【セキュリティ日報】vm2サンドボックス脱出RCE CVE-2026-43999ほか更新CVE 200件

本日は NVD で更新された CVE が 200件、うち Critical（CVSS 9.0以上）が 33件です。最注目は Node.js 用サンドボックス vm2 のサンドボックス脱出クラスタ（CVE-2026-43999 ほか, CVSS 9.9〜10.0）で、信頼できないコードを安全に実行するための隔離が破られ、ホスト側での任意コード実行（RCE）に至ります。あわせて Traefik の認証バイパス、Nuxt の SSR RCE、Go の x/crypto の SSH 認可バイパスなど、広く使われる基盤に重大な脆弱性が並びました。

本日の概要

補足: 本日の NVD 分には既存CVEの再評価（lastModified 更新）も含まれます。GitLab（CVE-2021-22205）や Oracle Java（CVE-2012-1723）といった旧CVEの再解析が混在するため、まずは自環境で稼働中の製品に該当するかを確認し、パッチ適用済みのものは対応不要と切り分けてください。

注目の脆弱性

CVE-2026-43999 — vm2 の NodeVM ビルトイン許可リストのバイパス（RCE）

• CVSS: 9.9（Critical, CWE-863 / CWE-829）
• 影響: vm2（npm）3.11.0 未満
• 概要: NodeVM の builtin 許可リストは、module ビルトインが許可（* ワイルドカード含む）されている場合に回避可能です。module は Node の Module._load() を露出しており、ホストコンテキストで任意モジュールを直接ロードできるため、サンドボックス側のコードが child_process など除外対象のビルトインを読み込み、リモートコード実行に至ります。関連して CVE-2026-43997・CVE-2026-44005・CVE-2026-44006（いずれも CVSS 10.0）など、ホストオブジェクト取得やプロトタイプ汚染を起点とする脱出も同時に公開されています。
• 修正バージョン: 3.11.0 以降
• 回避策: vm2 はメンテナンス終了が表明されているため、isolated-vm など代替への移行検討も推奨されます。
• 参考: CVE詳細 / NVD / GHSA-947f-4v7f-x2v8

CVE-2026-47938 — Adobe Campaign Classic の SSRF（権限昇格）

• CVSS: 10.0（Critical, CWE-918）
• 影響: Adobe Campaign Classic（ACC）7.4.3 build 9394 およびそれ以前
• 概要: サーバサイドリクエストフォージェリ（SSRF）により権限昇格につながり得ます。悪用にユーザー操作は不要で、スコープが変化（Scope changed）する点が CVSS 10.0 の要因です。ネットワーク経由でのマーケティング基盤の掌握につながるため、外部公開構成では特に優先度が高い脆弱性です。
• 対応: Adobe 提供のセキュリティ告知（APSB26-66）に従い修正版へ更新してください。
• 参考: CVE詳細 / NVD / Adobe APSB26-66

CVE-2026-48322 — Adobe ColdFusion のコードインジェクション

• CVSS: 9.9（Critical, CWE-94）
• 影響: Adobe ColdFusion（APSB26-82 の対象バージョン）
• 概要: コード生成の不備により、低権限の攻撃者が現在のユーザー権限で任意コードを実行し得ます。悪用にユーザー操作は不要で、スコープが変化します。ColdFusion は本日 CVE-2026-47932（パストラバーサル, CVSS 8.8）も更新されており、Adobe の告知（APSB26-82 / APSB26-64）をまとめて確認することを推奨します。
• 対応: Adobe APSB26-82 の修正版へ更新してください。
• 参考: CVE詳細 / NVD / Adobe APSB26-82

CVE-2026-46595 — Go x/crypto の SSH 認可バイパス

• CVSS: 10.0（Critical, CWE-863 / CWE-303）
• 影響: golang.org/x/crypto（SSH サーバ実装）0.52.0 未満相当
• 概要: 先行の CVE-2024-45337 で修正された認可バイパスの不完全修正です。公開鍵以外のコールバックが渡された場合に送信元アドレス（source-address）検証がスキップされ得ます。golang.org/x/crypto/ssh を使う自作 SSH サーバは広範に存在するため、影響範囲の確認が必要です。
• 修正バージョン: golang.org/x/crypto 0.52.0 以降
• 参考: CVE詳細 / NVD / Go announce

CVE-2026-65600 — Traefik の ReplacePathRegex による認証バイパス（パストラバーサル）

• CVSS: Critical（GHSA 評価）
• 影響: Traefik v2（2.11.52 未満）/ v3（3.6.23 未満）
• 概要: ReplacePathRegex ミドルウェアのパストラバーサルにより、経路ベースの認証を回避され得ます。リバースプロキシ／APIゲートウェイとして境界に配置されることが多く、影響範囲が広い点に注意です。あわせて CVE-2026-71324（クロスユーザ応答汚染）・CVE-2026-67309（Ingress NGINX 系のパストラバーサル）なども公開されています。
• 修正バージョン: 2.11.52 / 3.6.23 以降（関連修正は 2.11.53 / 3.6.24 等）
• 参考: NVD / GHSA-cxjq-mrr5-89rv

