LLM/AI Agent 最新情報レポート 2026-11-01

対象期間は10月31日〜11月1日(JST)。この期間に確認できた新規の公式情報は限られていたため、過去レポートで未掲載だった公開済みの脆弱性情報を補完している。

1. Google Cloud / Azure アップデート

新情報なし。

新情報なし。

新情報なし。(Anthropicのニュースページで確認できた直近の項目は10月28日までで、いずれも過去レポートで掲載済み[1]。OpenAI・Google公式サイトには本セッションから接続できず、確認できていない。)

新情報なし。

新情報なし。

新情報なし。(対象期間に日付とCVSSを確認できる新規のAI関連脆弱性は見つからなかった。NVD・GitHub Security Advisoriesへ直接接続できず、網羅性は限定的。)

Node.js公式は10月21日、26.x・24.x・22.xの3系統でセキュリティリリースを公表した。最高重要度はHighで、修正版は v26.12.1 / v24.22.1 / v22.23.4。EOL版(20系以前)は影響を受けるが修正されない[2]。

CVE	対象 / 影響バージョン	修正バージョン	CVSS	種類と影響	悪用状況	推奨対応
CVE-2026-111497	Node.js 26.x / 24.x / 22.x	26.12.1 / 24.22.1 / 22.23.4	不明(重要度High)	同梱Brotliデコーダの境界外書き込み。細工した入力でクラッシュ、メモリ漏えい、RCEの可能性	不明(KEV・PoCは未確認)	修正版へ更新。信頼できないBrotli入力を扱うサービスを優先
CVE-2026-105482	26.x / 24.x / 22.x	同上	不明(High)	`dns.resolve*()`/`dns.reverse()`がNULバイトでホスト名を切り詰める(CVE-2026-48930の修正不備)	不明	修正版へ更新
CVE-2026-105483	26.x / 24.x	同上	不明(High)	全角数字のIPをホスト名と誤認し、`tls.checkServerIdentity()`が証明書を誤受理(CVE-2026-48618修正後のリグレッション)	不明	修正版へ更新
CVE-2026-106069	26.x / 24.x / 22.x	同上	不明(High)	先頭ゼロのIPv4をTLS検証では8進、OS解決では10進と解釈し、別IPに対する証明書検証となる	不明	修正版へ更新
CVE-2026-105481 / 106072 / 106074	26.x / 24.x / 22.x	同上	不明(Medium)	keep-aliveソケットの応答受理不備、非標準IPv4表記によるSAN認証、スナップショット/SEAでの乱数キャッシュ固定化	不明	修正版へ更新
CVE-2026-106070 / 106071 / 106073	26.x(106073は26.x/24.x/22.x)	同上	不明(Low)	ZipFile検証の不整合、Permission Modelのワイルドカード過剰許可、`fs.realpathSync()`の権限チェック欠落	不明	修正版へ更新

新情報なし。