カテゴリ
ディープダイブ
新たに公開された脆弱性の詳細な解説：影響を受ける対象、修正方法、そして脆弱性の仕組み。
悪意あるLiteLLM 1.107.0が認証情報を窃取し、ホストにバックドアを設置
脅威アクターは漏えいしたまま失効されていないマスターキーでLiteLLMのリリースパイプラインを乗っ取り、2026年10月21日に悪意ある1.107.0をPyPIとDockerへ公開しました。wheelはPythonの起動ファイルを設置し、LiteLLMを一度もインポートしなくても認証情報を盗み、1時間ごとに動くバックドアを開きます。PyPIは1時間44分後に隔離しました。インストールした環境は再構築し、到達可能な全シークレットをローテーションする必要があります。
2026年10月25日
PHP2Shell：PHPのRCEバグで数百万件の悪用試行が発生（CVE-2026-109618）
CISAは10月26日、PHP2Shellの2つの欠陥をKnown Exploited Vulnerabilitiesカタログに追加し、連邦機関のパッチ適用期限を10月29日に設定しました。PH...
2026年10月25日
EchoのWebSocketプロキシ認証バイパス（GHSA-cxf3-9h37-7rr8）
EchoのProxyミドルウェアを通るWebSocketアップグレードが拒否されても、上流への生のトンネルが開いたままになります。同じ接続上の後続HTTPリクエストはEchoのルーターとルートミ...
2026年10月24日
Laravel Token Guardの認証バイパス（CVE-2026-114509）
LaravelはCVE-2026-114509をクリティカル、CVSS v4.0 9.2と評価しています。MySQLまたはMariaDB上の旧式のtoken APIガードでは、未認証の攻撃者が有...
2026年10月24日
ディープダイブのその他の記事
Pillow FlashPixのヒープオーバーフローによるRCE（CVE-2026-112398）
olefileをインストールしたPillow 12.3.0以前で細工されたFlashPix画像をデコードすると、攻撃者がコマンドを実行できます。CVE-2026-112398はPillow 13.0.0で修正されています。
2026年10月24日
実環境で悪用されるCollabora CODE ServerのRCE（CVE-2026-110447）
CollaboraはCVE-2026-110447をクリティカル、CVSS v4.0 9.2と評価しています。Nextcloud向けCollabora Online Built-in CODE Serverアプリ（richdocumentscode）の26.4.303未満では、組み込みCODEサーバーが停止していると、未認証の攻撃者がproxy.phpを介してWebサーバーユーザーとしてOSコマンドを実行できます。アプリ26.4.303で修正済みです。CISAは2026年10月23日にKEVカタログへ追加し、管理者は2026年9月中旬以降の攻撃を報告しています。
2026年10月24日
Sentry Next.js SDKのミドルウェアバイパス（CVE-2026-114139）
SentryはCVE-2026-114139をクリティカル、CVSS v4.0 9.1と評価しています。webpackビルドでは@sentry/nextjs SDKが設定済みtunnelRoute配下の全パスでアプリケーションミドルウェアをスキップしますが、トンネルの書き換えは完全一致のパスだけを処理します。そのため、未認証リクエストがミドルウェア認可なしにトンネルパス配下のルートへ到達できます。影響範囲は@sentry/nextjs 9.36.0～9.47.1、10.75.2未満の10.x、11.0.0-rc.1未満の11.0.0プレリリースです。9.47.2、10.75.2、11.0.0-rc.1で修正済みで、実環境での悪用は確認されていません。
2026年10月24日
コンパイラーの誤コンパイルによるWasmtimeサンドボックス脱出（CVE-2026-115889）
CVE-2026-115889は、クリティカルなWasmtimeのサンドボックス脱出です。Craneliftがインデックスを24ビットのフィールドに詰め込み、細工したモジュールがそれをオーバーフローさせます。36.0.19と43.0.0で修正済みです。
2026年10月24日
GHSA-2464-fhr4-w9xw（CVE-2026-96889）：Next.js画像最適化における認証不要のRCE
VercelはGHSA-2464-fhr4-w9xwをクリティカル、CVSS v4.0 9.5と評価しています。glibcベースのLinuxでImage Optimization APIがSVGを処理するNext.js 10.0.0～15.5.27または16.0.0～16.4.0のサーバーでは、未認証の攻撃者がコードを実行できます。原因はsharpのビルド済みバイナリに同梱されたlibrsvgの解放済みメモリ使用（CVE-2026-96889）です。Next.js 15.5.28と16.4.1は、Node.js 20.9.0以降で修正版librsvg 2.63.2を同梱するsharp 0.35.5を解決することで修復します。
2026年10月23日
GHSA-673q-mjm6-r5xr：Next.jsの「use cache」関数における未認証RCE
GitHub Advisory DatabaseはGHSA-673q-mjm6-r5xrをクリティカル、CVSS v4.0 9.5と評価しています。App RouterとCache Componentsを使い、複数の型付き配列を返すuse cache関数があるNext.js 16サーバーで、未認証の攻撃者がコードを実行できます。データベースのレビューは、Next.jsが同梱するReact Server Componentsの通信プロトコルにおける、信頼できないデータのデシリアライゼーション（CWE-502）と分類しています。Next.js 16.4.1で修正済みで、回避策はありません。
2026年10月23日
GHSA-cg2g-xh64-v4q7：シャドウルート内のDOMPurify SAFE_FOR_TEMPLATESバイパス
DOMPurify 3.4.4～3.4.16では、アタッチされたシャドウルート内で分割された${...}式がSAFE_FOR_TEMPLATESを通過します（クリティカル、CVSS v4.0 9.2）。3.4.17にアップグレードしてください。
2026年10月23日