更新版：2026年11月9日 第26版の統合報告を読む。このページ内の個別脆弱性レポートは過去時点の資料を含みます。現在の対処は統合版と提供元の最新情報で確認してください。
SECURITY / 2026-10 OVERVIEW
2026年10月の主要脆弱性
16コンポーネント・50件超のCVE
今日やることは決まっています。PHP・LiteLLM・Rubyを即日、カーネルとJavaを48時間以内に。2026.10.26
2026年10月、PHP・Linuxカーネル・GitLab・Oracle Java・LiteLLMと、公開環境で広く使われる基盤に重大な脆弱性が相次ぎました。この特設は、2026年10月26日時点で公開されている一次情報をもとに、何が起きたか・どこまで確認できているか・今日なにをすればいいかを整理したものです。対象は16コンポーネント、50件超のCVE、うちCVSS 9.0以上が8件。
16対象コンポーネント
50+関連CVE
8件CVSS 9.0以上
5件うち未認証RCE
いちばん大事な結論：今回のほとんどは「更新する以外に根本対処がない」。ワークアラウンドは緩和策にすぎません。そしてphp2shellは公表の4日前（10月17日）から悪用が観測され、LiteLLMのSQLiはアドバイザリ公開36時間で実攻撃。「公開日＝攻撃開始日」はもう成り立ちません。
1. 対応優先度（今日から）確認済み
| 優先 | 対象 | やること | 目安 |
|---|---|---|---|
| 1 | PHP（全Webサーバー） | 8.5.12／8.4.27／8.3.36／8.2.35 へ即時更新。公開サーバーで更新できないなら隔離。8.1以前は移行計画 | 即日 |
| 1 | LiteLLM | 1.107.0 があればインシデント対応（除去＋全クレデンシャルローテーション）。未影響なら 1.106.2 に固定 | 即日 |
| 1 | Ruby（入力から正規表現をコンパイル） | 4.0.9／3.4.12／3.3.13 へ。Regexp.new に外部入力を渡すアプリは最優先。Regexp.timeout・長さ制限では防げない | 即日 |
| 2 | 仮想化ホスト（クラウド基盤・VPS・サンドボックス） | PwnEscape修正済みカーネルへ更新＋再起動（ゲスト退避計画つき） | 48時間 |
| 3 | Oracle Java SE／GraalVM | 最新のJava更新（同梱JRE・コンテナも）。不可なら eMudhra系ルート4件を keytool で削除 | 48時間 |
| 4 | 全Linuxサーバー・CI・コンテナ基盤 | Infinity Core を含むカーネル更新＋再起動。更新まで信頼できないローカルユーザー・ジョブを実行しない | 今週中 |
| 5 | GitLab（self-managed） | 19.5.1 系へ。OmniAuth LDAP/SAML 併用環境は最優先。同梱Ruby修正の反映版を追跡 | 今週中 |
| 6 | Apache Tomcat | 10.1.61／9.0.123／11.0.27 へ（HTTP/2・AJP 構成を優先） | 今週中 |
| 7 | Node.js／Bun／Brotli同梱ソフト | 26.12.1／24.22.1／22.23.4、Bun 1.4.4 へ。コンテナは再ビルド必須。Python brotli 1.2.1 も | 即日〜48時間 |
| 8 | Python | 3.10.22〜3.14.8 へ。pip 26.2.2以上、certifi 2026.10.19以上（venvは個別に） | 今週中 |
| 9 | BIND 9 | 9.20.30／9.21.27 へ。ワークアラウンドなし。9.18系は修正なし | 今週中 |
| 10 | Garoon パッケージ版 | 基盤PHPを修正版へ。ベンダーの対応モジュールを追跡（クラウド版は10/22対応済み） | 今週中 |
| — | 公開PHPサーバーの侵害調査 | 更新済みでも、10/17以降のWebシェル・不審プロセス・設定変更を確認 | 即日〜48時間 |
2. 全体一覧（16コンポーネント）確認済み
| 対象 | 深刻度 | 要点 | 修正版 |
|---|---|---|---|
| PHP | 9.2 ×2 | php2shell。未認証RCE | 8.5.12／8.4.27／8.3.36／8.2.35 |
| Node.js | High ×4 | Brotliデコーダー（HTTP2Shell）。PoC公開・RCE実証 | 26.12.1／24.22.1／22.23.4 |
| Bun | High | 同一Brotliを同梱 | 1.4.4（bun build --compile も再ビルド） |
| Python | 9.2／7.6 | SSLContext UAF、証明書検証スキップ | 3.10.22〜3.14.8＋緊急リリース |
| Ruby | 中〜高 | resolv（DoS・検証迂回）、Onigmo（GitLab 4件の根本） | resolv 0.7.2／4.0.9／3.4.12／3.3.13 |
| Oracle Java SE | 9.1 | eMudhra中間CA鍵漏えい → TLSなりすまし | 最新のJava更新（該当ルート削除） |
| ISC BIND 9 | 8.1＋7.5×3 | GSS-TSIGリプレイでメモリ破壊 | 9.20.30／9.21.27（回避策なし） |
| Linuxカーネル | 9.3 | PwnEscape。ゲスト→ホスト脱獄 | 各ディストリの修正カーネル＋再起動 |
| Linuxカーネル | 高 | Infinity Core 6件の権限昇格 | 同上 |
| GitLab | 10.0 ×2 | 正規表現系4件。根本はRubyのOnigmo | 19.5.1／19.4.3／19.3.6／19.2.9 |
| Apache Tomcat | Important〜Low | HTTP/2・AJPの応答混線、JNDIRealm fail-open | 11.0.27／10.1.61／9.0.123 |
