セキュリティ週報 2026-W44：GitLab、WordPress、Linux

修正版の早見表

今週の出来事

GitLab CI の正規表現 RCE が悪用されるCritical10/29 KEV 追加 · CVSS v3.1 10.0

CISA は CVE-2026-97229 を悪用済み脆弱性のカタログに追加しました。細工した CI/CD の正規表現により、認証されていないユーザーがサーバー上でコードを実行できます。もう 1 件の CVSS 10.0 の正規表現 RCE、CVE-2026-110264 は GitLab 7.0 まで遡ります。根本にある正規表現の不具合の修正は Ruby 4.0.9、3.4.12、3.3.13 に含まれています。

やること使用中のラインの 10/29 のパッチに更新してください。両方の修正を含み、侵害された eMudhra 中間証明書への信頼も取り除きます（CVE-2026-111943）。セルフマネージドの GitLab Runner は別途 19.5.1 に更新し、セルフマネージドのインスタンスでは GitLab が公開している脅威検知を実行してください。

出典GitLab 19.4.2 · GitLab 19.5.1 · GitLab 19.5.3 · NVD · CISA KEV · Ruby

WordPress 7.1.4 がアップグレード中の RCE を修正High10/28 · CVSS v3.1 8.1

CVE-2026-119977 は 4.7〜7.1.3 に影響します。予測可能でウェブから到達できるステージング用パスにより、コアのアップグレード中に認証されていない攻撃者がコードを実行できます。このリリースは複数の格納型 XSS も修正し、eMudhra の件を受けて同梱のルート証明書を更新しています。

やること7.1.4 または使用中のブランチのバックポートになっていることを確認してください。7.0.8、6.9.11、6.8.12、4.9.35、4.8.34、4.7.39 はいずれも 10/28 にリリースされています。

出典WordPress · リリースアーカイブ · NVD（スコアは Wordfence による）

Linux カーネルの脆弱性、PHP2Shell と連鎖可能High10/28 KEV 追加 · CVSS v3.1 7.8

CVE-2026-46300 により、ページキャッシュに載ったデータが意図せず変更される可能性があります。CISA によると、PHP2Shell と組み合わせて PHP の Web シェルを設置し、root としてコマンドを実行できます。

やることディストリビューションのカーネル更新をインストールして再起動してください。コンテナはホストのカーネルを共有するため、ホストにパッチを当ててください。

出典NVD · CISA KEV · Debian

Cursor のマーケットプレイスで改ざんされた Claude Code 拡張機能Not rated10/29 · サプライチェーン

太平洋時間 02:27〜13:35 の間、Cursor のマーケットプレイスは Windows と macOS 向けに改変された Anthropic.claude-code 2.1.312 と 2.1.313 を配布していました。攻撃者の SSH 鍵と永続化の仕組みを追加し、ホストの情報を送信します。Cursor によると、攻撃者のサーバーは停止しており、ほかに改ざんされた拡張機能はありません。

やることこの時間帯にインストールまたは更新した場合は、Cursor の確認スクリプト、続いて修復スクリプトを実行し、信頼できるマシンから認証情報をローテーションしてください。

出典Cursor · StepSecurity（ベンダーの調査）

Symfony の Mime の修正は今回ようやく出荷

Medium · 10/28 · CVE-2026-45070

Symfony によると、5 月に挙げたバージョン（5.4.52、6.4.40、7.4.12、8.0.12）には、このメールヘッダーインジェクションの修正が入っていませんでした。最初に含まれたのは 5.4.55、6.4.49、7.4.22、8.1.10 です。

やることユーザー入力に由来するパラメーター名で Mime ヘッダーを組み立てているアプリはアップグレードしてください。8.0 はメンテナンスされていないため、8.1.10 に移行してください。GitHub のアドバイザリにはまだ古いバージョンが載っているため、Symfony の記事に従ってください。

出典Symfony · CVE-2026-45070 · GHSA-vqc8-7275-q272

前週から継続：PHP2Shell と Brotli の悪用を確認Critical10/26–10/27 KEV 追加 · W43 から

CISA は 10/26 に PHP2Shell の CVE 2 件を、10/27 に Brotli デコーダーの脆弱性を掲載しました。先週のパッチは緊急になっています。Brotli は Node に限りません。デコーダーを同梱しているものはすべて 1.2.1 またはベンダーの修正が必要です。

やることW43 のパッチをまだ当てていない場合は今すぐ適用し、修正済みのライブラリを取り込むようイメージを再ビルドしてください。

出典CISA KEV · php.net、session · php.net、Windows · Brotli 1.2.1 · oss-security · Laravel PR #62177 · Laravel のサポートポリシー

来週：11/3 に Next.js

Next.js は 11/3（火）に Medium の脆弱性 7 件の修正を公開します。詳細はリリースと同時に出ます。

出典Next.js

CLI エージェント利用者向けのサプライチェーン対策

• 拡張機能の入手元を確認してください。同じ名前でもマーケットプレイスによって中身が異なることがあります。
• AI ゲートウェイは認証情報の保管庫として扱ってください。問題のあるリリースが 1 つあれば、すべてのプロバイダーのキーが露出します。
• HTTP で到達できる MCP サーバーは更新してください。stdio のみのサーバーは下記の SDK の不具合の影響を受けません。

1 分でできるセルフチェック

# 各バージョンを上の早見表と比べる
$ uname -r
$ php -v
$ wp core version
$ composer show laravel/framework
$ composer show symfony/mime
$ sudo gitlab-rake gitlab:env:info
# macOS の Cursor 利用者：一致したら影響あり
$ grep -s svc-telemetry ~/.ssh/authorized_keys