JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031265 openssl_encrypt 1.4.0以前のバージョンでは、openssl_encrypt/modules/pqc.py の15行目で、Pythonの非暗号論的な「random」モジュール（メルセンヌ・ツイスターPRNG）がインポートされていました。コード内にrandom.*への直接呼び出しは存在しなかったため、現状では暗号的な操作に影響はありません。ただし、このインポートによって、将来的にコードが誤ってcryptographically secureな代替手段（secretsやos.urandom）ではなくrandom.randint()を使用してしまう危険性があります。メルセンヌ・ツイスターの状態は約624回の出力で復元可能であるため、予測可能な値が生成される恐れがあるのです。1.4.0でインポートが削除されることで、この問題は修正されました。 cpe:/a:jahlives:openssl_encrypt https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031265.html Common Vulnerabilities and Exposures (CVE) CVE-2026-74887 https://www.cve.org/CVERecord?id=CVE-2026-74887 National Vulnerability Database (NVD) CVE-2026-74887 https://nvd.nist.gov/vuln/detail/CVE-2026-74887 GitHub Non-cryptographic random module imported in PQC crypto module Advisory jahlives/openssl_encrypt GitHub https://github.com/jahlives/openssl_encrypt/security/advisories/GHSA-cx72-m6xj-3vf6 JVNDB CWE-338 https://cwe.mitre.org/data/definitions/338.html VulnCheck openssl_encrypt before 1.4.0 Insecure Random Import in PQC Module | Advisories | VulnCheck https://www.vulncheck.com/advisories/openssl-encrypt-before-insecure-random-import-in-pqc-module 2026-09-01T17:11:06+09:00 2026-09-01T17:11:06+09:00