【セキュリティ日報】cPanel認証バイパス（CVSS 9.8）ほか495件

本日はNVDで495件のCVEが公開・更新され、うちCriticalが11件です。CVE-2026-41940（cPanel/WHM認証バイパス、CVSS 9.8）が最も影響範囲が広く、共有ホスティング環境での早急な対応を推奨します。CVE-2026-7321（Firefox/Thunderbirdサンドボックス脱出、CVSS 9.6）やAI関連のCVE-2026-34159（llama.cpp RCE、CVSS 9.8）も深刻度が高い脆弱性です。

本日の概要

※ 495件の大半は過去CVEのスコア再評価・メタデータ更新を含みます。

Critical / High 脆弱性の詳細解説

CVE-2026-41940 — cPanel/WHM 認証バイパス

• CVSSスコア: 9.8（Critical）
• CWE: CWE-306（認証の欠如）
• 影響: cPanel/WHM 11.40以降の全バージョン
• 概要: cPanelおよびWHMのログインフローに認証バイパスの脆弱性が存在します。未認証のリモート攻撃者がコントロールパネルへ不正にアクセスできるため、共有ホスティング環境では同一サーバ上の全テナントに影響が及ぶ可能性があります。
• 対策: cPanel公式のセキュリティアップデートを適用してください
• 参考: NVD / cPanel Advisory

CVE-2026-7321 — Firefox/Thunderbird サンドボックス脱出

• CVSSスコア: 9.6（Critical）
• CWE: CWE-120（バッファオーバーフロー）
• 影響: Firefox 150未満、Thunderbird 150未満、Firefox ESR 140.10.1未満、Thunderbird 140.10.1未満
• 概要: WebRTCネットワーキングコンポーネントの境界条件の不備によるサンドボックス脱出です。攻撃者がブラウザのサンドボックスを突破して任意のコードを実行できる可能性があります。
• 修正バージョン: Firefox 150、Thunderbird 150、Firefox ESR 140.10.1、Thunderbird 140.10.1
• 参考: NVD / Mozilla Advisory

CVE-2026-34159 — llama.cpp RPC バックエンドにおけるRCE

• CVSSスコア: 9.8（Critical）
• CWE: CWE-119（バッファオーバーフロー）
• 影響: llama.cpp b8492未満
• 概要: RPCバックエンドのdeserialize_tensor()がバッファフィールドが0の場合に境界検証をスキップする問題があります。認証なしでプロセスメモリの読み書きが可能となり、ASLR迂回を経てリモートコード実行につながります。RPCサーバーのポートへTCPアクセスできる環境では認証不要で攻撃可能です。
• 修正バージョン: b8492
• 参考: NVD / GitHub Advisory

CVE-2026-26015 — DocsGPT リモートコード実行

• CVSSスコア: 9.8（Critical）
• CWE: CWE-77（コマンドインジェクション）
• 影響: DocsGPT 0.15.0〜0.16.0未満
• 概要: GPTベースのドキュメントチャットツール「DocsGPT」において、MCPテスト機能のバイパスにより任意のリモートコード実行が可能です。公式サイトおよびローカル・パブリックデプロイ環境が影響を受けます。
• 修正バージョン: 0.16.0
• 参考: NVD / GitHub Advisory

CVE-2026-30893 — Wazuh クラスタ同期におけるパストラバーサル

• CVSSスコア: 9.0（Critical）
• CWE: CWE-22（パストラバーサル）、CWE-73（外部制御によるファイル名）
• 影響: Wazuh 4.4.0〜4.14.4未満
• 概要: Wazuhのクラスタ同期展開ルーチンにパストラバーサルの脆弱性があり、認証済みクラスタピアが意図したディレクトリ外にファイルを書き込めます。Pythonモジュールの上書きによるコード実行が可能で、特権実行環境ではシステムレベルの侵害に発展します。
• 修正バージョン: 4.14.4
• 参考: NVD / GitHub Advisory

