本日はNVDで1,977件のCVEが公開・更新されました。最大の注目は @tanstack/* npm パッケージのサプライチェーン攻撃（CVE-2026-45321）で、84パッケージにクレデンシャル窃取マルウェアが混入していたことが判明しています。また、Ghost CMSのSQLインジェクション（CVE-2026-26980）やLiteLLMの複数脆弱性も深刻です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 1,977件 |
| Critical (9.0+) | 6件 |
| High (7.0-8.9) | 61件 |
| Medium (4.0-6.9) | 116件 |
| GHSAアドバイザリ | 1,423件 |
| 影響エコシステム | npm, PyPI, Go, Packagist, crates.io |
Critical / High 脆弱性の詳細解説
CVE-2026-45321 — @tanstack/* サプライチェーン攻撃（Critical）
- 深刻度: Critical（サプライチェーン攻撃）
- 影響: @tanstack/react-router, @tanstack/router-core など84パッケージ
- 概要: TanStack Router関連の84個のnpmパッケージにマルウェアが混入され、インストール時にクラウド認証情報（AWS等）、GitHubトークン、SSH秘密鍵を外部サーバーへ送信する悪意あるコードが実行される問題です。影響を受けたバージョンをインストールした環境では、即座にクレデンシャルのローテーションが必要です。
- 修正: 各パッケージの修正バージョンへアップデート（例: @tanstack/react-router 1.169.9以降）
- 参考: GHSA-g7cv-rxg3-hmpx / NVD
CVE-2026-26980 — Ghost CMS Content API SQLインジェクション（Critical）
- 深刻度: Critical
- 影響: Ghost < 6.19.1（npm）
- 概要: ヘッドレスCMSであるGhostのContent APIにSQLインジェクションの脆弱性があり、認証済みユーザーがデータベースの情報を不正に取得できる可能性があります。
- 修正: v6.19.1 へアップデート
- 参考: GHSA-w52v-v783-gw97 / NVD
CVE-2026-42208 — LiteLLM Proxy APIキー検証SQLインジェクション（Critical）
- 深刻度: Critical
- 影響: LiteLLM < 1.83.7（PyPI）
- 概要: LLMプロキシのLiteLLMで、Proxy APIキー検証処理にSQLインジェクションの脆弱性が存在します。攻撃者がAPIキーデータベースの内容を取得・操作できる可能性があります。関連して、MCP stdioテストエンドポイント経由の認証済みコマンド実行（CVE-2026-42271、High）も修正されています。
- 修正: v1.83.7 へアップデート
- 参考: GHSA-r75f-5x8p-qvmc
CVE-2026-45087 — Dalfox Server Mode 未認証RCE（Critical）
- 深刻度: Critical
- 影響: Dalfox < 2.13.0（Go）
- 概要: XSSスキャナーDalfoxのサーバーモードで、
found-actionパラメータを通じた未認証リモートコード実行が可能な脆弱性です。Dalfoxをサーバーモードで公開している環境は即座に対応が必要です。 - 修正: v2.13.0 へアップデート
- 参考: GHSA-v25v-m36w-jp4h
CVE-2026-41423 — Angular Platform-Server SSRF（High）
- 深刻度: High
- 影響: @angular/platform-server（v19〜v22の複数バージョン）
- 概要: Angular Platform-Serverでプロトコル相対URLやバックスラッシュURLの処理が不適切で、SSR（サーバーサイドレンダリング）環境でSSRFが成立する脆弱性です。
- 修正: v19.2.21 / v20.3.19 / v21.2.9 / v22.0.0-next.8 へアップデート
- 参考: GHSA-45q2-gjvg-7973
CVE-2026-41491 — Dapr Service Invocation パストラバーサル ACLバイパス（High）
- 深刻度: High
- 影響: Dapr < 1.15.14 / 1.16.14 / 1.17.5（Go）
- 概要: マイクロサービスランタイムDaprのService Invocationで、パストラバーサルによりACL（アクセス制御リスト）を迂回できる脆弱性です。サービス間通信のアクセス制御が無効化される可能性があります。
