Portable OpenSSH 10.6p2 公開。 Alpine Linux など musl libc と組み合わせた場合に発生する重大な欠陥が修正されている。

sshd(8): avoid password authentication bypass that is exploitable through sshd(8) that affects some Linux systems when built and run with PAM support disabled. We consider the root cause of this bug to be outside sshd, but it is exploitable via sshd and can be avoided there.

　関連:

• *sshole (sshhole.com)。 発見者による解説。

  so openssh on musl linux (alpine, openwrt, buildroot, yocto, and a lot of the docker images you've pulled) has had a little problem since 2016.

  組込方面でよく使われているらしい musl libc は、 ふつうの libc とは異なる仕様を持っているのですね。 crypt(3) が失敗時に NULL ではなく '*' を返すとは。 知らんかった。

  accounts that should never take a password at all (root, your key-only deploy user, ldap users, the default user on alpine's aws and azure images) take any password longer than 256 characters.

  257 文字ツッコんでやるだけで root アカウント get だぜ。

• Security advisory: openssh-server password authentication bypass (Alpine Linux, 2026.11.05)。Alpine Linux による Advisory。

  本欠陥が発現する条件は:

  • You run the Alpine openssh-server package, which is built without PAM, or you run openssh-server-pam with UsePAM no. (openssh-server-pam with UsePAM yes is not affected.)
  • PasswordAuthentication is yes (the OpenSSH default, unless you changed it). The machine has an account whose password field is *. This includes:
    • root, which ships as root:* in the base image since about Alpine 3.16. OpenSSH’s default PermitRootLogin prohibit-password protects root, so root is only reachable if PermitRootLogin yes is set. That does not help if another account that can log in is able to become root, for example through doas.
    • Any key-only user created with adduser without a password, or with usermod -p '*'.
    • Users coming from a directory service through musl-nscd (nslcd, winbind, sssd), since they have no shadow entry.
    • The alpine user in the official tiny-cloud images (see below).
  • At least one local account has a $5$ or $6$ password hash.

• Alpine 3.21.10, 3.22.8, 3.23.8 and 3.24.4 released (Alpine Linux, 2026.11.05)。本件が修正されたバージョンを公開。

• musl libc。 musl libc 的には本件に関連する修正は無いみたい。 仕様です。

　あと、crypt(3) の失敗時の挙動って、実はいろいろなんですね。 知らんかった。

• FreeBSD 14.5 crypt(3) (FreeBSD)

  The crypt() and crypt_r() functions return a pointer to the encrypted value on success, and NULL on failure. Note: this is not a standard behaviour, AT&T crypt() will always return a pointer to a string.

• Debian bookworm crypt(3) (Debian)

  The behavior of crypt on errors isn't well standardized. Some implementations simply can't fail (except by crashing the program), others return a null pointer or a fixed string. Most implementations don't set errno, but some do. POSIX specifies returning a null pointer and setting errno, but it defines only one possible error, ENOSYS, in the case where crypt is not supported at all. Some older applications are not prepared to handle null pointers returned by crypt. The behavior described above for this implementation, setting errno and returning an invalid hashed passphrase different from setting, is chosen to make these applications fail closed when an error occurs.

• crypt(3p) posix man page (unix.com)

  Upon successful completion, crypt() shall return a pointer to the encoded string. The first two bytes of the returned value shall be those of the salt argument. Otherwise, it shall return a null pointer and set errno to indicate the error.

• https://git.musl-libc.org/cgit/musl/tree/src/crypt/crypt_des.c (musl libc)

  return (setting[0]=='*') ? "x" : "*";

直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (2026.10.08)

　相次ぐWEBシステムからの情報漏洩事案について（第2報） (マクニカ セキュリティ研究センター, 2026.11.03)

■実行犯はどのようなグループか

筆者が思い描くのは、国家を背景とするAPT（標的型攻撃）グループやランサムウェアなどで長年活動してきたプロのサイバー攻撃者ではなく、ここ数年で新規参入した「野良のサイバー犯罪者」です。単独犯や不特定多数のグループではなく、手法や狙う対象が微妙に異なる、限定的な数の複数クラスタが存在するように感じています。

