本日は NVD に約 90 件の CVE が登録・更新されました。最も深刻なのは ProxySQL に影響する CVSS 10.0 の ACL バイパス（CVE-2026-48772）と同等スコアの Azure Active Directory 認証不備（CVE-2026-45480）です。Microsoft Exchange Online の Critical（CVE-2026-48582）、Flowise の RCE（CVE-2024-58351）など、幅広い製品に影響が及んでいます。GHSA からは Nuxt、Astro、Angular、Vite など npm エコシステムの多数のアドバイザリも確認されています。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 約90件 |
| Critical (9.0+) | 11件 |
| High (7.0-8.9) | 約58件 |
| Medium (4.0-6.9) | 約21件 |
| GHSA公開アドバイザリ | 40件以上 |
| 影響エコシステム | npm, PyPI, Go, RubyGems, NuGet, Packagist |
Critical / High 脆弱性の詳細解説
CVE-2026-48772 — ProxySQL PROXY プロトコル ACL バイパス
- CVSSスコア: 10.0（Critical）
- CWE: CWE-348（IP アドレスの信頼）, CWE-863（不正な認可）
- 影響バージョン: ProxySQL 2.0.0〜3.0.8
- 修正バージョン: ProxySQL 3.0.9
ProxySQL の MySQL/PostgreSQL フロントエンドは、HAProxy PROXY プロトコル v1 の UNKNOWN トークンが宣言された場合でも後続のアドレスフィールドを sscanf で解析し、セッションの送信元アドレスとして書き込みます。仕様上 UNKNOWN 受信時はアドレスフィールドを無視すべきですが、ProxySQL はそのまま処理するため、TCP レベルで到達可能な任意クライアントが送信元 IP を詐称できます。client_addr 条件を使ったルーティングルールや ACL を完全にバイパスでき、本来アクセスできないデータベースへのルーティングが可能となります。
デフォルト設定（mysql-proxy_protocol_networks = '*'）の環境はすべて影響を受けます。
推奨対応: ProxySQL 3.0.9 へアップデートしてください。
CVE-2026-45480 — Azure Active Directory 認証不備
- CVSSスコア: 10.0（Critical）
- CWE: CWE-287（不適切な認証）
- 影響範囲: Azure Active Directory（Microsoft マネージドサービス）
Azure Active Directory において、ネットワーク経由で未認証の攻撃者が権限昇格を行える不適切な認証の脆弱性が確認されました。マネージドサービスのため、Microsoft 側で順次対応が進められます。
推奨対応: Microsoft のセキュリティアップデートを確認してください。
CVE-2026-48584 — Azure Synapse 過剰権限実行
- CVSSスコア: 9.9（Critical）
- CWE: CWE-250（不必要な権限での実行）
- 影響範囲: Azure Synapse Analytics（Microsoft マネージドサービス）
Azure Synapse において、認証済み攻撃者がネットワーク経由で権限昇格できる不必要な権限での実行（Execution with Unnecessary Privileges）の脆弱性が確認されました。
推奨対応: Microsoft のセキュリティアップデートを確認してください。
CVE-2026-48773 — ProxySQL 事前認証ヒープ破損
- CVSSスコア: 9.8（Critical）
- CWE: CWE-787（境界外書き込み）
- 影響バージョン: ProxySQL 2.0.18〜3.0.8
- 修正バージョン: ProxySQL 3.0.9
認証前の通信処理において、クライアントが宣言する最初のパケット長を ProxySQL が検証せずに recv() 呼び出しに渡すため、固定サイズ（32 KB）の入力キューへのヒープメモリ破損が発生します。未認証のリモートクライアントから悪用が可能な、事前認証の脆弱性です。
推奨対応: ProxySQL 3.0.9 へアップデートしてください。CVE-2026-48772 と合わせて対応を推奨します。
CVE-2026-11551 — WordPress Branda プラグイン アカウント乗っ取り
- CVSSスコア: 9.8（Critical）
- CWE: CWE-640（パスワード回復の脆弱なメカニズム）
- 影響バージョン: Branda（WordPress プラグイン）3.4.29 以下
- 修正バージョン: 最新バージョン（パッチ適用済み）
