7 min
Mini Shai-Hulud 2nd Waveの概要と対策
2026年5月11日から発生した`@tanstack`エコシステムを中心とする「Mini Shai-Hulud」サプライチェーン攻撃の第二波について、侵害手法、被害内容、そして具体的な対策の概要を解説します。
35件
4 min
VercelでSubdomain Takeover出来るのか
少なくとも現在はVercelでSubdomain Takeoverを行うことは難しい。
Bits · 33 件
Git、再帰クローン時のコード実行
極端に長い index パスが切り詰められ、サブモジュールの .git を悪意あるフックへ差し替えられる。修正は 2.56.1 と、2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2。
Railway、顧客変数を復号した侵入
10月20日から21日の侵入で、最大約 10 万ワークスペースの環境変数が復号された可能性がある。中心は AI プロバイダの鍵。不正利用の見積もりは約 74 万ドル。
strutil-core 1.0.1、インストール時の資格情報窃取
RubyGems は公開から約 5 時間で 1.0.0 と 1.0.1 を削除した。入れたホストでは、GitHub トークンを失効する前に net-health-checker と pkg-runtime を止める。
Alpine OpenSSH、パスワード無しアカウントへの認証バイパス
257〜1024 バイトのパスワードが、パスワード未設定のアカウントへ通る。openssh を上げて sshd を再起動するか、PasswordAuthentication を no にする。CVE 番号は未採番。
Rails Active Storage、ImageMagick 解析の任意ファイル読み書き
activestorage を 8.1.4.1 または 8.0.5.2 へ上げる。:mini_magick と信頼できないアップロードを併用する構成では、添付だけで任意ファイルの書き込みと Disk 保存時の読み取りが可能。CVSS 9.8。
Ubuntu apt、ダウンロード再試行時のハードリンク処理
経路上の攻撃者が HTTP を操作し、リダイレクト後のパッケージ再取得とハードリンクの扱いの不備で未検証パッケージを入れさせ、root 権限のリモートコード実行に至りうる。CVSS 4.0 ベース 7.7（High）。Acquire::Retries が 0 以外が前提で、22.04 以降の既定 3 では該当しうる。
CodeQL 2.27.3
GitHub Actions 向け CFG が共有ライブラリに統一され、legacy の Completion クラスは削除。カスタムクエリは DirectSuccessor などの辺ラベルへ置き換えが必要。macOS 27（および macOS 26 で Xcode 27 選択時）ではコンパイル言語の autobuild／manual ビルドは非対応。
Xen、Grant Copy の任意読み書き
Grant Copy バッチの内部キャッシュ再検証が誤り、フレーム番号と grant 参照の混同と自メモリ以外へのフレーム番号コピー制限のすり抜けが生じる。悪意あるゲストは Dom0 を含む他ドメインの任意メモリを読み書きしうる。Xen 4.6 以降が対象で既知の緩和策はなく、安定ブランチ向けパッチ適用が解決策。
RHEL 9、カーネル IPv4 TCP の Use-After-Free
再送 TCP 接続要求やソケット移行の競合で socket オプションが使用中に解放されうる use-after-free。Red Hat CVSS 3.1 ベース 9.8（Critical）。修正カーネル 5.14.0-687.64.1.el9_8。適用後の再起動が必要。
Ivanti Connect Secure、悪用確認済みの認証不要コマンド実行
CISA が既知悪用脆弱性カタログに CVE-2026-111357（重要機能の認証欠如による権限昇格）と CVE-2026-118527（予測可能な識別子による任意内容ファイルの既知パスへの書き込み）を追加した。いずれも CVE-2026-104935 と連鎖悪用の対象。25.1.1.3 または 22.8R2.6 以上、もしくは影響外の 25.1.3.0 以降への更新が必要。
LXD、HTTPS 相互 TLS の証明書検証不備
LXD 4.0.14／5.0.10／5.21.8／6.9 以前で、提示チェーン内の信頼済み公開証明書だけを並べ替えて任意の TLS クライアントとして認証できうる。CVSS 4.0 ベース 10.0（Critical）。修正は各 LTS 系 snap の 4.0.15、5.0.11、5.21.9、6.10.1。
Claude Code、Cursor Marketplace 悪意版 2.1.313 とレジストリ記録の乖離
Open VSX と npm の公開履歴に 2.1.313 が残らず、配布経路は Cursor Marketplace に限定される。初期の macOS 解析では authorized_keys への svc-telemetry 追記、逆 SSH トンネル、LaunchAgent 等の常駐が報告されている。
Composer 2.11.0、vendor 脱出と lock へのトークン混入
dist の失敗時に source へ落ちる挙動と source-fallback は 2.11.0 で消える。cooldown は既定オフで、有効にするとセキュリティ修正も公開直後は入らない。
Anthropic.claude-code、Cursor マーケットプレイス 2.1.312/2.1.313 改変版
改変版はホスト情報を外部送信し、authorized_keys に svc-telemetry 鍵を追記する。macOS は LaunchAgent、Windows は SysMon 予約タスク等で逆 SSH を約60秒間隔で再試行する。拡張の削除だけでは常駐スクリプトが残る。攻撃者サーバーは停止済み。
Drupal Commerce、悪用確認済みのアクセス迂回
一部ルートとエンティティフィールドの保護不足で認可を迂回でき、ベンダーの金銭被害に至りうる。深刻度 Highly critical（21/25）。実環境での悪用確認あり。2.41 未満、または 3.0.0 以上 3.3.13 未満が対象。
