やること 0.8.1 以降へ更新し、外部や第三者から受け取った OpenAPI 定義で生成したコードは、更新後のバージョンで生成し直してください。すぐに更新できない場合は、信頼できない定義からの生成を止め、生成済みの main.py に不審な文字列連結や式が含まれていないか確認してください。
GHSA-p2mm-64f6-gmpp・CVE-2026-63471・GHSA-6xmv-cjr5-w3q8・CVE-2026-63469・GHSA-h667-4jj2-cgv4・CVE-2026-63470読むやること 5.1.0 以降へ更新してください。
GHSA-9fpx-fr6j-2vh6・CVE-2026-33050読むやること banks を 2.4.3 以降に更新してください。すぐ更新できない場合は、攻撃者が書き換えられる場所からプロンプトを読み込まないようにし、利用者の入力が completion ブロックの本文に入らないようにしてください。
GHSA-64vx-6h2c-rjh7・CVE-2026-61536読むやること stanza を 1.15.0 以降に更新してください。更新までは、出どころの分からない lemmatizer のモデルファイルを読み込まないでください。
GHSA-gh9r-c94j-cmp5・CVE-2026-115878読むやること oauthlib を 4.0.0 以降に更新してください。
GHSA-7984-qgvg-3j9c・CVE-2026-118669読むやること pyasn1 を 0.6.5 以降に更新してください。
GHSA-fm9c-5rcf-2q5p・CVE-2026-119194・GHSA-9m75-vc3g-4x39・CVE-2026-119195・GHSA-mm57-4v3p-rchx・CVE-2026-119197・GHSA-2qm8-x737-gmw5・CVE-2026-119196読むやること graphql-core を 3.3.1 以降に更新してください。
GHSA-mpqx-q82w-9x46・CVE-2026-119286読むやること joserfc を 1.7.5 以降に更新します。
GHSA-jpxq-7h8p-2q76・CVE-2026-119283読むやること 26.10.0rc1 以降へ更新します。すぐ更新できない場合は、Twisted の HTTP/2 を無効にするか、Rapid Reset 対策済みのリバースプロキシの背後に置いてください。
GHSA-vpp8-g58w-m8mp読むやること 4.8.3 へ更新します。すぐ更新できない場合は、手数料の上乗せを含めて取引に署名する前に、出力先アドレスと金額が意図どおりか必ず確認してください。自分で運用するなど信頼できるサーバーにだけ接続している場合は影響を受けません。
GHSA-6jp4-8v48-cc5v・CVE-2026-117601読むやること 0.32.0 へ更新します。更新までは、必要がなければ --mm-processor-cache-type shm を使わず、ホストの Ghostscript も最新にしてください。
GHSA-6757-hggm-hp2w・CVE-2026-115912・GHSA-h3rc-j82p-2c3h・CVE-2026-115915読むやること 3.17.0 へ更新します。公式イメージはプロセスが uid 0 で動くため影響が大きく、更新までは認証なしのトラッキングサーバーを信頼できないネットワークから到達できないようにしてください。
GHSA-26p8-2jq9-3vq9・CVE-2026-116692・GHSA-m65p-9j7q-6w33・CVE-2026-116690読むやること 3件すべてが直る 1.9.1 へ更新します。1.9.0 では空 HMAC 鍵の件が残ります。
GHSA-6v38-4h7w-rj9h・CVE-2026-96760・GHSA-7vr2-2fgp-9w7p・CVE-2026-114615・GHSA-8m4g-j4wp-wgcg・CVE-2026-114616読むやること 2.3.24 以降へ更新します（現行の 2.6 系は修正済みです）。安全な回避策はなく、すぐ更新できない場合は信頼できない入力が field_type に届かないようにします。
GHSA-m4w4-3r8h-jw98・CVE-2026-35002読むやること monai を 1.6.1 へ更新します。MONAILabel を使っている場合は、データストアに不審な DICOM が保存されていないかも確認してください。
GHSA-6hp3-vr39-rqw8・CVE-2026-48705読むやること 3.2.0 へ更新します。CI、リポジトリ取り込み、スキャナーなど利用者の URL やブランチ名を扱うサービスは優先して更新してください。
GHSA-f9j4-qggq-h239・GHSA-w8jc-g24h-crhw・GHSA-23mf-xhv8-69c2読むやること 0.31.0 へ更新します。trust-remote-code を有効にしてマルチモーダルモデルを公開しているサーバーを優先してください。
GHSA-h3rc-6mm3-gc2m・CVE-2026-114053読むやること 21.14.9 以降へ更新します。外部から受け取った値を --prompt などに渡して環境を作る仕組みがある場合は、優先して対応してください。
GHSA-6w3r-xr62-4xcp・CVE-2026-113723・GHSA-394h-qwmc-48pf・CVE-2026-113718読むやること 修正は 26.10.0rc1 に入っています。twisted.words の XML ストリームや IRC サーバー、twisted.conch の Telnet を外部に公開している場合は、更新を検討してください。
GHSA-3476-c5c2-fr73・CVE-2026-115775・GHSA-cwm5-jh59-mwxr・CVE-2026-115778・GHSA-53xc-49m8-p798・CVE-2026-115776読むやること 3.3.0 へ更新します。Include プラグインを plugins で有効にしていなければ、この件の影響はありません。
GHSA-h7ww-273w-6cm8・CVE-2026-115355読むやること 6.21.2 へ更新します。すぐ更新できない場合は、勧告が示す修正（PR #4239、#4240）を当ててください。
GHSA-gmh7-3g9r-mjh5・CVE-2026-115580・GHSA-jr96-gvgh-j3r4・CVE-2026-115585・GHSA-6c7f-9265-g8fw・CVE-2026-115572読むやること Pillow を 13.0.0 へ更新します。画像アップロードを受け付けるサービスは優先度が高く、requirements やコンテナイメージに固定している版も忘れずに上げてください。
GHSA-8g5g-8vmr-9782・CVE-2026-112403読むやること certifi を 2026.10.19 以上へ更新します。certifi を中に抱えたコンテナイメージは作り直しが必要です。python.org の macOS インストーラ利用者も対象です。
GHSA-6q48-6c7w-9gw2読む登録後に確認メールが届きます。メール内のリンクを押すと配信が始まります。配信はいつでも各メールの末尾から停止できます。無料です。