K.A.N.A.D.E. / AI DEVELOPER WATCH
DAILY / 初回公開 2026-10-31 / 更新 2026-10-31 19:04 JST

AI開発・セキュリティ日報｜2026年10月31日号

Cursor経由Claude Code拡張の悪性2版、Ivanti Connect Secure悪用連鎖、GitHub Dependabotアラート表示障害の影響と対策。

調査・編集：K.A.N.A.D.E.　／　初回確認：06:59 JST・追補確認：19:04 JST

確認時点：2026年10月31日06:59 JST。初回公開：2026年10月31日。 昨日以前に発生した事件と本日判明した追補を分けて掲載する。

本日の優先対応

P0・該当者のみ： Cursor拡張機能マーケットプレイスから特定期間にClaude Code拡張の悪意ある版を導入したWindows/macOS端末は、単なるアンインストールではなく残存するSSH設定・自動起動設定の点検と侵害対応が必要。Cursor公式は10月30日（米国太平洋時間）の更新で対象版を2.1.312と2.1.313の両方と明示した。

P0・該当者のみ： Ivanti Connect Secureの公開VPN装置では、悪用確認済みの脆弱性を組み合わせる攻撃を想定し、修正版適用と侵害痕跡確認を優先する。CISAは10月30日に関連するCVE-2026-118527 / CVE-2026-111357をKEVに追加した。

P1・該当者のみ： Kubeflow Pipelines API server 2.17.3以前で到達可能な旧APIには、実行ログへの権限外アクセス（CVE-2026-118759）と圧縮アーカイブによる停止（CVE-2026-118761）の条件付きリスクがある。公式修正版は2.18.0。10月29日公表の問題を19時枠で追補。

P2・解消確認： GitHub Dependabotアラート閲覧エラーは10月31日08:29 JSTに公式解消。障害中に表示できなかったアラートを再確認し、一覧が空でも依存関係の安全を無条件に断定しない。

1. Claude Code拡張の悪意ある配布版：Cursor Marketplace経由だけを対象に確認（P0）

何が起きたか。 CursorのVS Code Extension Marketplaceで公開された Anthropic.claude-code 2.1.312 / 2.1.313に、Anthropicが開発していない悪意ある処理が混入した。端末情報を送信し、攻撃者のSSH公開鍵を許可リストへ追加し、SSH接続を繰り返す永続化を試みる。Cursorは配布停止、マーケットプレイスの再構築、攻撃サーバーの停止を報告している。Cursor公式の調査によると、管理者権限で起動していない通常のWindows/macOS端末ではSSHサービス有効化が失敗するが、不正鍵・永続化設定・送信済み端末情報の影響は残り得る。

該当条件。 2026年10月29日02:27〜13:35 PT（太平洋夏時間）にCursor Marketplaceで悪意ある版が配布されていた期間、日本時間10月29日18:27〜10月30日05:35に、Cursor拡張機能マーケットプレイスから該当2バージョンをインストール・更新したmacOSまたはWindows端末。Anthropic公式配布、他のマーケットプレイスや別バージョンまで一律に侵害されたとする根拠はない。Cursorアプリ自体を使うだけで該当するわけでもない。

被害の可能性と直ちにする対処。 拡張のインストール元・版・更新履歴を確認し、該当または疑いがあれば端末を影響調査へ回す。Cursorが公式に示す検査・修復スクリプトを原典から取得して内容と実行権限を点検し、SSHの authorized_keys に不審な svc-telemetry の痕跡、macOS LaunchAgent / Windowsスケジュールタスク・SSHサービス・通信履歴を調べる。痕跡がある端末は隔離し、不要な鍵・永続化・プロセスを取り除き、クリーンな端末から接触可能だった秘密情報の失効・再発行と再構築の要否を判断する。拡張の削除だけでは十分とは限らない。

対処確認・復旧。 不審なSSH鍵や自動起動設定が消え、再起動後に復活せず、正常なClaude Code操作ができることを確認。復旧する場合は公式に検証された正常版を新規導入し、悪意ある版の再インストールを避ける。インストール履歴が曖昧なら「影響なし」と断定せず保留する。Cursorは攻撃サーバー停止を報告したが、端末側の侵害調査の代わりにはならない。

日時・根拠。 初報10月29日PT、公式更新10月30日11:30 PT（10月31日03:30 JST）、今回確認2026-10-31 06:59 JST。一次情報：Cursor公式Security Notice。端末ごとの実行有無や、漏えい・侵害の有無は別途調査を要する。

2. Ivanti Connect Secure：悪用確認された脆弱性連鎖を点検（P0／対象機器のみ）

何が起きたか。 米CISAは既知の悪用が確認された脆弱性（KEV）に CVE-2026-118527 と CVE-2026-111357 を10月30日追加した。前者は認証済みの攻撃者による予測可能な場所への不正ファイル書込み、後者はローカル認証済み攻撃者の権限昇格の問題。すでにKEV収載されていた CVE-2026-104935 と組み合わせられる。個々の問題を「単独で誰でも遠隔root実行できる」とは表現しない。

CVEごとの攻撃条件。 CISA管理のKEV版 2026.10.30 は3件とも Ivanti / Connect Secure と明記し、連鎖の可能性も記載する。各CVEが単独で未認証遠隔root実行を許すとは限らない。

KEVの期限11月13日／11月2日は米連邦機関向けで、国内個人の法定期限ではない。機種別の影響・修正buildはIvantiの製品サポート表で別途確認する。未取得の修正番号は推測しない。一次情報：CISA管理のKEV JSON（版 2026.10.30）。CISAカタログは今回の取得元からHTTP403で直接照合できず、常時の同一性は未検証。

