PHP の RCE 2件、mod_php は未認証で発火、FPM もアプリ経由で実証
PHP 8.5.12・8.4.27・8.3.36・8.2.35 で直った RCE 2件は、Apache の mod_php と PHP-FPM で発火の入口が違う。構成ごとの条件と、更新前に確かめることをまとめる。
セキュリティ
13 件の記事
-
PHP の
-
PHP の
認証不要 RCE、 8.2〜8.5 は 修正版へ、 8.1 以下は 修正予定なし CVE-2026-109618/109619 は認証なしで PHP ワーカー上のコード実行につながる。8.2〜8.5 の影響範囲と最初の修正版、修正の出ない 5.4〜8.1 の扱い、AWS 各サービスの状況と WAF での暫定策を整理する。
-
Node.js 22・24・26 系に
10月21日以降 セキュリティ修正、 最高深刻度は HIGH Node.js が10月21日以降に出す予定のセキュリティリリースは、22.x・24.x・26.x のどれが対象で、EOL 版はどう扱われるのか。本番で Node.js を運用するチームが公開前に済ませておく準備も整理する。
-
32767 18.00.0005 で SQLBindParameter が受け付けるパラメータ番号の上限 これを超える番号は SQLSTATE 07009 で拒否される（psqlODBC 18.00.0005 のお知らせ、2026年10月14日）
psqlODBC で
IN 句を 入力から 組むアプリに ヒープ破損、 18.00.0005 で 修正 ユーザー入力の数だけ IN (?, ...) を並べるアプリが当たる psqlODBC の CVE-2026-109448。影響バージョン、18.00.0005 で返る SQLSTATE 07009、すぐ上げられないときの回避策を整理する。
-
Flask の
session cookie は 署名だけ、 DevSite で client_secret が 平文だった DevSite の Flask session cookie では、pickle 化した OAuth 情報と client_secret の署名鍵への再利用、受信データの unpickle が重なり RCE が成立した。3条件を整理する。
-
7.2.9 更新すべき最低バージョン 対象は 7.2.8 以前、修正は 7.2.9(コミット db3405699f)。CVE-2026-107181、CVSS 8.1 High。報告はWindows版で実証。
Telegram Desktop 7.2.8以前は
細工したリンクで ファイル流出、 7.2.9で 修正 Telegram Desktop の脆弱性を Windows で実証した報告を読む。命令ファイルの配置と外部ブラウザからの起動が攻撃の条件で、ローカルパスコードではファイル流出を防げない。修正版は7.2.9だ。
-
CodeQL の
autobuild・manual build は macOS 27 と Xcode 27 で 非対応 CodeQL のコンパイル言語解析を macOS で使うチーム向けに、OS と Xcode の非対応条件と当面の回避策を整理する。CLI の警告出力と Go の自作クエリに影響する変更点も確認する。
-
GitHub の
セキュリティアドバイザリーに コメント API、 公開リポジトリ限定で 削除は 未対応 GitHub のセキュリティアドバイザリーのコメント REST API が public preview。公開リポジトリで使える操作、必要な権限、返らない confidential コメント、削除未対応、件数の扱いを整理する。
-
150文字以上 既定フォームで求められる PoC の最低文字数 GitHub Changelog（2026年10月1日）。summary・details・impact と並ぶ必須4項目の一つ
GitHub の
非公開脆弱性報告が 必須4項目の フォームに、 PoC は 150文字以上 GitHub の private vulnerability reporting で必須になった4項目と PoC 150文字以上、独自フォーム、CWE 必須化、REST API 連携への影響を整理する。
-
GitHub の
脆弱性報告に 1日単位の 件数制限、 信頼する 報告者は allow list で 除外 GitHub の非公開脆弱性報告に、新規報告だけを数えるユーザー単位の1日上限が入った。既存 advisory へのコメントは対象外。メンテナーが設定できるリポジトリ全体の上限と allow list、対象プラン、設定場所を整理する。
-
Radicle の
ノード間通信が 全バージョンで 平文、 private リポジトリは 使用停止が 推奨 ノード間通信が暗号化も認証もされておらず、経路上から private リポジトリの中身が読める。自前でノードを動かしている運用者向けに、完全性と機密性の切り分け、seeding を止める手順、修正が破壊的になる理由をまとめた。
-
YARD の
.yardopts で gem インストール時に 任意コードが 走る、 RubyDoc.info も 公開の たび実行 gem に同梱された .yardopts の --load 指定だけで任意の Ruby が走る。RubyDoc.info は公開された gem すべてを処理する。YARD が入った CI や開発環境を持つ Ruby 開発者に、経緯と確認すべき場所を整理した。
-
107分 悪意あるバージョンが crates.io に公開されていた最長時間 append-only-vec@0.1.9 が 2026-08-20 07:37:49〜09:25:24 UTC に公開（Rust Blog 記載の公開・削除時刻より）
arrayref など
人気 crate 3 つに 悪意ある バージョン、 crates.io 公開は 最長 107分 crates.io で arrayref など人気 crate に悪意あるバージョンが公開され、最長 107分で削除された。Rust Blog が案内する find コマンド 1本での確認手順と、公開・削除の時系列を整理する。