Voxel Update Lab

投稿者: Voxel Update Lab 編集部

  • All the Mods 10「8.1」公開、Ad Astraなど4 Modを追加

    All the Mods 10「8.1」公開、Ad Astraなど4 Modを追加

    2026-08-30T08:06:03+09:00

    要点

    • Minecraft 1.21.1／NeoForge向けの8.1が公開
    • Ad Astraなど4種類のModを追加
    • 進行・レシピ・互換性を調整し、描画とクラッシュの既知問題も案内

    公式・ストア

    発表・発売情報

    発表日2026-08-29T20:15:05.273000+00:00
    発売・公開予定2026年8月30日5時15分（JST）公開
    対応プラットフォームMinecraft 1.21.1、NeoForge 21.1.249

    All the Mods 10の8.1が公開

    Minecraft向け大型Modpack「All the Mods 10」の8.1が、2026年8月30日5時15分（JST）にCurseForgeで公開されました。対応環境はMinecraft 1.21.1とNeoForge 21.1.249です。

    今回は4種類のMod追加と、進行・レシピ・互換性の調整を含みます。小規模な不具合修正だけではなく、宇宙探索、物流、クラフト自動化へ遊びを広げる更新です。

    Ad Astraなど4種類を追加

    中心となる追加は、宇宙探索ModのAd Astraです。Giselle Addonとともに入り、LogisticsNetworksとStep Crafterも追加されました。

    ただし公式変更履歴は、Ad Astraを現時点では独自変更なしで追加し、クエストと調整を後から加える予定としています。完成したクエスト導線を前提にせず、新要素を先行して試す更新と考えるのが適切です。

    • Ad Astra 1.16.19
    • Ad Astra: Giselle Addon 8.1
    • LogisticsNetworks 1.13.0
    • Step Crafter 1.21.1-0.1.8

    進行と互換レシピを調整

    ATM鉱石進行をNeo Vitae経由で迂回できる可能性の防止や、Mahou Tsukaiの強化で電極の耐久が無限になる問題の防止など、パック全体の進行に関わる調整が含まれます。Mekanism系の新しい銀鉱石は無効化され、EvilCraftのDark Gemを粉砕するMekanism Crusherレシピも追加されました。

    Ad AstraとCreate、Mekanism、Immersive Engineeringを組み合わせた互換レシピも修正されています。更新後は既存の自動化ラインとレシピ表示を確認してください。

    既知問題を確認し、更新前にバックアップ

    公式変更履歴は、Draconic Evolutionのアイテムが見えない場合、組み込みリソースパック「Draconic 2D」を有効化するかImmediatelyFast設定のhud_batchingを無効化する回避策を案内しています。Ars Lectern操作時にクラッシュする場合は、一度破壊して再設置する回避策が示されています。

    既存ワールドを更新する前に、ワールドと設定をバックアップしてください。可能なら複製環境で起動し、クエスト、レシピ、自動化、描画を確認してから本番環境へ反映します。この記事では実際のワールド移行やプレイ検証は行っていません。

    • ワールドと設定をバックアップする
    • 複製環境でクエストとレシピを確認する
    • Draconic Evolutionの表示状態を確認する
    • Ars Lecternで問題が出た場合は公式回避策を試す

    主な仕様

    Modpackバージョン8.1出典
    Minecraftバージョン1.21.1出典
    ModローダーNeoForge 21.1.249出典

    確認できたこと

    • All the Mods 10の8.1は2026年8月30日5時15分（JST）に公開され、Minecraft 1.21.1とNeoForgeに対応する正式リリースである。 出典
    • 8.1ではAd Astra、Ad Astra: Giselle Addon、LogisticsNetworks、Step Crafterの4種類が追加された。 出典
    • 公式変更履歴は、ATM鉱石進行の迂回防止、Mahou Tsukaiによる電極耐久無限化の防止、Mekanism系の銀鉱石無効化、EvilCraftのDark Gem粉砕レシピ追加などを案内している。 出典
    • Ad AstraとCreate、Mekanism、Immersive Engineeringの互換レシピが修正され、利用するNeoForgeのバージョンは21.1.249と案内されている。 出典
    • 公式変更履歴は、Draconic Evolutionのアイテムが見えない場合の設定回避策と、Ars Lectern操作時にクラッシュする場合の再設置による回避策を示し、更新前のバックアップを案内している。 出典

