本日は スコア付き CVE 200件 が 公開・更新 され、うち Critical が 15件、High が 102件。MCP サーバー 開発 ツール MCPJam inspector に リモート コード 実行（CVE-2026-23744、CVSS 9.8）が 報告 されて おり、AI ツール 開発者 は 注意 が 必要 です。
ローコード プラットフォーム Budibase に 4件 の 脆弱性（うち Critical 2件）、Rocket.Chat に 2FA バイパス（CVSS 9.8）、Coral Server に 認証 不備 3件（CVSS 9.1〜9.8）と、広く 利用 される ソフトウェア に 深刻な 脆弱性 が 多数 報告 されています。Microsoft Patch Tuesday 関連 の HIGH が 約50件 を 占めて います。
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 15件 |
| High (7.0-8.9) | 102件 |
| Medium (4.0-6.9) | 62件 |
| Low (0.1-3.9) | 6件 |
| OSV 更新 | 4件 |
| 影響エコシステム | npm, PyPI, Maven, Go |
Critical / High 脆弱性 の 詳細解説
CVE-2026-23744 — MCPJam inspector リモート コード 実行
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-306 (認証 の 欠如)
- 影響: MCPJam inspector 1.4.2 以前
- 概要: MCP サーバー の ローカル 開発 プラットフォーム
MCPJam inspectorに RCE 脆弱性 が 存在 します。デフォルト で0.0.0.0に リッスン する ため、攻撃者 が 細工 した HTTP リクエスト を 送信 し MCP サーバー の インストール を トリガー する こと で リモート から コード 実行 が 可能 です。 - 修正: バージョン 1.4.3 へ の アップデート
- 参考: NVD / GHSA
CVE-2026-30831 — Rocket.Chat 2FA / アカウント 無効化 バイパス
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-287 (不適切 な 認証), CWE-304
- 影響: Rocket.Chat 8.2.0 / 8.1.1 / 8.0.2 / 7.13.4 / 7.12.5 / 7.11.5 / 7.10.8 未満
- 概要: Rocket.Chat の エンタープライズ DDP Streamer サービス の
Account.loginメソッド に 認証 脆弱性 が 存在 します。2FA の 強制 や アカウント 無効化 の 検証 が 行われない ため、標準 の 認証 フロー を 完全 に バイパス できます。 - 修正: 各バージョン の セキュリティ パッチ 適用
- 参考: NVD / GHSA
CVE-2026-30968 — Coral Server SSE エンドポイント 認証 不備
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-862 (認可 の 欠如)
- 影響: Coral Server 1.1.0 未満
- 概要: AI エージェント の コラボレーション 基盤
Coral Serverの SSE エンドポイント で 接続 エージェント の 正当性 が 十分 に 検証 されません。セッション 識別子 を 取得 または 推測 した 攻撃者 が エージェント を 偽装 できます。同種 の 脆弱性 が CVE-2026-30969（CVSS 9.1）、CVE-2026-30970（CVSS 9.1）でも 報告 されて います。 - 修正: Coral Server v1.1.0 へ の アップデート
- 参考: NVD / GHSA
CVE-2026-30240 — Budibase パス トラバーサル による 完全 侵害
- CVSSスコア: 9.6 (Critical)
- CWE: CWE-22 (パス トラバーサル), CWE-73
- 影響: Budibase 3.31.5 以前
- 概要: Budibase の PWA ZIP 処理 エンドポイント に パス トラバーサル 脆弱性 が 存在 します。builder 権限 を 持つ ユーザー が
/proc/1/environ等 の 任意 ファイル を 読み取り 可能 で、JWT シークレット、DB 認証情報、暗号化 キー 等 が 漏洩 します。CVE-2026-31816（認証 バイパス、CVSS 9.1）や CVE-2026-25737（ファイル アップロード 制限 バイパス、CVSS 8.9）も 合わせて 報告 されて おり、Budibase 環境 は 包括的 な 対応 が 必要 です。 - 修正: 最新版 へ の アップデート
