--- title: "Node.js、Java、および Python: 最近の脆弱性と修復ガイド" description: "ブランチ固有のパッチ ベースライン、エクスポージャー条件、一時的な緩和策、実稼働検証を使用して、ランタイム、フレームワーク、証明書の更新を確認します。" language: "ja" url: "https://keendigit.com/ja/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js、Java、および Python: 最近の脆弱性と修復ガイド ブランチ固有のパッチ ベースライン、エクスポージャー条件、一時的な緩和策、実稼働検証を使用して、ランタイム、フレームワーク、証明書の更新を確認します。 **2026 年 10 月 23 日時点で確認されたソース (UTC)** **対象期間: 2026 年 7 月 25 日から 10 月 23 日まで、9 月から 10 月の新しい発表とその後のパッチに焦点を当てます。** **対象者: Node.js、Java、Python サービス、コンテナー、ビルド パイプライン、開発環境を保守するエンジニアとセキュリティ対応者。** この記事では、Node.js、Java、および Python ランタイム、標準ライブラリ、一般的なサーバー フレームワークと依存関係における最近の重要なセキュリティ リスクを要約し、影響範囲、修正バージョン、一時的な軽減策、パッチの選択、および検証方法を提供します。 コンポーネントのバージョン、有効な機能、アクセス可能なエントリ ポイントに対する影響を評価します。脆弱性に関する事実は公式勧告から得られます。以前のパッチ リリースが明示的に記載されていない限り、日付は公開を指します。未確認のエクスプロイト条件、CVSS スコア、または実際のエクスプロイトについては推測しません。導入に関するアドバイスは、導入に関するガイダンスとして認識されます。 ## TL;DR: 修復の優先順位 1. **最初に実際にサービスをホストするランタイムを更新します。** 対応するものを更新します Node.js 少なくとも分岐する **22.23.4 / 24.22.1 / 26.12.1** 。を使用したサービス Node 24 にアップグレードできます **24.22.1 同じメジャー バージョンまたはそれ以降のバージョン内** 同じ修正が含まれています。 [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-2) 2. **アップデート Node アプリケーションの依存関係を個別に確認します。** のために Next.js 、 使用 **15.5.28 / 16.4.1** アップグレードのベースラインとして。使用するとき React Server Components 実際にインストールされているものを個別に確認してください `react-server-dom-*` パッケージ。更新のみ Node binary はこれらのフレームワークの脆弱性をカバーしていません。 [S8](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-8) [S9](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-9) [S10](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-10) [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) [S12](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-12) 3. **Java : 両方のアップデートをカバーします。** 10 月 20 日の両方をカバーするベンダー ビルドをインストールします。 CPU そして10月21日 **CVE-2026-91403** 緊急証明書の信頼修正。セクションを参照 2.2 のために Oracle JDK 11 -27 の帯域外バージョン。他のディストリビューションを、独自のセキュリティ パッケージおよび完全なビルド番号と比較して検証します。対応するものを更新します Tomcat に分岐する **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : インタプリタ、アプリケーション パッケージ、証明書パッケージを個別に更新します。** セクションを参照 2.3 インタプリタのベースライン用。 `certifi` 推奨します **≥ 2026.10.19** , `pip` **≥ 26.2.2** 、使用するときは `uv` **≥ 0.13.4** 。既存のすべての venv をチェックする必要があります。のために `wrap_bio()` 関連コード、正しく、空ではない `server_hostname` も渡す必要があります。 [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) 5. **即時のアップグレードが不可能な場合は、関連するエントリ ポイントでのリスクを軽減します。** 信頼できないものを停止することを優先する Brotli デコード、影響を受ける画像/ページング/アーカイブ処理、および問題の切り分け LDAP または認証エントリ。維持する TLS 証明書とホスト名が検証されました。インバウンド WAF 悪意のある圧縮応答をプルするアプリケーションなどのアウトバウンド パスをカバーすることはできません。 [S3](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-3) [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) [S25](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-25) [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27) [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30) [S32](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-32) 6. **再構築し、古いプロセスを置き換え、実際のサービス パスを通じて検証します。** ロック ファイルとイメージ ダイジェストを保存し、アプリケーションとイメージを再構築し、すべてのワーカー/JVM/コンテナーの置き換えをロールアウトします。実際のプロセス、依存関係ツリー、トラスト ストア、ビジネス回帰テストを確認します。新しいコマンド ライン バージョンだけでは、修復が完了したとは言えません。 7. **LiteLLM 1.107.0 がインストールまたは実行されている場合は、インシデント対応手順に従ってください。** プロジェクトは、10 月 21 日にリリース侵害を確認しました。影響を受ける環境を隔離し、クリーンな環境から調査し、公開された資格情報を再構築してローテーションします。まずは確認のため、怪しい環境ではPython/pipを起動しないでください。詳細については、セクション 9 を参照してください。 [S41](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-41) ## 1. 脆弱性の概要とリスク評価 ### 1.1 実際のエクスポージャーによる修復を優先します 以下の展開の優先順位は実装のガイダンスです。重大度ラベルは各ベンダーに従います。 Apache ’s **Important** 評価。 CVSS 3.1 そして 4.0 異なるスコアリングシステムです。スコアだけで問題をランク付けしないでください。 | 生態系・層 | 主要な問題 | 公式グレードまたは検証済みスコア | 優先展開 | | ---------------------- | --------------------------------------------------- | --------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js ネイティブ依存関係 | CVE-2026-111497: Brotli は範囲外に書き込まれており、RCE のリスクがあります | Node：High | デコード Brotli データ [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) [S3](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-3) 外部リクエスト本文または外部レスポンス内 | | Node.js TLS / DNS | CVE-2026-105482、105483、106069: 解析と本人確認が矛盾しています | High | URL クロール、プロキシ、 Webhook 、動的ターゲットアドレス [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) [S5](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846、56848: メモリが使い果たされ、UAF | High | Node は信頼できない HTTP/2 トラフィック [S7](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-7) を直接処理します | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | サーバー RSC、関連するキャッシュ コンポーネントおよびデータ パス [S9](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-10) | | Next.js 画像の最適化 | CVE-2026-96889: SVG 画像処理 RCE | Critical；CVSS 4.0 9.5 | 信頼できないイメージ [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) を処理できる glibc Linux 上のインスタンス | | Next.js Server Actions | 特別に作成されたリクエストにより CPU が枯渇する | High；CVSS 4.0 8.2 | App Router および少なくとも 1 つの Server Action [S12](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS 信頼 | CVE-2026-91403: 影響を受ける中間 CA を引き続き信頼します。 | CVSS 3.1 9.1 | 影響を受けるトラスト チェーンを使用する TLS/API シナリオ [S17](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-17) | | Tomcat | JNDIRealm 認証バイパス、HTTP/2 クロスリクエストの取り違え、AJP レスポンスの漏洩 | Important | に対応 Realm / Connector / async Servlet パス [S21](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: ページング逆シリアル化 RCE | High | Jackson 2 + Connection ページング + 悪用可能なクラスパス [S25](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: 埋め込まれた LDAP の既知の管理 ID が公開されました | Critical | 埋め込み LDAP が有効になっており、リスニング ポートは攻撃者 [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27) にアクセス可能です | | CPython `ssl` | CVE-2026-19445: SNI のコンテキスト切り替えの結果は UAF | Critical | Python は TLS を単独で終了し、コンテキストのライフサイクル条件 [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) を満たします。 | | CPython `ssl` | CVE-2026-19553: ホスト名が欠落している場合は検証をスキップします | High | `wrap_bio()` / 関連する非同期呼び出しに予期されたホスト名がありません [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: ハードリンクとシンボリックリンクの組み合わせバイパス | High | 信頼できない tar アーカイブ [S32](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-32) を自動的に抽出します | | Django / GeoDjango | CVE-2026-15307: 空間クエリ書き込みファイル SSRF、条件 RCE | High | 空間クエリまたは関連する管理インターフェイスが信頼できない入力を受け入れる [S38](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-38) | | Python 証明書の依存関係 | certifi: emSign 関連の証明書の不信感 | Critical; GHSA、不明 CVE | TLS クライアントおよびパッケージ管理ツール [S36](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) は影響を受ける CA bundle をまだ使用しています | 略語: RCE はリモート コード実行を表し、UAF は use-after-free を表し、SSRF はサーバー側リクエスト フォージェリを表します。 