ごとの修正版を照合。未信頼文書を隔離し外向き通信を制限する。
勧告別：対象バージョンと修正版（4件）
GHSA-2phh-27fw-q4gc
PhpSpreadsheet: SSRF whitelist bypass via unre-validated HTTP redirect in Drawing::setPath external image loading
phpoffice/phpspreadsheet(composer): 対象>= 4.0.0, <= 5.9.0→ 修正版5.10.0phpoffice/phpspreadsheet(composer): 対象>= 3.3.0, <= 3.10.7→ 修正版3.10.8phpoffice/phpspreadsheet(composer): 対象>= 2.2.0, <= 2.4.7→ 修正版2.4.8phpoffice/phpspreadsheet(composer): 対象>= 2.0.0, <= 2.1.18→ 修正版2.1.19phpoffice/phpspreadsheet(composer): 対象<= 1.30.6→ 修正版1.30.7
GHSA-j2w7-387v-m2rq
PhpSpreadsheet ODS Reader: Unbounded number-rows-repeated → CPU & Memory Exhaustion (DoS)
phpoffice/phpspreadsheet(composer): 対象>= 4.0.0, <= 5.9.0→ 修正版5.10.0phpoffice/phpspreadsheet(composer): 対象>= 3.3.0, <= 3.10.7→ 修正版3.10.8phpoffice/phpspreadsheet(composer): 対象>= 2.2.0, <= 2.4.7→ 修正版2.4.8phpoffice/phpspreadsheet(composer): 対象>= 2.0.0, <= 2.1.18→ 修正版2.1.19phpoffice/phpspreadsheet(composer): 対象<= 1.30.6→ 修正版1.30.7
GHSA-3x94-m842-937c
PhpSpreadsheet: XmlScanner Bypass via ISO-2022 Escape Sequences Allows XXE and Denial of Service
phpoffice/phpspreadsheet(composer): 対象>= 4.0.0, <= 5.9.0→ 修正版5.10.0phpoffice/phpspreadsheet(composer): 対象>= 3.3.0, <= 3.10.7→ 修正版3.10.8phpoffice/phpspreadsheet(composer): 対象>= 2.2.0, <= 2.4.7→ 修正版2.4.8phpoffice/phpspreadsheet(composer): 対象>= 2.0.0, <= 2.1.18→ 修正版2.1.19phpoffice/phpspreadsheet(composer): 対象<= 1.30.6→ 修正版1.30.7
GHSA-rxj4-h86g-25gc
PhpSpreadsheet: XmlScanner Bypass via Double-Encoded unentity() TOCTOU Allows XXE and Denial of Service
phpoffice/phpspreadsheet(composer): 対象>= 4.0.0, <= 5.9.0→ 修正版5.10.0phpoffice/phpspreadsheet(composer): 対象>= 3.3.0, <= 3.10.7→ 修正版3.10.8
GHSA-2phh-27fw-q4gc / GHSA-j2w7-387v-m2rq / GHSA-3x94-m842-937c / GHSA-rxj4-h86g-25gc
GHSA公開：2026-10-27T15:38:14Z 〜 2026-10-27T15:38:14Z · 公表・更新を確認
compress：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-fpmh-frq8-7rj8
compress zstd: Panic on two-block frames
github.com/klauspost/compress/zstd(go): 対象<= 1.20.1→ 修正版1.20.2
GHSA公開：2026-10-27T16:08:36Z 〜 2026-10-27T16:08:59Z · 公表・更新を確認
rustls：TLS秘密情報・ECH・圧縮処理
Debug出力の秘密情報、ECH拒否時のbuffer、鍵交換状態、Brotli証明書伸長の割当量を区別する。 この資料だけから実被害の人数や件数は確定しない。
確認すること安定系列0.23.46へ更新し、秘密を含むDebugログを点検。0.24開発系列はdev.2。
勧告別：対象バージョンと修正版（4件）
GHSA-vp88-798v-h67f
rustls: ECH rejection can expose buffered application data to authenticated outer server before `ech_required` alert
rustls(rust): 対象>= 0.23.44, < 0.23.46→ 修正版0.23.46rustls(rust): 対象>= 0.24.0-dev.1, < 0.24.0-dev.2→ 修正版0.24.0-dev.2
GHSA-w44r-93j7-qv28
rustls: An unauthenticated ServerHello poisons the per-name key-exchange record, so later ClientHellos carry only a classical X25519 share
rustls(rust): 対象< 0.23.46→ 修正版0.23.46rustls(rust): 対象>= 0.24.0-dev.1, < 0.24.0-dev.2→ 修正版0.24.0-dev.2
GHSA-c8m5-c952-6cm4
Rustls: Session Debug formatting exposes TLS master secrets and resumption PSKs
rustls(rust): 対象< 0.23.46→ 修正版0.23.46rustls(rust): 対象>= 0.24.0-dev.1, < 0.24.0-dev.2→ 修正版0.24.0-dev.2
GHSA-h2v8-394m-p7vv
Rustls: Brotli certificate decompression can allocate an attacker-controlled amount of memory up to 1 GiB before authentication.