Linux Kernelの脆弱性(Critical: CVE-2026-98432) (2026.11.04)

　関連:

• AlmaLinux: CVE-2026-98432: Patched kernels released 。更新版公開済。

• Debian GNU/Linux: CVE-2026-98432。更新版公開済。

• RHEL: CVE-2026-98432。更新版公開済。

• Raspberry Pi OS: CVE-2026-98432 (forums.raspberrypi.com)。 rpi-update を使うと対応カーネルを入手できる。 apt からはまだ入手できない。手元のラズパイ3 (Debian GNU/Linux 13 (trixie)) で rpi-update してみた結果:

  $ uname -a
  Linux usbcheck1 6.18.59-v8+ #2015 SMP PREEMPT Mon Oct 26 19:25:04 GMT 2026 aarch64 GNU/Linux

  rpi-update、 ラズパイ4 Debian 12 (bookworm) で実行しても 6.18.59-v8+ が降ってきますね。 実施前は 6.12.109+rpt-rpi-v8+ でした。

• Rocky Linux: 更新版公開済。

  • Rocky Linux 10: RLSA-2026:93413
  • Rocky Linux 9: RLSA-2026:93412
  • Rocky Linux 8: RLSA-2026:93414

• SUSE: CVE-2026-98432。更新版公開済。

• Ubuntu: Fixes available in -proposed pocket for CVE-2026-98432。 一般公開はまだ。-proposed ポケットに対応版が用意されている。

ハッカーがサイバー攻撃でスーパーの冷蔵庫を50℃まで加熱 (2026.10.14)

　同様事例が欧州各地で発生。

• 欧州7カ国のスーパー冷蔵・冷凍庫にサイバー攻撃　大量の食品が廃棄に (BBC, 2026.11.03)

• Shop fridges and freezers across Europe hit by fresh suspected cyber-attack (Guardian, 2026.11.02)

  今回のフランスでの攻撃では、ハッカーたちは主にデンマークのダンフォス社が供給した制御装置を乗っ取った。(中略)

  パリ検察庁は、フランス国内で発生したこの攻撃について正式な捜査を開始し、セバスチャン・ルコルヌ首相は、フランスの国家サイバーセキュリティ機関であるANSSIに対し、調査を行うよう指示した。

  同機関はその後、 他の2社の制御装置を使用しているスーパーマーケットもこの攻撃の標的となっていたと報告したが、当局は事件の背後に誰がいる可能性があるかについては明らかにしていない。犯行声明は出されていない。

  CERTFR-2026-ALE-012 にある「他の2社」は Copeland xweb と Dixell xweb 。

• JVNVU#91929515 Copeland製XWEB PROにおける複数の脆弱性 (JVN, 2026.02.27)。RCE 等可能。

• Chilling Discoveries: Unpacking Vulnerabilities in Copeland XWEB Pro Controllers (claroty team82, 2026.08.09)。 Danfoss のと同様に、 こちらも team82 ですね。

　例のやつの件ですが、問題はこれ:

緩和策に対する誤解（Ubuntuのブログより）

下記の「パケットフィルタ系の緩和策」は一部の攻撃にしか効かない（Anthropicsの出した情報のMPTCPに着目した攻撃にしか効かない）とUbuntuが出しています。

Anthropicsの発表が誤解を産んでいたそうで、今回の脆弱性の悪用にはMPTCPの使用は関係なく、パケットを叩き落とすのでは対策にならない模様です。現在のところ、Kernelの更新かLivePatchが一番確実です。

Ubuntuの発表はこちらになります。以下、機械翻訳です。

「MPTCPを無効にする対策が様々な情報源から推奨されていますが、CVE修正はMPTCPに特化したものではないことにご注意ください。これらの推奨事項は、Anthropicが生成した未公開のエクスプロイトがMPTCPを使用していると説明されているという事実のみに基づいています。他に生成または公開されたエクスプロイトは知られていません。」

　こちら: Fixes available in -proposed pocket for CVE-2026-98432 (ubuntu, 2026.11.02)

Impact of CVE-2026-98432

The vulnerability affects the IPv4 TCP connection handling in the Linux kernel and can lead to remote code execution. The yet-unreleased exploit generated by Anthropic is described as using Multipath TCP (MPTCP), although the vulnerability is not specific to MPTCP. At the time of writing, no other exploit is known to have been generated or published.

