サイバーセキュリティ日報｜2026年10月30日：設定と実効性を分けて確認する

Clerkのパスキー第2要素対応と、旧PDF用MCP認証不備のDB収載。ログや設定だけで防御の実効性を判断しない。

対象：2026年10月29日08:00〜30日08:00（日本時間）。製品更新1件と、旧脆弱性のDB収載に伴う補足1件です。Clerkの発表日は10月29日ですが、締切との前後を判断できる正確な公開時刻は未確認です。前回のBrotli更新確認から、今回は「設定した防御が実際の経路で効くか」に焦点を移します。

## 1．Clerk：パスキーを第2要素に利用

10月29日、Clerkはパスワード・ソーシャルログイン等の後にパスキーを第2要素として使う機能を告知しました。再認証にも対応します。ただし、パスキー登録だけでMFAは有効になりません。新しいWebAuthn標準の確定ではなく、Clerk製品の認証フロー更新です。

設計への影響：第1要素・第2要素・回復経路を別々に検証します。Webはclerk-js 6.40.0／ui 1.41.0以上、独自フローはsupportedSecondFactorsのpasskey対応が確認対象。旧アプリの設定やWebの更新オプトインも必要な場合があります。SDK更新だけで適用済みと判断せず、本番インスタンスと実際のログインで確認してください。SMS等へのフォールバックを残す場合、その経路の耐性はパスキー追加だけでは上がりません。

一次情報：[Clerk変更履歴（10月29日）](https://clerk.com/changelog/2026-10-29-passkey-second-factor)。提供元の説明であり、全体の認証強度を独立測定した結果ではありません。

## 2．PDF用MCP：認証有効のログと実際の強制は別

10月29日16:34 UTC（日本時間30日01:34）にGitHub Advisory Databaseへ収載されたCVE-2026-62264は、開発元の公開日が6月25日の旧報です。@sylphx/pdf-reader-mcp 2.2.0以上3.0.1未満のHTTPモードで、MCP_API_KEYを読み認証有効と記録しても、要求ヘッダーを検証しませんでした。到達可能なクライアントから、プロセスが開けるPDFへアクセスできました。既定のstdioは対象外です。

該当版は3.0.1以上へ更新し、キーなし・誤ったキーが401になることを確認。更新できない場合はHTTP公開を止める、認証を強制するプロキシを置く、読めるディレクトリを制限する等で露出を縮小します。localhost化だけを認可の代替にしないこと。実悪用は確認した公式報告に記載がなく、未記載を未悪用の証明とは扱いません。

一次情報：[開発元アドバイザリ（6月25日）](https://github.com/SylphxAI/anymd/security/advisories/GHSA-q344-5v34-gm84)／[DB収載（10月29日UTC／日本時間30日）](https://github.com/advisories/GHSA-q344-5v34-gm84)。新たな修正公開として数えません。

## 判断

今すぐ対応：該当MCPの版・HTTP待受と、ClerkのMFA適用設定を確認。検証候補：認証失敗時の拒否、ログイン・再認証・回復経路の組合せ。継続監視：TEE・分離実行では今回の範囲で設計判断を変える新規一次情報なし。前回のBrotli対応も、更新予定と稼働版確認を引き続き分けます。