- 参考: NVD / GHSA
CVE-2026-30869 — SiYuan パス トラバーサル による 機密 情報 漏洩
- CVSSスコア: 9.3 (Critical)
- CWE: CWE-22 (パス トラバーサル)
- 影響: SiYuan 3.5.10 未満
- 概要: 個人 ナレッジ 管理 システム SiYuan の
/exportエンドポイント に ダブル エンコード を 利用 した パス トラバーサル 脆弱性 が 存在 します。API トークン、Cookie 署名 キー 等 の 機密 情報 が 漏洩 し、RCE に チェーン される 可能性 が あります。 - 修正: バージョン 3.5.10 へ の アップデート
- 参考: NVD / GHSA
CVE-2026-30862 — Appsmith Stored XSS による 管理者 アカウント 乗っ取り
- CVSSスコア: 9.0 (Critical)
- CWE: CWE-79 (XSS)
- 影響: Appsmith 1.96 未満
- 概要: Appsmith の Table Widget に Stored XSS 脆弱性 が 存在 します。一般 ユーザー が 「Invite Users」機能 を 経由 して 管理者 に 高権限 の API コール を 実行 させる こと で、完全 な 管理者 アカウント 乗っ取り が 可能 です。
- 修正: バージョン 1.96 へ の アップデート
- 参考: NVD / GHSA
CVE-2026-32635 — Angular i18n 属性 バインディング の XSS
- CVSS: CVSS:4.0 High
- 影響: @angular/core / @angular/compiler — 19.2.20 / 20.3.18 / 21.2.4 / 22.0.0-next.3 未満
- 概要: Angular の ランタイム / コンパイラ に XSS 脆弱性 が 発見 されました。
href等 の セキュリティ センシティブ な 属性 にi18n-<attribute>を 付与 する と、Angular の 組み込み サニタイゼーション が バイパス されます。ユーザー 生成 データ と 組み合わせた 場合 に 攻撃 が 成立 します。 - 修正: 各バージョン の パッチ 適用
- 参考: GHSA
Microsoft Patch Tuesday 関連（HIGH 約50件）
本日 の CVE の うち 約半数 が Microsoft 製品 関連 です。主な 影響 範囲:
- Windows カーネル / Win32K / NTFS — 権限 昇格、情報 漏洩
- Office（Excel / SharePoint） — RCE、デシリアライゼーション
- SQL Server — 権限 昇格、SQL インジェクション
- Azure（MCP Server / Entra ID） — SSRF、権限 昇格
- Active Directory — リソース 名 制限 の 不備
- Windows Print Spooler — UAF による コード 実行
パッチ が 適用 可能 な 環境 は、Windows Update による 一括 適用 を 推奨 します。
エコシステム別 サマリー（OSV）
本日 の OSV データ は 4件。
npm（3件） — Angular の i18n 属性 バインディング XSS（CVE-2026-32635、新規）が 注目。Next.js の サーバー クラッシュ（CVE-2021-43803）と Open Redirect（CVE-2021-37699）は 修正済み の 既知 脆弱性 の 更新。
PyPI（1件） — FastAPI の CSRF（CVE-2021-32677）は 修正済み の 既知 脆弱性 の メタデータ 更新。
JVN 日本語情報
本日 の MyJVN データ に 該当 する 脆弱性 情報 は ありません でした。
まとめ
本日 は MCP サーバー 開発 ツール MCPJam inspector の RCE（CVSS 9.8）が 最も 注目 すべき 脆弱性 です。MCP ツール を 開発・利用 している 場合 は、ツール の バージョン と ネットワーク 設定 を 確認 して ください。ローコード プラットフォーム Budibase に 認証 バイパス を 含む 4件 の 脆弱性 が 集中 して おり、利用 環境 が ある 場合 は 早急 な アップデート を 推奨 します。Rocket.Chat の 2FA バイパス（CVSS 9.8）も 影響 が 大きく、エンタープライズ 環境 で 利用 している 場合 は 優先的 に 対応 して ください。Angular の i18n XSS は フロントエンド 開発者 に 広く 影響 する ため、Angular プロジェクト の バージョン を 確認 する こと を 推奨 します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。