#セキュリティ

MariaDB 10.6〜13.0で、#mysql50#接頭辞を付けたテーブル名がファイル名のエンコードを素通りし、低い権限のユーザーからクラッシュやデータ漏えい、リモートコード実行につながり得るCVE-2026-92262（CVSS 9.9）。回避策はなく、10.6.28・10.11.19・11.4.13・11.8.9・12.3.3・13.0.2以降への更新が必要だ。

勝利の女神：NIKKEのWindows版PCランチャーで不正プログラムが配布された件で、公式が「乗っ取られた」とするinsightjs.comの登録履歴や改ざんの仕組み、遠隔操作ツールの挙動と手元のPCに残る痕跡の確認手順を公式告知と解析レポートから整理した。

Rustのzipクレートで、検査用と展開用のAPIが別々のファイル名を参照する脆弱性（CVSS v4.0 10.0）が公開された。修正版9.0.5以降も整合性チェックは既定で無効で、明示的な有効化がいる。9.0.5と9.1.0以降の挙動の違いや、cargo auditで検出されない点も確かめた。

Canonical LXDのHTTPS APIにCVSS v4.0 10.0の認証回避が見つかり、修正版は4.0.15、5.0.11、5.21.9、6.10.1。Dockerだけの環境は対象外。LXDの有無を誤判定しないコマンド確認手順と、KVM基盤のConoHa VPS利用者が見る告知も確かめた。

SYNパケットのIPv4オプションの解放タイミングを突くLinuxカーネルの解放後使用（UAF）CVE-2026-98432。4.4以降の全系列が対象で、修正版は5.10.272、6.1.190、6.12.113、7.2.10など。AnthropicがMPTCPの待ち受けを持つサーバーで認証なしのroot実行を示し、Go 1.24以降の既定動作も絡む。

phpMyAdmin 5.2.3のWebAuthn二要素認証を回避できるとするPoCを、127.0.0.1だけのDocker検証環境で動かした。署名を検証しないCustomServerではでたらめな署名でログインできたが、公式tarballを展開した構成ではInvalid signature.で拒否された。影響するインストール方法をComposerの実行結果つきで整理する。

お名前.com デスクトップクラウドの攻撃者が、2026年10月27日正午に利用者の情報とされるデータの公開を始めた。GMOの第8〜11報の状況、攻撃者のサイトを開いてはいけない理由、利用者のPCまで影響が及ぶと言われるRDPドライブ共有の仕組みと手元PCの設定確認手順をまとめた。

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

2026年10月25日公開のTailwormレポートは、Tailscale SSHの転送機能から接続先サーバーのroot権限を奪えると指摘した。修正版もCVEもない段階で、影響する設定と、ポリシー絞り込みや転送無効化など今取れる緩和策を、レポート・公式声明・コードから確かめた。

お名前.com デスクトップクラウドへの不正アクセスで、GMOが2026年10月24日に政府へ能動的サイバー防御の適用を求めた。国家からの攻撃でなくても要請できると考えた根拠を警察官職務執行法の条文で確かめ、政府の手続き、国外のサーバーへ措置をとるときの国際法上の論点、発動の見通しを書いた。

Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み（CVE-2026-111497）は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl（`--compressed` を付けた場合）にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること（10月26日の2.56.0.windows.4で修正）を確かめ、Node.jsも修正版へ入れ替えた。