セキュリティ週報 2026-W45：Symfony、Next.js、WordPress

修正版の早見表

今週の出来事

Symfony が 21 件の問題をまとめて修正High11/4 · High 5 件、Medium 10 件、Low 6 件

Symfony は 5.4.56、6.4.50、7.4.23、8.1.11 とともに 21 件のアドバイザリを公開しました。High のものは次のとおりです。YAML パーサーが 93 バイトのドキュメントに数秒を費やす問題（CVSS v4 8.7）、X509 認証器がクライアント証明書から誤ったユーザーを読み取る問題（CVE-2026-118513、CVSS v4 7.7）、リクエストからサーバー上のファイルを読める Serializer の不具合 2 件（CVE-2026-118515 と DATA: スキームの不具合）、細工したパスがベースディレクトリの外に出られる Filesystem\Path の問題です。

2 件はアクセス制御を弱めます。6.4.29 以降、/index.phpadmin が /admin としてルーティングされるため、nginx や CDN の /admin に対するルールを回避できます。Symfony 自身の access_control はこの件の影響を受けません。また、HEAD リクエストは GET に限定した access_control のルールをすり抜けます（CVE-2026-118514）。

やることcomposer update "symfony/*" を実行し、上記のバージョンになっていることを確認してください。W44 の 6.4.49 と 7.4.22 では不十分です。2 つのコンポーネントは古いラインに修正がありませんが、それはそのラインに存在しないためです。HtmlSanitizer は 6.1、JsonPath は 7.3 からなので、5.4 にはどちらも該当せず、修正はそれぞれ 6.4.50 と 7.4.23 からです。

出典Symfony のアドバイザリ · Symfony 8.1.11 · GHSA-hwfg-qwvh-2wfx · GHSA-3h27-hjv7-fqjx · Packagist

Next.js 16.4.5 と 15.5.29 が 7 件を修正High11/3 · High 1 件、Medium 6 件

先週予告されたリリースは次の問題を修正しています。Cache Components と use cache で、あるテナントやユーザーのデータを別の相手に返してしまうキャッシュの不具合。取得した Response をそのまま返すセルフホストのアプリでのレスポンスのフレーミングの不具合。Edge ルートで内部ヘッダーを通じて Cookie が漏れる問題。画像最適化における SVG チェックのバイパス。Next.js は unstable_cache と use cache の取り違えを High としていますが、GitHub のデータベースでは Medium です。

やることnext@16.4.5 または next@15.5.29 に更新してください。

出典Next.js · GitHub のアドバイザリ · npm

前週から継続：WordPress のアップグレード中の RCE の悪用を確認High11/3 KEV 追加 · W44 から

CISA は 11/3 に CVE-2026-119977 を悪用済み脆弱性のカタログに追加し、パッチ適用だけでなくフォレンジックによる調査の対象としました。修正は変わらず 7.1.4 で、7.0.8 から 4.7.39 までのバックポートとあわせて、いずれも 10/28 のものです。

やることwp core version で確認してください。7.1.3 以前のままだったサイトは、自分でデプロイしていないファイルがないか調べてください。

出典CISA KEV · WordPress · リリースアーカイブ · Wordfence

2024 年の Apple WebKit の脆弱性が KEV に

Not rated · 11/4 KEV 追加 · CVE-2024-27834

CISA は、すでにメモリの読み書きができる攻撃者が Pointer Authentication を回避できる WebKit の脆弱性を掲載しました。Apple は 2024 年 5 月に Safari 17.5、macOS Sonoma 14.5、iOS と iPadOS の 17.5 と 16.7.8、および対応する tvOS と watchOS のリリースで修正しています。

やることApple 製デバイスが更新を受け取っていれば対応は不要です。古いリリースに固定している Mac や iPhone があれば確認してください。

出典CISA KEV · Apple、Safari 17.5 · Apple、macOS 14.5 · Apple、iOS 17.5

SonicWall SSLVPN の SAML バイパスが KEV に

Not rated · 11/6 KEV 追加 · CVE-2026-19868

CISA は 11/6、別のサインイン方式の有効な認証情報を持つユーザーが SAML（SAML で強制した MFA を含む）を回避できる SonicOS SSLVPN の脆弱性を追加しました。影響を受けるバージョンと対処方法は SonicWall の SNWLID-2026-0014 に従ってください。

