--- layout: post title: "2026年10月の主要セキュリティ情報：GitLab・PHP・Node.jsと証明書の信頼問題" description: "GitLab、PHP、Node.js、Ruby、Go、Oracleの最近のセキュリティ情報に加え、Fortinetの更新、eMudhraの証明書問題、Zeaburのインシデントと対策を整理します。" author: Mark_Mew categories: [Security] tags: [CVE, GitLab, PHP, Node.js, Fortinet, Linux, TLS, PKI, Zeabur] keywords: [2026年10月 脆弱性, GitLab RCE, PHP RCE, Node.js Brotli, eMudhra, Fortinet, Zeabur] lang: ja date: 2026-10-23 --- **情報の更新日：2026年10月26日（台湾時間）。**最近のセキュリティ情報には、製品の脆弱性、修正版の公開、証明書の信頼問題、脆弱性の開示手順をめぐる情報、クラウドサービスへの不正アクセスが混在しています。性質も対策も異なるため、CVEの件数だけでは優先順位を決められません。本記事では、主要なCVEと関連インシデントを一次情報に基づいて整理します。 ## 事象の時系列 日付は各資料に記載された発生日または公開日です。Zeaburのインシデント時刻はUTCです。初回公開日、修正版公開日、報道日は区別してください。 | 日付 | 組織・製品 | 事象 | 識別子・情報 | 主な対応 | 出典 | |---|---|---|---|---|---| | 8/27 | Zeabur | 8月の不正アクセス | CVEではない | 保存したシークレットを確認・交換 | [8月の報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident) | | 10/12 | GitLab | 別のパッチを公開 | CVE-2026-97229 | 条件次第で認証不要のRCE | [GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) | | 10/13 | SAP | 10月のSecurity Patch Day | CVE-2026-89111ほか | Criticalの脆弱性4件 | [SAP](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html) | | 10/14 | Cisco Secure Email Gateway | 脆弱性情報を公開 | CVE-2026-76519 | Ciscoが悪用を確認 | [Cisco](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp) | | 10/14 | NGINX | セキュリティ更新を公開 | CVE 5件 | 有効な機能と設定を確認 | [NGINX](https://nginx.org/news.html) | | 10/14～15 | Zeabur | 10月の不正アクセス | CVEではない | 認証情報の交換とログ調査 | [10月の暫定報告](https://dash-new.zeabur.com/blogs/october-2026-security-incident) | | 10/17 | eMudhra / emSign | 中間CAの秘密鍵に関する報告 | 証明書の信頼問題 | トラストストアを確認 | [Mozilla](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) | | 10/19 | Zeabur | 10月の暫定報告を公開 | インシデント | 認証情報の交換とログ調査 | [Zeabur](https://dash-new.zeabur.com/blogs/october-2026-security-incident) | | 10/20～21 | Python関連ツール | 証明書の信頼設定を更新 | パッケージの告知 | 古いCAバンドルを更新 | [Pythonの告知](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) | | 10/21 | GitLab | 緊急パッチ公開 | CVE-2026-110264ほか | 条件次第で認証不要のRCE | [GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) | | 10/21 | PHP | セキュリティ修正版を公開 | CVE-2026-109618、CVE-2026-109619 | 認証不要のRCE | [PHP](https://www.php.net/archive/2026.php#2026-10-21-5) | | 10/21 | Node.js | セキュリティ修正版を公開 | CVE-2026-111497ほか | Brotli、TLS、DNSの問題 | [Node.js](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | | 10/21 | Go | 標準ライブラリの告知 | CVE-2026-111943 | 一部環境での証明書検証 | [Go](https://pkg.go.dev/vuln/GO-2026-6809) | | 10/21 | Oracle Java | Security Alert公開 | CVE-2026-91403 | JSSEの脆弱性 | [Oracle](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) | | 10/21～22 | Fortinet | 複数製品の更新を予告 | 個別のPSIRT情報を要確認 | 機器の更新計画 | [Fortinet](https://www.fortinet.com/uk/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products) | | 10/21 | ZDI / Linux | Upcomingリストに項目を掲載 | ZDI-CAN、CVEではない | 機能の利用状況と修正状況を確認 | [ZDI](https://www.zerodayinitiative.com/advisories/upcoming/) | | 10/23 | Ruby | Onigmoの修正版を公開 | GitLabのCVE 4件と関連 | 信頼できない正規表現のコンパイルを確認 | [Ruby](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/) | | 10/23 | PHP | 特殊なsession設定についての情報 | CVE-2026-115560 | 暫定対策、詳細情報は後日 | [PHP](https://www.php.net/archive/2026.php) | ## 優先的に確認する11件のCVE 点数は引用した公式情報で確認できる場合だけ記載します。**CVSS v3.1とv4.0の点数を同一基準で比較しないでください。**「公式情報で悪用を確認できず」は「悪用がなかった」の証明ではありません。以下の11件は重点対象であり、その週の全件数ではありません。SAPのCritical 4件は後述し、詳細情報が未公開のPHPの1件とNGINXがmediumと評価する5件はこの表に含めません。 | CVE | 製品・問題 | 公表された深刻度 | 悪用状況 | 対応の優先度 | |---|---|---|---|---| | [CVE-2026-110264](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) | GitLabの正規表現コンパイル時の整数オーバーフロー。条件次第で認証不要のRCE | CVSS v3.1 10.0 | 公式の確認なし | 利用中の系列の修正版へ更新・最優先 | | [CVE-2026-97229](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) | GitLab CI/CDの正規表現コンパイル時の整数オーバーフロー。条件次第で認証不要のRCE | CVSS v3.1 10.0 | 公式の確認なし | 10/12の公開情報に従って更新・最優先 | | [CVE-2026-109618](https://www.php.net/archive/2026.php#2026-10-21-5) | PHPのメモリ不足処理に伴う状態破損。RCEの可能性 | CVSS v4.0 9.2 | 公式の確認なし | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35・最優先 | | [CVE-2026-109619](https://www.php.net/archive/2026.php#2026-10-21-5) | PHPのリクエスト間に残る状態。RCEの可能性 | CVSS v4.0 9.2 | 公式の確認なし | 同上・最優先 | | [CVE-2026-111497](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | Node.jsのBrotliデコーダーにおける範囲外書き込み。RCEの可能性 | High。引用先に数値なし | 公式の確認なし | 10/21公開の該当系列の修正版・高 | | [CVE-2026-105482](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | Node.jsのDNS名がNUL文字で切り詰められる問題 | High。引用先に数値なし | 公式の確認なし | 同上・高 | | [CVE-2026-105483](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | 全角数字で記述したIPアドレスに関するTLSホスト名検証の回避 | High。引用先に数値なし | 公式の確認なし | 同上・高 | | [CVE-2026-106069](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | 非標準形式のIPアドレスに関するTLSホスト名検証の回避 | High。引用先に数値なし | 公式の確認なし | 同上・高 | | [CVE-2026-111943](https://pkg.go.dev/vuln/GO-2026-6809) | Go `crypto/x509`における信頼すべきでない中間証明書の検証 | 数値は未確認 | 公式の確認なし | Go 1.26.10 / 1.27.3・高 | | [CVE-2026-91403](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) | Oracle Java SE / GraalVMのJSSE | CVSS v3.1 9.1 | 公式の確認なし | Oracleのパッチ情報に従う・高 | | [CVE-2026-76519](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp) | Cisco Secure Email GatewayのAMP File Reputationから任意のファイルを書き込み、root権限でコマンド実行の可能性 | CVSS v3.1 9.8 | **Ciscoが悪用を確認** | Content Scanner ToolsまたはAsyncOSを更新し侵害を調査・最優先 | ### GitLab：稼働バージョンを確認してから調査する GitLabによると、CVE-2026-110264は細工された正規表現のコンパイル時に整数オーバーフローを起こし、一定の条件下で未認証の利用者がサーバー上でコードを実行できる問題です。