本日はNVDから80件超のCVEを収録、うちCritical（CVSS 9.0以上）が17件と多めです。特にFirefox/Thunderbirdに複数のCriticalサンドボックスエスケープが公開されており、早急なアップデートが推奨されます。Chrome 150のリリースにも複数の脆弱性修正が含まれており、ブラウザ系の対応が本日の最優先事項です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 80件以上 |
| Critical (9.0+) | 17件 |
| High (7.0-8.9) | 55件以上 |
| Medium (4.0-6.9) | 10件以下 |
| 影響エコシステム | npm, PyPI, Go, Linux kernel, ブラウザ |
Critical / High 脆弱性の詳細
Firefox / Thunderbird — 複数のCriticalサンドボックスエスケープ
CVE-2026-12294 | CVSS 9.6 / Critical
CVE-2026-12295 | CVSS 9.6 / Critical
CVE-2026-12296 | CVSS 9.6 / Critical
CVE-2026-12297 | CVSS 9.6 / Critical
影響製品: Firefox 152未満、Firefox ESR 140.12未満、Firefox ESR 115.37未満、Thunderbird 152未満、Thunderbird 140.12未満
Mozillaが2026年6月16日に公開した修正のうち、DOM Workers、DOM Navigation、プロセスサンドボックス、ネットワーキングの4コンポーネントでサンドボックスエスケープが確認されています。いずれも攻撃者がすでにレンダラープロセスを侵害した状態を前提とする条件付き利用可能なものですが、CVSSスコアはすべて9.6と極めて高く評価されています。
修正バージョン: Firefox 152、Firefox ESR 140.12、Firefox ESR 115.37、Thunderbird 152、Thunderbird 140.12
参照: Mozilla MFSA2026-57
Google Chrome 150 — use-after-free によるサンドボックスエスケープ
CVE-2026-13869 | CVSS 9.6 / Critical
影響製品: Chrome 150.0.7871.47未満（Windows）
Windows上のChrome Deviceコンポーネントにおけるuse-after-freeで、レンダラープロセスを侵害した攻撃者がサンドボックスエスケープを実行できる可能性があります。Chromiumセキュリティ評価ではMediumとされていますが、NVDのCVSSは9.6（Critical）となっています。
修正バージョン: Chrome 150.0.7871.47以降
参照: Chrome Releases
Go — idna パッケージの特権昇格
CVE-2026-39821 | CVSS 9.6 / Critical
影響製品: golang.org/x/net/idna（Go標準ライブラリ系）
ToASCIIおよびToUnicode関数がPunycode形式のラベル（xn--example-.com等）をASCIIのみのラベルとして誤って受け入れてしまう問題です。例えば、ASCII入力としてexample.comを拒否するが、xn--example-.comは許可するという不正なアクセス制御をかいくぐられる可能性があります。その後にUnicode変換を行うとexample.comとして処理されます。
修正済み: golang.org/x/net のパッチ GO-2026-5026
参照: Go Issue #78760
vLLM — APIキー認証バイパス
CVE-2026-48746 | CVSS 9.1 / Critical
影響製品: vLLM 0.3.0〜0.22.0未満
LLM推論エンジンvLLMのOpenAI API互換エンドポイントにおいて、VLLM_API_KEYまたは--api-keyで設定した認証をバイパスできる問題です。ASGIウェブサーバーとStarletteの信頼処理の組み合わせによる脆弱性で、認証なしでAPIを利用できてしまいます。
修正バージョン: vLLM 0.22.0以降
参照: GHSA-94f4-hr76-p5j6
HTTP::Daemon — send_file() によるOSコマンドインジェクション
CVE-2026-8450 | CVSS 9.1 / Critical
影響製品: HTTP::Daemon（Perl）6.17未満
send_file()が引数をPerlの2引数open()で開くため、| cmd、> pathなどのマジックプレフィックスを解釈してしまいます。信頼されない入力を渡すことでOSコマンドをデーモンのUIDで実行できます。読み取りパイプ形式（cmd |）ではサブプロセスの標準出力がHTTPレスポンスに漏洩します。
修正バージョン: HTTP::Daemon 6.17以降
参照: oss-security
Arm CPU — 高例外レベルへの書き込み
CVE-2025-10263 | CVSS 9.1 / Critical
影響製品: Arm Neoverse V3/V2/V1/N2/N1、Cortex-X4/X3/X2/X1、Cortex-A710/A78/A77/A76等の多数のArmプロセッサ
特定の条件下で、より高い例外レベル（EL）が所有するリソースへの書き込みが可能になる競合状態の問題です。XenのXSA-493として報告されており、仮想化環境でのゲスト→ホストエスケープのリスクがあります。
参照: Arm ドキュメント 112137 / Xen XSA-493
Axios — プロトタイプ汚染によるMITM攻撃
CVE-2026-44494 | CVSS 8.7 / High
影響製品: axios 1.0.0〜1.16.0未満
Axiosのプロトタイプ汚染「ガジェット」攻撃です。Object.prototypeが汚染されている環境下でconfig.proxyがプロトタイプチェーンを経由して読み取られるため、すべてのHTTPトラフィック（認証情報を含む）を攻撃者のプロキシ経由でルーティングできます。