WordPress 用ホワイトラベリングプラグイン Branda において、パスワード更新処理でユーザー確認が不十分なため、未認証の攻撃者が管理者を含む任意ユーザーのパスワードを変更できます。アカウント乗っ取りによるサイト全体への不正アクセスが可能となります。
推奨対応: 最新バージョンへのアップデートを推奨します。
CVE-2024-58351 — Flowise リモートコード実行
- CVSSスコア: 9.8（Critical）
- CWE: CWE-94（コード生成の不適切な制御）
- 影響バージョン: Flowise 2.1.4 未満
- 修正バージョン: 2.1.4 以降
AI チェーンフローツール Flowise において、overrideConfig オプションを通じて実行時の設定を注入できる脆弱性が確認されました。vm2 サンドボックスを使用しているものの許可変数のリストが存在せず、リモートコード実行とサンドボックス脱出が可能です。フロントエンドの Web 統合とバックエンドの Prediction API 両方からデフォルト設定のまま悪用可能です。
推奨対応: Flowise 2.1.4 以降へのアップデートを推奨します。
CVE-2026-48582 — Microsoft Exchange Online 認証不備
- CVSSスコア: 9.6（Critical）
- CWE: CWE-862（認可の欠如）
- 影響範囲: Microsoft Exchange Online（マネージドサービス）
Microsoft Exchange Online において、認証済み攻撃者がネットワーク経由で権限昇格できる認可不備の脆弱性が確認されました。
推奨対応: Microsoft のセキュリティアップデートを確認してください。
CVE-2026-56073 / CVE-2026-56081 — Cap-go 認証バイパス
- CVSSスコア: 9.4（CVE-2026-56073）、9.1（CVE-2026-56081）
- 影響バージョン: Cap-go 12.128.2 未満
モバイルアプリ更新プラットフォーム Cap-go において 2 件の認証系脆弱性が確認されました。CVE-2026-56073 はメール認証の OTP 検証レスポンスを操作することで認証をバイパスできる問題です。CVE-2026-56081 は攻撃者が被害者のメールアドレスで先にアカウント登録し 2FA を設定することで、正規ユーザーのアクセスを妨害しアカウントを乗っ取れる問題です。
推奨対応: Cap-go 12.128.2 以降へのアップデートを推奨します。
CVE-2026-11527 — Perl Config::IniFiles OS コマンドインジェクション
- CVSSスコア: 8.6（High）
- CWE: CWE-73（外部制御されたファイル名またはパス）, CWE-78（OS コマンドインジェクション）
- 影響バージョン: Config::IniFiles 3.001000 未満
- 修正バージョン: 3.001000
Perl モジュール Config::IniFiles において、-file 引数にパイプ（| cmd）やリダイレクト（> path）を含む文字列が渡された場合、Perl の 2 引数 open() がコマンドとして実行します。信頼できない入力を -file 引数に渡すアプリケーションでは OS コマンドインジェクションまたは任意ファイル上書きが発生します。
推奨対応: Config::IniFiles 3.001000 へのアップデートを推奨します。Debian LTS パッケージも提供されています。
Microsoft Office 複数脆弱性（High）
今回の NVD 公開分には Microsoft Office スイートに対する High（CVSS 7.8〜8.4）の脆弱性が多数含まれています。
- CVE-2026-45456/45458/45461/45463/45472/45474: 型混同・Use-After-Free・ヒープバッファオーバーフロー（各 CVSS 8.4、ローカル RCE）
- CVE-2026-44817/44819/44820/44823/44824: Excel での整数アンダーフロー・ヒープバッファオーバーフロー（各 CVSS 7.8）
- CVE-2026-45457/45469/45471/45475/45486/45643/45645: Word での信頼されないポインタ参照・ヒープバッファオーバーフロー（各 CVSS 7.8）
これらはすべてローカルでのコード実行が可能な脆弱性で、悪意のある Office ファイルを開くことで発動します。
推奨対応: Microsoft Update 経由での最新パッチ適用を推奨します。
エコシステム別サマリー
npm（20件以上）
