つみかさね

【セキュリティ日報】CactiにCVSS 9.8 RCE・Fluentd RCEほか約85件

2026-06-27データソース: NVD, OSV, GHSA, JVN

対応判断サマリー

high対応必須
Cacti コマンドインジェクション（escape_command不備）
CVE-2026-40079
Cacti v1.2.31へアップデート
high対応必須
Fluentd リモートコード実行（${tag}プレースホルダー任意ファイル書き込み）
CVE-2026-44024
fluentd v1.19.3へアップデート
high対応必須
golang.org/x/crypto SSH FIDO/U2F物理確認バイパス
CVE-2026-39831
golang.org/x/crypto v0.52.0へアップデート
high対応必須
golang.org/x/crypto/ssh/knownhosts @revokedステータス未強制による認証バイパス
CVE-2026-42508
golang.org/x/crypto v0.52.0へアップデート
high対応必須
i18next-fs-backend prototype pollution
CVE-2026-48713
i18next-fs-backend v2.6.6へアップデート
high対応必須
i18next-http-middleware prototype pollution
CVE-2026-48714
i18next-http-middleware v3.9.7へアップデート
high推奨
Cacti Reports機能 SQLインジェクション
CVE-2026-39951
Cacti v1.2.31へアップデート
high推奨
Nuxt URL処理の脆弱性（SSRオープンリダイレクト・スクリプト実行）
CVE-2026-56326
nuxt v4.4.7またはv3.21.7へアップデート
high推奨
NEC ExpressUpdate Agent IOCTLアクセス制御不備
CVE-2026-8797
JVN掲載の対策情報を確認
CVENVD脆弱性CactiFluentdLinuxgolangnpm

本日は新規・更新CVEが約85件公開されており、うちCriticalが15件（NVD 11件＋GHSA 6件）。CactiのCVE-2026-40079がCVSSスコア9.8のコマンドインジェクションとして最も深刻で、修正版v1.2.31が提供されています。同日、FluentdにリモートコードRCE脆弱性（CVE-2026-44024）、golang.org/x/cryptoのSSHライブラリに複数のCritical脆弱性が公開されました。

本日の概要

指標数値
新規・更新CVE約85件
Critical (9.0+)15件
High (7.0-8.9)46件
Medium (4.0-6.9)22件
Low (0.1-3.9)5件
影響エコシステムnpm, Go, RubyGems, Maven, NuGet

Critical / High 脆弱性の詳細

CVE-2026-40079 — Cacti コマンドインジェクション

項目内容
CVSSスコア9.8 (Critical)
CWECWE-78（OSコマンドインジェクション）
影響製品Cacti 1.2.30以前
攻撃条件ネットワーク経由、認証必要

Cactiのパフォーマンス監視フレームワークに、escape_command()関数のサニタイズ不足によるコマンドインジェクションが存在します。同関数は実質的に入力値をそのまま返すだけで、rrdtool_function_graph()が構築したコマンドラインがシェル実行されます。グラフテンプレートのtext_format値（ホスト変数の置換を含む）が適切なエスケープなしにshell_exec()に渡る点が問題です。

修正: Cacti v1.2.31へのアップデート。
参考: NVD | JVN

CVE-2026-44024 — Fluentd リモートコード実行（$プレースホルダー任意ファイル書き込み）

項目内容
GHSAGHSA-44hj-4m45-frj3（Critical）
影響製品fluentd 1.19.2以前
攻撃条件$プレースホルダーを使用するログ設定が対象

Fluentdの${tag}プレースホルダー展開ロジックに任意ファイル書き込みが可能な脆弱性があり、リモートコード実行につながります。ログ収集インフラとして広く利用されているため、影響範囲が広い可能性があります。

修正: fluentd v1.19.3へのアップデート。
参考: GHSA

CVE-2026-44161 — Fluentd SSRF（out_httpプレースホルダー展開）

項目内容
GHSAGHSA-72f5-rr8c-r6gr（High）
影響製品fluentd 1.19.2以前
攻撃条件out_httpプラグイン利用環境

out_httpプラグインのプレースホルダー展開を通じてSSRF（サーバーサイドリクエストフォージェリ）が発生する可能性があります。内部ネットワークへの不正アクセスに悪用できます。

修正: fluentd v1.19.3へのアップデート（CVE-2026-44024と同時修正）。
参考: GHSA

CVE-2026-39831 / CVE-2026-42508 — golang.org/x/crypto SSH 複数のCritical脆弱性

項目内容
GHSAGHSA-89gr-r52h-f8rx（Critical）/ GHSA-5cgq-3rg8-m6cv（Critical）
影響製品golang.org/x/crypto v0.51.0以前
攻撃条件SSH接続を利用するGoアプリケーション

