本日はNVD由来の新規・更新CVEが200件（Critical 35件・High 91件）で、2026年7月のOracle Critical Patch Update（CPU）に含まれるFusion Middleware系の一括反映が中心です。最上位は CVE-2026-60365（Oracle WebLogic Server Proxy Plug-in、認証不要で乗っ取り、CVSS 10.0）。あわせて、実際の悪用が確認されている CVE-2026-12569（PTC Windchill、CISA KEV登録）や、GitHub Advisory側の広く使われるライブラリ修正（brace-expansion / pyasn1 / sanitize-html など）にも注意が必要です。自社スタックに関わるものから優先的に確認することを推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 35件 |
| High (7.0-8.9) | 91件 |
| Medium (4.0-6.9) | 67件 |
| GHSA 更新アドバイザリ | 374件（Critical 57 / High 95） |
| 影響エコシステム | npm, PyPI, Go, Maven, Packagist, NuGet |
NVDのCriticalの多くは2026年7月Oracle CPUのFusion Middleware系（12.2.1.4.0 / 14.1.2.0.0 系）です。Oracle製品を運用していない場合は、GHSA側のライブラリ修正のほうが実務上の優先度が高い日です。OSVフィードとMyJVNは本日該当なしでした。
Critical / High 脆弱性の詳細
2026年7月 Oracle CPU — Fusion Middleware系に認証不要のCritical多数
7月CPUの反映で、Oracle Fusion Middleware / E-Business Suite / Supply Chain 系のCriticalが一括で採番・更新されました。とくに未認証でネットワーク経由から乗っ取りに至るものが目立ちます。
- CVE-2026-60365（CVSS 10.0）: Oracle WebLogic Server Proxy Plug-in（15.1.1.0.0）。未認証・HTTP経由でスコープ変更を伴う侵害が可能です。
- CVE-2026-60389（CVSS 10.0）: Oracle Service Delivery Platform（Messaging Enabler、12.2.1.4.0 / 14.1.2.0.0）。未認証・HTTP経由で完全な乗っ取りに至り得ます。
- CVE-2026-60329（CVSS 9.8）: Oracle Identity Manager（OIM Legacy UI、12.2.1.4.0 / 14.1.2.1.0）。未認証の T3 / IIOP 経由で乗っ取り可能。認証基盤そのものが対象のため影響が大きい一件です。
- CVE-2026-60363（CVSS 9.8）: Oracle HTTP Server（Apache Plugin、12.2.1.4.0 / 14.1.2.0.0）。未認証・HTTP経由で乗っ取り可能。
- CVE-2026-61140（CVSS 9.8）: Oracle WebCenter Sites（14.1.2.0.0）。未認証・HTTP経由で乗っ取り可能。WebCenter Portal / Sites 系はほかにも多数のCriticalが並んでいます。
- 対策: 2026年7月のOracle Critical Patch Update を適用してください。とくに WebLogic Server Proxy Plug-in、Oracle HTTP Server、Identity Manager など、インターネットに露出しやすいコンポーネントから優先することを推奨します。
CVE-2026-12569：PTC Windchill / FlexPLM の安全でないデシリアライズによるRCE（CISA KEV）
- CVSS: 9.8（Critical）／CWE-502
- 影響: PTC Windchill PDMLink および FlexPLM の 11.0 M030 より前（全CPSバージョンを含む）
- 信頼できないデータのデシリアライズを起点に、リモートから任意コード実行に至り得ます。CISA の悪用が確認された脆弱性カタログ（KEV）に登録されており、実際の攻撃が観測されています。
- 対策: PTCのアドバイザリ（CS473270）に従い、11.0 M030 以降へ更新してください。製造業のPLM基盤で外部到達性がある場合は最優先です。
CVE-2021-22205：GitLab の画像パーサ経由のRCE（既知・再掲）
- CVSS: 10.0（Critical）
- 影響: GitLab CE/EE 11.9 以降の未修正版。画像ファイルの検証不備（ExifTool 経由）で未認証RCEに至る、著名な実際に悪用された脆弱性です。