Nuxt 4.4.7/3.21.7 および Astro 6.4.6 に複数の深刻な脆弱性が修正されています。Nuxt では XSS（<NoScript> スロット）、dev サーバーの IPC ソケット world-connectable 問題（Linux）、navigateTo のオープンリダイレクト、<NuxtLink> での javascript: URL XSS、ルートルール大文字小文字不一致によるミドルウェアバイパスの 5 件が CVE 対象です。Astro では SSR スプレッドプロップのアトリビュート名未エスケープによる XSS（CVE-2026-54298）、Hostヘッダー経由の SSRF（CVE-2026-54299）、スロット名未エスケープの Reflected XSS（CVE-2026-50146）の 3 件が修正されました。
- Angular（@angular/core/compiler）: 名前空間を使ったテンプレートサニタイズバイパス XSS（CVE-2026-50557）、動的コンポーネント作成の名前空間バイパス XSS（CVE-2026-52725）、クライアントハイドレーション DOM クロッバリング（CVE-2026-54267）
- Vite: Windows 代替パスによる
server.fs.denyバイパス（CVE-2026-53571）、launch-editor UNC パス経由の NTLMv2 ハッシュ漏洩（CVE-2026-53632）
PyPI（8件）
- praisonaiagents: メモリ状態漏洩・パストラバーサル（CVE-2026-56078）、ツール承認キャッシュバイパス（CVE-2026-56074）。v1.5.115 / v4.5.128 で修正。
- ujson（CVE-2026-54911）:
ujson.dumps()での不正 UTF-8 の無声書き換え。v5.13.0 で修正。 - jupyterlab-git（CVE-2026-54528）:
excluded_pathsの大文字小文字バイパスによる保護ディレクトリ読み取り。v0.54.0 で修正。
Go（5件）
- containerd（CVE-2026-53492）: CDI アノテーションスマグリングにより、コンテナチェックポイント・リストア時に意図しない CDI デバイスが注入される。v2.1.9/2.2.5/2.3.2 で修正。
- gonic（CVE-2026-49338/49339/49340）: プレイリスト操作の認可不備・パストラバーサルによるファイル書き込み複数件。v0.21.0 で修正。
RubyGems（4件）
Oj（CVE-2026-54899/54896/54592/54502） で Use-After-Free、スタックバッファオーバーフロー、ヒープバッファオーバーフロー、整数オーバーフローなど High 以上の複数脆弱性が確認されました。いずれも v3.17.3 で修正済みです。
NuGet（4件）
CoreWCF で SAML SubjectConfirmation の強制実行不備（CVE-2026-54781）、SPNEGO の SecurityContextToken プルーフキーの機密性不足（CVE-2026-54784）、WS-Security の DigestMethod アルゴリズム検証バイパス（CVE-2026-54780）、NetNamedPipe の既存パイプへのアタッチ問題（CVE-2026-54777）が報告されました。CoreWCF.Primitives 1.9.1/1.8.1 で修正済みです。
Packagist（4件）
- symfony/ux-live-component: HMAC チェックサム不備（CVE-2026-49212）、子コンポーネントタグ XSS（CVE-2026-49210）、CSRF バイパス（CVE-2026-49215）の 3 件。v2.36.0/3.1.0 で修正。
JVN 日本語情報
本日の MyJVN データはありません（該当する脆弱性対策情報なし）。
まとめ
本日の最重要課題は ProxySQL の CVSS 10.0（CVE-2026-48772）および CVSS 9.8（CVE-2026-48773）の 2 件です。前者はルーティング ACL の完全バイパス、後者は未認証のヒープ破損であり、データベースプロキシとして広く使用される ProxySQL は早急に v3.0.9 へのアップデートが必要です。Azure Active Directory・Exchange Online は Microsoft マネージドサービスのため個別対応は不要ですが、Flowise をセルフホストしている場合や WordPress に Branda プラグインを使用している環境では即時対応を推奨します。
Microsoft Office スイートの多数の High 脆弱性は通常の Windows Update で対応できます。npm エコシステムでは Nuxt・Astro・Angular・Vite に多数の脆弱性修正が入っており、これらフレームワークを使用している開発者は各修正バージョンへの更新を確認してください。RubyGems の Oj を使用している Ruby アプリケーションは v3.17.3 へのアップデートも合わせて確認を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。