本日はNVDに新規・更新CVEが約200件収録され、うちCriticalが20件、Highが80件となりました。Ivanti Sentryに認証なしのリモートコード実行（CVSS 10.0）と管理者アカウント奪取（CVSS 9.9）が確認されており、早急なパッチ適用が求められます。FortinetとCheck PointのCVEはCISA KEVカタログにも追加済みです。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 20件 |
| High (7.0-8.9) | 80件 |
| Medium (4.0-6.9) | 83件 |
| Low | 3件 |
| CISA KEV 追加 | 2件 |
| OSV収録（PyPI / npm） | 54件 / 5件 |
Critical / High 脆弱性の詳細解説
CVE-2026-10520 — Ivanti Sentry OSコマンドインジェクション
- CVSSスコア: 10.0 (CRITICAL)
- 影響製品: Ivanti Sentry R10.5.2未満、R10.6.2未満、R10.7.1未満
- 概要: 認証なしのリモート攻撃者がHTTPリクエスト経由でOSコマンドを実行でき、rootレベルのRCEが可能。CWE-78（OSコマンドインジェクション）。
- 修正バージョン: R10.5.2、R10.6.2、R10.7.1 以降
- 参考: Ivanti Security Advisory
CVE-2026-10523 — Ivanti Sentry 認証バイパス
- CVSSスコア: 9.9 (CRITICAL)
- 影響製品: Ivanti Sentry R10.5.2未満、R10.6.2未満、R10.7.1未満
- 概要: 認証なしのリモート攻撃者が任意の管理者アカウントを作成し、完全な管理者権限を取得できる。CVE-2026-10520と組み合わせた連鎖攻撃のリスクが高い。
- 修正バージョン: R10.5.2、R10.6.2、R10.7.1 以降
CVE-2026-24858 — Fortinet FortiOS SSO認証バイパス（CISA KEV）
- CVSSスコア: 9.8 (CRITICAL)
- 影響製品: FortiOS 7.0〜7.6、FortiAnalyzer 7.0〜7.6、FortiManager 7.0〜7.6、FortiProxy 7.0〜7.6、FortiWeb 7.4〜8.0、FortiNAC-F 7.6系
- 概要: FortiCloudアカウントを持つ攻撃者が、FortiCloud SSOが有効な他社デバイスへ不正ログインできる。CISAの既知悪用脆弱性カタログ（KEV）に追加済み。
- 修正バージョン: 各製品の最新バージョン（FortiOS 7.6.6以降など）を参照
- 参考: FortiGuard Advisory / CISA KEV
CVE-2026-9698 / CVE-2026-10879 — Perl DBI バッファオーバーフロー
- CVSSスコア: 9.8 (CRITICAL)
- 影響製品: Perl DBI 1.648未満
- 概要: CVE-2026-9698はエラーメッセージを200バイトの固定バッファに長さ制限なく書き込む問題。CVE-2026-10879はSQLのプレースホルダが10個以上になるとバッファ拡張計算が誤りヒープオーバーフローが発生する。アプリケーション内でエラーテキストや入力に影響できる攻撃者が悪用可能。
- 修正バージョン: DBI 1.648 以降
- 参考: CPAN DBI-1.648 Changes
CVE-2026-50751 — Check Point VPN 認証バイパス（CISA KEV）
- CVSSスコア: 9.3 (CRITICAL)
- 影響製品: Check Point Remote Access / Mobile Access（非推奨のIKEv1鍵交換を利用する構成）
- 概要: 廃止予定のIKEv1プロトコルにおける証明書検証の論理的欠陥により、認証なしのリモート攻撃者がユーザーパスワードなしでVPN接続を確立できる。CISA KEVに追加済み。
- 修正対応: IKEv1の無効化またはベンダー提供のホットフィックス適用
- 参考: Check Point SK185033 / CISA KEV
CVE-2026-34182 — OpenSSL CMS AuthEnvelopedData 暗号バイパス
- CVSSスコア: 9.1 (CRITICAL)
- 影響製品: OpenSSL（FIPSモジュールは対象外）
- 概要: CMS（暗号メッセージサービス）のAuthEnvelopedData処理において、暗号アルゴリズムとタグ長の入力検証が不十分。オンパス攻撃者が正規のAES-GCMメッセージを非認証モード（AES-OFB等）に書き換え、MACを無視したまま復号させることが可能。また、タグ長を1バイトに縮小することで完全性検証をブルートフォースで回避できる。
- 修正バージョン: 最新のOpenSSLパッチを適用
