本日はNVD由来の新規・更新CVEが86件（Critical 6件・High 20件）でした。最優先は、実際の悪用が確認されている CVE-2026-16232（Check Point SmartConsole の認証バイパス、CVSS 9.1、CISA KEV登録）。あわせて、KubeVirt のノード乗っ取り（CVE-2026-7374、CVSS 9.9）や FreeRDP のクリップボード経由ヒープオーバーフロー（CVE-2026-68579、CVSS 9.6）など、実務で影響の出やすいCriticalが並びました。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 86件 |
| Critical (9.0+) | 6件 |
| High (7.0-8.9) | 20件 |
| Medium (4.0-6.9) | 19件 |
| Low (0.1-3.9) | 1件 |
| 未評価（CVSS未採点） | 40件 |
| GHSA 更新アドバイザリ | 54件 |
| 影響エコシステム | WordPress, npm, PyPI, Go, Hex |
未評価40件には、まだCVSSが付与されていないものの実務影響の大きい修正（axios の
NO_PROXYバイパス、Traefik のパストラバーサル、huggingface/transformers の任意ファイル書き込み等）が含まれます。OSVフィードとMyJVNは本日該当なしでした。
Critical / High 脆弱性の詳細
CVE-2026-16232：Check Point SmartConsole の認証バイパス（悪用確認・CISA KEV）
- CVSS: 9.1（Critical）／CWE-287
- 影響: Check Point 管理サーバ（SmartConsole ログイン処理）
- 未認証のリモート攻撃者がアプリケーションのログイントークンを取得し、フル管理者権限で認証できてしまう問題です。成立するとセキュリティポリシーや設定の変更が可能になります。Check Point は既に悪用を確認しており、CISA の悪用が確認された脆弱性カタログ（KEV）にも登録されています。
- 成立条件: 管理サーバのIPにインターネットからアクセスでき、かつ Trusted Clients による接続元制限が行われていない構成。
- 対策: Check Point のアドバイザリ（sk185169）に従って対応してください。あわせて管理サーバの外部到達性の遮断と Trusted Clients による接続元制限を推奨します。本日の中で最優先の一件です。
CVE-2026-7374：KubeVirt virt-handler のシンボリックリンク検証不備（CVSS 9.9）
- 影響: KubeVirt / OpenShift Virtualization（virt-handler コンポーネント）
- 単一Namespaceの編集権限を持つOpenShiftユーザが、VMコンソールソケットをホストのコンテナランタイム（CRI-O）ソケットへのシンボリックリンクに差し替えることで、virt-handler の特権接続を乗っ取れる問題です。最終的にノード、ひいてはクラスタ全体の掌握につながり得ます。
- 対策: Red Hat のエラータ（RHSA-2026:20720 ほか）に従って更新してください。マルチテナントでNamespaceを委譲している環境では優先度が高い一件です。
CVE-2026-68579：FreeRDP クリップボード経由のヒープオーバーフロー（CVSS 9.6）
- 影響: FreeRDP 3.30.0 より前（3.29.0 以前）の Windows クライアント
- 悪意ある、または侵害されたRDPサーバが過大なクリップボード応答を返すことで、ファイル内容の貼り付け時にクライアント側でヒープ領域外書き込みが発生します。接続先サーバを信頼できない環境（踏み台・共有環境など）で影響が出ます。
- 対策: FreeRDP 3.30.0 以降へ更新してください。同じくFreeRDPの音声入力チャネルには整数オーバーフロー（CVE-2026-68580、CVSS 7.5、3.29.0 で修正）もあります。
そのほかの主要な Critical
- CVE-2026-8457（CVSS 9.8, WordPress）: WooCommerce - Social Login プラグイン（2.8.7 以前）。Apple の id_token の署名検証を行わず、公開されたnonceと組み合わせることで、未認証攻撃者が管理者を含む任意ユーザとしてログインできます。
- CVE-2026-65321（CVSS 9.8, PyPI）: PyAthena 3.35.4 より前。DELETE / CTAS 文のクォートエスケープ処理不備によるSQLインジェクション。3.35.4 以降へ更新してください。
