NASTFS 日々緊急注意情報
Node.jsとAI連携部品の安全更新・続報
公開・更新日: 2026-10-21
要点
Node.js：10月21日の正式な安全更新。Node.jsが10月21日の安全更新を公開しました。通信先の確認をすり抜ける問題などを修正します。圧縮データの処理では、命令を動かされるおそれがあります。 Chrome 156：安全修正とMicrosoft Edgeの続報。GoogleはChrome 156で353件の安全修正を案内しました。画像処理や画面表示などで、記憶領域が壊れる問題を含みます。悪意のあるページを開く場合の影響に注意が必要です。 Microsoft Edge：Chromiumの新しい修正に関する案内。Microsoftは10月20日、Chromiumの安全修正を確認しました。Edge向けの安全修正を、準備中と説明しています。Chromeの更新と、Edgeの配布時期は同じではありません。 vLLM：既報7件へのCVE番号追加。vLLMの既報7件へ、CVE番号が追加されました。番号はCVE-2026-114049から114055です。入力処理や共有領域の混線、処理停止などに関する続報です。新しい7件の脆弱性として、重ねて数えないでください。 Clawscan：証明書の確認を守る配布版の修正。Clawscan 0.2.1が、証明書の確認に関する修正を収録しました。対象はGoの既報GO-2026-6809です。安全確認を行う道具も、内部で使う部品の更新が必要です。 Pydantic AI：外部HTMLの処理による遅延を修正。外部ページの変換処理が、同じ処理内の別の作業を遅らせる問題です。多数の要素を含む、悪意のあるHTMLが条件になります。提供元は10月21日に、高重要度の勧告を公開しました。 markdown-it：文章表示の処理遅延とCVE登録。文章の参照リンクを処理する時に、時間が大きく増える問題です。外部から受け取った文章で、表示や同じ処理内の作業が遅れます。CVE-2026-111758の一覧登録を確認しました。 Vibe-Trading：文書内の偽指示とファイル読取りの続報。外部文書に混ざった偽の指示から、命令を動かすおそれがあります。許可した資料の外にあるファイルを、読まれる問題もあります。CVE-2026-114106と114107の登録を確認しました。 Trigger.dev：MCP接続の相手を確かめる修正の続報。MCP接続の相手を確かめず、作業や記録の操作を許す問題です。接続できる第三者が、利用者の操作用の鍵を使えるおそれがあります。CVE-2026-114090の登録を確認しました。 djust：MCPによる資料の外側の読取りを防ぐ修正。MCPの資料検索で、指定した範囲の外のファイルを読む問題です。同じ機器上のMCP接続を持つ利用者が条件になります。CVE-2026-113731と、提供元の10月20日の更新を確認しました。
影響する可能性がある範囲
Node.js：10月21日の正式な安全更新：修正収録版は26.12.1、24.22.1、22.23.4です。提供元が示す重要度の最大は高です。対象となる機能と版は、問題ごとに異なります。 Chrome 156：安全修正とMicrosoft Edgeの続報：Linux向けは156.0.8078.47です。WindowsとMac向けは156.0.8078.47または.48です。Android向けは156.0.8078.47です。Microsoftは10月20日、Edgeの修正配布を準備中と案内しました。 Microsoft Edge：Chromiumの新しい修正に関する案内：この案内は、Edgeの修正版公開を示すものではありません。端末ごとの対象版は、Microsoftの後続案内で確かめます。 vLLM：既報7件へのCVE番号追加：番号追加分の修正収録版は0.31.0です。元の提供元勧告は10月6日で、登録日は10月21日です。後日の0.32.0向けの勧告とは別に照合します。 Clawscan：証明書の確認を守る配布版の修正：提供元は、配布する実行ファイルをGo 1.27.3で作成しました。0.2.1の正式な配布案内で、対象の修正を説明しています。 Pydantic AI：外部HTMLの処理による遅延を修正：修正版は2.59.0と1.107.9です。対象は2.0.0以上2.59.0未満です。1系統は1.77.0以上1.107.9未満です。pydantic-aiとpydantic-ai-slimが対象です。 markdown-it：文章表示の処理遅延とCVE登録：修正版は14.3.3と15.0.3です。対象は14.1.0以上14.3.3未満です。15系統は15.0.0以上15.0.3未満です。元の勧告は10月16日で、今回の一覧登録とは区別します。 Vibe-Trading：文書内の偽指示とファイル読取りの続報：対象はvibe-trading-ai 0.1.0以上0.1.7未満です。修正版は0.1.7です。元の提供元勧告は7月29日で、今回の登録とは区別します。 Trigger.dev：MCP接続の相手を確かめる修正の続報：対象はcli-v3の3.0.0以上4.5.4未満です。修正版は4.5.4です。MCPを使う開発用の接続機能を動かす場合が条件です。元の勧告は7月21日で、今回の登録とは区別します。 djust：MCPによる資料の外側の読取りを防ぐ修正：修正版は1.0.10、1.1.7、1.2.4です。1.3系統の試験版では1.3.0rc8が修正収録版です。元の勧告は10月15日で、今回の更新とは区別します。
推奨する安全な対応
