NASTFS 日々緊急注意情報
SiYuanの公開・ログイン保護とAI中継部品の安全情報
公開・更新日: 2026-10-26
要点
SiYuan：公開部品からの秘密情報の読取りに関する新勧告：10月26日の公式勧告です。閲覧用の利用者が、公開文書から参照された追加部品の中にある秘密情報を読み取る恐れがあります。通常のファイル公開で行う検査が、別の取得経路では抜けています。 SiYuan：ログイン時の画像認証を使い回せる問題：10月26日の公式勧告です。過去の署名付き通信記録を再利用すると、解答済みの画像認証を使い回し、接続用コードの推測を続けられる恐れがあります。正しい接続用コードを自動的に得る問題ではありません。 SiYuan：公開文書の合言葉を回避する読取りへの注意：10月26日の公式勧告です。合言葉で保護した公開文書の本文が、検索用の返答へ混ざる恐れがあります。文書の場所を知る閲覧者が、合言葉を通さず内容を読み取る恐れがあります。 Shepherd Model Gateway：画像展開の上限に関する新しい脆弱性番号：10月25日UTCにCVE-2026-116095が登録されました。細工した画像を開く際に、AI向けの中継部品がメモリを使いすぎ、処理が止まる恐れがあります。提供元の修正は9月18日付です。今日公開された別の修正とは区別します。 vLLM：既報の入力制限に新しい脆弱性番号を追加：10月25日UTCに、10月9日公開の既報10件へ新しい脆弱性番号が登録されました。入力や画像・音声・動画の処理、共有推論で、停止や情報流出の恐れがある問題です。新しい10件の攻撃が今日見つかったという意味ではありません。
影響する可能性がある範囲
SiYuan：公開部品からの秘密情報の読取りに関する新勧告：3.8.8までが対象です。閲覧用のログイン、公開を許した文書による部品の参照、部品内の対象ファイルが成立条件です。 SiYuan：ログイン時の画像認証を使い回せる問題：公式の対象欄は2.1.0以降、修正版欄は3.8.9です。接続用コードで保護した公開ログインの仕組みに関係します。 SiYuan：公開文書の合言葉を回避する読取りへの注意：公式の対象欄は3.6.0以降、修正版欄は3.8.9です。公開サービスと、合言葉を設定した可視文書が関係します。一般の非公開文書すべてが読めるという意味ではありません。 Shepherd Model Gateway：画像展開の上限に関する新しい脆弱性番号：公的記録はsmgの1.7.0から1.10.1を挙げています。JPEG画像を展開する該当経路が対象です。画像を渡せる相手と、使用する処理方式を確認してください。 vLLM：既報の入力制限に新しい脆弱性番号を追加：CVE-2026-116172からCVE-2026-116181です。対象版と接続の条件は公式勧告ごとに異なります。
推奨する安全な対応
SiYuan：公開部品からの秘密情報の読取りに関する新勧告：提供元の修正版欄は3.8.9です。現時点の配布一覧では3.8.9-beta.1という試験版を確認しました。正式版の公開とは区別し、公式の配布案内と対象の修正を確認してください。公開する部品へ秘密情報を置かず、文書と部品の公開範囲を必要な相手へ絞ってください。 SiYuan：ログイン時の画像認証を使い回せる問題：提供元の修正版欄は3.8.9です。現時点の配布一覧では3.8.9-beta.1という試験版を確認しました。正式版の公開とは区別し、公式の配布案内と対象の修正を確認してください。画像認証だけに頼らず、接続できる相手の制限と十分に推測しにくい接続用コードを確認してください。 SiYuan：公開文書の合言葉を回避する読取りへの注意：提供元の修正版欄は3.8.9です。現時点の配布一覧では3.8.9-beta.1という試験版を確認しました。正式版の公開とは区別し、公式の配布案内と対象の修正を確認してください。秘密の文書を合言葉だけで外部公開せず、文書自体の公開範囲も確かめてください。 Shepherd Model Gateway：画像展開の上限に関する新しい脆弱性番号：公的記録が修正版とする1.11.0と、提供元の9月18日の修正記録を照合してください。配布日は9月24日です。画像ファイルの大きさだけでなく、展開後の処理量も制限してください。 vLLM：既報の入力制限に新しい脆弱性番号を追加：既報の対策を、新しい識別子と照合してください。個別の修正版は0.24.0、0.25.0、0.29.0、0.30.0、0.31.0に分かれます。該当する入力経路と処理量、外部への接続先を必要な範囲へ絞ってください。
確認した一次情報
- https://github.com/siyuan-note/siyuan/security/advisories/GHSA-3pm7-cc76-7j2p
- https://github.com/siyuan-note/siyuan/releases/tag/v3.8.9-beta.1
- https://github.com/siyuan-note/siyuan/security/advisories/GHSA-23g4-vqq8-5764
- https://github.com/siyuan-note/siyuan/security/advisories/GHSA-qf37-w288-frvq
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116095
- https://github.com/smg-project/smg/pull/2569
- https://github.com/smg-project/smg/releases/tag/v1.11.0
- https://github.com/vllm-project/vllm/security/advisories/GHSA-rwfw-xvg3-3937
- https://github.com/vllm-project/vllm/security/advisories/GHSA-6pgw-f3pv-4h8q
- https://github.com/vllm-project/vllm/security/advisories/GHSA-w2v2-5662-8v5q
- https://github.com/vllm-project/vllm/security/advisories/GHSA-r45p-7qwx-qwjw
- https://github.com/vllm-project/vllm/security/advisories/GHSA-vfp2-c8pq-v6h6
- https://github.com/vllm-project/vllm/security/advisories/GHSA-mm38-5g96-7j6x
- https://github.com/vllm-project/vllm/security/advisories/GHSA-34qw-q2h2-jp3m
- https://github.com/vllm-project/vllm/security/advisories/GHSA-4m6g-h9mv-wqjc
- https://github.com/vllm-project/vllm/security/advisories/GHSA-rhcx-5729-88vg
- https://github.com/vllm-project/vllm/security/advisories/GHSA-w9r6-29q4-pvpr
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116172
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116173
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116174
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116175
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116176
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116177
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116178
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116179
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116180
- https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116181
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
