調査確認：2026年11月3日朝・13時・19時枠JST。 朝はGitHub Advisory Databaseが11月2日に公表した悪性パッケージ、13時はManageEngineとGitHub Actions、19時はNode-REDの実悪用観測を追補。公表日はインストール・侵害の発生日ではなく、特定のPCやサイトが影響を受けた証拠でもない。
本日の最優先：Node-RED管理APIの実悪用観測（該当環境だけP0・19時追補）
実悪用の一次観測と公表日は別。 VulnCheckは2026年11月2日、自社canaryが10月30日にCVE-2026-58115を狙う、認証なしのNode-RED管理APIへの攻撃リクエストを観測したと公表した。単なるスキャンではなく不正なflowを登録しLinux向けプログラムを取得・起動しようとする完全な攻撃手順で、10月30日〜11月1日に同一送信元から16件を観測した。ただしcanary上の成立判定であり、実製造設備への侵害成功数や取得プログラムの機能は未確認。同社のKEV収録とCISAのKEV収録は別であり、発表時点ではCISA KEV未収録と明記される。
製品・影響条件。 Siemens公式のSSA-834709は、SIMATIC IoT2050 Advanced（6ES7647-0BA00-1YA2）、Industrial OSのV4.3.4.1未満、Node-RED導入済みを対象とする。特に認証のないNode-RED HTTP管理APIへ攻撃者がネットワーク経由で到達できると、無認証でflowを投入してサーバー権限でコマンド実行できる可能性がある。Node-REDを使っているすべての製品がこのSiemens CVEの対象と確認されたわけではない。一般のNode-RED運用でも、管理APIの外部露出とadminAuthの有無を独立に確認する。
今すぐの安全な確認・対策（該当運用者のみ）。 資産台帳や正規管理経路で製品型番・Industrial OS版・Node-RED有無・管理APIの公開範囲を確認し、攻撃用リクエストを送る検査は行わない。該当するSiemens製品はバックアップと復旧手順を確保したうえでV4.3.4.1以降へ更新。更新までNode-RED管理APIをインターネットから遮断し、認証設定を強化する。Siemensが挙げる暫定策はNode-REDのアンインストール／ハードニングで、設備の運用影響を確認して実施する。保全できるログと既存flowを調べ、予期しないexec nodeやHTTPエンドポイントを点検。侵害が疑われる設備はネットワーク分離・証拠保全・信頼できる構成からの復旧を優先し、更新だけで侵害除去済みと判断しない。更新後は版、認証、露出、正常なflow、設備動作を再検証し、戻す場合も脆弱な版・設定へロールバックしない。
一次情報・時点（11月3日19時枠JST確認）。 Siemens ProductCERT SSA-834709（最初の公式公表8月11日、修正版V4.3.4.1）／VulnCheck自社canary分析（11月2日公表、10月30日〜11月1日観測）。個別家庭端末に同じ影響があるとは判断していない。
本日の優先対応（以下の悪性パッケージは該当環境だけP1）
まず、信頼できる別環境からlockfile、SBOM、CI履歴、公開Web成果物を調べ、パッケージ名・正確な版・実際のinstall/配信を照合する。名前が似ていても正規のスコープ付きパッケージ全体の侵害を推定しない。いずれもGitHub上に修正版の掲載はない。
1. Web配信のJavaScriptからiOS向け悪用コードへ（P1）
npm scdn-jquery 0.1.6のlibs/18.2.0.jsに難読化ローダが混入。Webサイトが当該JSを配信し、訪問者のブラウザで実行されると外部スクリプトを読み、不可視iframeからiOS端末バージョンに応じた悪用コードへ誘導するとGitHub Advisoryは説明する。npm install時にこの挙動が起きたという記録はない。 個別のiPhoneに侵害が成功したかは未確認。
対応・検証： 該当JSを配信している場合に限り配信停止、検証済みの正規アセットへ置換。CDNキャッシュとHTML参照、公開HTTPで取得できるJSのハッシュ・外部読込みを安全な環境で確認。ロールバックするなら悪性版を再配信しない既知の正常な成果物を使用する。出典：GHSA-543q-wq5f-hmgh（2026-11-02公表）。
2. ウォレット情報を盗む悪性配布物（P1）
npm litecore-lib-ltcは正規のlitecore-libに似せた名前で、Litecoinウォレット鍵とアドレスの収集・資金残高の照会・外部送信を試みる。GHSAの影響欄は>0の表記に加えて1.0.0、1.9.3〜1.9.14を列挙。安全な版を安易に仮定しない。GHSA-9jxw-2pvm-5q9f。
PyPI wallet-trackingはウォレット情報窃取を狙う。GHSAの影響欄は>0、1.0.0、1.0.1、1.0.3〜1.0.6を列挙。初観測は2026年5月30日と記され、11月2日はGitHubへの公表日。GHSA-8wmf-9cp5-g5hq。
