【要点】 ◎vm2のCVE-2026-22709はPromise処理の不備でサンドボックスを脱出し任意コード実行が可能。3.10.2以降へ更新し、代替も検討推奨 (The Hacker News)