- 参考: OpenSSL GitHub Commit
CVE-2026-4480 / CVE-2026-4408 — Samba リモートコード実行
- CVSSスコア: 9.0 (CRITICAL)
- 影響製品: Samba（printコマンドやcheck password scriptを設定しているファイルサーバー・クラシックDC）
- 概要: CVE-2026-4480は
print commandの%J置換でシェルメタ文字がエスケープされずRCEに至る。CVE-2026-4408はcheck password scriptの%u置換でユーザー名に含まれるメタ文字がエスケープされずRCEに至る。いずれも非標準構成での問題だが、影響範囲は広い。 - 修正バージョン: Sambaの最新セキュリティパッチを適用
- 参考: Red Hat Errata RHSA-2026:22644
Google Chrome 149.0.7827.103 — 大規模セキュリティアップデート（30件以上）
- 最高CVSSスコア: 9.6 (CRITICAL) — 代表: CVE-2026-11638
- 影響製品: Google Chrome 149.0.7827.103未満（Windows / Mac / Linux / Android）
- 概要: 今回のChrome安定版アップデートは30件以上の脆弱性を修正。CriticalはPrinting、Gamepad、Network、CameraCapture、NavigationなどのUse after free（UAF）によるサンドボックス脱出が中心。CVSS 9.6のCritical案件が6件含まれる。Highも多数で、V8のOOB read/writeやViewTransitions UAFが含まれる。
- 修正バージョン: Google Chrome 149.0.7827.103 以降
- 参考: Chrome Releases Blog
エコシステム別サマリー
OSVデータには本日 PyPI 54件 / npm 5件 が収録されています。
PyPI — Django に複数の脆弱性が集中
- CVE-2025-59681 —
QuerySet.annotate()等でMySQLにSQLインジェクション（v4.2〜5.2系、修正: 5.2.7） - CVE-2025-57833 —
FilteredRelationのカラムエイリアスでSQLインジェクション（修正: 5.2.6） - CVE-2025-64459 —
QuerySet.filter()等の_connector引数でSQLインジェクション（修正: 5.2.8） - CVE-2026-3902 —
ASGIRequestでヘッダスプーフィング（ハイフン/アンダースコアの曖昧マッピング、修正: 6.0.4） - CVE-2026-5766 — ASGIリクエストで
FILE_UPLOAD_MAX_MEMORY_SIZE制限をバイパスしメモリ枯渇（修正: 6.0.5）
いずれも複数のDjangoバージョンに影響します。最新のセキュリティリリースへの更新を推奨します。
JVN 日本語情報
MyJVNに本日 50件 の脆弱性情報が公開されており、Criticalが7件、Highが37件と多めです。
-
JVNDB-2026-019138 — Apache HTTP Server 2.4.68リリース（2026年6月8日付）。Apache HTTP Server 2.4系の複数の脆弱性に対応したアップデートです。2.4系を運用中の方はバージョンの確認を推奨します。
-
JVNDB-2026-019133 (CVE-2026-9698) — Perl DBI 境界外書き込み（CVSS 9.8）。前述のとおりDBI 1.648未満に影響。
-
JVNDB-2026-019071〜019077 — Google Chrome 149.0.7827.103未満の複数CVE（CVSS 9.6〜6.8）。Chrome利用者はブラウザを最新版に更新してください。
まとめ
本日最優先での対応が求められるのは Ivanti Sentry（CVE-2026-10520 / CVE-2026-10523） です。CVSS 10.0と9.9の組み合わせで、認証なしにroot権限のRCEと管理者アカウント奪取が可能なため、緊急パッチ適用が推奨されます。FortinetのSSO認証バイパス（CVE-2026-24858） および Check Point VPN（CVE-2026-50751） はCISA KEVに追加済みで、すでに悪用事例があることを示しています。
Perl DBI、OpenSSL、Sambaといったインフラ系コンポーネントも今回の対象です。Chrome 149.0.7827.103は多数のCritical/High修正を含む大規模アップデートのため、エンドユーザー端末のブラウザ更新も合わせて確認してください。Djangoの複数SQLインジェクション脆弱性はWebアプリケーション開発者が確認すべき内容です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。