本日は新規・更新CVEが220件と多く、うちCriticalが33件、Highが115件です。最も深刻なのは @fastify/http-proxy のプレフィックス書き換えバイパス（CVSS 10.0）で、あわせてApache HTTP Server / CXF / Thrift、Linux kernel、Go標準ライブラリ、暗号・シリアライズ系ライブラリなど、広く使われる基盤コンポーネントの修正が集中しました。件数が多いため、自社スタックに関わるものから優先的に確認することを推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 220件 |
| Critical (9.0+) | 33件 |
| High (7.0-8.9) | 115件 |
| Medium (4.0-6.9) | 60件 |
| Low (0.1-3.9) | 1件 |
| 未評価 / 情報 | 11件 |
| 影響エコシステム | npm, PyPI, Maven, Go, Packagist, RubyGems, crates.io, NuGet |
Critical / High 脆弱性の詳細
CVE-2026-16117：@fastify/http-proxy のプレフィックス書き換えバイパス（本日最上位）
- CVSS: 10.0（Critical） / CWE-20
- 影響: @fastify/http-proxy 11.5.0 以前。修正版は 11.6.0
- Fastifyのルーターはルート照合のためにパスをURLデコードしますが、
request.urlはエンコードされた元の形を保持します。プレフィックスの一部をURLエンコードしたリクエストはルートに一致する一方でプレフィックス書き換え処理をすり抜け、エンコードされた生のパスがそのまま上流へ転送されます。結果として、rewritePrefixで隠したはずの内部・管理用エンドポイントに認証なしで到達される可能性があります。 - 対策: 11.6.0 へアップデート（回避策はなし）。
認証済みユーザからのコード実行・ノード乗っ取り
- CVE-2026-27577（9.9, n8n）: ワークフローの作成・編集権限を持つ認証済みユーザが、式評価の不備を突いてホスト上でのコマンド実行を引き起こせます。2.10.1 / 2.9.3 / 1.123.22 で修正。アップグレードが難しい場合は編集権限を信頼できるユーザに限定する暫定緩和が案内されています。
- CVE-2026-7374（9.9, KubeVirt）: 単一ネームスペースの
edit権限からVMコンソールソケットをホストのCRI-Oソケットへのシンボリックリンクに差し替え、virt-handlerの特権接続を乗っ取れるパストラバーサル。ノード・クラスタ全体の制御に発展しうる問題で、Red Hat提供のRHSAで修正されています。
Apache プロジェクトの脆弱性（HTTP Server / CXF / Thrift）
- CVE-2026-28780（9.8, Apache HTTP Server）:
mod_proxy_ajpが悪意あるAJPサーバに接続した際、ヒープバッファの末尾に攻撃者制御の4バイトを書き込めるヒープオーバーフロー。2.4.66 以前が対象で、2.4.67 で修正。 - CVE-2026-49875（9.8, Apache CXF）:
EndpointReferenceUtilsなどがJAXPのハードニングなしにSAXParserFactoryを構成しており、帯域外の外部エンティティ解決（XXE）が可能。4.2.2 / 4.1.7 で修正。 - CVE-2026-55971（9.8, Apache Thrift）: C++バインディングのヒープベースのバッファオーバーフロー。JVNからも日本語情報が出ています。本日はThriftの各言語バインディングに対する脆弱性が10件以上まとめて公開されており、いずれも 0.24.0 未満 が対象、0.24.0 で修正されています。
暗号・シリアライズ系ライブラリ
- CVE-2026-39892（9.8, pyca/cryptography）:
Hash.update()などのPythonバッファ受け取りAPIに非連続バッファを渡すとバッファオーバーフローに至ります。45.0.0 以上 46.0.7 未満が対象で、46.0.7 で修正。Python基盤の暗号ライブラリのため影響範囲が広いです。 - CVE-2025-61140（9.8, jsonpath）: npmの
jsonpath1.1.1 のvalue関数にプロトタイプ汚染。Red Hat経由でも更新が出ています。 - CVE-2026-29063（9.8, Immutable.js）:
mergeDeep()などのAPI経由でプロトタイプ汚染が可能。3.8.3 / 4.3.7 / 5.1.5 で修正。
その他の広く使われるソフトウェア
- CVE-2026-45700（9.8, FreeRDP）: RLE planarデータのデコード時に境界外ヒープ書き込み。3.26.0 で修正。
- CVE-2026-8094（9.8, Firefox / Thunderbird）: WebRTCコンポーネントの問題。Firefox ESR 140.10.2 / Thunderbird 140.10.2 で修正。
