本日は新規・更新CVEが200件と多く、うちCriticalが39件、Highが106件です。最も注目すべきは CVE-2026-20079（Cisco Secure Firewall Management Center の認証バイパス、CVSS 10.0）で、あわせてOracle Fusion Middleware（7月CPU）、SAP NetWeaver、Kubernetes、Go標準ライブラリ、Axiosなど広く使われる基盤製品・ライブラリの修正が集中しました。件数が多いため、自社スタックに関わるものから優先的に確認することを推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 39件 |
| High (7.0-8.9) | 106件 |
| Medium (4.0-6.9) | 40件 |
| Low (0.1-3.9) | 2件 |
| 未評価 / 情報 | 13件 |
| 影響エコシステム | Go, Maven, PyPI, npm, Hex, Packagist, RubyGems, NuGet |
Critical / High 脆弱性の詳細
CVE-2026-20079：Cisco Secure Firewall Management Center の認証バイパス（本日最上位）
- CVSS: 10.0（Critical） / CWE-288
- 影響: Cisco Secure Firewall Management Center (FMC) Software の該当バージョン
- FMCのWeb管理インターフェースにおいて、起動時に生成される内部プロセスの不備により、認証されていないリモートの攻撃者が細工したHTTPリクエストを送るだけで認証を回避し、スクリプトを実行してOSのroot権限を取得できる可能性があります。境界防御そのものの管理基盤が狙われる問題であり、影響は甚大です。
- 対策: Cisco提供のアドバイザリに従い修正版へアップデート。管理インターフェースをインターネットから直接到達できない構成にすることも推奨されます。
認証なしで製品を乗っ取れるCritical群（Oracle 7月CPU / SAP）
- CVE-2026-60358（10.0, Oracle Access Manager）: Oracle Fusion Middleware の認証エンジンの脆弱性で、認証なしのHTTPアクセスでOracle Access Manager全体を掌握され、他製品へも波及（スコープ変更）しうる問題です。7月CPUで修正。あわせて Oracle Unified Directory（CVE-2026-60360 ほか、LDAP経由）、Service Delivery Platform、Managed File Transfer、Identity Manager Connector など、Fusion Middleware各コンポーネントに9.8〜10.0級の脆弱性がまとめて公開されています。いずれも 2026年7月 Critical Patch Update で対応します。
- CVE-2026-44747（9.9, SAP NetWeaver AS ABAP）: メモリ管理の論理エラーによりメモリ破壊が発生し、認証済みの攻撃者がデータの不正アクセス・改ざんやサービス停止を引き起こしうる問題です。7月のSAP Security Patch Dayで修正（SAP Note 3747367）。
基盤コンポーネント（Kubernetes / Linux kernel / Go）
- CVE-2026-16242（9.4, Kubernetes Konnectivity）: hosted control planes 構成のKonnectivity proxy-serverでエージェント向けリスナーがクライアント証明書を検証しない設定となっており、到達可能な攻撃者が未認証のエージェントとしてルーティングプールに参加し、コントロールプレーン〜ノード間トラフィックを傍受・改ざん・遮断しうる問題です。Red Hat提供のRHSAで修正。
- CVE-2026-46595（10.0, Go golang.org/x/crypto/ssh）: 公開鍵以外のコールバックが渡された場合にSSHサーバの送信元アドレス検証がスキップされ、認可バイパスにつながる問題です（CVE-2024-45337の修正の不備）。あわせて
golang.org/x/crypto/sshにはサーバpanic（CVE-2026-39830）やCA失効鍵の検証漏れ（CVE-2026-42508）など複数の修正が出ています。 - CVE-2026-43037（9.8, Linux kernel）:
ip6_tunnelのip4ip6_err()でcloned skbのcb[]がクリアされずメモリ破壊に至る問題。安定版パッチが公開されています。 - CVE-2026-33815（9.8, Go pgx/v5）: PostgreSQLドライバ
github.com/jackc/pgx/v5のメモリ安全性の問題。Red Hat経由でも更新が出ています。
広く使われるライブラリ・ソフトウェア
- CVE-2025-62718（9.9, Axios）:
