本日は NVD で 220件の CVE が更新・公開され、Critical（CVSS 9.0以上）は 29件、High は 88件と件数・深刻度ともに高い一日です。CVE-2026-4480（Samba 印刷サブシステム RCE、CVSS 9.0）と CVE-2026-34182（OpenSSL CMS 整合性バイパス、CVSS 9.1）は広く利用されるソフトウェアへの影響が大きく、早急な確認が必要です。また、npm エコシステムでは Nuxt・Astro・Vite・Angular が一斉にセキュリティ修正を公開しており、フロントエンド環境の対応も併せて推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新 CVE（NVD） | 220件 |
| Critical (CVSS 9.0+) | 29件 |
| High (CVSS 7.0–8.9) | 88件 |
| Medium (CVSS 4.0–6.9) | 94件 |
| Low (CVSS 0–3.9) | 4件 |
| 影響エコシステム（OSV） | npm, PyPI |
Critical / High 脆弱性の詳細解説
CVE-2026-10611 — MISP LDAP 混在認証時の OTP バイパス
- CVSSスコア: 10.0（Critical）
- CWE: CWE-287（不適切な認証）
- 影響ソフトウェア: MISP（LDAP 混在認証 + OTP 強制を有効にした構成）
LdapAuth.mixedAuth=true と Security.require_otp=true を組み合わせた構成で、LDAP プラグイン経由の認証ではセッションが OTP チャレンジの前に確立されてしまう欠陥です。有効な第一認証情報を持つ攻撃者が OTP 検証をスキップして任意の URL に直接アクセスすることが可能です。LDAP 混在認証 + OTP を使用している環境は特に注意が必要です。
修正: 修正コミット 39b3cb15aac4318afdd2ab63b96c2eac12b271fe を含む最新版へアップデート
参考リンク:
CVE-2026-46389 — UDS Identity Config / Keycloak クライアント認証バイパス
- CVSSスコア: 10.0（Critical）
- CWE: CWE-287（不適切な認証）、CWE-303（ロジックエラーによる認証不備）
- 影響ソフトウェア: uds-identity-config 0.11.0〜0.26.0
client-kubernetes-secret 認証子のロジックエラーにより、送信された client_secret が比較前にマウントされた Kubernetes シークレットで上書きされます。Keycloak トークンエンドポイントへ到達可能な攻撃者が、client_id を知るだけでどんな client_secret でも認証を通過し OAuth2 トークンを取得できます。uds-operator クライアントの場合、他クライアントの登録・変更まで可能になります。
修正バージョン: uds-identity-config 0.26.1 以降
参考リンク:
CVE-2026-34182 — OpenSSL CMS AuthEnvelopedData 整合性バイパス
- CVSSスコア: 9.1（Critical）
- CWE: CWE-354（不適切な完全性検証）
- 影響ソフトウェア: OpenSSL（FIPS モジュールは対象外）
CMS の AuthEnvelopedData 処理において、暗号アルゴリズムとタグ長フィールドの入力検証が不十分です。攻撃者は正規の AES-GCM メッセージを非 AEAD モード（AES-OFB 等）にすり替えて再送することで、被害者が MAC 検証なしに復号を行う状態を作れます。また、AEAD タグ長を 1 バイトに縮小してブルートフォースで CMS 復号を通過させることも可能です。
修正: 2026年6月9日公開の OpenSSL Security Advisory パッチを適用
参考リンク:
CVE-2026-4480 — Samba 印刷サブシステム OS コマンドインジェクション（RCE）
- CVSSスコア: 9.0（Critical）
- CWE: CWE-78（OS コマンドインジェクション）
- 影響ソフトウェア: Samba（
print command設定で%Jを使用している構成）
print command 設定の %J 置換文字（印刷ジョブの説明文）にシェルメタ文字がエスケープされないまま渡されます。認証済みの遠隔攻撃者が細工した印刷ジョブ説明文を送ることでコード実行が可能です。Red Hat の RHSA-2026:22644 等でパッチが提供されています。
修正: ベンダーのセキュリティアップデートを適用（Red Hat: RHSA-2026:22644 / 22963 / 25049 / 25979）
参考リンク:
CVE-2026-4408 — Samba パスワードスクリプト OS コマンドインジェクション
