毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.10.29 の号
この日の一言2026.10.29

Rust の zip クレートに、展開方法によって別のファイル名で書き出され、検査をすり抜けてファイルを上書きされる重大な脆弱性が公表されました。Wasmtime（aarch64）のサンドボックス脱出と、実際に被害が出ている Electrum の送金すり替えも重大です。

10.29木曜日の朝
  1. Rustzip クレートで、読み方によって中身の違うアーカイブを作られ、検査をすり抜けてファイルを上書きされる
  2. RustWasmtime の aarch64 版で、細工した Wasm モジュールにサンドボックスを脱出される
  3. PythonElectrum で、悪意あるサーバーに送金をすり替えられ、手数料の上乗せ操作で攻撃者に送金させられる
  4. PythonvLLM で、細工したリクエストからワーカー側の pickle.loads() に到達されるなど、コード実行につながる欠陥
  5. GoEcho の middleware.Static で、%2F を使ったパスによりルートやグループのアクセス制御をすり抜けられる
  6. JavaScriptVue I18n の escapeParameter が iframe の srcdoc を処理せず、XSS を防げない
  7. JavaScriptHighcharts で、チャート設定に入った不正な値からスクリプトを実行されるなど複数の欠陥
  8. JavaScriptseroval の fromJSON で、細工した入力により任意の関数を呼ばれたり、処理を止められたりする
この号の脆弱性　全8件
Rust2026.10.29重大

zip クレートで、読み方によって中身の違うアーカイブを作られ、検査をすり抜けてファイルを上書きされる

zip　9.0.4 以前　→　9.0.5

やること　9.0.5 へ更新します。すぐ更新できない場合は、検査と展開で同じ読み取り方式（ZipArchive か ZipStreamReader のどちらか一方）を使うようにしてください。

GHSA-m665-v7pm-7grj・CVE-2026-115905読む
Rust2026.10.29重大

Wasmtime の aarch64 版で、細工した Wasm モジュールにサンドボックスを脱出される

wasmtime　36.0.18 以前 / 37.0.0〜48.0.6 / 49.0.0〜49.0.3　→　36.0.19 / 48.0.7 / 49.0.4

やること　使っている系列に合わせて 36.0.19、48.0.7、49.0.4 のいずれかへ更新します。信頼できない Wasm モジュールを aarch64 上で実行している場合は特に優先してください。

GHSA-mghf-wjfp-p5xm・CVE-2026-115893読む
Python2026.10.29重大

Electrum で、悪意あるサーバーに送金をすり替えられ、手数料の上乗せ操作で攻撃者に送金させられる

electrum　4.8.3 未満　→　4.8.3

やること　4.8.3 へ更新します。すぐ更新できない場合は、手数料の上乗せを含めて取引に署名する前に、出力先アドレスと金額が意図どおりか必ず確認してください。自分で運用するなど信頼できるサーバーにだけ接続している場合は影響を受けません。

GHSA-6jp4-8v48-cc5v・CVE-2026-117601読む
Python2026.10.29高

vLLM で、細工したリクエストからワーカー側の pickle.loads() に到達されるなど、コード実行につながる欠陥

vllm　0.32.0 未満　→　0.32.0

やること　0.32.0 へ更新します。更新までは、必要がなければ --mm-processor-cache-type shm を使わず、ホストの Ghostscript も最新にしてください。

GHSA-6757-hggm-hp2w・CVE-2026-115912・GHSA-h3rc-j82p-2c3h・CVE-2026-115915読む
Go2026.10.29高

Echo の middleware.Static で、%2F を使ったパスによりルートやグループのアクセス制御をすり抜けられる

github.com/labstack/echo　v4 は 4.16.0 未満 / v5 は 5.4.0 未満　→　4.16.0 / 5.4.0

やること　v4 は 4.16.0、v5 は 5.4.0 へ更新します。

GHSA-375p-5qhx-8wq4・CVE-2026-118650読む
JavaScript2026.10.29高

Vue I18n の escapeParameter が iframe の srcdoc を処理せず、XSS を防げない

vue-i18n　11.1.10〜11.4.13 / 12.0.0-alpha.4　→　11.4.14 / 12.0.0-alpha.5

やること　vue-i18n（および petite-vue-i18n、@intlify/core-base などの関連パッケージ）を 11.4.14 へ更新します。利用者の入力を含む値を HTML メッセージに埋め込まないようにしてください。

GHSA-83rm-6c8r-g728・CVE-2026-118257読む
JavaScript2026.10.29高

Highcharts で、チャート設定に入った不正な値からスクリプトを実行されるなど複数の欠陥

highcharts　11.4.8 以前 / 12.0.0〜12.6.1 / 13.0.0〜13.1.0（件により下限が異なります）　→　11.4.9 / 12.6.2 / 13.1.1

やること　使っている系列に合わせて 11.4.9、12.6.2、13.1.1 のいずれかへ更新します（xlink:href の件は 12.6.2 / 13.1.1 で修正）。CDN から読み込んでいる場合は版付きの URL を更新します。すぐ更新できない場合は、各勧告にある回避用のスクリプトを Highcharts の読み込み後、チャート作成前に実行してください。

GHSA-mw4f-gj5x-6xr4・CVE-2026-116796・GHSA-5793-x2q3-c3q7・CVE-2026-118251・GHSA-35rr-xwfh-x789・CVE-2026-118246・GHSA-rmqc-xvr3-v46c・CVE-2026-118250・GHSA-gfvx-2c2g-38wq・CVE-2026-118249読む
JavaScript2026.10.29高

seroval の fromJSON で、細工した入力により任意の関数を呼ばれたり、処理を止められたりする

seroval　1.6.7 以前　→　1.6.8

やること　1.6.8 へ更新します。すぐ更新できない場合は、信頼できない入力を fromJSON で復元するとき、deserialize が関数や on メソッドを持つオブジェクトを返すプラグインを使わないでください（サービス停止の件には回避策がありません）。

GHSA-7rv5-mrxv-xcr9・CVE-2026-116580・GHSA-97r2-qh9m-474h・CVE-2026-116581・GHSA-wp97-x4hv-qvhp・CVE-2026-116584読む
補足