- 修正: 各バージョン系列の最新パッチを適用
- 参考: GHSA-85gx-3qv6-4463
その他の注目脆弱性
- CVE-2026-41501 — electerm コマンドインジェクション（Critical、npm、fix: 3.3.8）
- CVE-2026-41574 — Nhost OAuthメール検証バイパスによるアカウント乗っ取り（Critical、Go）
- CVE-2026-41497 — PraisonAI OSコマンドインジェクション（Critical、PyPI、fix: 4.5.149）
- CVE-2026-41507 — math-codegen 文字列リテラルインジェクションによるRCE（Critical、npm、fix: 0.4.3）
- CVE-2026-41570 — PHPUnit 引数インジェクション（High、Packagist、fix: 12.5.22 / 13.1.6）
エコシステム別サマリー
GHSAデータに基づくエコシステム別の脆弱性件数です。
| エコシステム | 件数 | 注目 |
|---|---|---|
| npm | 145件 | @tanstack/* サプライチェーン攻撃、Ghost SQLi |
| Packagist | 24件 | PHPUnit 引数インジェクション |
| Go | 16件 | Dalfox RCE、Dapr ACLバイパス |
| PyPI | 15件 | LiteLLM SQLi / コマンド実行 |
| crates.io | 6件 | Zebra コンセンサス分岐 |
| RubyGems | 2件 | — |
| Hex | 1件 | — |
| Maven | 1件 | — |
npmエコシステムでは、@tanstack/* のサプライチェーン攻撃が突出して深刻です。react-router を含む84パッケージが影響を受けており、影響範囲の広さから見ても本日最大のセキュリティイベントです。
JVN 日本語情報
MyJVNから本日8件の脆弱性情報が公開されました。
JVNDB-2026-000073 — エレコム製無線LANルーター 複数の脆弱性（CVSS 9.8）
エレコム製の無線LANルーターおよび無線アクセスポイントに、OSコマンドインジェクション（2件）、認証欠如、ハードコードされた暗号鍵の使用など、計7件の脆弱性が確認されました。ネットワーク経由で認証なしに攻撃可能であり、CVSS 9.8と最も深刻な評価です。エレコム製ルーターを利用している場合はファームウェアの更新を確認してください。
CVE-2026-43500 — Linux kernel rxrpc 境界外書き込み（CVSS 7.8）
Linuxカーネルの rxrpc サブシステムで、ページ化された断片の処理における境界外書き込みの脆弱性が修正されました。splice-loopback ベクトルに関連する問題です。
CVE-2026-41951 — GROWI パストラバーサル（CVSS 7.2）
Wikiツール「GROWI」にパストラバーサルの脆弱性が確認されました。GROWI を利用している組織は修正版への更新を検討してください。
CVE-2026-41872 — くら寿司 公式アプリ 証明書検証不備（CVSS 7.4）
スマートフォンアプリ「くら寿司 公式アプリ」のプッシュ通知に関する通信で証明書検証が不十分な脆弱性です。アプリの最新版へのアップデートを推奨します。
その他のJVN情報
- JVNDB-2026-015132 — キヤノン製プリンター・複合機 機微情報取得（CVSS 4.9）
- JVNDB-2026-000068 — Lhaz / Lhaz+ パストラバーサル（CVSS 3.3）
- JVNDB-2026-000070 — libXpm 境界外読み取り（CVSS 3.3）
- JVNDB-2026-015133 — Ollama 境界外読み取り・書き込み
まとめ
本日最大のトピックは @tanstack/ パッケージのサプライチェーン攻撃*（CVE-2026-45321）です。react-router をはじめとする84パッケージにマルウェアが混入し、クラウド認証情報やGitHubトークンが外部へ送信される被害が確認されています。@tanstack 系を利用しているプロジェクトは、npm ls や yarn why で依存関係を確認し、影響バージョンを使用している場合は修正版への更新とクレデンシャルのローテーションを実施してください。
また、Ghost CMS や LiteLLM の SQLインジェクション、エレコム製ルーターの複数脆弱性（CVSS 9.8）も優先的な対応を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。