対象日：2026-11-05 ／ 調査確認：2026-11-07 12:12 JST。 掲載の脆弱性・悪性パッケージは、名称・版・実行条件に該当する場合の警告です。今回の号は遅延復旧であり初回公開日が対象日とは異なります。
優先：PyPI dbt-adapter の悪性版（該当環境のみP1）
GitHub Advisory Databaseが11月5日に公開したGHSA-jcpx-v43r-522mは、PyPIのdbt-adapter 0.0.0 / 0.1.0a2をMalwareとしています。記載された挙動はインストール時またはimport時にIPアドレス・ユーザー名など基本的なホスト情報を外部送信することです。分類元は限定的な情報送信と説明しており、全利用者の秘密鍵流出や遠隔操作が実証されたという意味ではありません。
該当条件： 上記の名前と版を実際に導入・importしたホストやCIです。正規のdbtや別名のadapterを使っているだけでは該当しません。まず隔離された信頼できる管理環境でrequirements、lockfile、SBOMとインストール履歴を照合し、未知のコードを確認のために実行しないでください。
対処： 該当時は実行環境を隔離し、外部送信可能だった範囲を調べ、必要に応じて関連する認証情報を別環境から失効・再発行。悪性版は再利用せず、信頼できる依存関係からクリーンに再構築してCIと外部通信を確認します。修正版はAdvisoryに記載されていません。過去の正常スナップショットへ戻す際も依存名・版を確認します。
GitHub Secret scanningの検出追加と誤検知削減（P2）
GitHubは11月5日、SpaceXをsecret scanning partnerに追加し、starlink_public_api_v2_secretの検出を導入したと公表しました。公開リポジトリで見つかったパートナー秘密は発行元へ通知され得ます。AWS、Google、OpenVSX、Pydantic Services等の検出器は誤検知を減らすため条件が更新されました。
実務への影響： secret scanningの警告が変化しても、検出数の増減だけで漏えい発生数の増減とは断定できません。該当するsecretが存在する場合は公開範囲と有効性を調べ、発行元の案内に従って失効・ローテーションと履歴の除去を行ってください。未該当なら特別な操作は不要です。
CodeQL 2.27.4：解析・query metadataの変更（P2）
11月4日のCodeQL 2.27.4公開案内では、Java/Kotlin・Rust・C/C++の誤検知改善と、複数言語のregex系queryからCWE-730 metadataを外す変更が説明されています。pack bundle/publish時はsymlink解決後にpack root外を参照するファイルを除外し警告します。
確認： カスタムCodeQL queryやCIでCWEタグ・警告件数を集計している場合に限り、2.27.4適用後の出力差とpack構成を検証します。GitHub.comのcode scanningには新版が自動配布され、GHES 3.24への収録予定です。これをGitHub Actions全体の障害とは扱いません。
確認範囲と限界
掲載した一次資料を確認しました。すべてのベンダー、CISA KEV全件、実被害件数、個別の導入環境を網羅調査したものではありません。重大事象の不存在や、特定端末の感染を断定しません。
この日報の更新履歴
対象日：2026-11-05。初回実公開：2026-11-07（欠号の事後復旧）。一次資料の公表日と公開日を区別しています。