NASTFS 日々緊急注意情報
AI EngineとCoder：投稿の権限確認と情報保護の修正情報
公開・更新日: 2026-10-18
要点
AI Engine：投稿の権限確認に関するCVE登録情報。10月18日、CVE-2026-111041がNVDへ登録されました。AI Engineの画像管理機能で、投稿ごとの編集権限を確かめず、編集者以上の利用者が許可のない投稿を変更できる問題です。 Coder：設定用の値が別利用者へ見える問題の登録情報。CVE-2026-111926がNVDへ登録されました。Coderの調査用機能から、同じ作業場所にいる別利用者へ、設定用の環境変数の値が見えるおそれがあります。秘密の値を設定用の環境変数へ入れる使い方に注意が必要です。
影響する可能性がある範囲
AI Engine：投稿の権限確認に関するCVE登録情報：このCVEはAI Engine 3.7.9未満が対象です。WPScanの重要度は中です。元の公表日は10月16日で、今回の登録日とは区別します。提供元は別件の権限確認も、10月17日の3.8.6で広げています。 Coder：設定用の値が別利用者へ見える問題の登録情報：提供元の勧告は8月10日公開で、重要度は低です。2.10.0以上2.34.8未満が対象です。修正は2.34系の2.34.8、2.35系の2.35.0、2.36系の2.36.0に入っています。専用の秘密情報管理機能は、この勧告の対象外です。
推奨する安全な対応
AI Engine：投稿の権限確認に関するCVE登録情報：管理者は、このCVEの修正が入った3.7.9と、追加の権限確認を含む3.8.6などの正式配布を区別して確認してください。AIの補助機能でも、対象の投稿をその人が編集してよいかを確かめてください。 Coder：設定用の値が別利用者へ見える問題の登録情報：管理者は、利用する正式な系統に対応した修正版を確認してください。秘密の値は専用の管理機能へ預け、作業場所へ入れる相手を信頼できる人に限定してください。今回のCVE登録を、新しい修正版の発表と取り違えないでください。
確認した一次情報
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