rustls(rust): 対象< 0.23.46→ 修正版0.23.46rustls(rust): 対象>= 0.24.0-dev.1, < 0.24.0-dev.2→ 修正版0.24.0-dev.2
GHSA-vp88-798v-h67f / GHSA-w44r-93j7-qv28 / GHSA-c8m5-c952-6cm4 / GHSA-h2v8-394m-p7vv
GHSA公開：2026-10-27T16:09:45Z 〜 2026-10-27T19:02:31Z · 公表・更新を確認
undici：TLS検証・cache境界とDoS
TLS options伝播、cross-origin redirectとshared cache、WebSocket buffering等の条件別問題。Node.js標準fetchと個別npm依存を同一の配備版と見なさない。 この資料だけから実被害の人数や件数は確定しない。
確認すること該当系列6.29.1 / 7.30.1 / 8.12.2を照合。npm依存と組込runtimeを別々に更新し、cache共有・redirect・TLS設定も確認する。
勧告別：対象バージョンと修正版（6件）
GHSA-4w7w-5xrc-9h26
undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects
undici(npm): 対象>= 7.0.0, < 7.30.1→ 修正版7.30.1undici(npm): 対象>= 8.0.0, < 8.12.2→ 修正版8.12.2
GHSA-2m5v-pch6-74hx
undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent
undici(npm): 対象>= 4.0.0, < 6.29.1→ 修正版6.29.1undici(npm): 対象>= 7.0.0, < 7.30.1→ 修正版7.30.1undici(npm): 対象>= 8.0.0, < 8.12.2→ 修正版8.12.2
GHSA-qrxm-fqhp-jwvm
undici vulnerable to Denial of Service via TLS 1.2 certificate-changing renegotiation
undici(npm): 対象>= 4.2.1, < 6.29.1→ 修正版6.29.1undici(npm): 対象>= 7.0.0, < 7.30.1→ 修正版7.30.1undici(npm): 対象>= 8.0.0, < 8.12.2→ 修正版8.12.2
GHSA-9fm3-97px-rjf6
undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering
undici(npm): 対象>= 5.15.0, < 6.29.1→ 修正版6.29.1undici(npm): 対象>= 7.0.0, < 7.30.1→ 修正版7.30.1undici(npm): 対象>= 8.0.0, < 8.12.2→ 修正版8.12.2
GHSA-55wc-3pg8-jfw6
undici vulnerable to Denial of Service via unhandled exception in the decompress interceptor
undici(npm): 対象>= 7.15.0, < 7.30.1→ 修正版7.30.1undici(npm): 対象>= 8.0.0, < 8.12.2→ 修正版8.12.2
GHSA-qq8j-7v2v-3rwp
undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake
undici(npm): 対象>= 8.11.0, < 8.11.2→ 修正版8.11.2
GHSA-4w7w-5xrc-9h26 / GHSA-2m5v-pch6-74hx / GHSA-qrxm-fqhp-jwvm / GHSA-9fm3-97px-rjf6 / GHSA-55wc-3pg8-jfw6 / GHSA-qq8j-7v2v-3rwp
GHSA公開：2026-10-27T16:10:55Z 〜 2026-10-27T16:10:55Z · 公表・更新を確認
qs：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-6pq8-jhm2-2vcw
qs : qs.stringify with arrayFormat 'comma' throws an uncaught TypeError on array elements carrying a non-callable own toString (DoS)
qs(npm): 対象>= 6.7.0, <= 6.16.0→ 修正版6.16.1
GHSA公開：2026-10-27T17:08:41Z 〜 2026-10-27T17:08:41Z · 公表・更新を確認
hydra：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-wf6j-7hvr-gr93
Hydra legacy target blacklist permits unsafe PyYAML loading
hydra-core(pip): 対象>= 1.3.6, < 1.3.8→ 修正版1.3.8hydra-core(pip): 対象>= 1.4.0.dev9, < 1.4.0rc3→ 修正版1.4.0rc3
GHSA公開：2026-10-27T19:00:50Z 〜 2026-10-27T19:00:50Z · 公表・更新を確認
terraform-provider-ctfd：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-vg84-c5mg-76xh
CTFer.io's CTFd Terraform Provider allows a local or remote attacker to read team passwords in state as non sensitive values