(中略)

Mitigations for CVE-2026-98432

Mitigations that disable multipath TCP (MPTCP) are being recommended by various sources, but please note that the CVE fix is not specific to MPTCP. The recommendations are based exclusively on the fact that the yet-unreleased exploit generated by Anthropic is described as using MPTCP; no other exploit is known to have been generated or published. The Ubuntu Security Team believes that security updates are the only appropriate mitigation. For Ubuntu 22.04 LTS and newer, these are currently in qualification testing and available in the -proposed pocket, as mentioned above.

　Ubuntu では -proposed に新カーネルが用意されたそうで、 利用方法も Fixes available in -proposed pocket for CVE-2026-98432 に記載されている。 示されているコマンドラインは手元では若干うまく動かない部分があったが、まあ考えれば理解できる。

　(他のディストリについて追記予定)

2026.11.05 追記:

　関連:

• AlmaLinux: CVE-2026-98432: Patched kernels released 。更新版公開済。

• Debian GNU/Linux: CVE-2026-98432。更新版公開済。

• RHEL: CVE-2026-98432。更新版公開済。

• Raspberry Pi OS: CVE-2026-98432 (forums.raspberrypi.com)。 rpi-update を使うと対応カーネルを入手できる。 apt からはまだ入手できない。手元のラズパイ3 (Debian GNU/Linux 13 (trixie)) で rpi-update してみた結果:

  $ uname -a
  Linux usbcheck1 6.18.59-v8+ #2015 SMP PREEMPT Mon Oct 26 19:25:04 GMT 2026 aarch64 GNU/Linux

  rpi-update、 ラズパイ4 Debian 12 (bookworm) で実行しても 6.18.59-v8+ が降ってきますね。 実施前は 6.12.109+rpt-rpi-v8+ でした。

• Rocky Linux: 更新版公開済。

  • Rocky Linux 10: RLSA-2026:93413
  • Rocky Linux 9: RLSA-2026:93412
  • Rocky Linux 8: RLSA-2026:93414

• SUSE: CVE-2026-98432。更新版公開済。

• Ubuntu: Fixes available in -proposed pocket for CVE-2026-98432。 一般公開はまだ。-proposed ポケットに対応版が用意されている。

　出ました。

• Stable Channel Update for Desktop (Google, 2026.11.03)。Chrome 157.0.8103.38 for Linux および 157.0.8103.38/.39 for Windows / Mac。 213 件のセキュリティ修正を含む。

• Chrome for Android Update (Google, 2026.11.03)。Chrome 157 (157.0.8103.38) for Android。

　2026.10.27 付で Firefox 159.0 / ESR 153.6.0 / ESR 115.44.0、 Firefox for Android 159、 Thunderbird 159.0 / 153.6.0esr が公開されました。

• Firefox 159 がリリースされた (mozillaZine, 2026.10.28)

• Firefox for Android 159 がリリースされた (mozillaZine, 2026.10.28)

• Thunderbird 159 がリリースされた (mozillaZine, 2026.10.28)

　2026.11.03 付で Firefox 159.0.1、Firefox for Android 159.0.1 が公開されました。

• Firefox 159.0.1、Firefox for Android 159.0.1 がリリースされた (mozillaZine, 2026.11.04)

　2026.10.28 に公開された WordPress 7.1.4 および 7.0.8 / 6.9.11 / 6.8.12 / 6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 / 6.3.14 / 6.2.15 / 6.1.16 / 6.0.18 / 5.9.20 / 5.8.19 / 5.7.21 / 5.6.23 / 5.5.24 / 5.4.25 / 5.3.27 / 5.2.30 / 5.1.28 / 5.0.31 / 4.9.35 / 4.8.34 / 4.7.39 において修正されている「WordPress のアップグレード処理における脆弱性で、アップグレードの実行中にリモートコード実行につながるおそれがある問題 (Umut Bayram が報告)」 CVE-2026-119977 が KEV カタログに掲載されたそうで。 WordPress をご利用の方は、各自の WordPress が上記バージョンにアップデートされていることをご確認ください。なっていなければ、すぐに手動アップデートを実施してください。

