セキュリティ週報 2026-W44：PHP と Brotli が実際に悪用され始めた

これは恩梯科技（NT IT）セキュリティ週報の第 2 号です。2026 年第 44 週（10 月 26 日以降）を対象とし、情報は 11 月 1 日時点までを読み取っています。

先に結論です。今週は新しい大きな脆弱性はほとんどありませんが、前号で扱ったものの状況が変わりました。前号の冒頭に並べた PHP のリモートコード実行 2 件、Brotli の展開処理の脆弱性、そして GitLab の 1 件は、いずれも今週、米国 CISA の「悪用が確認された脆弱性」カタログに追加されました。これは、実際の攻撃で使われていると当局が判断したという意味です。前号を読んで「もう少し待とう」と決めた方にとって、今週の知らせは、その待っていた期間に攻撃が始まっていたということになります。

今週、新しく出てきて、かつ多くの方が手を動かすべき唯一の項目は WordPress 7.1.4 です（10 月 28 日）。公式が挙げた 1 件目が、アップグレード処理そのものの弱点で、アップグレード中の時間帯にリモートコード実行につながりうるものです。また、改変された Claude Code 拡張が Cursor のマーケットプレイス経由で配布され、入れてしまうと SSH のバックドアを残そうとします。

もう 1 件、新しい脆弱性ではありませんが、単独で読む価値があります。Symfony が「5 月のアナウンスは誤りだった」と自ら訂正しました——修正は書かれていたものの保守ブランチに取り込まれておらず、5 か月間どのリリースにも入っていなかったというものです。バージョン番号が一致していても修正が入っているとは限らない、という話を第 6 節で扱います。

この週報の読み方

• 各項目には出典の層を明記します。〔公式〕は提供元・プロジェクト・政府機関自身のアナウンス、〔調査／報道〕はセキュリティ企業や報道で、公式のあとに並べます。両者の記述が異なる場合は両方を書き、どちらか一方に決めることはしません。
• 修正版のバージョン番号は必ず公式アナウンスから写し、二次的なまとめは使いません。
• これらの番号と照らし合わせるには、まず自分がどのバージョンを動かしているかを知る必要があります。確認方法と間違えやすい箇所は〈セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるか〉に書いています。

一、前号で扱った脆弱性が、今週「悪用中」と当局に位置づけられた

〔公式：米国 CISA〕米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は「悪用が確認された脆弱性」カタログ（Known Exploited Vulnerabilities、KEV）を維持しています。ここに載るということは、理論上悪用可能なだけでなく、実際の攻撃で使われていると当局が判断したという意味です。参照したのは CISA 自身が公開しているデータファイルで、バージョンは 2026.10.30、その時点の総数は 1766 件でした。

今週（10 月 26 日から 10 月 30 日）追加された項目は以下です。最初の 3 組は前号の第 1 節から第 3 節そのものです。

• 10 月 26 日｜PHP：CVE-2026-109618（CISA の記述ではメモリ破壊）と CVE-2026-109619（内部のリクエスト状態が残る問題）。修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35 で、前号の第 1 節に記載しています。
• 10 月 27 日｜Google Brotli：CVE-2026-111497。CISA 自身の記述では、戻り値を検査していない脆弱性で、認証されていない遠隔の攻撃者が細工した Brotli 圧縮データによって隣接するデコーダ状態のメモリを破壊し、機密性のあるメモリ内容を漏えいさせ、サービス停止を引き起こし、あるいは任意コードを実行しうるものです。次節で単独に扱います。
• 10 月 29 日｜GitLab コミュニティ版・エンタープライズ版：CVE-2026-97229、記述は整数オーバーフロー。これは対応バージョンを取り違えやすい項目です。第 3 節で扱います。
• 残りの 4 組は本週報の固定リストには含まれませんが、同じカタログに同じ週に追加されたので参考として挙げます。10 月 27 日の Adobe Commerce と Magento（CVE-2026-48356）、10 月 28 日の VMware ESX（CVE-2026-41709、記述はログ取得の不足）と Linux カーネル（CVE-2026-46300）、10 月 29 日の Cisco Secure Firewall ASA／FTD（CVE-2026-76418）、10 月 30 日の Ivanti Connect Secure 2 件（CVE-2026-118527、CVE-2026-111357）。