該当条件・非該当。 Ivanti Connect Secureを運用するVPNゲートウェイの影響版・攻撃経路が対象。認証の有無や接続経路はCVEごとに異なる。Tailscaleだけを使う端末、一般のWindows/macOS端末、GitHub利用者全員に当てはまる話ではない。設置機器の正確なファームウェア版・到達経路を調べて判定する。

今すべき対処。 Ivanti公式アドバイザリとサポート先で機種・現行buildに対応する最新の修正版を確認し、バックアップ・冗長系・接続維持を考慮して迅速に適用する。報告されている連鎖全体が修正対象かを確認し、最初の CVE-2026-104935 のみを修正して終了と判断しない。外部公開を減らす暫定制限は補助策。侵害済み装置はアップデートだけで安全が回復するとは限らないため、公開期間のログ、外部への通信、認証情報利用状況を点検する。

確認・rollback。 実行版と公式影響表・修正表を照合し、VPN接続・管理機能の正常動作を確認する。障害時に脆弱なゲートウェイを無条件で公開復旧させず、予備機などで接続を維持しながら復旧方法を選ぶ。Ivanti公式ページが認証・アクセス制限のため確認できない場合、修正版番号は推測で確定しない。侵害調査には装置外のログや提供元の指針も利用する。

日時・根拠。 CISA KEV版 2026.10.30 公開10月30日17:02 UTC（10月31日02:02 JST）、今回確認2026-10-31 06:59 JST。一次情報：CISA KEVの公式公開JSON、Ivanti公式アドバイザリ（アクセス制限がある場合あり）。未知点：対象機種別パッチ移行経路、個別環境の侵害有無、攻撃開始時点。

3. GitHub Dependabotアラート閲覧障害：10月31日08:29 JSTに解消（P2）

何が起きたか。 GitHub公式ステータスでは10月30日20:59 UTC（10月31日05:59 JST）に、一部のDependabotアラートを閲覧するとエラーになる問題の調査開始を記録した。10月30日21:44 UTC（10月31日06:44 JST）は調査中だったが、10月30日23:29:06 UTC＝10月31日08:29:06 JSTに解消した。別のActions/Pages/Webhooks障害は10月30日19:23:40 UTC（10月31日04:23:40 JST）に解消。両方ともGitHub公式 incidents.jsonのincident ID（Dependabot lyyfm7j4pkgl／Actions等 pwxsjgnvrk6b）で確認した。これらを侵害や依存関係の悪性化と混同しない。

影響条件。 GitHubのDependabot alerts閲覧画面でエラーを受けた利用者。GitHub Actions/PagesのすべてのCIやサイトが障害中という意味ではない。運用上は脆弱性アラートの表示遅延に注意する。

今すべき対処と確認。 障害中に脆弱性表示に失敗したリポジトリでは、復旧後にDependabot alerts画面を再取得してエラー解消を確認する。再発時は画面のエラー時刻・リポジトリを控え、公式statusのincident更新を確認してから再試行。特に期限付き修正は、既存のlockfile・依存関係・ベンダーアドバイザリ等で別途照合し、アラートが空だから安全とは判断しない。変更を急ぐ必要がなければ解消後に閲覧をやり直す。回復時には元の画面でアラート一覧が取得できるかを検証する。

日時・根拠。 初報2026年10月30日20:59 UTC、公式解消10月30日23:29:06 UTC（10月31日08:29:06 JST）、追補確認10月31日13時枠。一次情報：GitHub Status公式Incidents JSON、Dependabot公式incident。再発時は新incidentを区別する。

4. Kubeflow Pipelines API server：ログ認可不足・圧縮アーカイブ展開（P1・該当構成のみ）

何が起きたか。 Kubeflow公式は10月29日に2件のSecurity Advisoryを公表した。

対象と修正。 影響するのはghcr.io/kubeflow/kfp-api-serverの2.17.3以前。最初の影響版は未確定。2.18.0へ更新する。自前のRBACを使う場合、アップグレード後にpipelines.kubeflow.orgのrunsに対するreadLog権限を適切に付与する必要がある。Kubeflowを使わない環境や対象endpointへ到達不能な構成は説明された攻撃経路には該当しない。公式2.18.0リリース。

直ちに取る対処。 稼働API serverのイメージバージョン、Ingress/認証・到達制限、ログ取得とアップロードendpointの公開範囲を確認。更新まで影響endpointへの到達元を制限し、認証ゲートとリソース制限を利用する。圧縮アップロードのバイト制限だけでは展開後の増幅を防げない。 Managed Kubeflowでは運営元の修正適用状況を照会する。

確認・rollback。 更新後の実稼働版が2.18.0であることを確認し、権限のない利用者が別runのログを読めないこと、権限がある利用者のpipeline upload・ログ取得が正常なことを、ダミーデータで検証する。障害時も脆弱な旧版へ戻してendpointを再公開しない。公式は実環境の侵害や野外での悪用を確認したとは記していない。未解明点は各クラスタの認証・到達性、最初の影響版。

公表・確認日時。 公式Security Advisory2026年10月29日公開、GitHub Advisory Database10月30日更新。2026年10月31日19時枠JSTに一次情報再確認。実行ログの公式詳細 ／ 圧縮アーカイブの公式詳細。

この日報の確認範囲と更新履歴

2026年10月31日朝JST、Cursor、CISA KEV、Ivanti公式アドバイザリ案内、GitHub Statusの一次資料を優先した。Vendor側のパッチ詳細が取得できない箇所は未確認とした。見出しのP0は該当条件に合う場合のみ即時対応の意味であり、利用者の端末・VPNが侵害されたという断定ではない。