NO_PROXY判定時のホスト名正規化の不備により、localhost.（末尾ドット）や[::1]宛のリクエストがNO_PROXYを回避してプロキシを経由し、プロキシバイパスやSSRFにつながります。1.15.0 / 0.31.0 で修正。ブラウザ/Node.js双方で使われる主要HTTPクライアントのため影響範囲が広いです。 - CVE-2026-39892（9.8, pyca/cryptography）:
Hash.update()などのPythonバッファ受け取りAPIに非連続バッファを渡すとバッファオーバーフローに至ります。45.0.0 以上 46.0.7 未満が対象で、46.0.7 で修正。 - CVE-2026-45700（9.8, FreeRDP）: RLE planarデータのデコード時に境界外ヒープ書き込み。3.26.0 で修正。
- CVE-2026-44990（9.3, sanitize-html / ApostropheCMS）:
xmp要素経由のサニタイザバイパスによる格納型XSS。2.17.4 で修正。 - CVE-2026-39821（9.6, Go idna）:
ToUnicodeがASCIIのみに復号されるPunycodeラベルを誤って受理し、権限チェックのバイパスにつながりうる。 - CVE-2026-6477（8.8, PostgreSQL libpq）:
lo_export()/lo_read()などがPQfn(..., result_is_int=0, ...)を通じてサーバ応答をクライアント側の固定バッファへ書き込む問題で、悪意あるサーバのスーパーユーザがpg_dumpやpsqlのスタックメモリを上書きしうる。18.4 / 17.10 / 16.14 / 15.18 / 14.23 で修正。
エコシステム別サマリー
- npm: 引き続き Next.js のセキュリティ修正がまとまって公開されています。Server Actions経由のSSRF、レスポンスボディのキャッシュ混同、Image Optimization / Server Actions のDoS、ミドルウェア/プロキシ認可バイパス（CVE-2026-64641〜64649）など計10件が 15.5.21 / 16.2.11 で修正されています。App Router + Server Actions 構成ほど影響範囲が広くなります。あわせて主要HTTPクライアントの
axios（CVE-2025-62718）やsanitize-htmlのXSSも要注意です。当サイトもNext.js製のため、優先的に更新を確認しています。 - Go: 本日はGoエコシステムのアドバイザリが最も多く、
golang.org/x/crypto（SSH認可バイパス・panic）、pgx/v5、標準ライブラリのidnaなど基盤ライブラリの修正が集中しています。govulncheckでの棚卸しを推奨します。 - Maven: OpenTelemetry Java agent のRMIインストルメンテーションにおける安全でないデシリアライゼーション（RCEにつながりうる、
opentelemetry-javaagent2.26.1 で修正）や、Quarkus の認証/認可バイパス（quarkus-vertx-http3.20.6.1）など、広く使われるJava基盤の修正が出ています。 - PyPI:
cryptographyのバッファオーバーフロー（CVE-2026-39892、46.0.7 で修正）が最優先。Django のSTARTTLS失敗時の平文傍受（CVE-2026-7666、6.0.6 / 5.2.15 で修正）も出ています。
JVN 日本語情報
- てがろぐ -Fumy Otegaru Memo Logger-（CVE-2026-64940）: にししふぁくとりー提供のてがろぐに、制限が不十分な正規表現の使用（CWE-625）による脆弱性が報告されています（CVSS 8.6）。利用者は開発元の案内に従い最新版への更新を推奨します。
- エレコム製無線LANルーター / アクセスポイントの複数の脆弱性（CVE-2026-61376 ほか）: 設定画面の反射型XSS、設定復元時のOSコマンドインジェクションなどが報告されています（CVSS 7.2）。該当製品の利用者はメーカーの案内に従い最新ファームウェアへの更新を推奨します。
まとめ
本日はCriticalが39件と多く、Cisco Secure Firewall Management Center の認証バイパス（CVSS 10.0）を筆頭に、Oracle Fusion Middleware（7月CPU）、SAP NetWeaver、Kubernetes Konnectivity、Go標準ライブラリ、Axiosなど、境界防御・認証基盤・広く使われるライブラリの修正が集中したのが特徴です。特にネットワーク経由で認証なしに製品を掌握できる脆弱性が多く、管理インターフェースの露出状況の見直しとあわせて対応を検討してください。Oracle CPUのように多数のCVEがまとめて出ているものは四半期パッチで一括対応でき、Go / npm / PyPI 環境では govulncheck / npm audit / pip-audit による棚卸しをあわせて推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。