修正版の早見表
| 深刻度 | 対象 | 修正版 |
|---|---|---|
| Critical | PHP2Shell、10/21 | PHP 8.5.12 8.4.27 8.3.36 8.2.35 |
| Critical | Laravel TokenGuard、10/19 | laravel/framework 13.29.0 12.68.011.56.1 10.50.4 |
| High | Node.js、CVE 10 件、10/21 | Node 26.12.1 24.22.1 22.23.4 |
| Not rated | eMudhra 中間 CA、10/17–10/20 | Node 26.12.1 24.22.1 22.23.4composer/ca-bundle 1.6.0 1.4.16Go 1.27.3 1.26.10 |
| Critical | Next.js の RCE、10/14 前週から継続 | next 16.4.1 15.5.28 |
| Not rated | Symfony、DoS 3 件、10/15 前週から継続 | symfony/* 7.4.21 6.4.48 8.1.9symfony/yaml 7.4.18 |
今週の出来事
PHP2Shell：PHP の Critical な RCE 2 件
CVE-2026-109618 と CVE-2026-109619 により、修正前のすべてのブランチで認証不要の RCE が可能です。最も影響を受けやすいのは mod_php です。
やること使用しているブランチの修正版に PHP を更新し、すべての PHP プロセスを再起動してください。
悪用状況と暫定対策
- PHP プロジェクトは
mod_phpに対する悪用の実証を報告しています。報道では早期の情報漏れと初期の攻撃の試みが伝えられていますが、公開された PoC については見解が分かれています。 - パッチ適用までの公式な暫定対策：php.ini または FPM プールで
session.upload_progress.enabled=0（ワーカーを再起動）。memory_limit=-1をアプリが上書きできない場所（php_admin_valueなど）に設定し、実際の上限はコンテナのメモリ制限で確保。post_max_sizeは 8M（アップロードがある場合は 32M）。PHP は、これらでインストールが安全になるわけではないとしています。 - 8.1 以前のリリースはありません。PHP チームは 7.4〜8.1 向けにソースのバックポートを公開しています。
出典php.net · GHSA-w8hw-w9fx-j79w · GHSA-6wmf-4rv5-p3rp · Tenable、Sansec（報道とベンダーの調査）
Laravel TokenGuard の認証バイパス
MySQL または MariaDB では、細工したトークンにより、組み込みのトークン API ガードを通じて別のユーザーとしてログインできます（CVE-2026-114509）。回避策はありません。
やることcomposer update laravel/framework で 13.x または 12.x の修正版に更新してください。
出典GHSA-f9x3-7vq9-cph6 · Laravel のサポートポリシー
Node.js 10 月のセキュリティリリース
High の修正が 4 件あり、Brotli デコーダーの RCE と TLS ホスト名検証のバイパス 2 件を含みます。Node 20 など EOL のラインには修正がありません。
やること使用しているラインの修正版に更新し、--pull を付けてイメージを再ビルドしてから再起動してください。
出典nodejs.org · Electron のリリース一覧（Navide デスクトップ版）
eMudhra 中間 CA の侵害：トラストストアを更新
ブラウザは、秘密鍵を誰でも計算できる状態だった eMudhra の中間証明書 8 枚をブロックしました。独自の CA リストを持つツールは、更新するまでこれらを信頼し続けます。
やることNode を 26.12.1、24.22.1、22.23.4 のいずれかに、composer/ca-bundle を 1.6.0 または 1.4.16 に、Go を 1.27.3 または 1.26.10 に更新し、イメージの ca-certificates も更新してください。
出典Mozilla · Google · Cloudflare · Node.js のコミット · composer/ca-bundle · Go のリリースノート
CLI エージェント利用者向けの npm サプライチェーン対策
- Claude Code と Codex はネイティブインストーラーを優先してください。Gemini CLI にはネイティブインストーラーがありません。
- lockfile からインストールしてください（
npm ci）。ignore-scripts=trueは有効ですが、それだけでは不十分です。 - 問題のあるバージョンをインストールした場合は、npm、GitHub、クラウドのトークンをローテーションしてください。
確認すべき npm のインシデント（4 件）
| 日付 | インシデント | 確認 |
|---|---|---|
| 10/8 | tensorlake 0.5.144 |
0.5.145 を使用 |
| 10/2 | Trusted Publishing の不備 | メンテナー：設定を再確認 |
| 8/6 | keyv への Shai-Hulud |
インストールしていたらトークンをローテーション |
| 3/31 | axios 1.14.1、0.30.4 |
npm ls axios |
その他：MALFEX · @mastra · binding.gyp ワーム · node-ipc
出典Claude Code · Codex · Gemini CLI
1 分でできるセルフチェック
# 各バージョンを上の早見表と比べる
$ php -v
$ node -v
$ composer audit --locked
$ npm ls next
# 修正済みのクライアントでは失敗するはず
$ curl -sI https://dv-g3b-emudhra.we-have-a-problem.com/