本日はNVD由来の新規・更新CVEが200件（Critical 22件・High 116件）で、Linux kernelの安定版一括採番に加え、広く使われるライブラリのCriticalが目立ちます。最注目は CVE-2025-62718（Axios の NO_PROXY すり抜けによるSSRF、CVSS 9.9）で、あわせて Immutable.js のプロトタイプ汚染、gRPC-Go の認可バイパス、GHSA側では Rails Active Storage のファイル読み取り／RCE など、フロント・バックエンド双方の主要依存に修正が集中しました。自社スタックに関わるものから優先的に確認することを推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 22件 |
| High (7.0-8.9) | 116件 |
| Medium (4.0-6.9) | 54件 |
| GHSA 更新アドバイザリ | 605件（Critical 79 / High 155） |
| 影響エコシステム | npm, Go, Maven, PyPI, RubyGems |
NVDの200件はLinux kernelの安定版修正を多く含み、CVSSは自動採番のため高めに出ています。実務上の優先度はGHSA/ライブラリ側の修正のほうが高い日です。OSVフィードは本日更新なしでした。
Critical / High 脆弱性の詳細
CVE-2025-62718：Axios の NO_PROXY すり抜けによるSSRF（本日最上位）
- CVSS: 9.9（Critical）
- 影響: Axios 1.15.0未満 および 0.31.0未満
- ホスト名の正規化が不十分で、
localhost.（末尾ドット付き）や[::1]（IPv6リテラル）などが NO_PROXY のマッチから漏れ、設定したプロキシを経由してしまいます。結果として、ループバックや内部サービスをプロキシ保護している構成でも、攻撃者が保護対象へ到達できるSSRF・プロキシバイパスにつながります。 - 対策: 1.15.0 または 0.31.0 以降へアップデートしてください。Axiosは依存ツリーの奥に入りがちなため
npm ls axiosでの棚卸しを推奨します。 - 参考: NVD
CVE-2026-29063：Immutable.js のプロトタイプ汚染（CVSS 9.8）
- 影響: Immutable.js 3.8.3 / 4.3.7 / 5.1.5 より前
mergeDeep()/merge()/Map.toJS()/Map.toObject()などのAPI経由でプロトタイプ汚染が可能です。汚染されたObject.prototypeは、他の脆弱性と組み合わさることでDoSやロジック改ざんの起点になり得ます。- 対策: 3.8.3 / 4.3.7 / 5.1.5 以降へアップデートしてください。
CVE-2026-33186：gRPC-Go の認可バイパス（CVSS 9.1）
- 影響: gRPC-Go 1.79.3 より前
- HTTP/2 の
:path疑似ヘッダの検証が緩く、先頭スラッシュを省いた非正規パス（Service/Method）が正規のハンドラへ到達する一方、grpc/authzなどのパスベース認可インターセプタは非正規のパス文字列を評価するため、canonicalパス向けの「deny」ルールがすり抜けます。パスベースのRBACを使っている場合に影響します。 - 対策: 1.79.3 以降へアップデート。緊急時は検証用インターセプタでの先頭スラッシュ必須化が回避策になります。
その他の主要ライブラリ Critical / High
- CVE-2026-46595（Critical 10.0, golang.org/x/crypto）: CVE-2024-45337 の修正が不完全で、公開鍵以外のコールバックを使うSSHサーバ構成で送信元アドレス検証がスキップされる認可バイパスの再発です。
golang.org/x/crypto/sshを使うサーバは最新版への更新を推奨します。 - CVE-2026-39821（Critical 9.6, Go idna）:
ToUnicode("xn--example-.com")がエラーではなくexample.comを返すなど、Punycodeラベルの扱いの不備により権限昇格につながり得ます。ホスト名で権限判定を行うGoプログラムが対象です。 - CVE-2026-33815 / CVE-2026-33816（Critical 9.8, github.com/jackc/pgx/v5）: PostgreSQLドライバpgxのメモリ安全性の問題です。
govulncheckでの棚卸しと該当バージョンの更新を推奨します。 - CVE-2026-44494（High 8.7, Axios）: プロトタイプ汚染を起点に全HTTPトラフィックを攻撃者プロキシへ迂回させるMITMに悪用され得る「ガジェット」。1.16.0 で修正。上記SSRFとあわせてAxiosは最新版への更新を推奨します。
- CVE-2026-22029（High 8.0, React Router / Remix）: loader/actionからのリダイレクトで不正なURLが生成され、クライアント側で意図しないJavaScript実行に至り得るオープンリダイレクト。
@remix-run/router1.23.2 / react-router 7.12.0 で修正。 - CVE-2026-9277（High 8.1, shell-quote）:
quote()が改行文字を含むオペレータ入力を正しくエスケープせず、コマンド区切りとして解釈され得るコマンドインジェクション。外部入力からコマンド文字列を組み立てている場合に影響します。 - CVE-2026-58049（High 8.6, FFmpeg）: RASCデコーダ（
decode_dlta）の境界チェック不備による領域外書き込み・読み取り。細工したメディアストリームをlibavcodecで復号するとメモリ破壊に至り得ます。信頼できない動画を処理するサービスは要確認です。
Linux kernel（NVD Critical/High の大半）
- 9pファイルシステムのuse-after-free（CVE-2026-63795, CVSS 10.0）、ocfs2のグループビットマップ検証不備（CVE-2026-63796）、rpmsg charのプローブ時use-after-free（CVE-2026-63797）など、ファイルシステム／ドライバ周りの修正が中心です。いずれもディストリビューションの安定版カーネル更新で対応してください。CVSSは自動採番のため高めですが、多くはローカル／隣接条件や特定機能の有効化が前提です。
エコシステム別サマリー
- npm: 本日の最重要は Axios の SSRF（CVE-2025-62718）とプロトタイプ汚染MITM（CVE-2026-44494）です。あわせて Immutable.js のプロトタイプ汚染、AWS Amplify Studio 生成コードの入力検証不備によるRCE（CVE-2025-4318,
@aws-amplify/codegen-ui-react2.20.3 で修正）も更新されています。npm audit/npm lsで該当依存を洗い出してください。 - Go:
golang.org/x/cryptoのSSH認可バイパス（CVE-2026-46595）、gRPC-Goの認可バイパス（CVE-2026-33186）、jackc/pgx/v5のメモリ安全性が最優先です。Pterodactyl Wings の設定シークレット漏えい（CVE-2026-52855, 1.12.3）／SFTP経由のクラッシュ（CVE-2026-52856, 1.13.0）もありました。govulncheckを推奨します。 - Maven: Spring Framework の SpEL によるDoS（CVE-2026-41850,
spring-expression7.0.8）、Spring Data Commons のキャッシュ枯渇（CVE-2026-41695,spring-data-commons4.0.6）、Netty HTTP/2 デコンプレッションの参照カウントリーク（CVE-2026-56819,netty-codec-http24.2.16.Final）が更新されました。mvn dependency:treeでの確認を推奨します。 - RubyGems: Rails の Active Storage にファイル読み取り／RCE（CVE-2026-66066, GHSA-xr9x-r78c-5hrm）。7.2.3.2 / 8.0.5.1 / 8.1.3.1 で修正されています。バリアント処理を使うRailsアプリは優先的に更新してください。
- PyPI: 複数のアドバイザリ更新がありますが、本日はCritical級の広範な影響を持つものは限定的です。
pip-auditでの定期棚卸しを推奨します。
JVN 日本語情報
- Google Chrome の複数の脆弱性（CVE-2026-17989 ほか, High）: V8の型混同（CVE-2026-17989）、PDFium／DawnのUse after free（CVE-2026-18012 / CVE-2026-18017）など、151.0.7922.72 未満で複数の脆弱性が報告されています。多くは細工したHTMLページ／PDFによりサンドボックス内で任意コード実行に至り得ます。Chrome／Chromium系ブラウザの更新を確認してください。
- Develar app-builder のファイル上書き（JVNDB-2026-026087）: macOS（APFS）上でシンボリックリンク追従により任意ファイルが上書きされる脆弱性（VU#293714）。Electronアプリのビルド基盤で
app-builderを利用している場合は確認を推奨します。 - トレンドマイクロ TrendAI Vision One（CVE-2025-71387）: Service Gateway向けのセキュリティアップデートが公開されています。該当製品利用者はベンダー案内を確認してください。
まとめ
本日はNVDの件数こそLinux kernelの一括採番で多いものの、実務上の焦点は広く使われるライブラリのCriticalです。特に Axios の SSRF／MITM はNode.js製アプリの依存ツリーに広く潜むため、npm ls axios で棚卸しのうえ 1.16.0 系への更新を推奨します。あわせて Immutable.js・gRPC-Go・golang.org/x/crypto・Rails Active Storage など、認証・通信・データ処理の要となる依存にCriticalが集中しました。npm audit / mvn dependency:tree / govulncheck / bundle audit で棚卸しを行い、自社が利用している依存に絞って優先的に対応することを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。