CVE-2026-71319 / CVE-2026-71320 — Nuxt の DevTools RCE / SSR RCE

• CVSS: Critical / High（GHSA 評価）
• 影響: @nuxt/devtools（3.3.1 未満）/ nuxt（4.5.1 未満、3.21.10 未満）
• 概要: 71319 は認証なしで Nuxt DevTools の RPC を悪用し、開発者ホスト上で任意コマンドを実行し得るものです。71320 は Server Island の props を経由したランタイムテンプレートインジェクションによる SSR RCE です。Nuxt では本日、島レンダリングに関する DoS（CVE-2026-71321 / CVE-2026-71314）や SSR データ漏えい（CVE-2026-71316）を含む複数の勧告が同時に公開されています。
• 修正バージョン: @nuxt/devtools 3.3.1 以降、nuxt 4.5.1 / 3.21.10 以降
• 参考: NVD 71319 / NVD 71320

CVE-2026-16158 — @fastify/reply-from のクロスアップストリーム・データアクセス

• CVSS: 8.7（High, CWE-441）
• 影響: @fastify/reply-from（npm）8.3.1 以上 12.6.4 未満
• 概要: 内部URLキャッシュのキーを宛先パスと送信元パスの区切りなし連結で生成するため、異なる宛先／送信元の組が同一キーになり得ます。あるアップストリーム向けにキャッシュされたURLが別リクエストで再利用され、アップストリーム間のデータ参照・改変につながり得ます。既定構成が影響を受けます。
• 修正バージョン: 12.6.4 以降（回避策: プラグイン登録時に disableCache: true を指定）
• 参考: CVE詳細 / NVD

CVE-2026-6477 — PostgreSQL libpq のクライアントバッファ上書き

• CVSS: 8.8（High, CWE-242 / CWE-120）
• 影響: PostgreSQL（libpq）18.4 / 17.10 / 16.14 / 15.18 / 14.23 未満
• 概要: lo_export() / lo_read() などが危険な PQfn 経由でサーバ応答をクライアント固定バッファへ書き込むため、悪意あるサーバのスーパーユーザが pg_dump / psql のスタックを上書きし得ます。悪用条件は限定的ですが、信頼できないサーバへ接続するツール運用は要注意です。
• 修正バージョン: 18.4 / 17.10 / 16.14 / 15.18 / 14.23 以降
• 参考: CVE詳細 / NVD

エコシステム別サマリー

• npm: 本日は Nuxt 関連（RCE / DoS / データ漏えい）と vm2、Electron（CVE-2026-70608）、fast-uri（CVE-2026-13676）が目立ちます。npm ls nuxt @nuxt/devtools vm2 electron などで依存を棚卸しし、修正版へ引き上げてください。
• Go: golang.org/x/crypto（CVE-2026-46595）、Traefik、rclone（CVE-2026-71312 等）に High 以上が集中しました。go list -m all で該当モジュールを確認し go get -u を検討してください。
• Maven: jackson-databind（CVE-2026-54513, 多相型検証の許可リストバイパス）や Spinnaker（CVE-2026-44795, 安全でない YAML デシリアライズ）が公開されています。
• PyPI / RubyGems: LMDeploy の SSRF（CVE-2026-63764）、concurrent-ruby のライブロック（CVE-2026-54904）などが確認されています。

JVN 日本語情報

• JVNDB-2026-000108 — 株式会社アイ・エス・ティ製 NetKids iMark の複数の脆弱性（CVE-2026-66344 / CVE-2026-66839, CVSS 6.7）。ファイル検索パスの制御不備（CWE-427）および引用符で囲まれていないファイルパス（CWE-428）に起因します。該当製品を利用する組織は開発者提供の情報を確認してください。
• JVNDB-2026-026961 — 米国 CISA が 2026年8月4日に公表した ICS Advisory / ICS Medical Advisory の日本語まとめ（新規2件）。Acrisure KARR BT and DR-100 ほか、制御システム・医療機器の勧告が対象です。該当設備を運用する組織は元勧告を確認してください。

まとめ

本日の要点は3つです。1つ目は Node.js 用サンドボックス vm2 のサンドボックス脱出クラスタ（CVE-2026-43999 ほか, CVSS 9.9〜10.0）で、信頼できないコードを実行する用途に vm2 を使っている環境は 3.11.0 以降への更新、または isolated-vm 等への移行を優先的に検討してください。2つ目は境界で使われる Traefik の認証バイパス（CVE-2026-65600）と Nuxt の RCE（CVE-2026-71319 / CVE-2026-71320）で、外部公開しているサービスは影響範囲の確認を推奨します。3つ目は Go の x/crypto の SSH 認可バイパス（CVE-2026-46595, CVSS 10.0）で、自作 SSH サーバを含め依存モジュールの棚卸しが有効です。あわせて、GitLab（CVE-2021-22205）や Oracle Java（CVE-2012-1723）などの旧CVE再解析は「該当製品の有無」と「パッチ追随状況」の確認から進めるのが効率的です。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。