    所感

    宇宙探索をすぐに完成形のクエスト導線で遊びたい場合は、次の更新も確認した方がよいでしょう。
    公式変更履歴はAd Astraを未調整のまま追加し、クエストや独自変更を後から加える予定と説明しているためです。

    既存ワールドでは、バックアップ後に進行・レシピ・描画を重点確認するのが安全です。
    新規Mod追加に加えて進行経路、レシピ、互換性、描画に関する変更と既知問題が同時に含まれるためです。

    関連リンク

  • ServiceNow AI PlatformにCVSS 10.0の脆弱性3件、更新状況を確認

    ServiceNow AI PlatformにCVSS 10.0の脆弱性3件、更新状況を確認

    2026-08-30T08:06:03+09:00

    要点

    • ServiceNow AI PlatformにCVSS 4.0で10.0の脆弱性3件
    • 認証なしでコード実行、権限昇格、SQL実行につながる可能性
    • 公式アドバイザリで影響と更新状況を確認し、未修正なら更新する

    公式・ストア

    発表・発売情報

    発表日2026-08-27T20:17:03.870000+00:00
    発売・公開予定NVDの原記録は2026年8月27日（UTC）公開。2026年8月30日8時06分（JST）確認。
    対応プラットフォームServiceNow AI Platform

    ServiceNow AI Platformに重大な脆弱性3件

    ServiceNow AI Platformに、CVSS 4.0基本値10.0と評価された脆弱性3件が公開されました。対象はCVE-2026-18885、CVE-2026-18886、CVE-2026-74820です。

    いずれも特定条件下で認証なしの利用者による攻撃が成立する可能性があります。ServiceNowを運用する組織は、インスタンスの公開範囲だけで安全と判断せず、修正の適用状態を確認してください。

    コード実行、権限昇格、SQL実行の3種類

    CVE-2026-18885はコードインジェクションで、任意コードの実行とインスタンスデータへの不正なアクセス・変更につながる可能性があります。CVE-2026-18886は不適切なアクセス制御によりデータを作成・変更され、権限昇格へ至る可能性があります。

    CVE-2026-74820はSQLインジェクションで、基盤データベースに任意のSQL文を実行され、インスタンスデータへアクセスまたは変更される可能性があります。3件を別々のニュースとして扱わず、同じ更新確認の対象としてまとめて点検するのが実務的です。

    • CVE-2026-18885：コードインジェクション
    • CVE-2026-18886：不適切なアクセス制御と権限昇格
    • CVE-2026-74820：SQLインジェクション

    ホスト型もセルフホストも適用状態を確認

    ServiceNowはホスト型インスタンスへセキュリティ更新を展開し、パートナーとセルフホスト利用者にも更新を提供したとしています。セルフホスト環境では、提供された更新が実際に適用済みかを確認してください。

    影響範囲と修正版は、ServiceNowの2026年8月CVE Advisory Notification（KB3152242）で利用中のリリースに合わせて確認します。この記事では個別環境の適用状態を検証していません。

    • 利用中リリースとパッチレベルを記録する
    • KB3152242で影響範囲と修正版を照合する
    • 未修正なら適切な更新または修正済みリリースへ移行する
    • 更新後に外部公開経路と監査ログを確認する

    公開時点で悪用確認なし、ただし放置しない

    各公式記録は、公開時点でこれら3件の悪用を確認していないとしています。ただし、これは攻撃が不可能という意味ではありません。

    CVSS 10.0は技術的な深刻度を示します。悪用有無と深刻度を混同せず、未修正環境の更新、公開経路の確認、管理者権限やデータ変更の監査を進めてください。

    主な仕様

    CVE-2026-18885コードインジェクション／CVSS 4.0: 10.0 Critical出典
    CVE-2026-18886不適切なアクセス制御・権限昇格／CVSS 4.0: 10.0 Critical出典
    CVE-2026-74820SQLインジェクション／CVSS 4.0: 10.0 Critical出典

