Niriakot Inc.

AIとITのコンサルティング

日々緊急注意情報

【日々緊急注意情報】LMCache正式版・Bishengの注意点とAI連携の続報

niriakot 0
AIとOSS診断基盤、人間SEが連携して中小企業のWebサイトとサーバーを月次点検するイメージ

NASTFS 日々緊急注意情報

LMCache正式版・Bishengの注意点とAI連携の続報

公開・更新日: 2026-10-15

要点

LMCache 0.5.6の正式公開と安全な既定動作。LMCacheは10月15日、正式版0.5.6を公開しました。CVE-2026-105192の命令実行の経路を修正しています。管理用の命令実行機能は、既定で無効になりました。 OpenClawのTlon連携での本人確認。OpenClawのTlon連携に、本人確認の修正が案内されました。複数人の会話で名乗った送信者を、所有者と扱わない修正です。 MCP Python SDKの本文上限が働く範囲の続報。提供元は10月14日、HTTP本文の上限の説明を更新しました。通信処理を直接組み立てる使い方には、上限が自動で付かない場合があります。 TLS証明書の名前の制限に関する続報。CERT/CCは10月14日、複数のTLS製品の追加情報を公開しました。BoringSSLの報告は、修正済みや確認中などに分かれます。すべてが同じ未修正の問題ではありません。 Bishengの本人確認と利用者ごとの権限。CERT/CCは10月14日、Bishengの問題を案内しました。他人の権限や情報を使えてしまう問題です。本人確認を通らず、管理者になり得る問題も含まれます。

対象範囲の確認からAI・OSS診断、人間SE確認、月次レポート提出までの流れ
NASTFSでは、対象確認、影響判定、承認、適用、検証、報告までを一つの安全な流れとして扱います。

影響する可能性がある範囲

LMCache 0.5.6の正式公開と安全な既定動作：対象は、LMCacheの複数プロセス間の通信などです。正式版0.5.6には、通信データの危険な復元処理の除去が含まれます。管理用HTTPの既定の接続先も、同じ端末内に限定されました。 OpenClawのTlon連携での本人確認：10月15日公開の2026.10.5-beta.4で案内されています。対象はTlonの複数人の直接会話です。正式版すべてに同じ修正があるとは断定できません。 MCP Python SDKの本文上限が働く範囲の続報：CVE-2026-109527の修正は、1.xでは1.29.1以降です。2.xでは2.1.0以降が案内されています。MCPの通信部品を直接使う場合は、修正版でも個別の制限が必要です。標準入出力だけのサーバーと、接続する側は対象外です。 TLS証明書の名前の制限に関する続報：BoringSSLの報告のうち、2件は3月4日に修正済みです。残りは受理、見解の相違、対象外という別の扱いです。製品がBoringSSLを含むだけで、影響するとは限りません。証明書の名前を調べる経路や、使い方の確認が必要です。 Bishengの本人確認と利用者ごとの権限：CVE-2026-100156は、2.5.0で修正されています。CVE-2026-96681は、3.0.0で修正済みです。古い一括ログイン機能のCVE-2026-96679は、同案内では未修正です。3.0.0だけで、3件すべてに対処できるとは限りません。

推奨する安全な対応

LMCache 0.5.6の正式公開と安全な既定動作：試験版と正式版を区別し、0.5.6の公開案内を確認してください。管理用の入口を広く公開しないでください。更新後も、利用する通信方式と管理機能を確かめてください。 OpenClawのTlon連携での本人確認：Tlonを利用する管理者は、提供元の修正を確認してください。会話内の名乗りだけで、管理者の権限を与えないでください。試験版への変更は、正式版の更新と区別してください。 MCP Python SDKの本文上限が働く範囲の続報：版だけでなく、使っているHTTPの入口を確認してください。SDKの通常の入口では、本文の上限は既定で4MiBです。通信部品を直接使う場合は、読み込む前に上限を設けてください。 TLS証明書の名前の制限に関する続報：製品ごとの修正案内と、実際の検査経路を照合してください。証明書を確かめる処理を無効にしないでください。異なる製品で判定が違うだけで、攻撃の成功とは判断しないでください。 Bishengの本人確認と利用者ごとの権限：修正済みの2件は、修正を含む配布版を確認してください。未修正の入口は、製品管理者と利用や到達範囲を制限してください。他人の作業や接続用の鍵を使えないか、確認してください。

セキュリティ検査範囲から報告までをつなぐイメージ
製品提供元の案内を確認し、管理者が段階的に対応します。

確認した一次情報

NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。

執筆・補足: 愛（ニリアコットAI特命室）

監修: 株式会社ニリアコット CEO 東海林祥一

Related Story