github.com/ctfer-io/terraform-provider-ctfd(go): 対象>= 0.1.5, <= 1.1.0→ 修正版修正版の記載なしgithub.com/ctfer-io/terraform-provider-ctfd/v2(go): 対象< 2.8.2→ 修正版2.8.2
GHSA公開：2026-10-27T19:01:39Z 〜 2026-10-27T19:01:50Z · 公表・更新を確認
symfony：公開勧告と修正範囲の確認
今回のGHSA公開窓で2勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（2件）
GHSA-2v3c-qxhr-7vpv
Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process
symfony/symfony(composer): 対象>= 2.0.0, < 5.4.54→ 修正版5.4.54symfony/symfony(composer): 対象>= 6.0.0, < 6.4.45→ 修正版6.4.45symfony/symfony(composer): 対象>= 7.0.0, < 7.4.18→ 修正版7.4.18symfony/symfony(composer): 対象>= 8.0.0, < 8.1.6→ 修正版8.1.6symfony/yaml(composer): 対象>= 2.0.0, < 5.4.54→ 修正版5.4.54symfony/yaml(composer): 対象>= 6.0.0, < 6.4.45→ 修正版6.4.45symfony/yaml(composer): 対象>= 7.0.0, < 7.4.18→ 修正版7.4.18symfony/yaml(composer): 対象>= 8.0.0, < 8.1.6→ 修正版8.1.6
GHSA-r925-mgvr-h9cc
Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header
symfony/http-foundation(composer): 対象>= 6.0.1, < 6.4.46→ 修正版6.4.46symfony/http-foundation(composer): 対象>= 7.0.0, < 7.4.19→ 修正版7.4.19symfony/http-foundation(composer): 対象>= 8.0.0, < 8.1.7→ 修正版8.1.7symfony/symfony(composer): 対象>= 6.0.1, < 6.4.46→ 修正版6.4.46symfony/symfony(composer): 対象>= 7.0.0, < 7.4.19→ 修正版7.4.19symfony/symfony(composer): 対象>= 8.0.0, < 8.1.7→ 修正版8.1.7symfony/http-foundation(composer): 対象>= 4.1.0, < 5.4.54→ 修正版5.4.54symfony/symfony(composer): 対象>= 4.1.0, < 5.4.54→ 修正版5.4.54
GHSA公開：2026-10-27T19:01:30Z 〜 2026-10-27T19:01:30Z · 公表・更新を確認
go-jose：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-mgcc-cww5-fp2q
Go JOSE: DoS when parsing JWKs that contain RSA keys
github.com/go-jose/go-jose/v4(go): 対象<= 4.1.5→ 修正版4.1.6github.com/go-jose/go-jose/v3(go): 対象<= 3.0.5→ 修正版修正版の記載なし
GHSA公開：2026-10-27T19:02:00Z 〜 2026-10-27T19:02:00Z · 公表・更新を確認
MCP TypeScript SDK：HTTP本文・batch長の上限
HTTP transport/handlerで過大な本文・JSON-RPC batchによる資源消費が問題。 この資料だけから実被害の人数や件数は確定しない。
確認することsdk1.30.1、server/node2.1.0、hono2.0.1など実際のpackageを照合し、reverse proxyにも上限を設定する。
勧告別：対象バージョンと修正版（1件）
GHSA-f897-62hf-6gxq
MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length
@modelcontextprotocol/sdk(npm): 対象>= 1.10.0, < 1.30.1→ 修正版1.30.1@modelcontextprotocol/server(npm): 対象>= 2.0.0, < 2.1.0→ 修正版2.1.0@modelcontextprotocol/node(npm): 対象>= 2.0.0, < 2.1.0→ 修正版2.1.0@modelcontextprotocol/hono(npm): 対象>= 2.0.0, < 2.0.1→ 修正版2.0.1
GHSA公開：2026-10-27T21:04:57Z 〜 2026-10-27T21:04:57Z · 公表・更新を確認
neko：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-5cp7-fp4j-wwcv
Neko: Authorization bypass in legacy WebRTC input handling
github.com/m1k1o/neko/server(go): 対象>= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b→ 修正版0.0.0-20260805142851-395ca1a6f62b
GHSA公開：2026-10-27T21:04:50Z 〜 2026-10-27T21:04:50Z · 公表・更新を確認
Atlantis：plan段階でのworkspaceコマンド注入
