本日はNVDで200件のCVEが更新・公開され、うちCriticalが28件と多めです。Veeam BackupにCVSS 9.9のRCE脆弱性（CVE-2026-21708）が含まれるほか、PythonのtarfileモジュールにCVSS 9.8の脆弱性、DjangoのSQLインジェクション・キャッシュ系脆弱性が複数まとめて公開されています。Mbed TLSに関連する脆弱性が多数更新されており、組み込み・IoT系の環境を持つ組織は影響範囲の確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 28件 |
| High (7.0-8.9) | 78件 |
| Medium (4.0-6.9) | 79件 |
| Low / None | 15件 |
| 影響エコシステム（OSV） | npm, PyPI |
Critical / High 脆弱性 詳細
CVE-2025-4285 — Rolantis Agentis SQLインジェクション
CVSSスコア: 10.0 (Critical) / CWE-89
| 項目 | 内容 |
|---|---|
| 影響製品 | Rolantis Information Technologies Agentis < 4.32 |
| 攻撃条件 | ネットワーク経由、認証不要 |
| 影響 | 完全なデータベース読み書き・管理権限取得 |
SQLインジェクションにより、認証なしでデータベースを完全に操作できる状態です。CVSSスコア10.0は最大値で、パッチ適用または運用停止による緊急対応が求められます。修正版は4.32以降です。
CVE-2026-3611 — Honeywell IQ4x 認証バイパス
CVSSスコア: 10.0 (Critical) / CWE-306
| 項目 | 内容 |
|---|---|
| 影響製品 | Honeywell IQ4x ビルディングオートメーションコントローラ（工場出荷時デフォルト設定） |
| 攻撃条件 | ネットワーク経由、認証不要 |
| 影響 | 認証なしでHMI全体に読み書きアクセス、管理者アカウントの乗っ取り |
工場出荷時のデフォルト設定では認証が無効化された状態で稼働しており、HTTPインターフェースに到達できる攻撃者がアカウントを作成し管理権限を掌握できます。ICSアドバイザリ（ICSA-26-069-03）として公開済みです。ネットワーク分離と認証有効化が急務です。
CVE-2026-21708 — Veeam Backup RCE（postgresユーザー）
CVSSスコア: 9.9 (Critical) / CWE-89
| 項目 | 内容 |
|---|---|
| 影響製品 | Veeam Backup & Replication |
| 攻撃条件 | ネットワーク経由、Backup Viewer権限 |
| 影響 | postgresユーザーとしてのリモートコード実行 |
Backup Viewerという読み取り専用権限を持つユーザーが、SQLインジェクション経由でPostgreSQLサービスとして任意コードを実行できる状態です。バックアップ基盤への侵害は組織全体のデータ消失・暗号化リスクに直結するため、優先度は非常に高いといえます。Veeamはナレッジベース記事（kb4830、kb4831）で修正情報を公開しています。
CVE-2025-13462 — Python CPython tarfileモジュール コードインジェクション
CVSSスコア: 9.8 (Critical) / CWE-20, CWE-74, CWE-434
| 項目 | 内容 |
|---|---|
| 影響製品 | Python CPython（複数バージョン） |
| 攻撃条件 | 細工されたtarファイルの処理 |
| 影響 | tarfileモジュールによるアーカイブの誤解釈・不正ファイルの取り込み |
tarfileモジュールがAREGTYPE（\x00）ブロックをマルチブロックメンバー（GNUTYPE_LONGNAMEなど）の処理中にDIRTYPEへ正規化してしまう問題です。細工されたtarアーカイブを処理した際に、他のtarfile実装と異なる解釈が発生し、意図しないファイルが配置される可能性があります。デプロイパイプラインやCI/CDでtarアーカイブを扱う環境では影響範囲を確認してください。
CVE-2026-8175 — IBM Aspera High-Speed Transfer バッファオーバーフロー
CVSSスコア: 9.8 (Critical) / CWE-122
| 項目 | 内容 |
|---|---|
| 影響製品 | IBM Aspera High-Speed Transfer Endpoint/Server 3.7.4〜4.4.7 Fix Pack 1 |
| 攻撃条件 | ネットワーク経由 |
| 影響 | DoS、認証バイパス、リモートコード実行の可能性 |
asperahttpdコンポーネントにバッファオーバーフロー脆弱性が存在し、DoSのほかRCEの可能性があります。大容量ファイル転送に広く使われるIBM Asperaのサーバーを運用している場合はIBMサポートページ（node/7273615）でパッチ情報を確認してください。
CVE-2026-10591 — Amazon Kiro IDE 任意コマンド実行
CVSSスコア: 8.8 (High) / CWE-732
| 項目 | 内容 |
|---|---|
| 影響製品 | Amazon Kiro IDE < 0.11 |
| 攻撃条件 | ネットワーク経由、未認証の遠隔攻撃者による細工された指示 |
| 影響 | 実行に敏感なパス（.vscode/tasks.jsonなど）への書き込みによる自動実行 |
ファイル書き込みツールのアクセス制御が不十分で、遠隔の未認証攻撃者がtasks.jsonなどの設定ファイルに書き込むことで、フォルダを開いた際に任意コマンドを実行させられる可能性があります。AWSはセキュリティブレティン（2026-037-aws）を公開しており、バージョン0.11以降へのアップグレードが修正策です。