対応・復旧： 実際の導入履歴とウォレット秘密への接触可能性を別のクリーンな環境から調査。該当ホストは必要に応じて隔離・証拠保全し、安全な別端末から秘密の失効、ウォレット資産の移行を検討。悪性環境はクリーン再構築し、外部通信・残存依存・CI正常性を確認。アンインストールだけで完全復旧と判断しない。未導入なら当該導入経路には該当しない。
3. 正規名に似た無スコープnpmパッケージ（P1）
- sol-wallet-adapter 1.0.0/1.0.1/1.0.7：正規の@project-serum/sol-wallet-adapterとは別名。GHSA-j62h-2r3r-ggh9。
- wallet-adapter-base 1.0.0：正規の@solana/wallet-adapter-baseとは別名。GHSA-r89f-jjgp-3q97。
- contracts-upgradeable 1.0.0：正規の@openzeppelin/contracts-upgradeableとは別名。GHSA-v7f8-27g9-qx88。
これら悪性版はnpm installのpreinstallでホスト名・OSユーザー名・ローカル時刻を外部Webhookへ送ると報告される。この記述だけでは認証トークンやウォレット鍵の流出を認定できない。 対応はlockfileとCI install logの完全一致照合、該当環境の隔離と調査、正規スコープ付き依存への修正・キャッシュ点検・クリーン再構築・再検証。戻す場合も検証済みlockfileだけに限定する。
4. ManageEngine Password Manager Pro / PAM360 の認証済みRCE (条件付きP1・13時追補)
対象・時点。 CVE-2026-18199は、Password Manager Pro 13235以前とPAM360 8600以前で、認証済みのユーザーがサーバー上で任意コマンドを実行できるおそれがある。パスワード管理製品を導入している運用者に限定した条件付きの警告であり、認証不要の侵害や実悪用が確認されたわけではない。CVE/NVDの公表日は2026-11-02だが、ベンダーによる修正版の提供はPAM360 8601（2026-07-30）、Password Manager Pro 13236（2026-07-31）であり、11月に新たに発生した不具合とは扱わない。
安全な対処・復旧。 製品を運用する場合のみ、正規の管理画面または資産台帳からビルド番号と利用者の権限・到達範囲を確認。バックアップと復元手順を確認した後、ベンダーの正規更新手順で各修正版以降に更新し、ビルド・認証・サービス稼働・アクセスログを再確認する。検証目的の攻撃実行は行わない。製品が未導入なら、この特定CVEへの対応は不要。
一次出典（2026-11-03 13時JST確認）： Password Manager Pro修正記録、PAM360修正記録、GHSA-rq78-9fpp-qr4m。
5. GitHub Actions pull_request_target公開リポジトリの既定ブロック (P2・13時追補)
GitHubは2026-11-02、該当する明示許可ポリシーがない公開リポジトリでpull_request_targetイベントを2026-12-02から既定でブロックすると発表。事前の一時ブロック検証は11月9日・16日、各16:00–18:00 UTC。private/internalリポジトリとGitHub Enterprise Serverは対象外。元リポジトリのsecretsにアクセスできるworkflowが未信頼forkのコードを実行する問題の軽減策である。
確認・対応。 公開repoのworkflow YAMLで実際のpull_request_target利用を確認し、GitHub Actions Insightsのevaluate警告を確認する。影響があればpull_request等の低権限イベントへの移行を検討。workflowごとの明示許可は未信頼コード・secretsの到達性を監査してから必要最小限で行い、無条件に安全設定を緩めない。変更前の設定を記録し、限定した動作確認を行う。今回のWebsite mainのGitHubコード検索では該当イベントにヒットせず、このWebsiteへの影響は立証されていない。
一次出典（2026-11-03 13時JST確認）： GitHub公式Changelog 2026-11-02。
確認範囲と公開履歴
朝の悪性パッケージ6件のGitHub Advisoryを2026-11-03朝JSTに確認。13時枠にManageEngineの公式修正記録とGitHub Actions公式告知、19時枠にSiemens公式告知とVulnCheck自社観測を追補確認。全vendorやCISA KEVの網羅調査、実悪用件数、各個人端末への該当は未確認。11月2日号は別途未公開の原稿であり、本号がその公開を代替したものではない。 初回公開の実日・時刻はLIVE検証後に確定し、後日訂正はこの同じURLの更新履歴として扱う。