先に要点
- この記事は、2026年に取り上げたセキュリティの更新を時系列の表とツール別の入口にまとめた記録ページです。毎月、追記していきます（最終確認：2026年11月2日）。個々の脆弱性の詳しい確認方法と更新手順は、表からリンクした解説記事にあります。
- 2026年10月は、PHP（PHP2Shell）、Brotli（HTTP2Shell）、GitLab、Linux カーネル（Fragnesia）、Cisco ASA/FTD、Ivanti Connect Secure の6件が、CISA の「悪用が確認された脆弱性」の一覧（KEV）に載りました。Laravel の認証回避、VS Code を狙う手口、認証局 eMudhra の鍵漏えいも取り上げています。
- 修正の公開から KEV に載るまでの日数は、1日から5か月以上まで幅がありました。下の表の5件では、期限が3日の項目は侵害調査つき、14日の項目は侵害調査なしでした。「KEV に載ってから動く」では、3日しかないことがあります。
- 古い月の記述は「その時点の記録」です。版や状況は動くので、作業の前に必ず公式の最新を確かめてください。
「最近、重大な脆弱性のニュースが多くて、何から見ればいいか分からない」という方向けの記事です。ニュースは流れて消えていきますが、自分の環境に関係するものを一度に見渡せる場所があると、見落としが減ります。
この記録ページは、サイトで解説した更新を月ごとに並べ、どのツール・サービスの話か、KEV に載ったか、どの解説記事を読めばよいかを示します。日付と期限は、CISA の KEV のデータと NVD の掲載日をもとにしています。
2026年10月の更新一覧
| 日付（2026年） | ツール・サービス | 内容 | KEV | 解説記事 |
|---|---|---|---|---|
| 10月12日・21日 | GitLab（自社運用版） | 認証なしでコード実行を受けうる CVE-2026-97229 と、同種の CVE-2026-110264（どちらも CVSS 10.0）。最初の修正版では足りない | 10月29日に追加（97229） | GitLab の重大な脆弱性 |
| 10月21日 | LiteLLM（Python） | 1.107.0 が認証情報を盗む状態で PyPI と Docker に数時間だけ公開。1.106.2 以前は安全 | 9月に別件で追加済み（今回の版は対象外） | LiteLLM 1.107.0 の混入 |
| 10月13日・29日 | Ivanti Connect Secure（VPN 装置） | 認証回避からのコード実行（CVE-2026-104935）、権限昇格（CVE-2026-111357）、ファイル書き込み（CVE-2026-118527）の3件が連鎖して悪用。上げ先は 25.1.1.3・22.8R2.6・25.1.3.0 以降 | 10月13日（104935）、10月30日（残り2件）に追加 | Ivanti Connect Secure の連鎖攻撃 |
| 10月28日 | Cisco ASA/FTD（VPN 装置） | SSL VPN に二次認証を設定した装置を、認証なしで再起動させられる（CVE-2026-76418、CVSS 8.6）。修正版は系統ごとに異なる | 10月29日に追加（期限は11月1日） | Cisco ASA/FTD の SSL VPN の脆弱性 |
| 10月15日・30日 | Linux カーネル（TCP） | IPv4 オプション付きの SYN の再送で、解放済みのメモリが読まれる（CVE-2026-98432、CVSS 9.8）。Debian は修正版あり、Ubuntu と RHEL は10月30日時点で未公開 | 2026年11月1日時点で未掲載（実証は報告されている） | Linux カーネルの TCP の脆弱性 |
| 10月21日 | BIND 9（DNS サーバー） | GSS-TSIG 署名つきの UDP メッセージの再送でメモリが壊れる（CVE-2026-94300、CVSS 8.1）。修正版は 9.20.30・9.21.27 | 2026年10月31日時点で未掲載（ISC は悪用を把握していないと記載） | BIND 9 の GSS-TSIG の脆弱性 |
