統合集計・長期推移 — Webと同じデータ

基準日時：2026年11月9日14:15:00 JST（2026-11-09T05:15:00Z）。公開対象：2026年10月10日14:15:00〜11月9日14:15:00 JST、端点を含む直近30日。

NVD取得：2026-11-09T05:29:57.864Z 〜 2026-11-09T05:33:05.453Z（UTC）。KEV取得：2026-11-09T05:25:36.091Z。公開基準・実取得・情報源の更新時刻は異なります。全ページの総数・連続offset・重複・期間を検査しましたが、APIは歴史時点のトランザクションスナップショットではありません。

Rejected除外。CVE番号1個を1件。CVSS v3.0／3.1／4.0全評価の最大値7以上、9以上は内数。全17,584件＝掲載8,615＋未採点938＋Rejected652＋7未満7,379。版・評価元は混在。修正参照あり924件／不明・未確認7,691件、全件一覧の提供元独立精査0件。

共通dataset ID：27a4aa4f95e61fa5dd5b7aa61bf015b4f39823b5db42b1a33f2e3cf7a4353c04
行データID：aifrontier-c867dac5565b2d45e0dc

月次は2024年1月〜2026年11月の35か月、UTC暦月。総CVEはRejected除外、KEVは現行カタログdateAdded月。11月は途中集計の白丸（総CVE3,427／KEV追加3）。高深刻度35月は未取得nullで、0ではなく図から省略。

注目CVE — 指定10件（第26版のNVD記録を継承）

本節は第26版（2026年11月7日取得）のNVD記録をそのまま掲載した継承節です。本版で10件を再取得していないため、vulnStatus・CVSS・参照は11月7日時点の値です。窓内のCVEは本版の一覧・グラフ・CSVにも反映されています（窓内/窓外の判定のみ本版の窓で再計算）。

NVDのstatusはNVD側の処理状態で、危険度や修正状況の判定ではありません。「Awaiting Analysis」「Received」を「危険」「安全」と読み替えません。CVSS v2のみの評価は本報告の集計対象外（未評価扱い）です。各CVEの技術的説明は第26版の個別メモを継承します。

0. まず読む1ページ — 今回確認したこと

第20版の全対象を本日再検証したものではありません。公式原文の再確認で変更・留保が必要な点を優先しました。新規公表日が確認できないものを11月2日の新着とは扱いません。

3.13の再確認とAI追補は該当章を参照。GMOの累計情報提供は735件（11/2 18:00）へ更新。人数・事故数ではありません。

1. 全体一覧・対応優先度

第20版ソフトウェア調査の確認範囲は2.1〜2.5、3.1・3.2・3.4・3.5、3.11のLinux行、7.10のPython欄。これ以外の要約、第19版新着欄、旧悪用/KEV記載は第19版からの継承・今回個別再検証なし。更新した対処は該当詳細節の根拠リンク参照。

共通する所見(3点)

• 1つの部品の欠陥が多数の製品に波及。 Brotli(Node.js・Bun・Python・Envoy・PHP・PAN-OS)、Onigmo(Ruby → GitLab)、eMudhra証明書(Java・Python・Node.js)。自社のコードを書き換えていなくても当事者になるため、ランタイム・同梱ライブラリ・コンテナの棚卸しが要。
• 悪用までの時間が短い。 php2shellは公表4日前から悪用試行、LiteLLMのSQLiは公開36時間後に実攻撃。AI支援で発見・攻撃とも高速化している(Apple更新でAnthropic・OpenAIが計7件の謝辞、ChromeではAnthropicの研究モデルが62件を発見、UEFI・jackson-databindの欠陥もAnthropic等の発見)。防御側も公式のAIセキュリティスキルを使う段階(第6章)。
• 「人が確認する」前提の防御が崩れている。 AIエージェントの乗っ取り、ClickFix、サポート詐欺など、利用者の操作・信頼を悪用する手口が主流。技術対策と同時に周知(第7章)が必要。

深刻度は各ベンダー表記(CVSS 4.0 / 3.1 混在)。行間の厳密な比較には使えない。

2. 言語ランタイム

• ランタイム更新が唯一の根本対処(Node.jsはワークアラウンドを案内せず)。node -v / bun --version で全サーバー・CI・コンテナを棚卸し。
• コンテナは作り直す。 node:24.22.0-alpine 等のピン留めタグは再ビルドしても脆弱なまま。
• 暫定: リバースプロキシ/WAFで Content-Encoding: br を含むリクエストを拒否(fetch応答側は防げない)。Cloudflareは10/25に検知ルール(既定Log)を追加。
• GitHub上の出所不明の「PoC」「スキャナ」はマルウェア混入の恐れ — 隔離環境でのみ。
• 同じNode.jsリリースでTLSホスト名検証バイパス等High 3件を含む計10件も修正(外部通信の多いランタイム・CIを優先)。

注意: 既存venv内のpip・certifiは別途確認する。旧版のpip vendor CAとOSストアに関する注意を、更新済みsslの侵害中間証明書ブロック導入後にも無条件適用しない。 pipのvendor CAとOSストア、更新済みsslブロックの違いに注意。

• 最新のJava更新を確認する。CVE-2026-91403のCPU426（中間CA不信頼化）だけでなく、後続CVE-2026-114820のCPU427等（関連ルートCA削除）を別に確認。91403のCPU426に加え114820のCPU427等を確認。8u511-b33と25.0.5.0.3+1の10/24ノート、後者baseline表に11/17/21の.0.3+1も掲載。 アプリ同梱JRE・コンテナも対象。全JDKディストリと27系列後続修正版は未確認。
• 更新できない場合(Oracle公式): cacertsをバックアップし、該当ルート4件を削除して再起動。eMudhra系の正規証明書を使う接続先はTLSが失敗しうるので事前確認。

keytool -delete -cacerts -alias "emsignrootcag1 [jdk]"
keytool -delete -cacerts -alias "emsignrootcag2 [jdk]"
keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"     # JDK 8 は -keystore $JDK_HOME/jre/lib/security/cacerts

新 Microsoft も同じ問題で eMudhra G3 ルート証明書を Windows の信頼リストから削除(MSRC 10月ブログ)。Windows上でeMudhra系の証明書を使う接続先・署名は失敗しうる。

• Spring Data Redis の RedisSerializer.json() / GenericJackson2JsonRedisSerializer、Spring Security の旧Jackson 2モジュールは既定でこの経路を使う — キャッシュ・セッションに他者が書き込めるなら優先。
• 確認: mvn dependency:tree -Dincludes=com.fasterxml.jackson.core:jackson-databind / Gradle dependencyInsight --dependency jackson-databind。フレームワークのBOM経由の版も確認。
• 更新できない場合(開発元): 信頼できないデータにクラス名ポリモーフィズムを使わない、許可する型を狭める、キャッシュ・セッションへの書き込みを制限。

2026年11月6日 追加確認（指定資料）

OpenSSH on musl libc — CVE-2026-123158（確認済み）

musl libc は2012年のコミット b3c4cc12 で、crypt() の失敗時に NULL ではなく「*」を返す設計にした。sha512crypt は DoS 対策で鍵長を256バイトに制限しており（KEY_MAX 256）、257バイト以上のパスワードでは crypt() が失敗して「*」を返す。OpenSSH は2016年（CVE-2016-6210 の対策）から、実在しない／ハッシュを持たないユーザーでも他アカウントのsaltでハッシュ計算を行うため、shadow の「*」と計算結果の「*」が一致し得る。結果として、パスワードログインを禁止したアカウント（root、鍵専用ユーザー、AlpineのAWS/Azureイメージ既定ユーザー等）が、257文字以上の任意パスワードで認証通過する。NVDは「OpenSSH 10.6p2 未満、musl libc かつ PAM 無効」と記載し、CVSS v3.1 8.1（AV:N/AC:H/PR:N/UI:N）、CWE-394。修正は commit 4353fdc（pick_salt の修正で、指摘されたバグの4行上）。

実務判断：Alpineコンテナで sshd を動かし、PasswordAuthentication を有効にしている構成は影響対象。PAM を使う構成、パスワード認証を無効化した鍵のみの構成は当該経路に乗らない。root を「*」でロックし鍵運用している構成は、まさにこの経路の前提に合致するため、OpenSSH 10.6p2 以降への更新を優先する。NVD status は Received（2026-11-06時点）。https://github.com/openssh/openssh-portable/commit/4353fdc43ef646c43a8dda7025cc1a898caf1482sshhole.com（研究者解説）

OpenSSL 3.4 / 3.6 のEOL（提供元公称）

OpenSSL 3.4 は2024年10月22日リリースの通常版で、当時の方針（非LTSは2年）により2026年10月22日にEOL。3.6 は2025年10月1日リリースで、現行方針（非LTSは13か月）により2026年11月1日にEOL。いずれも公開セキュリティ修正の提供が終了する。EOLは「直ちに脆弱」という意味ではなく、今後判明する脆弱性に対する修正が公開されないという意味。最新は 4.1（2027年11月23日まで）、LTSは 3.5（2030年4月8日まで）。Extended support は LTS のみが対象で、3.4/3.6 は対象外（個別相談は可能と記載）。https://openssl-library.org/post/2026-11-01-eol34-36/

PHP OOM 関連（CVE-2026-109618／109619／115560）（提供元公表・第三者検証）

PHP は OOM 時に longjmp() でリクエスト処理を中断するが、一部コンテキストでこの経路のメモリ状態が初期化されない（CWE-416）。CVE-2026-109618 は CVSS v3.1 9.8／v4.0 9.2、NVD status は Analyzed。CVE-2026-115560 は NVD 未登録（totalResults=0）だが、Cloudflare の WAF changelog が 109618／109619／115560 の3件をまとめて参照している。NVD未登録＝脆弱性なし、ではない。

