【セキュリティ日報】Next.js CSRF・スムグリング含む5件修正、Confluence更新ほか 212件

本日は NVD から 200件、OSV から 5件、GHSA から 4件、JVN から 3件 の 計 212件 を 確認 しました。Critical 4件 は いずれ も NVD 更新分 で、Atlassian Confluence（CVE-2023-22515）や Adobe Commerce（CVE-2025-54236、CISA KEV 登録済み）が 含まれます。新規 で 注目 すべき は Next.js v16.1.7 で 修正 された 5件 の セキュリティ 脆弱性 で、Server Actions の CSRF バイパス や リクエスト スムグリング が 含まれます。

本日 の 概要

Critical / High 脆弱性 の 詳細

CVE-2023-22515 — Atlassian Confluence 不正 管理者 アカウント 作成

• CVSS スコア: 9.8（Critical）
• CWE: CWE-20（入力 検証 不備）
• 影響: Confluence Data Center / Server（パブリック アクセス 可能 な インスタンス）
• 修正: パッチ 適用済み バージョン へ の 更新

2023年 に 公開 された 脆弱性 ですが、NVD メタデータ が 更新 されました。外部 の 攻撃者 が Confluence に 不正 な 管理者 アカウント を 作成 し、インスタンス に アクセス できる 脆弱性 です。Atlassian Cloud は 影響 を 受けません。未対応 の オンプレミス 環境 が ある 場合 は 早急 に パッチ 適用 を 推奨 します。

• 参考: Atlassian FAQ / NVD

CVE-2025-66631 — CSLA .NET WcfProxy デシリアライゼーション RCE

• CVSS スコア: 9.8（Critical）
• CWE: CWE-502（安全 でない デシリアライゼーション）
• 影響: CSLA .NET 5.5.4 以下
• 修正: CSLA .NET 6.0.0

CSLA .NET フレームワーク の WcfProxy が 使用 する 廃止済み の NetDataContractSerializer（NDCS）に、デシリアライゼーション 時 の リモート コード 実行 脆弱性 が あります。WcfProxy を 使用 している 場合 は 6.0.0 へ の 更新、または 設定 から の 削除 を 推奨 します。

• 参考: GHSA-wq34-7f4g-953v / NVD

CVE-2025-54236 — Adobe Commerce セッション ハイジャック

• CVSS スコア: 9.1（Critical）
• CWE: CWE-20（入力 検証 不備）
• 影響: Adobe Commerce 2.4.9-alpha2 以下
• CISA KEV: 登録済み

Adobe Commerce に 不適切 な 入力 検証 の 脆弱性 が あり、認証 不要 で セッション テイクオーバー が 可能 です。引き続き CISA KEV カタログ に 掲載 されて おり、影響 を 受ける バージョン を 使用 している 場合 は 早急 な パッチ 適用 を 推奨 します。

• 参考: Adobe Advisory / CISA KEV / NVD

CVE-2025-61662 — GRUB gettext モジュール Use-After-Free

• CVSS スコア: 7.8（High）
• CWE: CWE-416（Use-After-Free）
• 影響: GRUB ブートローダー

GRUB の gettext モジュール に Use-After-Free 脆弱性 が あります。ブートローダー レベル の 脆弱性 の ため、セキュア ブート 環境 へ の 影響 が 懸念 されます。ディストリビューション から の GRUB アップデート を 確認 してください。

• 参考: NVD

Next.js セキュリティ 修正（5件）

Next.js v16.1.7（および 一部 v15.5.13 / v15.5.14）で 5件 の セキュリティ 修正 が リリース されました。Vercel プラットフォーム 上 の デプロイ に は 影響 しない 場合 が 多い ですが、セルフホスト 環境 では 確認 が 必要 です。

CVE-2026-29057 が 最も 注意 が 必要 です。Transfer-Encoding: chunked を 使用 した DELETE / OPTIONS リクエスト で リクエスト 境界 の 不一致 が 発生 し、内部 エンドポイント へ の リクエスト スムグリング が 可能 に なります。rewrites で プロキシ 設定 を 行って いる 場合 は 早急 な アップデート を 推奨 します。