planが実行されるPRのatlantis.yaml workspaceが攻撃経路。custom workflowやapply権限がなくても成立し得る。 この資料だけから実被害の人数や件数は確定しない。
確認すること0.47.1へ更新。未信頼PRのplan実行を制限し、runnerのcloud/VCS権限を点検する。
勧告別：対象バージョンと修正版（1件）
GHSA-rjh2-4xgw-p2hj
Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan
github.com/runatlantis/atlantis(go): 対象>= 0.4.0, <= 0.47.0→ 修正版0.47.1
GHSA公開：2026-10-27T21:04:40Z 〜 2026-10-27T21:04:40Z · 公表・更新を確認
filebrowser：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-mgqf-5mf5-prfj
FileBrowser: Symlink following escapes user scope allowing arbitrary file read outside the served directory
github.com/gtsteffaniak/filebrowser/backend(go): 対象< 0.0.0-20260814233832-4126edeb07a0→ 修正版0.0.0-20260814233832-4126edeb07a0
GHSA公開：2026-10-27T21:05:29Z 〜 2026-10-27T21:06:59Z · 公表・更新を確認
MCP Python SDK：audience検証とredirect・schema参照
bearer tokenの対象resource検証、cross-origin redirectのcustom header/body転送、outputSchema外部参照によるSSRF・停止を区別。単独Authorization headerの漏えいとはしない。 この資料だけから実被害の人数や件数は確定しない。
確認すること1.30.0 / 2.2.0以降へ更新。audience対策はvalidate_token_resource=Trueとresource_server_url、AccessToken.resourceの返却も必要。更新だけで検証は有効にならない。
勧告別：対象バージョンと修正版（3件）
GHSA-w4fh-qvv9-3v23
Model Context Protocol Python SDK: Server bearer-token authentication accepts tokens issued for a different resource server
mcp(pip): 対象>= 2.0.0, < 2.2.0→ 修正版2.2.0mcp(pip): 対象>= 1.10.0, < 1.30.0→ 修正版1.30.0
GHSA-5h93-6whr-6q8j
Model Context Protocol Python SDK: HTTP client transports followed cross-origin redirects carrying custom headers and bodies
mcp(pip): 対象>= 2.0.0, < 2.2.0→ 修正版2.2.0mcp(pip): 対象>= 1.8.0, < 1.30.0→ 修正版1.30.0
GHSA-rwrf-2pqf-9j8j
Model Context Protocol Python SDK: Client fetched server-chosen $ref URLs while validating tool results against output schemas
mcp(pip): 対象>= 2.0.0, < 2.2.0→ 修正版2.2.0mcp(pip): 対象>= 1.10.0, < 1.30.0→ 修正版1.30.0
GHSA-w4fh-qvv9-3v23 / GHSA-5h93-6whr-6q8j / GHSA-rwrf-2pqf-9j8j
GHSA公開：2026-10-27T21:05:06Z 〜 2026-10-27T21:05:13Z · 公表・更新を確認
ckeditor5：公開勧告と修正範囲の確認
今回のGHSA公開窓で2勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（2件）
GHSA-v6mg-96c6-gmpq
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5(npm): 対象>= 29.0.0, < 47.7.4→ 修正版47.7.4@ckeditor/ckeditor5-engine(npm): 対象>= 29.0.0, < 47.7.4→ 修正版47.7.4ckeditor5(npm): 対象>= 48.0.0, < 48.5.1→ 修正版48.5.1@ckeditor/ckeditor5-engine(npm): 対象>= 48.0.0, < 48.5.1→ 修正版48.5.1
GHSA-rh54-vffm-5fvp
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5(npm): 対象>= 45.0.0, < 47.7.4→ 修正版47.7.4@ckeditor/ckeditor5-engine(npm): 対象>= 45.0.0, < 47.7.4→ 修正版47.7.4ckeditor5(npm): 対象>= 48.0.0, < 48.5.1→ 修正版48.5.1@ckeditor/ckeditor5-engine(npm): 対象>= 48.0.0, < 48.5.1→ 修正版48.5.1
GHSA公開：2026-10-27T21:06:54Z 〜 2026-10-27T21:06:54Z · 公表・更新を確認
opentelemetry-python：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-f5m9-jfrj-jjj7