2026年11月7日 追加確認（指定2資料）

CVE-2026-98432 のUbuntuリリース別ステータス（提供元：Ubuntu Security）

Ubuntu の CVE ページは、linux パッケージについて次の状態を示しています（2026-11-07取得）。「Vulnerable work in progress」は修正作業中を意味し、悪用の確認でも「安全」でもありません。併記されるバージョンは作業中・修正済みの対象版であり、配布済みの修正版と読み替えないでください。

派生カーネルでは、linux-aws・linux-gcp・linux-oracle・linux-raspi の 26.10 が 7.3.0-1004.4 で修正済み、linux-realtime・linux-riscv の 26.10 が 7.3.0-10.10.1 で修正済みです。一方 linux-azure の 26.10 は同じ 7.3.0-1004.4 という表記で「作業中」とされており、パッケージごとに状態は異なります。24.04／22.04 の各フレーバーは概ね作業中で、20.04 以前はバージョン表記のない「Vulnerable」が多数を占めます。linux-hwe 系は多くが Not in release で、18.04 は「Ignored end of standard support」等の表記があります。14.04 の「Not affected」は当該カーネルが影響を受けないという意味で、サポート期間の長短とは別です。

実務の読み方：修正済みと明示されたリリース／パッケージは、提示された版以降へ更新する対象です。作業中のリリースは、提供元が修正版を公開するまで待つ間、当該経路（外部からのTCP接続とSYN再送が重なる状況）の露出を下げる運用が考えられますが、提供元が個別の緩和策を提示しているわけではありません。本報告は提供元の指示を超えた独自の運用手順を断定しません。https://ubuntu.com/security/CVE-2026-98432

Ubuntuページの取得内容には優先度（priority）表記と影響サブシステムの説明文を確認できませんでした。NVD側のCWEは未割当、CVSS v3.1は9.8（AV:N/AC:L/PR:N/UI:N）です。

GhostLock（CVE-2026-43499）を使った実端末LPEの公開

2026年11月、BlackBerry KEYone BBB100-2（Android 8.1.0、kernel 3.18.71-perf-gc924168、build ABS154、security patch 2019-03-05）に対するローカル権限昇格の実装が公開されました。GhostLock（CVE-2026-43499）をカーネル書き込みプリミティブとして用い、adb shell が取れる状態から root を得るものです。bootloader unlock やファームウェア書き換えは不要とされています。

原理（要約）：3.18系の futex_requeue は FUTEX_CMP_REQUEUE_PI 経路で rt_mutex_start_proxy_lock() を呼び、デッドロック検査が -EDEADLK を返すと remove_waiter() に進みます。この版の remove_waiter() は待機側ではなく実行者（current）の状態を操作し、さらに -EDEADLK 経路では requeue_futex() が省略されるため、待機タスクの pi_blocked_on が自スタック上の rt_mutex_waiter を指したまま残ります。その後、所有者側の remove_waiter() がこの古い waiter を辿り、waiter->lock に置いた偽ロックを経由して rt_mutex の pi_tree 操作（rb_erase）を任意アドレスへの8バイト書き込みに転用します。公開実装はこの書き込みで security_hook_heads.capable のリストを空にし、全プロセスの capable() を 0 にして setuid(0) を通します。

性質と限界：capable フックの無効化はグローバルかつ一時的で、他プロセスの権限検査も同時に緩むため、1〜2分程度で再起動に至ると説明されています。再起動で復旧します。同リポジトリは bootloader unlock はできないと明記しており（RPMB／TrustZone側の記録が正で、KEY2向けの kibo は KEYone に適用できない）、root 取得と unlock は別問題です。

なぜ重要か：CVE-2026-43499 自体は2026年5月公開のカーネルUAFで、CVSS v3.1 7.8（AV:L）のローカル前提です。しかし実端末で完結するLPEチェーンとして公開されたことで、Android 8.1／3.18カーネルのようなEOL端末における「adb が有効な端末は物理接触から root まで到達し得る」ことが具体化しました。CISA KEV には掲載されていません（2026-11-07時点）。KEV未掲載は悪用がないことを意味しません。

防御側の示唆：EOLのAndroid端末では、USBデバッグ（adb）を無効化し、端末を物理的に管理する以外の根本策がありません。ベンダー修正が見込めない端末は、業務データの保存先・認証端末としての利用を見直す対象です。

掲載方針：本報告は公開されたPoCの存在と原理の要約までを扱い、攻撃コードのビルド手順・アドレス値・オフセット・実行手順は掲載しません。他者端末や他人の管理下の機器への適用は、日本法（不正アクセス行為の禁止等に関する法律、電子計算機損壊等業務妨害罪等）および各国法で違法となり得ます。検証は自身が所有・管理する機器に限られます。https://github.com/giannoccarol/root-key1

3. サーバー・基盤・機器

3.2 Linuxカーネル — 4系統をまとめて「修正カーネル+再起動」

第20版調査差分（2026-11-01）: Red Hatの現行評価はCritical/9.8。評価変更日時は未確認。識別子: CVE-2026-98432。確認範囲: Red Hat Critical/9.8、未認証遠隔からタイミング競合によるRCE可能性。公式影響説明はMPTCP限定ではない。 対処: Red HatがIPオプションを含む通信の部分フィルター緩和を案内、完全防止不可。Ubuntu generic linuxは26.10/26.04/24.04/22.04でVulnerable work in progress。 悪用状況: 研究実証と実悪用は区別。今回実悪用/KEVは未確認。 未確認: 上流mboxはAnubis / 全RHEL errata / 全Ubuntu flavor / 上流修正版一覧 / 評価変更日時。根拠: 公式資料1 / 公式資料2 / 公式資料3

第20版調査差分（2026-11-01）: 識別子: CVE-2026-99999。確認範囲: PwnEscape VM→hostメモリ漏えい/停止/root実証。ローカル経路も公式言及。 対処: 本番:8=4.18.0-553.177.1.el8_10、9=5.14.0-687.59.1.el9_8、10=6.12.0-211.67.1.el10_2。 悪用状況: 研究実証は確認、実悪用は未確認。 根拠: 公式資料1

第20版調査差分（2026-11-01）: 識別子: ZDI-CAN-33367。確認範囲: ローカル非特権からread-onlyファイルのpage cache改ざん、権限昇格。 対処: 10/28本番:8=4.18.0-553.178.1.el8_10、9=5.14.0-687.60.1.el9_8、10=6.12.0-211.69.1.el10_2。 悪用状況: 公開PoCを公式が言及。実悪用は未確認。CVEは取得した公式で未採番。 未確認: 上流現状 / 他ディストリ。根拠: 公式資料1

3.2確認範囲: TCPの旧研究実証・評価変更日時・IPv6・KEV、Infinity Core / KSMBDおよび他ディストリの旧記載は第19版からの継承・今回個別再検証なし。MPTCP対象の実験結果と、公式のIPv4 TCP全般という影響説明を混同しない。

第19版のZDI報告当時の『パッチなし』という説明を現行対処へ一括適用しない。AlmaLinuxのZDI-CAN-33367は10/28本番配布を確認。上流状態・他のZDI案件は今回未確認。

• pip show litellm で 1.107.0 なら侵害済みとみなす(ただし影響環境でPythonを起動すると再発火するため、除去前にpip等を実行しない)。litellm.dev への通信をログで検索。
• 汚染環境の再構築と資格情報の失効・ローテーションを行う。旧litellm==1.106.2固定は初動の暫定指示であり、現行の安全性や全脆弱性修正の保証ではない。10/23にcosign鍵変更、10/24から新鍵署名版、10/30にverified情報更新。署名鍵の世代を確認し、旧キーで署名が有効なことだけで安全判定しない。新キー指紋・全脆弱性の現行推奨版はこのJSONからは確定しない。
• 認証情報を全面ローテーション(LiteLLM内の全プロバイダAPIキー・マスター/仮想キー、DBパスワード、IAMロール、SSH鍵、AIツールのトークン、環境変数のシークレット)。
• 第19版からの継承・今回個別再検証なし（旧CVE個別勧告・KEV）：別件で本体の重大脆弱性(CVE-2026-42208 未認証SQLi、42271 RCE・KEV掲載)も。外部公開インスタンスは最新版・公開範囲最小化。

• 組み込みアプリは再ビルド必須(CLI更新では直らない)。cargo tree -i wasmtime、cargo audit。事前コンパイル済み .cwasm も再生成。
• 4月に別件で36.0.7 / 42.0.2 / 43.0.1へ上げたホストも115893は未修正。Dependabotは115893を警告しない可能性。更新まで第三者のWasmモジュールを実行しない。

• 機器メーカー・自社製品で組み込んでいる場合: 6.1.1 へ更新し、既存セッションを破棄して再起動、Blowfishのパスワードをすべて再設定。
• 機器の利用者: メーカーのファームウェア更新を待って適用。管理画面をインターネットに公開しない、初期パスワードを変える(第7章のルーター対策と同じ)。
• 状況: 研究者(FoxIO)がPoCを公開、悪用の報告はなし、CVEはNVD未登録(10/28時点)。HP・Canon・Siemens・D-Link等の製品が影響を受けうるとの報道があるが、各社の確認は取れていない。

3.8 その他の個別アドバイザリ・悪用確認済み脆弱性

第19版からの継承・今回個別再検証なし。以下の版番号・悪用状況・件数・日付を今回の現時点確認済みと解釈しない。

3.9 第14版での追加(10/27〜29)

