本日は新規CVEが約100件公開され、うちCriticalが33件と多めです。IBM Langflowに5件のCritical（最高CVSS 9.9）が集中しており、早急な確認が推奨されます。Rclone・Orkes Conductorの未認証RCE、Apache Tomcat 2件のCritical、MariaDB SQLインジェクション、Samba RCEも同時公開されており、インフラ管理者は広範な影響範囲の把握が必要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 約100件 |
| Critical (9.0+) | 33件 |
| High (7.0-8.9) | 約40件 |
| Medium (4.0-6.9) | 約25件 |
| 影響エコシステム | Linux kernel, Maven, PyPI, Go, npm |
Critical / High 脆弱性の詳細解説
CVE-2026-7873 — IBM Langflow OSS OS コマンド実行 (CVSS 9.9)
CVSS スコア: 9.9 (CRITICAL)
影響バージョン: IBM Langflow OSS 1.0.0〜1.10.0
認証済みの攻撃者が任意のOSコマンドを実行し、認証情報を含む機密ファイルを読み取れる脆弱性（CWE-94）です。完全なシステム侵害とラテラルムーブメントが可能になります。同日、IBM Langflowには以下の追加CVEも公開されています：
- CVE-2026-7803 (CVSS 9.8): フローノードの検証不備による任意コード実行
- CVE-2026-7871 (CVSS 9.8): Redisアクセス権を持つユーザーによる任意コード実行
- CVE-2026-7663 (CVSS 9.1): 未認証でのMCPリソースアクセスと操作実行
- CVE-2026-7874 (CVSS 9.1): 弱い鍵導出による保存済み認証情報の全件開示
参照: IBM サポートページ
CVE-2026-49980 — Rclone 未認証 RCE (CVSS 9.8)
CVSS スコア: 9.8 (CRITICAL)
影響バージョン: rclone 1.46.0〜1.74.2
修正バージョン: 1.74.3
rclone rcd --rc-serve を起動した場合、未認証のGET/HEADリクエストがリモートバックエンドへの初期化を引き起こし、インラインリモート設定を通じてOSコマンドが実行できる状態になります（CWE-306 + CWE-78）。--rc-no-auth なしのデフォルト設定でも影響を受けます。
CVE-2026-44172 — MariaDB Connector/C SQLインジェクション (CVSS 9.8)
CVSS スコア: 9.8 (CRITICAL)
影響バージョン: MariaDB Connector/C 3.3.x < 3.3.19, 3.4.x < 3.4.9
修正バージョン: 3.3.19, 3.4.9
mysql_real_escape_string() でエスケープしたにもかかわらず、big5文字セットとテキストプロトコルの組み合わせでSQLインジェクションが可能になります（CWE-89）。同関数を信頼してユーザー入力をエスケープしているアプリケーションが影響を受けます。
CVE-2026-58138 — Orkes Conductor 未認証 RCE (CVSS 9.8)
CVSS スコア: 9.8 (CRITICAL)
影響バージョン: Orkes Conductor 3.21.21〜3.30.1
修正バージョン: 3.30.2
ワークフローAPI エンドポイントに認証前に到達できるインラインワークフロー定義を通じて、GraalVM evaluator（HostAccess.ALL 設定）経由で任意のOSコマンドが実行できます（CWE-94）。INLINE, LAMBDA, DO_WHILE, SWITCHタスクタイプが対象です。
CVE-2026-53434 — Apache Tomcat CRL 検出エラー (CVSS 9.1)
CVSS スコア: 9.1 (CRITICAL)
影響バージョン: Tomcat 9.0.83〜9.0.118, 10.1.0-M7〜10.1.55, 11.0.0-M1〜11.0.22
修正バージョン: 9.0.119, 10.1.56, 11.0.23
FFM based connectorでCRL（証明書失効リスト）を設定している場合、エラーが検出されても処置なしで継続してしまう脆弱性（CWE-390）です。失効した証明書が引き続き受け入れられる可能性があります。
あわせて CVE-2026-55276 (CVSS 9.1) も同日公開。web.xml ログ出力時に特殊ロールと空の認可制約が除外される問題で、8.5.0〜8.5.100を含むより広い範囲が影響を受けます。
参照: Apache Lists
CVE-2026-4408 — Samba チェックパスワードスクリプト RCE (CVSS 9.0)
CVSS スコア: 9.0 (CRITICAL)
影響バージョン: Samba の check password script に %u を使用している構成
%u 置換文字をファイルサーバーのパスワードチェックスクリプトで使用している場合、クライアントが制御するユーザー名がシェルメタ文字のエスケープなしで渡され、リモートコード実行が可能になります（CWE-78）。非標準設定での影響であり、%u 未使用の場合は影響を受けません。
参照: Red Hat Errata RHSA-2026:22644
CVE-2026-44578 — Next.js SSRF (CVSS 8.6)
CVSS スコア: 8.6 (HIGH)
