本日はNVDで公開・更新されたCVEが220件、深刻度別ではCriticalが37件、Highが134件と多めの一日でした。目を引くのは、HTTPクライアント Axios がNO_PROXY判定のホスト名正規化不備でプロキシ回避・SSRFに至る CVE-2025-62718（CVSS 9.9）です。加えて Rollup・Immutable.js・pyca/cryptography・pgx・Authlib など、開発現場で広く使われるライブラリのCriticalが同日に多数掲載されました。多くはパッチ提供済みのため、依存ツリーの棚卸しを優先してください。
本日の概要
| 指標 | 数値 |
|---|---|
| 公開・更新CVE（NVD） | 220件 |
| Critical (9.0+) | 37件 |
| High (7.0-8.9) | 134件 |
| Medium (4.0-6.9) | 47件 |
| Low (0.1-3.9) | 1件 |
| 未評価（CVSS未算出） | 1件 |
| 影響エコシステム | npm, PyPI |
Critical/High 脆弱性の詳細解説
CVE-2025-62718：Axios のNO_PROXY回避によるSSRF
- CVSSスコア: 9.9（Critical）
- 影響製品: Axios（1.15.0 未満、および 0.31.0 未満）
- 概要: NO_PROXYルールを判定する際のホスト名正規化が不十分で、
localhost.（末尾ドット付き）や[::1]（IPv6リテラル）宛のリクエストがNO_PROXYの照合を素通りし、設定済みプロキシを経由してしまう不備です。ループバックや内部サービスをNO_PROXYで保護しているつもりでも、攻撃者が通信を意図したプロキシ経由に誘導でき、プロキシ回避やSSRFにつながる可能性があります（CWE-918）。 - 対応: Axios 1.15.0 または 0.31.0 以降へアップデートしてください。
CVE-2026-22797：OpenStack keystonemiddleware の権限昇格
- CVSSスコア: 9.9（Critical）
- 影響製品: keystonemiddleware（10.7.2 / 10.9.1 / 10.12.1 未満の各系列。external_oauth2_token ミドルウェア利用時）
- 概要:
external_oauth2_tokenミドルウェアがOAuth 2.0トークン処理の前に受信認証ヘッダーを検証（サニタイズ）しないため、認証済み攻撃者がX-Is-Admin-ProjectやX-Roles、X-User-Idなどの偽装アイデンティティヘッダーを送ることで、権限昇格や他ユーザーへのなりすましを行える可能性があります（CWE-290）。当該ミドルウェアを使う全デプロイが影響を受けます。 - 対応: 各系列の修正版（10.7.2 / 10.9.1 / 10.12.1 以降）へアップデートしてください。
CVE-2026-27606：Rollup のパストラバーサルによる任意ファイル書き込み
- CVSSスコア: 9.8（Critical）
- 影響製品: Rollup（2.80.0 / 3.30.0 / 4.59.0 未満）
- 概要: 出力ファイル名のサニタイズ不備により、CLIの名前付き入力・手動チャンクエイリアス・悪意あるプラグインなどを通じて
../を含む出力名を制御でき、ビルドプロセスの権限が及ぶ範囲でホスト上の任意ファイルを上書きできる不備です。設定ファイルの上書きを介した持続的なコード実行に至る可能性があります（CWE-22）。 - 対応: Rollup 2.80.0 / 3.30.0 / 4.59.0 以降へアップデートしてください。
CVE-2026-39892：pyca/cryptography のバッファオーバーフロー
- CVSSスコア: 9.8（Critical）
- 影響製品: cryptography（45.0.0 以上 46.0.7 未満）
- 概要:
Hash.update()などPythonバッファを受け取るAPIに非連続バッファを渡した場合にバッファオーバーフローが発生し得る不備です（CWE-119）。Python暗号処理の基盤として非常に広く使われるパッケージのため、依存として組み込まれているケースも多く、影響範囲の確認を推奨します。 - 対応: cryptography 46.0.7 以降へアップデートしてください。
CVE-2026-29063：Immutable.js のプロトタイプ汚染
- CVSSスコア: 9.8（Critical）
- 影響製品: Immutable.js（3.8.3 / 4.3.7 / 5.1.5 未満）
- 概要:
mergeDeep()・mergeDeepWith()・merge()・Map.toJS()・Map.toObject()を通じてプロトタイプ汚染が可能な不備です（CWE-1321）。汚染されたプロパティがアプリ全体の挙動に波及し、条件によっては深刻な影響につながる可能性があります。 - 対応: Immutable.js 3.8.3 / 4.3.7 / 5.1.5 以降へアップデートしてください。
CVE-2026-28802 / CVE-2026-27962：Authlib のJWT署名検証バイパス
- CVSSスコア: 9.8 / 9.1（Critical）
- 影響製品: Authlib（1.6.7 未満／1.6.9 未満）
- 概要:
alg: noneかつ空の署名を持つJWTが署名検証を通過してしまう不備（CVE-2026-28802）と、key=None指定時に攻撃者制御下のjwkヘッダーに埋め込まれた鍵で署名検証を行ってしまうJWKヘッダーインジェクション（CVE-2026-27962）です。いずれも未認証の攻撃者が任意のJWTを偽造して認証・認可を回避できる可能性があります（CWE-347）。 - 対応: Authlib 1.6.9 以降へアップデートしてください（両不備を含む修正）。
CVE-2026-33815 / CVE-2026-33816：pgx/v5 のメモリ安全性の不備
- CVSSスコア: 9.8（Critical）
- 影響製品: github.com/jackc/pgx/v5（Go向けPostgreSQLドライバ）
- 概要: Goで広く使われるPostgreSQLドライバ pgx/v5 におけるメモリ安全性の不備（境界外書き込み、CWE-787）です。詳細は限定的に開示されていますが、Red Hatが複数エラータで対応しており、多数のGoアプリケーションが依存するため影響確認を推奨します。
