本日はNVDで200件のCVEが公開・更新され、うちCriticalが13件と多めです。最大の注目は @tanstack/ の供給チェーン攻撃*（CVE-2026-45321、CVSS 9.6）で、42パッケージ84バージョンに悪意あるコードが混入しました。また n8n に3件のCritical RCE、@fastify/middie に認証バイパスの脆弱性が確認されています。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD CVE（公開・更新） | 200件 |
| Critical (9.0+) | 13件 |
| High (7.0-8.9) | 91件 |
| Medium (4.0-6.9) | 88件 |
| Low / None | 8件 |
| GHSAアドバイザリ | 373件 |
| 影響エコシステム | npm, Go, Maven, PyPI, Hex |
Critical / High 脆弱性の詳細解説
CVE-2026-45321 — @tanstack/* サプライチェーン攻撃（CVSS 9.6）
- 深刻度: Critical（CVSS 9.6）
- CWE: CWE-506（悪意あるコードの埋め込み）
- 影響: @tanstack/router, @tanstack/query 等 42パッケージ、84の悪意あるバージョン
- 概要: TanStackの公式npmパッケージに対するサプライチェーン攻撃が確認されました。42の@tanstack/*パッケージに84の悪意あるバージョンが公開されており、インストールすると不正なコードが実行されます。React/Vue/Solidアプリケーションで広く利用されているライブラリのため、影響範囲が非常に広い可能性があります。
- 対応: package-lock.json / yarn.lock を確認し、影響バージョンを使用していないか確認。不正バージョンは既にnpmから削除済み
- 参考: GitHub Issue
CVE-2026-41196 — Luanti（旧Minetest）サンドボックス脱出（CVSS 10.0）
- 深刻度: Critical（CVSS 10.0）
- CWE: CWE-94（コードインジェクション）
- 影響: Luanti 5.0.0 〜 5.15.1（LuaJIT使用時のみ）
- 概要: オープンソースのボクセルゲームプラットフォーム Luanti で、悪意あるModがサンドボックス化されたLua環境を脱出し、任意のコードを実行してファイルシステムへのフルアクセスを取得できます。サーバー側・クライアント側の両方が影響を受けます。
- 修正: v5.15.2 へアップデート
- 参考: NVD / GitHub Advisory
n8n 複数のCritical脆弱性（3件）
自動化プラットフォーム n8n に3件のCritical脆弱性が確認されました。いずれも v1.123.43 / v2.22.1 / v2.20.7 で修正されています。
- CVE-2026-44789 — HTTP Request NodeのPagination機能でPrototype PollutionからRCEが可能
- CVE-2026-44790 — Git Nodeを経由した任意ファイル読み取り
- CVE-2026-44791 — XML NodeのPrototype Pollution修正のバイパス
さらにHigh脆弱性として、CVE-2026-45732（OAuth認可バイパス）とCVE-2026-44792（Source Control Pull SQLインジェクション）も修正されています。n8nをセルフホストしている場合は早急にアップデートしてください。
CVE-2026-2880 — @fastify/middie 認証・認可バイパス（CVSS 9.1）
- 深刻度: Critical（CVSS 9.1）
- CWE: CWE-20（不正な入力検証）
- 影響: @fastify/middie < 9.2.0
- 概要: Fastifyのミドルウェア互換レイヤーである@fastify/middieに認証・認可バイパスの脆弱性が確認されました。Express互換のミドルウェアをFastifyで使用している場合に影響を受けます。関連して CVE-2026-6270（ミドルウェア継承の問題、CVSS 9.1）、CVE-2026-22031（パス処理の問題、CVSS 8.4）も修正されています。
- 修正: @fastify/middie 9.2.0 以降へアップデート
- 参考: GHSA
Portainer 複数のCritical脆弱性（2件）
Docker管理ツール Portainer に2件のCritical脆弱性が確認されました。
- CVE-2026-44848 — DockerプラグインエンドポイントへのAuthorization欠如により、ホスト上でのRCEが可能
- CVE-2026-44849 — Swarmサービスのcreate/updateを経由したエンドポイントセキュリティのバイパス
他にも5件のHigh脆弱性（bind-mount制限バイパス、Git Symlinkファイル読み取り、K8sミドルウェア認証バイパス等）が修正されています。v2.33.8 / v2.39.2 / v2.41.0 へのアップデートを推奨します。
CVE-2026-29198 — Rocket.Chat NoSQLインジェクション（CVSS 9.8）
- 深刻度: Critical（CVSS 9.8）
- CWE: CWE-89（インジェクション）
- 影響: Rocket.Chat < 8.3.0 / < 8.2.1 / < 8.1.2 / < 8.0.3 等
- 概要: OAuthアプリケーションが設定されている場合、NoSQLインジェクションによって最初のユーザーのアカウント乗っ取りが可能です。
- 修正: 各ブランチの最新パッチバージョンへアップデート
- 参考: NVD
CVE-2026-42601 — ArchiveBox RCE（CVSS 9.8、パッチ未提供）
- 深刻度: Critical（CVSS 9.8）— パッチ未提供
- CWE: CWE-88（引数インジェクション）
