本日は新規・更新CVEが200件報告され、うちCriticalが31件、Highが110件。Android 3月セキュリティパッチでユーザー操作不要のRCE（CVE-2026-0006, CVSS 9.8）が修正されたほか、D-Link DIR-513にバッファオーバーフロー系のCriticalが8件集中しています。
開発者向けには、Hono の serveStatic 認可バイパスや minimatch の ReDoS など、npm エコシステムの脆弱性も注目です。
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 31件 |
| High (7.0-8.9) | 110件 |
| Medium (4.0-6.9) | 52件 |
| Low (0.1-3.9) | 3件 |
| 影響エコシステム | npm, Go, Packagist, CPAN |
CVE-2026-27941 — OpenLIT GitHub Actions サプライチェーン攻撃
- CVSSスコア: 9.9 (Critical)
- CWE: CWE-829 (信頼できない制御領域からの機能の包含)
- 影響: OpenLIT 1.37.1 より前のバージョン
- 概要: OpenLIT の GitHub Actions ワークフローが
pull_request_targetイベントでフォークからの未信頼コードをチェックアウト・実行しています。ベースリポジトリの書き込み権限付きGITHUB_TOKENや、APIキー、DB/ベクトルストアトークン、GCPサービスアカウントキーなどの機密情報が漏洩する可能性があります。 - 修正: OpenLIT 1.37.1 へのアップデート
- 参考: NVD / GHSA-9jgv-x8cq-296q
CVE-2026-0006 — Android ヒープバッファオーバーフローによるRCE
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-122 (ヒープバッファオーバーフロー)
- 影響: Android（2026年3月パッチレベル以前）
- 概要: 複数箇所でヒープバッファオーバーフローによる境界外読み書きが可能です。ユーザー操作が不要でリモートコード実行につながります。Android 3月セキュリティパッチには他にも30件以上の脆弱性修正が含まれています。
- 修正: 2026-03-01 セキュリティパッチレベルの適用
- 参考: NVD / Android Security Bulletin
CVE-2026-23524 — Laravel Reverb デシリアライゼーションRCE
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-502 (安全でないデシリアライゼーション)
- 影響: Laravel Reverb 1.6.3 以前
- 概要: リアルタイム WebSocket 通信バックエンド「Reverb」が、Redis チャネルからのデータを
unserialize()にクラス制限なしで直接渡しています。水平スケーリングが有効な環境（REVERB_SCALING_ENABLED=true）で RCE が可能です。 - 修正: Laravel Reverb 1.7.0 へのアップデート、または
REVERB_SCALING_ENABLED=falseに設定 - 参考: NVD / GHSA-m27r-m6rx-mhm4
CVE-2026-3431 — SimStudio MongoDB 未認証アクセス
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-862 (認可の欠如)
- 影響: SimStudio 0.5.74 未満
- 概要: MongoDBツールのエンドポイントが認証やホスト制限なしに任意の接続パラメータを受け付けるため、攻撃者が到達可能な任意のMongoDBインスタンスに接続し、データの読み取り・変更・削除が可能です。OAuthトークン窃取の脆弱性（CVE-2026-3432, CVSS 9.1）も併せて報告されています。
- 修正: SimStudio 0.5.74 以降へのアップデート
- 参考: NVD / Tenable Research
CVE-2026-28268 — Vikunja パスワードリセットトークンの無期限再利用
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-459 (不完全なクリーンアップ), CWE-640 (パスワードリセットの弱点)
- 影響: Vikunja 2.1.0 未満
- 概要: パスワードリセットトークンが使用後に無効化されず、トークンクリーンアップのcronジョブにもロジックバグがあるため、トークンが永久に有効です。ログ・ブラウザ履歴・フィッシングなどで一度トークンを取得されると、永続的なアカウント乗っ取りが可能になります。
- 修正: Vikunja 2.1.0 へのアップデート
- 参考: NVD / GHSA-rfjg-6m84-crj2
CVE-2025-40931 — Apache::Session::Generate::MD5 セッションID予測可能性
- CVSSスコア: 9.1 (Critical)
- CWE: CWE-338 (暗号論的に弱い乱数生成), CWE-340 (予測可能な乱数生成)
- 影響: Apache::Session::Generate::MD5 1.94 以前（Perl）
- 概要: セッションIDの生成に
rand()関数、エポック時刻、PIDを種として使用しており、暗号論的に安全ではありません。PIDは小さな値の集合から選ばれ、エポック時刻はHTTPのDateヘッダーから推測可能です。セッションIDの予測による不正アクセスにつながります。 - 修正: 最新バージョンへのアップデート、または暗号論的に安全な乱数生成器への切り替え
- 参考: NVD / GitHub Issue