- 対応: 各ディストリビューション／Goモジュールの修正版へアップデートしてください。
CVE-2026-33186：grpc-go の認可バイパス
- CVSSスコア: 9.1（Critical）
- 影響製品: gRPC-Go（1.79.3 未満）
- 概要: HTTP/2の
:path疑似ヘッダーの入力検証が緩く、先頭スラッシュを省いたService/Method形式のリクエストがハンドラへルーティングされる一方、grpc/authzなどパスベースの認可インターセプタが非正規化パスを評価するため、正規パス向けの「deny」ルールが照合されずポリシーを回避され得る不備です（CWE-285）。 - 対応: gRPC-Go 1.79.3 以降へアップデートしてください。検証インターセプタの導入などによる緩和策も案内されています。
CVE-2026-33211 / CVE-2026-42880：Tekton・Argo CD の情報漏えい
- CVSSスコア: 9.6（Critical）
- 影響製品: Tekton Pipelines（git resolver）／Argo CD（3.2.11・3.3.9 未満）
- 概要: Tekton Pipelines のgit resolverでは
pathInRepoパラメータのパストラバーサルにより、ResolutionRequestsを作成できるテナントがServiceAccountトークンを含む任意ファイルを読み取れる不備があります（CWE-22）。Argo CD ではServerSideDiffエンドポイントの認可・マスキング不備により、読み取り専用権限の利用者がKubernetes Secretの平文を抽出できる不備があります（CWE-200）。 - 対応: Tekton は 1.0.1 / 1.3.3 / 1.6.1 / 1.9.2 / 1.10.2 以降、Argo CD は 3.2.11 / 3.3.9 以降へアップデートしてください。
CVE-2026-25896：fast-xml-parser のエンティティ処理によるXSS
- CVSSスコア: 9.3（Critical）
- 影響製品: fast-xml-parser（4.1.3 以上 5.3.5 未満）
- 概要: DOCTYPEエンティティ名中のドット（
.）がエンティティ置換時に正規表現のワイルドカードとして扱われ、組み込みXMLエンティティ（<, >, & 等）を任意値で上書きできる不備です。エンティティエンコードを回避し、パース結果を描画した際のXSSにつながる可能性があります（CWE-79）。 - 対応: fast-xml-parser 5.3.5 以降へアップデートしてください。
このほかCriticalには、pyOpenSSLのバッファオーバーフロー CVE-2026-27459（9.8）、jsrsasignの秘密鍵復元 CVE-2026-4599（9.1）、PyroscopeのTencent COSシークレット漏えい CVE-2025-41118（9.1）、jsPDFのXSS CVE-2026-31938（9.6）が含まれます。Linux kernelでは usbip・ip6_tunnel・dlm・tcp などのメモリ破壊／競合が CVE-2026-31607 など複数（いずれも9.8）、Goの x/crypto/ssh 系では CVE-2026-39830 / CVE-2026-39832 / CVE-2026-42508（いずれも9.1）が掲載されています。Highでは、lodash _.template の任意コード実行 CVE-2026-4800（8.1）、protobufjsの生成コードインジェクション CVE-2026-44293（8.8）、OpenSSLのCMSスタックオーバーフロー CVE-2025-15467（8.8）、runcのコンテナエスケープ CVE-2024-21626（8.6）や、Microsoftの2024年6月分（MSMQ CVE-2024-30080 ほか）の再掲も混在します。公開日が古いものや再評価による再掲も多いため、自組織で利用しているソフトの該当有無を優先的に確認してください。
エコシステム別サマリー
OSVデータではnpmが8件、PyPIが2件更新されています。
- npm: サプライチェーンの観点では、
astroの特定バージョン（7.1.0）に悪意あるコードが混入したとする報告（MAL-2026-10726）が上がっています。正規のwithastroプロジェクトとは異なりタイポスクワット的な依存名（piccolore、obug など）を含むとされるため、該当バージョンを利用していないか確認してください。Angularでは引き続きXSS系の修正が集中しており、クライアントハイドレーションのDOM Clobbering（CVE-2026-54267）、名前空間付きscript要素のサニタイズ回避（CVE-2026-50557、CVE-2026-52725）、i18nのXSS（CVE-2026-27970）が複数系列で修正されています。ビルドツールViteでもWindows上でのserver.fs.deny回避（CVE-2026-53571）が修正されました。 - PyPI: Djangoの
STARTTLS失敗後の接続再利用（CVE-2026-7666）が5.2.15 / 6.0.6 で修正されています。オンパス攻撃者による平文傍受につながり得るため、該当系列の利用者はアップデートを検討してください。
JVN 日本語情報
本日のMyJVN（JVN iPedia）では、該当する脆弱性対策情報はありませんでした。国内向けの注意喚起は次回以降のデータ更新をご確認ください。
まとめ
本日はCriticalが37件と多く、特に開発現場で広く使われるライブラリ（Axios・Rollup・Immutable.js・pyca/cryptography・pgx・Authlib・grpc-go・fast-xml-parser）にCriticalが集中したのが特徴です。多くは公開日が古く再評価による再掲を含みますが、いずれもパッチが提供済みのため、まずは package-lock.json / requirements.txt / go.mod など依存定義を対象に、該当バージョンを使っていないかを棚卸しするのが効率的です。アプリ層ではAxiosのSSRFやAuthlibのJWT検証バイパスといった認証・境界に関わる不備が目立つため優先度を上げて確認し、基盤ではLinux kernelやOpenSSLの連続した修正をディストリビューションの更新で面的に取り込むことを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。