更新を確認する18件を図解 10月24日〜27日 PAN-OSの管理画面に攻撃も

今週まず手を付けたいのは、インターネットに出したPAN-OSの管理画面と、Adobe Commerce（Magento）で動くECサイトです。Palo Alto Networksは10月28日、PHPの脆弱性の告知を改め、外から届く管理画面を狙う攻撃を確認したとして、重大度を「Critical」に引き上げました。その前日には、米CISAがAdobe CommerceとBrotliの脆弱性を、悪用を確認した一覧（KEV）に加えています。

ただ、急がなくてよいものもあります。

MSRCが27日に公開したEdgeの3件は、22日に配られた156.0.4314.42で、すでに直っています。数字と日付は各社・機関の公式の告知に合わせ、前の週の分は前の週の図解（10月18日〜23日）に残しています。

18件の版と修正版

5つの分野に分けて並べました。分野の中の並びも、深刻さの順位ではありません。

「記載なし」は、確認した告知に悪用の記述がないという意味にとどまります。CVSSも、版（3.1と4.0）や評価した組織が違えば、そのままでは比べられません。

PAN-OSは1週間で扱いが変わった

Palo Altoの告知は、22日の公開から28日までに十数回書き換えられています。27日までは、系列ごとの修正版の予定を足していく更新でした。28日になって、重大度が「Critical」、急ぐ度合いが最も高い扱いに変わり、悪用の状況の欄に、インターネットに出した管理画面を狙う攻撃を確認したと書き加えられています。

27日朝に出した当編集部の記事は、その時点の「悪用は把握していない」をもとにしていました。

修正版は、28日から30日にかけて残りの系列に出る予定です。27日の予定だった11.2.13-h4も、28日朝の時点ではまだ予定のままでした。待つあいだは、管理画面に入れる送り元を内部の踏み台だけにする、というのがPalo Altoの示す守り方です。管理画面を外に出していた機器は、修正版を当てて終わりにせず、管理者のアカウントと設定の変更の記録も見ておきたいところです。

KEVに加わった3つの脆弱性

意外なのは、Adobe Commerceの件（CVE-2026-48356）が、7月14日の定例の更新で直っていたことです。修正から3か月あまり。その間に当てていないECサイトは、すでに入られている前提で調べたほうがよいでしょう。Adobeの評価は9.6で、認証なしに危険なファイルを上げられます。ただし、悪用には利用者の操作が要ると、Adobeは書いています。侵入の跡の探し方は、MagentoのPolyShell、米CISAが悪用を確認 修正後も侵入の跡を点検にまとめました。

Brotliは、10月21日に上流で直ったあと、組み込んだ製品の修正が続いています。今週は、Microsoftが.NET、PowerShell、Visual Studioを、PHPがWindows版のパッケージをそれぞれ作り直しました。PowerShell 7は入れ方によってWindows Updateで上がらないことがあり、端末ごとの版の確認が欠かせません（PowerShell 7の記事）。

PHPの2件は、KEVの期限が10月29日です。PHPは23日に、起こりにくい別のコード実行の道（CVE-2026-115560）も知らせ、次の定例の版が出るまで、セッションのアップロードの進み具合の機能を切るよう勧めています。

eMudhraの手当ては3つで効き方が違う

破られたeMudhraの中間CAの鍵への手当てが、今週はOS、Java、Pythonでそろいました。同じ問題でも、効く場所は別々です。

Windowsの定例外の更新（KB5134133など）は、信頼の一覧が自動で届かない端末のためのものです。インターネットにつながり、自動更新が効いている端末は、入れなくてかまいません。配布はMicrosoft Updateカタログだけで、Windows UpdateやWSUSには出ません。しかも、入れたhotpatchの端末には、2027年1月のベースラインの更新まで、次のhotpatchが届かなくなります。

Oracle Javaは、24日の2回目のアラートで、eMudhraに関係するルート4件をOracle JDKの一覧から外しました。ブラウザーでは開けるのに、Javaの業務アプリだけが相手とつながらない、ということが起こりえます。

Pythonは、3.15.2などでsslモジュールが破られた鍵をはじくようになりました。証明書の検証を切っているコードは、この対策の外に置かれたままです。

版を見れば済むもの、まだ直っていないもの

Edgeの3件は、MSRCが27日に番号と中身を出しただけで、新しい版は出ていません。156.0.4314.42以降なら、追加の作業は要りません。Chromeは27日に156.0.8078.73を配り始めましたが、セキュリティの修正の一覧は「あとで載せる」とされ、28日朝の時点でまだ空欄でした。

AndroidのAuthenticatorは、9月に出た6.2606.4246で直っています。研究者が23日に手口を公表したので、古い版のまま残った端末が狙われる恐れは高まったとみるべきでしょう。

まだ直っていないのは、Tailscale SSHです。Tailscaleはソースに修正を取り込みましたが、28日朝の時点で、配布版もセキュリティの告知も出ていません。使っていないサーバーでは、Tailscale SSHを無効にしておくのが確実です。OpenBaoは2.6系のサポートを終えていて、2.7系に移るよう求めています。

10月28日からの期限

日付が決まっていないものは3つあります。Tailscaleの修正版の配布と、Chrome 156.0.8078.73の修正の中身、それにPHPのセッションの件です。PHPは、次の定例の版で直すとしています。

KEVの期限は米国の連邦機関への要件で、日本の会社が守る義務はありません。とはいえ、実際に悪用された件の目安として、そのまま予定表に写しておくと便利です。

影響を受ける会社と、受けない会社

• PAN-OS・Panoramaの管理画面を、インターネットから届く状態にしている会社は、いちばん影響を受けます。委託先が運用する機器も同じです。
• Adobe CommerceやMagentoでECサイトを動かす会社も、影響を受けます。制作会社や運用の委託先に、版を問い合わせてください。
• .NETやPowerShell 7、PHPのWindows版で、Brotliで圧縮されたデータを展開するアプリを持つ会社が当たります。
• 閉じたネットワークのWindowsや、Javaで動く業務アプリを持つ会社は、eMudhraの手当ての影響を受けます。
• 表の製品を使わず、端末の更新を自動に任せている会社は、影響が小さいほうです。それでも、委託先や部署が個別に入れたものは台帳に載っていないことがあります。

今日のうちに確認すること

1. PAN-OS・Panoramaの管理画面に、インターネットから届くかを確認します。届くなら送り元を踏み台に絞り、管理者のアカウントと設定の変更の記録を見ます。
2. Adobe Commerce・Magentoの版が、7月14日の修正（2.4.9-2026-julなど）より前ではないかを調べます。前なら修正を当て、見覚えのないファイルと管理者を探します。
3. PHPのサーバーで、10月21日の修正版に上がったかと、セッションのアップロードの進み具合の機能が切ってあるかを見ます。
4. 閉じた環境のWindowsに、KB5134133などを入れるかを決めます。hotpatchの端末は、入れると1月まで次のhotpatchが来ません。
5. Javaの業務アプリが、eMudhraのルートにつながる相手と通信していないかを、アプリの担当と確認します。
6. Edgeが156.0.4314.42以上か、AndroidのAuthenticatorが6.2606.4246以上かを、Intuneなどの管理画面で見ます。
7. 11月10日に向けて、.NET 8・9とPowerShell 7.4・7.5で動く業務アプリを洗い出します。

修正版が出ていても、悪用の情報があとから付く。今週は、その例がPAN-OSとAdobe Commerceで続きました。来週も、告知の更新日を追っておいてください。