CVE-2026-28406 — kaniko パストラバーサルによる認証情報漏洩
- CVSSスコア: 8.2 (High)
- CWE: CWE-22 (パストラバーサル)
- 影響: kaniko 1.25.4 〜 1.25.10 未満
- 概要: ビルドコンテキストのtar展開時に
filepath.Joinでパスを結合する際、最終パスが展開先ディレクトリ内に収まることを検証していません。../outside.txtのようなtarエントリでディレクトリ外にファイルを書き込めます。レジストリ認証がある環境ではDocker認証情報の漏洩にチェインできます。 - 修正: kaniko 1.25.10 へのアップデート
- 参考: NVD / GHSA-6rxq-q92g-4rmf
CVE-2026-29045 — Hono serveStatic 認可バイパス
- CVSSスコア: 7.5 (High)
- CWE: CWE-177 (URLデコードの不整合)
- 影響: Hono 4.12.4 未満
- 概要:
serveStaticとルートベースのミドルウェア保護（例:app.use('/admin/*', ...)）を併用する場合、URLデコード処理の不一致により保護された静的リソースに認可なしでアクセスできます。ルーターはdecodeURIを使用し、serveStatic はdecodeURIComponentを使用しているため、エンコードされたスラッシュ（%2F）を含むパスでミドルウェア保護をバイパスできます。 - 修正: Hono 4.12.4 へのアップデート
- 参考: NVD / GHSA-q5qw-h33p-qvwr
CVE-2026-26996 — minimatch ReDoS
- CVSSスコア: 7.5 (High)
- CWE: CWE-1333 (正規表現による非効率な計算)
- 影響: minimatch 10.2.0 以前
- 概要: globパターンに連続する
*ワイルドカードとテスト文字列に含まれないリテラル文字が続く場合、V8の正規表現エンジンが指数的にバックトラックします。計算量は O(4^N) で、N=25 でも数秒のブロックが発生します。多くのプロジェクトで間接的に依存しているパッケージのため、影響範囲の確認を推奨します。 - 修正: minimatch 10.2.1 以降へのアップデート
- 参考: NVD / GHSA-3ppc-4f35-3m26
その他の注目脆弱性
- D-Link DIR-513: スタックバッファオーバーフローのCritical（CVSS 9.8）が8件報告されています（CVE-2025-70218〜CVE-2025-70226、CVE-2025-46108）。複数のgoformエンドポイントが影響を受けます。サポート終了製品のため、使用中の場合は代替機への移行を検討してください。
- WordPressテーマ/プラグイン: Object Injection（CWE-502）や権限昇格のCriticalが複数件。Sweet Date、Tennis Club、Dentario テーマ、LMS Elementor Pro プラグイン、Widget Options プラグインが対象です。
- CVE-2026-27802 / CVE-2026-27803: Vaultwarden 1.35.4 未満で、Manager ロールによるコレクション権限の昇格が可能（CVSS 8.3）。セルフホスト環境でのアップデートを推奨します。
- CVE-2026-23767: Epson ESC/POSプリンター制御言語に認証・暗号化の仕組みがなく、JVNからも注意喚起（JVNTA#97995322）が出ています。
エコシステム別サマリー（npm）
OSVデータによると、npmエコシステムで2件の脆弱性が更新されています。
- Next.js (CVE-2025-29927): Middlewareにおける認可バイパス。
x-middleware-subrequestヘッダーを使用してミドルウェア処理をスキップできます。Next.js 15.2.3 / 14.2.25 / 13.5.9 / 12.3.5 で修正済み。Vercel ホスティング環境では自動的に保護されています。 - Angular (CVE-2026-27970): i18nパイプラインにおけるXSS脆弱性。ICUメッセージ内の翻訳コンテンツのHTMLが適切にサニタイズされず、任意のJavaScriptが実行可能です。
@angular/core21.2.0 / 21.1.6 / 20.3.17 / 19.2.19 で修正済み。
JVN 日本語情報
本日のMyJVNデータに該当する脆弱性対策情報はありませんでした。NVDデータ内で日本関連の情報として、Epson ESC/POSプロトコルの脆弱性（CVE-2026-23767）についてJVNから注意喚起が出ています。
まとめ
本日はCritical 31件で、D-Link DIR-513のバッファオーバーフロー8件やWordPressテーマのObject Injectionが件数を押し上げています。開発者向けには、Hono の serveStatic における URL デコード不整合による認可バイパス（CVE-2026-29045）と minimatch の ReDoS（CVE-2026-26996）が実務に直結する脆弱性です。依存関係を確認の上、アップデートを検討してください。
kaniko のパストラバーサル（CVE-2026-28406, CVSS 8.2）はCI/CDパイプラインでコンテナイメージをビルドしている環境に影響するため、Kubernetes環境での確認を推奨します。Apache::Session の MD5 ベースセッションID生成（CVE-2025-40931, CVSS 9.1）は、レガシーなPerlシステムでのセッション管理に関わる根本的な問題です。
Android端末については、3月パッチレベルへの更新でCVSS 9.8のRCEを含む30件以上の脆弱性が修正されます。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。