- CVE-2026-16242（CVSS 9.4, OpenShift）: Hosted Control Plane の Konnectivity proxy-server がクライアント証明書を検証せず、未認証のエージェントとして経路プールに参加できる問題。Red Hat エラータ（RHSA-2026:46885 ほか）で更新してください。
注目のHigh — ArcadeDB / Better Auth / Vikunja
- ArcadeDB（26.7.3 より前）: JavaScriptトリガー経由の権限昇格（CVE-2026-67356、CVSS 8.8）に加え、MCPトランスポートでの認証バイパス（CVE-2026-68578、CVSS 7.5）、クラスタトークンの情報漏えい（CVE-2026-67357、CVSS 7.5）が同時に公開されています。26.7.3 以降への更新を推奨します。
- Better Auth（npm）: 余分なスラッシュによる
disabledPaths/ レート制限バイパス（CVE-2025-71399、CVSS 8.6、1.4.5 で修正）、passkey削除のIDOR（CVE-2025-71400、CVSS 7.1、1.4.0 で修正）。 - Vikunja（0.22.0〜2.3.0）: 数値ID衝突による認証バイパスで他ユーザのAPIトークンを操作できる問題（CVE-2026-68581、CVSS 8.1）。2.4.0 で修正されています。
- OS / ライブラリ系: Emacs のコマンドインジェクション（CVE-2025-1244、CVSS 8.8）、linux-pam の権限昇格（CVE-2025-6020、CVSS 7.8）、libssh の領域外読み取り（CVE-2025-5318、CVSS 8.1）などのディストリ更新も反映されています。
エコシステム別サマリー
OSVフィードは本日該当なしでしたが、NVD / GitHub Advisory から実務影響の大きい修正を挙げます。
- WordPress: 本日のGHSA更新の多くはWordPressプラグインです。上記の WooCommerce Social Login（Critical）のほか、CubeWP Framework のディレクトリトラバーサル（CVE-2026-13339、CVSS 7.5）、User Access Manager のディレクトリトラバーサル（CVE-2026-18352、CVSS 7.5）など、未認証で任意ファイル読み取りに至るものが目立ちます。利用中プラグインの更新を推奨します。
- npm: Better Auth（上記）に加え、axios の
NO_PROXYバイパス（CVE-2026-67315）とtoFormDataのDoS（CVE-2026-67321、いずれも 0.33.0 / 1.18.0 で修正）が公開されています。npm auditを推奨します。 - PyPI / AI系: PyAthena（上記Critical）のほか、huggingface/transformers のパストラバーサルによる任意ファイル書き込み（CVE-2026-9856）、keras のHDF5 ExternalLink 経由の情報漏えい（CVE-2026-9335）に注意してください。
- Go / Hex: Traefik の RewriteTarget パストラバーサルによる認証バイパス（CVE-2026-67309、v3.7.8 で修正）、Elixir の ueberauth guardian のアトム枯渇DoS・署名検証バイパス（CVE-2026-55735 ほか、2.4.1 で修正）が公開されています。
JVN 日本語情報
- 本日のMyJVNフィードには該当する日本語の脆弱性対策情報はありませんでした。国内向けの追加情報が必要な場合は、各ベンダーのアドバイザリを直接ご確認ください。
まとめ
本日で最優先は、実際の悪用が確認されている Check Point SmartConsole（CVE-2026-16232） です。CISA KEV登録のため、管理サーバの外部到達性の遮断と Trusted Clients による接続元制限を早急に確認してください。クラウドネイティブ環境では KubeVirt / OpenShift のノード乗っ取り、リモートワーク環境では FreeRDP のクリップボード脆弱性が実務上の要注意点です。加えて、axios や transformers、Traefik などCVSS未採点ながら広く使われるコンポーネントの修正も多い日でした。npm audit / pip-audit / govulncheck で自社が利用する依存に絞った棚卸しを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。