読み違えやすい点が 2 つあります。1 つ目は、カタログの「期限」欄が米国の連邦機関向けの修正期限であり、一般企業に対する法的な期限ではないことです。これは私たちの推測ではありません。各項目の必要措置欄が CISA の行政指令（BOD 26-04）を指しており、その指令自身が、適用対象は「連邦情報システム」における機関の資産であり、対象は連邦文民行政機関だと明記し、さらに「調達契約で別途求められる場合を除き、本指令は請負業者には適用されない」と書いています。したがってその日付は「当局がこの件をどれだけ急ぎと見ているか」の参考にはなりますが、読者の契約上の義務ではありません。2 つ目は、今週追加された項目の「ランサムウェアでの利用」欄がいずれも「不明」である点です——これは「なし」ではなく「データがない」という意味です。

二、Brotli（CVE-2026-111497）：PoC が公開済み、しかも Node.js だけの話ではない

〔公式：シンガポール CSA〕シンガポールのサイバーセキュリティ庁は 10 月 30 日に注意喚起を出し、その 1 文目は、攻撃者が複数の製品に影響するこの重大な Brotli 脆弱性を実際に悪用しており、影響を受けるシステム上でリモートから任意コードを実行し、あるいは機密情報を漏えいさせうるため、直ちに修正を適用すること、という内容です。公式はこの脆弱性の CVSS v3.1 スコアを 9.8 とし、PoC（概念実証）が公開されており、報告によれば実際に悪用されていると記しています。

公式は悪用の前提条件も書いています。影響を受けるアプリケーションが、攻撃者が制御できる Brotli 圧縮データを展開する必要があるという点です。この限定は重要で、自分のシステムが対象かどうかを決めます。

公式が挙げた影響範囲は、Node.js 22.x の 22.23.4 より前、24.x の 24.22.1 より前、26.x の 26.12.1 より前、および Microsoft .NET 8、9、10、11 です。ただしその一覧は公式自身が「網羅的ではない」と明記しており、PHP は載っていません。

〔公式：PHP〕今週 PHP の利用者が実際に手を動かすべきなのはここです。PHP プロジェクトは 10 月 26 日、再ビルドした Windows パッケージ PHP 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1 を公開しました。これらには Brotli 1.2.1 が含まれ、同じ CVE-2026-111497 を修正します。公式はさらに 3 点を書いており、どれか 1 つを読み落とすと判断を誤ります。

• 到達経路：PHP の Windows ビルドでは、HTTP 応答の自動展開を有効にしている場合に cURL 拡張経由で該当のデコーダに到達しうる。
• 既定では無効：公式は、この設定は cURL では既定で無効だが、アプリケーションや HTTP クライアントライブラリが有効化できる、と明記しています。つまりWindows 上のすべての PHP が対象というわけではなく、自分のプログラムや利用しているライブラリが有効化しているかどうかで決まります。
• バージョン番号は変わらない：公式は、-1 という接尾辞は依存関係を更新した Windows パッケージの再ビルドを示すものであり、これらは同じ PHP ソースリリースを用いるため、PHP ランタイムのバージョンは変わらないと明記しています。言い換えると、php -v を実行しても入れ替えたかどうかは分かりません。

この最後の点は、〈セキュリティ入門 01〉で示した「バージョン番号を照合する」方法では見落とす形です。今回確認すべきなのは PHP のバージョンではなく、Windows パッケージの再ビルド番号と、その中の Brotli のバージョンです。

スコアの食い違いは前号から続いています：シンガポール CSA は CVSS v3.1 9.8 と書き、Node.js 公式は 10 月 21 日のセキュリティリリースで同じ CVE を high としています。9.8 という数値は Node.js の公式アナウンスには見つかりませんでした。どちらの区分を取っても、修正版は同じ組み合わせです。

