本日はNVD経由で200件のCVEが取り込まれ、うちCriticalが15件、Highが75件です。Python の XML 処理ライブラリ（CVE-2026-7210、CVSS 9.8）やLinuxカーネルのIPv6モジュール（CVE-2026-43341、CVSS 9.8）に重大な脆弱性が公開されました。npmエコシステムでは Next.js が認証バイパス・SSRF・XSSを含む13件の脆弱性を一括修正しており、セルフホスト運用者は v15.5.18 / v16.2.6 への早急なアップデートが推奨されます。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規 / 更新 CVE (NVD) | 200件 |
| Critical (9.0+) | 15件 |
| High (7.0–8.9) | 75件 |
| Medium (4.0–6.9) | 87件 |
| Low (3.9以下) | 7件 |
| 影響エコシステム | npm, PyPI, Go, Packagist |
Critical / High 脆弱性の詳細
CVE-2026-7210 — Python CPython XML ハッシュフラッディング
- CVSSスコア: 9.8 (Critical)
- CWE: CWE-331（不十分なエントロピー）
- 影響を受けるソフトウェア: CPython（バージョン詳細は Python security-announce を参照）
- 概要:
xml.parsers.expatおよびxml.etree.ElementTreeが Expat のハッシュフラッディング対策に不十分なエントロピーを使用しています。細工された XML ドキュメントを処理させると CPU を過剰消費させることが可能です。完全な修正には libexpat 2.8.0 以降へのアップデートと Python セキュリティパッチの両方の適用が必要です。 - 修正バージョン: Python セキュリティパッチ適用 + libexpat 2.8.0 以降
- 参考: NVD / Python security-announce
CVE-2026-43341 — Linux kernel IPv6 IOAM6 バッファオーバーラン
- CVSSスコア: 9.8 (Critical)
- 影響を受けるソフトウェア: Linux kernel（IPv6 IOAM6 機能を有効化しているカーネル）
- 概要:
ioam6_fill_trace_data()関数内でスキーマの貢献長を u8 型に格納する際に整数オーバーフローが発生します。オーバーフローにより残余スペースチェックをバイパスし、トレースバッファ境界を超えた書き込みが生じます。安定版カーネルブランチへの修正コミットが提供されています。 - 修正: Linux kernel stable ブランチへのパッチ適用
- 参考: kernel.org コミット / NVD
CVE-2026-44193 — OPNsense XMLRPC リモートコード実行
- CVSSスコア: 9.1 (Critical)
- CWE: CWE-88（引数インジェクション）
- 影響を受けるソフトウェア: OPNsense 26.1.7 未満
- 概要: XMLRPC メソッド
opnsense.restore_config_sectionがユーザー入力を適切にサニタイズしないため、リモートコード実行が可能です。 - 修正バージョン: OPNsense 26.1.7 以降へアップデート
- 参考: GHSA-xxp9-93cr-x54p / NVD
CVE-2026-44542 — FileBrowser Quantum パストラバーサルによる任意ファイル削除
- CVSSスコア: 9.1 (Critical)
- CWE: CWE-22（パストラバーサル）
- 影響を受けるソフトウェア: FileBrowser Quantum 1.3.1-stable 未満 / 1.3.9-beta 未満
- 概要: パブリック共有ハッシュを取得した未認証の攻撃者が、削除権限付き共有に対してパストラバーサルシーケンス（
../）を使用し、共有ディレクトリ外のファイルを削除できます。 - 修正バージョン: 1.3.1-stable または 1.3.9-beta 以降へアップデート
- 参考: GHSA-fwj3-42wh-8673
CVE-2026-45375 — SiYuan マーケットプレイス XSS / Electron RCE
- CVSSスコア: 9.0 (Critical)
- CWE: CWE-79（XSS）、CWE-116（エスケープ不備）
- 影響を受けるソフトウェア: SiYuan 3.7.0 未満
- 概要: Bazaar（コミュニティマーケットプレイス）でパッケージの
nameおよびversionフィールドがHTMLエスケープされずにinnerHTMLへ設定されます。マーケットプレイスタブを開くだけで Electron レンダラープロセスで任意コード実行に至る可能性があります。 - 修正バージョン: SiYuan 3.7.0 以降へアップデート
- 参考: GHSA-27qc-m5gf-jv5r / NVD
CVE-2026-8558 / CVE-2026-8581 — Google Chrome OOB書き込み / GPU UAF
- CVSSスコア: 8.8 (High)
- 影響を受けるソフトウェア: Google Chrome 148.0.7778.168 未満
- 概要:
- CVE-2026-8558: Fonts コンポーネントの境界外書き込みにより、細工されたHTMLページ経由でサンドボックス内で任意コード実行の可能性
- CVE-2026-8581: GPU コンポーネントの use-after-free により同様の影響
- 修正バージョン: Google Chrome 148.0.7778.168 以降へアップデート
- 参考: Chrome Releases
CVE-2026-6073 — GitLab EE 認証済みユーザーによるXSS
- CVSSスコア: 8.7 (High)
- CWE: CWE-79（XSS）
- 影響を受けるソフトウェア: GitLab EE 18.7〜18.9.7未満、18.10〜18.10.6未満、18.11〜18.11.3未満
