#CVE

php2shellの修正版が出た夜、Remiのリポジトリは更新されなかった。AlmaLinux 9とRemiのPHP 8.3で動くDockerコンテナに、公式ソースからビルドしたphp、php-fpm、opcache.soの3ファイルを差し替え、FPMへのUSR2シグナルで無停止で切り替えた手順と、docker killの仕様やRPM更新対策の実機記録。

PHPのコア開発者とGMO Flatt Securityが、session.upload_progressの無効化だけではphp2shellを防げないとした。2026年10月21日23時に出たPHP修正版（8.5.12、8.4.27、8.3.36、8.2.35）と8.1以前向けパッチの入手先、配布元ごとの状況と、レンタルサーバー、Linuxのパッケージ、Dockerごとの当て方、予防的にサービスを止める国内外の組織を載せる。

2026年10月21日のNode.jsセキュリティリリースでHIGHが4件修正された。IPアドレスの書き方でTLSのホスト名検証を通る問題などを、手元のM4 Mac miniでv24.22.0・v24.22.1・EOLのv25.3.0に試した結果と、更新方法をまとめた。

PHP公式が2026年10月21日23時（日本時間）に重大な脆弱性2件の修正を予告した。外部ではphp2shell（CVE-2026-109618/109619）と呼ばれ、デフォルトで有効なsession.upload_progressの処理が関係すると推定されている。修正版を待つ間に設定を切る手順を、レンタルサーバー、php.ini、.htaccess、.user.iniの別に書き、公式発表と外部の推定を分けて載せる。

curl 8.23.0で修正されたHTTP/2アップロード時の解放後使用（UAF）脆弱性CVE-2026-92392の挙動と影響。8.12.0から8.22.0が対象で、ダングリングポインタ経由のRCE成立条件や回避策、C言語の保守方針を整理する。

LinuxカーネルのIPv4処理にCVSS 9.3の脆弱性CVE-2026-99999（PwnEscape）が公開された。さくらインターネットがVPSや共用サーバーの新規受付を止めた背景と、仮想マシン脱出の仕組み、環境ごとの確認事項を整理する。

2026年10月3日時点のWordPress脆弱性アラートから、緊急評価のBeaver Builder、LatePoint、Iptanus File Uploadを確認。攻撃が成立する設定と修正版、W3 Total Cache・All in One SEOの注意点、公表日と修正日の違いを整理した。

WindowsのGeForceはR615で616.56、R610で610.88、R580で582.78以降が修正版。NVIDIAが9月30日に公開した114件の脆弱性について、LinuxとvGPUの更新先、ローカル攻撃の条件、CVSSスコアの内訳を確認する。

セキュリティチームのHacktron AIが、Discourseのlibheif脆弱性とOpenAI SSOの不備を連鎖させ、72時間足らずで従業員アカウントと社内モノレポopenai/openaiへ侵入した経緯を公表した。未パッチの画像パーサ、Claude Opus 5によるエクスプロイト自動化、外部ツールの侵害が本体組織へ波及する認証境界の盲点を整理した。

Nintendo Switchのローカル無線通信機能にあるCVE-2026-82079は、システムバージョン23.0.0未満が対象。本体またはテレビのQRコードを悪意ある第三者が直接読み取れることが攻撃条件で、23.0.0への更新が必要になる。

OCamlのcohttpでパストラバーサル修正のPRを公開した約10分後、同じパターンのプローブがメンテナのサーバーへ届いた。悪用までの平均時間がマイナス7日まで落ちたM-Trendsの数字、AI由来の悪用は増えていないとするVulnCheckのデータ、メンテナ側の容量を論じたbugonomicsの論文を突き合わせた。

MITREが7月31日に却下したSQLiteの捏造CVE6件を8月17日にGitHub Advisory Database APIで直接確認すると、6件ともunreviewedのままCVSS9.8などの表示が残っていた。