RCE の直接権限は通常、アプリケーションをホストするプロセスの権限であり、自動的に root 権限と同等になることはできません。 **推奨シーケンス:** は最初に RCE を処理します。これは外部から到達可能で、条件、認証バイパス、ユーザー間データ漏洩、証明書認証の問題を満たしています。同時に、公開されている DoS エントリ ポイントの更新をスケジュールします。悪用可能性を証明するために実稼働環境で攻撃ペイロードを実行する必要はありません。依存関係が存在し、コード パスに到達可能であり、攻撃条件が満たされています。これら 3 つの問題は個別に確認する必要があります。 ### 1.2 混同されやすい 3 つの境界 - **ランタイムと依存関係を個別にアップグレードします。** Node、JDK、CPython のセキュリティ更新プログラムは、Next.js、Spring、Django のスタンドアロン インストールを自動的に修復しません。 certifi またはネイティブ拡張。 - **修復のしきい値は、現在の展開ベースラインとは別のものです。** 8 月の脆弱性に対する最初のパッチは、9 月から 10 月までの新しい問題をカバーする保証はありません。セクション 2 では、検証済みのその後の更新を実装ターゲットとして使用します。 - **実際のサプライ チェーン侵害と脆弱性を区別します。** 一般的な脆弱性については、パッチによって将来の攻撃経路が排除されます。悪意のあるパッケージが実行された場合は、資格情報と永続性の影響を調査する必要があります。セクション 9 の LiteLLM が正式に確認されたイベントです。 [S41](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-41) 実環境での悪用が確認されているかどうかは、公式の開示に基づいて判断する必要があります。ベンダーは悪用行為については言及しておらず、攻撃が存在しないことを証明できません。修復は実際の攻撃対象領域に基づいて実行する必要があります。 ## 2. 修正バージョンと展開ベースラインのクイック チェック ### 参照: 2.1 Node.js、React、Next.js | コンポーネント/ブランチ | 推奨バージョンのベースライン | 使用説明書 | | ------------------------------------------ | -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | セキュリティリリース [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-2) 10月21日 | | Node.js 24.x | **24.22.1** | 24.x ブランチに適用されます。 24.22.0 10 月 21 日のセキュリティ パッチは含まれていません [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | 同じバッチ内のセキュリティ リリース [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 およびそれ以前の上流ブランチ | サポートされているブランチに移行する | Node 20 はこのアップストリーム修正を受け入れません。ベンダーの拡張サポートは個別に検証する必要があります [S3](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | 10月14日更新 [S8](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | 同上 [S8](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-8) | | スタンドアロン RSC 19.0 / 19.1 / 19.2 / 19.3 ブランチ | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | 3 つの `react-server-dom-*` パッケージを個別に確認してください。最上層 `react` [S10](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-10) だけを見るのではなく | | Next は実際に `sharp` をロードしました | **≥0.35.5** | SVG 脆弱性に対する公式の一時修正条件。他の Next.js パッチ [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) を置き換えません。 | Node には、10 月の脆弱性の影響を受けるメンテナンス ブランチが公式にリストされていますが、最初に導入されたパッチのバージョンが項目ごとに提供されていないため、メンテナンス ブランチの範囲のみに基づいて各脆弱性の正確な開始バージョンを決定することはできません。デプロイするときは、同じブランチの上記のバージョン、または同じ修正が含まれていることが確認された後続のバージョンの使用を優先してください。 ### 2.2 Java: 10 月 CPU と帯域外証明書の更新 この表が適用されるのは、 **Oracle JDK** 。 2 番目の列は 10 月 20 日のみをカバーしています。 CPU ; 3 番目には 10 月 21 日の帯域外リリースが含まれます。の CPU バージョンだけではすべてをカバーできない Java ここで説明するリスク。 [S16](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-18) | 支店 | 10月20日 CPU | Oracle が 10 月 21 日にバンド外でリリースされました | | -- | ---------- | ------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | 公開リリース表には依然として **8u511** が表示されます。特定のセキュリティ ビルドとトラスト チェーンの修復を確認する必要があり、短いバージョン番号だけでは判断できません。 | **Java 8 完全なビルド情報と照合する必要があります。** Oracle アラートには影響を受けるバージョンとして 8u511 がリストされ、リリース リストには同じ短縮名を持つ後続のアップデートがリストされます。パッチのステータスは、「8u511」という短いバージョン番号だけでは区別できません。特定のセキュリティ ビルドとトラスト チェーンの修正を確認する必要があります。 [S17](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-18) **Temurin , Corretto , Zulu , Microsoft Build of OpenJDK 、リリースバージョン OpenJDK 、など、それぞれの発表と完全なパッケージ/ビルド番号に従って確認してください。** たとえば、公式リリースレコードは、 Adoptium 関連するビルドが再パッケージ化されて、 eMudhra 修理;上流バージョンの名前が同じであっても、パッケージの内容が同じであることを意味するものではありません。の `.0.2` 接尾辞の規則 Oracle 他の発行者に機械的に適用することはできません。 [S20](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-20) | Java アプリケーション コンポーネント | 推奨バージョンのベースライン | 備考 | | ------------------------------------- | ------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | ブランチごとにチェックします。 Tomcat 10.0 メンテナンスを停止しました [S21](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | 商用サポートも 2.0.4.1 [S25](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | 8 月に発表された最小修正バージョンに対応します。導入前に後続のセキュリティ情報 [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-28) を確認する必要があります。 | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | この発表は商用サポート修正としてリストされています。移行は、対応するサポートがない場合に評価され、Maven Central が無料で利用できるとは想定できません [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27) | Spring のアップグレードでは、プロジェクトの Spring Boot BOM、Java の最小バージョンと互換性のラインを尊重する必要があります。パッチを取得するためだけに、すべての Spring モジュールを同じ番号に直接強制しないでください。 ### 2.3 CPython、Django および証明書の依存関係 以下の表の 2 番目の列では、次の点に焦点を当てています。 TLS 9月に公開された問題。ブランチの違い `tarfile` セクションに示されています 5.3. 10 月 21 日のリリースでは、バンドルされた証明書ツールも更新されたため、最後の列には、その後の展開ベースラインが含まれています。 [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30) [S33](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-35) | CPython ブランチ | 9 月のセキュリティ バッチの最小バージョン | 推奨される導入ベースライン | | ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | アップストリームからの最後のリリース、EOL。移行を手配するか、リリース拡張機能のサポートを確認してください [S34](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17、各環境の pip/certifi を個別に更新 | | 3.12 | **3.12.15** | 3.12.15、各環境の pip/certifi を個別に更新 | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | 決勝戦 3.15.0 リリースには両方が含まれます TLS 修正 [S31](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-31) [S47](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | の上流のセキュリティ バージョン 3.11 そして 3.12 ソースコードでのみリリースできます。オペレーティング システム パッケージを使用する場合は、ベンダーのバックポート アドバイザリと完全なパッケージ バージョンを確認してください。システムを強制的に交換する必要はありません。 Python セルフコンパイルしたバージョンで。 [S33](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-33) [S34](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-34) | 独立した依存関係 | 推奨バージョンのベースライン | 説明 | | ---------------------- | -------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | 10月6日以降の修正[S38](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-39)を組み込む | | certifi | **≥2026.10.19** | GHSA 初期パッチは.18です。 PSF 影響を受けない証明書の互換性を維持するために .19 を推奨します [S36](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | の組み込みコピー certifi 別途更新する必要がある [S35](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-35) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) | | uv (使用する場合) | **≥0.13.4** | 実際のインストール方法に従って [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) を更新します | **これらのベースラインは、リストされた修正をカバーしています。** `tar_filter` の別の中程度の重大度の問題が 10 月 22 日に公開されました。2026 年 10 月 23 日の時点で、この修正を含む正式なメンテナンス バージョンはまだ確認されていません。したがって、3.13.17 / 3.14.9 / 3.15.1 は、tarfile の問題をすべてカバーしているとは見なされません。セクション 5.4. [S40](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-40) を参照してください。 ### 2.4 ディストリビューション バックポートの確認 Ubuntu、Debian、RHEL、およびその他のソフトウェア パッケージに適用される実装原則: 1. オペレーティング システムのバージョン、リポジトリ ソース、完全なパッケージ バージョン、およびベンダーのセキュリティ情報番号を記録します。 2. アドバイザリが特定の CVE をカバーし、関連する配布リリースの修正パッケージを特定していることを確認します。 3. 