#脆弱性

MariaDB 10.6〜13.0で、#mysql50#接頭辞を付けたテーブル名がファイル名のエンコードを素通りし、低い権限のユーザーからクラッシュやデータ漏えい、リモートコード実行につながり得るCVE-2026-92262（CVSS 9.9）。回避策はなく、10.6.28・10.11.19・11.4.13・11.8.9・12.3.3・13.0.2以降への更新が必要だ。

Rustのzipクレートで、検査用と展開用のAPIが別々のファイル名を参照する脆弱性（CVSS v4.0 10.0）が公開された。修正版9.0.5以降も整合性チェックは既定で無効で、明示的な有効化がいる。9.0.5と9.1.0以降の挙動の違いや、cargo auditで検出されない点も確かめた。

Canonical LXDのHTTPS APIにCVSS v4.0 10.0の認証回避が見つかり、修正版は4.0.15、5.0.11、5.21.9、6.10.1。Dockerだけの環境は対象外。LXDの有無を誤判定しないコマンド確認手順と、KVM基盤のConoHa VPS利用者が見る告知も確かめた。

SYNパケットのIPv4オプションの解放タイミングを突くLinuxカーネルの解放後使用（UAF）CVE-2026-98432。4.4以降の全系列が対象で、修正版は5.10.272、6.1.190、6.12.113、7.2.10など。AnthropicがMPTCPの待ち受けを持つサーバーで認証なしのroot実行を示し、Go 1.24以降の既定動作も絡む。

phpMyAdmin 5.2.3のWebAuthn二要素認証を回避できるとするPoCを、127.0.0.1だけのDocker検証環境で動かした。署名を検証しないCustomServerではでたらめな署名でログインできたが、公式tarballを展開した構成ではInvalid signature.で拒否された。影響するインストール方法をComposerの実行結果つきで整理する。

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

2026年10月25日公開のTailwormレポートは、Tailscale SSHの転送機能から接続先サーバーのroot権限を奪えると指摘した。修正版もCVEもない段階で、影響する設定と、ポリシー絞り込みや転送無効化など今取れる緩和策を、レポート・公式声明・コードから確かめた。

Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み（CVE-2026-111497）は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl（`--compressed` を付けた場合）にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること（10月26日の2.56.0.windows.4で修正）を確かめ、Node.jsも修正版へ入れ替えた。

2026年10月23日、GitLabのCVE-2026-89078など4件の原因になったOnigmoのバグを直したRuby 4.0.9、3.4.12、3.3.13が出た。外部の文字列から正規表現を組み立てるRubyアプリは更新の対象になる。WSL2でビルドした5つの版に修正PRのテストパターンを流し、修正前の版が異常終了するのを確かめた。

php2shellの修正版から2日後の2026年10月23日、PHP公式が21日の修正版では直っていない別のRCE、CVE-2026-115560を告知した。対象になるアプリの3つの条件、session.upload_progress.enabled=0をすでに入れたサーバーは追加の作業がいらないこと、まだ公表されていない項目、自分のコードの確かめ方を載せる。

OBSのブラウザソースに悪意あるページを読み込ませると何ができるのか、ページ権限0〜5・obs-websocket有効化・CEFのサンドボックス状態を手元のWindowsのOBS 32.2.2で実測した。噂の「PHP経由」が実際には何を指すのかを権限レベルごとに確かめた。