OpenTelemetry Python: Unbounded memory allocation in Jaeger baggage propagation
opentelemetry-propagator-jaeger(pip): 対象<= 1.44.0→ 修正版1.45.0
GHSA公開：2026-10-27T21:07:25Z 〜 2026-10-27T21:07:25Z · 公表・更新を確認
dd-trace-js：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-x94g-w73q-hpcw
dd-trace: ReDOS in URL query string obfuscation
dd-trace(npm): 対象>= 2.0.0, < 5.131.1→ 修正版5.131.1dd-trace(npm): 対象>= 6.0.0, < 6.20.1→ 修正版6.20.1
GHSA公開：2026-10-27T21:07:12Z 〜 2026-10-27T21:07:12Z · 公表・更新を確認
tinymce：公開勧告と修正範囲の確認
今回のGHSA公開窓で1勧告を確認。対象の機能・入力・権限等の成立条件は各開発元資料を参照。登録日時は初回出荷日や実攻撃の時刻ではない。 この資料だけから実被害の人数や件数は確定しない。
確認すること下の勧告別の対象範囲と修正版を照合する。修正版未記載の系列は修正済みとせず、開発元の移行・暫定対策を確認する。
勧告別：対象バージョンと修正版（1件）
GHSA-mf2p-h6hf-fcwm
TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization
tinymce(npm): 対象>= 8.5.1, < 8.9.3→ 修正版8.9.3TinyMCE(nuget): 対象>= 8.5.1, < 8.9.3→ 修正版8.9.3tinymce/tinymce(composer): 対象>= 8.5.1, < 8.9.3→ 修正版8.9.3tinymce(npm): 対象= 7.9.3→ 修正版7.9.4TinyMCE(nuget): 対象= 7.9.3→ 修正版7.9.4tinymce/tinymce(composer): 対象= 7.9.3→ 修正版7.9.4
GHSA公開：2026-10-27T21:26:32Z 〜 2026-10-27T21:26:56Z · 公表・更新を確認
MLflow：ファイル読出し・scorer実行・traceへの鍵記録
認証なしserverだけでなく一部はbasic-authの低権限ユーザーも対象。CrewAI autologのtraceにAPIキーが記録される問題を含む。 この資料だけから実被害の人数や件数は確定しない。
確認すること3.17.0へ更新。公開アクセスを制限し、trace・OTLP出力先を点検して露出したproviderキーを失効する。
勧告別：対象バージョンと修正版（3件）
GHSA-m65p-9j7q-6w33
MLflow vulnerable to arbitrary file read on unauthenticated servers via prompt model version source
mlflow(pip): 対象>= 3.10.0, < 3.17.0→ 修正版3.17.0
GHSA-j7qq-vr8c-xvw3
MLflow CrewAI autologging records LLM provider API keys in logged trace spans
mlflow(pip): 対象>= 2.19.0, < 3.17.0→ 修正版3.17.0
GHSA-26p8-2jq9-3vq9
MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules
mlflow(pip): 対象>= 3.12.0rc0, < 3.17.0→ 修正版3.17.0
GHSA-m65p-9j7q-6w33 / GHSA-j7qq-vr8c-xvw3 / GHSA-26p8-2jq9-3vq9
10/27 23:30 JST更新 · 公表・更新を確認
ConnectWise：段階復旧準備完了、第三者検証は待機中
27日14:30 UTC更新は段階復旧の準備完了と必須の第三者検証待ちを説明。restore accessの提供開始や全面復旧を宣言したものではない。Axcient Legacy Portalの22日復旧は別のPHP対策事案。
確認すること対象接続を無効のまま維持し個別の再開案内を待つ。暗号化backup archiveの侵害兆候なしという説明を各Microsoft365 tenantの無侵害へ一般化しない。
10/27 23:45 JST改訂 · 公表・更新を確認
Fireblocks mpc-lib：評価改訂後も修正未提供
CERT VU701544の27日14:45 UTC改訂。descendant shareとchain codeから同じMPC partyのancestor/root shareへ到達し得るが、thresholdを越える完全な送金鍵の取得と同じではない。実盗難・金額・被害顧客数は未公表。
確認すること修正版未提供として扱いchain codeを秘密情報として保護、階層全体を調査。別のeMudhra事案のAgent2.4.4 / SDK2.19.1をこの脆弱性の修正版に流用しない。
前回基準後の公式続報 · 公表・更新を確認
Citrix NetScaler：系列別のPHP修正版を確認
CTX697263はADC/Gateway 14.1-73.49、13.1-64.32、14.1-73.49 FIPS、13.1-FIPS/NDcPP 13.1.37.286以降への更新を案内。ベンダー管理cloudは対処済みで顧客作業不要とする。
確認すること自分で運用するapplianceの版を系列ごとに照合する。PHPのupstream表示だけで修正バックポートの有無を判断せず、管理面を制限し侵害調査を行う。
10/27公式改訂の現行表 · 公表・更新を確認
PAN-OS：出荷済みとETA表記を分ける
公式表には12.2.4-h1 / 12.1.7-h11 / 11.2.10-h16等の修正版がある一方、11.2.13-h4・11.2.16-h1等はETA表記が残る。予定日を過ぎたことだけで出荷済みとしない。管理面のPHP問題で、全データプレーンの通信が同条件になるわけではない。
