Replit（レプリット）は2026年10月22日、インターネット上で広く利用されている基幹ソフトウェアにおいて相次いで開示されたセキュリティー脆弱性に対し、プラットフォーム側で実施した対策と利用者に求められる対応を発表した。インフラの修正、ランタイムの更新、ファイアウォールによる攻撃遮断などをReplit側で順次適用している。
公表された各脆弱性への対応状況は以下の通り。
eMudhra中間認証局の秘密鍵脆弱性については、中間CAの鍵署名プロセスで推測可能な秘密鍵が使用され、Ubuntu、Node.js、Pythonなどのトラストストアに影響を及ぼした。Replitはベースイメージから対象CAを削除し、公開中アプリの95パーセントに自動修正を適用するとともに、Pythonツールにパッチを適用した。利用者はPythonアプリの再公開を行う必要がある。
Node.jsの脆弱性については、Brotliデコーダーの不具合に起因するリモートコード実行のリスクが報告された。Replitは受信リクエストに対するWAF保護を配備し、修正版ランタイムを提供した。外部サービスからのレスポンスなどWAFの対象外となる攻撃経路を防ぐため、Node.jsアプリの再公開が求められている。
PHPのリモートコード実行脆弱性については、WAFによる保護を展開し、Replit上のPHPツールにパッチを適用した。安全を確保するため、PHPアプリの再公開が推奨されている。
LiteLLMへのサプライチェーン攻撃については、Replit環境で稼働しているSocket Firewallが悪意あるパッケージのインストール試行を全て遮断したため、利用者側の対応は不要である。
Linuxカーネルの脆弱性については、Replitが採用しているmicroVMアーキテクチャーの分離構造により悪用が自動的に防止されている。修正版カーネルへの更新はReplit側で順次実施されるため、利用者側の対応は不要である。
Replitは開発者に対し、セキュリティーセンターで公開中のアプリを確認し、利用可能な修正を適用したうえでアプリを再公開するよう求めている。
出典：Replit
この製品の詳細については、Replit製品ページをご覧ください。