[10/21の公式リリース](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/)で影響範囲を確認してください。修正版には18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1があります。セルフマネージド環境ではバックアップ後、導入形態に合う手順で更新し、GitLabが示した検知情報も確認します。 **CVE-2026-97229も確認済み**で、別の[10/12のGitLab公開情報](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/)に記載されています。19.2は19.2.8未満、19.3は19.3.5未満、19.4は19.4.2未満が対象で、CVSS v3.1は10.0です。2件の公開日と修正版の境界を混同しないでください。 ### Ruby：Onigmoの根本的な修正 [Rubyの10/23の告知](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/)によると、4.0.9、3.4.12、3.3.13には正規表現エンジンOnigmoの修正が含まれます。GitLabのCVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264は、その基礎となる不具合に依存します。**これらはGitLabが割り当てたCVEで、Rubyの新しいCVEが4件増えたわけではありません。**Ruby 4.0系列では一部の修正が4.0.0または4.0.8に含まれ、4.0.9で全件がそろいます。 対象となるのは、攻撃者が制御できる文字列を`Regexp.new`や`Regexp.compile`などでコンパイルするアプリケーションです。開発者が固定した正規表現しか使わない場合は、この条件に該当しません。Rubyは`Regexp.timeout`や単純なパターン長制限を信頼できる対策とはしていません。該当するRuby環境を更新して再デプロイし、GitLabはGitLab自身の修正版も適用します。 ### PHP：実行中のプロセスとイメージを更新する [PHP公式情報](https://www.php.net/archive/2026.php#2026-10-21-5)では、CVE-2026-109618とCVE-2026-109619は認証不要のリモートコード実行につながる可能性があります。前者はメモリ不足時に一部しか初期化されていないリクエストデータ、後者は解放後にも残ったリクエスト状態に関係します。修正版は8.5.12、8.4.27、8.3.36、8.2.35です。PHP-FPM、Apacheモジュール、コンテナ、ディストリビューションによるバックポートを確認し、イメージの再作成とワーカー再起動後に実際の稼働バージョンを検証します。日本国内向けには[JPCERT/CCの注意喚起](https://www.jpcert.or.jp/at/2026/at260033.html)も参照できます。IPAの[事前準備に関する案内](https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html)は公開前の告知であり、修正版は公開後の情報で確認してください。 PHPの[10/23の情報](https://www.php.net/archive/2026.php)ではCVE-2026-115560も予告されました。`session.serialize_handler`を`php_binary`または`php_serialize`に設定したアプリケーションが、`session_start()`の前に実行時に`php`へ変更し、session upload progressも有効な場合に限られます。PHPは該当環境で暫定的に`session.upload_progress.enabled=0`を推奨し、詳細なアドバイザリは次の定期リリースで公開する予定です。**10/21のCritical 2件と同一視したり、同じ修正版で対応済みと断定したりしないでください。** ### Node.jsとJava：原因を分けて対応する [Node.jsの10/21の公開情報](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)には、Brotli、DNS、TLSの個別の脆弱性と、eMudhraに関係するCA証明書の更新が含まれます。Brotliのメモリ破損、TLSホスト名検証、CAの信頼設定を別々の作業として管理します。使用中の22.x、24.x、26.x系列を更新し、Node.jsを含むコンテナを再作成し、信頼できない圧縮データをアプリケーションが解凍するか確認します。 Oracleの[CVE-2026-91403 Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html)は、Java SEとGraalVMのJSSEに関するもので、CVSS v3.1は9.1です。影響バージョンとパッチの案内はOracleで確認できます。**引用したOracleの資料は、eMudhraとの因果関係を示していません。**JVMの修正とCA信頼設定の見直しは別に進めます。 ## Cisco、SAP、NGINX：導入条件を確認する ### Cisco Secure Email Gateway：悪用が確認済み [Ciscoの10/14のアドバイザリ](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)によると、CVE-2026-76519（CVSS v3.1 9.8）はAMP File Reputationが有効でContent Scanner Toolsが25.3.0.5525未満の場合に影響します。細工されたメール添付ファイルにより未認証の攻撃者が任意のファイルを書き込み、root権限でコマンドを実行できる可能性があります。