本日はNVDで200件のCVEが公開・更新され、うちCriticalが15件と多めの日です。Ubiquiti UniFi Network ApplicationのCVSS 10.0パストラバーサル（CVE-2026-22557）が最も深刻で、ネットワーク経由でシステムファイルへの不正アクセスが可能です。Angular XSS（CVSS 9.0）やingress-nginx RCE（CVSS 8.8）など、広く利用されるソフトウェアにも影響があり、早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 15件 |
| High (7.0-8.9) | 111件 |
| Medium (4.0-6.9) | 49件 |
| Low (0-3.9) | 5件 |
| GHSA更新 | 1件 |
| JVN公開 | 1件 |
Critical / High 脆弱性の詳細解説
CVE-2026-22557 — UniFi Network Application パストラバーサル
- CVSSスコア: 10.0（Critical）
- CWE: CWE-22（パストラバーサル）
- 影響: UniFi Network Application
- 概要: ネットワークアクセスを持つ攻撃者が、パストラバーサル脆弱性を悪用してシステム上のファイルにアクセスし、アカウントを操作することが可能です。CVSSスコア10.0は最高値であり、認証不要・ネットワーク経由で攻撃可能な点が深刻です。
- 対策: Ubiquiti公式のセキュリティアドバイザリを確認し、最新バージョンへアップデートしてください
- 参考: NVD / Ubiquiti Advisory
CVE-2026-5412 — Canonical Juju クラウド資格情報漏洩
- CVSSスコア: 9.9（Critical）
- CWE: CWE-285（不適切な認可）
- 影響: Juju 2.9.57未満、3.6.21未満
- 概要: Jujuコントローラのfacadeに認可の不備があり、認証済みの低権限ユーザーがCloudSpec APIを呼び出してコントローラのブートストラップに使用されたクラウド資格情報を取得できます。クラウド環境全体の侵害につながる可能性があります。
- 修正バージョン: Juju 2.9.57、3.6.21
- 参考: NVD / GitHub Advisory
CVE-2026-22562 / CVE-2026-22563 / CVE-2026-22564 — UniFi Play 複数の脆弱性
- CVSSスコア: 9.8（Critical）× 3件
- CWE: CWE-22、CWE-20、CWE-284
- 影響: UniFi Play PowerAmp 1.0.35以前、UniFi Play Audio Port 1.0.24以前
- 概要: UniFi Play製品にパストラバーサルによるRCE、コマンドインジェクション、不正なSSH有効化の3つの脆弱性が存在します。いずれもネットワークアクセスから攻撃可能です。
- 修正バージョン: PowerAmp 1.0.38以降、Audio Port 1.1.9以降
- 参考: NVD / Ubiquiti Advisory
CVE-2026-32635 — Angular XSS（i18n属性サニタイズバイパス）
- CVSSスコア: 9.0（Critical）
- CWE: CWE-79（クロスサイトスクリプティング）
- 影響: Angular 22.0.0-next.3未満、21.2.4未満、20.3.18未満、19.2.20未満
- 概要: Angularのランタイムとコンパイラに、セキュリティ上重要な属性（例: aタグのhref）に
i18n-属性を付与するとビルトインサニタイズが迂回されるXSS脆弱性が存在します。ユーザー入力をバインディングしている場合に悪意あるスクリプトが注入可能です。 - 修正バージョン: 22.0.0-next.3、21.2.4、20.3.18、19.2.20
- 参考: NVD / GitHub Advisory
CVE-2026-40324 — Hot Chocolate GraphQL サーバー DoS
- CVSSスコア: 9.1（Critical）
- CWE: CWE-674（制御されない再帰）
- 影響: Hot Chocolate 12.22.7未満、13.9.16未満、14.3.1未満、15.1.14未満
- 概要: .NET向けGraphQLサーバー「Hot Chocolate」のパーサーに再帰深度制限がなく、約40KBの深くネストされたGraphQLドキュメントでStackOverflowExceptionが発生します。.NETではこの例外はキャッチ不能で、ワーカープロセスが即座に終了します。MaxExecutionDepthやcomplexityアナライザーではパーサー段階のため防げません。
- 修正バージョン: 12.22.7、13.9.16、14.3.1、15.1.14
- 参考: NVD / GitHub PR
CVE-2025-54236 — Adobe Commerce セッション乗っ取り（CISA KEV）
