本日は NVD / OSV / GHSA から多数の脆弱性情報が更新されました。なかでも Go の crypto/ssh パッケージで CVSS 10.0 の認証バイパス、Firefox / Thunderbird でサンドボックスエスケープが 4 件同時公開、Apache CXF で Critical が複数確認されており、影響環境は早急な対応が推奨されます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 更新 CVE（主要分） | 75件+ |
| Critical (9.0+) | 33件 |
| High (7.0-8.9) | 28件 |
| Medium (4.0-6.9) | 14件 |
| OSV 監視パッケージ脆弱性 | 33件（PyPI: 23, npm: 10） |
| 影響エコシステム | npm, PyPI, Go, Maven |
Critical / High 脆弱性の詳細
CVE-2026-46595 — Go crypto/ssh 認証バイパス
CVSS 10.0 / Critical CWE-863 CWE-303
- 影響: golang.org/x/crypto/ssh （全バージョン、修正: 最新コミット適用済み）
- 修正:
go.dev/cl/781642が適用された最新版へ更新
crypto/ssh のサーバー実装において、公開鍵以外のコールバック（パスワード認証など）を使用した場合にソースアドレス（source-address）の検証が完全にスキップされる問題です。CVE-2024-45337 の修正で導入されたコードのロジック漏れが原因で、認証チェックを迂回して任意のソースアドレスからの接続が通る可能性があります。
- 参照: go.dev/issue/79570 / golang-announce / NVD
CVE-2025-62718 — Axios NO_PROXY バイパスによる SSRF
CVSS 9.9 / Critical CWE-441 CWE-918
- 影響: axios < 1.15.0、axios < 0.31.0
- 修正: axios 1.15.0 / 0.31.0 へアップデート
NO_PROXY ルールのホスト名正規化の不備により、localhost.（末尾ドット付き）や IPv6 リテラル [::1] などの形式がマッチングをスキップしてプロキシ経由でリクエストが送信されます。内部サービスや cloud metadata エンドポイントへの SSRF に悪用される可能性があります。
- 参照: GitHub PR #10661 / NVD
CVE-2026-52924 — Linux kernel SCTP use-after-free
CVSS 9.8 / Critical CWE-416 CWE-825
- 影響: Linux kernel（複数安定版ブランチ）
- 修正: 各ディストリビューションのカーネルアップデートを適用
SCTP の Stale Cookie ERROR ハンドリングで sctp_stream_update() が古いストリームテーブルを解放した後も stream->out_curr ポインタが残り、スケジューラのデキューパスで use-after-free が発生します。KASAN: slab-use-after-free クラッシュが報告されています。
- 参照: git.kernel.org / NVD
CVE-2026-44170 — MariaDB Windows コマンドインジェクション
CVSS 9.8 / Critical CWE-78
- 影響: MariaDB 10.6.1〜10.6.25, 10.11.1〜10.11.16, 11.4.1〜11.4.10, 11.8.1〜11.8.6（Windows + CONNECT エンジン + REST サポート有効時）
- 修正: MariaDB 10.6.26 / 10.11.17 / 11.4.11 / 11.8.7 へアップデート
Windows 環境の MariaDB で CONNECT エンジンおよび REST サポートが有効な場合、テーブルの HTTP 属性が curl コマンドラインに適切なエスケープなしに展開されます。シェルメタキャラクタを含む細工されたテーブル定義によってサーバー上で任意コマンドが実行可能です。Linux / macOS は影響を受けません。
- 参照: GHSA-f835-cfjq-wf73 / NVD
CVE-2026-41242 — protobufjs コードインジェクション（デコード時 RCE）
CVSS 9.8 / Critical CWE-94
- 影響: protobufjs < 7.5.5、protobufjs < 8.0.1
- 修正: protobufjs 7.5.5 / 8.0.1 へアップデート
攻撃者が制御する protobuf 定義の type フィールドに任意コードを埋め込むことで、オブジェクトデコード時に JavaScript として実行されます。外部から取得した .proto 定義をコンパイルして使用しているアプリケーションが対象です。
- 参照: GHSA-xq3m-2v4x-88gg / NVD
CVE-2026-44930 — Apache CXF LDAP インジェクション
CVSS 9.8 / Critical CWE-90
- 影響: Apache CXF < 4.2.1、< 4.1.6、< 3.6.11
- 修正: Apache CXF 4.2.1 / 4.1.6 / 3.6.11 へアップデート
XKMS サーバーの LDAP 証明書リポジトリにおいて LDAP インジェクションが可能で、攻撃者はリポジトリから任意の証明書を取得できます。XKMS 機能を使用している企業内 PKI 環境での影響が想定されます。
- 参照: lists.apache.org / NVD
CVE-2026-12294 〜 12297 — Firefox / Thunderbird サンドボックスエスケープ（4件）
CVSS 9.6 / Critical CWE-693
- 影響: Firefox < 152、Firefox ESR < 140.12、Firefox ESR < 115.37、Thunderbird < 152、Thunderbird < 140.12
- 修正: 各最新版へアップデート
Firefox および Thunderbird で 4 件のサンドボックスエスケープが同時公開されました。
| CVE | コンポーネント | 概要 |
|---|---|---|
