本日は新規CVEが200件公開・更新され、うちCriticalが9件。CVE-2026-47131（vm2 サンドボックス脱出）とCVE-2026-48558（SimpleHelp OIDC認証バイパス）がいずれもCVSS 10.0で最高深刻度となっており、パッチが公開されています。また、Oracle PeopleSoftのCVE-2026-35273がCISA既知悪用脆弱性カタログ（KEV）に登録されており、実際の悪用が確認されている点も注目されます。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE | 200件 |
| Critical (9.0+) | 9件 |
| High (7.0-8.9) | 89件 |
| Medium (4.0-6.9) | 62件 |
| Low (0-3.9) | 10件 |
| 影響エコシステム | npm, PyPI |
Critical / High 脆弱性の詳細
CVE-2026-47131 — vm2 サンドボックス脱出
- CVSSスコア: 10.0 (CRITICAL)
- CWE: CWE-913（動的管理コードリソースの不適切な制御）
- 影響: vm2 3.11.3 以前
Node.js向けサンドボックスライブラリ vm2 において、Buffer.call.call とNode.jsのエラーオブジェクトを組み合わせることで、ホスト側の TypeError コンストラクタが取得可能になります。これによりサンドボックスから脱出し、ホストOSで任意コードを実行できる状態になります。v3.11.4でパッチが提供されています。
修正バージョン: v3.11.4
参考リンク:
CVE-2026-48558 — SimpleHelp OIDC認証バイパス
- CVSSスコア: 10.0 (CRITICAL)
- CWE: CWE-347（暗号署名の不適切な検証）
- 影響: SimpleHelp 5.5.15 以前、6.0 プレリリース版
OIDC認証が設定されている場合、ログイン時に送信されるIDトークンの暗号署名が検証されません。リモートの未認証攻撃者が任意のIDクレームを含む偽造トークンを送信することで、完全に認証されたテクニシャンセッションを取得できます。一部の構成ではMFA（多要素認証）のバイパスも可能です。ユーザー操作は不要です。
修正: SimpleHelp 5.5.16以降 / 6.0 GA版へのアップデート
参考リンク:
CVE-2026-35273 — Oracle PeopleSoft 認証欠如（CISA KEV登録）
- CVSSスコア: 9.8 (CRITICAL)
- CWE: CWE-306（重要機能に対する認証の欠如）
- 影響: PeopleSoft Enterprise PeopleTools 8.61, 8.62
HTTPネットワーク経由で、未認証のリモート攻撃者がPeopleSoftを完全に掌握できる脆弱性です。機密性・完全性・可用性のすべてに高い影響があります。CISAの既知悪用脆弱性カタログ（KEV）に登録されており、実際の悪用が確認されています。PeopleSoftを利用している組織は優先度を上げた対応が必要です。
修正: Oracle Security Alert（2026年6月）を参照
参考リンク:
CVE-2026-28742 — Naxclow IoTデバイス ハードコード署名鍵
- CVSSスコア: 9.8 (CRITICAL)
- CWE: CWE-321（ハードコードされた暗号鍵の使用）
- 影響: Naxclow 全ファームウェア（対策版未公表）
Naxclowデバイスが全機種共通のハードコードされたソルトをファームウェアに組み込んでいます。いずれか1台のデバイスからソルトを取り出せば、任意のデバイスまたはアカウントへの操作リクエストに有効な署名を生成できます。デバイスごとの鍵やサーバー側のノンス追跡がなく、制御プレーン通信にHTTPを使用しているため、プラットフォーム全体にわたるリクエスト偽造となりすましが可能です。
修正: CISAのICSアドバイザリを参照し、ベンダーの案内に従ってください。
参考リンク:
CVE-2025-66276 — QNAP QTS 未指定脆弱性
- CVSSスコア: 9.8 (CRITICAL)
- 影響: QNAP QTS（QTS 5.2.7.3256 build 20250913 未満）
QNAP QTSに影響する未指定の脆弱性です。QuTS heroは影響を受けません。CVSSスコアは9.8と高深刻度です。QNAPのセキュリティアドバイザリで修正バージョンが提供されています。
修正バージョン: QTS 5.2.7.3256 build 20250913 以降
参考リンク:
CVE-2026-12027 — Google Chrome サンドボックス脱出
- CVSSスコア: 9.6 (CRITICAL)
- CWE: CWE-250（不必要な権限での実行）, CWE-693
- 影響: Google Chrome 149.0.7827.115 未満
Chromeのヘッドレスモードにおける不適切な実装により、レンダラープロセスを侵害した攻撃者がサンドボックスから脱出できる脆弱性です。細工されたHTMLページを介して悪用される可能性があります。Chromeを利用している環境は最新版への更新を確認してください。
修正バージョン: Chrome 149.0.7827.115 以降
参考リンク:
CVE-2026-49973 — Hermes WebUI 未認証パスワード乗っ取り
- CVSSスコア: 9.4 (CRITICAL)
- CWE: CWE-306（重要機能に対する認証の欠如）
- 影響: Hermes WebUI 0.51.357 以前
初回セットアップ時、設定APIの _set_password パラメータがネットワーク到達可能な攻撃者から認証なしで受け付けられます。セットアップウィンドウ中に任意のパスワードハッシュをPOSTされると、正規オペレーターがインスタンスから締め出されます。v0.51.358でパッチが提供されています。
修正バージョン: v0.51.358
参考リンク:
CVE-2026-44990 — sanitize-html XSSサニタイザーバイパス