今回、golang.org/x/cryptoライブラリのSSH実装に複数の重要な脆弱性が一括公開されました：

  • CVE-2026-39831: FIDO/U2Fセキュリティキーの物理存在確認チェックをバイパス可能
  • CVE-2026-39832: SSH agentが鍵フォワーディング時にagent制約を削除しない
  • CVE-2026-42508: knownhostsパッケージが@revokedステータスを正しく強制しない（認証バイパス）
  • CVE-2026-39828: 証明書制限のバイパスが可能
  • CVE-2026-39835: 認証フロー中にサーバーパニックを引き起こすことが可能

SSH認証を利用するGoアプリケーションは早急な更新を推奨します。

修正: golang.org/x/crypto v0.52.0へのアップデート。
参考: Go Security Announcement

CVE-2026-48713 / CVE-2026-48714 — i18next プロトタイプ汚染

項目内容
GHSAGHSA-2933-q333-qg83（Critical）/ GHSA-f49m-vf83-692w（Critical）
影響製品i18next-fs-backend 2.6.5以前、i18next-http-middleware 3.9.6以前
エコシステムnpm

npmの多言語化（i18n）ライブラリi18nextのNode.jsバックエンド実装にプロトタイプ汚染（prototype pollution）の脆弱性があります。細工したmissing-keyやMissingKeyHandlerを通じてオブジェクトプロトタイプを汚染でき、アプリケーションの動作に影響を与える可能性があります。

修正: i18next-fs-backend v2.6.6、i18next-http-middleware v3.9.7へのアップデート。
参考: GHSA-2933-q333-qg83 | GHSA-f49m-vf83-692w

CVE-2026-39951 — Cacti SQLインジェクション

項目内容
CVSSスコア8.8 (High)
CWECWE-89（SQLインジェクション）
影響製品Cacti 1.2.30以前

CactiのReports機能におけるgraph_name_regexpパラメーターを通じて保存型SQLインジェクションが発生します。認証済みユーザーが悪意あるリクエストでデータベースを操作できる可能性があります。

修正: Cacti v1.2.31へのアップデート（CVE-2026-40079と同時修正）。
参考: JVN

CVE-2025-1244 — GNU Emacs コマンドインジェクション

項目内容
CVSSスコア8.8 (High)
CWECWE-78（OSコマンドインジェクション）
影響製品GNU Emacs
攻撃条件ネットワーク経由、認証不要、ユーザー操作あり

EmacsのテキストエディタにHTTPリダイレクトを利用したコマンドインジェクション脆弱性があります。攻撃者が制御する特別に細工されたウェブサイトやHTTP URLにユーザーをアクセスさせることで、リモートからのシェルコマンド実行が可能です。

参考: NVD | Red Hat

CVE-2026-42013 — GnuTLS 証明書検証バイパス

項目内容
CVSSスコア8.2 (High)
CWECWE-295（不適切な証明書検証）
影響製品GnuTLS
攻撃条件ネットワーク経由、認証不要

GnuTLSの証明書検証処理において、Subject Alternative Name（SAN）が過大な場合に検証ロジックがCommon Name（CN）フィールドのチェックに誤ってフォールバックします。リモート攻撃者が証明書検証をバイパスし、なりすましやMITM攻撃を行える可能性があります。

参考: NVD | Red Hat

CVE-2026-46560 — OpenAM RADIUS認証バイパス

項目内容
GHSAGHSA-386j-6m86-78f9（High）
影響製品org.openidentityplatform.openam:openam-radius 16.1.0以前

OpenAMのRADIUS認証実装にスプーフィングによる認証バイパス脆弱性があります。未認証の攻撃者がRADIUSプロトコルを悪用してOpeAMへの認証をバイパスできる可能性があります。

修正: OpenAM v16.1.1へのアップデート。
参考: GHSA

CVE-2026-56326 — Nuxt URL処理の脆弱性（CVE-2026-56326）

項目内容
CVSS v4CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A
影響製品nuxt 3.21.6以前、4.4.6以前
エコシステムnpm

NuxtフレームワークのクライアントナビゲーションURL処理に3つの脆弱性があります：（1）navigateToのSSRオープンリダイレクト、（2）openオプションを通じたクライアントサイドスクリプト実行、（3）reloadNuxtAppのプロトコル相対バイパス。パス正規化のバイパス（/..//evil.com等）が根本原因です。

