#CVE

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み（CVE-2026-111497）は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl（`--compressed` を付けた場合）にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること（10月26日の2.56.0.windows.4で修正）を確かめ、Node.jsも修正版へ入れ替えた。

2026年10月23日、GitLabのCVE-2026-89078など4件の原因になったOnigmoのバグを直したRuby 4.0.9、3.4.12、3.3.13が出た。外部の文字列から正規表現を組み立てるRubyアプリは更新の対象になる。WSL2でビルドした5つの版に修正PRのテストパターンを流し、修正前の版が異常終了するのを確かめた。

php2shellの修正版から2日後の2026年10月23日、PHP公式が21日の修正版では直っていない別のRCE、CVE-2026-115560を告知した。対象になるアプリの3つの条件、session.upload_progress.enabled=0をすでに入れたサーバーは追加の作業がいらないこと、まだ公表されていない項目、自分のコードの確かめ方を載せる。

V4belが公開したInfinity Coreは、タイマーやシグナルなどLinuxカーネル中核の6件。導入時期が5.7から7.2までばらつき、Debian 12と13やUbuntu 24.04の標準カーネルで影響するのはTimerの1件だけ。一方でRHELはバックポートでFutexなども抱えており、CVEごとの導入版と主要ディストリの状況を整理した。

OBSのブラウザソースに悪意あるページを読み込ませると何ができるのか、ページ権限0〜5・obs-websocket有効化・CEFのサンドボックス状態を手元のWindowsのOBS 32.2.2で実測した。噂の「PHP経由」が実際には何を指すのかを権限レベルごとに確かめた。

2026年10月21日にPHPがphp2shell（CVE-2026-109618/109619）を修正した直後、パッチ後の8.5.12にもRCEやメモリ破壊が残ると主張する個人の自己公開ページが出た。どの主張が確定し、どこがまだ裏取り前かを届出状況ごとに分け、サーバー管理者が取るべき対応まで示した。

OpenJDKが2026年10月21日に臨時で公表したCVE-2026-91403（CVSS 9.1）は、eMudhraの危殆化した中間CA 8枚をJavaが信頼してしまう問題だった。手元のM4 Mac miniでは、OpenJDK 27.0.1が既定の設定のまま危殆化したチェーンに接続し、失効確認の有効化と blocked.certs への追加ではどちらも拒否した。

2026年10月21日のGitLab Critical Patch Releaseで、7.0以降の全バージョンに影響するCVSS 10.0の脆弱性CVE-2026-110264が直った。Org-modeの表示処理からRubyの正規表現エンジンで範囲外書き込みが起きる仕組み、更新先の修正版、検知ルールに沿ったログの確認方法と、手元のRuby 4.0.6でまだ修正が入っていないことを確かめた結果。

2026年10月20日、Apache Tomcat 9・10.1・11の脆弱性8件が公開された。Importantの3件（JNDIRealmの認証回避、HTTP/2とAJPのレスポンス混入）がどの設定で起きるかと、修正版の9.0.123・10.1.61・11.0.27を、アドバイザリと修正コミットで確かめた。

認証なしの1接続でHTTP/3サーバーのメモリを使い切らせるQPACK増幅攻撃が公開された。quic-go、Cloudflare quiche、lsquic（OpenLiteSpeed）、Bunなど10実装中7つが該当し、10月22日に出たBun 1.4.4を含む修正版の番号と、mitmproxy・hyperium/h3のように未修正の実装で取れる回避策を表にした。