- CVSSスコア: 9.1（Critical）
- CWE: CWE-20（不適切な入力検証）
- 影響: Adobe Commerce 2.4.9-alpha2、2.4.8-p2、2.4.7-p7、2.4.6-p12、2.4.5-p14、2.4.4-p15以前
- 概要: Adobe Commerce（Magento）に入力検証不備によるセッション乗っ取りの脆弱性。ユーザー操作なしで攻撃可能で、機密性・完全性に高い影響があります。CISAのKnown Exploited Vulnerabilities（KEV）カタログに登録済みです。
- 対策: Adobe公式のセキュリティパッチを適用してください
- 参考: NVD / Adobe Security Bulletin / CISA KEV
CVE-2026-6644 — ASUSTOR ADM コマンドインジェクション
- CVSSスコア: 9.1（Critical）
- CWE: CWE-78（OSコマンドインジェクション）
- 影響: ADM 4.1.0〜4.3.3.RR42、ADM 5.0.0〜5.1.2.REO1
- 概要: ASUSTOR NASのADMにPPTP VPNクライアント経由のコマンドインジェクション脆弱性。管理者権限ユーザーがWeb管理画面から任意のOSコマンドを実行でき、RCEによるシステム完全侵害が可能です。
- 対策: ASUSTORの公式セキュリティアドバイザリを確認し、ADMをアップデートしてください
- 参考: NVD
CVE-2026-3288 — ingress-nginx rewrite-target インジェクション
- CVSSスコア: 8.8（High）
- CWE: CWE-20（不適切な入力検証）
- 影響: ingress-nginx（Kubernetes）
- 概要: Kubernetesのingress-nginxで、
rewrite-targetアノテーションを通じたnginx設定インジェクションが可能です。デフォルトインストールではコントローラがクラスタ全体のSecretにアクセスできるため、任意コード実行とSecret漏洩につながります。Kubernetesを本番利用している場合は早急な確認を推奨します。 - 対策: ingress-nginxを最新バージョンへアップデート
- 参考: NVD / Kubernetes Issue
CVE-2026-40258 — Gramps Web API Zip Slip
- CVSSスコア: 9.1（Critical）
- CWE: CWE-22（パストラバーサル）
- 影響: Gramps Web API 1.6.0〜3.11.0
- 概要: 系図研究ソフトウェアGrampsのWeb APIにZip Slip脆弱性。オーナー権限を持つ認証済みユーザーが、細工されたZIPファイルをアップロードすることで、サーバー上の任意のパスにファイルを書き込めます。
- 修正バージョン: 3.11.1
- 参考: NVD / GitHub Advisory
エコシステム別サマリー
本日のOSVデータでは新規の脆弱性報告はありませんでした。GHSAでは1件の更新がありました。
PyPI
- h2o (h2oai/h2o-3): CVE-2023-6569 — ファイルパスの外部制御（GHSA-gqrq-j6pm-98c2、Critical）。3.46.0.1で修正済み。2023年公開のCVEで、GHSAメタデータが更新されたものです。
JVN 日本語情報
JVNDB-2026-000066 — リコー製Web Image Monitor オープンリダイレクト
- CVE ID: CVE-2026-41226
- CVSSスコア: 4.7（Medium）
- CWE: CWE-601（オープンリダイレクト）
- 概要: 株式会社リコーが提供するレーザープリンタおよび複合機（MFP）に搭載されたWeb Image Monitorにオープンリダイレクトの脆弱性が存在します。攻撃者が細工したURLをユーザーにクリックさせることで、悪意あるサイトへリダイレクトさせることが可能です。
- 対策: リコーの公式サイトでファームウェアアップデートを確認してください
- 参考: JVN
まとめ
本日はCritical 15件を含む200件のCVEが公開・更新されました。特に注目すべきは、UniFi Network Application（CVSS 10.0）、Canonical Juju（CVSS 9.9）、Angular XSS（CVSS 9.0）の3件です。また、Kubernetesのingress-nginx（CVSS 8.8）やAdobe Commerce（CVSS 9.1、CISA KEV登録済み）も影響範囲が広いため、該当製品を利用している場合は早めにパッチ適用状況を確認してください。
なお、NVDの200件にはdataTaker（2017年）やjackson-databind（2020年）など過去のCVEのスコア再評価も含まれています。レガシー環境でない限り、これらへの追加対応は不要です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。