    影響範囲と対応

    種別vulnerability
    重要度critical
    影響対象ServiceNow AI Platformの影響対象リリース（詳細はKB3152242を確認）
    推奨対応ServiceNowのKB3152242で利用中リリースの影響と修正版を確認し、未適用なら速やかに適切な更新または修正済みリリースへのアップグレードを行う。

    確認できたこと

    • ServiceNow AI PlatformのCVE-2026-18885はコードインジェクション脆弱性で、特定条件下では認証なしの利用者が任意コードを実行し、意図された範囲を超えてインスタンスデータへアクセスまたは変更できる可能性がある。 出典
    • CVE-2026-18886は不適切なアクセス制御の脆弱性で、特定条件下では認証なしの利用者がインスタンスデータを作成または変更し、権限昇格につながる可能性がある。 出典
    • CVE-2026-74820はSQLインジェクション脆弱性で、特定条件下では認証なしの利用者が基盤データベースに対して任意のSQL文を実行し、インスタンスデータへアクセスまたは変更できる可能性がある。 出典
    • NVDの各記録は3件をCVSS 4.0基本値10.0として掲載している。 出典
    • ServiceNowはホスト型インスタンスへセキュリティ更新を展開し、パートナーとセルフホスト利用者へ更新を提供したとしている。各NVD記録では、公開時点でこれら3件の悪用は確認されていない。 出典
    • ServiceNowは2026年8月のCVE Advisory Notification（KB3152242）を公開し、影響範囲と更新情報を案内している。 出典

    所感

    ServiceNow管理者は、ホスト方式にかかわらず自組織のインスタンスが修正済みかを管理画面と公式アドバイザリで確認すべきです。
    3件はいずれも認証なしの攻撃者がインスタンスデータや実行環境へ影響を及ぼし得るため、公開範囲だけでなく実際のパッチ適用状態を確認する必要があるからです。

    CVSS 10.0を、そのまま悪用確認済みという意味で受け取るべきではありません。
    CVSSは技術的な深刻度の評価であり、各公式記録は公開時点で悪用を確認していないと明記しているためです。

    関連リンク

  • All the Mods 11「0.7.0-beta」公開、Ice and Fire CEなど5種類を追加

    All the Mods 11「0.7.0-beta」公開、Ice and Fire CEなど5種類を追加

    2026-08-29T16:05:05+09:00

    要点

    • Minecraft 26.1.2／NeoForge向けの0.7.0-betaが公開
    • Ice And Fire Community Editionなど5種類を追加
    • クエストや互換性の修正を含む一方、液体関連の既知問題と仮置きクエストが残る

    公式・ストア

    発表・発売情報

    発表日2026-08-29T03:13:26.733+00:00
    発売・公開予定2026年8月29日公開
    対応プラットフォームMinecraft 26.1.2、NeoForge

    All the Mods 11の0.7.0-betaが公開

    Minecraft向け大型Modpack「All the Mods 11」の0.7.0-betaが、2026年8月29日にCurseForgeで公開されました。対応環境はMinecraft 26.1.2とNeoForgeです。

    公式プロジェクトページは、All the Mods 11をまだ初期段階の構成と説明しています。完成版として安定性を期待するより、新しいModや調整を試すbeta版として扱うのが適切です。

    Ice and Fire CEなど5種類を追加

    今回の主な変更は5種類のMod追加です。冒険・戦闘寄りのIce And Fire Community Editionに加え、発電、トロフィー、液体処理、魔術系連携を補うModが加わりました。

    単なる不具合修正ではなく、探索と戦闘、工業、魔術の複数方向で遊べる要素を広げる更新です。

    • Ice And Fire Community Edition
    • Generator Galore
    • Jonn's Trophies
    • Refined Fluid Substitution
    • Theurgy KubeJS

    クエストと互換性も調整

    公式変更履歴には、多数のクエスト修正と、液体で動けなくなったプレイヤーを救出する補助機能が記載されています。Ice and Fireの目に関する設定・レシピ、NeoVitaeやTheurgyの変更済みブロックID、Theurgy KubeJSとAllTheOresのID連携も調整されました。