**Ciscoは実際の悪用を確認しています。**Content Scanner Tools 25.3.0.5525以降、または該当するAsyncOS修正版へ優先的に更新し、侵害の痕跡を調査してください。侵害が疑われる場合は先に証拠を保全し、Ciscoの物理・仮想アプライアンス別の復旧手順に従います。通常の更新だけで侵害が解消されたとは判断できません。 ### SAP：10/13の独立したパッチ公開日 [SAPの10月Security Patch Day](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html)には、Criticalの4件が含まれます。CVE-2026-89111はCloud SDK for Python 0.45.2未満のOAuth2 SSRF（SAPの点数10.0）、CVE-2026-89110はNetWeaver Visual Composerのアクセス制御（9.9）、CVE-2026-89107はS/4HANAのコードインジェクション（9.9）、CVE-2026-89108はManufacturing Integration and Intelligenceの認可チェック不足（9.1）です。公開日は**10/13**で、10/21のGitLabやPHPの発表と同日ではありません。実際の製品とSAP Security Noteで適用するパッチを確認し、CVSSの版を確認せず他の点数と直接比較しないでください。 ### NGINX：公式評価はいずれもmedium [NGINXの10/14のリリース情報](https://nginx.org/news.html)と[セキュリティ一覧](https://nginx.org/en/security_advisories.html)には、CVE-2026-15176、CVE-2026-93479、CVE-2026-95101、CVE-2026-97629、CVE-2026-97205が記載されています。`alias`と`rewrite`、スクリプト評価、HTTP/3、TLSセッションチケット、非同期ファイルI/Oにそれぞれ関係します。NGINXは5件とも**medium**と評価し、stable 1.30.6とmainline 1.31.7を修正版としています。実行中の版と有効なモジュールを確認し、SNS上の「すべて9.2」を公式評価として扱わないでください。 ## Fortinet：複数製品の更新と個別CVEを混同しない [Fortinetの10/21の公式記事](https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products)には、FortiOS、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticatorの**影響を受ける系列と修正版**が記載されています。例えばFortiOSの修正版は系列ごとに7.2.14、7.4.13、7.6.8、8.0.2以降、FortiMailは7.4.9、7.6.7、8.0.2以降です。実際の更新経路は機器とUpgrade Path Toolで確認してください。Fortinetは個別のPSIRTアドバイザリを11/10に公開予定としており、**バージョン表だけではCVE、CVSS、悪用状況を特定できません。**候補の`FG-IR-26-175`とFortiMailのCVE-2026-104286はPSIRTでの対応確認が必要です。 機器の設定とバージョンを記録し、[Fortinet PSIRT](https://fortiguard.fortinet.com/psirt)と[Upgrade Path Tool](https://docs.fortinet.com/upgrade-tool)で更新経路を決めます。FortiGate 90Gはハードウェアの型番で、影響の有無はFortiOSの版と有効化した機能によります。管理画面へのインターネットからの直接接続を制限してください。HA構成では双方の版、互換性、設定バックアップ、切り戻し手順を確認してから作業します。 ## ZDIとLinuxカーネル：開示状況と修正状況を別々に確認する [ZDI Upcoming](https://www.zerodayinitiative.com/advisories/upcoming/)には10/21付のLinux項目があり、ZDI-CAN-33549とZDI-CAN-34076などを確認できます。**ZDI-CANは追跡番号であり、CVEではありません。**この一覧だけで完全な攻撃手順の公開や侵害を断定できません。Linuxカーネルの公開メーリングリストへの早期送信という主張は、元のMessage-ID、宛先、非公開の報告先、メンテナーの返信を照合する必要があります。今回はその全体を確認できていません。 Linuxのmainline、stable、ディストリビューション版では修正の取り込み時期が異なります。ディストリビューションが新しいmainline版に移行せず修正をバックポートすることもあります。`uname -r`、パッケージの版、関連機能の利用状況を確認し、配布元の案内を照合してください。`ksmbd`はカーネル内のSMBサーバーであり、ユーザー空間で動くSambaとは異なります。Sambaのインストールだけで`ksmbd`の問題の影響を判断できません。 ## eMudhra / emSign：利用しているトラストストアをすべて確認する [Mozillaの記録](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)には、10/17にeMudhraの中間CA証明書8枚の秘密鍵について制御を示す証拠とともに報告があったことが記載されています。[Python関連の告知](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)では、楕円曲線の秘密鍵値が異常に弱いと説明されています。