{
  "generated_at": "2026-10-22T01:13:31.000Z",
  "count": 3,
  "alerts": [
    {
      "id": "2026-10-php2shell",
      "title": "PHP 本体に認証不要の重大なリモートコード実行の脆弱性（php2shell）",
      "date": "2026-10-21",
      "severity": "critical",
      "category": "脆弱性",
      "audience": [
        "サーバー管理者"
      ],
      "affected": [
        "PHP",
        "WordPress"
      ],
      "cve": [
        "CVE-2026-109618",
        "CVE-2026-109619"
      ],
      "fixed": "PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35",
      "summary": "PHP 本体の session.upload_progress の処理に、認証なしのリクエストだけで リモートコード実行ができる脆弱性が2件見つかった。mod_php・PHP-FPM・php-cgi など Web リクエストを処理する構成が広く対象になる。CVSS は 9.2（緊急）。",
      "risk": "自分のサイトを動かすサーバーで、攻撃者が自由にプログラムを実行できる状態になる。 パスワードもログインもなしに、サイトを偽ページや不正サイトに書き換えられたり、 保存した会員情報やデータベースを丸ごと盗まれたりするおそれがある。公開前に手口が 漏れ、すでに攻撃の下見が観測されている。",
      "action_admin": "PHP を修正版へ更新して再起動する。更新できない古い版は公開を止める。",
      "action_user": "自分で WordPress などを立てている場合のみ対象。レンタルサーバー任せなら事業者の対応を確認する。",
      "sources": [
        {
          "title": "The Hacker News",
          "url": "https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html"
        },
        {
          "title": "Qualys ブログ（PHP の緊急セキュリティリリース）",
          "url": "https://blog.qualys.com/vulnerabilities-threat-research/2026/10/20/php-announces-critical-security-release-for-two-vulnerabilities"
        }
      ]
    },
    {
      "id": "2026-10-nodejs-security-release",
      "title": "Node.js が10月のセキュリティリリース（RCE を含む計10件を修正）",
      "date": "2026-10-21",
      "severity": "high",
      "category": "脆弱性",
      "audience": [
        "個人・アプリ利用者",
        "サーバー管理者"
      ],
      "affected": [
        "Node.js",
        "Node-RED",
        "Electron 製アプリ"
      ],
      "cve": [
        "CVE-2026-111497",
        "CVE-2026-105483",
        "CVE-2026-106069",
        "CVE-2026-105482"
      ],
      "fixed": "v26.12.1 / v24.22.1 / v22.23.4",
      "summary": "Node.js が計10件の脆弱性を修正するセキュリティリリースを公開した。Brotli 展開の 範囲外書き込み（リモートコード実行につながる）や、TLS 証明書のホスト名確認を すり抜ける問題などを含む。VS Code・Slack・Notion などの Electron 製アプリや デスクトップアプリも、内部に Node.js を含むため関係する。",
      "risk": "VS Code や Slack などのアプリ、Node-RED を古いまま使っていると、攻撃者が送った 不正なファイルやリンクを開くだけで、保存したパスワードやファイルを盗まれたり、 パソコンを勝手に操作されたりするおそれがある。更新が来たのに「あとで」で 放置するのが一番あぶない。",
      "action_admin": "本番の Node.js を修正版へ更新して再起動する。常時公開している Node-RED は優先して更新する。",
      "action_user": "Electron 製アプリは自動更新を有効にし、更新が来たら必ず再起動する。Homebrew などで入れた Node.js も最新版へ更新する。",
      "sources": [
        {
          "title": "Node.js 公式ブログ（October 2026 Security Releases）",
          "url": "https://nodejs.org/en/blog/vulnerability/october-2026-security-releases"
        }
      ]
    },
    {
      "id": "2026-10-chrome-security-update",
      "title": "Google Chrome に多数の脆弱性、重大6件を含む353件を修正（最新版へ更新を）",
      "date": "2026-10-20",
      "severity": "high",
      "category": "脆弱性",
      "audience": [
        "個人・アプリ利用者"
      ],
      "affected": [
        "Google Chrome",
        "Chromium",
        "Microsoft Edge",
        "Brave",
        "Electron 製アプリ"
      ],
      "cve": [
        "CVE-2026-113341",
        "CVE-2026-113279",
        "CVE-2026-113101",
        "CVE-2026-113097"
      ],
      "fixed": "Windows・macOS 156.0.8078.47（.48）/ Linux・Android 156.0.8078.47",
      "summary": "Google が Chrome の更新を公開し、深刻度「重大」6件を含む計353件の脆弱性を修正した （内訳は重大6・高61・中197・低89）。Skia や Accessibility のメモリ破損などを含む。 Chrome だけでなく、同じ Chromium をもとにした Microsoft Edge（Windows 標準ブラウザ）や Brave などのブラウザ、Chromium を内蔵する Electron 製アプリにも、同種の修正が順次 反映される。Edge・Brave も同じ土台のため、同様に影響すると考えてよい。",
      "risk": "古いブラウザのまま使っていると、細工された Web ページを開くだけで、パソコンを 乗っ取られたり情報を盗まれたりするおそれがある。更新は数日〜数週間かけて順次 配られるため、設定画面から手動で確認・再起動すると早い。",
      "action_user": "Chrome は「設定→Chromeについて」、Microsoft Edge は「設定→Microsoft Edge について」、 Brave は「設定→Braveについて」で更新を確認して再起動する。Edge・Brave は Chrome を 更新しても直らないので、それぞれ別に最新へ更新する。Electron 製アプリも更新が来たら入れる。",
      "sources": [
        {
          "title": "Chrome Releases（Google 公式ブログ）",
          "url": "https://chromereleases.googleblog.com/"
        }
      ]
    }
  ]
}