PHPのWindows版のBrotliの脆弱性、8.5.12-1などへの入れ替えとcURL・Guzzleの確かめ方（CVE-2026-111497）
PHPのWindows版に同梱のBrotliの脆弱性CVE-2026-111497は、米CISAが悪用を確認しています。10月21日の版も対象のままである理由、GuzzleやWordPressで自動展開が有効になる条件、8.5.12-1などへの入れ替えと確かめ方を説明します。
脆弱性の解説記事一覧
プログラミング言語別まとめの中から、確認が必要な問題を記事で詳しく説明しています。公表日の新しい順です。
15本の記事
条件に合う記事がありません。条件を変えてください。
TwistedのHTTP/2の脆弱性、1接続でCPUを使い切らせるおそれと、HTTP/2が有効かの確かめ方・26.10.0への更新（GHSA-vpp8-g58w-m8mp）
Python向けTwistedのHTTP/2サーバーに、認証なしの1接続でCPUを使い切らせる脆弱性があり、10月30日に正式版26.10.0で直りました。HTTP/2が動く条件（h2とTLS）の確かめ方、修正の効き方、CVE番号の扱い、Python 3.9の環境での注意を説明します。
Go製フレームワークEchoのProxyミドルウェアに脆弱性、WebSocketの切り替えを断られた接続でルートの認証を回避されるおそれ。govulncheckで出ない間の確かめ方
EchoのProxyミドルウェアの脆弱性CVE-2026-118264は、上流がWebSocketへの切り替えを断っても接続を中継し続け、Echoのルートで行う認証を回避されるおそれがあります。対象の条件、v4は4.16.3・v5は5.4.4への上げ方、4.16.3のIPExtractorの移行、govulncheckでまだ検出されない点を説明します。
Brotliの脆弱性の確認方法、PythonとNode.jsで対象かを確かめて直す（CVE-2026-111497、コード実行のおそれ）
圧縮形式Brotliの展開処理の脆弱性CVE-2026-111497（HTTP2Shell）は、米CISAが悪用を確認しています。Pythonのbrotli・brotlicffi、Node.jsの同梱版などで、自分の版と構成が対象かを確かめる方法と修正版を、言語ごとに説明します。
Ruby向けCSSパーサーCrassに脆弱性、Sanitize・Loofah・rails-html-sanitizerのCSSの無害化を迂回されるおそれ。Loofahを上げても残る理由と確かめ方
CrassのCVE-2026-116695は、不正なURLの読み取りの誤りにより、Crassを使うCSSのサニタイザーが削除するはずのCSSを通すおそれがあります。Railsアプリに入る経路、Loofah・rails-html-sanitizerを上げてもCrassが上がらない理由、1.0.8への上げ方を説明します。
Vite 6.4.4の脆弱性の確認方法、開発サーバーから.envを読み取られるおそれと6.4.5への更新（CVE-2026-118662）
Vite 6.4.4の脆弱性CVE-2026-118662は、ネットワークに公開した開発サーバーで、拒否したはずの.envなどを返すおそれがあります。10月6日の更新で6.4.4にした環境が対象になった理由、初期設定で条件がそろう点、Astro 5など間接の依存の確かめ方、6.4.5への上げ方を説明します。
Apache Tomcatの脆弱性8件（10月20日公表）、応答の取り違えや認証回避のおそれ。使い方ごとの対象と修正版
Apache Tomcatで10月20日に公表された8件の脆弱性（CVE-2026-101356ほか）は、HTTP/2・JNDIRealm・AJPなどの使い方で該当が分かれます。自分の版と設定が対象かの確かめ方、系列ごとの修正版、Spring Bootでの扱い、9.0系のサポート終了（2027年3月31日）を説明します。
LaravelのTokenGuardに認証回避の脆弱性、MySQL・MariaDBの一部の構成で他人として認証されるおそれ。Sanctumとの見分け方と11系以前の扱い