これは鍵と信頼の問題であり、**CAのサーバーが侵入されたことや、偽造証明書が実際に悪用されたことの証明ではありません。** TLSクライアントはサーバー証明書から中間CA、信頼済みルートCAへと証明書チェーンを検証します。アプリケーションによってOSのストア、同梱CAバンドル、独自のトラストストアを使用します。ブラウザーだけを更新してもサーバー側アプリケーションの対策は完了しません。仕組みはサイト内の[証明書チェーンの解説]({% link _posts/jp/2026-10-17-root-intermediate-and-self-signed-certificates.md %})も参照してください。 [Pythonの案内](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)では、certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4、pixi 0.82.1が推奨されています。pipは同梱のcertifiを使用するため、OSのトラストストアだけの変更では不十分な場合があります。仮想環境、コンテナ、CIランナー、独自CAバンドルも確認します。 [Goの告知](https://pkg.go.dev/vuln/GO-2026-6809)によると、一部環境ではOS側の信頼設定の更新だけでは対象の中間証明書を排除できないため、`crypto/x509`に拒否リストが追加されました。修正版は1.26.10と1.27.3です。古いGoツールチェーンでビルドした実行ファイルは再ビルドと再配布の要否を確認します。Node.jsのCA更新はBrotliのCVEとは別の問題です。 ## Zeabur：8月と10月の調査を分けて読む Zeaburの[8月の報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident)と[10月の暫定報告](https://dash-new.zeabur.com/blogs/october-2026-security-incident)を区別してください。10月の報告では、攻撃者が10/14～15に漏えいした内部認証情報を使い、共有クラスター、一部の専用サーバー、プラットフォームのデータベースにアクセスしたと説明されています。**865件のデータベースサービスでコマンドが実行**されましたが、すべてのコマンドが成功したわけではありません。また、**101台のGCP Dedicated Server**でrootログインが発生しました。ログの不足により、クエリの返却内容とその後の利用には未確定部分があります。 Zeaburは、8月以降も交換されなかった長寿命の管理認証情報と平文保存が10月の影響を広げたと説明しています。一方、8月に漏えいしたGitHub Appの秘密鍵が10月の初期認証情報の取得につながったという経路は、同社自身が**未確認の仮説**としています。サイト内の[8月の関連記事]({% link _posts/jp/2026-08-30-zeabur-security-incident-api-key-leak.md %})は背景資料として、最新の対応は公式報告で確認してください。 影響を受けるチームは、古いAPIキー、データベースのパスワード、OAuth・クラウドの認証情報、署名鍵を失効させ、新しい値を発行して再デプロイします。GitHub、クラウド、データベース、請求のログも確認してください。**Zeaburの環境変数を書き換えるだけでは、データベース内のパスワードは変わりません。**ログ不足でアクセスを否定できない場合は漏えいの可能性として扱い、確認済みの持ち出しと断定しないようにします。 ## 企業での対応優先順位 | 担当 | 最初に行うこと | |---|---| | SOC | ベンダーの検知情報と公開範囲を基に調査し、時刻とログを保全する。PoC、スキャン、確認済みの悪用を区別する。 | | システム管理者 | GitLab、PHP、Ruby、JVM、Node.js、Goの稼働版を調べ、該当系列の修正を適用する。 | | ネットワーク担当 | Fortinetの管理画面へのアクセスを制限し、PSIRTに基づいてHAの互換性、バックアップ、更新経路を確認する。 | | メール管理者 | Cisco SEGのAMP File ReputationとContent Scanner Toolsを確認し、悪用が確認されているためログを保全して侵害を調べる。 | | DevOps / SRE | コンテナとCIランナーを再作成し、CAバンドルとシークレットを更新し、クラウドと請求の記録を調べる。 | | 開発者 | 信頼できないBrotli・TLS入力の処理を確認し、更新後の互換性を検証する。 | | セキュリティ責任者 | 到達可能性、権限、事業への影響、悪用の根拠から順序を決める。 | 次の読み取り専用コマンドは棚卸しの出発点です。表示されるバージョンだけでは、ディストリビューションによる修正のバックポートまでは判断できません。 ```bash uname -r php -v node --version ruby --version python3 --version go version java -version ``` ### 対応チェックリスト - [ ] 製品、系列、導入方法、公開範囲、担当者を記録する。 - [ ] 一次情報でCVE、CVSSの版、影響範囲、修正版を確認する。 - [ ] バックアップと切り戻しを確認してからGitLab、PHP、Node.js、該当JVMを更新する。 - [ ] Rubyが信頼できない正規表現をコンパイルするか確認し、該当ランタイムを更新する。 - [ ] Cisco SEGの機能設定とContent Scanner Toolsを確認し、侵害が疑われる場合は先に証拠を保全する。 - [ ] SAP製品とNGINXのモジュールを公式情報に照合する。 - [ ] Fortinet PSIRTとUpgrade Path Toolで機器とHAの更新を計画する。 - [ ] Pythonツール、CAバンドル、Goツールチェーン、コンテナを更新する。 - [ ] 漏えいの可能性がある認証情報は古い値を失効させ、新しい値で再デプロイする。 - [ ] 監査ログを保存し、不審なアクセス、デプロイ変更、請求を調べる。 - [ ] 未確認のZDI・LKML情報はベンダーの発表で継続確認する。 ## まとめ 必要な対応は、確認済みCVEへのパッチ適用、アプリケーションごとの証明書信頼設定の修正、クラウドサービスのインシデント対応に分かれます。一次情報で自組織の影響を確かめ、更新と認証情報の交換を優先してください。 ## ファクトチェック記録 **確認日：2026年10月26日（台湾時間）。**「今回は未確認」は「存在しない」という意味ではありません。ベンダーが追加情報を出した場合は再確認が必要です。 ### 確認できた事項 | 項目 | 一次情報で確認できた内容 | |---|---| | GitLab CVE-2026-110264 | 10/21に修正、条件次第で認証不要のRCE、CVSS v3.1 10.0。[GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) | | GitLab CVE-2026-97229 | 別の10/12の修正。条件次第で認証不要のRCE、CVSS v3.1 10.0。[GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) | | Ruby Onigmo | 10/23に4.0.9、3.4.12、3.3.13を公開。GitLabのCVE 4件に関係する基礎的な修正で、新しいCVEが4件増えたわけではない。[Ruby](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/) | | Cisco SEG CVE-2026-76519 | 10/14に公開、CVSS v3.1 9.8。Ciscoが悪用を確認。[Cisco](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp) | | SAPの10月の修正 | 10/13にCriticalのCVE 4件を公開。[SAP](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html) | | NGINXの10/14の更新 | CVE 5件をNGINXはmediumと評価。1.30.6 / 1.31.7で修正。[NGINX](https://nginx.org/en/security_advisories.html) | | PHP CVE-2026-115560 | 10/23の情報。特殊なsession設定が前提で、詳細なアドバイザリは後日。[PHP](https://www.php.net/archive/2026.php) | | PHP CVE-2026-109618、CVE-2026-109619 | 10/21に修正版を公開。認証不要のRCEにつながる可能性、CVSS v4.0 9.2。[PHP](https://www.php.net/archive/2026.php#2026-10-21-5)、[JPCERT/CC](https://www.jpcert.or.jp/at/2026/at260033.html) | | Node.js CVE-2026-111497、CVE-2026-105482、CVE-2026-105483、CVE-2026-106069 | 10/21の発表でHigh。Brotli、DNS、TLSは別々の問題。[Node.js](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | | Go CVE-2026-111943 | `crypto/x509`の拒否リスト。Go 1.26.10と1.27.3で修正。[Go](https://pkg.go.dev/vuln/GO-2026-6809) | | Oracle CVE-2026-91403 | 独立したJSSEのSecurity Alert。CVSS v3.1 9.1。[Oracle](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) | | Fortinetの更新計画 | 10/21の記事に影響する系列と修正版を記載。個別のPSIRT情報は11/10に公開予定。[Fortinet](https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products) | | eMudhraとZeabur | Mozillaは8枚の中間CA秘密鍵に関する制御の証拠を記録。Zeaburは10月の不正アクセスとログの制約を説明。[Mozilla](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)、[Zeabur](https://dash-new.zeabur.com/blogs/october-2026-security-incident) | ### 未確認、またはCVE表から除外した情報 | 手掛かり | 理由 | |---|---| | ほかのGitLab候補11件 | CVE-2026-12664、CVE-2026-13319、CVE-2026-14288、CVE-2026-15723、CVE-2026-16255、CVE-2026-103515、CVE-2026-105711、CVE-2026-105777、CVE-2026-112212、CVE-2026-112326、CVE-2026-112378は[公式情報](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/)に記載されているが、原因と深刻度はそれぞれ異なる。すべてをCriticalのRCEとは呼べない。 | | Fortinet FG-IR-26-175、FortiMail CVE-2026-104286、点数、KEV | 対応する完全な[PSIRT情報](https://fortiguard.fortinet.com/psirt)と照合できていない。CVEとの対応や悪用を推測しない。修正版の系列はFortinetの10/21の記事にある。 | | ZDI-CAN-33549、33774、34068、34076、33367、33887とLKMLの主張 | [ZDI Upcoming](https://www.zerodayinitiative.com/advisories/upcoming/)では一部の番号を確認できるが、元のメール、コンポーネント、CVEとの対応、カーネルの修正を追加確認する必要がある。 | | eMudhraの「TLS用6枚、コード署名用2枚」、個別の指紋、実際の悪用 | 各証明書とトラストストアの措置を個別に確認できていない。[Mozillaの記録](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)を継続確認する。 | | Zeaburの321,810アカウント、3,218,965件の環境変数記録 | 暫定報告との数値定義の照合を完了していない。865件はコマンドが実行されたデータベースサービスの数。 | | Zeaburの8月に関するNextChat・MCP・Legacy API Keyの一連の経路 | 各段階を[8月の報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident)で確認する必要がある。 | | Dell、Microsoft、ほかのCisco・SAP製品、Citrix、IBM、ほかのNGINX、Linux KVMの候補 | 個別の確認は未完了。確認済みのCisco SEG、SAP 4件、NGINX 5件は上記に記載した。 | **識別子と原因を分ける：**CVEは脆弱性識別子、GHSAはアドバイザリ識別子、ZDI-CANは追跡番号です。Zeaburの不正アクセスや証明書の信頼問題が自動的に新しいCVEになるわけではありません。OracleのJSSE問題とeMudhraの直接の因果関係も確認できていません。Zeabur自身も、8月の秘密鍵漏えいから10月の初期認証情報につながる経路を仮説としています。未確認事項を本表に追加する際は、一次情報、初回公開日、影響版と修正版、CVSSの版、悪用の根拠、確認日を残します。 ## 参考資料 以下の資料は**2026年10月26日（台湾時間）**に再確認しました。公開後に更新される可能性があります。 - [GitLabの緊急パッチ情報](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) - [GitLabの10/12の修正](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/)と[RubyのOnigmo修正](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/) - [PHP公式のセキュリティ情報](https://www.php.net/archive/2026.php#2026-10-21-5)、[JPCERT/CCの注意喚起](https://www.jpcert.or.jp/at/2026/at260033.html)、[IPAの事前準備案内](https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html) - [PHPの10/23のsession upload progressに関する情報](https://www.php.net/archive/2026.php) - [Cisco SEG CVE-2026-76519](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)、[SAPの10月Security Patch Day](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html)、[NGINXのセキュリティ情報](https://nginx.org/en/security_advisories.html) - [Node.jsの10/21のセキュリティリリース](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) - [Go GO-2026-6809](https://pkg.go.dev/vuln/GO-2026-6809) - [Oracle Security Alert CVE-2026-91403](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) - [Fortinetの更新告知](https://www.fortinet.com/uk/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products)と[PSIRT](https://fortiguard.fortinet.com/psirt) - [ZDI Upcoming](https://www.zerodayinitiative.com/advisories/upcoming/) - [MozillaのeMudhraに関する記録](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)と[Python関連の案内](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) - [Zeaburの8月の報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident)と[10月の暫定報告](https://dash-new.zeabur.com/blogs/october-2026-security-incident)