本日は新規・更新CVEが31件公開され、うちCriticalが1件、Highが14件です。最も深刻なのはKubeVirtの virt-handler に対するノード乗っ取り（CVSS 9.9）で、あわせてlibssh・libxslt・linux-pam・rsyncなど広く使われる基盤ライブラリの修正がRed Hat経由でまとめて更新されています。OSS側ではNext.jsのセキュリティリリースが集中しており、自社スタックに応じて早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 31件 |
| Critical (9.0+) | 1件 |
| High (7.0-8.9) | 14件 |
| Medium (4.0-6.9) | 12件 |
| Low (0.1-3.9) | 1件 |
| 未評価 / 情報 | 3件 |
| 影響エコシステム | npm, PyPI |
Critical / High 脆弱性の詳細
CVE-2026-7374：KubeVirt virt-handler のノード乗っ取り
- CVSS: 9.9（Critical） / CWE-59
- 影響: KubeVirt（OpenShift Virtualization）。修正版はRHSA参照
- 単一ネームスペースで
edit権限を持つ認証済みユーザが、VMのコンソールソケットをホストのCRI-Oソケットへのシンボリックリンクに差し替えることで、virt-handlerの特権接続を乗っ取れます。ホスト上の任意のUnixソケットにアクセスでき、ノードひいてはクラスタ全体の制御に発展しうる、本日最も深刻な脆弱性です。 - 対策: Red Hat提供のRHSA-2026:20720〜20782 を適用。あわせてedit権限の付与を最小化。
OpenShift / KubeVirt 関連の権限まわり（Red Hatまとめ更新）
- CVE-2026-9804（7.7, KubeVirt virt-exportserver）: VMExportのディレクトリエンドポイントで、エクスポート対象PVC内にシンボリックリンクを置くことでエクスポータPod上の任意ファイルを読み取れるパストラバーサル。情報漏えいにつながります。
- CVE-2026-1784（8.8, OpenShift Router）: Routeリソースの
spec.pathの検証不備により、HAProxy設定への制御された注入が可能。 - CVE-2026-46579（7.4, OpenShift Router）:
insecureEdgeTerminationPolicy: Allow時にX-SSL-Client-*ヘッダが除去されず、mTLSクライアント認証を前提とするバックエンドでなりすましが成立しうる問題。 - CVE-2026-10840（7.1, OpenShift Pipelines Operator）: ClusterRoleBindingが
system:authenticatedに過剰な権限を付与しており、認証済みユーザがスケジューリングやTLS Secretを改ざんできる可能性。 - CVE-2025-11393（8.7, runtimes-inventory operator）: 内部プロキシがクラスタ管理者資格情報を付与してしまい、一般ユーザが管理者権限で操作可能。
基盤ライブラリの脆弱性（Red Hat経由でまとめて更新）
- CVE-2025-5318（8.1, libssh）:
sftp_handleの比較不備による領域外読み取り。認証済みリモート攻撃者が意図しないメモリ領域を読み取り、機微情報が露出しうる（0.11.2より前が対象）。 - CVE-2025-6020（7.8, linux-pam）:
pam_namespaceモジュールがユーザ制御可能なパスを保護なく扱い、シンボリックリンク攻撃と競合状態でローカルからroot権限昇格が可能。 - CVE-2025-7425（7.8, libxslt）: XSLT処理における属性フラグ破損に起因する解放後メモリ使用（UAF）。クラッシュやヒープ破壊につながります。
- CVE-2025-5914（7.8, libarchive）: RARシーク処理の整数オーバーフローに起因する二重解放。メモリ破壊の可能性。
- CVE-2024-12085（7.5, rsync）: チェックサム比較時に未初期化スタックデータを1バイトずつ漏えいしうる欠陥。
CVE-2026-15962：Fluent Forms Pro（WordPress）のPHPオブジェクトインジェクション
- CVSS: 8.8（High） / CWE-502
- 影響: Fluent Forms Pro Add On Pack 6.2.6 以下
- 信頼できない入力のデシリアライズにより、Subscriber以上の認証済みユーザがPHPオブジェクトを注入できます。POPチェーンと組み合わせるとパスワード変更や管理者アカウント奪取に至る可能性があります（ユーザ更新連携が有効で、ユーザメタフィールドがマップされている場合に限定）。
- 対策: 6.2.6 より新しいバージョンへアップデート。
NoteGen（Tauriアプリ）の RCE / XSS
- CVE-2026-17497（8.3, CWE-78）: Tauri shellプラグインが bash/python 等を任意引数で実行できる権限をデフォルトで付与しており、webview上のスクリプト実行と組み合わせると完全なリモートコード実行に至ります。
- CVE-2026-17496（8.1, CWE-79）: AIチャット応答をサニタイズなしでDOMに挿入しておりXSSが成立。プロンプトに到達した攻撃者制御コンテンツが特権webview上でスクリプト実行されます。
- 対策: いずれも NoteGen 0.32.0 で修正。0.32.0 以降へアップデートを。
CVE-2026-63720：datamodel-code-generator のコードインジェクション
- CVSS: 7.5（High） / CWE-94
- 影響: datamodel-code-generator 0.70.0 より前
- 入力スキーマを制御できる攻撃者が、細工した
customBasePathを通じて生成コードに任意のPython式を埋め込め、生成モジュールのインポート時に任意コードが実行されます。信頼できないスキーマからコード生成を行うパイプラインで注意が必要です。 - 対策: 0.70.0 以降へアップデート。
エコシステム別サマリー（npm / PyPI 中心）
- npm: Next.js に多数のセキュリティ修正がまとめて公開されています。Server Actions経由のSSRF（CVE-2026-64649 / CVE-2026-64645）、レスポンスボディのキャッシュ混同（CVE-2026-64647 / CVE-2026-64648）、Image OptimizationやServer ActionsのDoS、ミドルウェア/プロキシ認可バイパス（CVE-2026-64642）など。いずれも 15.5.21 / 16.2.11 で修正されています。React Flightプロトコル経由のRCE（CVE-2025-55182、React 19.0.1 / 19.1.2 / 19.2.1、Next.js 15.x〜16.x）や、Astro のXSS・認可バイパス系（6.4.8 / 7.0.4 / 7.0.6 / 7.1.0 で修正）も複数あります。
- PyPI: Django の STARTTLS失敗時のコネクション再利用による平文傍受（CVE-2026-7666、6.0.6 / 5.2.15 で修正）。
自社スタックが Next.js の場合は、next を 15.5.21 もしくは 16.2.11 以降へ揃えるのが最優先です。App Router で Server Actions を使っている構成ほど影響範囲が広くなります。
JVN 日本語情報
- 本日（MyJVN）は該当する日本語の脆弱性対策情報の配信はありませんでした。
まとめ
本日はCriticalこそ1件ですが、Highに広く使われる基盤コンポーネントが並んだのが特徴です。KubeVirtの virt-handler（CVSS 9.9）はノード・クラスタ全体の乗っ取りに発展しうるため最優先で、あわせてOpenShift Router/Pipelinesの権限まわりも確認をおすすめします。libssh・libxslt・linux-pam・libarchive・rsyncといった基盤ライブラリはRed Hat経由でまとめて更新が出ているため、ディストリのパッケージ更新で一括対応するのが効率的です。OSS側では Next.js のセキュリティリリースが集中しているので、影響バージョンを特定のうえアップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。