本日はNVD由来の新規・更新CVEが200件（Critical 17件・High 180件）で、その大半はLinux kernelの一括採番です。最も注目すべきは CVE-2025-55182（Next.js / React の App Router における RCE、CVSS 9.8）で、あわせてSpring LDAPの認証バイパス、Netty の DNS キャッシュ汚染、jackson-databind のポリモーフィック型検証バイパスなど、広く使われるJava/JavaScriptライブラリの修正がGHSA側で集中しました。自社スタックに関わるものから優先的に確認することを推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 17件 |
| High (7.0-8.9) | 180件 |
| Medium (4.0-6.9) | 3件 |
| GHSA 更新アドバイザリ | 1,049件（Critical 83 / High 472） |
| 影響エコシステム | npm, Maven, Go, PyPI, RubyGems |
NVDの200件はLinux kernelの安定版修正が中心で、CVSSは自動採番のため高めに出ています。実務上の優先度はGHSA/OSV側のライブラリ修正のほうが高い日です。
Critical / High 脆弱性の詳細
CVE-2025-55182：Next.js / React App Router のリモートコード実行（本日最上位）
- CVSS: 9.8（Critical） / ベクトル
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - 影響: React 19.0.0 / 19.1.0 / 19.1.1 / 19.2.0 および、これらを利用する App Router 構成の Next.js 15.x / 16.x
- React の Flight（React Server Components のシリアライズ）プロトコルの処理に問題があり、細工したリクエストによってサーバ側で任意コードが実行され得ます。App Router でサーバコンポーネントを描画する構成が対象で、影響範囲が広い深刻な脆弱性です。
- 対策: React は 19.0.1 / 19.1.2 / 19.2.1 で、Next.js は 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 / 16.0.7 以降でそれぞれ修正されています。利用中のブランチに対応する修正版へアップデートしてください。当サイトもNext.js製のため、優先的に更新を確認しています。
- 参考: GHSA-9qr9-h5gf-34mp / NVD
Spring / Netty / jackson-databind — 広く使われるJavaライブラリ（GHSA）
- CVE-2026-41720（High, Spring LDAP）:
spring-ldap-coreに、空パスワードで認証を回避できる認証バイパスが報告されています。LDAP認証をSpring LDAP経由で実装している場合、空パスワードのバインドが成功扱いになる可能性があります。4.0.4 / 3.3.8 で修正。→ GHSA-jrv5-8w28-4265 - CVE-2026-45674 / CVE-2026-47691（High, Netty）:
netty-resolver-dnsの bailiwick（権限委任範囲）検証が不十分で、CNAME/NSレコードを介したDNSキャッシュ汚染につながります。DNSの応答を悪用され、意図しないホストへ誘導される恐れがあります。4.2.15.Final / 4.1.135.Final で修正。→ GHSA-676x-f7gg-47vc - CVE-2026-48059（High, Netty HAProxy）:
netty-codec-haproxyのネストされた PP2_TYPE_SSL TLV 解析で参照カウントの不均衡が生じ、メモリ枯渇（DoS）に至ります。同じく 4.2.15.Final / 4.1.135.Final で修正。→ GHSA-h2qv-fj59-j46j - CVE-2026-54513（High, jackson-databind）:
BasicPolymorphicTypeValidatorのallowIfSubTypeIsArrayを悪用して配列サブタイプの許可リストを回避できる問題です。ポリモーフィックデシリアライゼーションを有効にしている場合に影響します。2.18.8 / 2.21.4 / 3.1.4 で修正。→ GHSA-rmj7-2vxq-3g9f - CVE-2026-41845（High, Spring Framework）:
JavaScriptUtilsを介したクロスサイトスクリプティング（XSS）。7.0.8 / 6.2.19 で修正。→ GHSA-3chg-m5w7-qfv5 - CVE-2026-41849（High, Spring Framework）: SpEL式の整数オーバーフローに起因するサービス運用妨害（DoS）。Spring Framework のメンテナンスリリースで対応。→ GHSA-775g-4xr8-78h8
Go / Linux kernel
- CVE-2026-39830（Critical, golang.org/x/crypto）: SSHクライアントが予期しない応答を受け取った際にサーバ側でデッドロック（DoS）に至り得る問題です。0.52.0 で修正。
govulncheckでの棚卸しを推奨します。 - Linux kernel（Critical 17件・High 180件）:
ksmbd（SMBサーバ）のuse-after-free・領域外読み取り（CVE-2025-21945 / 21946 / 21955 / 21967 など）、Bluetooth L2CAPのuse-after-free（CVE-2025-21969）、net/mctpのメモリリーク（CVE-2025-21972）など、ネットワーク/ファイル共有まわりの修正が中心です。いずれもディストリビューションの安定版カーネル更新で対応してください。CVSSは自動採番のため高めですが、多くはローカル/隣接条件や特定機能の有効化が前提です。
エコシステム別サマリー
- npm: 本日の最重要は React/Next.js の RCE（CVE-2025-55182）です。あわせて昨日に続き Next.js の Server Actions / キャッシュ混同 / DoS 系（CVE-2026-64641〜64649）が 15.5.21 / 16.2.11 で修正されています。App Router 構成では両方を満たすバージョンへの更新を推奨します。
- Maven: Spring（Framework / LDAP）、Netty、jackson-databind と主要ライブラリのHighが集中しました。
spring-ldap-coreの認証バイパスは認証基盤に直結するため優先度が高いです。依存ツリーをmvn dependency:tree等で確認し、該当バージョンを洗い出してください。 - Go:
golang.org/x/cryptoのSSHサーバDoS（CVE-2026-39830）が最優先。govulncheckを推奨します。 - PyPI / RubyGems: それぞれ複数のアドバイザリ更新がありますが、Critical級の広範な影響を持つものは本日は限定的です。
pip-audit/bundle auditでの定期棚卸しを推奨します。
JVN 日本語情報
- Cisco Secure Firewall Management Center（CVE-2026-20316）: FMCのWebインターフェースにハードコードされた低権限アカウントの静的認証情報が存在し、認証されていないリモート攻撃者が該当アカウントでログインして機密データにアクセスし得ます（CVSS 5.3, Medium）。単体では中程度ですが、他のFMCの脆弱性と組み合わせた権限昇格に悪用され得るとされています。管理インターフェースをインターネットに公開しない構成とあわせ、Cisco提供の修正版への更新を推奨します。
- Apache Tomcat WebSocket chat サンプルのDoS（CVE-2026-66299）: WebSocketのchatサンプルアプリケーションに起因するサービス運用妨害。11.0.25 / 10.1.58 / 9.0.121 で修正されています。サンプルアプリを本番に残していないかの確認を推奨します。
- CISA ICS Advisory（2026年7月28日）: Siemens Desigo CC / Mendix Runtime / SIMATIC S7-PLCSIM Advanced などICS/OT製品向けに新規7件のアドバイザリが公開されています。該当製品の利用者はベンダー案内を確認してください。
まとめ
本日はNVDの件数こそLinux kernelの一括採番で多いものの、実務上の焦点はNext.js / React の App Router における RCE（CVSS 9.8）です。サーバサイドレンダリングを自前で運用している場合、React 19系とNext.js 15/16系の対応バージョンへ速やかに更新してください。あわせてSpring LDAPの認証バイパス、Netty のDNSキャッシュ汚染、jackson-databind のデシリアライゼーション許可リスト回避など、認証・通信・データ処理の要となるJavaライブラリのHighが集中しています。npm audit / mvn dependency:tree / govulncheck による棚卸しを行い、自社が利用している依存に絞って優先的に対応することを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。