修正: nuxt v4.4.7またはv3.21.7へのアップデート。
参考: GHSA

CVE-2026-45898 — Linux kernel RDMA/iwcm ワークキュー破壊

項目内容
CVSSスコア9.8 (Critical)
影響製品Linux kernel（複数のstableバージョン）
攻撃条件iWARPモードのRDMA環境

Linux kernelのRDMA/iwcmサブシステムに、ワークキューのリスト破壊を引き起こす脆弱性があります。queue_work()の重複呼び出しがwork_listの破壊につながり、use-after-freeの状態を作り出します。Intel E830等のiWARPモードを使用する環境が対象です。

修正: 各kernelブランチの最新stableへのアップデート。
参考: NVD | kernel.org

エコシステム別サマリー

npm（OSV / GHSA）

本日のnpmエコシステムでの注目脆弱性は以下のとおりです：

  • nuxt（v3/v4）: URL処理の3件の脆弱性（CVE-2026-56326）→ v4.4.7 / v3.21.7で修正済み
  • i18next-fs-backend: prototype pollution（CVE-2026-48713）→ v2.6.6で修正済み
  • i18next-http-middleware: prototype pollution（CVE-2026-48714）→ v3.9.7で修正済み

Go（GHSA）

今回、golang.org/x/cryptoに一括で複数の重要な脆弱性が公開されました。SSH関連の実装全般が影響を受けるため、Goアプリケーションでのインパクトは大きいと考えられます。

  • golang.org/x/crypto: 6件の脆弱性（CVE-2026-39828/39831/39832/39835/42508/46598）→ v0.52.0で修正済み
  • chi（go-chi/chi）: X-Forwarded-Forヘッダー経由のIPスプーフィング → v5.3.0で修正済み
  • rekor（sigstore）: gzip解凍時のOOMリスク（CVE-2026-48702）→ v1.5.2で修正済み

RubyGems（GHSA）

  • fluentd: RCE（CVE-2026-44024）とSSRF（CVE-2026-44161）の2件 → v1.19.3で修正済み

NuGet（GHSA）

  • MessagePack-CSharp: 複数のDoS脆弱性（CVE-2026-48502/48509/48511/48512/48515）→ v2.5.301またはv3.1.7で修正済み
  • Magick.NET（ImageMagick）: 複数のバッファ関連脆弱性（CVE-2026-48724/48733/48994/49218）→ v14.14.0で修正済み

JVN 日本語情報

MyJVN（JVN iPedia）に本日公開された日本語脆弱性情報です。

Cacti コマンドインジェクション（CVE-2026-40079）

JVNDB-2026-020792。CVSSスコア9.8のCritical。Cacti 1.2.30以前のescape_command()関数のサニタイズ不足によるコマンドインジェクション。v1.2.31で修正済み。詳細はCVE-2026-40079個別ページを参照。

NEC ExpressUpdate Agent for Windows IOCTLアクセス制御不備（CVE-2026-8797）

JVNDB-2026-000088。CVSSスコア7.8のHigh。NECサーバー製品向けExpressUpdate Agentの名前付きパイプに対するIOCTLアクセス制御不備（CWE-782）。情報セキュリティ早期警戒パートナーシップ経由で報告。対策はJVN掲載情報を参照。

Silicon Labs EmberZNet 複数の脆弱性（CVE-2026-47147〜CVE-2026-47154）

各JVNDB-2026-02102x系エントリ。EmberZNet v9.0.2以前に、OTAパーサー境界外読み取り、IASゾーン登録境界外書き込み、ドアロック境界外書き込み、カラーコントロールアサート、Level Controlゼロ除算など多数の脆弱性。いずれもZigbeeネットワーク参加済みデバイスからの送信が前提。CVSSスコアは6.5〜7.1（High/Medium）。

まとめ

本日の最重要対応はCactiのコマンドインジェクション（CVE-2026-40079、CVSS 9.8）とFluentdのRCE（CVE-2026-44024）です。どちらも修正版が提供済みで、アップデートによる対応が可能です。

golang.org/x/cryptoの一括公開は影響範囲が広く、SSHを利用するGoアプリケーション全般で確認が必要です。特にknownhostsの@revokedバイパス（CVE-2026-42508）とFIDO/U2F物理確認バイパス（CVE-2026-39831）は認証機構に直接影響するため、SSHキー認証を利用する環境では優先対応を推奨します。

Linux kernelについては多数の7.8スコアのパッチが含まれており、RDMA/iWARPを使う高性能コンピューティング環境では注意が必要です。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

Xでシェアはてブ
データソース: NVD API 2.0 (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
"This product uses the NVD API but is not endorsed or certified by the NVD."
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。