10月22日までの脆弱性まとめ：手元の道具で上げる版（VS Code・Node.js・Pillow ほか）

2026年10月は、開発で使う道具の脆弱性が、あちこちで直されました。脆弱性とは、悪用されると困ることが起きうる、ソフトウェアの弱点のことです。この記事は、その全部ではなく、初心者の手元に入っていて、自分で上げられるものだけを選んで、「使っているか → 版の見方 → この版以上」の順にまとめました。2026年10月22日に、各製品の告知で確かめました。

この記事でわかること

手元の道具（VS Code・Node.js・Pillow・axios・PyJWT・Vite・Docker・Go）を、使っているか見分けて、版を見て、上げる先を知る方法
Authlib・Storybook・nginx・curl は、使っている人だけ見ればよいこと
悪用は確認されているか（2026年10月22日時点。開発元や政府機関が自分で出した告知に文があるのは3つだけ）
扱わなかったものと、その理由

手元の道具で、上げるものは？
使っている人だけ、上げるものは？
悪用はされている？（2026年10月22日時点）
扱っていないものは？
よくある質問
まとめ
参考資料

手元の道具で、上げるものは？

読み方は、家電のリコール（回収・無料交換）の一覧を見るときに似ています。まず自分の家にある物の型番を探し、製造番号を見て、「この番号より後なら対象外」と見比べます。対象外の番号は型番ごとに違います。ここでは、型番が系統（Node.js の 24 など）、製造番号が版です。

道具	見方（版の番号が出れば、使っている）	この版以上	案内
VS Code	`code --version`（macOS は先にコマンドパレットで入れる）	1.141.1	──
Node.js	`node --version`	22.23.4・24.22.1・26.12.1	認証局の鍵の漏えい
Pillow	`pip show pillow`（uv なら `uv pip show pillow`）	13.0.0（Python 3.10 以前なら先に Python を上げる）	Python 3.15 の記事
axios	`npm ls axios`	1.20.0（0.x は 0.34.0）	fetch と axios
PyJWT	`pip show pyjwt`（uv なら `uv pip show pyjwt`）	2.14.0	JWT の記事
Vite	`npm ls vite`	8.3.3・8.2.4・8.1.6・7.3.7・6.4.5	Vite と React
Docker	`docker version`（`--version` ではない）	Desktop 4.96.2・Engine 29.9.2	認証局の鍵の漏えい
Go	`go version`	1.27.3・1.26.10	認証局の鍵の漏えい
Authlib（使っている人だけ）	`pip show authlib`（uv なら `uv pip show authlib`）	1.9.1	脆弱性の知らせの読み方
Storybook（使っている人だけ）	`npm ls storybook`	8.6.19・9.1.21・10.6.2	──
nginx（使っている人だけ）	`nginx -v`	1.30.6・1.31.7（Docker のイメージは取り直す）	YAML の記事
curl（使っている人だけ）	`curl --version`	8.23.0（OS の curl は OS の更新で上がる）	──
Java（記事あり）	──	──	Java の脆弱性
PHP（記事あり）	──	──	PHP の脆弱性
WordPress（記事あり）	──	──	WordPress の脆弱性
React・Next.js（記事あり）	──	──	React・Next.js の脆弱性
認証局の鍵の漏えい（記事あり）	──	──	認証局の鍵の漏えい

「この版以上」は、同じ系統の中で比べます（Node.js 24 を使っているなら、24.22.1 以上かを見ます）。版の番号が出れば、入っています。npm ls で (empty) と出たら、入っていません。pip show で WARNING: Package(s) not found と出たときは、uv で作った環境なら uv pip show 〈名前〉 でも見ます（uv で作った環境には pip が無く、pip show が外の pip を見て not found と出ることがあります）。コマンドが無いと出ても、入っていないとは限りません（macOS の VS Code は、先に code を入れる手順が要ります）。npm ls と pip show は、流した場所の中しか見ないので、そのプロジェクト（仮想環境）の中で流します。

残したのは、「初心者の手元に入っていて、自分で上げられるもの」だけです。会社のサーバーに立てる製品や、OS が配るもの、自分で上げない部品は、「扱っていないものは？」の節に理由を1行ずつ書いて切りました。表の下の5行は、別の記事に書いたので、この記事には中身を入れていません。