| CVE-2026-12294 | DOM: Workers | Workersコンポーネントのサンドボックスエスケープ |
| CVE-2026-12295 | DOM: Navigation | Navigationコンポーネントのサンドボックスエスケープ |
| CVE-2026-12296 | Security: Process Sandboxing | プロセスサンドボックスのエスケープ |
| CVE-2026-12297 | Networking | ネットワーキングの境界条件不正によるエスケープ |
各脆弱性はサンドボックス内のコードがホスト権限でコード実行できる状態につながる可能性があります。ブラウザを更新してください。
CVE-2026-53435 — Jenkins デシリアライゼーション RCE
CVSS 8.8 / High CWE-502
- 影響: Jenkins < 2.568（LTS: < 2.555.3）
- 修正: Jenkins 2.568 / LTS 2.555.3 へアップデート
攻撃者が細工した config.xml を Jenkins コントローラーに送信することで、Jenkins コア・プラグインで定義された任意の型をデシリアライズし、HTTP リクエストを処理させることができます。任意ユーザーへのなりすましやスクリプトコンソールを通じた任意コード実行、任意ファイル読み取りが可能です。
- 参照: Jenkins SA 2026-06-10 / NVD
CVE-2026-11769 — Grafana Operator パストラバーサル / 権限昇格
CVSS 8.8 / High CWE-22
- 影響: Grafana Operator ≤ 5.23
- 修正: Grafana Operator 5.24.0 へアップデート
Dashboard・LibraryPanel リソースの jsonnet 式がオペレーターマネージャー Pod のコンテキストで評価されます。悪意あるユーザーが jsonnet ベースのダッシュボードを作成することで、Grafana Operator マネージャーの Kubernetes サービスアカウントトークンを取得できます。
- 参照: Grafana SA CVE-2026-11769 / NVD
CVE-2026-44578 — Next.js SSRF（WebSocket 経由）
CVSS 8.6 / High CWE-918
- 影響: Next.js 13.4.13〜15.5.15、16.0.0〜16.2.4（セルフホスト Node.js サーバー）
- 修正: Next.js 15.5.16 / 16.2.5 へアップデート。Vercel ホスティング環境は影響なし
細工された WebSocket アップグレードリクエストによって、ビルトイン Node.js サーバーが内部または外部の任意の宛先にリクエストをプロキシします。クラウドメタデータエンドポイント（169.254.169.254 等）への到達が想定されます。
- 参照: GHSA-c4j6-fc7j-m34r / NVD
エコシステム別サマリー（OSV）
PyPI（23件）
主要パッケージの新規・更新情報:
| パッケージ | CVE | 概要 | 修正バージョン |
|---|---|---|---|
| django | CVE-2026-48588 | UpdateCacheMiddleware がプライベートデータをキャッシュ | 5.2.16 / 6.0.7 |
| django | CVE-2026-53877 | GDALRaster のメモリ越境読み取り | 5.2.16 / 6.0.7 |
| django | CVE-2026-53878 | DomainNameValidator のヘッダーインジェクション | 5.2.16 / 6.0.7 |
Django 5.2 / 6.0 を使用している場合は 5.2.16 / 6.0.7 へのアップデートを推奨します。
npm（10件）
| パッケージ | CVE | 概要 | 修正バージョン |
|---|---|---|---|
| nuxt | CVE-2026-47200 | .server.vue ページでルートミドルウェアが未実行 | 3.21.6 / 4.4.6 |
| nuxt | CVE-2026-46342 | __nuxt_island エンドポイントの共有キャッシュポイズニング | 3.21.6 / 4.4.6 |
| nuxt | CVE-2026-45669 | navigateTo() の XSS（外部リダイレクト） | 3.21.6 / 4.4.6 |
| nuxt | CVE-2026-56301 | Linux 環境の dev サーバー IPC ソケット露出 | 3.21.7 / 4.4.7 |
| nuxt | CVE-2026-56326 | navigateTo / reloadNuxtApp の URL 処理の脆弱性 | 3.21.7 / 4.4.7 |
Nuxt.js 3.x / 4.x 利用者は 3.21.7 / 4.4.7 への更新を確認してください。
JVN 日本語情報
JVNDB-2026-023199 — Adalo App Builder 複数の脆弱性
- 概要: ノーコードアプリビルダー「Adalo」のデータベース API に複数の脆弱性。過剰なデータ取得（Over-Fetching）と認可制御の欠如により、クロスアプリでのユーザーデータ抽出が可能。
- 参照: JVN / CERT VU#849433
まとめ
本日は Go の crypto/ssh CVSS 10.0 を筆頭に、Critical が 30 件超と多い日です。特に Go エコシステム全体で SSH 関連の複数 Critical（CVE-2026-46595, CVE-2026-39830, CVE-2026-39832, CVE-2026-42508）が集中しており、golang.org/x/crypto を直接または間接的に使用しているサービスは依存関係の確認が必要です。
また、Firefox / Thunderbird のサンドボックスエスケープ 4 件が同日公開されており、エンドユーザー端末のブラウザ更新の徹底も合わせて確認してください。Jenkins・Next.js・Grafana Operator など CI/CD・フロントエンド基盤にも High が複数あり、優先度の高いものから順次対応を進めることを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。