第19版からの継承・今回個別再検証なし。以下の版番号・悪用状況・件数・日付を今回の現時点確認済みと解釈しない。

3.10 phpMyAdmin 5.2.3 — 未確認の脆弱性報告(研究者単独発表、CVE・PMASA未採番)

第19版からの継承・今回個別再検証なし。以下の版番号・悪用状況・件数・日付を今回の現時点確認済みと解釈しない。

対処の目安: phpMyAdminの管理アカウントを限定し外部公開しない(通常推奨される運用のまま)。setup/フォルダが残っている環境は削除。公式のPMASA発行・CVE採番を継続して確認する。

3.11 第16版での追加(10/29午後)

第20版調査差分（2026-11-01）: この追補はLinux TCP行のみ。他行は継承・個別再検証なし。識別子: CVE-2026-98432。確認範囲: Red Hat Critical/9.8、未認証遠隔からタイミング競合によるRCE可能性。公式影響説明はMPTCP限定ではない。 対処: Red HatがIPオプションを含む通信の部分フィルター緩和を案内、完全防止不可。Ubuntu generic linuxは26.10/26.04/24.04/22.04でVulnerable work in progress。 悪用状況: 研究実証と実悪用は区別。今回実悪用/KEVは未確認。 未確認: 上流mboxはAnubis / 全RHEL errata / 全Ubuntu flavor / 上流修正版一覧 / 評価変更日時。根拠: 公式資料1 / 公式資料2 / 公式資料3

3.12 第18版での追加(10/30)

第19版からの継承・今回個別再検証なし。以下の版番号・悪用状況・件数・日付を今回の現時点確認済みと解釈しない。

本章の詳細な出典はURLは第10章「情報源」に掲載。

3.13 第19版での追加(10/31)

第19版からの継承・今回個別再検証なし。以下の版番号・悪用状況・件数・日付を今回の現時点確認済みと解釈しない。

本節で検討したが見送った項目: Chrome Mac版サンドボックス回避(CVE-2026-106378、3.9既出のChrome更新に包含)、TeamViewer整数オーバーフロー(CVE-2026-111585、3.9既出)、Arista VeloCloud Orchestrator SQLi(CVE-2026-114625、3.8既出・KEV対応中)、各種ニッチなIoT/ライブラリ脆弱性(新規の大規模悪用キャンペーンとの関連は本書時点で確認できず)。

2026年11月6日 追加確認（指定資料）

Windows Paint — CVE-2026-83844（MSRC一次情報）

MSRC は2026年10月13日公開。境界外読み取り（out-of-bounds read）により、未認証の攻撃者がネットワーク経由でコード実行可能。CVSS v3.1 8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）、重要度 Important、Exploitability は「Exploitation Less Likely」、公開時点で「Exploited: No」。MSRCのFAQは「細工したパケットを影響サービスへ送る」と記載し、0クリック／ファイルを開く経路と断定していない。二次報道では修正版の表記が 11.2605.91.0 → 11.2609.401.0 と揺れ、Store配布版（11.2605.81.0）に関する管理者報告があるが、MSRC取得ページに修正バージョン表は確認できなかった。Copilot関与などの推測は採用しない。https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844Cyber Security News（二次）

Barracuda Email Security Gateway — CVE-2026-116606／CVE-2026-111560（提供元公称）

Barracuda は2026年11月2日付で2件を公表。CVE-2026-116606 は事前認証の認可バイパス（ESGのみ、CVSS 9.3、認証不要だが管理UIへの到達が必要と2026-11-05に表現を修正）。CVE-2026-111560 はコマンドインジェクション（ESG/ADC/BMA/WCC/WAF/WSG、CVSS 8.6、管理者権限が必要）。連鎖によりroot到達。修正はESG 9.4.0.030以降。watchTowrが2026-11-05に実演を公表し、検出ツールを公開（エクスプロイトは未公開）。両CVEとも2026-11-06時点でCISA KEV未掲載、実攻撃の報告なし。https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injectionThe Hacker News（二次）

Cloudflare WAF 2026-11-03 リリース（提供元公称）

PHP OOM 系（CVE-2026-109618／109619／115560）向けルール式の反復改善。Free Ruleset と Managed Ruleset の #2／#3 はいずれも Block→Block（検知更新）。Managed Ruleset に「phpMyAdmin - Authentication Bypass」を新規検知として Disabled で追加。PHP CTF の報告に基づく改善と記載。https://developers.cloudflare.com/changelog/post/2026-11-03-waf-release/

4. インシデント — 公式情報の再確認と統計

27件は指標数であり一意事故数ではありません。人数・画像・口座・報告件・資産額を合算しません。一意事故総数はnull。第20版からの継承と11月2日の本文再確認を列で区別します。公表日は取得日ではありません。

統計の出典・期間・今回の確認範囲

PPC 不正アクセス漏えい等の月別速報報告件数：2026-04～2026-10-16／個人情報取扱事業者からPPCへ直接報告された、不正アクセスによる個人データ漏えい等の速報受付月別報告件数。委任先省庁経由（金融業・電気通信業等）と行政機関等を除外。実漏えいとおそれを含む。／7か月の数値・対象と重複注記を本日原文再確認。
https://www.ppc.go.jp/files/pdf/261028_sankoushiryou-2.pdf

金融庁 証券口座の不正アクセス件数：2025-01～2026-09／各証券会社等から報告された発生日ベースの暫定値。不正取引件数は不正アクセス件数のうち不正取引まで行われた件数。／公式ランディングの対象期間と10/9更新を再確認。全点数表は第20版継承。
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing/20261009.pdf

金融庁 証券口座の不正取引件数：2025-01～2026-09／各証券会社等から報告された発生日ベースの暫定値。不正取引件数は不正アクセス件数のうち不正取引まで行われた件数。／公式ランディングの対象期間と10/9更新を再確認。全点数表は第20版継承。
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing/20261009.pdf

警察庁 ランサムウェア被害報告件数・年次：2021～2025／企業・団体等のランサムウェア被害の警察への報告件数。ノーウェアランサムは別系列。／既存数表を継承。正誤表の対象は特殊詐欺図表10でありランサム図ではないことを本日確認。
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

警察庁 ランサムウェア被害報告件数・半期：2020-H2～2026-H1／企業・団体等のランサムウェア被害報告件数。2020年下半期からの統計。／既存数表を継承。正誤表の対象は特殊詐欺図表10でありランサム図ではないことを本日確認。
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf

警察庁 ノーウェアランサム被害報告件数・年次：2023～2025／暗号化せず窃取情報の公開等で対価を要求するノーウェアランサムの被害報告。2023上半期から集計。／既存数表を継承。正誤表の対象は特殊詐欺図表10でありランサム図ではないことを本日確認。
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

事案別出典と区分別補足

• GMO 影響の可能性があるサーバー：https://group.gmo/info/alert/20261022/
• GMO 懸賞金サイトへの累計情報提供：https://group.gmo/info/alert/2026102902/
• GMO 国内外70超の証券・FX会社に関する記述：https://group.gmo/info/alert/20261024/
• タイムズカー 基本情報の外部送信痕跡：https://share.timescar.jp/news/2026/1023/1825.html
• タイムズカー 暗号化本人確認画像の外部送信痕跡：https://share.timescar.jp/news/2026/1023/1825.html
• タイムズカー 暗号化本人確認画像へのアクセスのみ：https://share.timescar.jp/news/2026/1023/1825.html
• タイムズクラブ 連携サービスID：https://share.timescar.jp/news/2026/1023/1825.html
• タイムズクラブカード番号：https://share.timescar.jp/news/2026/1023/1825.html
• タイムズクラブ クレジットカード番号下4桁：https://share.timescar.jp/news/2026/1023/1825.html
• 日本交通 漏えいした可能性のある対象者区分：https://nihon-kotsu-hire.jp/news/261030/
• ニチレイ 漏えい確認個人情報の表内件数合計：https://www.nichirei.co.jp/news/2026/524.html
• デジタル庁GSS 漏えいした可能性のある個人情報：https://www.digital.go.jp/press/5fc99139-a4e2-4b7b-8b0c-d475e926143f
• デジタル庁 Studio事案の対象範囲表：https://www.digital.go.jp/press/a0a8f66c-b32d-4695-9372-bcd5d4280f22
• アサヒ 漏えいのおそれがある個人情報の表内概数合計：https://www.asahigroup-holdings.com/newsroom/detail/20260717-0101.html
• アサヒ 漏えい確認個人情報の表内合計：https://www.asahigroup-holdings.com/newsroom/detail/20260218-0101.html
• HISタイ法人 流出した可能性のあるパスポート情報等：https://www.his.co.jp/assets/20261007.pdf
• Binance 盗難トークン資産の概算額：https://www.binance.com/en/support/announcement/detail/d3306d9dca5243548c813b605e1d1751
• Binance 被害対象資産の補填率：https://www.binance.com/en/support/announcement/detail/73911fb819b240f88b88256bdd318eda
• Binance事件に対するFBIの帰属判断：https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack
• Polymarket 流出資金：https://status.polymarket.com/cmvvek1i90eme14ruga1z6tuj
• Polymarket 停止関連損失への返金：https://status.polymarket.com/cmvvek1i90eme14ruga1z6tuj
• Polymarket 返金総額：https://status.polymarket.com/cmvvek1i90eme14ruga1z6tuj
• Polymarket 返金済み対象ウォレット割合：https://status.polymarket.com/cmvvek1i90eme14ruga1z6tuj
• Polymarket 710ウォレットという旧記述：https://www.cnbc.com/2026/10/29/polymarket-reports-outage-on-international-exchange-halts-trading.html
• PPC 不正アクセスによる漏えい等の延べ本人数：https://www.ppc.go.jp/files/pdf/261028_sankoushiryou-2.pdf
• PPC 月別速報報告件数の表内合計：https://www.ppc.go.jp/files/pdf/261028_sankoushiryou-2.pdf
• 旧版の昨年度確定値1256件：公式根拠未確認