CVE-2026-9126 — Google Chrome DOM Use-after-free
CVSSスコア: 8.8 (High) / CWE-416
| 項目 | 内容 |
|---|---|
| 影響製品 | Google Chrome < 148.0.7778.179 |
| 攻撃条件 | 細工されたHTMLページを閲覧 |
| 影響 | サンドボックス内での任意コード実行 |
Chrome DOMのUse-after-free脆弱性で、細工されたHTMLページを閲覧するだけでサンドボックス内での任意コード実行が可能です。Chrome 148.0.7778.179以降へのアップデートを推奨します。
Mbed TLS — 複数のCritical脆弱性が一括更新
本日、Mbed TLSに関連する脆弱性が約15件まとめてNVDで更新されました。スコアは9.8〜9.1（Critical）のものが複数含まれています。
主な脆弱性:
- CVE-2026-34875 (CVSS 9.8): FFDH公開鍵エクスポートのバッファオーバーフロー（Mbed TLS ≤ 3.6.5）
- CVE-2026-34877 (CVSS 9.8): シリアライズされたSSLコンテキストへの不正アクセスによるメモリ破壊・任意コード実行
- CVE-2026-34873 (CVSS 9.1): TLS 1.3セッション再開中のクライアント偽装（Mbed TLS 3.5〜4.0）
これらの多くは過去の脆弱性のNVDメタデータ更新を含みますが、2026年公開の新規脆弱性（CVE-2026-34875、CVE-2026-34877、CVE-2026-34873）については最新バージョンへの更新が必要です。組み込みデバイスやIoT機器でMbed TLSを使用している場合は、メーカーが提供するファームウェアアップデートを確認してください。
エコシステム別サマリー（OSV）
OSVデータでは計26件の脆弱性が確認されました。大半はDjangoに集中しています。
PyPI（25件）— Django 脆弱性クラスター
Django（PyPI）に複数の脆弱性が公開されています。最新の6.0.6および5.2.15へのアップデートで修正されます。
| CVE | 概要 | 重要度 |
|---|---|---|
| CVE-2026-1287 | FilteredRelationのSQLインジェクション（CVSS v4: VC:H/VI:H/VA:H） | Critical相当 |
| CVE-2026-33034 | ASGIリクエストでDATA_UPLOAD_MAX_MEMORY_SIZEを回避するDoS | High (7.5) |
| CVE-2026-3902 | ASGIヘッダのアンダースコア/ハイフン混同によるヘッダスプーフィング | High (7.5) |
| CVE-2026-8404 | Cache-Controlディレクティブの大文字小文字非区別による不正キャッシュ | Medium |
| CVE-2026-35193 | AuthorizationヘッダのVaryヘッダ未追加による認証済みレスポンスのキャッシュ漏洩 | Medium |
推奨アクション: Django 5.2系は5.2.15以降、6.0系は6.0.6以降へ更新してください。4.2系も影響を受けるものがあるため、4.2.30以降への更新を確認してください。
npm（1件）
- CVE-2024-52011 (launch-editor/vite): Windowsでのコマンドインジェクション。ファイル名に特殊文字を含む場合に
launchEditorメソッド経由で任意コマンド実行が可能。launch-editor2.9.0以降、vite5.4.9以降で修正済み。
JVN 日本語情報
MyJVNデータより、本日公開された日本語脆弱性情報が1件あります。
JVNDB-2026-000082 — 複数のTP-LINK製品における重要情報の平文送信
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-34126 |
| CVSSスコア | 6.7 (Medium) |
| CWE | CWE-319（重要な情報の平文送信） |
| 影響製品 | TP-Link Systems Inc. 複数製品 |
| 報告者 | 合同会社エルプラス eyegrep氏、izurina氏（IPAへ届出） |
| 公開日 | 2026年6月5日 |
TP-Link製の複数の製品が重要情報を平文で送信する脆弱性（CVE-2026-34126）です。詳細はJVNDB（JVNDB-2026-000082）をご参照ください。
まとめ
本日はCritical 28件・High 78件と、全体的にスコアの高い脆弱性が多い日でした。特に注意が必要なのは以下の3点です。
1. Veeam BackupのRCE（CVE-2026-21708、CVSS 9.9）: バックアップ基盤は組織の全データが集まる場所であり、侵害時の影響は最大規模になります。Veeam Backup & Replicationを利用中の場合は、ベンダーのナレッジベースを確認し、早急なパッチ適用を検討してください。
2. DjangoのSQLインジェクション・キャッシュ系脆弱性（複数）: CVE-2026-1287はCVSS v4で認証不要・完全な機密性/完全性/可用性への影響が確認されています。Django 4.2系〜6.0系のすべてが対象となるため、使用バージョンを確認の上、最新パッチの適用を推奨します。
3. Mbed TLS関連CVEの大量更新: 組み込み・IoT分野のSSL/TLSライブラリであるMbed TLSに複数のCritical脆弱性が含まれます。新規CVE（2026年公開分）については最新バージョンへの更新、過去のCVEについては既にパッチ適用済みかを確認することを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。