• 参考: GHSA-ggv3-7p47-pfv8 / Next.js v16.1.7

エコシステム 別 サマリー

npm

Next.js の 5件 に 加え、YAML パーサー ライブラリ yaml に Stack Overflow 脆弱性（CVE-2026-33532）が 報告 されました。深く ネスト された YAML コレクション で スタック オーバーフロー が 発生 します。v2.8.3 / v1.10.3 で 修正済み です。

• 参考: GHSA-48c2-rrv3-qjmp

PyPI

pypdf に DictionaryObject.read_from_stream で の 無限 ループ 脆弱性（CVE-2026-33699）。リカバリ 試行 時 に DoS と なる 可能性 が あります。v6.9.2 で 修正済み です。

• 参考: GHSA-87mj-5ggw-8qc3

Go

リバース プロキシ Zoraxy に 認証済み パストラバーサル から の RCE 脆弱性（CVE-2026-33529）。Config Import 機能 を 経由 します。v3.3.2 で 修正済み です。

• 参考: GHSA-7pq3-326h-f8q9

Packagist

MantisBT に タグ 表示 時 の Stored XSS 脆弱性（CVE-2026-33548、HIGH）。Timeline 上 の タグ 表示 で HTML インジェクション が 可能 です。v2.28.2 で 修正済み です。

• 参考: GHSA-73vx-49mv-v8w5

Linux kernel 更新

NVD 200件 中 178件（89%）が Linux kernel 関連 です。CWE 別 では NULL ポインタ 参照（CWE-476）が 39件、Use-After-Free（CWE-416）が 20件、メモリ リーク（CWE-401）が 13件 と、メモリ 安全性 関連 が 大部分 を 占めます。サブシステム 別 では drm（GPU / ディスプレイ）15件、netfilter 9件、f2fs 8件、USB 7件 が 目立ちます。HIGH 評価 の もの は CVSS 7.1〜7.8 の 範囲 に 集中 して います。

JVN 日本語 情報

CVE-2026-26306 — OM Workspace（Windows版）DLL 読み込み 脆弱性

• CVSS スコア: 7.8（High）
• JVNDB: JVNDB-2026-000040

OM デジタル ソリューションズ の OM Workspace（Windows版）インストーラ に、DLL 検索 パス の 制御 不備（CWE-427）が あります。同一 ディレクトリ に 配置 された 悪意 ある DLL を 読み込む 可能性 が あります。

• 参考: JVN iPedia

CVE-2026-33253 — SANUPS SOFTWARE ファイルパス 脆弱性

• CVSS スコア: 6.7（Medium）
• JVNDB: JVNDB-2026-000041

山洋電気 の SANUPS SOFTWARE に 引用符 で 囲まれて いない ファイル パス（CWE-428）の 脆弱性 が あります。

• 参考: JVN iPedia

CVE-2026-32326 — シャープ製 ルーター 認証 欠如

• CVSS スコア: 5.7（Medium）
• JVNDB: JVNDB-2026-000043

シャープ製 の 複数 の ルーター 製品 で、一部 の Web API が 認証 なし で 使用 可能 です。管理者 パスワード は 機器 情報 に 基づいて 初期 設定 されて おり、攻撃者 が 推測 できる 可能性 が あります。

• 参考: JVN iPedia

まとめ

本日 は Critical 4件、High 47件 を 含む 212件 の CVE を 分析 しました。最も 注目 すべき は Next.js v16.1.7 で 修正 された 5件 の セキュリティ 脆弱性 で、特に rewrites プロキシ 経由 の HTTP リクエスト スムグリング（CVE-2026-29057）と Server Actions の CSRF バイパス（CVE-2026-27978）は セルフホスト 環境 で 影響 が あります。Next.js を 使用 している プロジェクト は v16.1.7（または v15.5.13 / v15.5.14）へ の アップデート を 推奨 します。

NVD 更新分 では Atlassian Confluence（CVE-2023-22515、CVSS 9.8）や Adobe Commerce（CVE-2025-54236、CVSS 9.1、CISA KEV 登録）の メタデータ が 更新 されて います。npm パッケージ yaml の Stack Overflow、pypdf の 無限 ループ など 依存 パッケージ の 更新 も 確認 してください。Linux kernel 関連 は 178件 と 大量 ですが、大半 は バックポート パッチ の 公開 に 伴う もの です。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説 は Claude API に より 自動生成 されて います。正確性 に ついて は 原文 を ご確認 ください。