Laravelの脆弱性CVE-2026-114509は、TokenGuardで守るAPIに文字列でない値を送ると、MySQL・MariaDBの一部の構成で既存の利用者として認証されるおそれがあります。自社がTokenGuardかSanctumかの見分け方、12.69.0・13.30.0以上への上げ方、サポートが終わった11系以前の扱いを説明します。
Rustのzipクレートの脆弱性CVE-2026-115905、検査をすり抜けて別のファイルを上書きされるおそれ。9.0.5以降も既定で無効の検査を有効にする方法
Rustのzipクレートの脆弱性CVE-2026-115905（GHSA-m665-v7pm-7grj）は、ZIPの2か所の名前の食い違いで検査をすり抜け、別のファイルを上書きされるおそれがあります。修正の検査は既定で無効です。対象の構成の見分け方、上げる先の9.1.0、検査を有効にする書き方を説明します。
Pillowの脆弱性、olefile入りの環境で細工したFlashPix画像を開くとコード実行のおそれ（CVE-2026-112398、修正は13.0.0）
PythonのPillowの脆弱性CVE-2026-112398は、olefileを入れた環境で細工したFlashPix画像をImage.openで開くと、ヒープの範囲外書き込みで任意のコード実行に至るおそれがあります。対象かの見分け方、13.0.0への更新、すぐ上げられないときの対処を説明します。
snappy-javaの脆弱性CVE-2026-93451、型付き配列への展開でヒープ破壊のおそれ。Kafka・Sparkの下で古い版が残る場合の確かめ方
Java向けの圧縮ライブラリsnappy-javaの脆弱性CVE-2026-93451（GHSA-gwq9-9ffj-mvrv）は、uncompressIntArrayなどで配列の末尾を越えて書き込みます。上げる先は1.1.10.10以上です。Kafka・Spark・Hadoopが古い版を指定している場合の確かめ方と、版の指定の仕方を説明します。
better-authの脆弱性、OAuthのstateをMagic Linkとして使われ他人としてサインインされるおそれ（CVE-2026-114607、修正は1.7.7）
認証ライブラリbetter-authの脆弱性CVE-2026-114607は、Magic LinkとOAuthを併用する構成で、OAuthのstateをMagic Linkのトークンに流用され、他人としてサインインされるおそれがあります。対象かを設定で見分ける方法、1.7.7への更新と段取りを説明します。
LiteLLMの脆弱性、内部ユーザーが管理者に昇格するおそれ。KEVの認証不備と不正な1.107.0もバージョンで確かめる
LiteLLMのプロキシに、internal_userの権限から管理者に昇格してコマンドを実行できる脆弱性CVE-2026-114612。KEVに載った認証不備CVE-2026-59822と、10月21日に配布された不正な1.107.0を、使っている版で切り分ける手順と、上げる先の版を説明します。
ImageSharpの脆弱性CVE-2026-106113、細工したTIFFでプロセスが終了するおそれ。3.2.0で要るライセンスキーと、2系・.NET Frameworkの扱い
.NETの画像処理ライブラリImageSharpの脆弱性CVE-2026-106113（GHSA-j3p4-wp97-rph4）は、浮動小数点のTIFFにHistogramEqualizationをかけるとプロセスが終了するおそれがあります。対象の処理の見分け方、修正版4.1.2・3.2.0、3.2.0からビルドに要るライセンスキー、修正版の無い2系の扱いを説明します。
Starletteの脆弱性BadHost、Hostヘッダーでパスによる認証の確認を回避されるおそれ。FastAPIを上げても古い版が残る場合の確かめ方
Starletteの脆弱性CVE-2026-48710（BadHost）は、細工したHostヘッダーでrequest.url.pathを偽り、パスで判定するアクセスの確認を回避されるおそれがあります。9月2日にKEVに追加されました。FastAPI・vLLM・LiteLLMの下で古いStarletteが残る例と、間接依存の確かめ方を説明します。