三、GitLab：カタログに載ったのは 10 月 12 日に修正されたほう。さらに 10 月 29 日に新しい修正リリース

〔公式：GitLab〕CISA が追加した CVE-2026-97229 は、公式の表題では CI/CD の正規表現コンパイラにおける整数オーバーフローの問題で、深刻度は critical、CVSS 10.0、修正版は 19.2.8／19.3.5／19.4.2、公開日は 10 月 12 日です。影響範囲は公式の記載で、19.2 から 19.2.8 より前、19.3 から 19.3.5 より前、19.4 から 19.4.2 より前です。

したがって照合のしかたは次のようになります。

• 10 月 21 日に 19.5.1 の組（19.5.1／19.4.3／19.3.6／19.2.9／19.1.9／19.0.10／18.11.13）へ上げた場合：この件も前号の CVSS 10.0（CVE-2026-110264）も修正済みで、追加の対応は不要です。
• 19.4.1、19.3.4、19.2.7 といったバージョンのままの場合：当局が実際に悪用されていると判断した脆弱性に向き合っている状態で、自己ホスト版は自分で上げる必要があります。
• GitLab.com と GitLab Dedicated：公式は、GitLab が管理するインフラは修正済みの状態を維持していると述べています。

公式は自己ホストの利用者向けに、悪用の試みを探すための脅威検知ルールを 6 件公開しています。

〔公式：GitLab〕今週、GitLab はもう一つの修正リリースを出しており、それは下の第七節の eMudhra と同じ流れのものです。10 月 29 日に 19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11、18.11.14 を公開しました（公式は 19.5.2 と 19.4.4 を飛ばしたとも書いています）。対象は CVE-2026-111943 で、公式が付けた表題は逐語で「GitLab CE/EE において、侵害された eMudhra 中間 CA 証明書への信頼を削除した」です。公式の説明では、削除したのは秘密鍵が侵害された 8 枚の eMudhra 中間証明書で、GitLab 自身が同梱する証明書ストアから取り除いたとしています。影響範囲は 18.11.14 より前のすべてのリリース、および 19.0 から 19.5 の各修正版より前です。

この組はリモートコード実行の修正ではありませんが、見落としやすい後続作業が 3 つあります。3 つとも公式が書いていることです。GitLab を上げても Runner は更新されないため、自己ホストの Runner は別途 19.5.1 に上げる必要があります。AI Gateway も別途上げる必要があります（公式が挙げているのは 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 以降）。そして自前の ca-certificates を含む CI/CD ジョブイメージは作り直しが必要です——証明書ストアはイメージの中にあるので、サーバーを上げても入れ替わりません。GitLab.com は公式によれば既に修正済みの版で動いており、GitLab Dedicated で 19.4.3-internal0 以降のテナントはすでに修正を含むため対応は不要だとしています。

どうやってこれを見つけたかは書き残す価値があります。一覧ページが当てにならないからです。GitLab の修正リリース一覧ページは私たちの環境では項目が何も読み取れませんでした（だから本節の前の版では「今週新しい修正リリースがあったかは確認できない」と書いていました）。公式の修正リリースのフィード（https://docs.gitlab.com/releases/patch-releases.xml）にはデータがあり、そのフィード自身の更新時刻は 10 月 29 日なので、19.5.3 の組はフィード上でも最新の組です。GitLab の修正を追うなら、あのページではなくフィードを追ってください。

四、WordPress 7.1.4：アップグレード処理そのものに弱点

〔公式〕WordPress は 10 月 28 日に 7.1.4 を公開しました。これが今週、新しく出てきて多くの方が手を動かすべき唯一の項目です。公式が挙げた修正は 13 件で、その 1 件目は、WordPress のアップグレード処理における弱点で、アップグレード中の時間帯にリモートコード実行につながりうるものです。残りの多くは保存型のクロスサイトスクリプティングで、ブロックのマークアップ、Interactivity API、Customizer の選択的リフレッシュ、カテゴリーブロック、ユーザーのログイン名、プレイリストと画像のブロック、コメントのページ送りブロックなどに分布しています。ほかに Interactivity API の保存型サービス停止 1 件と、権限の問題（当該投稿を編集する権限がない特権ユーザーがメモを読めてしまう）1 件があります。