- CVE-2026-9862（9.8, Fortra BoKS）: Core Privileged Access Manager（BoKS）の
boks_autoregisterdにOSコマンドインジェクション。ネットワーク到達可能な攻撃者がサービス権限でのコマンド実行を引き起こしうる。ベンダー最新版（200.1）への更新が推奨されています。 - CVE-2026-39821（9.6, Go idna）:
ToUnicodeがASCIIのみに復号されるPunycodeラベルを誤って受理し、権限チェックのバイパスにつながりうる。 - CVE-2025-12543（9.6, Undertow / WildFly）: Hostヘッダの検証不備によりキャッシュポイズニングやセッションハイジャックに悪用されうる。
- CVE-2026-44990（9.3, sanitize-html / ApostropheCMS）:
xmp要素経由のサニタイザバイパスによる格納型XSS。2.17.4 で修正。 - CVE-2026-33186（9.1, grpc-go）:
:pathの先頭スラッシュ欠落を許容するルーティングにより、パスベースの認可インターセプタをバイパス可能。1.79.3 で修正。 - CVE-2026-44172（9.1, MariaDB Connector）: big5文字セット利用時に
mysql_real_escape_string()を通してもSQLインジェクションが成立しうる。3.3.19 / 3.4.9 で修正。
Linux kernel（Red Hat / kernel.org経由でまとめて更新）
tipc の二重解放（CVE-2026-52993）、IPv6 icmpv6_rcv() のUAF（CVE-2026-53006）、8250_dw の解放後メモリ使用（CVE-2026-53384）など、Critical級のカーネル修正が複数出ています。いずれもディストリのカーネルパッケージ更新で一括対応するのが効率的です。
エコシステム別サマリー
- npm: 引き続き Next.js のセキュリティ修正がまとまって公開されています。Server Actions経由のSSRF、レスポンスボディのキャッシュ混同、Image Optimization / Server Actions のDoS、ミドルウェア/プロキシ認可バイパス（CVE-2026-64641〜64649）など計10件が 15.5.21 / 16.2.11 で修正されています。App Router + Server Actions 構成ほど影響範囲が広くなります。あわせて
@fastify/http-proxy（CVE-2026-16117）やsanitize-html、immutable、jsonpathのプロトタイプ汚染・XSS系も要注意です。 - PyPI:
cryptographyのバッファオーバーフロー（CVE-2026-39892、46.0.7 で修正）が最優先。Django のSTARTTLS失敗時の平文傍受（CVE-2026-7666、6.0.6 / 5.2.15 で修正）も出ています。 - その他: GHSAでは Maven / Go / Packagist / RubyGems / crates.io / NuGet にも広く影響が及んでいます。使用しているパッケージマネージャの監査（
npm audit/pip-auditなど）で一括確認するのが効率的です。
JVN 日本語情報
- Apache Thrift の脆弱性群（CVE-2026-55971 ほか）: C++・c_glib・Java・Python・Go・Ruby・Rust など各言語バインディングに対し、ヒープオーバーフロー・証明書検証不備・整数オーバーフロー・データ増幅（高圧縮データの不適切な処理）など複数の脆弱性がJVNから日本語で公開されました。いずれも 0.24.0 未満 が対象で、0.24.0 へのアップグレードが推奨されています。
- エレコム製無線LANルーター / アクセスポイントの複数の脆弱性（CVE-2026-61376 ほか）: 設定画面の反射型XSS、OSコマンドインジェクションなどが報告されています（CVSS 7.2）。該当製品の利用者はメーカーの案内に従い最新ファームウェアへの更新を推奨します。
まとめ
本日はCriticalが33件と多く、@fastify/http-proxy（CVSS 10.0）を筆頭に、Apache HTTP Server / CXF / Thrift、Linux kernel、Go標準ライブラリ、暗号・シリアライズ系ライブラリなど、広く使われる基盤コンポーネントの修正が集中したのが特徴です。まずは自社スタックで利用しているコンポーネントを洗い出し、影響バージョンを特定のうえでアップデートを検討してください。Linux kernelやThriftのように多数のCVEがまとめて出ているものは、ディストリのパッケージ更新やバインディングの一括アップグレードで効率よく対応できます。npm / PyPI 環境では監査コマンドによる棚卸しをあわせて推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。