- CVSSスコア: 9.3 (CRITICAL)
- CWE: CWE-79（クロスサイトスクリプティング）
- 影響: sanitize-html 2.17.3 以前（ApostropheCMS等を含む）
デフォルト設定の disallowedTagsMode: 'discard' において、不許可の <xmp> タグ内の攻撃者制御コンテンツが生きたHTMLまたはJavaScriptに変換されるサニタイザーバイパスが存在します。サニタイズ済みHTML出力をユーザーに返すアプリケーションで、ストアドXSSが成立する可能性があります。
修正バージョン: sanitize-html 2.17.4
参考リンク:
CVE-2026-45602 — Windows DHCP Server 改ざん
- CVSSスコア: 9.1 (CRITICAL)
- CWE: CWE-229
- 影響: Windows Server（DHCP Server役割が有効な環境）
ネットワーク経由で未認証の攻撃者がWindows DHCPサーバーを改ざんできる脆弱性です。Microsoftより2026年6月のPatch Tuesdayで修正が提供されています。DHCPサーバーを運用している環境は累積更新プログラムの適用を確認してください。
修正: Windows Update（2026年6月累積更新）
参考リンク:
CVE-2026-47342 / CVE-2026-50223 — Apache OFBiz 特権昇格・コードインジェクション
- CVSSスコア: 8.8 (HIGH)
- 影響: Apache OFBiz 24.09.06 以前
CVE-2026-47342 は認証済みの低権限ユーザーが高権限を取得できる特権昇格の脆弱性（CWE-285）です。CVE-2026-50223 はContent/DataResource編集権限を持つ認証済みユーザーがテンプレートインジェクションによりRCEを実行できる脆弱性（CWE-94）です。両者ともバージョン24.09.07で修正されています。
修正バージョン: Apache OFBiz 24.09.07
参考リンク:
CVE-2026-47162 — Vim Vimscriptコードインジェクション
- CVSSスコア: 8.8 (HIGH)
- CWE: CWE-74, CWE-94
- 影響: Vim 9.2.0494 以前
netrwプラグインのブラウズ履歴保存関数において、ファイルシステムから取得したディレクトリ名がシングルクォート文字列リテラルに無エスケープで補間されます。クラフトされたディレクトリ名により任意のVimscriptが実行され、次回履歴ファイル読み込み時に system() 経由でシェルコマンドが走ります。
修正バージョン: Vim v9.2.0495
参考リンク:
CVE-2026-45504 — Microsoft Exchange Server SSRF
- CVSSスコア: 8.8 (HIGH)
- CWE: CWE-918（サーバーサイドリクエストフォージェリ）
- 影響: Microsoft Exchange Server
認証済み攻撃者がSSRFを悪用してネットワーク経由で権限昇格を行える脆弱性です。Microsoftより2026年6月のPatch Tuesdayで修正が提供されています。
修正: Microsoft Update（2026年6月累積更新）
参考リンク:
エコシステム別サマリー
npm（8件）
| パッケージ | CVE | 概要 |
|---|---|---|
| nuxt | CVE-2026-46342 | __nuxt_island エンドポイントのキャッシュポイズニング（修正: 3.21.6 / 4.4.6） |
| nuxt | CVE-2026-47200 | .server.vue でルートミドルウェアが未適用（修正: 3.21.6） |
| nuxt | CVE-2026-45669 | navigateTo() リフレクトXSS（修正: 3.21.6 / 4.4.6） |
| svelte | CVE-2026-42573 | DOMクロバリングによるXSS（修正: 5.55.7） |
| svelte | CVE-2026-42599 | SSRスプレッド属性XSS（修正: 5.55.7） |
| svelte | CVE-2026-42567 | <svelte:element> のReDoS（修正: 5.55.7） |
| @angular/core | CVE-2026-22610 | SVGスクリプト属性のXSS（修正: 21.1.0-rc.0） |
| launch-editor / vite | CVE-2024-52011 | Windows上のコマンドインジェクション（修正: vite 5.4.9） |
PyPI（93件）
本日のPyPI脆弱性は大部分がDjangoに集中しています。CVE-2026-6907、CVE-2026-5766（Django 6.0.5で修正）を含む多数の脆弱性が公開されています。Djangoを利用しているプロジェクトは6.0.5 / 5.2.6以降へのアップデートを推奨します。
JVN（日本語情報）
本日の対象期間において、MyJVNに該当する脆弱性情報はありませんでした。
まとめ
本日最も注目すべきはvm2（CVSS 10.0）とSimpleHelp（CVSS 10.0）の最高深刻度脆弱性です。vm2はNode.jsエコシステムで広く使われているサンドボックスライブラリであり、v3.11.4へのアップデートが公開されています。SimpleHelpはリモートサポートツールのため、テクニシャンアカウントが不正取得されると内部ネットワークへの侵入経路になり得ます。
加えて、Oracle PeopleSoftのCVE-2026-35273はCISA KEVへの登録が確認されており、実際の悪用が報告されています。PeopleSoftを利用している組織は優先的に対応してください。Djangoについては93件の脆弱性が一括公開されており、利用バージョンの確認と最新版へのアップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。