本日はNVDで新規・更新CVEが694件と非常に多くマッチし、CVSSの高い順に上位200件を精査しました（Critical 22件・High 121件）。最優先は、Galeraクラスタ構成でOSコマンドを実行され得る MariaDB の CVE-2026-49261（CVSS 10.0）と、Go の golang.org/x/crypto/ssh で送信元アドレス検証がスキップされる CVE-2026-46595（CVSS 10.0）。加えて、axios・PostgreSQL・OpenSSL・libxml2 など、広く使われる依存コンポーネントの修正が大量に反映された一日です。
本日の概要
| 指標 | 数値 |
|---|---|
| NVDマッチ総数（新規・更新） | 694件 |
| うち精査（CVSS上位） | 200件 |
| Critical (9.0+) | 22件 |
| High (7.0-8.9) | 121件 |
| Medium (4.0-6.9) | 44件 |
| Low (0.1-3.9) | 9件 |
| 未評価（CVSS未採点） | 4件 |
| 影響エコシステム | npm, Go, PyPI, crates.io, DB |
件数はNVDのマッチ総数が694件と多く、本記事ではCVSSの高い上位200件を分析対象としています。内訳（Critical 22 / High 121 ほか）はこの200件に対する集計です。OSVフィードは npm 1件（Angular i18n XSS）、MyJVN は1件でした。
Critical / High 脆弱性の詳細
CVE-2026-49261：MariaDB wsrep_notify_cmd のOSコマンドインジェクション（CVSS 10.0）
- CVSS: 10.0（Critical）／CWE-78
- 影響: MariaDB 10.6.1〜10.6.26 / 10.11.1〜10.11.17 / 11.4.1〜11.4.11 / 11.8.1〜11.8.7 / 12.3.1（
wsrep_notify_cmd有効時） - Galera（wsrep）クラスタ構成で
wsrep_notify_cmdを有効にしている場合、joinerノード名に埋め込まれたシェルコマンドが実行されてしまう問題です。クラスタに参加できる立場からサーバ上で任意コマンドが動きます。 - 対策: 10.6.27 / 10.11.18 / 11.4.12 / 11.8.8 / 12.3.2 へ更新してください。直ちに更新できない場合は、回避策として
wsrep_notify_cmdを無効化します。
CVE-2026-46595：Go x/crypto/ssh の認可バイパス（CVSS 10.0）
- CVSS: 10.0（Critical）／CWE-863, CWE-303
- 影響:
golang.org/x/crypto/sshを用いたSSHサーバ実装（GO-2026-5023） - 過去の CVE-2024-45337 修正の不足で、公開鍵以外のコールバックが渡された構成では送信元アドレス（source-address）の検証がスキップされていました。アクセス元制限を回避される可能性があります。
- 対策:
golang.org/x/cryptoの修正版へ更新してください（govulncheckで GO-2026-5023 の該当有無を確認）。
CVE-2025-62718 / CVE-2026-44494：axios のプロキシバイパス・SSRF とMITM昇格（CVSS 9.9 / 8.7）
- 影響: axios 1.15.0 / 0.31.0 より前（NO_PROXYバイパス）、および 1.0.0〜1.16.0 未満（プロトタイプ汚染）
- 前者は
NO_PROXYのホスト名正規化不備で、localhost.（末尾ドット）や[::1]宛の通信がプロキシを経由してしまい、ループバック/内部サービスへのSSRFにつながります。後者は、依存ツリー内でObject.prototypeが汚染されている場合に、設定に存在しないproxy属性を注入され、全HTTP通信が攻撃者プロキシ経由になる中間者（MITM）へ昇格し得ます。 - 対策: NO_PROXYバイパスは 1.15.0 / 0.31.0、プロトタイプ汚染は 1.16.0 で修正されています。本日はほかにも多数のaxios関連CVE（CVE-2026-44492、CVE-2026-25639 ほか）が公開されているため、最新安定版への更新を推奨します。
CVE-2026-6473 / CVE-2026-6477：PostgreSQL の整数オーバーフローとlibpqのバッファ書き込み（CVSS 8.8）
- 影響: PostgreSQL 18.4 / 17.10 / 16.14 / 15.18 / 14.23 より前
- 前者は複数機能での整数の桁あふれにより、非特権ユーザが割り当てサイズを過小にして領域外書き込みを起こし、DB実行ユーザとして任意コード実行に至り得る問題です。後者は libpq の
lo_export()/lo_read()などでサーバ側スーパーユーザがクライアントのスタックを上書きできる問題です。 - 対策: PostgreSQL 18.4 / 17.10 / 16.14 / 15.18 / 14.23 以降へ更新してください。
CVE-2025-15467 / CVE-2026-45447：OpenSSL のCMS/PKCS#7処理のメモリ破損（CVSS 8.8）
- 影響: OpenSSL 3.0 / 3.3 / 3.4 / 3.5 / 3.6 系（FIPSモジュールは対象外）
- 前者は CMS の (Auth)EnvelopedData を AEAD 暗号でパースする際、認証・タグ検証より前にスタックバッファへの領域外書き込みが起きる問題です。後者は PKCS#7 / S/MIME 署名検証時のUse-After-Freeで、いずれもクラッシュやメモリ破損、状況によってはリモートコード実行の可能性があります。
- 対策: 各ディストリのエラータ、または OpenSSL の修正版へ更新してください。CMS APIを使う場合は前者、PKCS#7 APIを使う場合は後者が主に該当します。
そのほかの主要な Critical
- CVE-2026-44170（CVSS 9.8, MariaDB）: Windows版でCONNECTエンジンのREST機能有効時、テーブルのHTTP属性が未サニタイズで
