10 月の 18 公開パッケージには 146 件の情報が収録されています。優先して確認したいのは、Agent / MCP の認証と隔離、ネットワーク機器の管理・診断インターフェース、クエリと URL の検証、依存パッケージによる悪意あるペイロードの実行です。集計は date が 2026-10 で始まる簡体字公開パッケージのみです。10-30～11-01 をカバーする 2026-11-01 範囲ファイルは含みません。合算公開の範囲と集計方法は末尾に記載しています。
Statistics
汚染は 73 件。脆弱性稿のうち超危基準に達したものは 71 件です。
CSSA 独自警報 34 件、CVE 深掘り 39 件、汚染 73 件。registry フィールドでは npm 62、PyPI 10、gem 1。超危は非汚染かつ Number(score) ≥ 9 のみを数えます。
当月公開済みの簡体字インテルファイルのみを対象とし、各公開パッケージを 1 回だけ数えます（range 付きも 1 回）。パッケージ横断の重複排除はしません。これらの数字は独立した脆弱性数や被害機器数ではありません。
Trending
認証のない MCP / Agent 入口、すり抜け可能な承認、サンドボックス資格情報の漏洩は、そのまま遠隔実行面になります。
openclaw の macOS クライアントは、ホワイトリストと人手確認を設定していても、未承認コマンドを allow-once として自動解釈する場合があります。agentscope-java DataAgent は DATAAGENT_JWT_SECRET 未設定時に公開デフォルト鍵へフォールバックし、トークン上のロール宣言で管理者を偽造できます。Kiro Crew（CVE-2026-112380） は 0.7.2 より前で WhatsApp グループチャネルの認可が欠落しており、メンバーのメッセージで他のエージェントセッションを制御しホスト上でコマンド実行できます。
x64dbg-MCP Server（CVE-2026-107824） は既定で 0.0.0.0 待ち受けかつ無認証で、修正版は 1.1 です。Google OSS Agent Mesh（CVE-2026-102503） の /libp2p-http 入口は Biscuit 能力検査を迂回して登録済みバックエンドを呼べます（0.1.0-alpha.3 へ）。関連の CVE-2026-103091 は OIDC 登録が既定で開いており 0.1.0-alpha.9 が必要です。NVIDIA NeMo Agent Toolkit（CVE-2026-65145） も重要機能の認証欠落で遠隔実行に至ります。
隔離も確認が必要です。OpenSandbox Go SDK はプロキシモードでテナント API Key を転送可能なヘッダへ入れ、ネットワーク隔離コンポーネント は DNS 動的許可時に全ポートを開けます。SGLang は通常 API 鍵のみでも管理エンドポイントを認可済みとみなし、マルチモーダルローダ はローカルパスで任意ファイルを読めます。ogx の MCP server_url は私網検証がなく、既定無認証で SSRF 可能です。ComfyUI は非ループバック待ち受け時、認証なしでカスタムノードをインストールできます。
同月には AgentWorkforce Relay が workflow_dispatch で信頼できないブランチ参照から機微ワークフローを実行する事例、open-lovable の認可欠落とグローバルサンドボックス状態、dspy Local の 0.0.0.0 既定バインド、deep-searcher の未認証ファイル読み取りと Provider 設定変更、Appium Execute Driver のホスト child_process へのサンドボックス脱出もあります。
家庭用・企業ゲートウェイ、ライセンス基盤、メッセージミドルウェアの管理・診断入口は、今月も最も直接的な掌握経路です。
TOZED X300（CVE-2026-108576） は Host パラメータでコマンドインジェクションが可能です。TRENDnet TEW-751DR / 752DRU / 733GR（CVE-2026-108804） も pigwidgeon.cgi 経由で遠隔注入でき、日報は EOL 機種の退役を推奨しています。Linksys E1700（CVE-2026-108892） と Netcore NR268（CVE-2026-108907） はそれぞれ Mac Filter のスタックオーバーフローと CGI 認証回避で、ベンダーの初期応答はありませんでした。
Wavlink WL-WN592AX6（CVE-2026-109110） の wmapd は遠隔コマンドインジェクションが可能で、WL-WN530BE2-A（CVE-2026-110957） はファームウェア 2026-09-24-841a51c6d5_tclinux.bin へ上げる必要があります。Oray 蒲公英 X5 Pro（CVE-2026-116232） は SNMP info.community の CRLF 注入、FireCluster Sync（CVE-2026-90465） はクラスタ相互接続上で認証がなく root としてファイアウォール管理操作を呼べます。
企業側の入口も封じます。Cisco License On-Prem（CVE-2026-76482）、HPE（CVE-2026-79844） と CVE-2026-79847 は超危の遠隔実行です。Nacos は認証プラグイン欠落時に @Secured API を静かに通し、RocketMQ ACL 移行 は未知の権限文字列を Action.ALL にマップし、gost は資格情報未設定でミドルウェアが無効化し、Websoft9 は認可なしでリバースプロキシ規則を変更できます。
式エンジン、SQL 組み立て、プロキシ転送、URL ホスト検証が、攻撃がイントラや DB に届くかを決めます。
OpenTSDB の /api/query/exp は JEXL 式を Runtime.exec へ運べます。翌日の /q チャート描画 は二重 URL デコードで改行を gnuplot スクリプトへ注入できます。eladmin はアップロードした .sql を直接バッチ実行し、YesWiki（CVE-2026-116207） は公開検索 API でバッククォート注入が可能で修正は 4.7.0 / 5.0.0-alpha4、Futurum Software（CVE-2026-14571） はブラインド SQLi による DB 読み出しです。