日本交通 漏えいした可能性のある対象者区分：ハイヤーのお客様 13,100、乗務員・職員 60,100、採用応募者 107,900、従業員家族 37,700、取引先担当者 2,100、事故等の相手方 72,000。区分間重複の排除なし。合算して一意人数にしません。

ニチレイ 漏えい確認個人情報の表内件数合計：配送先 3,308、取引先役職員 6,849、従業員・家族・求職者 43,709。区分間重複の排除なし。合算して一意人数にしません。

デジタル庁 Studio事案の対象範囲表：一般意見 最大8,833、採用問合せ 最大250、接種証明書アプリ 最大3,661、着ぐるみ借用 最大117、参加関連 最大462、Studioアカウント 記載件数35。区分間重複の排除なし。合算して一意人数にしません。

アサヒ 漏えいのおそれがある個人情報の表内概数合計：お客様相談室 1,525,000、慶弔対応先 117,000、従業員 107,000、従業員家族 162,000、取引先等 378,000。区分間重複の排除なし。合算して一意人数にしません。

ニチレイの一括抽出回答は原文と不一致だったため不採用。原文の9/18第7報・3,308＋6,849＋43,709＝53,866個人情報件を使用。警察庁の正誤表は特殊詐欺の図表10が対象。過去ランサム数表の全点再検証とはしません。

2026年11月7日〜8日の新規確認（第26版）

本節は、前版（11月7日20:00基準）以降に提供元の一次情報で確認できた事象のみを掲載します。確認できなかった論点は「未確認」と明記し、推測で補いません。

1. 金融庁「現下の情勢を踏まえた金融機関利用者へのお願い」（2026年11月6日）

金融庁は11月6日、顧客向けサービス・業務システムへの不正アクセスと顧客情報の漏洩が相次いでいることを踏まえ、金融機関利用者向けの注意喚起を公表しました。同日、サイバーセキュリティに関する関係閣僚会議が「サイバーセキュリティ緊急対策パッケージ」を決定したことが本文に明記されています。利用者への具体的な依頼は、メール内リンクを安易にクリックしないこと、パスワードの使い回しをしないこと、フィッシング耐性のある多要素認証の利用、身に覚えのない取引通知があった場合の金融機関への速やかな連絡、の4点です。

読み方：本件は新規の脆弱性（CVE）の公表ではなく、漏洩済み情報を起点とした二次被害（なりすましメール・フィッシング）への注意喚起です。当サイトのCVE集計には計上されません。10月9日公表の金融機関向け対策要請とあわせ、9月以降の国内漏洩事案が利用者側の運用（MFA・連絡体制）に影響を及ぼしていることを示す一次情報として扱います。https://www.fsa.go.jp/news/r8/sonota/20261106/20261106.html

2. CISA KEV の新規追加（2026年11月7日以降、当日取得カタログ）

当日取得したKEVカタログに、dateAdded が 2026-11-07 以降の新規項目は確認できませんでした（取得カタログの最終更新は 2026-11-06T19:44:45.1797Z）。「追加がなかった」ことは「新たな悪用がない」ことを意味しません。

3. Brotli（CVE-2026-111497）の機器側波及 — Neat の告知（NEAT-SA-2026-11-02）

Google Brotli のデコーダに存在する境界外書き込み（CWE-787）は、Brotli 1.0.3〜1.2.0 が影響を受け、1.0.10／1.1.1／1.2.1 で修正されます。CISA は 2026年10月27日付で KEV に掲載しています。会議室端末ベンダーの Neat は11月2日付の告知で、NeatOS が Neat Browser（Neat Open Apps）とキャプティブポータル経由で当該ライブラリを使用していると説明し、NeatOS 26.6.3 を11月21日までに段階配信（11月7日開始）するとしています。CVSS は v4.0 9.2（Google評価）／v3.1 8.1（AC:H）、Neat 自身の評価は High です。

読み方：ライブラリ脆弱性が組込み機器のファームウェア更新待ちという形で運用負荷になる典型例です。Neat は「自社製品・顧客への悪用の証拠はない」としつつ、緩和として eMudhra 中間CA問題の修正を先行適用すること、キャプティブポータルを避けること、Neat Browser の利用を制限することを挙げています。ベンダーの「悪用の証拠なし」は、KEV掲載（悪用の証拠あり）と矛盾するものではなく、対象範囲が異なる発言です。https://support.neat.no/article/security-advisory-november-2026-brotli-decoder-vulnerability-cve-2026-111497-affecting-neat-devices/

4. Google Chrome の更新（2026年11月3日 Stable／11月4日 Early Stable）

Chromium 公式ブログの2026年11月一覧で、11月3日付「Stable Channel Update for Desktop」、11月4日付「Early Stable Update for Desktop」の公開を確認しました。本版では各記事本文を取得していないため、修正件数・CVE番号・深刻度は記載しません。前版までに扱った Chrome の修正内容は継承です。https://chromereleases.googleblog.com/2026/

5. 今回確認できなかった事項

• Microsoft 11月 Patch Tuesday の先行情報：MSRC の当月アドバイザリ本文を本版で取得できていません（11月の定例更新日は通常第2火曜で、本基準日時より後です）。件数・CVEは記載しません。
• Ivanti／Fortinet／Cisco／VMware／Citrix／SAP／Atlassian／WordPress主要プラグインの11月7〜8日付の新規告知：今回の検索で当該日付の一次情報を特定できませんでした。各章の記述は第26版以前の継承です。
• AIサービス・エージェント基盤の新規CVE、モデル配布物のサプライチェーン事案：11月7〜8日付の一次情報を確認できませんでした。プロンプトインジェクションの実害事例として引用できる新規の一次情報も得られていません。

本節の日付はすべて提供元ページの記載に基づきます。二次情報（報道・集約サイト）のみで確認した事項は掲載していません。

2026年11月9日〜9日の新規確認（第26版）

本節は、前版（11月7日20:00基準）以降に提供元の一次情報で確認できた事象のみを掲載します。確認できなかった論点は「未確認」と明記し、推測で補いません。

1. 金融庁「現下の情勢を踏まえた金融機関利用者へのお願い」（2026年11月6日）

金融庁は11月6日、顧客向けサービス・業務システムへの不正アクセスと顧客情報の漏洩が相次いでいることを踏まえ、金融機関利用者向けの注意喚起を公表しました。同日、サイバーセキュリティに関する関係閣僚会議が「サイバーセキュリティ緊急対策パッケージ」を決定したことが本文に明記されています。利用者への具体的な依頼は、メール内リンクを安易にクリックしないこと、パスワードの使い回しをしないこと、フィッシング耐性のある多要素認証の利用、身に覚えのない取引通知があった場合の金融機関への速やかな連絡、の4点です。

読み方：本件は新規の脆弱性（CVE）の公表ではなく、漏洩済み情報を起点とした二次被害（なりすましメール・フィッシング）への注意喚起です。当サイトのCVE集計には計上されません。10月9日公表の金融機関向け対策要請とあわせ、9月以降の国内漏洩事案が利用者側の運用（MFA・連絡体制）に影響を及ぼしていることを示す一次情報として扱います。https://www.fsa.go.jp/news/r8/sonota/20261106/20261106.html

2. CISA KEV の新規追加（2026年11月7日以降、当日取得カタログ）

当日取得したKEVカタログに、dateAdded が 2026-11-07 以降の新規項目は確認できませんでした（取得カタログの最終更新は 2026-11-06T19:44:45.1797Z）。「追加がなかった」ことは「新たな悪用がない」ことを意味しません。

3. Brotli（CVE-2026-111497）の機器側波及 — Neat の告知（NEAT-SA-2026-11-02）

Google Brotli のデコーダに存在する境界外書き込み（CWE-787）は、Brotli 1.0.3〜1.2.0 が影響を受け、1.0.10／1.1.1／1.2.1 で修正されます。CISA は 2026年10月27日付で KEV に掲載しています。会議室端末ベンダーの Neat は11月2日付の告知で、NeatOS が Neat Browser（Neat Open Apps）とキャプティブポータル経由で当該ライブラリを使用していると説明し、NeatOS 26.6.3 を11月21日までに段階配信（11月7日開始）するとしています。CVSS は v4.0 9.2（Google評価）／v3.1 8.1（AC:H）、Neat 自身の評価は High です。

読み方：ライブラリ脆弱性が組込み機器のファームウェア更新待ちという形で運用負荷になる典型例です。Neat は「自社製品・顧客への悪用の証拠はない」としつつ、緩和として eMudhra 中間CA問題の修正を先行適用すること、キャプティブポータルを避けること、Neat Browser の利用を制限することを挙げています。ベンダーの「悪用の証拠なし」は、KEV掲載（悪用の証拠あり）と矛盾するものではなく、対象範囲が異なる発言です。https://support.neat.no/article/security-advisory-november-2026-brotli-decoder-vulnerability-cve-2026-111497-affecting-neat-devices/

4. Google Chrome の更新（2026年11月3日 Stable／11月4日 Early Stable）

Chromium 公式ブログの2026年11月一覧で、11月3日付「Stable Channel Update for Desktop」、11月4日付「Early Stable Update for Desktop」の公開を確認しました。本版では各記事本文を取得していないため、修正件数・CVE番号・深刻度は記載しません。前版までに扱った Chrome の修正内容は継承です。https://chromereleases.googleblog.com/2026/

