本日はNVDで更新されたCVEが200件、うちCritical（CVSS 9.0以上）が23件です。昨日ほどではないものの、Ivanti・Fortinet・Cleo・CyberPanel といった既知悪用（KEV）系の再解析が一定数を占めます。新規注目としては、CVE-2026-34486（Apache Tomcat の暗号化インターセプタ・バイパス, CVSS 9.8）と、npm の Immutable.js / Axios / protobufjs に相次いだプロトタイプ汚染・コード生成系が目立ちます。
本日の概要
| 指標 | 数値 |
|---|---|
| 更新CVE | 200件 |
| Critical (9.0+) | 23件 |
| High (7.0-8.9) | 120件 |
| Medium (4.0-6.9) | 44件 |
| Low (0.1-3.9) | 3件 |
| 影響エコシステム | npm |
補足: 本日のNVD分にも既存CVEの再評価（lastModified更新）が含まれます。まずは自環境で稼働中の製品に該当するかの確認を優先し、パッチ適用済みのものは対応不要と切り分けてください。
注目の脆弱性
CVE-2026-22797 — OpenStack keystonemiddleware の認証ヘッダ検証不備
- CVSS: 9.9（Critical, CWE-290）
- 影響: keystonemiddleware 10.5〜10.7（10.7.2未満）、10.8、10.9（10.9.1未満）、10.10〜10.12（10.12.1未満）
- 概要:
external_oauth2_tokenミドルウェアが受信認証ヘッダを十分にサニタイズせず OAuth 2.0 トークンを処理するため、X-Is-Admin-Project/X-Roles/X-User-Idなどの偽装ヘッダを送ることで、認証済みの攻撃者が権限昇格や他ユーザーへのなりすましを行える可能性があります。external_oauth2_tokenを使う構成すべてが対象です。 - 修正バージョン: 10.7.2 / 10.9.1 / 10.12.1 以降
- 参考: NVD
CVE-2026-34486 — Apache Tomcat の EncryptInterceptor バイパス（新規）
- CVSS: 9.8（Critical, CWE-311 / CWE-807）
- 影響: Apache Tomcat 11.0.20 / 10.1.53 / 9.0.116
- 概要: 先行して修正された CVE-2026-29146 の副作用で、クラスタ通信を暗号化する
EncryptInterceptorを回避できる不備です。クラスタ（セッションレプリケーション）構成の Tomcat では、本来暗号化されるべきノード間通信の保護が無効化され得ます。 - 修正バージョン: 11.0.21 / 10.1.54 / 9.0.117 以降
- 回避策: クラスタ機能を使用していない場合は影響しません。使用中の場合は速やかな更新を推奨します。
- 参考: NVD / Apache 告知
CVE-2026-29063 — Immutable.js のプロトタイプ汚染
- CVSS: 9.8（Critical, CWE-1321 / CWE-915）
- 影響:
immutable（npm）3.8.3 / 4.3.7 / 5.1.5 未満 - 概要:
mergeDeep()/mergeDeepWith()/merge()/Map.toJS()/Map.toObject()経由でプロトタイプ汚染が成立し得ます。外部由来のオブジェクトをこれらのAPIでマージする構成が要注意です。 - 修正バージョン: 3.8.3 / 4.3.7 / 5.1.5 以降
- 参考: NVD / GHSA-wf6x-7x77-mvgw
CVE-2026-44494 / CVE-2026-44492 — Axios のプロトタイプ汚染・プロキシ回避
- CVSS: 8.7 / 8.6（High, CWE-1321 / CWE-918 ほか）
- 影響:
axios（npm）1.16.0 未満（44492 は 0.32.0 / 1.16.0 未満） - 概要: 44494 は、依存ツリー内で
Object.prototype汚染が起きている場合に Axios の proxy 設定へ波及し、全HTTP通信が攻撃者のプロキシ経由に誘導され得る「ガジェット」型の問題です。44492 は IPv4射影IPv6アドレスの正規化不足により、NO_PROXY指定を回避してプロキシ経由の内部アクセスが成立し得ます。 - 修正バージョン: 1.16.0 以降（44492 は 0.32.0 / 1.16.0 以降）
- 参考: NVD 44494 / NVD 44492
CVE-2026-44293 — protobufjs のコード生成における不正式の混入
- CVSS: 8.8（High, CWE-94）
- 影響:
protobufjs（npm）7.5.6 / 8.0.2 未満 - 概要: bytes フィールドの既定値がスキーマ制御下にあるため、細工したディスクリプタにより