言葉を先に説明します。

CVE: 脆弱性に付ける世界共通の番号です
RCE: 外から機械を好きに動かされる恐れのある種類の弱点です（専門の言葉では「リモートコード実行」）
KEV: CISA（アメリカの政府機関）が持つ、悪用が確認された脆弱性の一覧です。読み方は脆弱性の知らせの読み方にまとめています

VS Code：1.141.1 以上

使っているか: エディタとして VS Code を使っているなら、入っています。code --version の出力は3行で、1行目が版、2行目がコミット（作った時点の識別子）、3行目が CPU の種類です。macOS では、先にコマンドパレット（⇧⌘P）から「Shell Command: Install 'code' command in PATH」を実行して、code を使えるようにします。上げ方は、VS Code の中の「Check for Updates」（更新の確認）です。

何があったか: VS Code 1.141 は10月7日に出ました。10月13日の 1.141.1 が、公式の更新情報で「セキュリティの問題を直す更新」とされています。そのあと 1.141.2（10月14日）・1.142.0（10月14日）・1.143.0 が出ています（1.143.0 は、VS Code の更新の仕組みが10月22日に配っていた版）。1.143 の更新情報にはセキュリティの文はありません。microsoft/vscode の GitHub の告知は、10月13日に11件出ました。そのうち1件（CVE-2026-78461）は9月の 1.136.2 で直っていて、MSRC の10月の一覧には無いので、MSRC の欄は10件です。1.141.1 以上なら、11件とも直っています。

いちばん重い1件は、CVE-2026-102238 です（GitHub の告知は critical で、いちばん重い区分です）。壊れているのは VS Code の、場所の確かめです。Windows のファイルシステムを通すと許したフォルダーの外になるものを、中にあると見誤ります。起こすには利用者の操作が要ります。

回避策として、告知は「信用できない所からプロファイル・ノートブック・リモートのリンクを開かない」「Workspace Trust は有効のままにする。ただし完全な回避策ではない」と書いています。どれも直しの代わりにはなりません。

Workspace Trust（信頼の仕組み）は、フォルダーの中のコードを、VS Code と拡張機能が、あなたの許可なしに動かしてよいかを決める仕組みです。公式の説明は「迷ったら制限モードのまま」です。この信頼の仕組みを抜けられる件が、102238 のほかに4件ありました。

Node.js：22.23.4・24.22.1・26.12.1 以上

使っているか: node --version で版が出れば、入っています（-v も同じです）。2026年10月21日に、26.x・24.x・22.x のセキュリティのリリースが出て、10件が直りました。公式のブログは、いちばん重いものを HIGH としています。

公式の node イメージの中で流した出力です（2026年10月22日。10月21日に作られたイメージです）。

$ docker run --rm node:24-slim node --version
v24.22.1

直しには、認証局の件の証明書の一覧の更新も入っています。理由は認証局の鍵の漏えいに書きました。上げる先は、その記事と同じ版です。

サポート（直しが出る期間）が終わった版は、セキュリティのリリースのたびに必ず当たる、と公式のブログは書いています。たとえば Node.js 20 は、2026年4月30日にサポートが終わっています（Vite と React の記事にも書きました）。その場合は、22 以上に上げるのが先です。

Pillow：13.0.0 以上（Python 3.10 以前では入りません）

使っているか: Python で画像を扱っているなら、入っているかもしれません。pip show pillow で版が出れば入っています（uv で入れたなら uv pip show pillow）。

何があったか: Pillow 13.0.0 が10月16日に出ました。13.0.0 の告知の Security の節は、Critical・High・Medium・Low に分けた一覧で、Critical に3件を挙げています。多くは、画像のファイルを読み込む処理の弱点です（Pillow の SECURITY.md も、主な攻撃の面は、信用できない画像のデータを読むことだ、と書きます）。

12 系の直しは無い: 当たる範囲は、どれも「12.3.0 以下 → 13.0.0」で、12.3.1 のタグはありません。直すには、13.0.0 に上げます。

Python 3.10 以前では入りません: 13.0.0 は Python 3.11 以上でないと入りません（PyPI の requires_python が >=3.11）。3.10 は2026年10月にサポートが終わっています。何も指定せずに入れると、3.10 では当たる版の 12.3.0 が入りました。公式の python イメージの中での結果です。