PHP、悪用確認済みの未認証リモートコード実行
OOM 処理の抜けとリクエスト間に残るワーカー内部状態の組み合わせで、認証なしのリモートコード実行に至りうる。CISA は両 CVE を KEV に載せ、サポート中の 8.2 / 8.3 / 8.4 / 8.5 系は 8.2.35・8.3.36・8.4.27・8.5.12 へ上げるよう促している。
Tailscale SSH、認可済み接続の特権昇格
認可済み接続がローカルユーザ権限を超える特権昇格が中心で、ポリシーと転送設定により影響が分かれる。修正版適用に加え、転送だけ止める TS_SSH_DISABLE_FORWARDING=1 や SSH ポリシー見直しが暫定対処として示されている。
.NET、Brotli デコーダの境界外書き込み
Brotli 展開で攻撃者制御データを扱う .NET 8/9/10 および 11 プレビューにバッファオーバーフローがあり、CVSS 3.1 ベースは 8.1（High）。ASP.NET Core と HttpClient の既定設定では Brotli 自動展開は無効。.NET Framework は対象外。
Envoy、Brotli 展開の境界外書き込み
Brotli 展開を有効にした Envoy 1.18.0 以上 1.40.0 未満で、細工した Brotli ストリームからリモート未認証攻撃者が隣接デコーダ状態の破壊・機密メモリの漏洩・DoS・任意コード実行に及びうる。CVSS 4.0 ベース 9.2（Critical）。修正は 1.40.0 または各サポートラインの 1.39.3 / 1.38.6 / 1.37.8 / 1.36.12。
LiteLLM、v1.107.0 のサプライチェーン侵害
リリースパイプライン乗っ取りで PyPI 七 wheel と Docker 複数タグにコンパイル済みマルウェアが載った。GitHub 正規 v1.107.0 ソースタグは無汚染で、類似 org フォーク由来の署名付き成果物。公開は PyPI で約2時間。Enterprise 私有レジストリは対象外。
Codex Security、OSS の CLI / TypeScript SDK
@openai/codex-security が Apache-2.0 で公開され、リポジトリ走査・差分レビュー・CI / pre-commit・一括スキャンを端末と TypeScript から同じスキャナで回せる。
Nuxt、4.5.1 / 3.21.10 セキュリティパッチ
server island props 経由のサーバー側 RCE や不正なコンポーネント生成、route rule 認可バイパス、サーバーコンポーネント DoS などを修正。lockfile 更新で @nuxt/devtools 3.3.1 の開発時 Critical RCE 修正も取り込む。
Apple A12/A13、usbliter8 BootROM 脆弱性
Paradigm Shift が Synopsys DWC2 USB コントローラの DMA 不整合と SecureROM 設定の組み合わせで A12・S4/S5・A13 の BootROM を侵害する usbliter8 を公開した。不変の BootROM のため新ハードウェアへの移行が実効的な対処となる。
OpenAI、Secure MCP Tunnel
プライベートな MCP サーバーを公開せずに、ChatGPT や Codex などから利用するためのアウトバウンド専用トンネル機構を案内した。tunnel-client が OpenAI 側のキューを長輪講し、ローカルに転送して応答を返す。
Claude Code、Security Guidance プラグイン
Claude Code のプラグインとして、コード編集時にコマンドインジェクションや XSS などの危険パターンを検出して警告する Security Guidance が追加された。
OpenAI Daybreak、AI主導の脆弱性発見・修正プラットフォーム
AIによる推論を活用し、コードベース全体から脆弱性を特定して修正案の検証までを行うセキュリティプラットフォームが発表された。
deepsec、コーディングエージェント活用セキュリティスキャナ
コーディングエージェントを活用し、コードベースの脆弱性を調査するオープンソースのセキュリティスキャナであるdeepsecが公開された。
pnpm 11
Node.js 22 以上が必須で本体は pure ESM になった。供給網向けの既定が強まり、ストアは SQLite インデックス、publish 系は npm CLI 非依存のネイティブ実装に切り替わった。
Langflow、CVE-2026-33017で公開フロー構築APIに未認証RCE
CVE-2026-33017、POST /api/v1/build_public_tmp の任意data経由でexecに至る未認証RCE、CVSS 9.3、影響は1.8.1以下、修正は1.9.0以上。
Deno Sandbox発表
信頼できないコードを安全に実行するための軽量Linux microVM API。ネットワーク制御やシークレット保護機能を備え、Deno Deploy上で動作する。
Node.jsがasync_hooks起因のDoS脆弱性などに対応したセキュリティリリースを公開
Node.jsが3件のHigh深刻度脆弱性（Buffer確保、ファイルシステム権限バイパス、HTTP/2クラッシュ）と、async_hooksに起因するDoS脆弱性（CVE-2025-59466）などを含むセキュリティリリースを公開した。影響を受けるリリースラインは20.x, 22.x, 24.x, 25.x。
React2Shellセキュリティ脆弱性
React Server Componentsの重大な脆弱性「React2Shell」（CVE-2025-55182）が公開され、リモートコード実行の可能性がある。パッチバージョンへのアップグレードが推奨される。
Pollyfill.io の売却
ブラウザーの互換性を解決するためのサービス Pollyfill.io が、中国の Funnull 社に売却されました。現代のサービスで Pollyfill.io が必要になることはほぼないと思いますが、今でも少なくないサービスで利用されています。