- CVSSスコア: 9.0（Critical）
- CWE: CWE-78（OS コマンドインジェクション）
- 影響ソフトウェア: Samba（
check password script+%u置換を使用する非標準構成）
check password script の %u 置換でクライアント制御のユーザー名がシェルメタ文字エスケープなしに渡されます。samba-dcerpcd がシステムサービスとして起動されている環境で悪用可能です。標準構成では影響を受けません。
修正: ベンダーのセキュリティアップデートを適用（CVE-2026-4480 と同一パッケージ）
参考リンク:
CVE-2026-34040 — Docker (Moby) 認証プラグインバイパス
- CVSSスコア: 8.8（High）
- CWE: CWE-288（代替パスによる認証バイパス）
- 影響ソフトウェア: Moby（Docker Engine）29.3.0 以前
攻撃者が認証プラグイン（AuthZ）を迂回できる脆弱性です。Docker デーモンに AuthZ プラグインを導入してアクセス制御を行っている環境が対象で、特権操作への不正アクセスにつながる可能性があります。
修正バージョン: docker-v29.3.1 以降
参考リンク:
CVE-2026-42985 — Microsoft Remote Desktop Client ヒープバッファオーバーフロー
- CVSSスコア: 8.8（High）
- CWE: CWE-416（UAF）、CWE-787（境界外書き込み）
- 影響ソフトウェア: Microsoft Remote Desktop Client（複数プラットフォーム）
ネットワーク越しに未認証の攻撃者がコード実行可能なヒープベースバッファオーバーフローです。悪意のあるサーバーへのクライアント接続によって悪用される可能性があります。
修正: Microsoft Update を適用
参考リンク:
CVE-2026-42897 — Microsoft Exchange Server XSS（CISA KEV 掲載）
- CVSSスコア: 8.1（High）
- CWE: CWE-79（クロスサイトスクリプティング）
- 影響ソフトウェア: Microsoft Exchange Server
CISA の Known Exploited Vulnerabilities Catalog に掲載されており、実際の悪用が確認されています。未認証の攻撃者がネットワーク経由でスプーフィング攻撃を行える XSS です。Exchange 環境の優先対応が推奨されます。同日公開の CVE-2025-59249（CVSS 8.8、Exchange 権限昇格）および CVE-2025-53782（CVSS 8.4、Exchange 認証アルゴリズム不備）と合わせて確認が必要です。
修正: Microsoft Update を適用（2026年6月の定例更新に含まれます）
参考リンク:
Linux カーネル 関連（複数）
本日は Linux カーネルの Critical / High 脆弱性が複数公開されました。
| CVE ID | CVSSスコア | 概要 |
|---|---|---|
| CVE-2026-45972 | 9.8 | SMB クライアント smb2_open_file() の UAF / double-free |
| CVE-2026-45988 | 9.8 | rxrpc RESPONSE パケット再復号処理の不備 |
| CVE-2026-46039 | 9.8 | rxgk トークン長チェックの整数オーバーフロー |
| CVE-2026-46043 | 9.1 | RDMA/rxe BTH pad 検証不備（ペイロードサイズアンダーフロー） |
| CVE-2026-45945 | 8.8 | Intel VT-d PASID テーブルエントリ置換の競合状態 |
| CVE-2026-46056 | 8.8 | Bluetooth hci_event SSP passkey ハンドラの UAF |
いずれも安定版カーネルへのパッチが git.kernel.org に公開されています。ディストリビューションのアップデートを確認してください。
エコシステム別サマリー
npm（19件）
本日は Nuxt・Astro・Vite・Angular のセキュリティ修正が集中して公開されました。
Nuxt（3.21.7 / 4.4.7 で修正）
| CVE / GHSA | 概要 |
|---|---|
| CVE-2026-53721 | routeRules マッチャーと vue-router のケース感度差異によるミドルウェアバイパス |
| CVE-2026-53722 | <NuxtLink> での javascript: / data: URL による反射型 XSS |
| GHSA-534h-c3cw-v3h9 | Linux abstract namespace Unix ソケットへの無認証接続（dev 環境） |