## python:3.10-slim（Python 3.10.22）
$ pip show pillow
Name: pillow
Version: 12.3.0

## python:3.12-slim（Python 3.12.15）
$ pip show pillow
Name: pillow
Version: 13.0.0

つまり、Python 3.10 のままでは、直った Pillow がありません。先に Python を上げます（Python 3.15 の記事に、3.10 のサポートが終わった話があります）。ほかにも、互換の無い変更があります（I モードの画像の PNG 保存、Image._show の削除など）。上げる前に、13.0.0 の告知の「Backwards incompatible changes」を読んでください。

13.0.0 でも直っていない件が1つあります: CVE-2026-114501（GHSA-654x-cwwv-5j9c。GHSA は GitHub の告知につく番号です）です。重さは medium（中）で、当たる範囲は「11.2.1 〜 13.0.0」、直った版は空です。条件は、PILLOW_ALIGNMENT を 1 より大きくしたときだけで、既定の設定では当たりません。壊れているのは、Arrow（データの形式）への書き出しで、使われていないメモリの中身が、画素のデータに混ざるところです。

画像を処理する部品の版を把握しているか、という点検は、ファイルのアップロードの記事にも書きました。

axios：1.20.0 以上（0.x は 0.34.0 以上）

使っているか: JavaScript のプロジェクトの中で npm ls axios を流し、木の形の出力に axios@1.19.0 のように版が出れば、入っています。

何があったか: axios の GitHub の告知は12件（high〔高〕7・medium〔中〕5）です。直った版は 1.20.0（0.x は 0.34.0）です。1.20.0 は、告知より前の8月に出ていました。8月に上げた人は、告知が出た時点で直っています。多くは、特定の設定のときだけの件です。

3月の axios の乗っ取りの件は、別の話です（サプライチェーン攻撃の記事にあります）。

PyJWT：2.14.0 以上（条件つき）

使っているか: pip show pyjwt で版が出れば、入っています。JWT の基本は JWT の記事にあります。

何があったか: CVE-2026-102268（GHSA-ffc3-869f-jxw9）です。重さは critical で、2.13.0 以下が当たり、2.14.0 で直りました。鍵の形の見分けをすり抜けられ、下の2つの条件がそろうと、トークンを偽造されうる件です。JWT の記事にある「アルゴリズムを取り違えさせる」守りの、抜け道にあたります。

条件は、2つとも満たすときだけです。どちらも配備の側の設定で、攻撃者が要求のときに決められるものではない、と告知は書いています。

jwt.decode の許すアルゴリズムに、HMAC と非対称を混ぜている（告知の例は algorithms=["ES256", "HS256"]）
検証の鍵を PEM の文字のまま渡していて、その形が PyJWT の見分けに漏れる（インデントした YAML・JSON や、1行にした環境変数などで、自然に起きる、と告知は書きます）

この2つがそろうときだけ当たります。版を上げる先は、どちらでも 2.14.0 以上です。

Vite：系統ごとの版

使っているか: npm ls vite で版が出れば、入っています。Vite を使い始める手順は、Vite と React の記事にあります。新しく作るとき（npm create vite@latest）は、新しい版が入ります。

何があったか: launch-editor（エディタでファイルを開く部品）の GitHub の告知が3件あり、GitHub Advisory Database は、vite も当たるパッケージに挙げています。Vite の中でこの部品がどう使われているかは、この記事では確かめていません。3件のうち2件は Windows だけの件です。

直る版は、GitHub Advisory Database の一覧のとおりです（launch-editor は 2.14.2）。

いまの系統	直った版
8.3 系（8.3.0 〜 8.3.2）	8.3.3
8.2 系（8.2.0 〜 8.2.3）	8.2.4
8.0・8.1 系（8.0.0 〜 8.1.5）	8.1.6
7 系（7.0.0 〜 7.3.6）	7.3.7
6 系とそれより前（6.4.4 以下。launch-editor の件の GitHub Advisory Database の範囲は `<= 6.4.3` で、5 系なども入る）	6.4.5（5 系には直った版が無いので、6.4.5 以上か、7・8 系の直った版へ）

同じ版で、Vite 自身の3件も直りました。

6 系は、launch-editor の件が 6.4.4 で直ります。そのうえで、Vite 6 だけの GHSA-8g5g-mxqh-grgj（medium、CVE なし）が10月21日に出て、6.4.5 で直ります。server.fs.deny を、クエリ（URL の ? 以降）で抜けられる件で、開発サーバーを --host などでネットワークに出しているときだけです。

