#セキュリティ

2026年10月21日のGitLab Critical Patch Releaseで、7.0以降の全バージョンに影響するCVSS 10.0の脆弱性CVE-2026-110264が直った。Org-modeの表示処理からRubyの正規表現エンジンで範囲外書き込みが起きる仕組み、更新先の修正版、検知ルールに沿ったログの確認方法と、手元のRuby 4.0.6でまだ修正が入っていないことを確かめた結果。

2026年10月20日、Apache Tomcat 9・10.1・11の脆弱性8件が公開された。Importantの3件（JNDIRealmの認証回避、HTTP/2とAJPのレスポンス混入）がどの設定で起きるかと、修正版の9.0.123・10.1.61・11.0.27を、アドバイザリと修正コミットで確かめた。

認証なしの1接続でHTTP/3サーバーのメモリを使い切らせるQPACK増幅攻撃が公開された。quic-go、Cloudflare quiche、lsquic（OpenLiteSpeed）、Bunなど10実装中7つが該当し、10月22日に出たBun 1.4.4を含む修正版の番号と、mitmproxy・hyperium/h3のように未修正の実装で取れる回避策を表にした。

php2shellの修正版が出た夜、Remiのリポジトリは更新されなかった。AlmaLinux 9とRemiのPHP 8.3で動くDockerコンテナに、公式ソースからビルドしたphp、php-fpm、opcache.soの3ファイルを差し替え、FPMへのUSR2シグナルで無停止で切り替えた手順と、docker killの仕様やRPM更新対策の実機記録。

PHPのコア開発者とGMO Flatt Securityが、session.upload_progressの無効化だけではphp2shellを防げないとした。2026年10月21日23時に出たPHP修正版（8.5.12、8.4.27、8.3.36、8.2.35）と8.1以前向けパッチの入手先、配布元ごとの状況と、レンタルサーバー、Linuxのパッケージ、Dockerごとの当て方、予防的にサービスを止める国内外の組織を載せる。

2026年10月21日のNode.jsセキュリティリリースでHIGHが4件修正された。IPアドレスの書き方でTLSのホスト名検証を通る問題などを、手元のM4 Mac miniでv24.22.0・v24.22.1・EOLのv25.3.0に試した結果と、更新方法をまとめた。

eMudhraの中間CA証明書8枚の秘密鍵は、P-384なのに256未満の整数だった。手元のM4 Mac miniで公開証明書から8本とも復元し、macOS標準curl、Node.js、Python certifi、uv、Goがテスト用サイトの危殆化した証明書チェーンを受け入れるかを試した結果と、修正済みの版をまとめた。

PHP公式が2026年10月21日23時（日本時間）に重大な脆弱性2件の修正を予告した。外部ではphp2shell（CVE-2026-109618/109619）と呼ばれ、デフォルトで有効なsession.upload_progressの処理が関係すると推定されている。修正版を待つ間に設定を切る手順を、レンタルサーバー、php.ini、.htaccess、.user.iniの別に書き、公式発表と外部の推定を分けて載せる。

Laravelの組み込みTokenGuardに、MySQL/MariaDB環境で他人のAPIトークンなしにそのユーザーとして認証される脆弱性（CVE-2026-114509、GHSA-f9x3-7vq9-cph6、CVSS v4.0 9.2）が公表された。config/auth.phpでdriverがtokenのガードを使っているかの確かめ方、修正版の番号、配列の0がトークンと一致してしまう仕組みを書く。

curl 8.23.0で修正されたHTTP/2アップロード時の解放後使用（UAF）脆弱性CVE-2026-92392の挙動と影響。8.12.0から8.22.0が対象で、ダングリングポインタ経由のRCE成立条件や回避策、C言語の保守方針を整理する。

LinuxカーネルのIPv4処理にCVSS 9.3の脆弱性CVE-2026-99999（PwnEscape）が公開された。さくらインターネットがVPSや共用サーバーの新規受付を止めた背景と、仮想マシン脱出の仕組み、環境ごとの確認事項を整理する。

tensorlake@0.5.144に混入したShai-Huludは、ブラウザの認証情報やウォレット拡張14種の保存データも窃取対象にする。keyv侵害との共通点、CIでの起動条件、トークン失効前に必要な対応を確認する。