修正版は3本、下限は18通り — GitLab の18件を版数で機械判定する
GitLab が 2026-09-10 のクリティカルパッチリリースで18件のCVEを一度に塞いだ。修正版は 19.3.2 / 19.2.6 / 19.1.8 の3本しかないのに、該当範囲の下限はCVEごとに 10.1.0 から 19.3 まで18通りに散っている。だから「18.7以降が危ない」という一行の要約はどのCVEにも当てはまらない。稼働中の版から該当CVEを機械で数える Node.js
Hashito.Blog
系列内の最新に上げても片方が残る — JFrog Artifactory の KEV 2件を版数で機械判定する
CISA が 2026-09-11 に JFrog Artifactory の CVE-2026-42016 と CVE-2026-42018 を同じ日に KEV へ収載した。この2件は該当範囲の形が違う。42016 は「7.133.11 未満がすべて」という一区間、42018 は 7.111 / 7.117 / 7.125 / 7.133 / 7.146 の系列ごとに区間が分かれる。そのため「自
CVSS 9.8 なのに「たいてい刺さらない」— Joomla CVE-2026-73373 の成立条件を機械で判定する
Joomla の危険な拡張子リストに SHTML が入っていなかった（CVE-2026-73373・NVD 評価 CVSS 9.8）。ところが公式アドバイザリは「これらのファイルを実行するサーバでは」と条件を付けている。つまり 9.8 は最悪値であって、自分の環境の深刻度は Web サーバが SSI を有効にしているかで変わる。この「条件付きの 9.8」を、Apache/nginx の設定と Jo
認証の前に通るコマンド — Omada ゲートウェイ CVE-2026-19586 と、19機種の「この版より前」を機械で突き合わせる
TP-Link Omada ゲートウェイに、OpenVPN サーバとして動かしているときだけ成立する認証前 OS コマンドインジェクション（CVE-2026-19586・NVD 評価 CVSS 9.8）がある。対象は19機種で、修正版の下限は機種ごとにバラバラ、しかも同じ型番でハードウェア版ごとに2系統に分かれるものがある。この「表を目で追うと必ず間違える」部分を、NVD の CPE 情報から起こ
同じ日に KEV へ入った境界装置3件 — CVSS の 1 文字で 8.1 と 9.8 が分かれる
2026年9月9日、CISA の KEV カタログに境界装置の脆弱性が3件同時に入り、いずれも是正期限は9月12日である。うち2件は CWE-288（代替パスによる認証バイパス）で、MFA を入れていても効かない型である。そしてスコアは 10.0 / 9.3 / 9.8 とバラバラで、しかも1件はベンダーと NVD で 8.1 と 9.8 に割れている。この差がどこから来るのかを CVSS 3.1
Adobe Commerce CVE-2026-75650 CVSS 10.0 の「S:C」が何を意味するか
CVSS 3.1 の基本値が 10.0 になるのは珍しい。PR:N と S:C が同時に立ったときだけである。2026年9月8日に KEV へ収載された Adobe Commerce / Magento の 1件を題材に、Scope が計算式のどこを2か所変えるのかを Python で実際に走らせて確かめ、EC 特有の侵害確認の手順まで書く。
Switchvox CVE-2026-9586 認証の外側に置かれた1本のエンドポイント
IP電話機は認証を持たない。だからプロビジョニング用の口は認証の外側に置かれる。そこに値をそのまま連結するSQLがあった。7月に修正版が出て、9月にKEV入りしたSangoma Switchvoxの1件と、手元で確かめられる連結とパラメータ化の差、そしてアクセスログの絞り込みスクリプト。
PaperCut CVE-2026-81578 と 82078 ドライバ名から始まる連鎖
片方は「設定を書き換えられるだけ」、もう片方は「設定を書き換えられれば任意コード実行」。単体ではどちらも決定打に見えないのに、並べると未認証のコード実行になる。PaperCut NG/MF の2件が同じ緊急パッチで塞がれた理由と、ベンダが公開した IoC を手元で探すスクリプト。