Docker：Desktop 4.96.2・Engine 29.9.2 以上

使っているか: Docker Desktop を入れているか、docker コマンドが使えれば、入っています。docker version の Server の欄に Desktop の版、その下の Engine の欄に Engine の版が出ます（docker --version は、CLI〔コマンド〕の版だけです）。

上げる先: Docker Desktop は 4.96.2（10月22日）、Linux の Engine は 29.9.2（10月20日）です。認証局の件で直った版と同じです。10月のほかの直しより新しいので、この版だけ見れば足ります。Desktop の直しは部品ごとに順に出していて、出るたびに上げるよう勧められています。理由はHTTPS の証明書の鍵が漏れた件（2026年10月）に書きました。Linux 向けの Desktop が 4.96.2 を出したかは、確かめていません。

Go：1.27.3・1.26.10 以上

使っているか: go version で版が出れば、入っています。公式の golang イメージの中での出力です（2026年10月22日）。

$ docker run --rm golang:1.27 go version
go version go1.27.3 linux/arm64

10月8日の 1.27.2・1.26.9 は、15件のセキュリティの直しでした。その後、10月19日に 1.27.3・1.26.10 が出ています（認証局の件の crypto/x509 の直しで、CVE-2026-111943）。新しいのは 1.27.3・1.26.10 なので、上げる先はこちらの1つです。理由は認証局の鍵の漏えいにあります。

使っている人だけ、上げるものは？

次の4つは、使っている人だけが見れば足ります。使っているかは、表のコマンドで確かめます。

Authlib：1.9.1 以上

使っているか: pip show authlib で版が出れば、入っています。

何があったか: CVE-2026-96760 です。CERT/CC（脆弱性の調整をする組織）が出した CVE の記録があります。壊れているのは署名の確かめで、JSON の形の JWS（署名つきのデータ）を、署名も鍵も見ずに「確かめ済み」として返してしまうところです。当たる版の範囲は食い違っていて、CVE の記録は 1.7.2 以下、Authlib のリポジトリの告知（GHSA-6v38-4h7w-rj9h）は 1.8.0 以下（1.8.0 も当たる）と書きます。

GitHub Advisory Database の告知（GHSA-6m87-8wg6-hh8w）は、unreviewed（GitHub が確かめていない告知）で、当たる版の範囲が空です。unreviewed の告知は Dependabot の通知にならない、と脆弱性の知らせの読み方に書きました。この件はその実例です。範囲が空のままでも、通知に頼らず、版を自分で見ます。

上げる先: 1.9.1 です。CVE-2026-96760 は 1.9.0（10月14日）で直り、同じ日の GHSA-c73q-w75p-j82v（high）は 1.9.1 で直りました。同じ日にリポジトリの告知はほかにも7件出ています。

Storybook：8.6.19・9.1.21・10.6.2 以上

使っているか: Storybook（部品を1つずつ画面で確かめる道具）を入れているなら、npm ls storybook で版が出ます。

何があったか: CVE-2026-114125（GHSA-f2ph-cmg5-wxc8）です。重さは critical です。開発サーバー（storybook dev）を動かしている間に、悪意のある Web サイトが、プロジェクトのファイルを書き換えうる件です。さらに別の条件がそろうと、書き換わったファイルが、開発者の権限で動くこともある、と告知は書きます。開発サーバーを動かしているときの話で、ビルドした Storybook を動かす・見るだけなら、影響はありません。直った版は 8.6.19・9.1.21・10.6.2（と 11.0.0-alpha.6）です。

既定の動きが変わりました: 直しと一緒に、ネットワークに関わるいくつかの機能の既定が変わりました。たとえば、開発サーバーの Storybook は、別のホスト名の Web サイトに iframe で埋め込めなくなります（ビルドした Storybook は変わりません）。使っている人は、告知の機能の切り替え（feature flag）の説明を読んでください。

nginx：Docker のイメージを取り直す

使っているか: 初心者の手元の nginx は、Docker の公式イメージが多いはずです（このサイトの YAML の記事の Compose の例も image: nginx です）。nginx -v で版が出ます。Docker なら、docker run --rm nginx:alpine nginx -v のように、イメージの中で流します。

何があったか: 10月14日に nginx 1.30.6（stable）と 1.31.7（mainline）が出て、5件を直しました（バッファのあふれ、HTTP/3 での要求の本文の注入など）。nginx の告知のページでは、5件とも重さは medium で、「当たらない版」は 1.31.7 以上・1.30.6 以上です。10月21日には 1.31.8（mainline）も出ています。

