毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.10.30 の号
この日の一言2026.10.30

Keycloak の Policy Enforcer に、ログインできる利用者なら誰でもすべての認可ポリシーを回避して保護されたリソースにアクセスできる脆弱性が公表されました。cert-manager の DNS 認証情報の悪用や、Rust の zip クレートの展開先外への書き込みも早めの更新が必要です。

10.30金曜日の朝
  1. JavaKeycloak Policy Enforcer で、認証済みの利用者が URL の工夫だけで認可ポリシーをすべて回避できる
  2. JavaKeycloak のリダイレクト URI 検証を大文字小文字の違いで回避され、XSS につながる
  3. Gocert-manager で、名前空間の利用者が ClusterIssuer の DNS 認証情報を勝手に使える
  4. Rustzip クレートの展開で、symlink を使って展開先の外にファイルを書き込まれる（ほか DoS 2件）
  5. Rubyshopify_app のトークン交換認証で、別のショップとして扱われるおそれ
  6. JavaScriptsysteminformation の services() で、Windows 上で PowerShell コマンドを注入される
  7. JavaScriptdecode-uri-component で、細工した文字列によりイベントループが長時間止まる
  8. PythonTwisted の HTTP/2 サーバーが Rapid Reset で CPU を使い切られる
この号の脆弱性　全8件
Java2026.10.30高

Keycloak Policy Enforcer で、認証済みの利用者が URL の工夫だけで認可ポリシーをすべて回避できる

org.keycloak:keycloak-services / org.keycloak:keycloak-policy-enforcer　keycloak-services 26.6.4 より前 / keycloak-policy-enforcer 26.0.10 より前　→　keycloak-services 26.6.4 / keycloak-policy-enforcer 26.0.10

やること　keycloak-services は 26.6.4 以降、keycloak-policy-enforcer は 26.0.10 以降へ更新します。

GHSA-f5p5-6xmx-p252・CVE-2026-9800読む
Java2026.10.30高

Keycloak のリダイレクト URI 検証を大文字小文字の違いで回避され、XSS につながる

org.keycloak:keycloak-services　26.6.4 より前　→　26.6.4

やること　26.6.4 以降へ更新します。あわせて、manage-client 権限やクライアント登録エンドポイントを使える利用者を必要最小限に絞ってください。

GHSA-v3f7-2p4r-mwfw・CVE-2026-9086読む
Go2026.10.30高

cert-manager で、名前空間の利用者が ClusterIssuer の DNS 認証情報を勝手に使える

github.com/cert-manager/cert-manager　1.18.0〜1.19.5 / 1.20.0-alpha.0〜1.20.2　→　1.19.6 / 1.20.3

やること　1.19.6 または 1.20.3 以降へ更新します。すぐ更新できない場合は、名前空間の利用者から challenges.acme.cert-manager.io の作成権限を外してください。

GHSA-8rvj-mm4h-c258・CVE-2026-62290読む
Rust2026.10.30高

zip クレートの展開で、symlink を使って展開先の外にファイルを書き込まれる（ほか DoS 2件）

zip　9.0.0 より前（展開先外への書き込みは 7.2.0 以降、symlink のメモリ枯渇は 1.3.0 以降、legacy-zip の DoS は 5.1.0 以降）　→　9.0.0

やること　9.0.0 以降へ更新します。すぐ更新できない場合は、信頼できない ZIP を ZipArchive::extract で展開しないでください。

GHSA-hjqx-j4rw-g7xv・CVE-2026-115908・GHSA-q7v9-x93c-xqv3・CVE-2026-115909・GHSA-9hj8-73fh-9963・CVE-2026-115907読む
Ruby2026.10.30高

shopify_app のトークン交換認証で、別のショップとして扱われるおそれ

shopify_app　22.1.0〜23.0.2　→　23.0.3

やること　23.0.3 以降へ更新します。更新後は、認可やテナント判定に authenticated_shopify_domain を使い、params[:shop] には頼らないようにしてください。

GHSA-6j52-38f8-qhxr・CVE-2026-63414読む
JavaScript2026.10.30高

systeminformation の services() で、Windows 上で PowerShell コマンドを注入される

systeminformation　5.33.16 より前　→　5.33.16

やること　5.33.16 以降へ更新します。すぐ更新できない場合は、外部から受け取った値を services() に渡さないでください。

GHSA-3f7j-7jwc-fxfj・CVE-2026-116576読む
JavaScript2026.10.30高

decode-uri-component で、細工した文字列によりイベントループが長時間止まる

decode-uri-component　0.5.0 以前　→　0.5.1

やること　0.5.1 以降へ更新します。多くのパッケージの間接依存として入っているため、npm ls decode-uri-component で版を確認してください。

GHSA-qr28-fpjm-wq7f・CVE-2026-118664読む
Python2026.10.30高

Twisted の HTTP/2 サーバーが Rapid Reset で CPU を使い切られる

Twisted　26.4.0 以前　→　26.10.0rc1

やること　26.10.0rc1 以降へ更新します。すぐ更新できない場合は、Twisted の HTTP/2 を無効にするか、Rapid Reset 対策済みのリバースプロキシの背後に置いてください。

GHSA-vpp8-g58w-m8mp読む
補足