SSRF 側では Supabase Studio の edge-functions テストが無認証でホスト検証も弱く、InsForge は %2F%2F で元ホスト制限を迂回し Authorization も転送します。Coreruleset は PL1 で LIKE (SELECT ...) 変種を逃すことがあり、日報は PL2 かルール更新を推奨しています。
身分とセッションも同時に見ます。SOGo（CVE-2026-74864） はクライアント制御の x-webobjects-remote-user を信頼するため 5.8.0~ynh9 へ上げ Nginx で当該ヘッダを剥がします。gofr は空の BasicAuth でも通り、ProxySQL のセッション変数は接続プールの他クライアントへ漏れ、CockroachDB の SECURITY DEFINER は複合型の認可検査に失敗します。
npm が 62 件。悪意ある挙動は postinstall、Baileys 偽装のセッション副作用、PyPI / gem の窃取やリバースシェルに集中しています。
インストール時に動く例は ultimate-websocket（postinstall が非 registry の GitHub URL からコード取得）、@sudobility/wildduck_client（S3 からペイロード取得、永続化 agent や XMRig）、@walknpm/todo-cli（postinstall マイニングと永続化）です。serpacksven、serpacksven2、node-telegram-sockets はインストール時点で完全侵害とされ、信頼できる端末から鍵をローテーションする必要があります。
Baileys / WhatsApp 偽装が繰り返し現れます。kiyoramarkets、ichigo-baileys、rubbydev-crash-baileys は認証済みセッションを攻撃者チャネルへ購読させ、@kxafunc/xbails は libsignal を可変 latest へエイリアスして E2E 経路へ入れます。tailwind-* や css-* 風の名前も多く、tailwind-base-buttons と tailwindcss-theme-kit などがあります。
PyPI の sysdiagd は監視ツールを装い Discord bot で窃取し、iterquarry は libseal と組んで復号実行、shellgrip は遠隔スクリプト loader、claudeopuseni は画像ステガからコードを取り Polygon 履歴由来の C2 へ接続します。gem の zzhelloworld_socktest は 66.78.40.218:32768 と通信しリバースシェルを確立したと記録されています。
Deep Dive
公開面、実行権限、依存の発火タイミングを組み合わせて対処順を決めます。
汚染 73 件のうち npm 62、PyPI 10、gem 1。当月公開パッケージの観測分布であり、他エコシステムがより安全だとは言えません。
openclaw はクライアント側で承認結果が書き換わり、agentscope-java の既定 JWT 鍵で管理者を偽造でき、Agent Mesh の入口と登録方針は既定で開いています。実行端・トークン検証・メッシュ方針はそれぞれ独立に確認が必要です。
FireCluster はクラスタ相互接続上にいる必要があり、Kiro Crew は WhatsApp グループメンバーであることが前提、TRENDnet 条目は EOL ファームに対応します。スコア以外に、版数・機能の有効化・入口到達性を確認します。
Summary
影響コンポーネントと実行設定を先に照合し、その後で修正とフォレンジックを進めます。
0.1.0-alpha.3（CVE-2026-102503）と 0.1.0-alpha.9（CVE-2026-103091）へ、Kiro Crew を 0.7.2 以上へ上げる。server_url に私網拒否を適用する。5.8.0~ynh9 へ上げ x-webobjects-remote-user を剥がす。ultimate-websocket、@sudobility/wildduck_client、@walknpm/todo-cli、kiyoramarkets、ichigo-baileys、@kxafunc/xbails を検索し、出所と版固定を確認する。sysdiagd、iterquarry/libseal、shellgrip、claudeopuseni、gem zzhelloworld_socktest のインストール／インポート履歴を確認する。serpacksven、serpacksven2、node-telegram-sockets など完全侵害とされたパッケージが導入済みなら隔離し、信頼できる端末から資格情報をローテーションする。削除＝侵入除去ではない。claudeopuseni のオンチェーン C2 を調査対象に含め、postinstall 子プロセスと残留も確認する。workflow_dispatch は信頼できる参照と成果物ダイジェストを固定し、deep-searcher のファイルパスと Provider 変更 API を制限する。66.78.40.218:32768 を含む）、Discord／オンチェーン C2 外連を監視する。カバレッジ注記：10 月 01、02、03、04、05、06、10、16、17、23、24、30、31 日には独立した簡体字日報がありません。10-07 公開パッケージの範囲は 10-01～10-07、10-11 は 10-10～10-11、10-18 は 10-16～10-18、10-25 は 10-23～10-25 です。10-30～11-01 をカバーする条目は 2026-11-01 範囲ファイルにあり、date が 2026-10 で始まらないため当月集計に含みません。その他の独立日報がない日付は補完せず、当日に安全事象がなかったことを意味しません。
発行：CleanSource Community ｜ 発行日：2026-11-03
データ出典：リポジトリ内の 2026 年 10 月公開済み簡体字 CSSA・CVE・OSS リポジトリ汚染インテル ｜ 転載時は出典を明記してください
ビジネス連携
公式アカウント