curlコマンドラインに展開され、OSコマンドを実行され得ます。10.6.26 / 10.11.17 / 11.4.11 / 11.8.7 / 12.3.2 で修正。 - CVE-2026-22797（CVSS 9.9, OpenStack）: keystonemiddleware の
external_oauth2_tokenがX-Rolesなどの偽装ヘッダを検証せず、権限昇格・なりすましが可能。10.7.2 / 10.9.1 / 10.12.1 で修正。 - CVE-2026-29063（CVSS 9.8, npm）: Immutable.js の
mergeDeep()などでプロトタイプ汚染。3.8.3 / 4.3.7 / 5.1.5 で修正。 - CVE-2026-33815 / CVE-2026-33816（CVSS 9.8, Go）: Goの定番Postgresドライバ
jackc/pgx/v5のメモリ安全性の問題（GO-2026-4771 / 4772）。修正版へ更新を。 - CVE-2026-42880（CVSS 9.6, Argo CD）: ServerSideDiff の認可・マスキング不備で、読み取り専用権限の攻撃者が Kubernetes Secret を平文で取得可能。3.2.11 / 3.3.9 で修正。
- CVE-2026-33211（CVSS 9.6, Tekton）: Pipelines の git resolver の
pathInRepoパラメータでパストラバーサル。ServiceAccountトークンなどを読み取られ得ます。1.0.1 / 1.3.3 / 1.6.1 / 1.9.2 / 1.10.2 で修正。 - CVE-2026-33186（CVSS 9.1, gRPC-Go）: HTTP/2 の
:path検証が緩く、先頭スラッシュ無しのパスで認可インターセプタ（grpc/authz等）を回避可能。1.79.3 で修正。 - CVE-2025-49794 / CVE-2025-49796（CVSS 9.1, libxml2）: Schematron の
sch:name処理でのUse-After-Free／メモリ破損。各ディストリのエラータで更新してください。
注目のHigh — Go標準ライブラリ / OpenSSH / フロントエンド
- Go標準・準標準:
idnaのToASCII/ToUnicodeが Punycode を誤って許容し権限昇格につながる CVE-2026-39821（CVSS 9.6）、x/crypto/sshのリソースリーク CVE-2026-39830（9.1）、SSHエージェント転送で宛先制限が黙って外れる CVE-2026-39832（9.1）など、Go関連が22件と多い日です。govulncheckでの棚卸しを推奨します。 - フロントエンド / npm: React Router のオープンリダイレクト経由のXSS CVE-2026-22029（8.0、react-router 7.12.0 / @remix-run/router 1.23.2 で修正）、protobufjs のコード生成インジェクション CVE-2026-44293（8.8、7.5.6 / 8.0.2）、sanitize-html の
xmp経由XSS CVE-2026-44990（9.3、2.17.4）、node-tar のハードリンク経由パストラバーサル CVE-2026-24842（8.2、7.5.7）、lodash_.templateのコード実行 CVE-2026-4800（8.1、4.18.0）。 - コンテナ / ライブラリ: Docker/Moby の圧縮展開バイナリ解決不備によるコード実行 CVE-2026-41567（7.2、Docker Engine 29.5.1 で修正）、shell-quote のコマンド区切り注入 CVE-2026-9277（8.1）など。Netty / NATS-Server / Prometheus / urllib3 / ws / undici などにDoS系（CVSS 7.5）も多数出ています。
エコシステム別サマリー
本日は依存ライブラリ由来のCVEが集中しています。npm audit / pip-audit / govulncheck / cargo audit を使い、自社が実際に利用する依存に絞って棚卸しするのが効率的です。
- npm: axios（CVE-2025-62718 ほか計12件）、Immutable.js、protobufjs、React Router、sanitize-html、node-tar、lodash、shell-quote、Netty、ws、undici、follow-redirects、fast-uri など High以上が33件と最多。
- Go:
x/crypto/ssh（CVE-2026-46595）、idna、jackc/pgx/v5、gRPC-Go、go-jose、goxmlsig、net/url・net/mail標準パッケージなど22件。 - PyPI: urllib3 のストリーミングAPIのDoS CVE-2026-21441（7.5）、pyasn1 のDoS（CVE-2026-23490 ほか）、wheel のパストラバーサル CVE-2026-24049（7.1）。
- crates.io:
lz4_flexの解凍時の問題 CVE-2026-32829（7.5）ほか。
JVN 日本語情報
- CVE-2026-57279（JVNDB-2026-000106）: サイボウズ Garoon のスケジュール機能におけるクロスサイトスクリプティング（CVSS 6.8, Medium）。開発者が JPCERT/CC を通じて調整・公表したものです。Garoon 利用組織は、サイボウズの案内に沿って修正版の適用を確認してください。
まとめ
本日は「広く使われる依存コンポーネントの大量修正」がテーマの一日でした。特に MariaDB（CVE-2026-49261 / CVE-2026-44170）と Go x/crypto/ssh（CVE-2026-46595）は CVSS 10.0/9.8 とスコアが高く、サーバ側の任意コマンド実行・認可回避につながるため優先的に確認してください。アプリケーション開発者にとっては axios・PostgreSQL・OpenSSL・libxml2・protobufjs など日常的に使う依存の修正が多く、SCAツール（npm audit / pip-audit / govulncheck / cargo audit）での棚卸しが最も効率的です。件数が非常に多い日なので、まずは自社スタックに該当するものから着手することを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。