5. 今回確認できなかった事項

• Microsoft 11月 Patch Tuesday の先行情報：MSRC の当月アドバイザリ本文を本版で取得できていません（11月の定例更新日は通常第2火曜で、本基準日時より後です）。件数・CVEは記載しません。
• Ivanti／Fortinet／Cisco／VMware／Citrix／SAP／Atlassian／WordPress主要プラグインの11月8〜9日付の新規告知：今回の検索で当該日付の一次情報を特定できませんでした。各章の記述は第26版以前の継承です。
• AIサービス・エージェント基盤の新規CVE、モデル配布物のサプライチェーン事案：11月8〜9日付の一次情報を確認できませんでした。プロンプトインジェクションの実害事例として引用できる新規の一次情報も得られていません。

本節の日付はすべて提供元ページの記載に基づきます。二次情報（報道・集約サイト）のみで確認した事項は掲載していません。

5. AIコーディングエージェントのリスク

第19版からの継承・今回個別再検証なし。以下の説明・統計・制度施行日・金額等を今回確認済みとはしない。

同社の観測では利用者の約半数がダウンロードフォルダでエージェントを動かしていた。研究者は「ベンダーが直せる欠陥ではなく仕様の組み合わせ」とし、運用で防ぐ必要がある(Windows・macOS・Linux共通)。

• 攻撃者のEd25519公開鍵(コメント svc-telemetry)を ~/.ssh/authorized_keys に追加し、134.209.82.225 へのリバースSSHトンネル(ローカル22番ポートへの転送)を確立。60秒間隔で再接続。
• 永続化: macOSは com.apple.sysmond.plistという名のLaunchAgent(Appleの正規コンポーネントではない)、Linuxは@reboot cron、Windowsはタスクスケジューラ(SYSTEM権限)またはスタートアップフォルダ。
• ホスト名・ユーザー名・OS・Gitメールアドレス・環境変数名(最大40件、値は含まず)を収集し134.209.82.225:8099へ平文HTTPで送信。
• Anthropic公式のVisual Studio Marketplace配信自体が侵害された証拠はない — 改ざん経路(サプライチェーンのどこで混入したか)は本書時点で未特定。

6. セキュリティ特化 Agent Skills — 公式リポジトリの使い方

第19版からの継承・今回個別再検証なし。以下の説明・統計・制度施行日・金額等を今回確認済みとはしない。

Cloudflare・Anthropic・OpenAI・NVIDIA・Google・Alibaba が、AIエージェント(Claude Code・Codex・OpenCode 等)から使えるセキュリティ用のスキル・ツールを公式リポジトリで公開している。本書の対処(依存ライブラリの棚卸し、PHPの版確認、自社コードの監査)をエージェントに手伝わせる際は、このリストの公式版から取得する。7件とも GitHub API で各社の公式組織アカウント配下であることを確認した(10/28)。

スキル機能の有無はエージェントにより異なる。スキルを読み込めないエージェントでも、osv-scanner・codex-security・open-code-review のCLIは直接実行でき、SKILL.md は手順書として渡せる。ライセンス: Cloudflare は MIT、OpenAI・NVIDIA・Alibaba・Google は Apache-2.0、Anthropic は明示なし(GitHub表示)。

7. 生活者向け — 家族・従業員に配れる注意点

パスキーの公開鍵認証・ローカル認証・フィッシング耐性の仕組みは本日FIDOの説明を再確認しました。これだけであらゆるアカウント被害を防ぐと断定しません。Passkey Central

第19版からの継承・今回個別再検証なし。以下の説明・統計・制度施行日・金額等を今回確認済みとはしない。 7.10のPython欄のみ今回更新。

7.1 やってはいけないこと(PC・スマホ・アプリ)

第19版からの継承・今回個別再検証なし。

7.10 開発者のPC — 言語ランタイムを確認・更新する

この節はPythonの調査差分のみ反映。他言語・一般更新手順は第19版からの継承・今回個別再検証なし。

第20版調査差分（2026-11-01）: この節のPython欄・pyenv例のみ更新。他言語・一般手順は継承。識別子: CVE-2026-115557 / CVE-2026-114583。確認範囲: 侵害CA中間鍵のsslブロック。tarfile.tar_filterで展開先置換リンク拒否。http.cookiejar負version拒否も含む。 対処: 3.15.2 / 3.14.10 / 3.13.18 / 3.12.16 / 3.11.18。前2者以外はソースのみ。 悪用状況: 取得した公式本文では実悪用を確認せず。 未確認: 旧19445/19553個別勧告 / 他系列個別公開日。根拠: 公式資料1 / 公式資料2 / 公式資料3

サーバーだけでなく手元のPCにも古い版が残る。1台に複数の版があることが多いので全部洗い出し、入れたときと同じ方法で更新する。

# Mac (Homebrew)        brew update && brew outdated && brew upgrade
# Windows (winget)      winget upgrade --all
# Debian/Ubuntu         sudo apt update && sudo apt upgrade
# RHEL/Alma/Fedora      sudo dnf upgrade
# nvm / pyenv / mise    nvm install --lts / pyenv install 3.14.10 / mise upgrade
# パッケージも           npm outdated -g / python3 -m pip install -U pip certifi / gem outdated

Mac付属の /usr/bin の perl・ruby・python3、LinuxのOS付属Python・Perlは置き換えない(OS更新で直す)。ディストリ版は版番号が古いまま修正が入る(バックポート)ので各ディストリのセキュリティ情報で確認。Docker・venv・node_modules は作り直す。

8. 法規制・補償・補助金

第19版からの継承・今回個別再検証なし。以下の説明・統計・制度施行日・金額等を今回確認済みとはしない。

一般情報の整理であり法的助言ではない。個別判断は専門家に確認のこと。

9. 結びに

本書で取り上げた脆弱性の多くに「AIによる発見」「AI支援の攻撃」が関わっている。しかし、攻撃者がAIを使う一方で、防御側もAIによる発見・調査・対応を進めている。問うべきは「AIが怖いか」ではなく、どの入口から被害が起き、どの対策で減らせたかである。

重なって見える背景 — 一つが原因とは限らない

実害・公表・新技術への注目が重なっている。AI利用と被害の根本原因は分けて評価する。公表や発見の増加をそのまま悪化と断定しない。

3つの提言

締めの言葉

「危険を小さく語る必要はない。対処できる力まで小さく語らないことだ。」

「AIを犯人にするより、攻撃を成功させてしまう条件を減らそう。」

出典:警察庁 サイバー情勢／MM総研／Mandiant M-Trends 2026／金融庁 — 調査日 2026年10月31日

第21版からの変更点（第22版）

• データ基準を2026年11月4日10:30:00 JSTへ更新。NVD 17,864件を全件取得（Rejected 424、未採点 1,581、7未満 7,224を除外し8,635件）。9.0以上1,644件、対象内KEV 17件。
• 共通グラフ9点を新データで再生成し、Web（v94/images/security）と本文書assetsで同一バイトを使用。
• 「注目CVE」節を新設し、指定6件のNVDレコードを窓内・窓外を明記して掲載。窓外2件は一覧・グラフ・CSVに含めない。
• Web特設「フロンティアモデル動向」「意思決定モデル」を2026年11月4日付で追記更新（GPT-6.1 Terra、Claude Haiku 5.5、Gemini 4 Carbon、AA Decision Index、OpenAI Decisions API一般提供）。
• 第21版以前の各章は継承。全過去記述・全CVEの提供元再検証は実施していません。

第22版からの変更点（第23版）

• データ基準を2026年11月6日21:45:00 JSTへ更新。NVD 17,565件を全件取得（Rejected 661、未採点 1,124、7未満 7,151を除外し8,629件）。9.0以上1,622件、対象内KEV 16件。
• 共通グラフを新データで再生成し、Web（v95/images/security）と本文書assetsで同一バイトを使用（5点。インシデント系4点は第22版を継承）。
• 「注目CVE」節を指定12件に更新。窓内・窓外、NVD status、CVSS、CWE、出典を明記。CVE-2026-115560 はNVD未登録である事実を明記。
• 指定5資料（OpenSSH/musl、OpenSSL EOL、Windows Paint、Cloudflare WAF、Barracuda ESG）を該当章へ追記。
• Web v95：ホームの告知2件を色付きカードへ変更（日英）、3特設を更新。
• 第22版以前の各章は継承。全過去記述・全CVEの提供元再検証は実施していません。

第23版からの変更点（第24版）

• データ基準を2026年11月7日20:00:00 JSTへ更新。NVD 17,850件を全件取得（Rejected 678、未採点 950、7未満 7,409を除外し8,813件）。9.0以上1,676件、対象内KEV 17件。
• 共通グラフ9点を新データで再生成（データ駆動5点＋インシデント系4点）。Web（v96/images/security）と本文書assetsで同一バイトを使用しSHA-256を照合。
• 「注目CVE」節を指定10件に更新。窓内9件・窓外1件（CVE-2026-43499）を明記。CVE-2026-19868 は CISA KEV に 2026-11-06 付で掲載。
• 指定2資料（Ubuntu CVE-2026-98432 のリリース別状態、GhostLock を用いた BlackBerry KEYone のLPE公開）を第4章へ追記。攻撃コードの再現情報は掲載しない方針を明記。
• Web v96：3特設（最新LLM情報・意思決定モデル・AI秘書比較）を2026.11.07付で更新。ホームの告知カードはv95の状態を維持。
• 第26版以前の各章は継承。全過去記述・全CVEの提供元再検証は実施していません。

