本日はNVDで公開・更新されたCVEが200件、深刻度別ではCriticalが3件、Highが29件でした。最も深刻なのは、コンテナ仮想化基盤KubeVirtでシンボリックリンク検証の不備を突かれ、単一namespaceの編集権限からノードとクラスタ全体を掌握され得る CVE-2026-7374（CVSS 9.9）です。加えて、XML処理ライブラリ libxml2 に連続してCriticalな CVE-2025-49794 / CVE-2025-49796（いずれもCVSS 9.1）が再評価・掲載されており、広く同梱されるライブラリだけに影響範囲の確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 公開・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 3件 |
| High (7.0-8.9) | 29件 |
| Medium (4.0-6.9) | 37件 |
| Low (0.1-3.9) | 9件 |
| 未評価（CVSS未算出・Kernel等） | 122件 |
| 影響エコシステム | npm, PyPI |
Critical/High 脆弱性の詳細解説
CVE-2026-7374：KubeVirt virt-handler のシンボリックリンク検証不備
- CVSSスコア: 9.9（Critical）
- 影響製品: KubeVirt（virt-handler コンポーネント）／OpenShift Virtualization
- 概要: 仮想マシンのコンソールソケットへ接続する際のシンボリックリンク検証が不十分なため、単一namespaceの編集権限を持つ認証済みユーザーが、コンソールソケットをホストのコンテナランタイム（CRI-O）ソケットへのシンボリックリンクに差し替えることで、virt-handler の特権接続を乗っ取れる不備です。結果としてホスト上の任意のUnixソケットにアクセスでき、ノードおよびクラスタ全体の掌握につながる可能性があります（CWE-59）。
- 対応: Red Hatのエラータ（RHSA-2026:20720 ほか）に従い、修正版へアップデートしてください。あわせて対象namespaceの編集権限の付与範囲を棚卸しすることを推奨します。
CVE-2025-49794 / CVE-2025-49796：libxml2 のメモリ破壊
- CVSSスコア: 9.1（Critical）
- 影響製品: libxml2（XMLパーサライブラリ）
- 概要: XML Schematron の
sch:name要素を含むXPath処理において、解放後利用（Use-After-Free、CVE-2025-49794）と領域外読み取りによるメモリ破壊（CVE-2025-49796）が発生します。攻撃者が細工したXMLを入力として与えることで、クラッシュ（サービス拒否）や未定義動作につながる可能性があります（CWE-825 / CWE-125）。 - 対応: 各ディストリビューションが提供する修正版 libxml2 へアップデートしてください。libxml2 を同梱するアプリケーションも順次更新の対象になります。
CVE-2025-2843 / CVE-2026-1784：OpenShift 関連コンポーネントの権限昇格・設定インジェクション
- CVSSスコア: 8.8（High）
- 影響製品: Observability Operator（CVE-2025-2843）／OpenShift Route（CVE-2026-1784）
- 概要: Observability Operator は Namespace スコープのカスタムリソース MonitorStack をデプロイする際に ClusterRole 付きの ServiceAccount を作成するため、namespace レベルの権限しか持たないテナントがその ServiceAccount になりすましてクラスタレベルへ権限昇格できる不備があります。また OpenShift Route では
spec.pathの検証が不十分で、HAProxy設定への制御されたインジェクションを許す可能性があります。 - 対応: 該当するRed Hatエラータ（RHSA-2026:23241 ほか）に従いアップデートしてください。
CVE-2025-5318：libssh の領域外読み取り
- CVSSスコア: 8.1（High）
- 影響製品: libssh 0.11.2 未満
- 概要:
sftp_handle関数の比較チェックの誤りにより、有効なハンドルリストの範囲を超えてメモリにアクセスし、無効なポインタを返してしまう不備です。認証済みのリモート攻撃者が意図しないメモリ領域を読み取り、機微な情報の漏えいやサービス挙動への影響を引き起こす可能性があります（CWE-125）。 - 対応: libssh 0.11.2 以降へアップデートしてください。
CVE-2025-6020：linux-pam（pam_namespace）のローカル権限昇格
- CVSSスコア: 7.8（High）
- 影響製品: linux-pam（pam_namespace モジュール）
- 概要:
pam_namespaceがユーザー制御下のパスを適切な保護なく扱うため、ローカルユーザーが複数のシンボリックリンク攻撃とレースコンディションを組み合わせて root へ権限昇格できる可能性があります（CWE-22）。認証基盤で広く使われるコンポーネントのため、対象を確認のうえ早めの適用を推奨します。 - 対応: 各ディストリビューション提供の修正版 linux-pam へアップデートしてください。
CVE-2025-5914 / CVE-2025-7425：libarchive・libxslt のメモリ破壊
- CVSSスコア: 7.8（High）
- 影響製品: libarchive（CVE-2025-5914）／libxslt（CVE-2025-7425）
- 概要: libarchive では
archive_read_format_rar_seek_data()の整数オーバーフローが二重解放（double-free）につながり、メモリ破壊を通じて任意コード実行やサービス拒否に至る可能性があります（CWE-190）。libxslt では属性型フラグの扱いに起因する解放後利用が発生し、クラッシュやヒープ破壊を引き起こし得ます（CWE-416）。いずれも多数のアプリケーションが依存するライブラリです。 - 対応: ディストリビューション提供の修正版へアップデートしてください。
