本日は新規・更新されたCVEを200件集計し、うちCritical（CVSS 9.0以上）が14件、Highが82件でした。特にCisco Secure Workloadの内部REST API認証バイパス（CVE-2026-20223、CVSS 10.0）が最も深刻で、未認証の攻撃者がSite Admin権限を取得しテナント境界を越えて操作できるおそれがあります。加えて、実際に悪用が観測されている LiteSpeed cPanelプラグイン（CVE-2026-48172）は優先対応を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 14件 |
| High (7.0-8.9) | 82件 |
| Medium (4.0-6.9) | 81件 |
| Low (0-3.9) | 10件 |
| 影響エコシステム | npm（Next.js / Astro）, PyPI（Django） |
Critical / High の詳細
CVE-2026-20223：Cisco Secure Workload の認証バイパス（CVSS 10.0）
CVE-2026-20223 は、内部REST APIのアクセス検証が不十分なため、未認証のリモート攻撃者が Site Admin 権限でサイトリソースにアクセスできる問題です。細工したAPIリクエストにより、テナント境界を越えて機密情報の閲覧や構成変更が可能になるおそれがあります。Ciscoのアドバイザリを確認し、修正版への更新を推奨します。
CVE-2026-45444：WooCommerce向けギフトカードプラグインの任意ファイルアップロード（CVSS 10.0）
CVE-2026-45444 は、WP Swings「Gift Cards For WooCommerce Pro」（4.2.6以前）における危険な種別のファイルの無制限アップロードです。悪性ファイルの設置によりサイト侵害につながる可能性があります。WordPress運用者はプラグインの更新を確認してください。
CVE-2026-44050：Netatalk CNIDデーモンのヒープオーバーフロー（CVSS 9.9）
CVE-2026-44050 は、Netatalk 2.0.0〜4.4.2 の comm_rcv() におけるヒープバッファオーバーフローです。リモートの認証済み攻撃者が権限昇格を伴う任意コード実行やサービス停止を引き起こせます。同日には CVE-2026-44047（SQLi）や CVE-2026-44048（スタックオーバーフロー、いずれもCVSS 8.8）も公開されており、AFPファイル共有を公開している環境は更新を推奨します。
CVE-2026-6722：PHP SOAP拡張のUse-After-Free（CVSS 9.8）
CVE-2026-6722 は、PHP 8.2.31未満 / 8.3.31未満 / 8.4.21未満 / 8.5.6未満のSOAP拡張に存在するUse-After-Freeです。SOAPリクエスト本文を制御できる攻撃者によりリモートコード実行に至る可能性があります。各ディストリのパッチ（RHSA等）が提供されているため、SOAPを使う環境は優先的に対応してください。
CVE-2026-39892：Python cryptography のバッファオーバーフロー（CVSS 9.8）
CVE-2026-39892 は、cryptography 45.0.0〜46.0.7未満で、非連続バッファを Hash.update() 等のバッファ受理APIに渡した場合にバッファオーバーフローが発生し得る問題です。46.0.7で修正済みです。広く依存されるパッケージのため、依存ツリーの棚卸しと更新を推奨します。
CVE-2026-9082：Drupal core のSQLインジェクション（CVSS 9.8）
CVE-2026-9082 は、Drupal core の複数系列（8.9.0〜10.4.10未満、10.5系〜10.5.10未満、11.x系ほか）に影響するSQLインジェクションです。CISAのKEVカタログにも参照が登録されています。各系列の修正版（10.4.10 / 10.5.10 / 10.6.9 / 11.1.10 / 11.2.12 / 11.3.10 など）への更新を推奨します。
CVE-2026-25244：WebdriverIO のコマンドインジェクション（CVSS 9.8）
CVE-2026-25244 は、9.24.0未満のWebdriverIOで、Gitのブランチ名がシェルコマンドへ未サニタイズで渡され、CI/CDや開発端末で任意コード実行に至る問題です。悪性リポジトリの取り込みが起点となり得ます。9.24.0で修正されています。
CVE-2026-48172：LiteSpeed cPanelプラグインの権限昇格（CVSS 9.8・悪用観測）
CVE-2026-48172 は、LiteSpeed User-End cPanel Plugin 2.4.5未満の権限昇格で、2026年5月に実際の悪用が観測されています。推奨最小バージョンは2.4.7です。該当プラグインを利用している場合は最優先で更新し、ログの点検を推奨します。
CVE-2026-6279：Avada Builder（WordPress）の未認証RCE（CVSS 9.8）
CVE-2026-6279 は、Avada Builder（fusion-builder）3.15.2以前におけるPHP関数インジェクションで、未認証の攻撃者が任意コードを実行できる可能性があります。プラグインの更新を推奨します。
CVE-2026-33186：gRPC-Go の認可バイパス（CVSS 9.1）
CVE-2026-33186 は、1.79.3未満のgRPC-Goで、HTTP/2 :path 疑似ヘッダーの検証が緩く、先頭スラッシュを欠くパスにより認可インターセプタ（grpc/authz 等）のdenyルールを回避され得る問題です。1.79.3で修正されています。アップグレードが難しい場合は検証用インターセプタの導入等での緩和が案内されています。
このほかHighでは、PostgreSQL libpqのスタック破損（CVE-2026-6477、CVSS 8.8）、Twig のサンドボックスバイパス（CVE-2026-24425、8.8）、Google Chrome 148.0.7778.179未満の複数のメモリ破損（CVE-2026-9114 ほか、8.8）、authentik のSAML認証バイパス（CVE-2026-40165、8.7）などが公開されています。
エコシステム別サマリー（npm / PyPI）
本日のOSVデータはnpmが15件、PyPIが1件です。Next.js に多数の脆弱性がまとめて公開されており、Server ActionsのSSRF（CVE-2026-64649 / CVE-2026-64645）、内部Server Functionエンドポイントの情報漏えい（CVE-2026-64643）、キャッシュ混同（CVE-2026-64647 / CVE-2026-64648）、DoS（CVE-2026-64641 / CVE-2026-64644）などが 15.5.21 / 16.2.11 で修正されています。App Router + Server Actions を使うアプリは早めの更新を推奨します。
Astro にも複数のXSS・認可バイパス（CVE-2026-59729 / CVE-2026-59727 / CVE-2026-59731 など）が報告され、7.0.4 / 7.0.6 / 7.1.0 / 6.4.8 での修正が案内されています。PyPI側は Django のSMTPバックエンドがSTARTTLS失敗時に平文接続を再利用し得る問題（CVE-2026-7666）で、6.0.6 / 5.2.15 で修正されています。
JVN 日本語情報
- JVNDB-2026-000102：リコー製プリンター/複合機のSSH通信機能におけるアクセス制御不備（CVE-2026-63226、CVSS 5.8、CWE-923）。ポートフォワーディング先が制限されていない問題です。
- JVNDB-2026-024832：プロジェクト管理ツール「Plane」のマルチテナント認可回避（VU#762226）。
- JVNDB-2026-024833：米国CISAがICS Advisory / ICS Medical Advisory（新規10件）を公表しています。
まとめ
本日はCritical 14件・High 82件でした。優先度が高いのは、境界に露出しやすい Cisco Secure Workloadの認証バイパス（CVE-2026-20223、CVSS 10.0）と、実際の悪用が観測されている LiteSpeed cPanelプラグイン（CVE-2026-48172）です。加えて、広く使われるランタイム/ライブラリの PHP SOAP拡張のRCE・Python cryptography・Drupal core、Webフレームワークでは Next.js のまとまった修正が見逃せません。まずは自環境で該当バージョンを使用しているか棚卸しし、悪用観測済み・パッチ提供済みのものから順にアップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。