関連してCVE-2026-44492（CVSS 8.6）では、IPv4アドレスをNO_PROXYリストに含めていても、::ffff:7f00:1等のIPv4マップIPv6形式でプロキシをバイパスできます。
修正バージョン: axios 1.16.0以降（0系は0.32.0以降）
参照: GHSA-35jp-ww65-95wh
KubeVirt — マイグレーションプロキシの認証欠如
CVE-2026-13325 | CVSS 8.5 / High
影響製品: KubeVirt（spec.configuration.migrations.disableTLS: true設定時）
TLSを無効化すると、virt-handlerがすべてのインターフェース（0.0.0.0/::)でランダムポートにTCPリスナーを認証なしでバインドします。このリスナーはVMのlibvirt RPCソケットに直接プロキシするため、クラスターネットワーク上の任意のPodからVM制御が可能になります。
X.Org X Server / Xwayland — 複数のスタックバッファオーバーフロー・UAF
CVE-2026-50256 | CVSS 7.8 / High
CVE-2026-50257、CVE-2026-50258、CVE-2026-50259、CVE-2026-50260、CVE-2026-50261、CVE-2026-50264
フォントエイリアス解決時のスタックバッファオーバーフロー（256バイトバッファに1024バイトのデータ）、SyncCounterやSyncFenceの破棄タイミングでのuse-after-free、DRI2バッファリクエスト時のヒープ境界外書き込みなど、X.Org Xサーバーに関連する複数の脆弱性が一括公開されました。Xサーバーがrootで動作している場合、特権昇格の危険があります。
Vim — モードライン サンドボックスバイパス
CVE-2026-34982 | CVSS 8.2 / High
影響製品: Vim 9.2.0276未満
complete、guitabtooltip、printheaderオプションにP_MLEフラグが欠落しており、モードラインからサンドボックス化された式を実行可能にしてしまう問題です。さらにmapset()関数がcheck_secure()を呼ばないため、細工されたファイルを開くだけで任意のOSコマンドが実行されます。
修正バージョン: Vim 9.2.0276以降
参照: GHSA-8h6p-m6gr-mpw9
389 Directory Server — 整数オーバーフローによるヒープバッファオーバーフロー
CVE-2026-11774 | CVSS 7.6 / High
影響製品: 389-ds-base（FreeIPA、Red Hat Identity Management含む）
SASL I/Oレイヤーのsasl_io_start_packet()でパケット長プレフィックス0xFFFFFFFCにsizeof(uint32_t)を加算すると符号なし整数がゼロにラップアラウンドし、nsslapd-maxsasliosize制限を回避して最大約2MBのヒープバッファオーバーフローを引き起こします。KerberosチケットやサービスアカウントでSASLバインドできるドメインユーザーがRCEを引き起こせる可能性があります。
エコシステム別サマリー（OSV / GHSA）
npm
| パッケージ | CVE | 概要 |
|---|---|---|
| vite | CVE-2026-53571 | Windows代替パスによるserver.fs.denyバイパス |
| launch-editor | CVE-2026-53632 | UNCパス処理によるNTLMv2ハッシュ漏洩（Windows） |
vite（CVE-2026-53571）: --hostオプション等でViteのdevサーバーをネットワークに公開している場合、Windows特有の代替パスを用いてserver.fs.denyで保護されたファイルの内容が取得できます。修正: vite 8.0.16 / 7.3.5 / 6.4.3以降。
launch-editor（CVE-2026-53632）: UNCパスが開かれるとWindowsが自動的に攻撃者制御のSMBサーバーへNTLM認証を試みます。NTLMv2パスワードハッシュが漏洩し、オフラインクラッキングによるクレデンシャル侵害につながります。修正: launch-editor 2.14.1以降。
PyPI
主にDjangoの旧バージョンに関する古いCVEが複数件、OSSVデータとしてマークされています（CVE-2013-1665、CVE-2013-1664等）。現在のDjangoバージョンを使用している場合は影響を受けません。
JVN 日本語情報
セイコーエプソン製プリンター・スキャナーのCSRF脆弱性
JVNDB-2026-000096 / CVE-2026-58315
CVSS 4.3 / Medium
セイコーエプソン製プリンターおよびスキャナーに搭載された管理インターフェース「Web Config」にCSRF（クロスサイトリクエストフォージェリ）の脆弱性が存在します。Web Configにログイン中のユーザーが細工されたページにアクセスした場合、意図しない設定変更が行われる可能性があります。
対策: 製品ベンダーの公開するファームウェアアップデートを確認してください。
まとめ
本日の最優先対応はブラウザ系です。Firefox 152・Thunderbird 152へのアップデート、Chrome 150へのアップデートは速やかに実施することを推奨します。これらはいずれもCritical評価（CVSS 9.6）のサンドボックスエスケープを修正しており、エンドユーザー端末への影響が大きい脆弱性です。
次に優先すべきはAxiosの脆弱性（CVE-2026-44494/44492）です。1.16.0未満を使用しているnpmプロジェクトは、プロトタイプ汚染環境下でのMITM攻撃やSSRFバイパスのリスクがあります。vLLM（CVE-2026-48746）を自社サービスに組み込んでいる場合は認証バイパスの有無を即時確認してください。Linuxカーネルの複数のCritical脆弱性についても、ディストリビューションのアップデートを確認してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。