本日はNVDで更新されたCVEが200件、うちCritical（CVSS 9.0以上）が31件と多めです。ただしその大半は過去CVEの再解析による更新で、Linux kernel の ksmbd / TLS 周りと、Ivanti・Fortinet・Zimbra といった既知悪用（KEV）系エンタープライズ製品が中心です。新規公開分としては、npm エコシステムで Angular の i18n を悪用した XSS（CVE-2026-69151）が注目です。
本日の概要
| 指標 | 数値 |
|---|---|
| 更新CVE | 200件 |
| Critical (9.0+) | 31件 |
| High (7.0-8.9) | 167件 |
| Medium (4.0-6.9) | 2件 |
| Low (0.1-3.9) | 0件 |
| 影響エコシステム | npm |
補足: 本日のNVD分は新規採番ではなく、既存CVEの再評価（lastModified更新）が中心です。すでに対応済みの環境では追加対応が不要なものも多く含まれます。まずは自環境で稼働中の製品に該当するかの確認を優先してください。
注目の脆弱性
CVE-2026-69151 — Angular i18n のイベントハンドラ属性経由のXSS（新規）
- CVSS: v4.0
AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H（High相当） - 影響:
@angular/core/@angular/compiler（npm） - 概要: Angular は通常
onclick/onerror等のイベントハンドラ属性へのバインドを検証で禁止していますが、i18n（多言語化）のメタデータ収集経路ではi18n-on*属性（例:i18n-onerror）として同じ属性名を翻訳対象にできてしまう不備がありました。信頼度の低い翻訳文字列を取り込む構成では、そこを起点にスクリプトが実行され得ます。 - 修正バージョン:
22.0.1/21.2.19/20.3.27以降 - 回避策: 翻訳ファイルの提供元を信頼できる経路に限定し、外部由来の翻訳データを検証する
- 参考: GHSA-jj27-h5hq-8x99 / NVD
CVE-2024-21762 — Fortinet FortiOS SSL-VPN の境界外書き込み
- CVSS: 9.8（Critical, CWE-787）
- 影響: FortiOS 7.4.0〜7.4.2、7.2.0〜7.2.6、7.0系、6.4系、6.2系ほか
- 概要: SSL-VPN 機能における境界外書き込みで、認証なしのリモート攻撃者による任意コード実行につながり得ます。実際の悪用が報告されている既知悪用（KEV）CVEで、本日再解析による更新が入りました。
- 対応: 既にパッチ適用済みであれば追加対応は不要。未適用のFortiOSはベンダー案内のバージョンへの更新を推奨します。
- 参考: NVD
CVE-2024-21887 — Ivanti Connect Secure / Policy Secure のコマンドインジェクション
- CVSS: 9.1（Critical, CWE-77）
- 影響: Ivanti Connect Secure（9.x, 22.x）、Ivanti Policy Secure（9.x, 22.x）
- 概要: Web コンポーネントのコマンドインジェクションで、認証済み管理者が任意コマンドを実行し得ます。他の脆弱性と組み合わせた実悪用が広く観測されたKEV系です。
- 対応: ベンダー修正版への更新と、公開時に配布された緩和策の適用状況を確認してください。
- 参考: NVD
CVE-2022-37042 — Zimbra Collaboration Suite のパストラバーサル
- CVSS: 9.8（Critical, CWE-22）
- 影響: Zimbra Collaboration Suite（ZCS）8.8.15 / 9.0
- 概要: mboximport 機能で認証を回避しつつ ZIP 展開時のパストラバーサルを突かれると、認証なしでの侵害につながり得ます。こちらもKEV登録済みです。
- 対応: 該当バージョンを運用中の場合はベンダー提供のパッチ適用状況を確認してください。
- 参考: NVD
CVE-2019-15107 — Webmin の認証前コマンドインジェクション
- CVSS: 9.8（Critical, CWE-78）
- 影響: Webmin
<= 1.920 - 概要: パスワード変更 CGI のパラメータにコマンドインジェクションがあり、認証前でのコマンド実行につながり得ます。古い脆弱性ですが、管理系ツールとして今も稼働環境が残りやすい点に注意です。
- 対応: 1.930 以降の更新済みバージョンを使用しているか確認してください。
- 参考: NVD
Linux kernel（ksmbd / TLS）の複数CVE
本日更新分のCriticalの多くは Linux kernel の ksmbd（カーネル内SMBサーバ）と TLS 周りのメモリ安全性（use-after-free / 境界外アクセス）に関するものです（例: CVE-2024-26592、CVE-2023-52480、CVE-2021-47103 など）。いずれも該当カーネルでの ksmbd 有効化有無が影響の分かれ目になります。ディストリのカーネル更新に追随できていれば、多くは対応済みのはずです。
エコシステム別サマリー（OSV）
- npm: Angular i18n XSS（CVE-2026-69151）1件。フロントエンド／SSR 双方で
@angular/coreを利用しているプロジェクトが対象です。多言語対応アプリで外部由来の翻訳データを扱う場合は優先的に確認してください。
JVN 日本語情報
- JVNDB-2026-000107 — freo2（PHP製CMS）のファイルアップロード検証不備（CVE-2026-67243, CVSS 7.2, CWE-434）。任意ファイルのアップロードにつながり得ます。freo2 利用サイトは開発者提供の修正を確認してください。
- JVNDB-2026-000106 — サイボウズ Garoon スケジュール機能のクロスサイトスクリプティング（CVE-2026-57279, CVSS 6.8, CWE-79）。Garoon 利用組織はサイボウズ案内のアップデートを確認してください。
- JVNDB-2026-026403 — 三菱電機製複数製品で用いる CC-Link IE TSN のメッセージ完全性検証不備（CVE-2026-13584）。OT/制御系ネットワークの分離状況を確認してください。
まとめ
本日のポイントは2つです。1つ目は新規の Angular i18n XSS（CVE-2026-69151）で、@angular/core を使うアプリのうち外部由来の翻訳データを取り込む構成が要注意です。修正版（22.0.1 / 21.2.19 / 20.3.27）が出ているので影響範囲を確認の上アップデートを検討してください。2つ目はNVDの再解析ラッシュで、Ivanti・Fortinet・Zimbra・Linux kernel といった既知悪用CVEの更新が大量に入っています。これらは新規採番ではないため、日頃からパッチ運用ができていれば多くは対応済みのはずです。まずは「自環境に該当製品があるか」「更新が追随できているか」の棚卸しから進めるのが効率的です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。