CVE-2026-23500 — Dolibarr OSコマンドインジェクション

• CVSSスコア: 9.1（Critical）
• CWE: CWE-78（OSコマンドインジェクション）
• 影響: Dolibarr 23.0.0未満
• 概要: ERP/CRMソフトウェア「Dolibarr」のODT→PDF変換処理でMAIN_ODT_AS_PDF設定値がシェルコマンドにサニタイズなしで連結されます。認証済み管理者がコマンドセパレータを利用してWebサーバーユーザー権限でRCEを実行可能です。
• 修正バージョン: 23.0.0
• 参考: NVD / GitHub Advisory

CVE-2026-5402 — Wireshark TLS ヒープオーバーフロー

• CVSSスコア: 8.8（High）
• CWE: CWE-122（ヒープバッファオーバーフロー）
• 影響: Wireshark 4.6.0〜4.6.4
• 概要: TLSプロトコルディセクタにヒープオーバーフローがあり、サービス拒否およびコード実行の可能性があります。悪意あるパケットキャプチャファイルの解析で攻撃が成立します。
• 対策: Wiresharkを最新バージョンへアップデートしてください
• 参考: NVD / Wireshark Advisory

その他のCritical脆弱性

• CVE-2026-40504 — Gravity 0.9.6未満にヒープバッファオーバーフロー（CVSS 9.8）。細工されたスクリプトで任意コード実行。
• CVE-2026-41386 — OpenClaw 2026.3.22未満にペアリング時の権限昇格（CVSS 9.1）。
• CVE-2026-40903 — goshs 2.0.0-beta.6未満にArtiPACKED脆弱性によるGITHUB_TOKEN漏洩（CVSS 9.1）。
• CVE-2022-45047 — Apache MINA SSHD 2.9.1以下のデシリアライゼーション脆弱性（CVSS 9.8）。2022年公開のCVEでメタデータが更新されました。

JVN 日本語情報

JVNDB-2026-013928 — Pallets Click コマンドインジェクション

• CVE ID: CVE-2026-7246
• CVSSスコア: 7.2（High）
• 概要: Pythonの人気CLIライブラリ「Click」のバージョン8.3.2以下で、click.edit()関数にコマンドインジェクションの脆弱性が存在します。攻撃者が権限のないアカウントから任意のOSコマンドを実行できる可能性があります。PythonプロジェクトでClickを利用している場合は確認を推奨します。
• 参考: JVN

JVNDB-2026-000066 — リコー製Web Image Monitor オープンリダイレクト

• CVE ID: CVE-2026-41226
• CVSSスコア: 4.7（Medium）
• 概要: リコー製レーザープリンタおよび複合機のWeb Image Monitorにオープンリダイレクトの脆弱性があります。攻撃者が細工したURLをユーザーにクリックさせることで、悪意あるサイトへリダイレクトさせることが可能です。
• 参考: JVN

JVNDB-2026-013931 — CISA ICS Advisory（2026年4月28日）

CISAがICS Advisoryを1件公表しました（NSA GRASSMARLIN: ICSA-26-118-01）。ICS環境を運用している場合はCISAの公式ページを確認してください。

まとめ

本日はCritical 11件を含む495件のCVEが公開・更新されました。特に注目すべきは、cPanel/WHMの認証バイパス（CVSS 9.8）です。共有ホスティング環境でcPanelを利用している場合は、全テナントに影響が及ぶ可能性があるため最優先で対応してください。Firefox/Thunderbirdのサンドボックス脱出（CVSS 9.6）も全ユーザーに影響するため、ブラウザの自動更新が有効であることを確認してください。

AI関連ではllama.cpp（CVSS 9.8）とDocsGPT（CVSS 9.8）にRCEの脆弱性が公開されています。LLM推論サーバーを公開ネットワークで運用している場合は速やかにアップデートを推奨します。セキュリティツールのWazuh（CVSS 9.0）にも深刻な脆弱性があり、皮肉にもセキュリティ基盤自体のパッチ管理の重要性が改めて示されました。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。