ソフトウェア

セキュリティ ソフトウェア AI 2026.11.03 12

Cursor で配られた Claude Code 拡張の改ざん版とは？SSH の鍵の確認と削除、認証情報の更新

2026年10月29日、Cursor の拡張機能マーケットプレイスで、Anthropic.claude-code の改ざん版（2.1.312 と 2.1.313）が約11時間配布されました。攻撃者の SSH 公開鍵を足し、リバース SSH を張ろうとします。拡張機能を消しただけでは常駐物が残るため、Cursor の公式通知にもとづき、入れたかの確認、authorized_keys の確認、削除、環境の再構築と認証情報の更新の順に整理しました。

# SSH # サプライチェーン # 拡張機能

セキュリティ プログラミング ソフトウェア 2026.11.03 13

GitHub Actions の pull_request_target が12月2日から公開リポジトリで既定ブロックに？確認と準備

GitHub は2026年12月2日から、公開リポジトリで pull_request_target をイベントポリシーで許可しない限り既定でブロックします。その前の11月9日と16日には試験的な強制があり、対象のワークフローは失敗します。対象の範囲、自分のワークフローが影響を受けるかの確かめ方、pull_request に移せるかの判断、必要なときの許可の仕方、安全な使い方を、公式の告知とドキュメントにもとづいて整理しました。

# GitHub Actions # CI/CD # サプライチェーン

サーバー ソフトウェア セキュリティ 2026.11.01 12

Docker の PostgreSQL は初期化中だけ TCP で繋がらない？pg_isready が通っても復元が途切れる理由

DB のバックアップを実際に戻して確かめる自動の訓練が、「失敗」を出しました。ダンプは壊れておらず、原因は訓練の側でした。公式の PostgreSQL イメージは、初期化の途中だけ UNIX ソケットでしか受けない一時サーバーを立てるため、ホストを指定しない pg_isready が通ってしまい、復元の途中で切り替えに巻き込まれます。手元で再現した結果と、TCP で待つ直し方、訓練の誤報を減らす考え方を整理しました。

# バックアップ # Docker # PostgreSQL

サーバー ネットワーク ソフトウェア 2026.11.01 13

CDN が 404 を長く覚えてしまうのはなぜ？Cache-Control を応答の状態で分ける設定

新しく置いた画像が、配置したあともしばらく 404 のまま。原因は、拡張子が画像なら長いキャッシュを付ける設定が、404 の応答にも付いていたことでした。404 は仕様上キャッシュされうる応答で、max-age が付くと CDN はその長さだけ覚えます。再現した結果、Caddy と nginx の設定の落とし穴、正常な応答にだけ付ける書き方、確かめ方、すでに残った 404 の消し方を整理しました。

# Nginx # CDN # キャッシュ

セキュリティ サーバー ソフトウェア 2026.11.01 152

Linux カーネルの TCP の脆弱性（CVE-2026-98432）とは？対象の確認と更新、つなぎの対策

Linux カーネルの IPv4 の TCP 処理に、認証なしで外から突ける use-after-free（CVE-2026-98432、CVSS 9.8）が見つかりました。2026年10月15日に公開され、10月末にディストリビューション各社が告知を出しています。カーネル 4.4 以降が対象で、待ち受けポートを持つサーバーが関係します。修正版の番号、Debian・Ubuntu・RHEL の状況、修正が出るまでのつなぎの対策と注意点を、各社の一次情報で整理しました。

# Linux # TCP # 脆弱性

セキュリティ ソフトウェア AI 2026.10.31 7

LiteLLM 1.107.0 の混入とは？影響の確認と復旧、固定の考え方

AI モデルを一つの窓口でまとめて呼べる LiteLLM で、2026年10月21日に認証情報を盗む悪性コードを含む 1.107.0 が PyPI と Docker に公開されました。影響があったのは数時間だけですが、Python を起動するたびに動く仕組みのため、入ってしまった環境は認証情報の総入れ替えが必要です。公式の告知にもとづき、影響の時間帯、確かめ方、復旧の順序、今後に向けたバージョン固定とダイジェスト固定の考え方を整理しました。

# pip # Docker # サプライチェーン

セキュリティ ネットワーク ソフトウェア 2026.10.31 19

Ivanti Connect Secure の連鎖攻撃（CVE-2026-104935 ほか）とは？確認・更新・侵害調査

VPN 装置の Ivanti Connect Secure で、認証回避・コード実行・root への権限昇格が連鎖して悪用されています。3つの脆弱性（CVE-2026-104935・111357・118527）のうち後ろ2つが2026年10月30日に CISA の悪用確認済みの一覧（KEV）に加わりました。対象の版、修正版（25.1.1.3・22.8R2.6・25.1.3.0 以降）、更新の前にやること、メモリ上で動くため整合性チェッカーで見つからないおそれ、侵害が疑われるときの復旧手順を、Ivanti・CISA・Volexity の情報で整理しました。

# VPN # 脆弱性 # KEV

セキュリティ プログラミング ソフトウェア 2026.10.30 54

GitHub Actions のロックファイル（actions.lock）とは？SHA 固定との違いと導入手順

2026年10月28日に一般提供になった GitHub Actions のワークフローのロックファイル（.github/workflows/actions.lock）を、GitHub の Changelog と公式ドキュメントで整理しました。タグが付け替えられても、ロックしたコミットだけが動く仕組み、コミット SHA 固定との違い（間接的な依存も固定できる、リポジトリの同一性も確かめる）、gh actions-lock での導入手順、Dependabot との連携、組織で必須にする方針（Require lockfile）の試行運用、固定できないものと注意点までまとめています。

# GitHub Actions # CI/CD # サプライチェーン

セキュリティ サーバー ソフトウェア 2026.10.30 53

2026年のセキュリティ更新の記録：修正からKEV追加までの日数と、ツール別の解説一覧

2026年に取り上げたセキュリティの更新を、時系列の表とツール別の入口にまとめた記録ページです。毎月、追記していきます。2026年10月の PHP2Shell・HTTP2Shell・GitLab・Linux カーネル（Fragnesia）・Laravel・VS Code・eMudhra の件を整理し、修正の公開から CISA の悪用確認済みの一覧（KEV）に載るまでの日数が5日から5か月以上まで幅があること、期限が3日の項目と14日の項目があることを、公式のデータで比べています。

# Laravel # PHP # Linux