Node.js：10月21日の正式な安全更新：管理者は、利用する系列の正式な修正版を確認してください。通信先の証明書確認や、外部入力の保護を無効にしないでください。更新後は、通信や圧縮処理などの動作を確かめます。 Chrome 156：安全修正とMicrosoft Edgeの続報：利用者は、製品と端末に合う正式な安全更新を確認してください。Chromeの修正版を、Edgeの修正済みの根拠にしないでください。案内された件数は、Googleの公開記事に基づきます。 Microsoft Edge：Chromiumの新しい修正に関する案内：管理者は、Microsoftの正式な修正配布を確認してください。別製品の版を、Edgeの対応済みの証拠にしないでください。安全確認のための機能を外さずに運用します。 vLLM：既報7件へのCVE番号追加：管理者は、各勧告に対応する修正版を確認してください。以前の勧告と新しい番号を、同じ問題として対応付けます。番号追加を、新しい修正版の公開と混同しないでください。 Clawscan：証明書の確認を守る配布版の修正：管理者は、0.2.1以降の正式な配布物を確認してください。署名と、提供元が示す内容の指紋を照合します。道具の名前が同じだけで、安全修正済みと判断しないでください。 Pydantic AI：外部HTMLの処理による遅延を修正：管理者は、利用する系列の修正版を確認してください。外部のHTMLを読む道具を使う場合は、特に確認が必要です。更新だけで、外部ページの内容を信頼してよいわけではありません。 markdown-it：文章表示の処理遅延とCVE登録：管理者は、利用する系列の修正収録版を確認してください。AIの返答や外部文書の表示に使う部品も照合します。文章が小さく見えるだけで、安全と判断しないでください。 Vibe-Trading：文書内の偽指示とファイル読取りの続報：管理者は、0.1.7以降の修正収録を確認してください。資料内の文章を、命令実行の許可として扱わないでください。AIが読めるファイルと、行える操作を必要な範囲に絞ります。 Trigger.dev：MCP接続の相手を確かめる修正の続報：管理者は、4.5.4以降の修正収録を確認してください。MCPへ接続できる相手と、許可する操作を限定します。外部へ見える接続先を、無条件に信頼しないでください。 djust：MCPによる資料の外側の読取りを防ぐ修正：管理者は、利用する系列の正式な修正版を確認してください。資料の読取り先を、許可した保存範囲だけに限定します。試験版の案内を、正式版の更新と混同しないでください。
確認した一次情報
- https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
- https://github.com/nodejs/node/releases/tag/v26.12.1
- https://github.com/nodejs/node/releases/tag/v24.22.1
- https://github.com/nodejs/node/releases/tag/v22.23.4
- https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_02018666648.html
- https://chromereleases.googleblog.com/2026/10/chrome-for-android-update_095004068.html
- https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security
- https://github.com/vllm-project/vllm/security/advisories/GHSA-6cxc-2vcg-w5qc
- https://github.com/vllm-project/vllm/security/advisories/GHSA-p92p-rxj5-7p2x
- https://github.com/vllm-project/vllm/security/advisories/GHSA-4xqp-c3mv-qff7
- https://github.com/vllm-project/vllm/security/advisories/GHSA-823j-m4cj-hmjf
- https://github.com/vllm-project/vllm/security/advisories/GHSA-h3rc-6mm3-gc2m
- https://github.com/vllm-project/vllm/security/advisories/GHSA-rh6f-3×46-j33q
- https://github.com/vllm-project/vllm/security/advisories/GHSA-gx7p-2j49-hfq4
- https://github.com/openclaw/clawscan/releases/tag/v0.2.1
- https://github.com/pydantic/pydantic-ai/security/advisories/GHSA-4whf-38hw-pxxh
- https://github.com/pydantic/pydantic-ai/releases/tag/v2.59.0
- https://github.com/pydantic/pydantic-ai/releases/tag/v1.107.9
- https://github.com/markdown-it/markdown-it/security/advisories/GHSA-gfr2-rv44-r23c
- https://github.com/advisories/GHSA-gfr2-rv44-r23c
- https://github.com/HKUDS/Vibe-Trading/security/advisories/GHSA-jqmf-mx4f-hfr6
- https://github.com/HKUDS/Vibe-Trading/security/advisories/GHSA-5rmq-chc7-m22f
- https://github.com/advisories/GHSA-66r3-5f65-g64j
- https://github.com/advisories/GHSA-c5xj-9gp4-c84p
- https://github.com/triggerdotdev/trigger.dev/security/advisories/GHSA-pqmg-rq46-vm4m
- https://github.com/advisories/GHSA-8v2q-27xw-2fjh
- https://github.com/djust-org/djust/security/advisories/GHSA-r57g-mc79-8hj2
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