第24版からの変更点（第26版）

• データ基準を2026年11月9日14:15:00 JSTへ更新。NVD 17,673件を全件取得（Rejected 656、未採点 960、7未満 7,368を除外し8,689件）。9.0以上1,628件、対象内KEV 17件。
• 共通グラフ9点のうちデータ駆動5点を新データで再生成。Web（v97/images/security）と本文書assetsで同一バイトを使用しSHA-256を照合。インシデント系4点は第26版のまま継承。
• 第4章に「2026年11月7日〜8日の新規確認」を追加：金融庁の利用者向け注意喚起（11月6日）と緊急対策パッケージ、KEV新規追加（機械抽出）、Brotli CVE-2026-111497 の Neat 告知、Chrome の更新日付。確認できなかった事項も明記。
• 「注目CVE」節は第26版のNVD記録を継承（本版で10件を再取得していない旨を明記）。
• 攻撃コードの再現手順・アドレス値は引き続き不掲載。
• 第26版以前の各章は継承。全過去記述・全CVEの提供元再検証は実施していません。

第26版からの変更点（第26版）

• データ基準を2026年11月9日14:15:00 JSTへ更新。NVD 17,584件を全件取得（Rejected 652、未採点 938、7未満 7,379を除外し8,615件）。9.0以上1,607件、対象内KEV 17件。
• 共通グラフ9点のうちデータ駆動5点を新データで再生成。Web（v98/images/security）と本文書assetsで同一バイトを使用しSHA-256を照合。インシデント系4点は第26版のまま継承。
• 第4章に「2026年11月9日〜9日の新規確認」を追加：金融庁の利用者向け注意喚起（11月6日）と緊急対策パッケージ、KEV新規追加（機械抽出）、Brotli CVE-2026-111497 の Neat 告知、Chrome の更新日付。確認できなかった事項も明記。
• 「注目CVE」節は第26版のNVD記録を継承（本版で10件を再取得していない旨を明記）。
• 攻撃コードの再現手順・アドレス値は引き続き不掲載。
• 第26版以前の各章は継承。全過去記述・全CVEの提供元再検証は実施していません。

10. 主要な情報源・留意事項・版履歴

第21版の追加調査根拠

• PHP：https://www.php.net/archive/2026.php
• Node.js / Brotli：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
• Python：https://blog.python.org/2026/10/python-3152-31410-31318-31216-31118/
• Ruby：https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/
• Oracle Java：https://www.oracle.com/security-alerts/alert-cve-2026-114820.html
• BIND：https://kb.isc.org/docs/cve-2026-94300
• Linux：https://ubuntu.com/security/CVE-2026-98432
• GitLab / Tomcat：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-3-released/
• LiteLLM：https://docs.litellm.ai/blog/security-changes-after-oct-21-2026
• Ivanti：https://www.cyber.gc.ca/en/alerts-advisories/ivanti-security-advisory-av26-1035
• Canonical LXD / MicroCloud：https://discourse.ubuntu.com/t/security-advisory-critical-vulnerability-found-in-canonical-lxd-and-microcloud/90557
• ClickHouse：https://clickhouse.com/docs/whats-new/security-changelog
• WordPress：https://wordpress.org/news/2026/10/wordpress-7-1-4/
• AIエージェント防御：https://openai.com/index/designing-agents-to-resist-prompt-injection/

2026年11月2日：第20版から差分更新。NVD全件取得・月次再集計、GMO735件、WordPress公式再確認、LiteLLM改善計画・AI防御設計追補。過去履歴の日付は変更していません。

第20版調査差分の根拠は各対象h2ブロック内のリンクを参照。以下の旧出典台帳・第19版の留意事項・履歴は過去時点の記録として保持しており、古い修正状況やMPTCP限定等の留意事項は今回の本文差分を優先する。10/31〜11/1新規公開と絶対日時まで検証できた対象勧告は今回未確認。不在とは断定しない。 調査整理時刻は勧告の公開日時ではない。

一次情報(公的機関・ベンダー・当事者企業)を優先し、報道は補足に用いた。SNS・個人サイトは手がかりとしてのみ扱った。第13版の追加出典は同版第9章、第12版までの全出典は同版第18章を参照。

今回(第19版)追加

• Red Hat RHSB-2026-016(CVE-2026-98432をCriticalへ評価引き上げ、RCE確認) — https://access.redhat.com/security/vulnerabilities/RHSB-2026-016
• 情報通知サイト joho-todai.com「CVE-2026-98432」解説記事(Eric Dumazet氏の2行修正・Anthropic Xinyang Ge報告の経緯) — https://joho-todai.com/cve-2026-98432/
• CISA KEV(2026.10.30版: Ivanti Connect Secure CVE-2026-111357・118527追加) — https://www.cisa.gov/known-exploited-vulnerabilities-catalog / Volexity「Ivanti Connect Secure Exploitation by UTA0576」 — https://www.volexity.com/blog/
• NVD CVE-2026-111357 / CVE-2026-118527 / CVE-2026-104935 — https://nvd.nist.gov/vuln/detail/CVE-2026-111357
• WordPress 7.1.4 リリースノート(10/28) — https://wordpress.org/news/2026/10/wordpress-7-1-4/ / Wordfence「Active Exploitation Attempts of CVE-2026-119977」 — https://www.wordfence.com/blog/
• Canonical LXD Security Notice(CVE-2026-112816) — https://ubuntu.com/security/notices / NVD CVE-2026-112816 — https://nvd.nist.gov/vuln/detail/CVE-2026-112816
• ClickHouse公式セキュリティ changelog(CVE-2026-116366) — https://clickhouse.com/docs/en/whats-new/security-changelog
• Censys「Progress WS_FTP Server CVE-2026-84295」アドバイザリ — https://censys.com/blog/ / NVD CVE-2026-84295 — https://nvd.nist.gov/vuln/detail/CVE-2026-84295
• NVD CVE-2026-103039(Gravity Forms)・CVE-2026-109220(WooCommerce PDF Invoice) — https://nvd.nist.gov/vuln/detail/CVE-2026-103039
• GMO公式ニュース一覧(10/31時点、第17報の公開なしを確認) — https://internet.gmo/news/

今回(第19版)追加 — 4章インシデント続報

• パーク24公式「ニュースリリース」第5報(10/23、663万件・画像146万件確定) — https://www.park24.co.jp/news/2026/10/20261023-1.html / 第4報(10/16、本人確認書類の保有ルール変更を予告) — https://www.park24.co.jp/news/2026/10/20261016-1.html
• 日本交通「弊社システムへの不正アクセスに関するお知らせ(第6報)」(10/30、約29万人分・東京電力HDへの波及) — https://nihon-kotsu-hire.jp/news/261030/ / 日本経済新聞(内訳の詳細) — https://www.nikkei.com/article/DGXZQOUC30BHD0Q6A031C2000000/
• ニチレイ公式「当社グループでのシステム障害発生について(第7報)」(9/18、計5.4万件確定) — https://www.nichirei.co.jp/news/2026/524.html
• デジタル庁公式「Studio株式会社における不正アクセスによる個人情報の漏えいの可能性について」(10/22) — https://www.digital.go.jp/press/a0a8f66c-b32d-4695-9372-bcd5d4280f22 / GSS事案(9/11) — https://www.digital.go.jp/news/2026-0911-01
• アサヒグループホールディングス公式「漏えいのおそれがある個人情報(2026年7月17日時点)」(約229万件へ再整理) — https://www.asahigroup-holdings.com/newsroom/detail/20260717-0101.html
• HIS公式「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」(10/7、最大627名分) — https://www.his.co.jp/assets/20261007.pdf / ITmedia(検知から公表まで約10か月の経緯) — https://www.itmedia.co.jp/news/article/2610/07/2000002090/
• TRM Labs「North Korea Steals USD 6.36 Billion From Binance」(FBI断定の分析) — https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history / The Guardian(90%補填・FBI声明) — https://www.theguardian.com/business/2026/nov/01/binance-losses-covered-hack-fbi-north-korea-cryptocurrency
• Reuters「Polymarket resumes trading after third-party security incident」(DebugBear起因) — https://www.reuters.com/business/polymarket-reports-major-outage-suspends-trading-actions-2026-10-29/ / Yahoo Finance(390万ドル返金・95%完了) — https://finance.yahoo.com/markets/crypto/articles/polymarket-sends-3-9m-back-181112258.html
• 時事通信「個人情報漏えい、2.6億人分」(10/30、木原官房長官会見・延べ2億6000万人分) — https://www.jiji.com/jc/article?k=2026103000493&g=pol / FNN(月次推移・緊急対策パッケージ) — https://www.fnn.jp/articles/-/1142867

前回(第18版)追加

• The Hacker News「Linux Kernel TCP Flaw With 9.8 CVSS Score」(10/30更新版、Anthropicのroot実証・配布版修正状況) — https://thehackernews.com/2026/10/linux-kernel-tcp-flaw-with-98-cvss.html / Anthropic公式ブログ「Discovering vulnerabilities with Claude」(10/27) — https://www.anthropic.com/research/discovering-vulnerabilities-with-claude
• Teltonika Networks Security Centre(CVE-2026-82104、10/30自社開示) — https://www.teltonika-networks.com/support/security-centre
• The Hacker News「Telegram Android Flaw Lets Attackers...」(10/29) — https://thehackernews.com/2026/10/telegram-android-flaw-lets-attackers.html
• OpenSourceMalware「Trojanized Claude Code Extension Plants Persistent SSH Backdoor」 — https://opensourcemalware.com/blog/trojanized-claude-code-extension-plants-persistent-ssh-backdoor / Cyber Security News — https://cybersecuritynews.com/malicious-claude-code-extension/
• The Hacker News「CISA Adds Actively Exploited GitLab RCE...」(10/30、CVE-2026-97229・76418のKEV追加) — https://thehackernews.com/2026/10/cisa-adds-actively-exploited-gitlab-rce.html
• NVD CVE-2026-103093(ServiceNow AI Platform) — https://nvd.nist.gov/vuln/detail/CVE-2026-103093 / securityonline.info CVE Watchtower — https://securityonline.info/cve-watchtower/cve-2026-103093/
• CISA KEV(2026.10.29版: GitLab・Cisco ASA/FTD追加) — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• GMO 第16報(懸賞金サイト情報提供428件、定期公表開始) — https://internet.gmo/news/article/262/