    Sophisticated CoreのOmegaアップグレード無効化など、パック全体の進行やバランスに関わる変更も含まれます。既存環境では、更新後にクエストやレシピの状態を確認してください。

    更新前にバックアップ、既知問題にも注意

    公式変更履歴は、一部Modの液体に触れるとプレイヤーの移動が止まる問題が残ると案内しています。追加済みクエストにも作業中または仮置きの内容があり、今後の更新で変更される予定です。

    既存ワールドを更新する場合は、ワールドと設定をバックアップし、可能なら複製環境で起動を確認してください。この記事では実際のワールド移行やプレイ検証は行っていません。

    • 更新前にワールドと設定をバックアップする
    • 既存ワールドは複製環境で起動を確認する
    • 液体に触れた際の移動停止と仮置きクエストに注意する
    • 問題が出た場合は利用中Modとパックの各報告先を確認する

    主な仕様

    Modpackバージョン0.7.0-beta出典
    Minecraftバージョン26.1.2出典
    ModローダーNeoForge出典

    確認できたこと

    • All the Mods 11の0.7.0-betaは2026年8月29日に公開され、Minecraft 26.1.2とNeoForgeに対応する。 出典
    • 0.7.0-betaではIce And Fire Community Edition、Generator Galore、Jonn's Trophies、Refined Fluid Substitution、Theurgy KubeJSの5種類が追加された。 出典
    • 公式変更履歴には、多数のクエスト修正、液体で動けなくなったプレイヤーを救出する補助機能、Ice and FireやTheurgyなどのレシピ・ID調整が記載されている。 出典
    • 公式変更履歴は、一部Modの液体に触れると移動が止まる問題が残ること、追加済みクエストには作業中または仮置きの内容があること、更新前にバックアップすることを案内している。 出典
    • All the Mods 11の公式プロジェクトページは、同ModpackをMinecraft 26.1.2向けの初期段階の構成と説明し、NeoForgeを使用している。 出典

    所感

    新規ワールドで内容を試すか、既存ワールドを複製してから更新するのが安全です。
    今回の版はbetaで、Mod追加とレシピ・ブロックID・クエストの変更が同時に含まれ、公式変更履歴にも既知の液体関連問題とバックアップ案内があるためです。

    Ice And Fire Community Editionを中心に、探索・戦闘と工業・魔術の両方へ遊びの幅が広がる更新です。
    大型コンテンツ系Modに加え、発電、トロフィー、液体置換、Theurgy連携のModがまとめて追加されているためです。

    関連リンク

  • LiteLLMのMCPに認証回避、1.84.0未満は更新を—NVD評価8.2

    LiteLLMのMCPに認証回避、1.84.0未満は更新を—NVD評価8.2

    2026-08-29T08:06:05+09:00

    要点

    • LiteLLM 1.84.0未満のMCP Streamable HTTP認証を回避される可能性がある
    • 認証なしでMCPツールの列挙・呼び出しや接続サービスへのアクセスにつながり得る
    • 1.84.0以降へ更新し、更新までの間はMCP関連ルートを遮断する

    公式・ストア

    発表・発売情報

    発表日2026-06-30T23:08:35+00:00
    発売・公開予定公式アドバイザリは2026年6月30日公開。NVD記録は2026年8月28日20時19分UTCに更新。
    対応プラットフォームLiteLLM Proxy

    LiteLLMのMCP認証回避をNVDがHigh評価

    AIゲートウェイ「LiteLLM」のMCP Streamable HTTPエンドポイントに、認証を回避される脆弱性CVE-2026-59822があります。NVDは2026年8月28日20時19分（UTC）に記録を更新し、CVSS 3.1基本値を8.2（High）としています。

    影響を受けるのはLiteLLM 1.84.0未満です。LiteLLM ProxyでMCPを有効にし、ネットワークから関連エンドポイントへ到達できる構成は、バージョンと公開範囲を確認してください。

    任意のBearer値がOAuth2フォールバックへ進む

    公式アドバイザリによると、MCP認証ハンドラーは上流MCPサーバー向けのOAuth2パススルーに対応していました。しかしフォールバック処理でLiteLLMキー検証に失敗した後、空の認証オブジェクトへ置き換えられる経路がありました。