| GHSA-c9cv-mq2m-ppp3 | navigateTo / reloadNuxtApp の URL 処理不備（SSR オープンリダイレクト等） |
Astro（6.4.6 / 6.3.3 で修正）
| CVE | 概要 |
|---|---|
| CVE-2026-54298 | スプレッドプロップスの属性名未エスケープによる XSS |
| CVE-2026-54299 | SSR エラーページ fetch の Host ヘッダ SSRF |
| CVE-2026-50146 | スロット名未エスケープによる反射型 XSS |
Vite / launch-editor（6.4.3 / 7.3.5 / 8.0.16 で修正）
| CVE | 概要 |
|---|---|
| CVE-2026-53571 | Windows 代替パスによる server.fs.deny バイパス |
| CVE-2026-53632 | UNC パス処理経由の NTLMv2 ハッシュ漏洩（launch-editor 経由） |
Angular（19.2.x / 20.3.x / 21.2.x で修正）
| CVE | 概要 |
|---|---|
| CVE-2026-50557 | テンプレート・属性の名前空間サニタイズバイパスによる XSS |
| CVE-2026-52725 | createComponent による <script> 要素への動的コンポーネント生成 XSS |
| CVE-2026-54267 | Hydration DOM Clobbering & レスポンスキャッシュポイズニング |
PyPI（92件 — Django）
PyPI の全 92件は Django 関連です。主要なものを以下に示します。
| CVE | 概要 | 修正バージョン |
|---|---|---|
| CVE-2026-5766 | ASGI リクエストの Content-Length 不足で FILE_UPLOAD_MAX_MEMORY_SIZE を迂回 | 5.2.14 / 6.0.5 |
| CVE-2026-4292 | list_editable 管理画面フォームで偽造 POST によるオブジェクト不正作成 | 4.2.30 / 5.2.13 / 6.0.4 |
Django を利用している環境は対象バージョンに応じてアップデートを検討してください。
JVN 日本語情報
CVE-2026-50100 — リコー・コニカミノルタジャパン製プリンタドライバ 権限昇格
- CVSSスコア: 7.8（High）
- JVN ID: JVNDB-2026-000085
DLL 読み込み順序のハイジャック（CWE-427）により、ローカルの攻撃者が権限昇格を行える可能性があります。リコーおよびコニカミノルタジャパン製の複数プリンタドライバが対象です。
参考リンク:
CVE-2026-53676 — ThingsBoard プロトタイプ汚染
- CVSSスコア: 7.2（High）
- JVN ID: JVNDB-2026-000086
IoT プラットフォーム ThingsBoard にプロトタイプ汚染（CWE-1321）の脆弱性が存在します。株式会社ラックの今井啓貴氏が IPA に報告し、JPCERT/CC が調整を行いました。
参考リンク:
CVE-2026-5667 — 三菱電機製家電製品 ハードコードされた認証情報
- JVN ID: JVNDB-2026-019940
- CWE: CWE-798（ハードコードされた認証情報の使用）
三菱電機製の複数家電製品にハードコードされた認証情報が含まれています。JPCERT/CC が開発者と調整済みです。CVSSスコアは未設定ですが、認証情報が固定されている点から影響範囲の確認を推奨します。
参考リンク:
まとめ
本日は NVD で 220件（Critical 29件）・OSV で 111件（npm 19件、PyPI 92件）の脆弱性が確認されました。最も注意が必要なのは Samba の RCE 2件（CVE-2026-4480・CVE-2026-4408、いずれも CVSS 9.0）と OpenSSL の CMS 整合性バイパス（CVE-2026-34182、CVSS 9.1）です。Samba は印刷機能や Winbind を有効にしている Linux 環境、OpenSSL は TLS 実装や証明書処理を行うあらゆるサービスが対象です。
CVE-2026-42897（Microsoft Exchange XSS）は CISA KEV に掲載されており、実際の悪用が確認されています。Exchange 環境は 2026年6月定例パッチの適用を最優先にしてください。Docker を AuthZ プラグインで運用している場合は CVE-2026-34040 への対応（docker-v29.3.1 以降へのアップグレード）も確認が必要です。npm エコシステムでは Nuxt・Astro・Vite が複数の XSS / SSRF / 情報漏洩を一括修正しているため、該当プロジェクトは速やかなアップデートを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。