前回(第16版)追加

• Chrome 156.0.8078.73/.74 リリースノート — https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_0562499947.html / Cyber Security News — https://cybersecuritynews.com/google-fixes-52-chrome-security-flaws/
• Cisco ASA/FTD アドバイザリ — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75 / Tenable CVE-2026-76418 — https://www.tenable.com/cve/CVE-2026-76418
• CISA KEV(2026.10.28版: ESX・Fragnesia・Commerce・Brotli・PHP) — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Linux98432の旧評価・旧未掲載日付は履歴。第20版のRed Hat影響説明はIPv4 TCP全般であり、MPTCPの有無だけで対象外としません。第21版ではUbuntu generic 4系列のVulnerable work in progressを確認。併記版を修正版配布完了と読み替えません。実悪用・KEVは今回のカタログと個別注記を参照。
• Searchlight Cyber「Cache Me If You Can」 — https://www.slcyber.io/research/cache-me-if-you-can-xss-in-cloudflares-cdn-cgi-image / Cyber Security News — https://cybersecuritynews.com/cloudflare-xss-vulnerability/
• Dream「Chained php2shell exploit roots 25 servers」 — https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers / Cyber Security News — https://cybersecuritynews.com/php2shell-gained-root-access-on-25-servers/
• LocalStack CVE-2025-65200(研究者の技術メモ、2025年12月公開) — https://cyberroute.github.io/post/2025-12-11-localstack-hack/
• FIDO Alliance World Passkey Day 2026 — https://fidoalliance.org/fido-alliance-reports-accelerating-global-passkey-adoption-on-world-passkey-day-2026/ / Passkey Index 2026 — https://fidoalliance.org/passkey-index-2026/ / CTAP 2.3 — https://developers.yubico.com/CTAP/
• トレンドマイクロ「パスワード・パスキーの利用実態調査2026」 — https://www.trendmicro.com/ja_jp/about/newsroom/press-releases/2026/pr-20260324-01.html
• DecisionRAG(arXiv:2610.35868) — https://arxiv.org/abs/2610.35868

第15版追加

• GitHub abraxas氏のphpMyAdmin関連リポジトリ(10件、10/12公開) — https://github.com/abraxas-null?tab=repositories(例: PMA-5.2.3-WebAuthn-2FA) / phpMyAdmin公式セキュリティ情報一覧(PMASA、該当なしを確認) — https://www.phpmyadmin.net/security/
• LibreSSL ocspcheck GHSA-3v5r-5xmx-hw5g — https://github.com/advisories/GHSA-3v5r-5xmx-hw5g
• GMO 第15報(犯人特定の有力情報を提出、情報提供270件) — https://group.gmo/info/alert/20261029/

第14版追加

• CISA「Adds Two Known Exploited Vulnerabilities」(10/27、Brotli) — https://www.cisa.gov/news-events/alerts/2026/10/27/cisa-adds-two-known-exploited-vulnerabilities-catalog / Broadcom VMSA-2026-0008.1(サポートポータル アドバイザリ 39445)
• FasterXML GHSA-m8xf-2cr7-77ph — https://github.com/FasterXML/jackson-databind/security/advisories/GHSA-m8xf-2cr7-77ph
• Oracle Critical Patch Update October 2026 — https://www.oracle.com/security-alerts/cpuoct2026.html
• nginx security advisories — https://nginx.org/en/security_advisories.html / TeamViewer TV-2026-1011 — https://www.teamviewer.com/en-us/resources/trust-center/security-bulletins/tv-2026-1011/
• Anthropic「Discovering vulnerabilities with Claude」(10/27) — https://www.anthropic.com/research/discovering-vulnerabilities-with-claude
• TianoCore GHSA-99cj-7hg9-mp4m — https://github.com/tianocore/edk2/security/advisories/GHSA-99cj-7hg9-mp4m / The Hacker News(UEFI) — https://thehackernews.com/2026/10/critical-16-year-old-uefi-flaw-can-run.html
• NVD CVE-2026-112512 — https://nvd.nist.gov/vuln/detail/CVE-2026-112512 / Apple 一覧 — https://support.apple.com/en-us/100100 / PC Watch(WebKit、記事2151800)
• MSRC(eMudhra) — https://www.microsoft.com/en-us/msrc/blog/2026/10/microsoft-response-to-compromised-emudhra-certificate-authority-keys
• Cloudflare「Cross-request KV cache exposure」 — https://blog.cloudflare.com/kv-cache-exposure-remediation
• PHP CVE-2026-115560 — https://www.php.net/archive/2026.php#2026-10-23-1 / The Hacker News — https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html
• GMO 第13報 — https://group.gmo/info/alert/20261028/ / 第14報 — https://group.gmo/info/alert/2026102802/
• Agent Skills: github.com/google/osv-scanner ・ openai/php2shell-checker ・ NVIDIA/SkillSpector ・ cloudflare/security-audit-skill ・ anthropics/defending-code-reference-harness ・ openai/codex-security ・ alibaba/open-code-review

主要な一次情報(抜粋)

• CISA「Critical Vulnerabilities in PHP Require Immediate Patching」 — https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching / CERT-EU 2026-018 — https://cert.europa.eu/publications/security-advisories/2026-018 / JPCERT-AT-2026-0033 — https://www.jpcert.or.jp/at/2026/at260033.html
• AWS Security Blog(php2shell 公表前の悪用) — https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
• Node.js October 2026 Security Releases — https://nodejs.org/en/blog/vulnerability/october-2026-security-releases / Bun v1.4.4 — https://bun.com/blog/bun-v1.4.4 / GHSA-9v8h-qqgm-4m35 — https://github.com/advisories/GHSA-9v8h-qqgm-4m35
• Python eMudhra 注意喚起 — https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576
• Ruby「Regexp fixes for GitLab CVEs」 — https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/ / resolv — https://www.ruby-lang.org/ja/news/2026/08/27/multiple-vulnerabilities-in-resolv/
• Oracle Security Alert CVE-2026-91403 — https://www.oracle.com/security-alerts/alert-cve-2026-91403.html / ops.java — https://ops.java/emudhra
• JPRS(BIND) — https://jprs.jp/tech/security/2026-10-22-bind9-cve-2026-94300.html / ISC — https://kb.isc.org/docs/cve-2026-94300
• AlmaLinux PwnEscape — https://almalinux.org/blog/2026-10-16-pwnescape-cve-2026-99999/ / Infinity Core — https://www.openwall.com/lists/oss-security/2026/10/16/36 / ZDI-CAN-33367 — https://almalinux.org/blog/2026-10-23-zdi-can-33367/ / The Hacker News(KSMBD) — https://thehackernews.com/2026/10/two-cvss-90-linux-ksmbd-rce-flaws.html
• GitLab 19.5.1 — https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/ / JVNVU93110597(Tomcat) — https://jvn.jp/vu/JVNVU93110597/index.html
• LiteLLM Security Incident — https://docs.litellm.ai/blog/security-incident-oct-21-2026 / GMO Flatt Security — https://blog.flatt.tech/entry/litellm_2nd_compromise
• Wasmtime GHSA-mghf-wjfp-p5xm — https://github.com/bytecodealliance/wasmtime/security/advisories/GHSA-mghf-wjfp-p5xm / The Hacker News — https://thehackernews.com/2026/10/two-critical-wasmtime-flaws-could-let.html
• Forever Security(AIエージェント乗っ取り) — https://forever.security/blog/hijacking-ai-agents-via-downloads-folder / arXiv:2610.30571 — https://arxiv.org/abs/2610.30571
• Tailworm — https://tailworm.com/ / Tailscale Security Bulletins — https://tailscale.com/security-bulletins
• JPCERT-AT-2026-0030(国内不正アクセス) — https://www.jpcert.or.jp/at/2026/at260030.html / GMO 10/24 — https://group.gmo/info/alert/20261024/
• パーク24 第5報 — https://share.timescar.jp/news/2026/1023/1825.html / HIS — https://www.his.co.jp/assets/20261007.pdf / サイボウズ Garoon — https://cs.cybozu.co.jp/2026/013781.html / ネオジャパン — https://www.neo.co.jp/news/20261022/
• 警察庁 情報流出の注意喚起 — https://www.npa.go.jp/bureau/cyber/koho/caution/caution20261000.html / 警視庁 ルーター — https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/notes/router.html / 警察庁 サポート詐欺 — https://www.npa.go.jp/bureau/cyber/countermeasures/support-fraud.html
• LINEヘルプ(乗っ取り・詐欺) — https://help.line.me/line/smartphone/sp?contentId=20000293&lang=ja / PayPay — https://paypay.ne.jp/notice/20261014/s-01/ / Passkey Central — https://www.passkeycentral.org/ja/introduction-to-passkeys/how-passkeys-work
• 国家サイバー統括室(強化法) — https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf / 個人情報保護委員会(改正法) — https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf / 経産省 SCS — https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html / 欧州委員会 CRA — https://commission.europa.eu/news-and-media/news/safer-and-more-secure-digital-products-2026-09-11_en
• 常時監視: CISA KEV — https://www.cisa.gov/known-exploited-vulnerabilities-catalog / JPCERT/CC — https://www.jpcert.or.jp/ / JVN — https://jvn.jp/