影響バージョン: Next.js 13.4.13〜15.5.15, 16.x < 16.2.5（セルフホスト限定）
修正バージョン: 15.5.16, 16.2.5
組み込みNode.jsサーバーでセルフホストしている場合、細工されたWebSocketアップグレードリクエストにより内部サービスや Cloud Metadata へのSSRFが発生します（CWE-918）。Vercel ホスト環境は影響を受けません。
CVE-2026-53571 — Vite server.fs.deny バイパス（Windows）(CVSS v4.0 High)
CVSS スコア: High（CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H）
影響バージョン: Vite < 6.4.3, < 7.3.5, < 8.0.16
修正バージョン: 6.4.3, 7.3.5, 8.0.16
Windowsの代替パスを使用することで server.fs.deny で保護されたファイルの内容がブラウザに返される脆弱性です。--host オプションまたは server.host で開発サーバーをネットワークに公開している場合のみ影響を受けます。
Golang (x/crypto) SSH パッケージの Critical 群
Go の SSH パッケージ (golang.org/x/crypto) に3件のCritical脆弱性が確認されています：
- CVE-2026-39830 (CVSS 9.1): 悪意あるSSHピアが未要求のグローバルリクエストレスポンスを送信し、読み取りループをブロック（リソースリーク）
- CVE-2026-39832 (CVSS 9.1): リモートエージェントへのキー追加時に制約拡張がシリアライズされず、宛先制限が無効化される
- CVE-2026-42508 (CVSS 9.1): CAに属する失効した署名鍵の失効チェックが不正確
Goのバージョンアップまたは golang.org/x/crypto の最新版への更新を推奨します。
エコシステム別サマリー
npm（OSV: 3件）
| パッケージ | CVE | 概要 |
|---|---|---|
| vite | CVE-2026-53571 | server.fs.deny バイパス（Windows） |
| launch-editor | CVE-2026-53632 | UNCパス経由NTLMv2ハッシュ漏洩（Windows） |
| @angular/core | CVE-2026-54267 | Hydration DOM Clobbering & レスポンスキャッシュ汚染 |
PyPI（OSV: 8件）
本日のOSVデータではDjangoの旧CVE（CVE-2010-4534, CVE-2010-4535, CVE-2011-0696, CVE-2011-0697）が再インデックスされています。これらはDjango 1.x系の古い脆弱性であり、現行の Django（4.x/5.x）を使用している場合は影響を受けません。
GHSAでは追加的に:
- asyncmy (CVE-2025-65896): 細工されたdictキーによるSQLインジェクション（修正バージョン未確定）
- WeasyPrint (CVE-2025-68616): HTTPリダイレクト経由のSSRF保護バイパス → v68.0で修正
- OpenStack Keystone (CVE-2026-42999): 認可バイパス → 27.0.2 / 28.0.2 / 29.0.2で修正
Go（GHSA）
- Cilium (CVE-2025-30163): ノードベースネットワークポリシーの不正通過 → 1.16.8 / 1.17.2で修正
- NeuVector (CVE-2025-8077): デフォルトパスワードによる認証バイパス
- Casdoor (CVE-2026-9097): JWTトークン交換時の有効期限検証なし
Maven（GHSA）
- Netty (CVE-2026-45674, CVE-2026-47691 / CVSS 8.7): DNSキャッシュポイズニング → 4.1.135.Final / 4.2.15.Finalで修正
- Apache Derby (CVE-2022-46337): LDAP認証のLDAPインジェクション（修正バージョン: 10.14.2.1, 10.15.2.1, 10.16.1.2）
- Spring Framework (CVE-2026-22740): WebFluxマルチパート一時ファイルDoS → 6.2.18 / 7.0.7で修正
- Keycloak: SAMLアサーションの暗号化検証不備（RHSA-2026:3925経由で修正）
JVN 日本語情報
本日のMyJVNデータには該当する脆弱性対策情報はありません。
まとめ
本日最も注目すべきはIBM Langflowの5件のCriticalです。CVSS 9.9を筆頭にRCE・認証情報漏洩・認可バイパスが揃っており、Langflowを本番環境で使用している場合は即時対応が推奨されます。次いで、rcloneの --rc-serve オプション使用者はCVE-2026-49980（CVSS 9.8）の確認が必要です。Apache TomcatはCVE-2026-53434とCVE-2026-55276の2件のCriticalが同日公開されており、9.x/10.x/11.x利用者は9.0.119/10.1.56/11.0.23への更新が推奨されます。
Golang の x/crypto SSH パッケージに複数のCriticalが公開されていることも見逃せません。CI/CDパイプラインや内部ツールでGoのSSHライブラリを使用している環境は影響範囲を確認してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。