toObject変換用の生成JSへ攻撃者制御のコードが埋め込まれ得ます。信頼できない.proto定義を動的に取り込む構成が対象です。 - 修正バージョン: 7.5.6 / 8.0.2 以降
- 参考: NVD / GHSA-66ff-xgx4-vchm
CVE-2026-47932 — Adobe ColdFusion のパストラバーサル
- CVSS: 8.8（High, CWE-22）
- 影響: ColdFusion 2023.19 / 2025.8 およびそれ以前
- 概要: パス制限の不備により、現在のユーザー権限で任意コード実行につながり得ます。既定では管理用ネットワークゾーンに限定され、悪用には利用者が悪意あるファイルを開く操作（ユーザー操作）が必要です。
- 対応: Adobe 提供のセキュリティ告知（APSB26-64）に従い修正版へ更新してください。
- 参考: NVD / Adobe APSB26-64
CVE-2026-14474 — SSSD の LDAP sudo プロバイダの権限昇格
- CVSS: 8.8（High, CWE-1188）
- 影響: SSSD（
ldap_sudo_search_base未設定時） - 概要:
ldap_sudo_search_baseを明示設定していない場合、SSSD が LDAP ディレクトリ全体からsudoRoleを検索するため、任意サブツリーへ書き込める認証済み攻撃者が root 相当の sudo 権限を付与するsudoRoleを注入し得ます。SSSD 加入ホスト全体に影響が及ぶ点に注意です。 - 対応: ディストリ提供の更新を適用し、
ldap_sudo_search_baseを明示設定してください。 - 参考: NVD
既知悪用（KEV）系の再解析クラスタ
本日のCriticalには、Ivanti EPMM（CVE-2023-35078）、Cleo Harmony/VLTrader/LexiCom（CVE-2024-55956）、FortiOS（CVE-2024-55591）、CyberPanel（CVE-2024-51378）、Citrix NetScaler（CVE-2023-3519）などの既知悪用CVEの再解析による更新が含まれます。いずれも新規採番ではないため、パッチ運用が追随できていれば多くは対応済みのはずです。
エコシステム別サマリー（npm）
本日は npm が中心です。Immutable.js（CVE-2026-29063）と Axios（CVE-2026-44494 / 44492）でプロトタイプ汚染系、protobufjs（CVE-2026-44293）でコード生成の不備が相次ぎました。いずれも広く利用される基盤ライブラリで、直接依存だけでなく推移的依存（transitive dependency）に含まれるケースが多い点に注意です。npm ls axios immutable protobufjs などで依存ツリーを確認し、修正版へ引き上げてください。
JVN 日本語情報
- JVNDB-2026-000107 — freo2（PHP製CMS）のアップロードファイル検証不備（CVE-2026-67243, CVSS 7.2, CWE-434）。任意ファイルのアップロードにつながり得ます。freo2 利用サイトは開発者提供の修正を確認してください。
- JVNDB-2026-000108 — NetKids iMark の複数の脆弱性（CVE-2026-66344 / CVE-2026-66839, CVSS 6.7）。ファイル検索パスの制御不備・引用符で囲まれていないファイルパスに起因します。該当製品利用組織は開発者案内を確認してください。
- JVNDB-2026-026850 — Cosminexus HTTP Server の脆弱性（CVE-2026-48913）。HTTP/2 通信機能を使用していない場合は本脆弱性は発生しません。日立製品を運用中の場合は提供情報を確認してください。
まとめ
本日の要点は3つです。1つ目は Apache Tomcat の EncryptInterceptor バイパス（CVE-2026-34486, CVSS 9.8）で、クラスタ（セッションレプリケーション）構成を使っている環境が対象です。修正版（11.0.21 / 10.1.54 / 9.0.117）が出ているので影響範囲を確認の上アップデートを検討してください。2つ目は OpenStack keystonemiddleware の権限昇格（CVE-2026-22797, CVSS 9.9）で、external_oauth2_token 利用構成は優先的に更新を推奨します。3つ目は npm の基盤ライブラリ（Immutable.js / Axios / protobufjs）に相次いだプロトタイプ汚染・コード生成系で、推移的依存に潜みやすいため依存ツリーの棚卸しが有効です。あわせて、Ivanti・Fortinet・Cleo 等のKEV系再解析は「該当製品の有無」と「パッチ追随状況」の確認から進めるのが効率的です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。