13 件のうち 1 件は第 7 節と同じ線上にあります：公式は、今回あわせて同梱のルート証明書も更新したと書いており、理由は eMudhra の失効です。つまりあの件の影響範囲はブラウザとサーバー側の言語処理系だけでなく、CMS が同梱している信頼リストにも及びます。

• 修正版：7.1.4。公式は「礼儀として」、セキュリティ修正を、セキュリティ修正を受け取る資格のあるすべてのブランチへバックポートしたと書いており、現時点では 4.7 までです。ただし同じ段落で、バックポートは進行中であり、準備ができ次第順次公開されるとも明記しています。古いブランチの利用者は、自分の系列が出ているかを確認する必要があります。
• 自動更新：公式は、サイトが自動のバックグラウンド更新に対応している場合、更新処理は自動的に始まると書いています。この 1 文は「何も見なくてよい」とは別の話です——確認すべきなのは、自動更新が実際に完了したかどうかであって、仕組み上走るはずだという点ではありません。
• 公式の立場：積極的にサポートされるのは最新バージョンのみだと明記しています。
• このアナウンスには実際に悪用されたという記述はありません。

五、開発ツールのサプライチェーン：改変された拡張を入れるとバックドアが残る

〔公式：Cursor〕10 月 29 日、改変された Claude Code 拡張が Cursor の拡張マーケットプレイス経由で流通しました。公式の説明では、この拡張は悪意あるコードを実行し、永続的な SSH バックドアの設置を試み、あわせてホストと利用者の情報を収集し、攻撃者が管理する SSH 鍵を追加しようとします。

• 影響を受けるバージョン：Anthropic.claude-code の 2.1.312 と 2.1.313、対象は Windows と macOS。
• 時間帯：公式の記載では当日の太平洋時間で概ね 02:27 から 13:35 の間。
• 公式が求めている対応：その時間帯に該当バージョンを入れた、または更新した場合は、公式が提供する検証スクリプトを実行し、許可していない鍵がないか確認すること。悪意あるコードが実行された、またはバックドアが設置された形跡のあるホストは隔離すること。影響を確認したら、その SSH 鍵、永続化の仕組み、トンネルのプロセスを削除し、そのうえで信頼できる別のマシンから、当該ホストから到達できる資格情報とセッションをすべて入れ替えること。
• 公式は影響人数を述べていません。述べているのは、拡張の他のバージョンや公式の配布経路が影響を受けた証拠はない、という点だけです。外部で流れている人数の推定は公式ページで読み取れなかったため、本号ではその数字を書きません。

これは前号の LiteLLM の件と同じ形で、2 つあわせて、調達と運用の両方にとって具体的な意味を持ちます。入れたものが改変されていないかどうかは、配布経路の安全性に依存し、そのプロジェクトのコードの出来には依存しません。最後の「信頼できるマシンから資格情報を入れ替える」という手順はとくに飛ばされがちですが、すでにバックドアが入っている可能性のあるマシン上でパスワードを変えるのは、新しいパスワードも渡すのと同じことです。

六、Symfony：5 か月前の「修正済み」は誤りだった

〔公式：Symfony〕Symfony は 10 月 29 日、10 月 28 日のリリース（5.4.55、6.4.49、7.4.22、8.1.10）に含まれるセキュリティ項目についての説明を公開し、その一部が自己訂正になっています。公式の説明では、5 月に公開した CVE-2026-45070 は Mime ヘッダーのパラメータ名を経由したメールヘッダーインジェクションで、当時は 5.4.52、6.4.40、7.4.12、8.0.12 で修正済みと書いたが、それは誤りだった——修正はコミットされていたが、そのコミットが保守ブランチに取り込まれず、どのリリースにも含まれていなかった、というものです。