| LiteLLM | 緊急 | リリース基盤侵害でマルウェア入りwheel | 1.106.2 に固定。1.107.0はインシデント対応 |
| 国内グループウェア | 製品別 | Garoon（PHP）のみ直接該当 | パッケージ版は基盤PHP更新 |
| GMO お名前.com | 重大 | 顧客情報持ち出し＋70超の証券・FX口座の不正操作 | 利用者はパスワード変更・全セッション切断・MFA |
| Tailscale SSH | 未修正 | 1台の侵害からroot獲得の可能性（未採番） | ルールを1対1に、ポート転送無効化 |
| KSMBD／ZDI | 9.0 ×2 | 未採番。公開PoCでroot取得の報告 | モジュール無効化・445/tcp非公開 |
3. CVSS 9.0以上の8件第三者検証
| CVE | 対象 | スコア（基準） | 内容 |
|---|---|---|---|
| CVE-2026-110264 | GitLab | 10.0／CVSS 3.1 | 正規表現コンパイルの整数オーバーフロー → 未認証RCE。根本はOnigmo |
| CVE-2026-97229 | GitLab | 10.0／CVSS 3.1 | CI/CD設定の正規表現で未認証RCE。根本はOnigmo |
| CVE-2026-99999 | Linuxカーネル | 9.3 | PwnEscape。IPv4チェックサムのメタデータ未検証 → VM脱獄 |
| CVE-2026-111497 | Node.js／Bunほか | 9.2／CVSS 4.0 | HTTP2Shell。Brotliデコーダーの境界外書き込み |
| CVE-2026-109618 | PHP | 9.2／CVSS 4.0 | OOM時のメモリ破壊 → 未認証RCE |
| CVE-2026-109619 | PHP | 9.2／CVSS 4.0 | 解放済み状態の残存 → 未認証RCE |
| CVE-2026-19445 | Python | 9.2／CVSS 4.0 | SSLContextのUAF（SNIコールバック） |
| CVE-2026-91403 | Oracle Java SE | 9.1／CVSS 3.1 | eMudhra中間CA鍵漏えいによるTLS信頼の破綻 |
基準はCVSS 4.0と3.1が混在しており、行間の厳密な比較には使えません。Infinity Coreの6件、Tomcatの8件、LiteLLM CVE-2026-42208 は数値スコアが確認できた出典がないため未集計です（9超が含まれる可能性があります）。
4. 6つの共通所見AIfrontierの見解
| 所見 | 根拠 |
|---|---|
| 更新がほぼ唯一の対処 | PHP・Node.js・Python・Ruby・Java・BIND・カーネル・GitLab・Tomcatのいずれも、回避策は緩和にすぎない |
| ひとつの根本原因が下流で「緊急脆弱性」になる | GitLabの10.0×2を含む4件の原因はRuby同梱のOnigmo。Ruby側の根本修正は10月23日まで出なかった |
| 同梱依存が攻撃面になる | Node.jsのBrotli、Rubyのdefault gem。ランタイムの「中身」が脆弱性の入口になる |
| 供給網の信頼も検証対象 | LiteLLMは正規の署名付きパイプラインから汚染wheelを出荷した |
| 自社コードを書いていなくても当事者 | Garoon（PHP）はクラウド版が緊急メンテ。kintone（Java）はJavaのCVEを追う必要がある |
| 規制が「報告の速さ」を罰則付きで要求 | 能動的サイバー防御法（10/1施行）、EU CRA（24時間）、米CIRCIA（72/24時間） |
悪用までの時間が縮んでいる：php2shellは公表4日前にAWSのハニーポット（MadPot）で悪用試行を検知。公表後はCloudflare観測で45分で数万件、2時間で数十万件、数時間で数百万件。LiteLLMのSQLi（CVE-2026-42208）はアドバイザリ公開36時間後に実攻撃。AWSは「AI支援解析でパッチ差分から実用エクスプロイトを作るコストが下がった」と指摘しています。
5. 詳細（章別）
6. この特設の読み方AIfrontierの見解
- 事実／推定／未確認を分けています。Garoonの緊急メンテと php2shell の結び付けは、公式が理由を明示していないため推定です。Tailworm報告は単独研究者の主張で第三者再現なし。GMO事案の犯行声明とされる文面は未確認です。
- CVSSの基準が混在しています（4.0と3.1）。順位づけに使わず、「更新の要否」の判断に使ってください。
- 個別システムの診断結果の代替ではありません。適用前に各ベンダーの最新情報を確認してください。
自社サイトの外側の点検はサイト診断ツール、手元のランタイム更新はセキュリティ特設の6章にまとめています。
出典
- 本特設は2026年10月26日時点の公開情報（ベンダーアドバイザリ・JVN/CERT等）に基づく整理です。各項目の一次情報は各章ページに掲載しています。
- PHP：php.net 2026-10-21 リリース／CERT-EU 2026-018／JPCERT-AT-2026-0033
- AWS Security Blog「Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot」
- GitLab Patch Release 19.5.1／Ruby公式「Regexp fixes for GitLab CVEs」（2026-10-23）
- ISC KB（CVE-2026-94300 / 19630 / 96888 / 97313）／JPRS 緊急技術情報（2026-10-22）
- LiteLLM 公式「Security Incident — Oct 21, 2026」／GMO Flatt Security 解析