　DKIM 署名の対象フィールドが少なすぎたために改ざんを検出できず、リプレイ攻撃 (なりすまし) を招いた話。 どうやら From: のみだった模様。

• 「『楽天カード公式』から詐欺メール」報告相次ぐ　ドコモメールに公式マーク付きフィッシング、一部企業の認証設定に脆弱性 (ITmedia, 2026.10.16)

• ドコモメール公式アカウント (NTT ドコモ)。 既に 2 週間以上経過しているが、 当該企業はいまだに再開できていないようだ。

　回避方法としては、DKIM 署名の対象フィールドを増やす。 RFC6376 Section 5.4.1 ではこのように書かれているそうで。

Common examples of fields with addresses and fields with textual content related to the body are:

• From (REQUIRED; see Section 5.4)
• Reply-To
• Subject
• Date
• To, Cc
• Resent-Date, Resent-From, Resent-To, Resent-Cc
• In-Reply-To, References
• List-Id, List-Help, List-Unsubscribe, List-Subscribe, List-Post, List-Owner, List-Archive

　必須とされているのは From: だけだが他にもいろいろ加えるのが望ましいと。 また

加えて、必要に応じて、ヘッダーの不正な追加を防ぐオーバーサイニングも検討してください。とくにSubjectやContent-Typeを署名対象に含めることは、今回のようなメールの改変を伴うリプレイ攻撃に有効です。

　oversigning を行うと、ヘッダの追加 (ニセ From: を追加するなど) を検出できるようになるようだ。試しに手元の OpenDKIM で OversignHeaders From を指定してみたら、 DKIM-Signature: (中略) h=From:To:Subject:Date:From; のようになった。

　他に挙げられているのは:

2．外部メール配信サービスのDKIM設定を確認する
3．DMARCレポートを継続的に監視する
4．DKIM鍵の管理と署名の有効期間を適切に設定する

　確かに、鍵管理はついつい忘れそうだなあ。 署名の有効期間は、OpenDKIM では SignatureTTL ですか。ドコモさんは、署名の有効期間が切れるのを待っているのかな。

　あと、こんな話も:

• OpenDKIMでList-Unsubscribe-Postヘッダーを署名対象ヘッダにする (qiita, 2024.04.04)

  RFC 8058: Signaling One-Click Functionality for List Email Headers (IETF) で必須とされている List-Unsubscribe-Post が上記 RFC6376 の例示に含まれないので追加対応が必要だった、という話。

　関連:

• DKIMリプレイ攻撃とは？その防御方法 (MailData, 2023.12.07)。新しい話では全くないと。

いろいろ (2026.10.28) データ圧縮アルゴリズム Brotli

• Updated PHP Windows builds for Brotli security fix (PHP, 2026.10.26)。 PHP 8.5.12-1 / 8.4.27-1 / 8.3.36-1 / 8.2.35-1 公開。 DeepL AI 訳:

  Windows 版 PHP では、HTTP レスポンスの自動解凍が有効になっている場合、 cURL 拡張機能を通じて、この脆弱性のあるデコーダにアクセスされる可能性があります。 cURL ではデフォルトでこの機能は無効になっていますが、アプリケーションや HTTP クライアント ライブラリによって有効化される可能性があります。

• Google: CVE-2026-111497 Buffer overflow vulnerability in the Brotli decoder CVE-2026-111497 (Microsoft, 2026.11.02 更新)。Microsoft 方面でも、いろいろ影響があるのですね。

  • .NET 8.0 / 9.0 / 10.0 / 11.0
  • Visual Studio 2017 / 2022 / 2026
  • PowerShell 7.4 / 7.5 / 7.6
  • Azure Linux 3.0 の brotli / qemu / p7zip / nodejs

• 「PHP2Shell」「Brotli」「eMudhra」の3問題、Microsoftが“今すぐパッチを” (窓の杜, 2026.11.02)