〔公式：Symfony〕脆弱性そのもの：公式の CVE ページの説明では、Content-Type や Content-Disposition のような構造化ヘッダーの直列化を担うコンポーネントが、パラメータの「値」は検証して正しくエンコードする一方、パラメータの「名前」は検証しておらず、与えられた名前をそのまま直列化後のヘッダーへ出力していました。そのため、パラメータ名を信頼できない入力から組み立てるプログラムでは、名前の中に改行バイトを入れて現在のヘッダーを途中で終わらせ、追加のヘッダーを注入できます。同ページは影響範囲として、5.4.55 より前、6 系の 6.4.49 より前、7 系の 7.4.22 より前、8 系の 8.1.10 より前を挙げており、現在そのページ自身に訂正が添えられ、以前修正版として挙げていた 5.4.52、6.4.40、7.4.12、8.0.12 には修正が含まれていないと明記しています。

今回は実際に修正されています：5.4.55、6.4.49、7.4.22、8.1.10。公式はあわせて、Symfony 8.0 は保守対象外になったため、8.0 の利用者は 8.1.10 へ上げる必要があるとしています。上げるべきかどうかの判断基準も具体的です。アプリケーションが、利用者の入力に由来するパラメータ名で Mime ヘッダーを組み立てているなら、上げる。

同じリリースの変更履歴には CVE-2026-109413（Yaml）、CVE-2026-108082（HttpFoundation）、CVE-2026-109449（ExpressionLanguage）も並んでいますが、公式はこれらについて今回のリリースでは何も変わっていないと明言しています。修正はそれぞれのブランチでもっと早く公開済みで、6.4 系は 6.4.45／6.4.46／6.4.48、7.4 系は 7.4.18／7.4.19／7.4.21、8.1 系は 8.1.6／8.1.7／8.1.9、5.4 系は 3 件とも 10 月 15 日公開の 5.4.54 で修正されています。変更履歴に CVE が並んでいることは、いま初めて適用できる修正が出たことを意味しません。この段落はまさにその誤読を避けるために置かれています。

この件は、深刻度よりも運用上の意味のほうが大きいです。「公式がそのバージョンで修正したと言っている」ことと「そのバージョンに実際に修正が入っている」ことは別の話です。〈セキュリティ入門 01〉で示した方法はバージョン番号の照合ですが、今回はその照合が誤った答えを返します。この隙間を埋められるのは、修正後に検証することだけで、アナウンスの記述を読むことではありません。

七、eMudhra の弱い鍵の続報：偽造証明書は公開から 1 時間以内に現れた

前号の第 3 節で、eMudhra の中間証明書 8 枚の秘密鍵漏洩を扱いました。今週、追跡レポートが出ています。

〔公式：Cloudflare、同社自身のネットワークについて〕Cloudflare の 10 月 30 日の記事は、まず鍵がどれほど弱かったかを明示しています。本来 115 桁の数であるべきところ、8 つの値は 4、56、66、115、155、156、230、237 でした。記事は、今回の件が過去の認証局侵害とは根本的に異なるとし、理由として影響を受けた中間証明書の秘密鍵が、公開されている証明書そのものから誰でもほぼ即座に復元できた点を挙げています。また、eMudhra が公開認証局事業からの撤退を表明し、鍵生成スクリプトの誤りだと述べている一方、そのスクリプトはまだ公開されていないとも書いています。

測定された内容（範囲は Cloudflare 自身の接続に限られます。記録の展開が完了した 10 月 21 日からの 1 週間）は、弱い鍵を用いたハンドシェイクの試行が約 22,000 件で、そのうち 3 分の 2 はテストサイトの取得でした。約 160 件は様子が異なり、証明書のサブジェクト代替名が、ハンドシェイクで要求されたホスト名とは無関係な他組織のドメインを名乗っていました。その一部は消費者向け IoT 機器に関連するドメインで、これらの偽造証明書は鍵の漏洩後に作られ、一部は有効期間が 2 年を超えており、公開認証局が発行できる期間より長いものでした。

あわせて読むべき 2 文：Cloudflare は、弱い鍵が同社の接続の傍受に使われた証拠は現時点でないとしつつ、同じ段落で、これは入念に狙われた傍受を排除するものではないとも書いています。そして最も覚えておく価値があるのは数字ではなく時刻です。確認された偽造証明書の 1 枚は 10 月 20 日 18:19（UTC）付で、Mozilla のバグ報告が公開されてから 1 時間も経っていません。

