NASTFS 日々緊急注意情報
PDF処理とAI連携の安全更新・続報
公開・更新日: 2026-10-22
要点
pypdf：6.21.2でPDF処理の負荷を抑える修正。同じPDFの読込みの繰返しで、負荷が増す問題です。索引表の大きさでも、処理が重くなる恐れがあります。 Pydantic AI：外部HTMLによるメモリ不足の続報。外部のページを取り込むと、他の処理が遅れる問題です。提供元は、メモリを使い切る恐れも追記しました。 Storybook：開発画面を通じた資料の書換えを防ぐ更新。悪意あるページを開くと、開発用の資料が変わる恐れがあります。条件が重なると、利用者の権限で処理が動く恐れもあります。提供元は、実際の悪用は確認していないと説明しています。 Goose：端末の履歴に含まれる秘密の流出に注意。端末の履歴が、そのままAIの提供先へ送られる問題です。履歴に秘密を入力すると、外へ伝わる恐れがあります。 Royal MCP：追加の道具にも利用制限を適用する更新。追加機能の道具にも、読取り専用などの制限を通す更新です。無効にした後の、別経路からの呼出しも止める修正です。
影響する可能性がある範囲
pypdf：6.21.2でPDF処理の負荷を抑える修正：PDFを扱うPython部品、pypdfが対象です。6.21.2の安全修正が公開されています。 Pydantic AI：外部HTMLによるメモリ不足の続報：ページ取得の道具を使うPydantic AIが対象です。1.77.0以降の1系と、2系の未修正版が含まれます。 Storybook：開発画面を通じた資料の書換えを防ぐ更新：修正前のStorybookの開発画面を開く場合が対象です。作成済みの公開ページは、この勧告の対象外です。画面を開かないMCP接続だけの場合も、対象外とされています。 Goose：端末の履歴に含まれる秘密の流出に注意：Red Hatは、Gooseの端末連携が対象と公表しました。通常の非対話実行や、端末連携を使わない利用は対象外です。 Royal MCP：追加の道具にも利用制限を適用する更新：WordPressのRoyal MCPが対象です。提供元は1.5.11の変更点を公表しています。
推奨する安全な対応
pypdf：6.21.2でPDF処理の負荷を抑える修正：提供元の6.21.2を確認し、対応する版へ更新してください。出所が分からないPDFは、処理対象から外してください。 Pydantic AI：外部HTMLによるメモリ不足の続報：1系は1.107.9、2系は2.59.0以降を確認してください。更新までは、攻撃者が変えられるページを取り込まないでください。 Storybook：開発画面を通じた資料の書換えを防ぐ更新：修正版は8.6.19、9.1.21、10.6.2です。11系の試験版は11.0.0-alpha.6です。更新までは、対象の開発画面を動かさないでください。提供元が示す動作の変更点も確認してください。 Goose：端末の履歴に含まれる秘密の流出に注意：端末に秘密を入力しないでください。端末連携の使用と、送信する履歴の範囲を確認してください。修正状況は、Red Hatの案内で確認してください。 Royal MCP：追加の道具にも利用制限を適用する更新：1.5.11の変更点と、連携する機能を確認してください。接続へ与える権限は、必要な範囲に絞ってください。
確認した一次情報
- https://github.com/py-pdf/pypdf/releases/tag/6.21.2
- https://github.com/py-pdf/pypdf/pull/4240
- https://github.com/py-pdf/pypdf/pull/4239
- https://github.com/pydantic/pydantic-ai/security/advisories/GHSA-4whf-38hw-pxxh
- https://github.com/storybookjs/storybook/security/advisories/GHSA-f2ph-cmg5-wxc8
- https://access.redhat.com/security/cve/CVE-2026-111079
- https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2026-111079.json
- https://wordpress.org/plugins/royal-mcp/
- https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request%5Bslug%5D=royal-mcp
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
