本日のセキュリティ概況
本日は841件のCVEがNVDに登録・更新され、CVSSスコア付きの184件のうちCritical（9.0以上）が26件と多い状況です。Apache HTTP Server の mod_proxy_ajp に CVSS 9.8 のヒープバッファオーバーフロー（CVE-2026-28780）が確認されており、2.4.67 以降への早急なアップグレードが必要です。また Fortinet FortiOS の認証バイパス（CVE-2024-55591）は CISA の既知の悪用済み脆弱性カタログ（KEV）に掲載されており、実際の攻撃が確認されています。
本日の概要テーブル
| 指標 | 数値 |
|---|---|
| NVD 更新CVE | 841件 |
| Critical (9.0+) | 26件 |
| High (7.0-8.9) | 90件 |
| Medium (4.0-6.9) | 65件 |
| Low (<4.0) | 3件 |
| 影響エコシステム | npm, PyPI |
Critical/High 脆弱性の詳細解説
CVE-2026-28780 — Apache HTTP Server mod_proxy_ajp ヒープバッファオーバーフロー
CVSSスコア: 9.8 (CRITICAL) | CWE: CWE-122, CWE-787
影響を受けるソフトウェア:
- Apache HTTP Server 2.4.66 以前
概要: mod_proxy_ajp が悪意のある AJP サーバーに接続した際、AJP サーバーから返される細工したメッセージによって、mod_proxy_ajp がヒープバッファの末尾に攻撃者が制御する4バイトを書き込む可能性があります。AJP バックエンドを持つリバースプロキシ構成（Tomcat との連携等）が対象です。認証なしでネットワーク経由から攻撃可能で、深刻度は非常に高い脆弱性です。
修正バージョン: Apache HTTP Server 2.4.67 以降
参考リンク:
CVE-2024-55591 — Fortinet FortiOS/FortiProxy 認証バイパス (CISA KEV掲載)
CVSSスコア: 9.8 (CRITICAL) | CWE: CWE-288
影響を受けるソフトウェア:
- FortiOS 7.0.0〜7.0.16
- FortiProxy 7.0.0〜7.0.19、7.2.0〜7.2.12
概要: Node.js の WebSocket モジュールへの細工したリクエストを通じて、リモートの認証されていない攻撃者がスーパー管理者権限を取得できます。この脆弱性は CISA の KEV に掲載されており、実際の攻撃が確認されています。FortiGate をファイアウォール・VPN として使用している環境では最優先での対応が求められます。
修正バージョン: FortiOS 7.0.17 以降、FortiProxy 7.0.20 / 7.2.13 以降
参考リンク:
CVE-2026-46595 — Go golang.org/x/crypto SSH 認証バイパス
CVSSスコア: 10.0 (CRITICAL) | CWE: CWE-863, CWE-303
影響を受けるソフトウェア:
- golang.org/x/crypto v0.52.0 未満
概要: 以前 CVE-2024-45337 で修正された SSH サーバーの認証バイパスの問題が、公開鍵認証以外のコールバック（パスワード認証等）が使用された場合に source-address の検証がスキップされるという形で残存していました。Go の golang.org/x/crypto パッケージで SSH サーバー機能を使用しているアプリケーションが影響を受けます。
修正バージョン: golang.org/x/crypto v0.52.0 以降
参考リンク:
CVE-2026-32871 — FastMCP 認証付き SSRF/パストラバーサル
CVSSスコア: 10.0 (CRITICAL) | CWE: CWE-918
影響を受けるソフトウェア:
- FastMCP v3.2.0 未満
概要:
FastMCP の OpenAPIProvider が OpenAPI 仕様を解析して MCP クライアントにバックエンド API を公開する際、パスパラメーターの値をURLエンコードせずに直接 URL テンプレートへ代入します。../ シーケンスを含む値を指定することで、urllib.parse.urljoin() がディレクトリトラバーサルとして解釈し、設定した API プレフィックスを回避して任意のバックエンドエンドポイントへアクセスが可能になります。リクエストは設定された認証ヘッダー付きで送信されます（認証付き SSRF）。MCP サーバーを公開している環境での影響に注意が必要です。
修正バージョン: FastMCP v3.2.0
参考リンク:
CVE-2026-41283 — OpenStack Mistral リモートコード実行
CVSSスコア: 9.9 (CRITICAL) | CWE: CWE-863, CWE-749
影響を受けるソフトウェア:
- OpenStack Mistral 22.0.0 以前
概要: OpenStack Mistral の API が公開されている場合、コード実行が可能なエンドポイントが存在し、サービスのクレデンシャルが漏洩する可能性があります。OpenStack 環境では Mistral API へのネットワークアクセスを制限することが推奨されます。
参考リンク:
CVE-2026-33186 — gRPC-Go HTTP/2 パスベース認可バイパス
CVSSスコア: 9.1 (CRITICAL) | CWE: CWE-285, CWE-551
影響を受けるソフトウェア:
- gRPC-Go v1.79.3 未満（パスベース認可インターセプターを使用している場合）
概要:
HTTP/2 の :path 疑似ヘッダーに先頭スラッシュがない（例: Service/Method）場合、gRPC-Go サーバーはルーティングに成功しますが、認可インターセプターには非標準のパス文字列が渡されます。このため /Service/Method を対象とする「deny」ルールがマッチせず、認可バイパスが発生します。grpc/authz パッケージや info.FullMethod を利用したカスタムインターセプターを使用している環境で影響を受けます。
