本日はNVDで167件のCVEが公開・更新されました。Critical 24件、High 59件と深刻な脆弱性が多数含まれています。AIエージェントフレームワークPraisonAIに9件のCritical/Highが集中しているほか、Kestra、Fortinet FortiClientEMS、Adobe Commerce（CISA KEV掲載済み）など、早急な対応が必要な脆弱性が目立ちます。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 167件 |
| Critical (9.0+) | 24件 |
| High (7.0-8.9) | 59件 |
| Medium (4.0-6.9) | 61件 |
| Low (0-3.9) | 3件 |
| JVN | 1件 |
Critical / High 脆弱性の詳細
PraisonAI — AIエージェントフレームワークに9件の深刻な脆弱性
AIマルチエージェントシステムPraisonAIに、Critical 6件・High 3件と集中的にセキュリティアドバイザリが公開されました。
| CVE ID | CVSS | 脆弱性の種類 | 修正バージョン |
|---|---|---|---|
| CVE-2026-34938 | 10.0 | サンドボックスバイパスによる任意コマンド実行 | 1.5.90 |
| CVE-2026-34934 | 9.8 | SQLインジェクション | 4.5.90 |
| CVE-2026-34935 | 9.8 | MCPオプション経由のコマンドインジェクション | 4.5.69 |
| CVE-2026-34952 | 9.1 | Gatewayサーバーの認証欠如 | 4.5.97 |
| CVE-2026-34953 | 9.1 | OAuthトークン検証バイパス | 4.5.97 |
| CVE-2026-34955 | 8.8 | SubprocessSandbox回避 | 4.5.97 |
| CVE-2026-34954 | 8.6 | SSRF（FileTools.download_file） | 1.5.95 |
| CVE-2026-34937 | 7.8 | run_python()のコマンドインジェクション | 1.5.90 |
| CVE-2026-34936 | 7.7 | SSRF（passthrough/apassthrough） | 4.5.90 |
最も深刻なCVE-2026-34938（CVSS 10.0）は、execute_code()のサンドボックスをstrサブクラスのstartswith()メソッドオーバーライドで完全に回避できる脆弱性です。PraisonAIを利用している場合は、各修正バージョンへの速やかなアップデートを推奨します。
CVE-2026-34612 — Kestra SQLインジェクション（CVSS 9.9）
オープンソースのオーケストレーションプラットフォームKestraのデフォルトdocker-compose構成に、SQLインジェクション脆弱性が存在します。/api/v1/main/flows/searchエンドポイント経由で、PostgreSQLのCOPY ... TO PROGRAMを悪用した任意コマンド実行が可能です。v1.3.7で修正済み。
- 影響: Kestra < 1.3.7（docker-compose構成）
- CWE: CWE-89（SQLインジェクション）
- 参照: GHSA-365w-2m69-mp9x
CVE-2026-35616 — Fortinet FortiClientEMS 未認証コード実行（CVSS 9.8）
Fortinet FortiClientEMS 7.4.5〜7.4.6にアクセス制御の不備があり、未認証の攻撃者が細工したリクエストで任意コードを実行できる可能性があります。
- 影響: FortiClientEMS 7.4.5〜7.4.6
- CWE: CWE-284（不適切なアクセス制御）
- 参照: FG-IR-26-099
CVE-2025-54236 — Adobe Commerce 入力検証不備（CVSS 9.1・CISA KEV掲載）
Adobe Commerceの複数バージョンに入力検証の不備があり、既にCISAのKnown Exploited Vulnerabilities（KEV）カタログに掲載されています。実際の攻撃に悪用されている可能性が高く、即時対応が必要です。
- 影響: Adobe Commerce 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 以前
- CWE: CWE-20（不適切な入力検証）
- 参照: APSB25-88
CVE-2026-33990 — Docker Model Runner SSRF（CVSS 9.1）
Docker Model Runner（DMR）にSSRF脆弱性が存在し、AIモデルの管理・実行環境が影響を受けます。v1.1.25で修正済み。
- 影響: Docker Model Runner < 1.1.25
- CWE: CWE-918（SSRF）
- 参照: GHSA-x2f5-332j-9xwq
AIOHTTP — Python非同期HTTPフレームワークに3件
Python向け非同期HTTPフレームワークAIOHTTPに複数の脆弱性が公開されました。いずれもv3.13.4で修正済みです。
| CVE ID | CVSS | 脆弱性の種類 |
|---|---|---|
| CVE-2026-34520 | 9.1 | HTTPヘッダインジェクション |
| CVE-2026-22815 | 7.5 | リソース枯渇（DoS） |
| CVE-2026-34516 | 7.5 | メモリ枯渇（DoS） |
Electron — デスクトップアプリフレームワークに5件（CVSS 7.0〜8.3）
Electronフレームワークに複数のセキュリティアドバイザリが公開されました。use-after-free、データ露出、未文書化オプションの悪用など多岐にわたります。
| CVE ID | CVSS | 脆弱性の種類 |
|---|---|---|
| CVE-2026-34780 | 8.3 | VideoFrame経由のデータ露出 |
| CVE-2026-34774 | 8.1 | Use-After-Free（オフスクリーンレンダリング） |
| CVE-2026-34769 | 7.7 | 未文書化commandLineSwitchesの悪用 |
| CVE-2026-34771 | 7.5 | Use-After-Free（パーミッションハンドラ） |
| CVE-2026-34770 | 7.0 | Use-After-Free（powerMonitor） |
Amazon Athena ODBCドライバ — 6件の脆弱性（CVSS 7.4〜7.8）
Amazon Athena ODBCドライバにコマンドインジェクション、証明書検証不備、リソース枯渇などの脆弱性が公開されました。v2.1.0.0で修正済みです。
その他の注目CVE
| CVE ID | CVSS | ソフトウェア | 概要 |
|---|---|---|---|
| CVE-2026-28798 | 9.0 | ZimaOS | SSRF脆弱性 |
| CVE-2026-33175 | 8.8 | OAuthenticator (JupyterHub) | 認証バイパス |
| CVE-2026-3666 | 8.8 | wpForo Forum (WordPress) | 任意ファイル削除 |
| CVE-2026-25726 | 8.1 | Cloudreve | 弱い乱数生成 |
| CVE-2006-10003 | 9.8 | XML::Parser (Perl) | ヒープバッファオーバーフロー |
JVN 日本語情報
JVNDB-2026-000049 — NEC Atermシリーズにおける複数の脆弱性
NECのAtermシリーズルーターに複数の脆弱性が報告されています。権限チェックの欠如、パストラバーサル、OSコマンドインジェクション、隠し機能の存在が確認されました。JPCERT/CCとの調整を経て公開されたものです。
- 関連CVE: CVE-2026-4309, CVE-2026-4619, CVE-2026-4620, CVE-2026-4621, CVE-2026-4622
- 参照: JVNDB-2026-000049
まとめ
本日はCritical 24件と多めの一日でした。特にPraisonAIは9件もの脆弱性が同時に公開され、AIエージェントフレームワークのセキュリティリスクが改めて浮き彫りになっています。利用者は速やかに最新バージョンへのアップデートを検討してください。
Adobe Commerce（CVE-2025-54236）はCISA KEVに掲載済みで、実際に悪用が確認されている可能性があります。EC事業者はパッチ適用の優先度を上げることを推奨します。また、Fortinet FortiClientEMS、Docker Model Runner、AIOHTTPなど広く利用されるソフトウェアにもCritical級の修正が含まれており、影響範囲の確認をお勧めします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。