- 概要: 入力のサニタイズ不備により、認証済みユーザーが他のユーザーのブラウザで任意の JavaScript を実行できます。同日公開の CVE-2026-7377 はカスタマイズ可能なアナリティクスダッシュボードの同様の問題です。
- 修正バージョン: GitLab 18.11.3、18.10.6、18.9.7 以降へアップデート
- 参考: GitLab patch release / NVD
エコシステム別サマリー
npm（18件）
Next.js — 13件の脆弱性を一括修正（v15.5.18 / v16.2.6）
| CVE | 種別 | CVSSスコア |
|---|---|---|
| CVE-2026-44578 | WebSocket SSRF | 8.6 (High) |
| CVE-2026-44574 | 動的ルートパラメータ認証バイパス | 8.1 (High) |
| CVE-2026-44573 | i18n Pages Router 認証バイパス | 7.5 (High) |
| CVE-2026-44575 | App Router セグメントプリフェッチ認証バイパス | 7.5 (High) |
| CVE-2026-45109 | セグメントプリフェッチ認証バイパス (Turbopack 不完全修正追加対応) | 7.5 (High) |
| CVE-2026-23870 | React Server Components DoS | 7.5 (High) |
| CVE-2026-44579 | PPR Cache Components 接続枯渇 DoS | 7.5 (High) |
| CVE-2026-44577 | Image Optimization API メモリ枯渇 DoS | Medium |
| CVE-2026-44580 | beforeInteractive スクリプト XSS | Medium |
| CVE-2026-44581 | CSP ノンス XSS | Medium |
| CVE-2026-44576 | RSC レスポンスキャッシュポイズニング | Medium |
| CVE-2026-44582 | _rsc キャッシュバスティング衝突 | Medium |
| CVE-2026-44572 | ミドルウェアリダイレクトキャッシュポイズニング | Medium |
セルフホスト環境では v15.5.18 または v16.2.6 以降への移行が必要です（CVE-2026-45109 の対応が v15.5.16 の不完全修正を補完）。
Svelte — 4件の脆弱性を修正（v5.55.7）
- CVE-2026-42573: フォームへのスプレッド属性とDOM クロビングを組み合わせたXSS
- CVE-2026-42599: サーバーサイドレンダリング時のスプレッド属性経由XSS
- GHSA-f3cj-j4f6-wq85:
hydratablePromise の不適切なシリアライズによるXSS - CVE-2026-42567:
<svelte:element>タグ検証の ReDoS
PyPI（3件）
Django — 3件のセキュリティ修正（v6.0.5 / v5.2.14）
- CVE-2026-5766: ASGIリクエストで
Content-Length不備時にファイルサイズ制限をバイパスし、大容量ファイルをメモリに読み込む可能性 - CVE-2026-35192:
SESSION_SAVE_EVERY_REQUEST=Trueの設定でセッション Cookie がキャッシュに残存し、セッション盗用の可能性 - CVE-2026-6907:
Vary: *ヘッダを含むレスポンスがUpdateCacheMiddlewareに誤ってキャッシュされ、プライベートデータが漏洩する可能性
JVN 日本語情報
JVNDB-2026-000054 — Musetheque V4 情報公開 for IPKNOWLEDGE XSS / CSRF
- CVSSスコア: 8.1 (High)
- CVE ID: CVE-2026-24662（XSS）、CVE-2026-28761（CSRF）
- 影響を受けるソフトウェア: 富士通Japan株式会社 Musetheque V4 情報公開 for IPKNOWLEDGE
- 概要: IPナレッジ管理製品にクロスサイトスクリプティング（CWE-79）とクロスサイトリクエストフォージェリ（CWE-352）の2種類の脆弱性が存在します。GMOサイバーセキュリティbyイエラエ株式会社により報告され、JPCERT/CC が調整しました。
- 参考: JVN
まとめ
本日は Python の XML 処理系（CVSS 9.8）と Linux カーネル IPv6 モジュール（CVSS 9.8）に重大な脆弱性が公開されました。Python の CVE-2026-7210 は libexpat のアップデートと Python パッチの両方が必要な点に注意が必要です。
npmエコシステムでは Next.js が13件の脆弱性を一括修正しています。特に WebSocket SSRF（CVE-2026-44578）と認証バイパス（CVE-2026-44574、CVE-2026-44573、CVE-2026-44575）はセルフホスト運用環境への影響が大きく、v15.5.18 / v16.2.6 への移行が推奨されます。
本日の推奨アクション:
- Python 環境: libexpat 2.8.0 以降へのアップデートと Python セキュリティパッチの適用を確認
- Linux システム: カーネルアップデートの適用（IPv6/IOAM6 を有効化している環境）
- Next.js: v15.5.18 または v16.2.6 以降へのアップデート（Turbopack 使用環境は特に優先）
- Svelte: v5.55.7 以降へのアップデート
- Django: v6.0.5 または v5.2.14 以降へのアップデート
- GitLab EE: 18.11.3、18.10.6、18.9.7 以降への更新
- Google Chrome: 148.0.7778.168 以降への更新
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。