本日は更新・確認されたCVEが200件（うちCritical 6件、High 76件）で、最も深刻なのは Samba Active Directory Domain Controller の WINS hook における OS コマンドインジェクション（CVE-2025-10230、CVSS 10.0）です。未認証のネットワーク攻撃者がリモートコード実行できる状態のため、Samba AD DC 環境は至急パッチ適用を推奨します。JVN では Fluentd の複数脆弱性（CVE-2026-44163、CVSS 9.8）も公開されており、ログ収集基盤として Fluentd を採用している環境も対応が必要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新 CVE（NVD） | 200件 |
| Critical (9.0+) | 6件 |
| High (7.0-8.9) | 76件 |
| Medium (4.0-6.9) | 96件 |
| Low (<4.0) | 21件 |
| 影響エコシステム（OSV/GHSA） | npm, PyPI, Maven, Go |
Critical / High 脆弱性の詳細解説
CVE-2025-10230 — Samba WINS hook OS コマンドインジェクション
- CVSS スコア: 10.0 (CRITICAL)
- CWE: CWE-78（OS コマンドインジェクション）
- 影響を受けるソフトウェア: Samba（Active Directory Domain Controller として構成された環境）
Samba の WINS hook 処理において、NetBIOS 名前登録パケットから取得したデータが適切なバリデーション・エスケープなしにシェルコマンドへ挿入されます。未認証のネットワーク攻撃者が細工した WINS 登録パケットを送信するだけで、Samba プロセス権限でのリモートコード実行が可能です。CVSS 10.0 という最高スコアが示すとおり、攻撃条件が容易で影響範囲が非常に広い深刻な脆弱性です。
修正バージョン・対策: Samba 公式サイトのセキュリティ情報（https://www.samba.org/samba/history/security.html）を確認し、最新版へアップデートしてください。WINS hook を使用していない場合は、smb.conf で wins hook ディレクティブを無効化することで影響を軽減できます。
参考リンク:
CVE-2024-12084 — rsync デーモン ヒープバッファオーバーフロー
- CVSS スコア: 9.8 (CRITICAL)
- CWE: CWE-122（ヒープバッファオーバーフロー）、CWE-787（境界外書き込み）
- 影響を受けるソフトウェア: rsync デーモン（rsyncd）
攻撃者が制御するチェックサム長（s2length）の不適切な処理により、MAX_DIGEST_LEN が固定の SUM_LENGTH（16バイト）を超えた場合に sum2 バッファへの境界外書き込みが発生します。rsync デーモンを外部に公開している環境では、未認証の攻撃者によるリモートからの悪用が懸念されます。
修正バージョン・対策: rsync 3.3.0 以降（または各ディストリビューションが提供するセキュリティパッチ）を適用してください。デーモンモード（rsyncd）を使用していない場合は影響を受けません。
参考リンク:
CVE-2025-4404 — FreeIPA ホストからドメインへの特権昇格
- CVSS スコア: 9.1 (CRITICAL)
- CWE: CWE-1220
- 影響を受けるソフトウェア: FreeIPA
FreeIPA が admin アカウントの krbCanonicalName の一意性をデフォルトで検証しないため、攻撃者が REALM admin と同じ正規名を持つサービスを作成できます。成功した場合、admin@REALM 資格情報を含む Kerberos チケットを取得し、REALM 全体の管理タスクの実行や機密データへのアクセスが可能になります。
修正バージョン・対策: Red Hat Enterprise Linux の場合は RHSA-2025:9184 以降のエラータを適用してください。
参考リンク:
CVE-2025-49794 / CVE-2025-49796 — libxml2 メモリ破壊
- CVSS スコア: 9.1 (CRITICAL)
- CWE: CWE-825（use-after-free）、CWE-125（境界外読み取り）
- 影響を受けるソフトウェア: libxml2
XML スケマトロンの <sch:name path="..."/> 要素を処理する際に use-after-free（CVE-2025-49794）およびメモリ破壊（CVE-2025-49796）が発生します。細工した XML ドキュメントを処理するアプリケーションがクラッシュしたり、未定義の動作を引き起こす可能性があります。libxml2 は多くの Linux ディストリビューションや Web サーバーで広く使われているため、影響範囲が広い点に注意が必要です。
修正バージョン・対策: libxml2 の修正版へアップデートしてください（Red Hat の場合は RHSA-2025:10630 以降）。
参考リンク:
CVE-2025-32911 — libsoup use-after-free（HTTP サーバー）
- CVSS スコア: 9.0 (CRITICAL)
- CWE: CWE-590（use-after-free）
- 影響を受けるソフトウェア: libsoup
soup_message_headers_get_content_disposition() 関数に use-after-free 脆弱性があり、悪意のある HTTP クライアントがサーバーのメモリ破壊を引き起こせます。GNOME アプリケーションや libsoup を使用する HTTP サーバー実装に影響します。
修正バージョン・対策: libsoup の修正版へアップデートしてください（Red Hat の場合は RHSA-2025:4439 以降）。
参考リンク:
CVE-2025-1244 — Emacs コマンドインジェクション
- CVSS スコア: 8.8 (HIGH)
- CWE: CWE-78（OS コマンドインジェクション）
- 影響を受けるソフトウェア: Emacs（テキストエディタ）
未認証のリモート攻撃者が特別に細工された Web サイトや HTTP リダイレクトをユーザーに訪問させることで、任意のシェルコマンドを実行できます。org-mode や Emacs の URL ハンドリング機能を使用しているユーザーは特に注意が必要です。