    攻撃者は細工したAuthorizationヘッダーを送ることで、有効なLiteLLMキーを持たずにMCPツールへ到達できる可能性があります。成功した場合、設定済みツールの列挙・呼び出しや、MCP経由で公開された接続サービスへのアクセスにつながります。

    1.84.0以降へ更新、難しい場合はMCPルートを遮断

    修正はLiteLLM 1.84.0に含まれています。まず実行中のLiteLLM Proxyのバージョンを確認し、1.84.0以降へ更新してください。公式リリースでは、MCPの公開ルート判定とOAuth2フォールバック条件を厳格化する修正が確認できます。

    すぐに更新できない場合、公式アドバイザリはMCPルートの無効化、またはリバースプロキシ・APIゲートウェイで/mcp/と関連MCPエンドポイントを遮断する暫定策を示しています。内部ネットワーク限定の構成でも、到達可能な利用者とサービスアカウントを確認してください。

    • LiteLLM Proxyの実行バージョンを確認する
    • 1.84.0以降へ更新する
    • 更新までMCP関連エンドポイントを無効化または遮断する
    • MCPに接続しているツールとサービスの権限を見直す

    MCP全体の脆弱性とは限らない

    今回確認されたのは、LiteLLM 1.84.0未満におけるMCP Streamable HTTPの認証処理です。MCP規格そのものや、ほかのMCP実装が同じ脆弱性を持つとする根拠ではありません。

    また、CVSS 8.2は技術的な深刻度を示す評価であり、実際の悪用発生を意味しません。公開範囲、接続ツールの権限、監査ログを確認し、自分の環境での影響を判断してください。

    主な仕様

    影響を受けるバージョンLiteLLM 1.84.0未満出典
    修正版LiteLLM 1.84.0以降出典
    NVD評価CVSS 3.1: 8.2 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）出典

    影響範囲と対応

    種別vulnerability
    重要度high
    影響対象LiteLLM Proxy 1.84.0未満でMCP Streamable HTTPエンドポイントを使用する構成
    推奨対応LiteLLM 1.84.0以降へ更新する。直ちに更新できない場合はMCPルートを無効化するか、リバースプロキシまたはAPIゲートウェイで/mcp/と関連エンドポイントへのアクセスを遮断する。

    確認できたこと

    • LiteLLM 1.84.0未満のMCP Streamable HTTPエンドポイントには、細工したAuthorizationヘッダーによってLiteLLMキー検証を回避される脆弱性CVE-2026-59822がある。 出典
    • 認証回避に成功すると、攻撃者は設定済みのMCPツールを列挙・呼び出し、MCP経由で公開されている接続サービスへアクセスできる可能性がある。 出典
    • LiteLLMの公式アドバイザリは1.84.0で修正済みとし、1.84.0以降への更新を推奨している。すぐ更新できない場合はMCPルートを無効化するか、リバースプロキシまたはAPIゲートウェイで/mcp/と関連エンドポイントを遮断する暫定策を案内している。 出典
    • NVDはCVE-2026-59822をCVSS 3.1基本値8.2（High）、攻撃元区分ネットワーク、攻撃条件低、必要権限なし、利用者操作不要と評価している。NVD記録は2026年8月28日20時19分UTCに更新された。 出典
    • LiteLLM v1.84.0の公式リリースには、MCPの公開ルート判定とOAuth2フォールバック条件を厳格化する修正が含まれる。 出典

    所感

    LiteLLM ProxyでMCPを外部公開している運用者は、バージョン確認と公開経路の確認を同時に行うべきです。
    問題は単なる管理画面の表示不具合ではなく、認証なしのネットワーク攻撃者がMCPツールと接続先へ到達し得る認証境界の欠陥だからです。

    この脆弱性をMCP規格全体の問題と解釈するのは適切ではありません。
    公式情報が示す影響対象はLiteLLM 1.84.0未満のMCP Streamable HTTP認証処理であり、MCPを実装するすべての製品が同じ影響を受けるとは確認されていません。

    関連リンク