本日は スコア付き CVE 50件 が 公開・更新 され、うち Critical が 3件、High が 23件。AdGuard Home に HTTP/2 アップグレード を 利用 した 認証 バイパス（CVE-2026-32136、CVSS 9.8）が 報告 されて おり、セルフホスト 環境 で 利用 して いる 場合 は 早急 な 対応 が 必要 です。
Google Chrome の 緊急 セキュリティ パッチ 2件（CVE-2026-3909、CVE-2026-3910）が CISA Known Exploited Vulnerabilities（KEV）に 追加 されて おり、実際 の 攻撃 が 確認 されて います。Adobe Commerce の セッション 乗っ取り（CVE-2025-54236、CVSS 9.1）も KEV 登録 済み で、EC サイト 運営者 は 最優先 で 確認 して ください。
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 50件 |
| Critical (9.0+) | 3件 |
| High (7.0-8.9) | 23件 |
| Medium (4.0-6.9) | 23件 |
| Low (0.1-3.9) | 1件 |
| 新規CVE | 13件 |
| 更新CVE | 37件 |
| OSV 更新 | 4件 |
| 影響エコシステム | npm, PyPI |
Critical / High 脆弱性 の 詳細解説
CVE-2026-32136 — AdGuard Home 認証 バイパス
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-287（不適切 な 認証）
- 影響: AdGuard Home 0.107.73 未満
- 概要: AdGuard Home に HTTP/1.1 から HTTP/2 cleartext（h2c）へ の アップグレード リクエスト を 利用 した 認証 バイパス 脆弱性 が 存在 します。アップグレード 後 の HTTP/2 接続 は 認証 ミドルウェア が 適用 されない 内部 マルチプレクサ で 処理 される ため、認証情報 なし で すべて の 機能 に アクセス できて しまいます。
- 修正: バージョン 0.107.73 へ の アップデート
- 参考: GHSA
CVE-2025-54236 — Adobe Commerce セッション 乗っ取り（CISA KEV 登録）
- CVSSスコア: 9.1 (Critical)
- CWE: CWE-20（不適切 な 入力 検証）
- 影響: Adobe Commerce 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 以前
- 概要: Adobe Commerce に 入力 検証 の 不備 に よる セッション 乗っ取り 脆弱性 が 存在 します。ユーザー 操作 なし で 攻撃 が 成立 し、機密性 と 完全性 へ の 影響 が 高い です。CISA KEV に 登録 されて おり、実際 の 攻撃 が 確認 されて います。
- 修正: Adobe セキュリティ パッチ の 適用（APSB25-88）
- 参考: NVD
CVE-2026-32133 — 2FAuth Blind SSRF
- CVSSスコア: 9.1 (Critical)
- CWE: CWE-918（SSRF）
- 影響: 2FAuth 6.1.0 未満
- 概要: 2FA 管理 アプリ 2FAuth に Blind SSRF 脆弱性 が 存在 します。OTP URL の image パラメータ に 対する 内部 IP アドレス の 検証 が 不十分 で、認証済み ユーザー が サーバー から 内部 ネットワーク や クラウド メタデータ エンドポイント へ 任意 の HTTP リクエスト を 送信 できます。
- 修正: バージョン 6.1.0 へ の アップデート
- 参考: GHSA
Chrome 緊急 セキュリティ パッチ — Skia / V8 / WebView（2件 が CISA KEV 登録）
Google Chrome 146.0.7680.71 および 146.0.7680.75 で 修正 された 3件 の HIGH 脆弱性 が 報告 されて います。
- CVE-2026-3909 — Skia の 境界外 書き込み（CVSS 8.8、CISA KEV 登録）。細工 された HTML ページ を 介して 境界外 メモリ アクセス が 可能 です。Chrome 146.0.7680.75 で 修正 されて います。
- CVE-2026-3910 — V8 の 不適切 な 実装 に よる サンドボックス 内 コード 実行（CVSS 8.8、CISA KEV 登録）。細工 された HTML ページ に より サンドボックス 内 で 任意 の コード を 実行 される 可能性 が あります。Chrome 146.0.7680.75 で 修正。
- CVE-2026-3936 — Android WebView の Use-After-Free に よる ヒープ 破壊（CVSS 8.8）。Android 上 の Chrome で ヒープ 破壊 を 引き起こす 可能性 が あります。Chrome 146.0.7680.71 で 修正。
2件 が CISA KEV に 追加 されて おり、実際 の 攻撃 が 確認 されて います。Chrome の 自動 更新 を 有効 に して いない 環境 は 手動 で の アップデート を 推奨 します。
Microsoft 関連 脆弱性（HIGH 5件）
本日 の CVE の うち Microsoft 製品 関連 が 複数件 含まれて います。主な 影響 範囲 は 以下 の とおりです。
- CVE-2026-26115 — SQL Server 入力 型 検証 不備 に よる 権限 昇格（CVSS 8.8）。ネットワーク 経由 で 認証済み 攻撃者 が 権限 昇格 可能。
- CVE-2026-26116 — SQL Server SQL インジェクション に よる 権限 昇格（CVSS 8.8）。認証済み ユーザー が 権限 昇格 可能。