未対応の利用者がどれだけ残っているかについては、Cloudflare はチャレンジページから探索用の接続を送って推定しており、1 週間で約 5,000 万回の探索です。公式が先に偏りの注意書きを置いており、その注意書きは数字と一緒に読む必要があります：これらのページへの通信は設計上大きく偏っており、確認されていないボットが多数含まれ、しかも JavaScript を実行するクライアントだけが探索を送ります。その前提のうえでの観察は、最新に保たれた現代的なブラウザはおおむね対応済みだが、ボットと古いブラウザはそうではなく、Android WebView のような組み込みブラウザは遅れており、30〜40% がまだそれらの証明書を受け入れているというものです。

自社サイトがアプリ内のウェブ表示で使われている場合、あるいはクライアント機器が IoT 機器である場合、ブラウザの段落よりこの段落のほうが近い話になります。

八、Chrome 156（10 月 29 日）

〔公式〕Chrome の安定版と延長安定版が、Windows と Mac で 156.0.8078.79／.80、Linux で 156.0.8078.79 に更新されました。公式は、今後数日から数週間かけて順次配信されるとしています。今回は 21 件のセキュリティ修正を含み、critical と評価されたのは CVE-2026-76024（MediaStream のメモリ破壊）1 件のみです。残りの多くは high で、FileSystem、Quota、Skia、V8、Blink などに集中し、ほかに medium が 1 件あります。このリリースノートには、いずれかの脆弱性が実際に悪用されたという記述はありません。

九、固定リスト外だが、今週知っておく価値があるもの

〔公式〕LiteLLM の事後説明（10 月 30 日）：前号の第 8 節で、LiteLLM のリリース経路が 10 月 21 日に侵害された件を扱いました。今週、公式が振り返りを公開しており、主題は「10 月 21 日のあとに何を変えたか」で、3 月以降に作った管理策がなぜそのリリースを止められなかったのか、そして identity・資格情報・検知の面での変更が含まれています。この AI ゲートウェイに依存しているシステムがあるなら、前回の事故報告よりこちらのほうが重要です——同じ経路がまた壊れるのかという話だからです。

同じプロジェクトは 10 月 27 日に、重大な脆弱性の修正を公開前に特定の利用者へ先に提供するためのプライベートレジストリも発表しました。これは調達の観点で考えておくべき設計です：修正のタイミングそのものが段階的なサービスになるという意味になります。その条件や価格は確認していないため、ここでは存在することだけを記録します。

〔公式〕GitHub（10 月 28 日）：GitHub の変更履歴に今週のセキュリティ事故の告知はありませんでしたが、運用に関わる項目が 2 つあります。Dependabot の警告を「到達可能性の解析」で優先度付けできるようになったこと（つまり、脆弱なコードが自分のプロジェクトから到達できるのかを先に見る）と、秘密情報の漏洩に対するプッシュ保護が、あらかじめ定義されたパターン以外にも広がったことです。どちらも修正ではなく、「どれを先に直すか」という問いに答えやすくする道具です。