- 影響: ArchiveBox 0.8.6rc0 以前
- 概要: /add/ エンドポイントがJSON設定フィールドを検証なしでクロール設定にマージし、アーカイブプラグイン実行時に任意のツール引数を注入してRCEが可能です。現時点でパッチは提供されていません。
- 対応: パッチ提供まで、信頼できないユーザーからのアクセスを制限
- 参考: GitHub Advisory
Microsoft Patch Tuesday 関連
今月のMicrosoft Patch Tuesdayの脆弱性が引き続き更新されています。
- CVE-2026-33110 — SharePoint 信頼できないデータのデシリアライゼーション（CVSS 8.8）
- CVE-2026-33112 — SharePoint 同様のデシリアライゼーション脆弱性（CVSS 8.8）
- CVE-2026-34329 — Windows Message Queuing ヒープベースバッファオーバーフロー（CVSS 8.8）
- CVE-2026-33111 — Microsoft Copilot Chat コマンドインジェクション（CVSS 7.5）
Windows Kernel、Win32K、Cloud Files、Telephonyなど多数のEoP脆弱性（CVSS 7.0〜8.0）も修正されています。Windows Updateの適用を確認してください。
その他の注目脆弱性
- CVE-2026-8043 — Ivanti Xtraction 外部ファイル名制御（CVSS 9.6、v2026.2未満）
- CVE-2026-44694 — n8n-MCP TOCTOU+SSRFによるURL検証バイパス（CVSS 9.1）
- CVE-2026-31242 — mem0 v1.0.0 認証・認可欠如（CVSS 9.1）
- CVE-2026-6665 — PgBouncer < 1.25.2 SCRAMコードのスタックバッファオーバーフロー（CVSS 8.1）
- CVE-2026-28291 — simple-git <= 3.31.1 OSコマンドインジェクション（CVSS 8.1）
- CVE-2026-43913 — Vaultwarden < 1.35.5 認可バイパス（CVSS 8.1）
- CVE-2026-2673 — OpenSSL TLS 1.3鍵交換グループネゴシエーション問題（CVSS 7.3）
- CVE-2026-41284 — Apache Tomcat リソース枯渇DoS（CVSS 7.5）
エコシステム別サマリー
GHSAデータに基づくエコシステム別の脆弱性件数です。
| エコシステム | 件数 | 注目 |
|---|---|---|
| npm | 32件 | @tanstack供給チェーン攻撃、n8n RCE 3件、FlowiseAI 14件 |
| Go | 15件 | Portainer Critical 2件、Fleet認証バイパス、go-billy パストラバーサル |
| Maven | 11件 | Amazon Redshift JDBC RCE、Spring AI、Apache NiFi、Netty |
| PyPI | 11件 | Synapse DoS、ethyca-fides XSS、wger権限昇格 |
| Hex | 3件 | Absinthe DoS 2件 |
| Packagist | 1件 | CoreShop RCE |
npmエコシステムでは、@tanstackサプライチェーン攻撃に加え、FlowiseAI（AIワークフロー）に1件のCriticalと14件のHighが修正されています（v3.1.2で一括修正）。
JVN 日本語情報
MyJVNから本日7件の脆弱性情報が公開されました。
JVNDB-2026-000072 — GUARDIANWALL MailSuite バッファオーバーフロー（CVSS 9.8）
キヤノンマーケティングジャパンが提供するGUARDIANWALL MailSuiteのpop3wallpasswdコマンドにスタックベースのバッファオーバーフローの脆弱性です。本脆弱性を悪用した攻撃が既に確認されています。 前日に続き、オンプレミス版利用者は即座に対応してください。
- 参考: JVN
JVNDB-2026-000074 — WPS Office 名前付きパイプのアクセス制御不備（CVSS 7.8）
WPS Officeのバックグラウンドサービスが使用する名前付きパイプに適切なACLが設定されておらず、一般ユーザーからアクセス可能な状態です。
- 参考: JVN
JVNDB-2026-000075 — Bytello Share DLL読み込み脆弱性（CVSS 7.8）
Bytello ShareのWindows版インストーラにDLL検索パスの制御不備があります。
- 参考: JVN
その他
- Intel製品アップデート（2026年5月） — QAT Software Drivers、Graphics等
- CISA ICS Advisory — Fuji Electric Tellus、ABB AC500等 6件
- Siemens製品アップデート（2026年5月） — SIMATIC CN 4100、Ruggedcom Rox等 18件
まとめ
本日最大のトピックは @tanstack/ サプライチェーン攻撃*（CVE-2026-45321、CVSS 9.6）です。React/Vue/Solidアプリケーションで広く使われるTanStackの42パッケージに84の悪意あるバージョンが公開されました。lockfileで影響バージョンを使っていないか確認してください。
また、n8n に3件のCritical RCE（v1.123.43/v2.22.1/v2.20.7で修正）、@fastify/middie に認証バイパス（v9.2.0で修正）、Portainer に2件のCritical（v2.33.8/v2.39.2/v2.41.0で修正）と、コンテナ・自動化ツール周辺のCritical脆弱性が集中しています。これらのツールをセルフホストしている環境は早めの対応を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。