CVE-2026-16221：fast-uri のパーサ差異によるSSRF／許可リスト回避
- CVSSスコア: 7.5（High）
- 影響製品: fast-uri 2.3.1〜4.1.0（3.x は 3.1.3 まで、2.x は 2.4.2 まで）
- 概要: fast-uri がバックスラッシュ（U+005C）を authority の区切りとして扱わない一方、Node.js標準のWHATWG URLパーサ（fetch・undici・http/httpsクライアントが使用）は特定スキームでバックスラッシュをスラッシュに正規化するため、同一文字列から両者が異なるホストを抽出します。fast-uri でホストベースのポリシー（許可リスト、SSRF対策、リダイレクト検証など）を判定してからNode標準のURL処理へ渡すアプリケーションでは、クラウドメタデータや内部ホストなど意図しない宛先へ誘導される可能性があります（CWE-436）。
- 対応: fast-uri 4.1.1 / 3.1.4 / 2.4.3 へアップデートしてください（回避策はありません）。
CVE-2026-53994：ProFTPD mod_sftp のヒープバッファオーバーフロー
- CVSSスコア: 7.5（High）
- 影響製品: ProFTPD（mod_sftp）
- 概要: SFTPパケット長のサニティチェック不足に起因する符号なし整数のアンダーフローにより、ヒープバッファオーバーフローが発生します。認証済みのSFTPユーザーが単一の不正なパケットで接続プロセスをクラッシュさせられ、認証済みリモートからのサービス拒否につながります。ヒープの状況によってはサービス拒否を超える影響の可能性も指摘されています（CWE-122）。
- 対応: 修正コミットを含む ProFTPD へアップデートしてください。
このほかHighには、コンテナ／Kubernetes関連として KubeVirt virt-exportserver のパストラバーサルによる情報漏えい CVE-2026-9804（CVSS 7.7）、Red Hat Advanced Cluster Security の GraphQL 深いネストによるDoS CVE-2026-9165（7.7）、OpenShift ビルドの config.json 上書き CVE-2024-45497（7.6）、Red Hat Quay のアップロード干渉 CVE-2026-32589（7.4）が含まれます。また rsync のチェックサム比較による未初期化メモリ漏えい CVE-2024-12085（7.5）、リモートデスクトップ RustDesk のセッション権限スコープ回避 CVE-2026-58056（7.6）や認証情報の平文送信 CVE-2026-30796（7.5）、認証システム QueryWeaver のサインアップ経由の認証回避 CVE-2026-10130（8.2）なども公開されています。公開日が古いものや再評価による再掲も混在するため、自組織で利用しているソフトの該当有無を優先的に確認してください。
エコシステム別サマリー
OSVデータではnpmが9件、PyPIが11件更新されています。フロントエンド／バックエンドのフレームワークに修正が集中しました。
- npm: サプライチェーンの観点では、
astroパッケージの特定バージョン（7.1.0）に悪意あるコードが混入したとする報告（MAL-2026-10726）が上がっています。正規のwithastroプロジェクトとは異なりタイポスクワット的な依存名を含むとされるため、該当バージョンを利用していないか確認してください。Angularでは引き続きXSS系の修正が集中しており、クライアントハイドレーションのDOM Clobbering／レスポンスキャッシュ汚染（CVE-2026-54267）や、名前空間付きscript要素のサニタイズ回避（CVE-2026-50557、CVE-2026-52725 ほか）、i18nのXSS（CVE-2026-27970）が複数系列で修正されています。ビルドツールViteでもWindows上でのserver.fs.deny回避（CVE-2026-53571）が修正されました。 - PyPI: Djangoにセキュリティ修正がまとまっており、
STARTTLS失敗後の接続再利用（CVE-2026-7666）、URLFieldによるリソース消費DoS（CVE-2026-25673）、ファイルストレージのレースコンディション（CVE-2026-25674）、GDALRasterの領域外読み取り（CVE-2026-53877）、キャッシュ経由の情報漏えい（CVE-2026-48588）などが各系列の修正版で対応されています。FlaskのVary: Cookieヘッダー不備（CVE-2026-27205）も修正済みです。Djangoは各系列で修正版（6.0.7 / 5.2.16 ほか）が提供されているため、利用中の系列に合わせてアップデートを検討してください。
JVN 日本語情報
本日のMyJVN（JVN iPedia）では、該当する脆弱性対策情報はありませんでした。国内向けの注意喚起は次回以降のデータ更新をご確認ください。
まとめ
本日はCriticalが3件と少なめですが、内容は重めの一日でした。最優先で確認したいのは、単一namespaceの編集権限からノード・クラスタ全体の掌握につながり得るKubeVirt（CVSS 9.9）です。Kubernetes／OpenShift Virtualizationを運用している場合は、パッチ適用とあわせて編集権限の付与範囲を見直すことを推奨します。次いで、広く同梱される基盤ライブラリ（libxml2・libssh・libarchive・libxslt・linux-pam・rsync）の連続した修正が目立ち、直接利用していなくても依存として組み込まれているケースが多いため、ディストリビューションの更新で面的に対応するのが効率的です。アプリ層ではfast-uriのSSRF回避やProFTPDのヒープ破壊、npm/PyPIではAngular・Djangoの継続的なXSS／DoS修正に注意してください。全体としてパッチ提供済みの案件が中心のため、影響範囲を確認のうえアップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。