Microsoftのカレンダー
今週のセキュリティ: 記録的なPatch Tuesday、PHPの苦境、最古の脆弱性、AI軍団、そしてその他。Microsoftは1,400件以上の脆弱性を一度に修正した。前回の記録は9月に出た。9月の約1,000件の脆弱性は、通常の月間平均の約10倍に達して前回の記録を作ったもので、TenableによるとMicrosoftは年末まであと2か月という時点で4,000件のCVEを超えた。
これらの脆弱性のうち、すでに悪用されているのは1件のみで、それはWindows 10、11および一部のServerバージョンに影響するWindows Shellのセキュリティ機能バイパスの脆弱性CVE-2026-96951である。
Windowsの言葉
CVE-2026-108398は以前に一般公開されていた。少なくとも78件の脆弱性が「クリティカル」と評価されており、その多くはユーザーの操作なしにリモートでのコード実行を許す。多くがリモートでのコード実行を許すものだ。MicrosoftはWindows 10向けの無料アップデートをひっそりと2027年10月まで延長した。同社はこれをLLMに結び付けている。
TLSの説明
Fortraの分析によると、今年CISA KEVカタログに登録されたMicrosoftの脆弱性はわずか26件で、管理者には優先順位付けのためにこのカタログが推奨されている。
一方、インドの認証局eMudhra（emSign）の8つの中間証明書——TLS用が6つ、コード署名用が2つ——の秘密鍵が漏洩していたことが判明した。これらの証明書は、Chrome、Apple、Mozillaが信頼するemSign ECC Root CA – G3に連なっていた。「Wayne」と名乗る研究者が、これらの鍵でメッセージに署名することでこの事態を証明した。FlüpkeがMastodonで共有したところによると、「EM OV TLS CA – G3C」の鍵の秘密値はわずか4だった。他の鍵も短時間で破られた：
FlüpkeがMastodonで共有した、鍵の秘密値を示すリストには、以下の6つの項目が同じ順序で、元の形式のまま含まれていた。
鍵のタイムライン
リストは6つの値からなった。- 56 – 230 – 237 – 115 – 155 – 156 – 66
鍵は2025年4月に生成された時点から、公開されている証明書から導出できたとされている。ブロック措置は迅速に講じられた。The Hacker Newsによると、Chromeは2時間以内にブロックを公開し、Mozillaは3時間足らずで証明書をブロックしてルートをNSSから削除し、Firefoxのアップデートを公開した（CVE-2026-113470）。