| 10月21日 | PHP | PHP2Shell（CVE-2026-109618・109619）。認証なしでコード実行。修正版 8.5.12・8.4.27・8.3.36・8.2.35 | 10月26日に追加 | PHP2Shell とは |
| 10月22日 | Brotli（Node.js・Python など） | HTTP2Shell（CVE-2026-111497）。細工した圧縮データを展開するだけでコード実行を受けうる | 10月27日に追加 | HTTP2Shell とは |
| 10月（判明） | 認証局 eMudhra | 中間CA 8つの秘密鍵の漏えい。ブラウザは遮断済みだが、ブラウザ以外の信頼する証明書の一覧は更新が要る | CVE なし | eMudhra の中間CA漏えい |
| 10月（報告が続く） | VS Code | 採用の課題を装って悪意あるリポジトリを開かせ、tasks.json の自動タスクで攻撃コードを動かす手口 | CVE なし（攻撃の手口） | VS Code の悪意あるリポジトリ |
| 10月（JPCERT/CC の10月28日の週報で言及） | Laravel | TokenGuard の認証回避（CVE-2026-114509）。修正版は 13.29.0・12.68.0（8月25日公開） | 載っていない | Laravel TokenGuard の認証回避 |
| 5月23日（NVD 掲載）→ 10月28日 | Linux カーネル | Fragnesia（CVE-2026-46300）。権限昇格。PHP2Shell と組み合わせた攻撃が報告された | 10月28日に追加 | Linux カーネルの Fragnesia |
10月26日には、PHP2Shell について JPCERT/CC の注意喚起が更新され、10月29日には、PHP2Shell と Linux カーネルの脆弱性を組み合わせた実際の侵害例が、あらためて伝えられました。別々に見えるニュースが、実際にはつながっているのが、この月の特徴です。
修正から KEV に載るまでの日数
「修正版が出てから、実際に悪用されるまで、どれくらい猶予があるのか」は、更新の計画を立てるうえで気になる点です。今月の5件について、公式のデータで日数を数えました。Ivanti Connect Secure は3件の脆弱性が10月13日と30日に分かれて追加されたため、この表には入れていません。
| 脆弱性 | 修正・掲載の日 | KEV に追加 | 日数 | 期限 | 侵害調査 |
|---|---|---|---|---|---|
| PHP2Shell | 10月21日（修正版の公開） | 10月26日 | 5日 | 10月29日（3日後） | あり |
| HTTP2Shell | 10月22日（NVD 掲載） | 10月27日 | 5日 | 11月10日（14日後） | なし |
| GitLab | 10月12日（修正版の公開） | 10月29日 | 17日 | 11月1日（3日後） | あり |
| Cisco ASA/FTD | 10月28日（アドバイザリの公開） | 10月29日 | 1日 | 11月1日（3日後） | あり |
| Fragnesia | 5月23日（NVD 掲載） | 10月28日 | 158日 | 10月31日（3日後） | あり |
| Laravel（参考） | 8月25日（修正版の公開） | 載っていない | 66日が経過（10月30日時点） | — | — |
猶予は短いことがある
PHP2Shell と HTTP2Shell は、修正の公開から5日で KEV に載りました。修正版が出た週のうちに更新の計画を立てるのが、現実的な目安です。
古い脆弱性が突然、使われる
Fragnesia は、5月に公表されていたものが、10月に PHP2Shell と組み合わされて悪用されました。時間が経った脆弱性でも、別の脆弱性と連鎖すると急に危険になります。
期限が短い項目は調査つき
表の5件では、期限が3日の4件はすべて侵害調査の対象で、14日の1件は侵害調査なしでした。ほかの月も同じになるかは分かりません。KEV の項目ごとに、期限と侵害調査の印を見るのが確実です。
KEV に無いものも見る