十、今週確認して、新しい告知がなかったもの

• Node.js：直近のセキュリティリリースは 10 月 21 日（前週）のままで、今週は新しいものはありません。
• Laravel：直近 2 件のセキュリティアナウンスは 10 月 19 日（前週）のままで、今週は新しいアナウンスはありません。ただし 10 月 26 日の出来事が今週に入ります：10.x へのバックポートがマージされました（PR #62177、表題は「文字列でない token を拒否する」）。公式はその PR の説明に、これは GHSA-f9x3-7vq9-cph6（CVE-2026-114509）の修正のバックポートであり、12.x の 8dbb08b に対応すると明記しています。当該アナウンスの影響範囲は「v12.68.0 より前」と「13.29.0 より前」で、前者には下限がありません——したがって 10.x と 11.x はその範囲から除外されていませんが、アナウンスはそれらの修正版を挙げていません。私たちはコードを読みました：11.x の v11.56.1（8 月 25 日）に含まれる修正 commit は 1 つで、TokenGuard.php の user() と validate() に文字列かどうかの検査を加え、テストを 2 件追加しています。公式が名指しした 12.x の修正と同じ形です。ただし 11.x が修正済みだと述べた公式の文章はありません——これは同じ変更から私たちが推定したものであり、公式の見解ではありません。10.x や 11.x を使っている場合は、アナウンスの日付ではなくこのバージョンと照らし合わせる必要があります。
• Go：最新は 10 月 19 日の go1.27.3 と go1.26.10 のままで、今週は新しい公開はありません。
• Next.js：今週セキュリティリリースはありませんが、10 月 27 日に公式が予告を出し、11 月の定例セキュリティリリースは 2026 年 11 月 3 日に予定されています。Next.js を使っているなら、その日のために時間を確保してください。
• Electron：10 月 30 日から 31 日にかけて安定版が 3 つ（45.2.1、44.10.1、43.8.6）出ていますが、リリースページの記載は Chromium への追随（45.2.1 は Chromium 156.0.8078.75）と上流修正のバックポートで、セキュリティ修正や CVE 番号への言及はありません。したがって Chrome の 21 件がこちらでどれに対応するかは、リリースページからは読み取れません。
• Composer の ca-bundle：10 月 29 日に 1.6.1 が出ていますが、内容は PHP 8.6 の非推奨警告を避けるために関数呼び出しを 1 つ置き換えただけです。これはセキュリティ更新ではありません——eMudhra 関連は前週の 1.6.0 と 1.4.16 であり、バージョン番号が続いているからといって同じ種類とは限りません。
• Oracle：四半期ごとの Critical Patch Update の直近は 10 月 20 日で、今週は新しい四半期更新はありません。ただし既存の Security Alert 2 件が今週それぞれ改訂され、改訂で加わったのは新たに影響を受ける製品でした——つまり「新しい告知がない」は「自分には関係ない」ではありません。2 件とも〔公式〕です。
  • PHP のあの 2 件（CVE-2026-109618、CVE-2026-109619）について、Oracle 自身もアラートを出しています。公式は逐語で PHP2Shell と呼び、PHP における認証不要のリモートコード実行だと書いています。初版は 10 月 25 日、10 月 26 日の Rev 2 で Oracle Secure Backup が追加されました。アナウンス自身が「製品ごとの修正が出るにつれて更新を続ける」と書いています。
  • eMudhra の件は Java 側にもアラートがあります（CVE-2026-114820）。公式の説明は逐語で「eMudhra に関連する、影響を受けるルート CA 証明書の一群を削除する Java の更新を提供する」です。初版は 10 月 24 日、10 月 30 日の Rev 2 で Oracle Autonomous Health Framework、Oracle Database Server、Oracle Global Lifecycle Management OPatch、Oracle Hospitality Cruise Shipboard Property Management が追加されました。Oracle は RDBMS（Java）の行に CVSS 3.1 で 9.1 を付け、認証なしでネットワークから悪用可能と示しています。こちらも同様に、Java を同梱または内蔵する他の Oracle 製品が、修正が出るにつれて追加されていくと書いています。
  したがって Oracle 製品を使っているなら、今週見るべきは 10 月の四半期更新ではなく、この 2 件の改訂版です——自分の製品が今週になって影響リストに加わっている可能性があります。

