NR26-12：eMudhra認証局の侵害、外形監視プライベートロケーションのコンテナイメージ

Vulnerability Identifier: NR26-12

Priority: 高

概要

2026年10月17日～2026年10月20日の間に、研究者は、eMudhraによって発行された8つの中間認証局（CA）証明書の秘密鍵が復元される可能性があることを公表しました。これらの鍵を持つ者は誰でも、ソフトウェアがまだ信頼している場合、ソフトウェアが本物として受け入れる証明書を作成できる可能性があります。主要なOSやWebブラウザはすでにこれらの証明書の信頼を取り消していますが、一部のコンテナイメージを含む、独自のCAトラストストアを管理するアプリケーションは更新する必要があります。

New Relicは、外形監視プライベートロケーション用に提供しているコンテナイメージを再構築し、これらの証明書を使用しないようにしました。イメージは自動的に更新されないため、外形監視プライベートロケーションを実行している顧客は、新しいイメージをプルしてコンテナを再起動する必要があります。

アクションアイテム

パブリックロケーション

顧客のアクションは、モニターが最新のランタイムを使用しているかどうかによって異なります。

シナリオ	必要なアクション
Node.js 22.xのScripted APIモニターブラウザのランタイムに基づくモニター Pingモニター	対応は不要です：New Relicはすでにパッチ適用済みのイメージをデプロイしています。
Node.js 16.10のScripted APIモニター	要対応：Node.js 22.23.0に移行してください。詳細については、「重要なお知らせ：Node.js 16.xへの移行が必要です」を参照してください。

レガシーランタイムでまだ実行されているモニターを特定するには、アカウントのquery builder [クエリビルダー]で次のNRQLクエリを実行します。

SELECT uniques(monitorName) FROM SyntheticCheck WHERE runtimeType = 'NODE_API' AND runtimeTypeVersion = '16.10' SINCE 1 day ago

New Relic UIのSynthetics EOL screen [外形監視のEOL画面]で、影響を受けるモニターを特定することもできます。Monitor Type: Script API [モニタータイプ：スクリプトAPI]でフィルタリングして、Node.js 16.10でまだ実行されているすべてのモニターを表示します。

プライベートロケーション

対応必須：プライベートロケーションを実行しているすべての顧客は、ランタイムのバージョンに関係なく、手動で最新のイメージをプルして再デプロイする必要があります。

外形監視ジョブマネージャー（SJM）およびすべてのランタイムを含む、すべての外形監視プライベートロケーションイメージの最新バージョンをプルします：

画像	バージョン
`newrelic/synthetics-job-manager`	v642以降
`newrelic/synthetics-node-api-runtime`	1.2.296以降
`newrelic/synthetics-node-browser-runtime`	3.0.259またはそれ以降
`newrelic/synthetics-ping-runtime`	1.87.0以降

コンテナを再起動します。

詳細については、ランタイム移行ガイドをご覧ください。

重要なお知らせ：Node.js 16.xの移行が必要です（パブリックおよびプライベートロケーション）

Node.js 16.10で実行されているScripted APIモニターは、2026年11月18日にサポート終了を迎えます。これらのモニターはeMudhraの脆弱性にさらされており、これらの古いバージョンでまだ実行されているモニターはNode.js 22.23.0に移行する必要があります。これは、モニターがパブリックロケーションとプライベートロケーションのどちらで実行されているかに関係なく適用されます。

推奨される対応：2026年11月18日より、New RelicはNode.js 16.xでまだ実行されているパブリックロケーションのモニターを現在のランタイムに自動的にアップグレードします。モニターが新しいランタイムで意図したとおりに動作し続けることをテストし、脆弱性のあるバージョンから移行できるように、その日付より前に、できるだけ早く移行することを強くお勧めします。手順については、「Scripted APIモニターをNode.js 22にアップグレードする」を参照してください。

技術的な脆弱性情報

この問題にCVEは割り当てられていません。

よくあるご質問

New Relicのパブリックロケーションのインフラストラクチャは影響を受けましたか？
New Relicは、最新のランタイムで実行されているパブリックロケーションのインフラストラクチャにパッチを適用しました。ただし、Node.js 16.xに明示的に固定されているモニターは、アカウント所有者によって更新されるまで、引き続きそのバージョンで実行されます。
モニター結果は改ざんされていましたか？
New Relicには、当社の外形監視イメージが改ざんされた証拠はありません。
Synthetics secure credentials [外形監視のセキュアな認証情報] に保存されている認証情報をローテーションする必要がありますか？
ネットワークやインフラストラクチャが侵害されたと考える特別な理由がない限り、対応は必要ありません。
さらに質問がある場合は、どこに問い合わせればよいですか？
New Relicプラットフォームのヘルプセクションから、サポートチームにケースをオープンしてください。

出版履歴

2026/10/17～2026/10/20 - eMudhra中間CA証明書の侵害の公表

2026年11月6日 - NR26-12 公開

この機械翻訳は、参考として提供されています。