本日はNVDに約70件のCVEが収録され、うちCriticalが18件、Highが35件。CVE-2026-59800（9Router、CVSS9.8）はShadowserver Foundationにより2026-07-04から実際の攻撃が観測されており、最優先での対応が必要です。CVE-2026-56843（Plesk、CVSS9.9）はテナント間でFTP認証情報が平文で漏洩する深刻な問題です。Linuxカーネルにも多数のメモリ安全性問題が報告されています。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 約70件 |
| Critical (9.0+) | 18件 |
| High (7.0-8.9) | 35件 |
| Medium (4.0-6.9) | 約15件 |
| 影響エコシステム | npm, PyPI, Linux kernel |
Critical / High 脆弱性の詳細
CVE-2026-56843 — Plesk XML-RPC API 平文FTP認証情報漏洩
- CVSSスコア: 9.9 (CRITICAL)
- CWE: CWE-522（保護不十分なクレデンシャルの保管）
- 影響対象: WebPros Plesk 18.0.78.4 未満
Plesk の XML-RPC API において、低権限の認証済みユーザーが所有していないドメインを検索できる認可不備があります。特定のルックアップフィルタではオーナー確認が行われず、レガシープロトコル版ではスキーマ検証が回避されます。これにより、他テナントのFTP認証情報を平文で取得でき、そのテナントのシステムユーザーとしてコードを実行できる可能性があります。
- 修正バージョン: Plesk 18.0.78.4 以降
- 参考リンク: NVD / Plesk サポート
CVE-2026-59800 — 9Router OS Command Injection（実攻撃確認済み）
- CVSSスコア: 9.8 (CRITICAL)
- CWE: CWE-78（OSコマンドインジェクション）
- 影響対象: 9Router 0.4.44 未満
POST /api/tunnel/tailscale-install エンドポイントは認証チェックが適用されず、sudoPassword フィールドがシェルコマンドとして解釈される状態でした。未認証リモート攻撃者が任意のOSコマンドを実行できます。Shadowserver Foundationにより2026-07-04（UTC）から実際の悪用が観測されており、至急の対応が必要です。
CVE-2026-48939 — iCagenda（Joomla拡張）任意ファイルアップロードRCE
- CVSSスコア: 9.8 (CRITICAL)
- CWE: CWE-434（危険なファイルタイプの無制限アップロード）
- 影響対象: iCagenda for Joomla 3.9.15 未満
Joomla用イベントカレンダー拡張「iCagenda」のファイル添付機能にて、PHPファイルのアップロードと実行が可能な脆弱性です。CISAのKnown Exploited Vulnerabilities（KEV）カタログに掲載されており、実際の悪用も確認されています。
CVE-2026-59702 — repomix SSRF（未認証）
- CVSSスコア: 9.3 (CRITICAL)
- CWE: CWE-918（サーバーサイドリクエストフォージェリ）
- 影響対象: repomix（コードリポジトリ解析ツール）
POST /api/pack エンドポイントが http://、https://、file:// URLのバリデーションを行わずに git clone に渡します。未認証攻撃者がGCPメタデータサービス、プライベートネットワーク、ローカルファイルシステムへのアクセスを強制できます。
- 修正: コミット
c748b524で修正済み - 参考リンク: NVD / GitHub Issue
Linux kernel — 複数のCritical/High脆弱性（CVE-2026-52955 ほか）
Linux カーネルに多数のメモリ安全性問題が報告されています。主なものを以下にまとめます。
| CVE | CVSS | コンポーネント | 種別 |
|---|---|---|---|
| CVE-2026-52955 | 9.8 | libceph (crush_decode) | 範囲外アクセス |
| CVE-2026-52982 | 9.8 | rtl8150 USB ドライバ | UAF |
| CVE-2026-52986 | 9.8 | netfilter nf_conntrack_sip | バッファオーバーフロー |
| CVE-2026-52989 | 9.8 | nvmet-tcp | 初期化前アクセス |
| CVE-2026-52993 | 9.8 | TIPC | ダブルフリー |
| CVE-2026-53002 | 9.8 | netfilter conntrack | スタックOOB書き込み |
| CVE-2026-53006 | 9.8 | IPv6 (icmpv6_rcv) | UAF |
| CVE-2026-53010 | 9.8 | ksmbd | UAF |
| CVE-2026-52958 | 9.1 | libceph (osdmap_decode) | 範囲外アクセス |
| CVE-2026-52999 | 9.1 | netfilter nfnetlink_osf | 範囲外読み取り |
| CVE-2026-53043 | 9.1 | ocfs2/dlm | 範囲外読み取り |
| CVE-2026-52952 | 8.8 | iommu | UAF |
| CVE-2026-52967 | 8.1 | SMBクライアント | 無限ループ/OOB |
| CVE-2026-52947 | 7.8 | qrtr | UAF |
| CVE-2026-52950 | 7.8 | drm/xe dma-buf | UAF |
| CVE-2026-52973 | 7.8 | futex | UAF |
| CVE-2026-53009 | 7.8 | ice ドライバ | ダブルフリー |
| CVE-2026-53011 | 7.8 | net/sched taprio | UAF |
これらはすべてカーネルアップストリームで修正済みです。各Linuxディストリビューションのセキュリティアップデートを確認してください（kernel.org のstable patchesが既に公開されています）。
CVE-2026-21262 — Microsoft SQL Server 権限昇格
- CVSSスコア: 8.8 (HIGH)
- CWE: CWE-284（不適切なアクセス制御）
- 影響対象: Microsoft SQL Server（詳細はMSRC参照）
認証済みの攻撃者がネットワーク経由で権限を昇格できます。2026年3月のMicrosoftセキュリティ更新プログラムで対処されています。
- 参考リンク: MSRC
CVE-2026-60102 — Horde VFS OS Command Injection
- CVSSスコア: 8.8 (HIGH)
- CWE: CWE-78
- 影響対象: Horde Virtual File System API 3.0.1 未満
Horde_Vfs_Smb ドライバの _escapeShellCommand() がコマンド置換シーケンスをサニタイズしないため、認証済みユーザーがファイル名に悪意あるペイロードを含めることで任意のシェルコマンドを実行できます。
- 修正バージョン: Horde VFS 3.0.1 以降
- 参考リンク: NVD / GitHub リリース
CVE-2026-49471 — Serena MCP DNS Rebinding RCE
- CVSSスコア: 8.3 (HIGH)
- CWE: CWE-306 / CWE-352
- 影響対象: Serena MCP toolkit 1.5.2 未満
Serenaの内蔵Webダッシュボードが固定ポートで認証なしFlask APIを公開しており、DNSリバインド攻撃により悪意あるWebページからAPIに到達できます。エージェントの永続メモリに任意コンテンツを書き込むことで、execute_shell_command（shell=True）と組み合わせたRCEが成立します。
CVE-2026-59707 — LocalAI SSRF（未認証）
- CVSSスコア: 8.6 (HIGH)
- CWE: CWE-918
- 影響対象: LocalAI（修正コミット
f9b968e以前）
POST /models/apply エンドポイントがギャラリーURLフィールドを検証せず渡すため、未認証攻撃者がサーバーに内部ネットワークやループバックアドレスへのHTTP GETリクエストを発行させ、一部のレスポンス内容がエラーメッセージを通じてリークします。
- 参考リンク: NVD / GitHub Issue
エコシステム別サマリー
npm（10件）
今週のnpmはNuxtに関連するセキュリティ修正が集中しています。Nuxt 3.21.7 / 4.4.7 がリリースされ、以下の問題が修正されました：
- CVE-2026-56326 —
navigateToのSSRオープンリダイレクト、クライアントサイドスクリプト実行、reloadNuxtAppのプロトコル相対バイパス - CVE-2026-56301 — Nuxt devサーバーのvite-node IPCソケットがLinuxでworld-connectable
- CVE-2026-56317 —
<NoScript>コンポーネントでのXSS - CVE-2026-47200 —
.server.vueページのルートミドルウェア未適用 - CVE-2026-46342 —
/__nuxt_islandエンドポイントの共有キャッシュポイズニング - CVE-2026-45669 —
navigateTo()のリフレクテッドXSS
Nuxtを使用しているプロジェクトは 3.21.7 または 4.4.7 へのアップグレードを推奨します。
PyPI（23件）
Djangoに関連するアドバイザリが複数更新されています。特に注目すべき新しいCVE：
- CVE-2026-48588 —
UpdateCacheMiddlewareがCookieによって変化するレスポンスをキャッシュ、プライベートデータ漏洩の可能性（Django 5.2→5.2.16、6.0→6.0.7 で修正） - CVE-2026-53877 —
GDALRasterがインメモリバッファを過剰読み取り、隣接メモリ開示またはセグメンテーションフォルトの可能性（同上） - CVE-2026-53878 —
DomainNameValidatorがドメイン名中の改行を禁止せず、ヘッダーインジェクションの可能性（同上）
JVN 日本語情報
本日はMyJVNから該当する脆弱性対策情報はありませんでした。
まとめ
本日は実際の攻撃が確認されているCVEが複数含まれる、警戒レベルの高い日です。9Router（CVE-2026-59800）への攻撃はShadowserver Foundationが2026-07-04から観測しており、早急なアップデートが必要です。Joomla拡張iCagenda（CVE-2026-48939）もCISA KEVに掲載されており、Joomlaを運用している環境では即時確認を推奨します。
PleskのCVSS9.9脆弱性（CVE-2026-56843）はマルチテナント環境でのデータ漏洩リスクが非常に高く、Plesk管理者は18.0.78.4へのアップデートを優先してください。Linuxカーネルは多数のメモリ安全性問題が修正されており、各ディストリビューションのセキュリティアップデートを通じて計画的に適用してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。