上流の短いバージョンだけでなく、実際に実行中のプロセスによってロードされたバイナリ/ライブラリを比較します。 4. ベンダー パッチの証拠がない場合は、「確認中」のままにし、バージョン番号が古いか新しいかの唯一の結論として受け取らないでください。 apt/RPM パッケージのバージョンとディストリビューションごとのバックポート戦略には違いがあります。各ディストリビューションのセキュリティ情報と完全なパッケージ バージョンが優先されます。 ## 3. Node.js / JavaScript エコシステム: 原因の分析と修復 ### 3.1 CVE-2026-111497: Brotli ネイティブ デコーダーの境界外書き込み **開示: 2026-10-21; Node オフィシャルグレード：High。影響を受けるビルドの** Node 22.x、24.x、26.x では、パッチ セクション 2.1 をインストールする必要があります。 Node 発表には、CVSS スコアの数値は記載されていません。 [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) この問題は、不正な形式の Brotli 圧縮ストリームを処理するときにネイティブ デコード ロジックで発生し、境界外の書き込みが発生する可能性があります。 Vercel の公式説明では、研究デモンストレーションにプロセス メモリ リークとコマンド実行が含まれていることを確認しています。攻撃者がデコーダに到達できるかどうかは、アプリケーションまたは依存関係が制御するデータを実際にデコードするかどうかによって決まります。 [S3](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-3) 両方の方向を同時にチェックする必要があります。 - **inbound:** フレームワークまたはミドルウェアは、ユーザーによって送信された Brotli リクエスト本文を自動的に解凍します。 - **アウトバウンド:** HTTP クライアント、イメージ グラバーなどは、攻撃者が制御可能なソースにアクセスし、返されたコンテンツを自動的に解凍します。 ブラウザに送信される応答の Brotli 圧縮を無効にしても、デコード エントリ ポイントは削除されません。インバウンド WAF 保護には、外部応答のフェッチとデコードを行うアプリケーションも含まれません。 [S3](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-3) \*\*パッチの方向:\*\*Node Brotli アップストリーム修正をネイティブ依存関係に移動し、不正なデコード ステータス チェックとエラー伝播を補足します。セルフコンパイルしたバージョンを維持する場合は、公式のセキュリティ リリースまたは一致するブランチの完全なパッチを使用する必要があります。 JavaScript パッケージのバージョン ステートメントを単に変更することはできません。 [S4](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-4) **暫定的な実装提案:** 信頼できない不要な Brotli デコードを停止します。ミドルウェアと HTTP クライアントの自動解凍動作を確認します。企業がこの形式を受け入れる必要がある場合は、パッチを適用した環境での処理をできるだけ早く完了してください。 `Accept-Encoding` の調整は単なる交渉行為であり、悪意のある応答がブロックされたことを示す証拠として単独で使用されるべきではありません。 ### 3.2 TLS / DNS 3 High: 検証オブジェクトは実際のターゲットと一致しません 3 つはすべて 10 月 21 日に公開され、正式なアップグレードのしきい値はセクション 2.1. [S1](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-1) に記載されています。 | 識別子 | 問題が確認されました | 影響を受ける支店 | | --------------- | ----------------------------------- | ------------------ | | CVE-2026-105482 | `dns.resolve` NUL を含む名前の切り詰め | 22.x / 24.x / 26.x | | CVE-2026-105483 | 全角数値形式の IP により、証明書のホスト名の検証がバイパスされます | 24.x / 26.x | | CVE-2026-106069 | IP と大まかに解釈できるホスト名により、TLS 検証がバイパスされる | 22.x / 24.x / 26.x | DNS 問題の本質は、上位層によってチェックされた文字列が、下位層によって実際に解析された名前と異なることです。公式パッチは、解析エントリで NUL を拒否し、回帰カバレッジを追加します。 [S6](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-6) TLS 2 つの項目には、名前の正規化、IP 解釈の一貫性、および証明書の照合が含まれます。実際の IP エンドポイントと証明書ドメイン ID の混同を避けるために、非標準の IP 入力が拒否されるか正しく処理されるようにパッチを適用します。 [S5](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-5) **:** の実際のトラブルシューティングの提案では、受信ユーザー URL、動的プロキシ ターゲット、または Webhook アドレスのコードをチェックすることが優先されます。統一された標準化と許可リストの判断、NUL/制御文字の拒否、合法的な IPv4、IPv6 および国際化ドメイン名が引き続き機能することを確認します。 SSRF をさらに形成できるかどうかには、リンク証拠を適用する必要がありますが、名前 CVE から直接推測することはできません。 アップグレード後のチェックサム エラーを排除するために `NODE_TLS_REJECT_UNAUTHORIZED=0` または `rejectUnauthorized: false` を使用しないでください。住所、証明書、ビジネス構成を修正する必要があります。 ### 3.3 7 月 HTTP/2 High - リスクと許可モデルの問題 7 月に明らかになった以下の問題については、引き続き調査に含める必要があります。導入時には、セクション 2.1 の 10 月のセキュリティ バージョン ベースラインを直接使用することをお勧めします。 [S7](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-7) | CVE | 原因と結果 | 最初の修正バージョン | | -------------- | --------------------------------------------------------------------------------------------------- | -------------------------- | | CVE-2026-56846 | 保持された HTTP/2 header ブロックは `maxSessionMemory` バジェットに適切に含まれていないため、メモリを使い果たす可能性があります。インパクト 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 はパケット収集中に送信パスに再入し、ヒープ UAF を引き起こします。インパクト22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` パス プレフィックス境界一致の範囲が広すぎるため、許可リスト外のファイルがアクセスされる可能性があります。 | 上記3つのメンテナンスラインと同じ | 3 つとも正式には High です。最初の 2 つの項目は、HTTP/2 が Node 自体によって処理されるかどうかのチェックを優先します。 3 番目の項目は、アクセス許可モデルを使用し、この境界に依存する場合にのみ、対応する意味を持ちます。権限モデル項目をすべて認証を必要としないネットワーク RCE として記述することはできません。 [S7](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-7) 別の更新されたプロキシ上で HTTP/2 を一時的に終了し、バックエンド ソースを制限することは、危険性を減らすための展開オプションです。リソース クォータはリソース枯渇の結果を制御することしかできず、UAF にパッチを適用することはできません。 ### 3.4 10 月 React / Next.js: 2 つのアイテム RCE と 1 つのアイテム DoS #### A. 型付き配列を返す RSC / `use cache` 関数の RCE **公開日: 2026-10-14; Critical、CVSS 4.0 9.5.** 公式アドバイザリー識別子: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-10) の React アップストリームの問題には、攻撃者が制御可能な値と組み合わせられた複数の型付き配列が含まれます。 RSC 応答。影響を受けた3人 `react-server-dom-*` パッケージのバージョンは **19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0** ;章を参照 セクション 2.1. 純粋なブラウザ側 React 、またはサポートするフレームワーク/プラグインを使用しないアプリケーション RSC いかなる場合もこの項目の範囲には含まれません。 [S10](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-10) Next.js 下流アナウンスメントリスト **16.0.0 — 16.4.0** 、で改訂されました **16.4.1** ;シナリオは App Router , Cache Components 、 そして `use cache` 複数の型付き配列を返す関数。公式の信頼できる一般的な回避策はなく、影響を受けるバージョンのユーザーは時間内にアップグレードする必要があります。 「この関数は存在しないようです」と手動で検索して処理を終了するだけでは適切ではありません。 [S9](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-9) #### 参照: B. SVG Image Optimization RCE **CVE-2026-96889 / GHSA-2464-fhr4-w9xw , 2026-10-14, Critical , CVSS 4.0 9.5 。の** この問題は、画像の最適化に使用される上流のネイティブ ライブラリで発生します。当局者らは次のように指摘した。 RCE リスクが存在する **glibc Linux** シナリオ。 [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) 正式バージョンのフィールドは次のとおりです。 - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 公式は厳密な下限を使用しています `>16.0.0` 16.x ブランチの場合ですが、この範囲ステートメントはそれを証明するのに十分ではありません。 16.0.0 安全です。実際のアップグレード目標は一律です **15.5.28 / 16.4.1** . [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) 公式の一時的な解決策は、次のことを保証することです。 **Next 実際にはシャープにロードされます ≥ 0.35.5** 。ロック ファイル、ネストされた依存関係、およびデプロイメント イメージには古いインスタンスがまだ保持されている可能性があるため、新しいバージョンの `sharp` 最上位の依存関係だけでは十分ではないため、最終的な依存関係ツリーをチェックして再構築する必要があります。 [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU 疲れ果てた **GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 .** Next 影響を与える **13.0.0 — 15.5.27 , 16.0.0 — 16.4.0** 、修正 **15.5.28 / 16.4.1** 。条件は App Router そして少なくとも1つ Server Action ;悪意のあるリクエストは CPU 長時間占有され、同じプロセス内の後続のリクエストがブロックされます。を使用したアプリケーション Pages Router またはなしで Server Actions はこの影響を受けません。 [S12](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-12) アップグレードに代わる公式の回避策はありません。レート制限、同時実行制限、リソース クォータは被害を軽減できますが、パッチ検証の結論として使用することはできません。 ### 3.5 同じウィンドウ内の以前の Next.js 重大な問題 次の項目は、8 月から 9 月より前のバージョンのままになっている展開の欠落を回避することを目的としています。現在、表内の古い修正しきい値にそのまま移行することはお勧めできません。 | 日付 | 識別子/シナリオ | 最初の修正。現在のアクション | | ---------- | ----------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF 画像最適化ネイティブ ライブラリ RCE、Critical | 15.5.24 / 16.3.3;現在 15.5.28 / 16.4.1 [S13](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: Pages Router と App Router が Windows で同時に使用され、Cache Components が有効になっていない場合は、RCE、Critical。