Docker のイメージは、取り直さないと古いままです。公式イメージは、10月14日に 1.31.7・1.30.6 へ、10月21日に 1.31.8 へ上がりました。公式の nginx イメージの中で流した出力です（2026年10月22日）。

$ docker run --rm nginx:stable nginx -v
nginx version: nginx/1.30.6
$ docker run --rm nginx:latest nginx -v
nginx version: nginx/1.31.8

手元に前から置いてあるイメージは、docker pull し直して、作り直したコンテナの中で版を見ます。

curl：OS の curl は、OS の更新で上がります

使っているかは curl --version で見ます（1行目に、curl・libcurl・つないだ部品の版が出ます）。ただ、手元の curl の多くは、OS が配る物です。OS の curl は、OS の更新で上がります。公式の node:24 イメージ（Debian 12）の中で流すと、curl 7.88.1 で、security patched: 7.88.1-10+deb12u15 と出ました。Debian の curl は、7.88.1 という古い番号のまま、直しを取り込みます。

何があったか: curl は、10月14日に 8.23.0 が出ました。同じ日に、High の CVE-2026-92392（HTTP/2 のアップロードでの解放後の使用）が公開されました。重さは curl のプロジェクトの言葉で、CVSS の点は告知にありません。8.12.0 〜 8.22.0 が当たります（curl のコマンドも当たる）。勧めは「8.23.0 に上げる」「パッチを当てる」「HTTP/2 を使わない」のいずれかです。

7.88.1 は、そもそも 8.12.0 〜 8.22.0 の外です。番号だけで「当たる」と決めないでください。macOS の更新で直ったかは、確かめていません。

悪用はされている？（2026年10月22日時点）

2026年10月22日の夕方に、CISA の一覧（KEV）を見ました。この記事で上げる先を書いた道具の CVE は、1件も載っていません。照合した中で載っていたのは、別の記事に書いた WordPress の CVE-2026-87902 と、この記事で外した Strapi の古い CVE（CVE-2023-22894）です。

ただし、KEV に無いことは、悪用されていない証明ではありません。読み方は、脆弱性の知らせの読み方の「KEV とは？ EPSS との違いと、CVSS と掛けてはいけない理由」の節にまとめています（同じ記事のまとめにも、KEV に無いことを「悪用されていない」と読まない、という点検があります）。開発元や政府機関が自分で出した告知に、悪用についての文があったのは、次の3つだけです。

道具	告知の文
VS Code	MSRC（Microsoft のセキュリティの窓口）の10月の一覧で、VS Code の10件とも `Exploited:No`（悪用なし）。`Publicly Disclosed:No`（公開済みではない）でもあります
Storybook	告知が "We are not aware of exploitation in the wild."（実際の悪用は知らない）と書く
Authlib	CISA の評価（SSVC）で exploitation が "none"（10月1日時点）

それ以外の道具（Node.js・Pillow・axios・PyJWT・Vite・Docker・Go・nginx・curl）は、告知に悪用についての文が見つかりませんでした。書けるのは「KEV に載っていない」までです。curl の告知は、条件がそろえば RCE に変えられると示された、と書きますが、悪用についての文はありません。