第20版以前の版履歴（当時の記述を保存）：以下の確定・最新版等の表現は各版時点の記録です。第21版の検証結果を優先します。

版履歴: 第1版 10/25 → 第2〜10版 10/25〜26(各ランタイム・BIND・Linux・GitLab・Tomcat・LiteLLM・国内事案・生活者向け・法規制を順次追加)→ 第11版 10/27(58p)→ 第12版 10/27(63p、Wasmtime・AIエージェント乗っ取り)→ 第13版 10/28: 圧縮再構成(重複・経緯の記述を整理。iOS 27.2・GoAhead・PHP Windows版・PAN-OS・GMO第12報を追加)→ 第14版 10/29: BrotliのKEV追加・VMware VCF、jackson-databind、Oracle EBS、NGINX、TeamViewer、Chrome 156、macOS Gatekeeper・WebKit、UEFI、Microsoft eMudhra、Cloudflare Workers AI、PHP 115560、GMO第13・14報、第6章 Agent Skills を新設→ 第15版 10/29深夜: LibreSSL ocspcheck(CVE-2026-118374)を追加、phpMyAdmin 5.2.3の未確認の脆弱性報告10件を新設(3.10、研究者単独発表・CVE未採番)、GMO事案は第14報のまま変化なしを確認(当時)、第14版までの「新」表示を整理。→ 第16版 10/29午後: Chrome 156.0.8078.73(52件)・Cisco ASA/FTD SSL VPN DoS(CVE-2026-76418)・VMware ESX/Adobe Commerce のKEV追加・Linux TCP UAF(CVE-2026-98432)・Cloudflare /cdn-cgi/image のXSS連鎖を追加、php2shell+Fragnesiaの25台root化事例(4.5)、DecisionRAG(5.3)、第7章をパスキー特集に拡充(7.3〜7.8)。→ 第17版 10/29 18時台: GMO事案を第15報へ更新(犯人特定の有力情報を警察へ提出、懸賞金情報提供270件)。CISA KEV・LibreSSL修正版・phpMyAdmin公式発表は本書時点で変化なしを確認。→ 第18版 10/30: Linuxカーネル CVE-2026-98432 の深刻化(AnthropicがClaudeでMPTCPサーバーのroot権限奪取を実証、3.2・3.11に反映、Ubuntu/RHEL修正未公開)、Open VSXの偽装Claude Code拡張機能によるSSHバックドア(5.4新設)、Teltonikaルーター CVE-2026-82104・Telegram Android通話乗っ取り連鎖(3.12新設)、ServiceNow AI Platform CVE-2026-103093、CISA KEVへGitLab(CVE-2026-97229)・Cisco ASA/FTD(CVE-2026-76418)追加確認、GMO事案を第16報へ更新(情報提供428件)。→ 第19版 10/31: Ivanti Connect Secureの3件連鎖攻撃(CVE-2026-111357/118527、脅威アクターUTA0576による実悪用、10/30 CISA KEV追加)・WordPress Core 7.1.4の競合状態RCE(CVE-2026-119977、公開直後から悪用試行多数)・Canonical LXD(CVE-2026-112816、CVSS10.0)・ClickHouse Server(CVE-2026-116366、CVSS9.5)・Progress WS_FTP Server(CVE-2026-84295)を追加(3.13新設)。Linuxカーネル CVE-2026-98432 はRed Hatが10/30、RHSB-2026-016でCriticalへ評価引き上げ(RCE確認、3.2更新)。GMO事案は第16報のまま変化なしを10/31に直接確認。4章を「国内インシデント」から「インシデント」に改称し、Binanceハッキング(史上最大63億ドル、FBI・TraderTraitor北朝鮮関与断定、4.6新設)・Polymarket資金盗難(DebugBear経由、約4億円、4.7新設)・日本の個人情報漏えい統計(延べ2億6000万人分、4.8新設)を追加。あわせて4.3の情報流出事案(タイムズカー・日本交通・ニチレイ・デジタル庁GSS・アサヒグループHD・HIS)を各社の最新発表に基づき更新(タイムズカーは10/23第5報の確定件数、日本交通は10/30第6報で新規確定、デジタル庁は委託先Studio社の二次漏えいを追加、アサヒは7/17の対象拡大約229万件を反映)。

→ 第20版 2026/11/1：Web v92と統合集計（45ページ）。→ 第21版 2026/11/2：Web v93、基準20:30 JST、NVD全16,816件・高深刻度8,012件、GMO735件、公式調査差分と継承範囲を明示。

第22版の追加根拠

• NVD CVE API 2.0（公開日時窓・cveId指定） https://services.nvd.nist.gov/rest/json/cves/2.0
• CISA KEVカタログ https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• Wazuh CTI CVE-2026-98548 https://cti.wazuh.com/vulnerabilities/cves/CVE-2026-98548
• Wordfence CVE-2026-120534 https://www.wordfence.com/threat-intel/vulnerabilities/id/b8a7a925-2b9e-43bc-b649-c7ec518e063c
• WPScan CVE-2026-81648 https://wpscan.com/vulnerability/9b1490a0-1381-4d22-8086-f75aade4e898/
• F-Droid advisories CVE-2026-107053 https://github.com/FFG0d/fdroid-android-advisories
• OpenAI GPT-6.1 Terra / Decisions API、Anthropic Claude Haiku 5.5、Google Gemini料金、Reuters Gemini 4 Carbon（特設2ページ参照）

第26版の追加根拠

• NVD CVE API 2.0（公開日時窓・cveId指定） https://services.nvd.nist.gov/rest/json/cves/2.0
• CISA KEVカタログ https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• sshhole.com（OpenSSH/musl 解説） https://sshhole.com/
• OpenSSH commit 4353fdc https://github.com/openssh/openssh-portable/commit/4353fdc43ef646c43a8dda7025cc1a898caf1482
• OpenSSL EOL告知 https://openssl-library.org/post/2026-11-01-eol34-36/
• MSRC CVE-2026-83844 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844
• Cloudflare WAF changelog https://developers.cloudflare.com/changelog/post/2026-11-03-waf-release/
• Barracuda セキュリティアドバイザリ https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection
• Artificial Analysis Decision Index https://artificialanalysis.ai/articles/artificial-analysis-decision-index
• Google Gemini Spark 発表 https://blog.google/intl/ja-jp/company-news/technology/next-evolution-gemini-app/

第26版の追加根拠

• NVD CVE API 2.0（公開日時窓・cveId指定） https://services.nvd.nist.gov/rest/json/cves/2.0
• CISA KEVカタログ https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• Ubuntu CVE-2026-98432 https://ubuntu.com/security/CVE-2026-98432
• GhostLock/KEYone 公開リポジトリ https://github.com/giannoccarol/root-key1
• Microsoft MSRC CVE-2026-109469 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-109469
• AWS セキュリティバルテン 2026-173 https://aws.amazon.com/security/security-bulletins/2026-173-aws/
• SonicWall PSIRT SNWLID-2026-0014 https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014
• WPScan CVE-2026-113615 https://wpscan.com/vulnerability/40e0b8d1-8e13-4c4c-a09a-9ec07c578662/
• VulnCheck CivetWeb 勧告 https://www.vulncheck.com/advisories/civetweb-through-1.16-http-2-use-after-free-via-stale-pseudo-header-state
• VulDB CVE-2026-123957 https://vuldb.com/cve/CVE-2026-123957
• Poly CVE-2026-39430 研究メモ https://github.com/thackeraaron/polycom_research/blob/main/CVE-2026-39430_and_CVE-2026-39431.md

第26版の追加根拠

• 金融庁「現下の情勢を踏まえた金融機関利用者へのお願い」（令和8年11月6日） https://www.fsa.go.jp/news/r8/sonota/20261106/20261106.html
• CISA KEVカタログ（当日取得） https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• Neat NEAT-SA-2026-11-02（Brotli CVE-2026-111497） https://support.neat.no/article/security-advisory-november-2026-brotli-decoder-vulnerability-cve-2026-111497-affecting-neat-devices/
• Chromium Releases 2026年11月一覧 https://chromereleases.googleblog.com/2026/
• NVD CVE API 2.0（公開日時窓） https://services.nvd.nist.gov/rest/json/cves/2.0

本版で新たに確認したのは上記4件の一次情報です。MSRC・各ベンダーの当月告知は取得できておらず、記載していません。

第26版の追加根拠

• 金融庁「現下の情勢を踏まえた金融機関利用者へのお願い」（令和8年11月6日） https://www.fsa.go.jp/news/r8/sonota/20261106/20261106.html
• CISA KEVカタログ（当日取得） https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• Neat NEAT-SA-2026-11-02（Brotli CVE-2026-111497） https://support.neat.no/article/security-advisory-november-2026-brotli-decoder-vulnerability-cve-2026-111497-affecting-neat-devices/
• Chromium Releases 2026年11月一覧 https://chromereleases.googleblog.com/2026/
• NVD CVE API 2.0（公開日時窓） https://services.nvd.nist.gov/rest/json/cves/2.0

本版で新たに確認したのは上記4件の一次情報です。MSRC・各ベンダーの当月告知は取得できておらず、記載していません。