毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.10.31 の号
この日の一言2026.10.31

PyPI への公開に使う GitHub Actions の pypa/gh-action-pypi-publish が、侵害が報告されている emSign のルート CA を信頼ストアに含めていたとして重大の勧告が出ました。Trusted Publishing や Digital Attestations で使う Sigstore がこの信頼ストアに依存しているため、1.14.3 以降への更新が必要です。

10.31土曜日の朝
  1. その他PyPI 公開用アクションが、侵害が報告されている emSign のルート CA を信頼していた
  2. JavaScriptNx の Maven・Gradle プラグインで、nx.json の設定値がシェルコマンドとして実行される
  3. Pythonjoserfc で、受信者を大量に並べた JWE により CPU を使い果たされる
  4. PHPAdminNeo の版情報キャッシュに配列を書き込まれ、24時間すべての利用者に HTTP 500 が返る
この号の脆弱性　全4件
その他2026.10.31重大

PyPI 公開用アクションが、侵害が報告されている emSign のルート CA を信頼していた

pypa/gh-action-pypi-publish　1.14.2 以前　→　1.14.3

やること　ワークフローで使っている pypa/gh-action-pypi-publish を 1.14.3 以降に更新します。コミットハッシュで固定している場合は、ハッシュも新しい版のものに差し替えます。

GHSA-5xjx-3w67-w9x9読む
JavaScript2026.10.31高

Nx の Maven・Gradle プラグインで、nx.json の設定値がシェルコマンドとして実行される

@nx/maven / @nx/gradle　@nx/maven 22.0.2〜22.7.8 / 23.0.0〜23.1.1、@nx/gradle 21.0.0〜22.7.8 / 23.0.0〜23.1.1　→　22.7.9 / 23.1.2

やること　nx と、使っているプラグイン（@nx/maven / @nx/gradle）の両方を 22.7.9（22.x 系）または 23.1.2（23.x 系）以降に更新します（例: nx migrate 23.1.2）。プラグインだけ上げても nx 本体が古いと直りません。すぐ更新できない場合は、信頼できるリポジトリ以外で nx コマンドを実行しないでください。

GHSA-qm8w-vx34-5j9j・CVE-2026-119282読む
Python2026.10.31高

joserfc で、受信者を大量に並べた JWE により CPU を使い果たされる

joserfc　1.7.5 より前　→　1.7.5

やること　joserfc を 1.7.5 以降に更新します。

GHSA-jpxq-7h8p-2q76・CVE-2026-119283読む
PHP2026.10.31高

AdminNeo の版情報キャッシュに配列を書き込まれ、24時間すべての利用者に HTTP 500 が返る

adminneo-org/adminneo　4.6.2〜5.4.x（5.5.0 より前）　→　5.5.0

やること　adminneo-org/adminneo を 5.5.0 以降に更新します。すぐ更新できない場合は、一時ディレクトリ（通常は upload_tmp_dir）にある adminneo.version ファイルを Web サーバーから書き込めないようにします。

GHSA-jm85-8cpp-9cjc・CVE-2026-59978読む
補足