修正バージョン: gRPC-Go v1.79.3
参考リンク:
CVE-2026-20147/CVE-2026-20180 — Cisco ISE リモートコード実行
CVSSスコア: 9.9 (CRITICAL) | CWE: CWE-77, CWE-22
影響を受けるソフトウェア:
- Cisco Identity Services Engine (ISE) および ISE-PIC
概要: ユーザー入力の不十分な検証により、有効な管理者権限を持つ認証済みリモート攻撃者が下位 OS 上で任意のコマンドを実行し、最終的に root 権限に昇格できます。シングルノードの ISE 環境では DoS 状態になる可能性もあります。Cisco ISE を使用している環境は、ベンダーのアドバイザリを確認してください。
参考リンク:
エコシステム別サマリー（OSV）
npm（9件）
| パッケージ | 脆弱性 | 修正バージョン |
|---|---|---|
| nuxt | IPC ソケット世界公開 (CVE-2026-56301) | 3.21.7 / 4.4.7 |
| nuxt | navigateTo/reloadNuxtApp URL ハンドリング (CVE-2026-56326 他) | 3.21.7 / 4.4.7 |
| nuxt | <NoScript> slot XSS (CVE-2026-56317) | 3.21.7 / 4.4.7 |
| vite | Windows server.fs.deny バイパス (CVE-2026-53571) | 6.4.3 / 7.3.5 / 8.0.16 |
| launch-editor (vite 経由) | NTLMv2 ハッシュ漏洩 (CVE-2026-53632) | 2.14.1 |
| next | サーバークラッシュ (CVE-2021-43803) | 11.1.3 / 12.0.5 |
Nuxt は今回3件の脆弱性が一括修正されており、3.21.7 / 4.4.7 へのアップデートを推奨します。Linux 環境で nuxt dev を使用している開発チームは、IPC ソケット経由の情報漏洩（CVE-2026-56301）に注意してください。
PyPI（18件）
| パッケージ | 脆弱性 | 修正バージョン |
|---|---|---|
| django | 部分ディレクトリトラバーサル (CVE-2025-59682) | 4.2.25 / 5.1.13 / 5.2.7 |
| django | パスワードリセットでのメールアドレス列挙 (CVE-2024-45231) | 4.2.16 / 5.0.9 / 5.1.1 |
| fastapi | Content-Type ヘッダー ReDoS (CVE-2024-24762) | 0.109.1 |
| flask | 誤ったフォールバック署名鍵使用 (CVE-2025-47278) | 3.1.1 |
Django は複数の脆弱性が修正されており、各サポートブランチの最新版への更新を推奨します。
JVN 日本語情報
JVNDB-2026-000095 — 富士電機製 Pupsman インストーラの複数の脆弱性
CVSSスコア: 7.8 (High) | CVE: CVE-2026-56437 / CVE-2026-57895
富士電機が提供する産業用監視ソフトウェア「Pupsman」のインストーラに、ファイル検索パスの制御不備（CWE-427）と不適切なファイルアクセス権設定（CWE-276）の2件の脆弱性が存在します。GMOサイバーセキュリティ byイエラエ株式会社が IPA に報告し、JPCERT/CC が開発者と調整しました。Pupsman を利用している産業用システム環境では、ベンダーの情報を確認して対応してください。
JVNDB-2026-000096 — セイコーエプソン製プリンター Web Config の CSRF
CVSSスコア: 4.3 (Medium) | CVE: CVE-2026-58315
セイコーエプソンの複数のプリンター・スキャナー製品の Web Config（Web ブラウザで製品設定を行うソフトウェア）に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。攻撃者が悪意のあるページへ誘導することで、管理者の意図しない設定変更が行われる可能性があります。同社 GMOサイバーセキュリティ byイエラエ株式会社が IPA に報告しました。
JVNDB-2026-022683 — Tenda 製品ファームウェアの隠し認証バックドア
Tenda の複数のファームウェアバージョンに、認証バックドア（セキュリティ上問題のある隠し機能）が存在することが CERT/CC (VU#213560) から報告されています。Tenda 製のルーター等を使用している環境での確認をお勧めします。
まとめ
本日の優先対応事項は以下の3点です。
1. Apache HTTP Server: mod_proxy_ajp（Tomcat との AJP 接続）を使用している場合は 2.4.67 以降への速やかなアップグレードを推奨します（CVE-2026-28780, CVSS 9.8）。
2. Fortinet FortiOS/FortiProxy: CVE-2024-55591 は CISA KEV 掲載済みで実際の悪用が確認されています。FortiOS 7.0.17 以降、FortiProxy 7.0.20 / 7.2.13 以降へのアップデートを最優先で実施してください。
3. Go エコシステム: golang.org/x/crypto v0.52.0 未満を使用している場合は SSH 認可バイパス（CVE-2026-46595, CVSS 10.0）の影響を確認してアップデートしてください。gRPC-Go を使用するサービスも v1.79.3 以降への更新と認可バイパス（CVE-2026-33186, CVSS 9.1）の検証を推奨します。
Nuxt および Vite を使用している開発者の方も、複数の脆弱性修正が含まれる最新バージョンへのアップデートをご確認ください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。