- CVE-2026-26118 — Azure MCP Server SSRF に よる 権限 昇格（CVSS 8.8）。認証済み 攻撃者 が ネットワーク 経由 で 権限 昇格 可能。
- CVE-2026-26105 — Office SharePoint XSS に よる スプーフィング（CVSS 8.1）。未認証 攻撃者 に よる スプーフィング が 可能。
- CVE-2026-26111 — Windows RRAS 整数 オーバーフロー に よる コード 実行（CVSS 8.0）。認証済み 攻撃者 に よる リモート コード 実行。
- CVE-2026-26117 — Azure Windows VM Agent 認証 バイパス（CVSS 7.8）。ローカル で の 権限 昇格。
Windows Update に よる パッチ 適用 を 推奨 します。
iccDEV ライブラリ — 8件 の メモリ 破壊 脆弱性（すべて CVSS 7.8）
ICC カラー 管理 プロファイル 用 ライブラリ iccDEV に 8件 の HIGH 脆弱性 が まとめて 報告 されて います。ヒープ バッファ オーバーフロー、スタック バッファ オーバーフロー、Use-After-Free、NULL ポインタ 参照 等 が 含まれ、すべて v2.3.1.5 で 修正 済み です。
| CVE ID | 脆弱性の種類 | CWE |
|---|---|---|
| CVE-2026-30978 | Heap Use-After-Free | CWE-416 |
| CVE-2026-30979 | Heap Buffer Overflow | CWE-122 |
| CVE-2026-30983 | Stack Buffer Overflow (strcpy) | CWE-121 |
| CVE-2026-30985 | Heap Buffer Overflow Write | CWE-122 |
| CVE-2026-30987 | Stack Buffer Overflow | CWE-121 |
| CVE-2026-31792 | NULL Pointer Dereference | CWE-476 |
| CVE-2026-31795 | Stack Buffer Overflow Write | CWE-121 |
| CVE-2026-31796 | Heap Buffer Overflow | CWE-122 |
iccDEV を 依存 に 含む プロジェクト は v2.3.1.5 へ の アップデート を 検討 して ください。
その他 の 注目 脆弱性
- CVE-2026-23654 — GitHub zero-shot-scfoundation に 脆弱 な サードパーティ コンポーネント が 含まれて おり、ネットワーク 経由 で の コード 実行 が 可能（CVSS 8.8）。
- CVE-2023-25164 — TinaCMS CLI で 環境 変数 が 平文 で index.js に 書き込まれる 情報 漏洩（CVSS 8.6）。@tinacms/cli 1.0.0〜1.0.8 が 影響。API キー の ローテーション を 推奨。
- CVE-2026-31894 — WeGIA で シンボリック リンク フォロー に よる 任意 ファイル 読み取り（CVSS 7.5）。v3.6.6 で 修正。
- CVE-2026-23068 — Linux kernel spi-sprd-adi ドライバ の ダブル フリー（CVSS 7.8）。devm_spi_alloc_host() へ の 切り替え で 修正。
エコシステム別 サマリー（OSV）
本日 の OSV データ は 4件。いずれも 過去 に 公開 された 既知 脆弱性 の メタデータ 更新 です。
npm（3件）:
- Next.js Open Redirect（CVE-2020-15242）— v9.5.4 で 修正済み
- Next.js Image Optimization API の XSS（CVE-2021-39178）— v11.1.1 で 修正済み
- Svelte SSR 時 の XSS（CVE-2022-25875）— v3.49.0 で 修正済み
PyPI（1件）:
- jQuery の prototype pollution が Django に 影響（CVE-2019-11358）— jQuery 3.4.0 / Django 2.1.9, 2.2.2 で 修正済み
いずれも 修正 バージョン が リリース 済み の 古い 脆弱性 です。最新 バージョン を 利用 して いれば 影響 は ありません。
JVN 日本語情報
本日 の MyJVN データ に 該当 する 脆弱性 対策 情報 は ありません でした。
まとめ
本日 は AdGuard Home の 認証 バイパス（CVSS 9.8）が 最も 深刻 な 脆弱性 です。HTTP/2 cleartext アップグレード を 利用 した 手法 で、セルフホスト 環境 の AdGuard Home は v0.107.73 へ の アップデート を 推奨 します。Chrome の Skia / V8 脆弱性 2件 は CISA KEV に 追加 されて おり、実際 の 攻撃 が 確認 されて いる ため ブラウザ の 更新 を 優先 して ください。Adobe Commerce の セッション 乗っ取り（CVSS 9.1）も KEV 登録 済み で、EC サイト 運営者 は パッチ 適用 を 急い で ください。
iccDEV ライブラリ で 8件 の メモリ 破壊 脆弱性 が まとめて 修正 されて います。直接 利用 して いる 場合 や 依存 ツール に 含まれて いる 場合 は v2.3.1.5 へ の 更新 を 確認 して ください。Microsoft 関連 で は SQL Server の 権限 昇格 や Azure MCP Server の SSRF が 高 スコア で あり、Windows Update の 適用 を 推奨 します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。