扱っていないものは？

次のものは、この記事から外しました。外した理由は、「手元に入っていて、自分で上げられる」に当てはまらないか、確かめきれていないからです。

何	外した理由
GitLab	自分で立てた GitLab のサーバーの管理者が上げる物で、GitLab.com を使うだけの人の手元には入っていません（公式の告知は開けませんでした）
GitHub Enterprise Server	会社のサーバーの製品です。GitHub.com を使う人には入っていません
Movable Type	サーバーに入れる CMS です
LIFF SDK	LINE のミニアプリを作る人だけが入れる SDK です。入っていれば `npm ls @line/liff` で見られます。直った版は JVN にあります
Strapi	KEV に加わったのは2023年の古い CVE（CVE-2023-22894）です。10月の新しい直しではなく、CMS のサーバーの製品です
OpenSSL	単体で入れて上げる物ではなく、OS や言語の中に入っています。Node.js は10月21日の版で取り込んでいるので、Node.js の行で足ります
Apache httpd	サーバーのソフトです。レンタルサーバーは事業者が上げます
OpenSSH	OS が配る物（macOS・Linux の `ssh`）で、自分では上げません。セキュリティの直しがあるかは読んでいません
Chrome と Firefox	ブラウザーは、この記事の「道具」の外です。認証局の件でのブラウザーの扱いは、認証局の鍵の漏えいに書きました
virtualenv	このサイトの Python の記事は venv と uv を使い、virtualenv は入れていません。ほかの道具の中で使われているかは、確かめていません
handlebars	自分で入れるより、依存の依存として入る部品です。`npm audit` で見る話です
proxy-addr	Express の依存の依存です。当たるのは、信頼するプロキシの範囲を、IPv4 を写した IPv6 で接頭辞を短く書いたとき（`::ffff:10.0.0.0/8` など。正しくは `/104`）や、接頭辞のビットがすべて 0 の IPv6 の範囲（`::/1` など）を設定したときです（GHSA-jqcg-44mw-7w3h、critical）
Vitest	Vite と一緒に入れる人が多い道具ですが、確かめたのは告知の題と版だけで、中身を読んでいません。残すかどうかを決められませんでした

よくある質問

表の版より新しい版が出ていたら、どうしますか？

「この版以上」なので、新しい版でかまいません。10月22日に確かめた時点で、たとえば VS Code は 1.143.0、Authlib は 1.9.1、Storybook は npm の latest が 10.6.3、Vite は 8.3.5 が出ています。ただし、比べるのは同じ系統の中です（→「手元の道具で、上げるものは？」）。

Python 3.10 のまま Pillow を入れました。当たっていますか？

当たる版の 12.3.0 が入ります。13.0.0 は Python 3.10 を外したためで、3.10 のままでは直った Pillow がありません。先に Python を上げます（→「Pillow：13.0.0 以上（Python 3.10 以前では入りません）」）。

KEV に載っていなければ、急がなくてよいですか？

そうは読めません。KEV に無いことは、悪用されていない証明ではありません。告知に悪用についての文があったのは、3つだけです（→「悪用はされている？（2026年10月22日時点）」）。急ぐ度合いは、使っているか、条件に当てはまるか（PyJWT・axios・Vite など）を先に見て決めます。

自分の手元で確かめること（チェックリスト）

表のコマンドで、使っている道具を見分けた。版の番号が出なければ、入っていない（uv の環境は uv pip show、macOS の VS Code は code を入れてから見る）（→「手元の道具で、上げるものは？」）
表の版以上か。比べるのは、自分の系統の中で（→「手元の道具で、上げるものは？」）
Python 3.10 以前なら、Pillow の前に Python を上げた（→「Pillow：13.0.0 以上（Python 3.10 以前では入りません）」）
Docker のイメージ（nginx など）は取り直した（→「nginx：Docker のイメージを取り直す」）
「KEV に載っていない」を「悪用されていない」と読んでいない（→「悪用はされている？（2026年10月22日時点）」）

まとめ

2026年10月22日までの脆弱性のうち、「初心者の手元に入っていて、自分で上げられるもの」だけを残した。冒頭の表で、使っているかを見分け、版を見て、表の版以上かを比べる。記事がある件（PHP・React と Next.js・認証局の鍵の漏えい・Java・WordPress）は、表で案内だけ
Pillow は、Python 3.10 以前では 13.0.0 が入らず、直った版が無い。先に Python を上げる。13.0.0 でも直っていない medium の件が1つあり、PILLOW_ALIGNMENT を 1 より大きくしたときだけ。PyJWT は、HMAC と非対称を混ぜて許し、鍵を PEM の文字のまま渡す形のときだけ
使っている人だけ見る行は、Authlib・Storybook・nginx・curl。nginx の Docker のイメージは取り直す。OS の curl は OS の更新で上がる
悪用は、KEV に、この記事で上げる先を書いた道具の CVE は1件も載っていない。告知に悪用の文があるのは、VS Code・Storybook・Authlib の3つだけ。KEV に無いことは、悪用されていない証明ではない
扱わなかったものは、理由を本文に書いた

参考資料

この記事の内容は、2026年10月22日（日本時間の17時台）に開いた文書をもとにしています。悪用の状況と各製品の版は、日ごとに変わるので、時刻を添えました。脆弱性を突く操作は、していません。版のコマンドのうち、node・npm・pip・go・nginx・curl は、公式の Docker イメージの中で流しました（イメージと npm・PyPI のパッケージを取っただけで、外には何も送っていません）。