十一、確認したが裏付けが取れなかったもの、確認していないもの

• 10 月 31 日と 11 月 1 日の CISA カタログ：読み取ったデータファイルはバージョン 2026.10.30 なので、この 2 日間に追加があっても本号には入りません。これは対象期間の境界であり、「その 2 日間に何もなかった」という意味ではありません。
• Brotli の脆弱性が実際にどの製品に影響するか：公式の一覧が自ら網羅的ではないと明記しており、私たちがそれぞれの公式アナウンスに当たって確認したのは Node.js、Microsoft .NET、PHP の Windows パッケージの 3 か所だけです。広く言及されている他の実行環境やプロキシは、本号ではそれぞれの公式に当たっていないので書きません。
• WordPress の 13 件それぞれの影響バージョン：公式アナウンスは項目ごとの影響バージョンを挙げておらず、4.7 までバックポートしたとだけ書いています。したがって「自分のこのバージョンは該当するのか」はそのアナウンスからは答えられません。
• Oracle の 10 月の四半期更新ページ自体に改訂があるか：本号では上記 2 件の独立したアラートのページだけを開き、10 月 20 日の四半期更新ページは開いていないため、今週それが変わったかどうかも、Oracle の月次更新の次の日付も、私たちの側では裏付けが取れず、どちらも書きません。
• 第三者の脆弱性データベースが Symfony の訂正に追随しているか：本号では Symfony 自身の 2 ページだけを読み、他のデータベースが挙げているバージョンは確認していないので書きません。食い違う場合はプロジェクト公式のほうを正とします。
• 第 2 層（調査機関と報道）：本号の時間は公式アナウンスと政府の注意喚起に使い、固定リストにある 6 社の調査・報道の出典は今週 1 社も読んでいないため、本号には第 2 層の引用がありません。これは本号の不足であり、「彼らが何も出していない」という意味ではありません。
• Brotli の実際の悪用の詳細：シンガポール CSA の表現は「報告によれば」悪用されているというもので、自ら観測したとは書いていません。公開して検証できる悪用の証拠を示している公式の出典は見つからなかったので、この話はここで止めます。

次号

週報は週 1 回、出典リストは固定で、毎号「確認したが何もなかったもの」と「裏付けが取れなかったもの」を一緒に挙げます——読者には私たちが何を漏らしたかが見えないので、私たち自身が言う必要があります。次号は 11 月 2 日からの 1 週間を対象とし、すでに予定が 1 つ入っています。Next.js の 11 月のセキュリティリリースが 11 月 3 日です。

恩梯科技（NT IT）は受託開発を出発点とするシステムソフトウェア会社で、現在は AI システムの長期的な運用保守を手がけています。手元のシステムのどれが今週のセキュリティ更新に追随すべきか分からない場合は、システム健康診断の予約から始められます。

本号で用いた公式アナウンス

• CISA の悪用が確認された脆弱性カタログ（データファイル）：https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• シンガポール CSA 注意喚起 AL-2026-154：https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-154/
• PHP のアナウンス（10 月 26 日、Windows ビルド）：https://www.php.net/archive/2026.php
• Symfony の訂正の説明：https://symfony.com/blog/about-the-security-entries-in-symfony-5-4-55-6-4-49-7-4-22-and-8-1-10
• GitLab の 10 月 12 日の修正リリース：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/
• GitLab の 10 月 29 日の修正リリース（CVE-2026-111943）：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-3-released/
• GitLab の修正リリースのフィード：https://docs.gitlab.com/releases/patch-releases.xml
• Oracle のアラート CVE-2026-109618／CVE-2026-109619（PHP2Shell）：https://www.oracle.com/security-alerts/alert-CVE-2026-109618.html
• Oracle のアラート CVE-2026-114820（eMudhra のルート証明書と Java）：https://www.oracle.com/security-alerts/alert-CVE-2026-114820.html
• Cloudflare の eMudhra 追跡レポート：https://blog.cloudflare.com/emudhra-patching/
• Chrome 156 のリリースノート：https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_02107719452.html
• WordPress 7.1.4 の公開告知：https://wordpress.org/news/2026/10/wordpress-7-1-4/
• Cursor の拡張に関するセキュリティ通知：https://cursor.com/en-US/blog/claude-code-extension-security-notice
• Symfony の CVE-2026-45070 ページ：https://symfony.com/cve-2026-45070
• CISA 行政指令 BOD 26-04：https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
• Laravel 的 GHSA-f9x3-7vq9-cph6：https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
• Laravel 10.x 的回補 PR #62177：https://github.com/laravel/framework/pull/62177
• Node.js の 10 月 21 日のセキュリティリリース：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases