本日は新規・更新CVEが210件公開され、うちCriticalが7件です。Immutable.js・gRPC-Go・Erlang/OTP・Undertow といった広く利用されるOSSライブラリに深刻な脆弱性が集中しており、依存関係を含めた早めの棚卸しを推奨します。加えて、Next.js に10件超のセキュリティ修正がまとまって公開されている点も見逃せません。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 210件 |
| Critical (9.0+) | 7件 |
| High (7.0-8.9) | 88件 |
| Medium (4.0-6.9) | 80件 |
| Low (0-3.9) | 7件 |
| 影響エコシステム | npm, PyPI, Go, Erlang |
Critical / High 脆弱性の詳細
CVE-2026-29063：Immutable.js のプロトタイプ汚染
- CVSS: 9.8（Critical） / CWE-1321, CWE-915
- 影響: immutable 3.8.3・4.3.7・5.1.5 より前のバージョン
mergeDeep()/merge()/Map.toJS()などのAPI経由でプロトタイプ汚染が可能です。多数のフロントエンド/バックエンドが間接依存しているため、影響範囲が広いのが特徴です。- 対策: 3.8.3 / 4.3.7 / 5.1.5 以降へアップデート。
CVE-2026-28808：Erlang/OTP inets の認証回避
- CVSS: 9.8（Critical） / CWE-863
- 影響: OTP 17.0 以降 〜 OTP 28.4.2 / 27.3.4.10 / 26.2.5.19 より前（inets）
script_aliasで DocumentRoot 外にマップされたCGIに対し、ディレクトリベースのアクセス制御が回避され、未認証アクセスが成立します。- 対策: OTP 28.4.2 / 27.3.4.10 / 26.2.5.19（inets 9.6.2 / 9.3.2.4 / 9.1.0.6）以降へ。
CVE-2026-5902：Google Chrome (Android) の Media 競合状態
- CVSS: 9.8（Critical） / CWE-362
- 影響: Chrome for Android 147.0.7727.55 より前
- レンダラープロセスを侵害した攻撃者がメディアストリームのメタデータを破壊しうる競合状態です（Chromium側の評価はLow）。
- 対策: Chrome 147.0.7727.55 以降へ更新。
CVE-2025-12543：Undertow の Host ヘッダ検証不備
- CVSS: 9.6（Critical） / CWE-20
- 影響: WildFly / JBoss EAP 等で使われる Undertow
- Host ヘッダの検証不備により、キャッシュ汚染・内部ネットワークスキャン・セッションハイジャックにつながる恐れがあります。
- 対策: ベンダ提供のRHSA等に沿ってパッチ適用。
CVE-2026-23941：Erlang/OTP httpd の HTTPリクエストスマグリング
- CVSS: 9.4（Critical） / CWE-444
- 影響: OTP 28.4.1 / 27.3.4.9 / 26.2.5.18 より前（inets httpd）
- 重複した Content-Length ヘッダを正規化せず、フロント/バックエンド間の解釈差でリクエストスマグリングが成立します。
- 対策: 上記修正版以降へアップデート。
CVE-2026-33186：gRPC-Go の認可バイパス
- CVSS: 9.1（Critical） / CWE-285
- 影響: gRPC-Go 1.79.3 より前
:path疑似ヘッダの先頭スラッシュ欠落を許容していたため、grpc/authzなどパスベースの認可がすり抜ける可能性があります。- 対策: 1.79.3 以降へ。暫定策として検証インターセプタの導入・経路正規化も有効です。
その他の注目 High
- CVE-2026-24486（8.6, python-multipart）:
UPLOAD_KEEP_FILENAME=True設定時のパストラバーサル。0.0.22 で修正。FastAPI/Starlette 系で利用有無を確認。 - CVE-2025-61732（8.6, Go）: cgo でのコード密輸につながるコメント解釈差。Go の更新で修正。
- CVE-2026-5707 / 5708 / 5709（8.8, AWS RES）: Research and Engineering Studio のコマンドインジェクション・権限昇格。2026.03 で修正。
- CVE-2021-20190（8.1, jackson-databind）: デシリアライズのガジェット問題。2.9.10.7 以降で対応済み。
- Google Chrome: V8/WebML/Media 等の High が多数（いずれも 147.0.7727.55 で修正）。Chromeリリースノート参照。
エコシステム別サマリー（npm / PyPI 中心）
- npm: Next.js に10件超のCVEがまとめて公開（DoS・SSRF・キャッシュ混同・ミドルウェア認可バイパス等、いずれも 15.5.21 / 16.2.11 で修正）。React の Flight プロトコル経由RCE（CVE-2025-55182、React 19.x系で修正）も関連します。Astro もXSS・認可バイパス系が複数（6.4.8 / 7.0.6 / 7.1.0 等）。
- PyPI: Django の STARTTLS 失敗時のコネクション再利用による平文傍受（CVE-2026-7666、6.0.6 / 5.2.15 で修正）。Starlette の Host ヘッダ検証不備（CVE-2026-48710、1.0.1 で修正）。
- Go: gRPC-Go・cgo の件に加え、cel-go の情報露出など。
自社スタックが Next.js の場合は、next を 15.5.21 もしくは 16.2.11 以降へ揃えるのが最優先です。
JVN 日本語情報
- JVNDB-2026-000102: リコー製プリンター/複合機のSSH通信機能におけるアクセス制御不備（CVE-2026-63226, CVSS 5.8）。ポートフォワーディング先が制限されていない問題です。
- JVNDB-2026-024975: ISC BIND の複数の脆弱性（2026年7月）。NSEC3レコードの扱いやRPZポリシーバイパス等が含まれ、DNSサーバ運用者は更新情報の確認を推奨します。
- JVNDB-2026-024976: バックアップソフト「Duplicati」v2.3.0.1 の不適切な権限割り当て（VU#847406）。
まとめ
本日はCriticalが7件と多めで、いずれも Immutable.js・gRPC-Go・Erlang/OTP・Undertow など「土台」として広く使われるコンポーネントに集中しました。これらは間接依存として紛れ込みやすいため、アプリ本体だけでなく依存ツリー全体の棚卸しが重要です。あわせて Next.js のセキュリティ一括修正（15.5.21 / 16.2.11）は該当プロジェクトが多いと見られ、優先的な確認を推奨します。パッチはいずれも提供済みのため、影響バージョンを特定のうえアップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。