修正バージョン・対策: Emacs の修正版へアップデートしてください（Red Hat の場合は RHSA-2025:1915 以降）。
参考リンク:
CVE-2024-21626 — runc コンテナエスケープ
- CVSS スコア: 8.6 (HIGH)
- CWE: CWE-403、CWE-668
- 影響を受けるソフトウェア: runc 1.1.11 以前
runc の内部ファイルディスクリプタリークにより、runc exec や runc run で生成したコンテナプロセスがホストファイルシステム名前空間内で作業ディレクトリを持てる状態になります。コンテナからホストファイルシステムへのアクセスや任意のホストバイナリの上書きが可能になるため、コンテナを使用している環境では対応が必要です。
修正バージョン: runc 1.1.12 以降
参考リンク:
CVE-2026-44417 — Apache CXF JMS 設定経由の RCE
- 重大度: HIGH（GHSA）
- 影響を受けるソフトウェア: Apache CXF cxf-rt-transports-jms 3.6.10 以前 / 4.1.5 以前 / 4.2.0 以前
信頼されていない JMS 設定を受け入れることでリモートコード実行につながる可能性があります。Apache CXF の JMS トランスポートを使用するサービスに影響します。
修正バージョン: 3.6.11 / 4.1.6 / 4.2.1 以降
参考リンク:
エコシステム別サマリー
npm（1件）
- @angular/core（CVE-2026-54267）: Angular の Hydration 機能における DOM Clobbering とレスポンスキャッシュポイズニング。SSR 環境で
provideClientHydration()を使用している場合に影響。修正バージョン: 20.3.25 / 21.2.17 / 22.0.1 以降。詳細は GHSA-rgjc-h3x7-9mwg を参照。
PyPI（8件）
Django の古い CVE（CVE-2011-0696、CVE-2011-0697、CVE-2010-4534、CVE-2010-4535）がデータベースで再更新されています。いずれも Django 1.1/1.2 系に影響するもので、現在のサポート対象バージョン（Django 4.2以降）を使用していれば対応不要です。また、Rucio（データ管理フレームワーク）の SQL インジェクション（CVE-2026-29090、GHSA: CRITICAL）が公開されています。Rucio 利用者は 35.8.5 / 38.5.5 / 39.4.2 / 40.1.1 以降へのアップデートを検討してください。
Maven（複数件）
- Wildfly Elytron (CVE-2025-23368): ブルートフォース攻撃に対する不十分な対策（CVSS 8.1）。WildFly / JBoss EAP 利用者は RHSA-2026:18054 以降を適用してください。
- Apache Tomcat (CVE-2026-24733): HTTP/0.9 によるセキュリティ制約バイパス（LOW severity）。Tomcat 9.0.113 / 10.1.50 / 11.0.15 以降で修正済み。
JVN 日本語情報
Fluentd における複数の脆弱性（JVNDB-2026-000090）
- CVE: CVE-2026-44163 ほか（CVE-2026-44024、CVE-2026-44025、CVE-2026-44160〜44163）
- CVSS スコア: 9.8（Critical）
- 対象: Fluentd Project 提供の Fluentd
Fluentd には以下の複数の脆弱性が報告されています：
${tag}Placeholder におけるパストラバーサル（CVE-2026-44024、CWE-22）- Monitor Agent API における認証の欠如（CVE-2026-44025、CWE-306）
- in_http および in_forward における高圧縮データの不適切な処理（CVE-2026-44160、CWE-409）
- out_http における SSRF（CVE-2026-44161、CWE-918）
- in_s3 および in_opentelemetry における高圧縮データの不適切な処理（CVE-2026-44162、CVE-2026-44163）
ログ収集基盤として Fluentd を使用している環境では至急バージョンを確認し、修正版へのアップデートを推奨します。
参考リンク: JVNDB-2026-000090
RPGツクールMV/MZ OSコマンドインジェクション（JVNDB-2026-000093）
- CVE: CVE-2026-56137
- CVSS スコア: 7.8（High）
- 対象: RPGツクールMV および MZ（株式会社 Gotcha Gotcha Games）
セーブデータの読み込み処理において細工された内容を適切に処理できず、OS コマンドインジェクションに悪用される可能性があります。エンドユーザー向けの脆弱性ではなく、ゲームをアーカイブやオンラインで配布しているデベロッパーが影響を受ける可能性があります。
参考リンク: JVNDB-2026-000093
DGM3103SCT OSコマンドインジェクション（JVNDB-2026-000094）
- CVE: CVE-2026-56808
- CVSS スコア: 7.2（High）
- 対象: AVTECH Security Corporation 製 DGM3103SCT
OSコマンドインジェクション脆弱性（CWE-78）。デバイス管理者はベンダーから提供される修正ファームウェアへのアップデートを検討してください。
参考リンク: JVNDB-2026-000094
まとめ
本日は Critical 6件を含む 200件の CVE が更新・確認されました。最優先で対応すべきは Samba AD DC の WINS hook RCE（CVE-2025-10230、CVSS 10.0）です。次点で rsync デーモン（CVE-2024-12084、CVSS 9.8）および FreeIPA の特権昇格（CVE-2025-4404、CVSS 9.1）への対応を推奨します。
国内向けでは Fluentd の複数脆弱性（CVE-2026-44163、CVSS 9.8）が JVN から公開されており、ログ収集基盤として Fluentd を採用している企業は至急確認してください。また、コンテナ環境では runc のコンテナエスケープ（CVE-2024-21626、CVSS 8.6）が更新されています。既に runc 1.1.12 以降を使用しているか確認してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。