バージョン `>=13.4.0 <15.5.24`、`>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; Linux/macOS は、この特定の Windows 問題 [S14](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-14) の影響を受けません。 | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: `next/og` の Node イメージ生成パスは、信頼できない SVG、Critical を処理します。 16.2.0—16.3.5 | 16.3.6; Edge の実装はこの問題の範囲外であり、15.x はこの RCE [S15](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-15) の影響を受けるブランチではありません。 | ## 4. Java エコシステム: ランタイム信頼、コンテナー、フレームワークは個別に処理されます ### 4.1 JDK: 通常の CPU および CVE-2026-91403 は 2 層アップデートです 10 月 20 日の Oracle CPU の Java SE リスク マトリックスには、**55 個の新しいセキュリティ パッチがリストされており、そのうち 49 個は認証なしでネットワーク経由で悪用可能としてマークされています**。これは、55 の Critical があるという意味ではなく、各 Java Web サービスに直接悪用可能な 49 の RCE パスがあるという意味でもありません。マトリックス内のコンポーネント、API、ユーザー操作、展開条件と組み合わせて理解する必要があります。 [S16](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-16) 翌日の **CVE-2026-91403 ( CVSS 3.1 9.1 )** 別のタイプのリスク、つまり一連の中間リスクに対処します。 CA に関連した eMudhra もはや信頼されていないイベント。影響します TLS ピア認証と通信の機密性/完全性が保護されるため、 JVM メモリ破損の脆弱性。 [S17](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-17) の Oracle アドバイザリには、10 月 20 日にリリースされたバージョンが影響を受けると記載されているため、10 月 21 日の帯域外更新プログラムもインストールする必要があります。セクションを参照 2.2 特定のバージョンの場合。 GraalVM にも対応する影響を受ける製品があり、修正バージョンは専用のセキュリティ情報の対象となるはずです。 [S17](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-18) **一時的な公式対策:** まずバックアップし、実際に使用されている各トラストストアから指定されたルート証明書を削除します。 - `emSign ECC Root CA - G3`、Oracle 別名 `emsigneccrootcag3 [jdk]`。 - `AAA Certificate Services`、Oracle 別名 `comodoaaaca [jdk]`。 [S19](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-19) JDK 11 以降の公式の例は次のとおりです。 ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` これらのコマンドに対してターゲット JDK**の**keytool を使用し、それらのコマンドがアプリケーションの実際のトラスト ストアで動作していることを確認します。 Java 8 は、`jre/lib/security/cacerts` に対応するパスを使用します。トラストストアのカスタマイズは個別に処理する必要があり、他の発行者は異なるエイリアスを持っている可能性があります。ルート証明書を削除すると、拒否の範囲が拡大し、正規のサービス証明書チェーンの回帰テストが行​​われます。 [S19](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-19) 公式では失効チェックを有効にするオプションも提供していますが、その効果は実際の TLS 実装、失効サービスの到達可能性、および失敗戦略によって異なります。一般的な展開の場合は、2 つの JVM スイッチがすべての TLS ライブラリが修正された証拠として扱われないように、完全なベンダー アップデートのインストールを優先してください。 ### 4.2 Tomcat: 認証バイパスとクロスユーザー要求の分離 に掲載されたのは以下の3点です **2026-10-20** ;修復されたバージョンのエントリには日付が付いています **10月12日** 。正式なグレードは、 Apache は **Important** . [S21](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-23) | CVE | 確認されている影響を受けるバージョン | 必要なシナリオ/結果 | | --------------- | ---------------------------------------------------- | ---------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm 非 GSSAPI SASL 認証メカニズムを構成します。資格情報の検証が欠落しており、間違ったパスワードも通過する可能性があります。 | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | HTTP/2 の非同期サーブレット エラー処理によりオブジェクトが正しくリサイクル/再利用され、ユーザー間でリクエストまたはレスポンスが混在する | | CVE-2026-103119 | 確認のみ **11.0.0-M25 — 11.0.26** | 大規模な AJP の非ブロッキング書き込みにより、バッファーの読み取り不足が発生し、後のリクエストで以前の応答データが公開される可能性があります。 | 対応する修正は次のとおりです **9.0.123 / 10.1.61 / 11.0.27** ; AJP としてのみリストされています Tomcat 発表によれば、ブランチは 11 であり、同じ問題で 3 つのブランチに拡張することはできません。 [S21](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-23) JNDIRealm パッチは、「アプリケーションのログイン インターフェイスが正常に見える」を検証の代わりに使用できないという、実際の認証プロセスにおける検証のギャップを修正します。レルムでは、サービスの実際の構成について SASL メカニズムをチェックする必要があり、パスワードが間違っている場合はテストが失敗する必要があります。 [S24](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-24) **暫定的な実装提案:** 影響を受ける認証パスを分離します。ビジネスが許可する場合、Tomcat の HTTP/2 処理を一時停止します。役に立たない AJP を閉じます。 AJP ポートへの直接アクセスを制限するだけでは、合法的なフロント プロキシを経由して入るトラフィックが影響を受けないことを証明することはできません。公式アップデート後は、2 人の独立したユーザーからの非同期同時リクエストをテストして、ID と応答の間にクロストークがないことを確認する必要があります。 ### 参照: 4.3 Spring for GraphQL：CVE-2026-59285 **公開日: 2026-08-20; High .** 影響を受ける **2.0.0 — 2.0.4** 、修理済み **2.0.5 ( OSS )** または **2.0.4.1 (商業サポート)** . [S25](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-25) これは、ページング クエリにおける安全でない逆シリアル化のリスクです。公式要件では、次の条件を同時に満たす必要があります。 1. Spring for GraphQLを使用してください。 2. Jackson 2.x を使用して JSON を逆シリアル化します。 3. 接続ページング フィールドを外部に提供します。 4. クラスパスには、インスタンス化または逆シリアル化中に予期しないロジックを実行できる特定のクラスが含まれています。 悪意のある GraphQL リクエストは、条件が満たされた場合に RCE を引き起こす可能性があります。これを「Jackson を使用するすべての Java プログラムが悪用される可能性がある」と単純化することはできません。 [S25](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-25) **2.0.4 が不十分な理由:** 6 月に、CVE-2026-41699 は 2.0.4 などのパッチ ベースラインを提供していましたが、8 月の発表では、新しい影響範囲に 2.0.4 が明確に含まれていました。したがって、今後の発表に従って修理記録を更新する必要があり、旧 CVE の最小バージョンは使用できません。 [S26](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-26) アップグレードが一時的に利用できない場合、信頼できない呼び出し元がアクセスできる、影響を受けるページネーション フィールドが一時停止される可能性があります。逆シリアル化可能な型とクラスパスを絞り込むことは、綿密な対策です。回帰では、正当なカーソル、ページ分割された結果、および例外入力の拒否をカバーし、最終的なアプリケーション JAR 内の実際のコンポーネントのバージョンをチェックする必要があります。 ### 4.4 Spring Security: CVE-2026-59270 および関連する認証リスク **CVE-2026-59270 , 2026-08-20, Critical .** 埋め込み `UnboundIdContainer` デフォルトで既知の管理者の資格情報を登録し、すべてのネットワーク インターフェイスをリッスンします。コンポーネントが有効化され、ポートが到達可能になると、攻撃者はディレクトリ データの読み取りまたは変更を行うことができます。一般的に紹介するプロジェクト Spring Security 自動的には公開されません LDAP . [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27) 影響を受ける地域: | 支店 | 影響を受ける | 最初の修正/取得チャネル | | --------- | ------------------------- | ------------------------ | | 7.1 | 7.1.0 | 7.1.1 OSS;コマーシャル 7.1.0.1 | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS;コマーシャル 7.0.6.1 | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19、商用 | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26、商用 | 出典: [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27)。 `spring.ldap.embedded.*` 自動構成および直接インスタンス化コードのトラブルシューティングを行います。運用に必要ない場合はコンポーネントを閉じて、実際のリスニング アドレスを確認します。ビジネスで本当に必要な場合は、まず呼び出し元を制限してから、コンポーネントのアップグレードを完了します。 \*\*関連する認証の問題: CVE-2026-47841 (High).\*\*WebAuthn ユーザー認証が `REQUIRED` に設定されており、分散ストレージによって HTTP セッションがシリアル化された後、オブジェクト ID の比較が正しくないと、認証要件が無効になる可能性があります。また、この攻撃では、攻撃者がデバイスを持たない任意のリモート ログインではなく、ユーザー認証デバイスを所有している必要があります。対応する影響を受けるバージョンの 7.1、7.0、6.5、および 6.4 のパッチ ベースラインは、上記の表のこれらのブランチと一致します。検証はクロスノードセッションをカバーする必要がありますが、それでも PIN/生体認証の検証が必要です。 [S28](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-28) ## 5. Python エコシステム: インタプリタ、標準ライブラリ、フレームワーク、証明書 ### 5.1 CVE-2026-19445: SNI コールバックの SSLContext UAF **発行日: 2026-09-30; PSF レベル: Critical.** Python サーバー TLS では、`sni_callback` が接続を別の `SSLContext` に切り替えます。元のコンテキストに他に残っている参照がない場合、認証されていないコンテキストはTLS クライアントはサービスをクラッシュするか、解放されたオブジェクト内のポインターを呼び出す可能性があります。 [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) 核心は、Python オブジェクトが基礎となる TLS コールバック ライフ サイクルと矛盾していることです。元のコンテキストは解放されており、基礎となる層はコールバックに必要な状態を保持している可能性があります。