確認すること公式AffectedVersions表で系列別の実出荷を確認し更新する。管理インターフェースを信頼できる接続元へ制限し、更新とは別に侵害兆候を確認する。
10/27公表 · 公表・更新を確認
WatchGuard：18勧告、AD連携の条件とWindowsクライアントを確認
10月27日の公式一覧はFireware 17勧告とWindows Mobile VPN SSL 1勧告。AD認証heap overflowはAD設定等の成立条件がある。VPNクライアントのローカル通信傍受問題はWindows側も対象。ベンダーは当該勧告で実悪用未把握とする。
確認することFireware 2026.4 / 12.12.4、T15/T35は12.5.22など系列別に更新。CVE-2026-115495はWindows VPN client 2026.4へ更新し、Firebox本体だけで済ませない。Solution欄と製品表の表記差は原文照合。
10/27公開 · 公表・更新を確認
ブラウザ・メール：Firefox / ESR / Thunderbird / Chromeの更新
MozillaはFirefox159、ESR153.6 / 115.44、Thunderbird159 / 153.6を10月27日公開。Chrome stableはWindows/Mac156.0.8078.73/.74、Linux/Android156.0.8078.73を段階配信。勧告件数は被害事件数ではない。
確認すること更新を実行し再起動する。OSと企業管理方針に合うサポート系列を確認し、Chromeの詳細未掲載部分に架空のCVEやゼロデイ認定を足さない。
10/27勧告 · 公表・更新を確認
Creative Cloud Windows：ローカル権限昇格の修正
APSB26-135はWindows版6.10以前の検索パス問題を6.11で修正。ベンダーは既知の実悪用なしとする。これは利用者の侵害を確認したという発表ではない。
確認することCreative Cloud Desktopを6.11以降へ更新。配備端末の実バージョンを確認する。
10/27公式更新 · 公表・更新を確認
Fortinet FIPS：7.4対処版と7.2表記の不一致
27日技術記事はFIPS hardening版の利用可能を案内。7.4はFIPS-CC-74-15 b9481。7.2は本文b9883とdownload path b9893が一致しない。7.0FIPSはサポート延長終了で今回版の計画なしとする。
確認すること公式ReadMe・support downloadでモデルとbuildを照合。7.2の曖昧な番号で自動適用しない。GA版のhardening表を未取得PSIRTの個別最低修正版へ転用しない。
今回のGHSA公開窓 / malware分類 · 公表・更新を確認
悪性package：GHSA malware分類27勧告を別枠で確認
trajmetrics0.5.3、numprint1.2.0、@azure-growth/signup-ux-components1.2.2/1.2.3等を含む。下の範囲はGitHub勧告の対象表記。類似名の正規package全体が侵害されたとはしない。27勧告を新規の被害組織27件とは数えない。
確認することlockfile・SBOMと取得cacheを照合し、疑わしいartifactを実行して確認しない。導入・実行済みなら環境を隔離し再構築、到達可能だったcredentialを失効する。修正版未記載を安全版の存在やバージョン上げだけで解決すると読まない。
勧告別：対象バージョンと修正版（27件）
GHSA-rm9p-x4m7-hxmp
Malicious code in trajmetrics (PyPI)
trajmetrics(pip): 対象= 0.5.3→ 修正版修正版の記載なし
GHSA-vc33-3x34-x6jm
Malware in glyphmatrix-fixture
glyphmatrix-fixture(npm): 対象= 1.0.0→ 修正版修正版の記載なしglyphmatrix-fixture(npm): 対象= 1.0.1→ 修正版修正版の記載なし
GHSA-ph3g-jrf5-8792
Malware in csec-form-validatorr
csec-form-validatorr(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-h5wr-j55v-8m79
Malware in ccsseecc-form-validator
ccsseecc-form-validator(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-v9xw-mxj4-fm5q
Malware in ccsseecc-crypto-toolkit
ccsseecc-crypto-toolkit(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-2732-c6cp-rx5v
Malware in ccsec-crypto-toolkit
ccsec-crypto-toolkit(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-r889-j2qv-2jv6
Malware in ccsec-form-validator
ccsec-form-validator(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-v383-2358-576w
Malware in csec-crypto-toolkit
csec-crypto-toolkit(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-wh86-6qm8-xgw2
Malware in csec-form-validator
csec-form-validator(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-7p7m-8jmq-qp93