- 対策: 既知の脆弱性ですが本日NVDで更新されたため再掲します。自己ホスト型GitLabで古いバージョンを運用している場合は、最新の安定版へ更新してください。
Google Chrome — サンドボックス脱出につながる複数の脆弱性（CVSS 9.6）
- 影響: Google Chrome 151.0.7922.72 未満
- WebSockets（CVE-2026-17768）、ANGLE（CVE-2026-17847）、Codecs の整数オーバーフロー（CVE-2026-17848）、DevTools の競合（CVE-2026-17855）など、細工したページ・動画によりサンドボックス脱出に至り得ます。
- 対策: Chrome / Chromium系ブラウザを 151.0.7922.72 以降へ更新してください。
そのほかの主要な Critical / High
- CVE-2026-58586（Critical 9.8, Perl Image::WebP）: 0.3.0 より前が脆弱な libwebp（CVE-2023-4863 を含む）を同梱しています。システムの libwebp を更新しても解消しないため、モジュール自体を 0.3.0 以降へ更新してください。
- CVE-2021-40438（Critical 9.0, Apache HTTP Server）: mod_proxy の SSRF。2.4.48 以前が対象で、こちらもCISA KEV既登録の著名な脆弱性です。本日NVDで更新されたため再掲します。2.4.49 以降への更新を推奨します。
エコシステム別サマリー（GitHub Advisory）
- npm: 広く使われる依存の修正が目立ちます。CVE-2026-14257（brace-expansion、展開長の上限欠如によるメモリ枯渇DoS、1.1.17 / 2.1.3 / 3.0.3 / 5.0.8 で修正）は依存ツリーの奥に広く潜みます。あわせて sanitize-html の
javascript:スキーム検証不備（CVE-2026-53606、2.17.5）、ApostropheCMS のサーバサイド・プロトタイプ汚染による認可バイパス（CVE-2026-53609、Critical、4.31.0）、NocoBase の SQLi から RCE（CVE-2026-52887、Critical、2.0.61）も更新されています。npm audit/npm lsでの棚卸しを推奨します。 - PyPI: pyasn1 のデコーダDoS（CVE-2026-59884、High、0.6.4）、PyJWT の JWKS 取得における SSRF（CVE-2026-48522、2.13.0）、Thumbor の複数のHigh（HMAC検証バイパス / パストラバーサル / DoS、いずれも 7.8.0）などがあります。
pip-auditを推奨します。 - Go: Vault Secrets Webhook の SSRF とサービスアカウントトークン窃取（CVE-2026-54725、Critical、1.23.1）、Pion STUN/DTLS のパニックによるDoS、free5GC AUSF の入力検証不備などが更新されています。
govulncheckを推奨します。 - Maven / その他: jinjava のサンドボックスバイパス（CVE-2025-59340、Critical、2.7.5 / 2.8.1）、ImageMagick（Magick.NET）の XCF デコーダのヒープ領域外読み取り（CVE-2026-53466、14.15.0）などが並びます。
JVN 日本語情報
- 本日のMyJVNフィードには該当する日本語の脆弱性対策情報はありませんでした。国内向けの追加情報が必要な場合は、各ベンダーのアドバイザリを直接ご確認ください。
まとめ
本日はNVDのCriticalが35件と多めですが、その大半は2026年7月Oracle CPUのFusion Middleware系です。Oracle製品を運用している組織は、WebLogic Server Proxy Plug-in・Oracle HTTP Server・Identity Manager など未認証で外部到達し得るコンポーネントから優先的にCPUを適用することを推奨します。加えて、実際の悪用が確認されている PTC Windchill（CVE-2026-12569） はCISA KEV登録のため最優先で対応してください。Oracle製品を使っていない場合でも、brace-expansion や pyasn1、sanitize-html など広く使われるライブラリの修正が集中しているため、npm audit / pip-audit / govulncheck で自社が利用する依存に絞って棚卸しを行うことを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。