参照ライフサイクルを修正するには、インタープリターのネイティブ パッチを使用する必要があります。 [S47](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-47) **Scope:** TLS クライアントとしてのみ機能する Python コードは、この項目の影響を受けません。元のコンテキストを長期間保持するリスニング ソケットの通常モードは、発表で説明されている特定の障害パスには該当しません。 Nginx が TLS を終了した後は、ローカルの HTTP を Python に渡すだけで、Python はそれ自体で SNI を直接処理します。これは別の攻撃対象領域です。 [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) に対応 3.10—3.14 修正バージョン、セクションを参照 2.3. の正式版 3.15 修理されており、 3.15.1 実際に選択することも可能です。更新のみ pip 依存関係はインタープリターの代わりにはなりません `_ssl` 実装。 [S33](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-35) [S47](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-47) **公式の一時的な軽減策:** すべてへの強い参照を保持します SSLContext を設定したもの SNI サーバーのライフサイクルが終了するまでコールバックを返します。これは、実際の動的な作成とパスの切り替えをカバーする必要があります。カスタム OpenSSL 1.1.1 ビルドでは、公式の問題記録と併せて再交渉条件も確認し、完全な更新を優先する必要があります。 [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) [S47](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: ホスト名フラグがオンになっていますが、呼び出し時にホスト名がありません **公開日: 2026-09-30; High 。いつ** `SSLContext.check_hostname=True` 、 もし `wrap_bio()` 渡されません `server_hostname` 、元の実装はホスト名の検証を黙ってスキップする可能性があります。証明書チェーンの検証が成功しても、ターゲットのドメイン名も一致したことを意味するわけではありません。 [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30) 修復には次の両方の手順が必要です。 - セクション 2.3. にリストされているインタープリタ セキュリティ リリースをインストールします。 - `wrap_bio()`、関連する `asyncio.create_connection()` / `loop.start_tls()` パスを確認し、予期される空ではないホスト名を明示的に渡し、証明書の検証をオンのままにしてください。 [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30) **省略できない互換性の違い:** 3.10 , 3.11 , 3.12 互換性のみを目的としています `DeprecationWarning` ホスト名が欠落している場合に発行されます。 3.13 そして後で上げる `ValueError` . 3.12 バックポートも明確に区別します `None` 空の文字列から: 新しい警告が追加されます `None` 、空の文字列については引き続きエラーが報告されます。したがって、下位ブランチのユーザーは、元々欠落していたドメイン名の検証が、単にアップグレードするだけで自動的に復元されたと想定することはできません。 [S31](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-33) テスト環境では、ホスト名が一致しないトラステッド チェーン証明書を使用し、実際のアプリケーション TLS クライアントがそれを拒否することを確認します。 `check_hostname` ブール値を単に読み取るだけでは、完全に承認されたことにはなりません。 ### 5.3 CVE-2026-82049: tarfile フィルターのリンク結合バイパス **公開日: 2026-09-14; High.** CPython 3.13 および以前の関連実装では、信頼できない tar 内のハード リンクとシンボリック リンクの組み合わせにより、`data` / `tar` 抽出フィルターがバイパスされ、解凍ツリーの解凍ディレクトリの外にファイルの内容が公開される可能性があります。権限と変更時刻を変更します。 [S32](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-32) この脆弱性の確認された影響には、ファイル コンテンツの漏洩とメタデータの変更が含まれます。これらの影響だけでは、外部ファイルのコンテンツの恣意的な上書きや RCE の無条件実装を実証するには不十分です。 対応するパッチのベースラインについては、 3.10 — 3.13 、セクションを参照 2.3. **Python 3.14 以下の理由により、この特定の問題から免除されています `os.link()` それ以降の行動の変化 3.14.0b1** 、したがって、影響を受ける範囲は、 3.10 — 3.13 上記のブランチは適用されません。 [S33](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-33) **一時的かつ徹底した対策:** 信頼できないアーカイブの自動抽出を一時停止します。ビジネスを処理する必要がある場合は、分離された低特権ワーカー プロセスと新しい専用ディレクトリを使用し、ビジネスによるシンボリック リンク、ハード リンク、デバイス エントリを拒否し、ファイル数と解凍リソースを制限します。これらは導入に関する推奨事項です。 `filter="data"` 完全信頼戦略よりも一般的な信頼できないアーカイブに適していますが、古いバージョンのフィルター自体にもこの脆弱性があり、このパラメーターを追加するだけでは更新を置き換えることはできません。また、フィルターは完全なファイル システム サンドボックスではありません。 [S32](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-32) [S45](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 補足リスク: CVE-2026-114583 (Medium) およびパッチ リリース ステータス PSF で開示された **2026-10-22** それ `tarfile.tar_filter` の特定のリンク名の処理をバイパスして、後続のメンバーが解凍ディレクトリの外に次のレベルで書き込むことができるようにすることができます。 **Medium** 。公式修正 PR その日に合併されました。 2026 年 10 月 23 日の時点で、このコミットを含む正式なメンテナンス リリースは確認されていません。 [S40](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-40) したがって: - こちらの商品はMediumとして出品しております。 - 10 月 21 日にリリースされたインタープリターのバージョンには、この修正が含まれているとは見なされません。 - 信頼できないアーカイブを処理するために依然として `filter="tar"` を使用するプロセスは、リリース バックポートを追跡する必要があります。この処理パスを短期間隔離または一時停止します。 `data` に切り替えてリンクを拒否する場合は、ビジネス要件を満たしていることも確認する必要があり、フィルターの変更は無条件のサンドボックスとは言えません。 ### 5.5 GeoDjango: CVE-2026-15307 および 10 月以降の修正 **2026-08-04、Django 公式 High.** 空間クエリは、暗黙的に特定の文字列/辞書を `GDALRaster` に渡し、ドライバーはファイルを書き込んだり、ネットワーク リクエストを開始したりする場合があります。 RCE は、特定のパスとその後の実行条件がある場合に形成されることがあります。空間フィールド モデルの表示権限を持つスタッフは、管理変更リストを通じてこのパスにアクセスすることもできます。 [S38](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-38) 最初の修正は **5.2.17 / 6.0.8** 、空間検索で受け入れられる入力タイプを制限します。この変更は、文字列/辞書を使用してラスターを表現するという本来の業務に影響を与える可能性があります。信頼できない入力を単に GDALRaster にラップするだけでは、それを検証することにはなりません。 [S38](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-38) 10月6日、 **CVE-2026-87890 （適度）** 修復されました: バイト単位で表現された VRT は外部リソースを参照でき、依然としてネットワーク リクエストをトリガーできます。同じ日に、ネストされたジオメトリ DoS の保護 CVE-2026-15830 も強化されました。後者の 2 つは、新しい高リスクを説明するためにアップグレードすることはできません。 RCE ですが、展開ベースラインが次のようになるべきであることを示しています。 **5.2.18 / 6.0.9 / 6.1.2** . [S39](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-39) この実装では、API と管理インターフェイスの 2 つのエントリ ポイントをチェックし、信頼できない空間検索、ファイルの書き込み権限、送信アクセスを制限します。更新後、有効な空間クエリと禁止された入力の拒否を回帰テストします。 GeoDjango を使用しない通常の Django アプリケーションは、この RCE の結論を直接適用すべきではありません。 ### 5.6 certifi / pip: 証明書の信頼はすべてのコピーをカバーする必要があります **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical 、知られている CVE 記載されていない。** これは、次の原因による証明書の不信更新です。 eMudhra 中級 CA 事件。 HTTPS の暗号化メカニズムや、すべてのルート証明書が解読されたと要約することはできません。 [S36](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-36) の certifi 当初記載されていた勧告 **2026.10.18** パッチとして。 PSF 後で明示的に推奨される **2026.10.19** 影響を受けないルート証明書との互換性を維持するため。運用ベースラインは .19 です。 [S36](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) 区別する必要があります: | マテリアルの場所を信頼する | 個別に確認する必要がある理由 | | ----------------------------------- | ----------------------------------------------- | | オペレーティング システム CA パッケージ | イメージまたはホストのシステム信頼マテリアル | | VENV の certifi | CA bundle アプリケーションやリクエストなどで実際に使用されます。 | | pip 内蔵 certifi | 外部にインストールされた certifi とは異なるコピーです | | uv / その他の梱包ツール | ツール自身の更新情報と信頼できるソースに従ってください。 | | カスタマイズされた CA ファイル、パッケージ化されたスナップショット | システムまたはパッケージのデフォルトの信頼できるソースをオーバーライドし続ける可能性があります | 上記は、さまざまな梱包場所に基づくチェックリストです。 PSF 関連ツール、既存の仮想環境を更新し、イメージを再構築する必要があります。ホストのみを更新する CA または、インタープリタを再インストールしても、すべてのコピーが更新されたことを証明できません。 [S35](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-35) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) 旧バージョンからアップグレードする場合 pip 安全なブートストラップ、 PSF のコマンドを提供します **固定車輪と SHA-256** 、付録を参照 S37 。電源を切らないでください TLS 確認または追加 `--trusted-host` 証明書の問題を回避します。 ## 6. 正式な修復プロセス 次のコマンドは、確認済みの信頼できる環境用です。実行時には、npm/pnpm/yarn または pip/uv/Poetry が混在して競合するロック ファイルが生成されないように、プロジェクトの既存のパッケージ マネージャー、ロック ファイル、およびデプロイメント プロセスを結合する必要があります。 **最初に例外を処理します:** 環境でセクション 9 の侵害されたパッケージが実行されている疑いがある場合は、まずそのパッケージを隔離し、クリーンな環境からディスク、ロック ファイル、およびイメージ レコードを確認します。最初に次の Python/pip コマンドを実行しないでください。 [S41](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 実トラフィックに対応した台帳を確立 各サービスは少なくとも以下を記録します。 - 外部エントリ ポイント、リバース プロキシ、元のサイトへの直接接続パス、およびバックグラウンド キュー/スケジュールされたタスク。 - 実際の起動コマンド、実行中のアカウント、バイナリ パス、プロセスまたはコンテナーの ID。 - ランタイムのフル バージョン、パブリッシャー/リポジトリ、パッケージのフル バージョン、またはイメージ ダイジェスト。 - フレームワークと推移的な依存関係、ロック ファイル、ネイティブ ライブラリ、トラスト ストア パス。 - 脆弱性の有無、パッチ対象、再起動範囲、責任者、検証結果を対応。 開発マシン、CI ランナー、ビルド コンテナー、およびバックグラウンド タスクも、信頼できないコンテンツへのパスに従ってチェックする必要があります。公開 Web コンテナを更新するだけではありません。 ### 6.2 Node.js: 最初にランタイムを決定してから、アプリケーションの依存関係を更新します 実際のサービス環境で確認してください。 ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` サービスの実際の実行可能ファイルを使用して、または実際のコンテナ内で実行する必要があります。新しく起動されたプロセスをチェックするだけで、古いワーカーが置き換えられたこと自体は証明されません。 Node パッチを組み込みに追加できます Brotli 元のライブラリのバージョン文字列を保持しながら。したがって、だけに依存しないでください `process.versions.brotli` 修復されたかどうかを判断します。と組み合わせる必要があります。 Node セキュリティ バージョンまたはベンダーのバックポートの証拠。 [S2](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-2) [S4](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-4) `npm ls` は、実際の依存関係ツリーを確認するために使用されます。パッケージの欠落やピアの競合によっても、ゼロ以外の終了コードが生成される可能性があるため、特定の出力を読む必要があります。 `npm audit` は依存関係チェック補助として使用され、Node バイナリおよびネイティブ ライブラリ チェックを置き換えることはできません。 使用 **の環境を管理するのが難しい Node 24** これは次のように更新できます。 ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` はグローバル バージョンを構成します。プロジェクトのローカル構成を個別に確認する必要があります。サービスが古い絶対パス、コンテナーのベース イメージ、または別のアカウントの環境を修正した場合は、対応する構成を更新し、サービスを再起動する必要があります。コマンド自体は、実行中の古いプロセスを置き換えません。 [S43](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-43) Next プロジェクトで、選択したブランチに従って対応するコマンドを実行します。 Next 15 の場合: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Next 16 の場合: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` React/RSC の互換性のある依存関係、ロック ファイル、最終的なシャープ インスタンスを確認し、プロジェクト プロセスに従ってビルドします。再現可能なインストールには CI で更新されたロック ファイルを使用し、ビルド後に実行イメージでバージョンを確認します。この緊急事態に対するデフォルトのソリューションとして、メジャー バージョンにわたる制御されていない自動修復を使用しないでください。 ### 6.3 Java: 発行者、実際の JVM、および組み込みコンポーネントを検証します。 予備在庫: ```bash java -XshowSettings:properties -version ``` 出力内の `java.home`、`java.runtime.version` およびパブリッシャーは、サービスで実際に使用される JVM と一致している必要があります。アタッチ権限のある JVM の場合、JDK の `jcmd` を使用して、ログインシェルだけでなく対象のプロセスを確認することができます。 信頼できるプロジェクトの依存関係を確認し、実際のビルド ツールに基づいて選択します。 ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` これらのビルド コマンドは、オンラインでプラグインを実行して依存関係を解決することができ、信頼できるプロジェクトでのみ実行されます。最終的な JAR/WAR またはイメージ内の実際の JAR を確認し、最終的なアーティファクトをビルド ファイル宣言で置き換えないでください。 Spring ブート埋め込み Tomcat では、アプリケーションの再構築が必要です。システム内の別の Tomcat インストールを更新しても、アプリケーション パッケージ内のコピーは変更されません。 ランタイム更新後、カスタマイズされた`javax.net.ssl.trustStore`、アプリケーション自己ロードKeyStore、jlinkランタイム、GraalVM/ネイティブイメージ、その他の配信形態を項目ごとに確認します。すでにカスタマイズされた信頼マテリアルがあるアプリケーションは、JDK ディレクトリが新しくなったからといってチェックを終了することはできません。 ### 6.4 Python: インタプリタごとのおよび仮想環境の処理 信頼できることが確認された実際の venv/コンテナ内: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` このスクリプトは情報を収集するだけであり、バージョン認定の決定は実行しません。 `ssl.get_default_verify_paths()` はデフォルトのパス情報であり、すべてのサードパーティ クライアントが同じトラスト ストアを使用していることを証明できません。アプリケーションの構成に基づいて確認する必要があります。 付録 S37 の信頼できる pip ブート アップグレードが完了したら、プロジェクトの制約に従って証明書の依存関係を更新します。次に例を示します。 ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` プロジェクトの要件/ロック ファイルも同時に更新する必要があります。更新しないと、次のデプロイメントで古いバージョンに戻る可能性があります。 uv、Poetry、またはエンタープライズ パッケージ リポジトリを使用する場合は、既存のロックおよび公開プロセスを使用します。運用コンテナ内だけでパッケージを手動で変更しないでください。 プロジェクトの既存の `pip-audit` ワークフローを使用して、信頼できる環境で既知の依存関係の脆弱性をチェックできます。これは悪意のあるコード スキャナーではなく、インタープリター、システム ライブラリ、およびトラスト ストアのすべてのリスクをカバーするものではありません。 [S44](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-44) **システム `/usr/bin/python3` が新しいコンパイル済みバージョンを指すように強制することはお勧めできません。** システム Python に依存する管理ツールの破損を避けるために、リリース セキュリティ更新プログラムまたはプロジェクト分離ランタイムを使用してください。これは実装上の選択であり、この脆弱性に対する追加の修正要件ではありません。 ### 6.5 実行中のインスタンスを再構築して置き換えます 完全な変更として次の手順を実行することをお勧めします。 1. 元の信頼できるソースからパッチを取得し、バージョン/ハッシュおよび依存関係ロックを保存します。 2. 実稼働に近い環境で主要な機能を返し、ネイティブ拡張機能が JVM/framework と互換性があることを確認します。 3. ランタイム、アプリケーションの依存関係、および実際のトラスト ストアを更新します。古いレイヤーを再利用するだけでなく、コンテナーのベース イメージとシステム CA を更新します。 4. アプリケーションとイメージを再構築し、サービス、ワーカー、キュー コンシューマ、およびスケジュールされたタスクのインスタンスをローリング ベースで置き換えます。 5. 新しい実行中のインスタンスのバージョンと構成を再チェックし、古いコピーがすべて終了していることを確認します。 6. エラー率、レイテンシ、CPU/メモリ、TLS ハンドシェイクの失敗、プロセスのクラッシュを観察します。 ロールバックでは、安全なランタイムとパッチの依存関係を保持し、アプリケーション構成やビジネスの変更をロールバックすることを優先する必要があります。脆弱性のある旧製品に戻さなければならない場合は、対応する立ち入り制限も同時に復元し、責任者と最低復旧期間を明確にすべきである。 ## 7. 一時的な軽減策とパッチの選択 ### 7.1 暫定措置の適用範囲 公表された利用条件に基づく実装案は以下の通りです。公式計画が記載されていない限り、ベンダーはすべての亜種を完全にブロックできることを保証しません。 | リスク | 一時的にできる対策 | これにより完成したとは認められない部分 | | ------------------------- | ---------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Brotli デコード | 信頼できない入力のデコードを停止します。インバウンドとアウトバウンドの自動解凍をチェックする | 受信 WAF または応答圧縮をオフにしても、すべてのデコード エントリ [S3](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-3) はカバーされません | | Next.js typed arrays RCE | すぐにアップグレードしてください。必要に応じて影響を受けるサービスを一時的に隔離する | 公式の信頼できる普遍的な回避策はありません [S9](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-9) | | Next.js SVG RCE | 公式計画: 実際のシャープ ≥0.35.5 を確保します。ビジネスが許可した場合、関連する最適化エントリ ポイントを一時停止する | 他の Next/RSC の問題はカバーされません [S11](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-11) | | Tomcat レルム / HTTP/2 / AJP | 該当するパスを切り離し、不要なコネクタを閉じる | 対応するブランチ修復パッケージがまだ必要です [S21](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL 逆シリアル化 | 影響を受ける接続フィールドを一時停止します。信頼できない発信者を制限する | リクエストの長さの制限だけでは型/逆シリアル化の問題を解決できません [S25](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-25) | | Spring embedded LDAP | 不要な場合は無効にします。実際のリスニングポートの到達範囲を制限する | デフォルトの管理 ID とディレクトリの整合性を引き続きチェックする必要があります [S27](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | 公式計画: サービス終了まで関連する SSLContext の強力な参照を保持する | すべての作成/切り替えパスをカバーする必要があります [S29](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-29) | | Python ホスト名スキップ | 公式ソリューション: 期待されるserver\_hostnameを正しく渡します | check\_hostname フラグをチェックしたり、警告 [S30](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-31) を無視したりすることはできません | | 信頼できないタール | 抽出を無効化/隔離し、必須ではないリンクとデバイスエントリを拒否します。 | フィルターもリソース クォータも普遍的なサンドボックスではありません [S32](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-32) [S40](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-40) [S45](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-45) | | 証明書信頼イベント | 正しい CA マテリアルを更新します。 Java 信頼は公式の緩和策に従って制限できます | 無効化 TLS 検証はリスクを増大させる [S19](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-19) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 配信方法に基づいてパッチを選択してください | 配送方法 | 修理方法に優先順位を付ける | 保存すべき証拠 | | ----------------------- | ------------------------------------------ | ------------------------------------------ | | ディストリビューション管理のランタイム | メーカーの対応するセキュリティアップデート | フルパッケージバージョン、アナウンスメント、リポジトリソース | | 公式バイナリ/ランタイムマネージャー | 同じブランチからの正式なセキュリティ リリース | バージョン、ソースとダイジェスト、実際の実行パス | | セルフコンパイル Node / CPython | 一致するブランチの公式ソース リリースまたはベンダーの完全なパッチ セット | コミットセット、ビルドパラメータ、依存ライブラリ、回帰結果 | | Spring / Next / Django | ブランチ内更新、依存関係ロックおよび最終アプリケーションの再構築と互換性があります。 | 最終的な依存関係ツリー、JAR/パッケージ/イメージ内の実際のバージョン | | カスタムトラストストア | 正式な撤退計画または撤退を確認するベンダーの最新情報 | 実際の使用経路、材料変更、TLS の成功テストと不合格テスト | | 侵害された環境 | クリーンで信頼できる製品から再構築し、個別のインシデント調査を実施する | 履歴パッケージ/イメージ ダイジェスト、インストール記録、資格情報ローテーション記録 | ### 7.3 主要なパッチのメカニズムとレビューの焦点 - **Brotli:** は、ビルドに入る前に、境界チェックとネイティブ デコード ステータスのエラー返しが完了しているかどうかに注意を払います。 JavaScript パッケージを置き換えるだけでは、静的に Node にコンパイルされたコードを変更することはできません。 [S4](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS / TLS :** 入力拒否、アドレス正規化、アドレス間の区別に焦点を当てます。 IP SANと DNS アイデンティティ、そして DNS callback/Promise 解析パスと TLS ホスト名一致テスト。 [S5](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** は、ディレクトリ コンテキストを取得するだけでなく、認証プロセスが実際に資格情報を検証するかどうかに焦点を当てます。公式バージョンを優先し、単一のソース ファイルの置き換えを完全なバイナリ パッチとして扱いません。 [S24](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-24) - **CPython SSL:** に焦点を当てます Python 参照の所有権と基礎となるもののライフサイクル SSLContext ; `wrap_bio()` バックポートにはブランチの互換性の違いがあるため、使用されるブランチの実際の実装を読む必要があります。 [S31](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-31) [S47](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-47) - **証明書の不信感:** このような更新は、明らかな API の変更ではなく、信頼できるマテリアルまたは拒否リストの変更として表示される場合があります。同じバッチの Node 影響を受ける中間体の拒否メカニズムも含まれます。 CA ;それぞれの信頼できるソース Java そして Python まだ個別に検証する必要があります。 [S19](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-19) [S37](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-37) [S46](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-46) **独立した Brotli バインディングもチェックする必要があります。** Google アップストリームがリリースされました **1.0.10 / 1.1.1 / 1.2.1** 同日に修正します CVE-2026-111497 . Python 影響を受ける同じ C 実装を埋め込むネイティブ拡張機能または JNI アーティファクトは、個別に更新/再構築する必要があります。すべてが純粋であると推測することはできません Java デコーダが影響を受けるか、アップグレードすることは想定できません。 Node 他の言語のコピーを自動的に置き換えます。 [S42](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-42) ## 8. 検証と事後チェック ### 8.1 最低限の検証チェックリスト | チェック項目 | 証拠が必要です | | ------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------- | | ランタイム | 実際のプロセス/コンテナで正しいフルバージョンまたはベンダーバックポートの証拠 | | アプリケーションの依存関係 | 最終展開製品の Next/RSC/sharp、Tomcat/Spring、および Django/certifi が対応するしきい値に達しました | | 交換範囲 | すべてのワーカー/JVM/コンテナのコピーとバックグラウンド タスクは新しいものに置き換えられ、古いインスタンスは終了しました。 | | TLS | 有効なドメイン証明書は成功します。ホスト名が一致しない場合や無効なチェーンはポリシーに従って失敗します。カスタムトラストストアが含まれています | | eMudhra 不信感 | 影響を受ける中間 CA によって構築された証明書チェーンが実際の実行時に拒否されたか、特定のベンダーのセキュリティ ビルド/対応する拒否リストが展開された証拠があります。一般的な TLS テストまたは Java 8 の短いバージョン番号に基づいてケースをクローズすることはできません。 | | Node デコードと画像 | 通常の圧縮応答、アップロード、画像の最適化、RSC 機能が利用可能です。信頼できないソース ポリシーが有効です | | Java 認証と分離 | 間違ったパスワードは拒否されました。 ID/応答が混在しない独立したユーザーの同時非同期リクエスト。 LDAP 期待どおりにリスニングしています | | Python SNI / アーカイブ | 通常のマルチドメイン名 TLS ビジネスは安定しています。アーカイブではパス トラバーサルと禁止されたリンクが拒否され、ディレクトリ外のファイルは変更されません | | データと機能回帰 | ページング、空間クエリ、権限チェック、およびバックグラウンド タスクはプロジェクトの既存のテストに合格しました。 | | リソースと観察 | CPU、メモリ、エラー率、レイテンシ、TLS エラーの異常な増加はありません。 | | トレーサビリティ | アップグレード時間、パッケージ/イメージ ダイジェスト、構成変更、検証結果、未解決項目を保存します | これらは実装の受け入れに関する推奨事項であり、CVE ごとに攻撃スクリプトを作成する必要はありません。クラッシュ、リソースの枯渇、および範囲外のアーカイブを伴う検証では、分離された環境でアップストリームの回帰テストまたはプロジェクト管理されたテスト データを使用する必要があります。 ### 8.2 パッチ適用と侵入調査は別のタスクです 既存のログで異常なデコード エラー、ワーカー/JVM のクラッシュ、不審なファイルの書き込み、ディレクトリ データの変更、認証例外、アウトバウンド リクエスト、資格情報の使用記録を確認します。これらの兆候は状況に応じて判断する必要があります。クラッシュや OOM は悪用の成功の証拠ではありません。アラートが存在しないことは、システムが影響を受けていないことを証明するものではありません。 不正な変更、認証情報の侵害、または確認された悪意のある依存関係が発見された場合は、証拠を保存し、関連するインスタンスを隔離し、影響を受ける認証情報を信頼できる環境からローテーションして、システムを再構築する必要があります。このパッチは、攻撃者が取得したトークンを取り消したり、変更されたデータを復元したりすることはありません。 ## 9. サプライチェーンセキュリティインシデント: LiteLLM 1.107.0 侵害 **公式確認日: 2026-10-21。** LiteLLM リリースパイプラインが侵害されたと報告しました。 PyPIの **リテルム== 1.107.0** また、同時期の一部の Docker/GHCR 製品には機密窃取および遠隔制御の悪意のあるコードが含まれており、関連製品は廃止されました。 [S41](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-41) 影響を判断するには、過去のインストール記録とイメージ ダイジェストを確認する必要があります。などのラベル `latest` , `main-latest` 、 そして `main-stable` 現在、クリーンな画像が示されていますが、これは事件当時に引き出された製品がクリーンであったことを証明するものではありません。当時の公式推奨は一時的に固定することでした **1.106.2** ;この推奨事項はこのインシデントに基づいており、他のセキュリティに関する発表は展開中に引き続き確認する必要があります。 [S41](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-41) 関連製品がインストールまたは実行されている環境の場合: 1. 設置記録、画像、ログを隔離して保存し、クリーンな環境から検査します。 2. **始めないでください Python/pip** まず疑わしい環境で。悪意のある `.pth` / `sitecustomize.py` 起動後に再度実行される場合があります。 3. 信頼できるソースからホスト、venv/コンテナを再構築します。パッケージをアンインストールまたはダウングレードすることはできません。 4. 実際のアクセシビリティに基づいてクラウド認証情報、LLM プロバイダー キー、LiteLLM キー、データベース認証情報を取り消し/更新し、異常な使用状況を確認します。 [S41](https://keendigit.com/ja/insights/node-java-python-security-remediation-guide#source-41) これはサプライチェーンで確認されたインシデントであり、対処する際には悪意のあるコードの実行、認証情報の漏洩、永続化のリスクを考慮する必要があります。 2026 年 10 月 23 日の時点で、当局はまだ最初の侵入を調査中です。 ## 付録: 引用元とリンク 次のソース検証日は **2026-10-23** です。これには、プロジェクトの公式セキュリティ発表、公式コード リポジトリ、ベンダーの指示が含まれます。本文 \[Sx] がこの付録に相当します。更新を実行するときは、サプライヤーが次のリビジョンをリリースしたかどうかを確認する必要があります。 ### S1 — Node.js: 2026-10-21 セキュリティ通知 - 目的: 4 つのランタイム High、ブランチに影響、10 月のセキュリティ リリース。 - 参照: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: 3 つのメンテナンス ラインの公式リリース手順 - 目的: 22.23.4、24.22.1、26.12.1、および実際のマージされたパッチを確認します。 - 参照: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - 参照: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - 参照: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Node.js Brotli RCE セキュリティ アドバイザリ - 目的: インバウンド/アウトバウンドのデコード条件、WAF カバレッジ境界、Node 20 ステータス。 - 参照: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli 公式パッチの提出 - 目的: ネイティブ デコード チェックとエラー伝播の実装基盤。 - 参照: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: TLS アドレス正規化パッチ - 目的: 全角数字および非標準 IP の証明書 ID 検証。 - 参照: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - 参照: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: DNS NUL 検証パッチ - 目的: 入力拒否と回帰カバレッジ。 - 参照: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 2026-07-29 セキュリティ通知 - 目的: HTTP/2 メモリ枯渇、UAF、および権限モデルの脆弱性。 - 参照: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: 2026-10-14 セキュリティ更新プログラム - 目的: アップグレードのベースラインと 3 つの主要なリスクを統合します。 - 参照: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### 参照: S9 — Next.js：typed arrays / use cache RCE - 目的: GHSA-673q-mjm6-r5xr;間隔、状態、スコア、および回避策のステータスに影響します。 - 参照: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### 参照: S10 — React：React Server Components RCE - 目的: GHSA-xqc2-xf4c-x3h3; 3 つの RSC パッケージの影響を受けるバージョンと修正されたバージョン。 - 参照: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### 参照: S11 — Next.js：SVG Image Optimization RCE - 目的: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc、シャープおよびオリジナルのバージョンの境界。 - 参照: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### 参照: S12 — Next.js：Server Actions DoS - 目的: GHSA-p3m5-59mp-jv5r;条件、バージョン、評価に影響します。 - 参照: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF 画像の最適化 RCE - 目的: 2026-08-25、GHSA-2xp9-vwfh-vxw4。 - 参照: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### 参照: S14 — Next.js：Windows RCE - 目的: 2026-08-25、CVE-2026-75604/GHSA-p293-qw3h-jr36。 - 参照: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### 参照: S15 — Next.js：next/og ImageResponse RCE - 目的: 2026-09-22、GHSA-vcvr-r3jv-pc5j; NodeとEdgeの違い。 - 参照: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - 参照: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### 参照: S16 — Oracle: October 2026 CPU - 目的: Java SE リスク マトリックス、パッチ数量、適用条件。 - 参照: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - 参照: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 帯域外アラーム - 目的: 2026-10-21、JSSE 証明書の信頼リスク、影響を受ける製品および CVSS 3.1 9.1。 - 参照: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK 正式版とダウンロード - 目的: 10 月 20 日の CPU と 10 月 21 日の帯域外バージョンを区別します。 Java 8 の短縮バージョンの制限を区別します。 - 参照: [JDK release list](https://ops.java/releases/) - 参照: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra 一時出金計画 - 目的: 2026 年 10 月 22 日に更新。 2 つのルート証明書、keytool、カスタム トラストストア、失効チェック。 - 参照: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: リリース ビルド レコード - 目的: Temurin は証明書インシデントのため再パッケージ化されています。 Oracle バージョン サフィックスは機械的に適用できません。 - 参照: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 セキュリティ通知 - 目的: 9.0.123 修正による 9 ブランチの正確な影響を受ける間隔。 - 参照: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 セキュリティ通知 - 目的: 10.1 分岐の正確な間隔と 10.1.61 の修復。 10.0 EOL。 - 参照: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 セキュリティ通知 - 目的：Important、11.0.27、AJPの3項目の適用範囲と開示・公開日。 - 参照: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: JNDIRealm パッチのコミット - 目的: 認証検証のギャップを修復するための正式な基盤。 - 参照: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### 参照: S25 — Spring：GraphQL CVE-2026-59285 - 目的: 2026-08-20、必須、2.0.5 OSS / 2.0.4.1 商用修理。 - 参照: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### 参照: S26 — Spring：GraphQL CVE-2026-41699 - 目的: 古いベースラインに留まらない理由を説明するためだけに、以前の修正しきい値。 - 参照: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### 参照: S27 — Spring Security：CVE-2026-59270 - 目的: 既知の管理 ID である UnboundID LDAP を埋め込み、OSS/商用バージョンを区別します。 - 参照: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### 参照: S28 — Spring Security：CVE-2026-47841 - 目的: WebAuthn ユーザー認証、セッションのシリアル化、攻撃の前提。 - 参照: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 独立したセキュリティ アドバイザリ - 目的: 2026-09-30、Critical、SNI SSLContext が挙げる状況と暫定措置。 - 参照: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 独立したセキュリティ アドバイザリ - 目的: 2026-09-30、High、ホスト名の欠落と明示的なパラメーターの軽減。 - 参照: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: Wrap\_bio 公式パッチと 3.12 バックポート - 目的: 3.10—3.12 警告互換性ポリシー、None と空の文字列の違い。 - 参照: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - 参照: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - 参照: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 独立したセキュリティ アドバイザリ - 目的: 2026-09-14、High、リンクの組み合わせ、メタデータの変更、およびコンテンツの公開。 - 参照: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: 9 月末または 10 月初旬に正式なセキュリティ リリース - 目的: 最小修正バージョン、ソース コード配布方法、tarfile 固有の問題に対する 3.14 の免除。 - 参照: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - 参照: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - 参照: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - 参照: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - 参照: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 最後の安全なリリース - 目的: 3.10.22 およびアップストリーム ライフ サイクルの終了。 - 参照: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: 2026-10-21 緊急メンテナンス版 - 目的: 3.13.17 / 3.14.9 / 3.15.1、組み込み pip および certifi アップデート、既存の venv 要件。 - 参照: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - 参照: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - 参照: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: emSign 証明書の不信通知 - 目的: 2026-10-20、GHSA-6q48-6c7w-9gw2、Critical、不明な CVE。 - 参照: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: eMudhra / emSign の Python ユーザーへの影響 - 目的: certifi .19 推奨、pip/uv ベースライン、SHA-256 によるトラステッド ブート アップグレード コマンド。 - 参照: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) S37 で引用されている公式手順で提供される pip ブート アップグレード コマンドは次のとおりです。信頼できることが確認された Python 環境でのみ使用してください。セクション9で毒物混入の疑いがある場合は、まず隔離し、事件プロセスに従って再構築します。ホイール コンテンツ ハッシュを修正し、その後、プロジェクト プロセスに従って他の依存関係を更新します。 ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 2026-08-04 安全リリース - 使用法: CVE-2026-15307、GeoDjango 悪用条件、初期修正、互換性の変更。 - 参照: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: 2026-10-06 安全リリース - 目的: CVE-2026-87890、ジオメトリ DoS 現在選択されているベースラインを使用したその後の補強。 - 参照: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: 最新の tar\_filter サイドノート - 目的: 2026-10-22、CVE-2026-114583 (Medium); PR の統合は、正式なメンテナンス バージョンがリリースされたことを意味するものではありません。 - 参照: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - 参照: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: 公式サプライ チェーン インシデント レポート、10 月 21 日 - 目的: 1.107.0 の汚染された製品、履歴ダイジェスト、分離の再構築、および認証情報の廃棄。 - 参照: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: 公式の安全なバージョン - 目的: 独立した Brotli 1.0.10 / 1.1.1 / 1.2.1 および言語間の埋め込みコピー検証の基礎。 - 参照: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — 誤: コマンドの公式ドキュメントを使用してください - 目的: ツールのバージョンとグローバル構成のコマンド セマンティクスを指定します。 - 参照: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-audit 公式プロジェクト - 目的: Python 依存関係の脆弱性監査の目的と機能の境界。 - 参照: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: tarfile 抽出フィルター ドキュメント - 目的: データ戦略、デフォルトの動作の変更、およびサンドボックスに代わることのできない制限。 - 参照: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: 中間 CA 拒否メカニズム - 目的: この eMudhra 関連の信頼チェーン処理は、すべてのルート証明書の暗号化の無効化と同等ではありません。 - 参照: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: SNI UAF のテクニカル ノートと修正 - 目的: 参照ライフサイクル、特別なビルド条件、ブランチバックトラッキング。 - 参照: [official issue #156293](https://github.com/python/cpython/issues/156293) - 参照: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - 参照: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## セキュリティ維持のご相談 証明書の信頼性の変更がシステムにどのような影響を与えるかわからないですか?影響を受けるクライアントの評価とセキュリティ更新の計画をお手伝いします。 [セキュリティ更新について話し合う]() [オリジナルページ]() · [コンテンツインデックス]() KeenDigit LLC · ワイオミング州の出願ID: 2026-002106155 [ワイオミング州国務長官に確認する]() © 2026 KeenDigit LLC · 米国ワイオミング州シェリダン · すべての著作権は留保されています。