出典CISA KEV · SonicWall SNWLID-2026-0014

nginx：今週の新しい修正はなし、10 月の修正を確認Medium10/14 · 本週報では初掲載

nginx は、1.30.6 と 1.31.7 で Medium の不具合 5 件を修正した 10/14 以降、セキュリティ関連のリリースを出していません。修正された不具合には、alias と rewrite の組み合わせや文字列式でのバッファオーバーフロー、HTTP/3 のリクエストボディのインジェクションが含まれます。10/21 の 1.31.8 にセキュリティ修正はありません。公式の nginx:alpine イメージは 1.31.8、stable-alpine は 1.30.6 です。

やることnginx -v を実行してください。1.30.6 または 1.31.7 より古い場合は更新が必要です。浮動タグを使っているイメージは、新しいバージョンを取り込むよう再ビルドしてください。nginx が PHP アプリの /admin を守っている場合は、上記の Symfony の修正も適用してください。

出典nginx のアドバイザリ · nginx のニュース · nginx CHANGES · Docker Hub

GitLab：10/29 以降の新しいパッチはなしCritical10/29 KEV 追加 · W44 から

11/8 時点で GitLab のパッチリリースのフィードに 10/29 以降の項目はなく、19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11、18.11.14 が引き続き適用すべきバージョンです。悪用されている CI の正規表現 RCE、CVE-2026-97229 があるため、更新は急を要します。今週は GitLab Runner 19.5.3、19.4.4、19.3.6 も続いてリリースされ、Brotli、xz-libs、docker-machine の CVE を修正するためにベースイメージが再ビルドされています。

やることGitLab 本体に加えて、セルフホストの GitLab Runner を 19.5.3 に（19.4 と 19.3 のラインでは 19.4.4 または 19.3.6 に）、セルフホストの AI Gateway を使用中のラインの 10/29 のバージョン（19.5.3 から 18.11.8 まで）に更新してください。GitLab をアップグレードしても、どちらも更新されません。

出典GitLab 19.5.3 · GitLab のパッチフィード · CISA KEV · Runner 19.5.3 の変更履歴

出典Amazon Linux · GHSA-vqc8-7275-q272 · GHSA-f9x3-7vq9-cph6 · php.net

来週：11/11 に Node.js

Node.js は 11/11（水）またはその直後に 26.x、24.x、22.x をリリースします。最も深刻な問題は High と評価されています。詳細はリリースと同時に出ます。

出典Node.js

CLI エージェント利用者向けのサプライチェーン対策

• データベースの MCP サーバーには読み取り専用のアカウントを渡してください。サーバー自身の読み取り専用スイッチは SQL パーサーであり、パーサーは見落とすことがあります。
• 使っている MCP リファレンスサーバーを更新してください。git、fetch、filesystem はいずれも 10 月下旬に修正がありました。
• ベースイメージの更新後はイメージを再ビルドしてください。浮動タグは実行中のコンテナを変えません。

1 分でできるセルフチェック

# 各バージョンを上の早見表と比べる
$ composer show "symfony/*"
$ npm ls next
$ wp core version
$ nginx -v
$ sudo gitlab-rake gitlab:env:info
$ uname -r

W44 への補足

• GitLab AI Gateway：W44 では Runner しか挙げていませんでしたが、GitLab の 10/29 のリリースでは、セルフホストの AI Gateway も 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 のいずれかへの更新が必要です。GitLab 19.5.3
• MCP リファレンスサーバー：W44 のエージェント関連の表では、10/25〜10/28 のアドバイザリ 6 件が抜けていました。3 件は今週の表に載せています。残りは mcp-server-fetch の NAT64 に関する保護の不備（2026.10.24 で修正）、server-filesystem の TOCTOU、server-everything の環境変数の漏えい（後の 2 件はいずれも 2.0.1 で修正）です。MCP servers のアドバイザリ
• WordPress のバックポート：W44 では 6 つを挙げましたが、10/28 には 7.0 から 4.7 までのすべてのブランチにバックポートが出ており、合計 24 です。リリースアーカイブ
• Next.js の深刻度：W44 は予告の「Medium 7 件」を引用しましたが、リリースではそのうち 1 件が High、6 件が Medium とされています。Next.js