Laravel の件は KEV に載っていませんが、認証を回避される重大な問題でした。KEV は「悪用が確認された」ものの一覧で、載っていないものが安全という意味ではありません。
日数は、修正版の公開日または NVD への掲載日から、KEV の追加日までを数えています。PHP と GitLab は公式の告知にある修正版の公開日、HTTP2Shell と Fragnesia は NVD の掲載日を使いました（NVD の掲載日は、修正版の公開日と異なることがあります）。KEV の見方と優先度の付け方は KEVカタログとは？ で解説しています。
ツール別の入口
自分が使っているものから、関係する記事をたどれるように整理しました。
言語・フレームワーク
PHP2Shell、HTTP2Shell（Node.js・Python など）、Laravel の TokenGuard。Laravel の使いどころは Laravelとは？向いている案件 も参照。
サーバー・OS
Linux カーネルの Fragnesia。カーネルの更新は再起動が要るので、計画を先に立てておきます。
開発基盤・開発ツール
自社運用の GitLab、VS Code と悪意あるリポジトリ。開発者の端末と開発基盤は、供給網の一部として狙われます（サプライチェーンとは）。
証明書・HTTPS
eMudhra の中間CA漏えい。ブラウザ以外が持つ「信頼する証明書の一覧」の更新が要ります。
この記録の読み方：古い月の記述について
この記録は、各月の時点で何が起きたかを残すものです。数か月たつと、版や状況が変わります。
表にある「修正版」「期限」「KEV」は、書かれた月の時点のものです。実際に更新するときは、リンク先の解説記事の確認日を見たうえで、公式の最新の告知（各ツールのリリース一覧、KEV、NVD）で最新の修正版を確かめてください。サポートが終わった版は、修正版が出ないこともあります（EOLとLTSの違い）。
解説記事の側も、続報があれば追記し、確認日を更新します。
毎月の動きを、自分で拾うには
この記録に載らないものは、自分で拾う必要があります。方法は、脆弱性情報の集め方に整理しています。最低限の流れは次のとおりです。
毎月のセキュリティ更新の拾い方
- 1使っているものの一覧を持つ
OS、言語、フレームワーク、開発基盤、ブラウザ、機器。何が動いているかが分からないと、ニュースが自分に関係するか判断できない。
- 2
- 3該当するものは、期限を決めて更新する
KEV に載ったものは、期限を確認して最優先で更新する。再起動が要るものは、時間を先に確保する。
- 4更新後に版を確かめ、痕跡を見る
動いている版が修正済みかを確かめる。悪用が確認されたものは、更新の前に証拠を残し、痕跡も調べる。
よくある質問
この記録ページは、どれくらいの頻度で更新しますか？
月に一度、その月に取り上げた更新を追記します。大きな続報があれば、その解説記事と合わせて直します。更新したときは、このページの確認日も変えます。
解説記事のない脆弱性は、載りませんか？
はい。この記録に載るのは、サイトで解説した更新だけです。すべての脆弱性を網羅するものではありません。網羅的に見るには、KEV や JVN の一覧を直接見るのが確実です。
「KEV に載っていない＝安全」ですか？
いいえ。KEV は、悪用が確認されたものの一覧です。載っていなくても、公開された修正が出ている重大な脆弱性は、通常の更新の計画で対応します。
優先度は、どう決めればよいですか？
KEV に載っているか、自分の環境に該当するか、インターネットから届く場所にあるかの3点で決めます。詳しくは KEVカタログとは？ を参照してください。
まとめ
- この記事は、2026年に取り上げたセキュリティ更新の記録ページ。毎月、追記する
- 10月は、PHP2Shell・HTTP2Shell・GitLab・Fragnesia・Cisco ASA/FTD・Ivanti の6件が KEV に載った。Laravel・VS Code・eMudhra も取り上げた
- 修正から KEV に載るまでは1日〜158日。修正版が出た週に計画を立てる。期限が3日の項目は、侵害調査も求められる
- 古い月の記述は「その時点の記録」。作業の前に、公式の最新で確かめる