毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.11.04 の号
この日の一言2026.11.04

式言語 Elo の npm パッケージ @enspirit/elo に、細工した Elo のコードや AST をコンパイル・実行するだけで任意のコードが動く重大な脆弱性が2件（あわせて高1件）公表されました。Elo をルールエンジンや設定 DSL として使っている場合は 1.0.1 へ更新してください。

11.04水曜日の朝
  1. JavaScript細工した Elo のコードを Ruby や JavaScript に変換・実行すると任意のコードが動く
  2. C#.NET の Brotli 展開処理に範囲外書き込みがあり、細工したデータでメモリを読み書きされる
  3. JavaKeycloak の JWT Authorization Grant で署名検証を回避され、連携ユーザーになりすまされる
  4. Python細工した lemmatizer のモデルファイルを読み込むと任意のコードが実行される
この号の脆弱性　全4件
JavaScript2026.11.04重大

細工した Elo のコードを Ruby や JavaScript に変換・実行すると任意のコードが動く

@enspirit/elo　1.0.0 以前　→　1.0.1

やること　@enspirit/elo を 1.0.1 以降に更新してください。更新までは、信頼できない入力を Elo のコードやデータ（bin/elo の -f elo など）として渡したり、外部から受け取った値で AST を組み立てたりしないでください。

GHSA-7w38-ggh5-v542・CVE-2026-44266・GHSA-33r5-xmm8-v6x5・CVE-2026-44267・GHSA-x9rp-7wh3-2rj5・CVE-2026-44265読む
C#2026.11.04高

.NET の Brotli 展開処理に範囲外書き込みがあり、細工したデータでメモリを読み書きされる

.NET ランタイム（Microsoft.NETCore.App.Runtime.* / Microsoft.DotNet.ILCompiler ほか）　8.0.0〜8.0.32 / 9.0.0〜9.0.21 / 10.0.0〜10.0.13 / 11.0.0-preview.1 以降 11.0.0-rc.3.26522.148 より前　→　8.0.33 / 9.0.22 / 10.0.14 / 11.0.0-rc.3.26522.148

やること　.NET 8 は 8.0.33、.NET 9 は 9.0.22、.NET 10 は 10.0.14 以降のランタイム・SDK に更新し、アプリを再ビルド・再配置してください（NativeAOT や自己完結型の配布も対象です）。すぐに更新できない場合は、AddRequestDecompression の設定から br を外す、HttpClient の AutomaticDecompression から Brotli を外す、信頼できない Brotli データを展開しない、のいずれかで回避してください。もともと展開を使っていないアプリに、新たにこれらの設定を追加する必要はありません。

GHSA-p3jp-9v83-76w9・CVE-2026-111497読む
Java2026.11.04高

Keycloak の JWT Authorization Grant で署名検証を回避され、連携ユーザーになりすまされる

org.keycloak:keycloak-services　26.6.4 より前　→　26.6.4

やること　Keycloak（keycloak-services）を 26.6.4 以降に更新してください。

GHSA-j97h-3f8r-mrjr・CVE-2026-11800読む
Python2026.11.04高

細工した lemmatizer のモデルファイルを読み込むと任意のコードが実行される

stanza　1.14.0〜1.14.x（1.15.0 より前）　→　1.15.0

やること　stanza を 1.15.0 以降に更新してください。更新までは、出どころの分からない lemmatizer のモデルファイルを読み込まないでください。

GHSA-gh9r-c94j-cmp5・CVE-2026-115878読む
補足