本日は新規・更新されたCVEを220件集計し、うちCritical（CVSS 9.0以上）が37件、Highが102件と多めの一日です。特に広く使われるPHPのSOAP拡張にリモートコード実行につながるUse-After-Free（CVE-2026-6722、CVSS 9.8）が確認されており、SOAPを有効にしているサーバーは早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 220件 |
| Critical (9.0+) | 37件 |
| High (7.0-8.9) | 102件 |
| Medium (4.0-6.9) | 55件 |
| Low (0-3.9) | 8件 |
| 影響エコシステム | npm（Astro / Angular / Vite） |
Critical / High の詳細
CVE-2026-46595：Go x/crypto/ssh の認証バイパス（CVSS 10.0）
CVE-2026-46595 は、過去のCVE-2024-45337の修正に残っていた不備です。公開鍵以外のコールバックが設定されたSSHサーバー構成では、source-address（接続元アドレス）の検証がスキップされ、認可バイパスが成立します。golang.org/x/crypto を利用するSSHサーバー実装は対象になり得ます。Go側で修正済みのため、依存バージョンの更新を推奨します。
CVE-2026-6722：PHP SOAP拡張のUse-After-Free（CVSS 9.8）
CVE-2026-6722 は、PHP 8.2.31未満 / 8.3.31未満 / 8.4.21未満 / 8.5.6未満のSOAP拡張に存在します。オブジェクト重複排除の仕組みが参照カウントを増やさずにポインタを保持するため、解放済みメモリを参照するUse-After-Freeが発生します。SOAPリクエスト本文を制御できる攻撃者によりリモートコード実行に至る可能性があります。各ディストリのパッチ（RHSA等）が出ているため、SOAPを使う環境は優先的に対応してください。
CVE-2026-22797：OpenStack keystonemiddleware の権限昇格（CVSS 9.9）
CVE-2026-22797 は、external_oauth2_token ミドルウェアが受信認証ヘッダーを検証しない問題です。X-Is-Admin-Project や X-Roles などの偽装ヘッダーにより、認証済み攻撃者が権限昇格・なりすましを行える可能性があります。10.7.2 / 10.9.1 / 10.12.1 で修正されています。
CVE-2026-45631 ほか：Dokploy に多数のRCE（最大CVSS 10.0）
セルフホスト型PaaSのDokployで、複数のCritical脆弱性がまとめて公開されました。CVE-2026-45631（CVSS 10.0）はハードコードされた BETTER_AUTH_SECRET フォールバック値により、未認証攻撃者が管理者としてサインインしホスト上でコマンド実行が可能になるものです。ほかにもコマンドインジェクションやパストラバーサル（CVE-2026-45629 / 45632 / 45633 / 45661 など）が報告されています。0.29.3 以降への更新を推奨します。
CVE-2026-8091：Firefox / Thunderbird のメモリ破損（CVSS 9.8）
CVE-2026-8091 は Audio/Video 再生コンポーネントの境界条件不備です。Firefox 150 / Thunderbird 150 / Firefox ESR 140.10.1・115.35.2 で修正済みです。クライアント端末の一斉更新を推奨します。
CVE-2026-0545：MLflow のジョブAPI認証バイパス（CVSS 9.8）
CVE-2026-0545 は、basic-auth有効時でも /ajax-api/3.0/jobs/* エンドポイントが認証・認可で保護されない問題です。ジョブ実行が有効（MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true）かつ許可リスト設定がある場合、未認証のリモートコード実行に至る恐れがあります。
CVE-2026-45700：FreeRDP のヒープ領域外書き込み（CVSS 9.8）
CVE-2026-45700 は、3.26.0未満のplanarビットマップデコーダにおける領域外ヒープ書き込みです。同3.26.0では CVE-2026-44420 / CVE-2026-44421（いずれもCVSS 8.8）のヒープバッファオーバーフローも修正されています。RDPクライアント/サーバーの更新を推奨します。
CVE-2026-42557：JupyterLab の HTMLサニタイザ不備（CVSS 9.6）
CVE-2026-42557 は、4.5.7未満のHTMLサニタイザが data-commandlinker-command 等を許可し、細工したHTMLセル出力のボタンをクリックさせることで任意のJupyterLabコマンド（コード実行を含む）を発火できる問題です。4.5.7で修正されています。
CVE-2026-39821：Go idnaパッケージの権限昇格（CVSS 9.6）
CVE-2026-39821 は、ToASCII / ToUnicode がASCIIのみのラベルにデコードされるPunycodeを誤って受理する問題です。ホスト名の権限チェックを回避され得ます。同日にGoの x/crypto（CVE-2026-39832 / CVE-2026-42508、いずれもCVSS 9.1）も更新されており、Go製サービスは依存の更新を推奨します。
エコシステム別サマリー（npm）
本日のOSVデータはnpmが11件です。Astro に複数のXSS・認可バイパス（GHSA-8mv7-9c27-98vc / GHSA-4g3v-8h47-v7g6 / CVE-2026-59729 / CVE-2026-59731 等）が集中しており、7.0.6 / 7.1.0 / 6.4.8 等での修正が案内されています。さらに astro@7.1.0 を騙る悪性パッケージ（MAL-2026-10726） が確認されており、タイポスクワット依存を含むサプライチェーン汚染として要注意です。正規のAstroはv5系であり、7.1.0の取り込みは避けてください。
このほか @angular/core / @angular/compiler のサニタイズバイパス（CVE-2026-50557 / CVE-2026-52725 / CVE-2026-54267）、vite の server.fs.deny バイパス（CVE-2026-53571、Windows限定）が報告されています。
JVN 日本語情報
- JVNDB-2026-000100：非接触型ICカード技術FeliCaの一部ICチップの脆弱性（CVE-2026-59776、CVSS 6.8）。2017年以前に出荷された一部チップで暗号処理のセキュリティ強度が低下する事象です。
- JVNDB-2026-000101：Drupalプラグイン「AI Agents」の不正な認証（CVE-2026-13236、CVSS 6.5、CWE-863）。
まとめ
本日はCritical 37件・High 102件と分量の多い一日でした。優先度が高いのは、広く使われるランタイム/ライブラリに関わる PHP SOAP拡張のRCE（CVE-2026-6722）と Go x/crypto/ssh の認証バイパス（CVE-2026-46595）です。加えて、セルフホスト運用が増えているDokployのCritical群、npm側のAstro悪性パッケージ（サプライチェーン）も見逃せません。まずは自環境で該当バージョンを使用しているか棚卸しし、パッチ提供済みのものから順にアップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。