Malware in agentenact
agentenact(npm): 対象= 0.2.0→ 修正版修正版の記載なし
GHSA-84fw-gj66-p5v3
Malware in dsh-vm-tester
dsh-vm-tester(npm): 対象= 0.1.4→ 修正版修正版の記載なしdsh-vm-tester(npm): 対象= 0.1.2→ 修正版修正版の記載なしdsh-vm-tester(npm): 対象= 0.1.3→ 修正版修正版の記載なし
GHSA-g9fj-q87h-6h4c
Malicious code in numprint (PyPI)
numprint(pip): 対象= 1.2.0→ 修正版修正版の記載なし
GHSA-r9qx-xcg2-7wcc
Malware in 6161test1234
6161test1234(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-r77r-rw3m-rjh5
Malware in adyen-web-v6
adyen-web-v6(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-6crh-vwr2-4qfp
Malware in buttoncontent
buttoncontent(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-wmfr-2pvv-wmf3
Malware in @tableau__catalog-messages/database_lower
@tableau__catalog-messages/database_lower(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-wfcx-722r-fg5h
Malware in string-target-mapper-hash
string-target-mapper-hash(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-hc8w-gq4q-fr74
Malware in @flexmr/survey-conversation
@flexmr/survey-conversation(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-hpc9-fxqh-hhf8
Malware in @flexmr/utils
@flexmr/utils(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-w9mp-cvjp-jfqp
Malware in fetch-hash-cache-atomic
fetch-hash-cache-atomic(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-rh7q-f888-q36c
Malware in @flexmr/survey-client
@flexmr/survey-client(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-32g3-f74c-pcxq
Malware in macro-kernel-record-reader
macro-kernel-record-reader(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-9mgv-25w8-jwhf
Malware in paychex-pdftron
paychex-pdftron(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-fxw2-4j5q-6hwg
Malware in sc-announcer
sc-announcer(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-hh3m-f424-g8v5
Malware in ccl-global-shopping
ccl-global-shopping(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-9gcx-88qx-rxch
Malware in sc-hydrate-carousel-price
sc-hydrate-carousel-price(npm): 対象>= 0→ 修正版修正版の記載なし
GHSA-m8mp-r4jx-43fw
Malicious code in @azure-growth/signup-ux-components (npm)
@azure-growth/signup-ux-components(npm): 対象= 1.2.2→ 修正版修正版の記載なし@azure-growth/signup-ux-components(npm): 対象= 1.2.3→ 修正版修正版の記載なし
GitHub malware勧告 GHSA-rm9p-x4m7-hxmp / GitHub malware勧告 GHSA-vc33-3x34-x6jm / GitHub malware勧告 GHSA-ph3g-jrf5-8792 / GitHub malware勧告 GHSA-h5wr-j55v-8m79 / GitHub malware勧告 GHSA-v9xw-mxj4-fm5q / GitHub malware勧告 GHSA-2732-c6cp-rx5v / GitHub malware勧告 GHSA-r889-j2qv-2jv6 / GitHub malware勧告 GHSA-v383-2358-576w / GitHub malware勧告 GHSA-wh86-6qm8-xgw2 / GitHub malware勧告 GHSA-7p7m-8jmq-qp93 / GitHub malware勧告 GHSA-84fw-gj66-p5v3 / GitHub malware勧告 GHSA-g9fj-q87h-6h4c / GitHub malware勧告 GHSA-r9qx-xcg2-7wcc / GitHub malware勧告 GHSA-r77r-rw3m-rjh5 / GitHub malware勧告 GHSA-6crh-vwr2-4qfp / GitHub malware勧告 GHSA-wmfr-2pvv-wmf3 / GitHub malware勧告 GHSA-wfcx-722r-fg5h / GitHub malware勧告 GHSA-hc8w-gq4q-fr74 / GitHub malware勧告 GHSA-hpc9-fxqh-hhf8 / GitHub malware勧告 GHSA-w9mp-cvjp-jfqp / GitHub malware勧告 GHSA-rh7q-f888-q36c / GitHub malware勧告 GHSA-32g3-f74c-pcxq / GitHub malware勧告 GHSA-9mgv-25w8-jwhf / GitHub malware勧告 GHSA-fxw2-4j5q-6hwg / GitHub malware勧告 GHSA-hh3m-f424-g8v5 / GitHub malware勧告 GHSA-9gcx-88qx-rxch / GitHub malware勧告 GHSA-m8mp-r4jx-43fw
既存事案の対策と条件の補足 · 3群
既公表資料の条件、修正・配置方法、業務影響を補完。今回の時間帯に起きた新しい侵害として数え直していません。
10/25修正 / 10/26 Functions案内の継続確認 · 公表・更新を確認
Brotli：.NET修正版の提供と、利用環境への配置を分ける
.NET 8.0.33 / 9.0.22 / 10.0.14 / 11 RC3は既に提供済みのOOB修正。.NET Frameworkは対象外。Azure Functions公式10月26日案内は展開中で、すべての稼働インスタンスへの適用完了とは書かれていない。
確認することframework-dependentはruntime更新後再起動、self-containedは再ビルド・再公開、containerは再構築・再配備。Functionsは実稼働版を照合する。
10/26付bulletin / 10/27tagの継続確認 · 公表・更新を確認
Tailscale：公式4勧告の最低修正版1.104.4
TS-2026-014〜017はSSH Unix socket転送、SSHメモリDoS、Serve Unix backend、HTTP/2 capability混線。公式bulletinは最低1.104.4を指定。一方changelogの更新時差が残る。Tailworm全11項目の修正とは同定しない。
確認すること1.104.4以降を実稼働clientで確認し、SSH/Serveの使用条件を照合。暫定的にSSH転送を止める場合はTS_SSH_DISABLE_FORWARDING=1とdaemon再起動。headscaleやexperimental connectorを同じ修正範囲に含めない。
10/21事件 / 10/23分析の継続対応 · 公表・更新を確認
LiteLLM：配布経路の侵害後は鍵失効と環境再構築
10月21日事件は悪性1.107.0とcontainerの実配布を確認。23日攻撃連鎖報告は未失効master keyからpublisher token等へ至る経緯を説明する。3月の別事件の被害数を今回へ流用しない。
確認すること対象時間の導入・実行経路を確認。単純なpip更新より先に環境を隔離・再構築し、到達可能だった鍵を失効・交換する。今回の製品GHSA修正版と侵害後の安全確認は別。
参考：同日でも公開時刻は未確定 · 0群
対象時刻後に取得した現行本文です。次の情報を基準時刻以前の確定した差分には含めません。
収集範囲・重複・限界
626NVD新規
1,911NVD改訂
664GHSA公開窓
70検証した保存・参照応答
NVD新規626件は改訂1911件に全件重複。GHSA新規公開664件（unreviewed547、malware27）、改訂958件。reviewed・unreviewed・malwareを区別し、公開と改訂の重複を台帳で確認してください。KEVは2026.10.27版・1,760件で、前回保存原本に差分：CVE-2026-111497 / CVE-2026-48356。収録・原本差分は攻撃開始時刻とは別です。非掲載を悪用不存在の証明にはしません。70応答のうち21件は過去原本への参照で重複保存を避けています。
- 基準は2026-10-28 13:18:44 JST。取得は基準後の現行改訂で、基準以前の全ての版を復元するものではありません。
- NVD公開・改訂、GHSA reviewed/unreviewed/malware、KEV、国内外の公式勧告と選定事件の続報を確認。全世界の事件を網羅する統計ではありません。
- 公開・改訂は重複します。脆弱性、勧告、package、組織、被害人数を足して事件数にはしません。reviewedはGitHub上の区分で実悪用の確認ではありません。
- 今回の調査データは選定した続報・勧告の論点。過去の未解決事案が消滅したという意味ではなく、過去台帳も参照してください。
- KEV収録は当該脆弱性の悪用確認。全ての組込製品の侵害確認ではありません。フォレンジック指示欄Noを侵害調査不要という意味にはしません。
- 取得失敗・challenge応答は収集原本のメタデータに保持。取得できない情報を更新0件としません。
- 最新日本語台帳を更新。保存翻訳は元の基準時刻を明示したアーカイブで、新情報の翻訳を完了したとは扱いません。
- NVD改訂の初回取得はtimeout。500件ずつの再取得で全1,911件を取得。初回の失敗情報も保存し、取得0件と更新0件を混同しません。
data/2026-10-28-1318/incident-register.json / data/2026-10-28-1318/collection-summary.json / data/2026-10-28-1318-vendors/collection-summary.json / docs/research-collection-2026-10-28-1318.md / docs/research-2026-10-28-1318.md / data/latest.json