【セキュリティ日報】axiosのSSRF CVE-2025-62718ほかCritical 28件

本日は NVD で公開・更新された CVE を 200件分析し、うち Critical（CVSS 9.0以上）が 28件です。最注目は Node.js／ブラウザの双方で広く使われる HTTP クライアント axios の SSRF（CVE-2025-62718, CVSS 9.9）で、NO_PROXY によるループバック保護をすり抜けて内部サービスへ到達し得ます。あわせて rclone の認証なし RCE（CVE-2026-49980）、Apache CXF の XXE（CVE-2026-49875）など、基盤ライブラリ／ミドルウェアの重大な脆弱性が並びました。

本日の概要

補足: 本日の分析対象には既存CVEの再評価（lastModified 更新）や旧CVEの再解析も含まれます（例: CVE-2019-18184 の Crestron 機器 RCE）。まずは自環境で稼働中の製品・依存ライブラリに該当するかを確認し、パッチ適用済みのものは対応不要と切り分けてください。NVD 上の当該ウィンドウの総ヒット件数は 809件でした。

注目の脆弱性

CVE-2025-62718 — axios の NO_PROXY 回避による SSRF / プロキシバイパス

• CVSS: 9.9（Critical, CWE-441 / CWE-918 / CWE-1289）
• 影響: axios（npm）1.15.0 未満、および 0.x 系 0.31.0 未満
• 概要: NO_PROXY ルールを判定する際のホスト名正規化が不十分で、localhost.（末尾ドット付き）や [::1]（IPv6 リテラル）といったループバック表記が NO_PROXY マッチをすり抜け、設定したプロキシを経由してしまいます。これにより、本来プロキシから保護したいループバック／内部サービスへ到達され得るプロキシバイパスおよび SSRF につながります。
• 修正バージョン: 1.15.0 以降、0.31.0 以降
• 参考: CVE詳細 / NVD / axios PR #10661

CVE-2026-49980 — rclone rcd の認証なしリモートコード実行

• CVSS: 9.8（Critical, CWE-306 / CWE-78）
• 影響: rclone 1.46.0 以上 1.74.3 未満（rclone rcd --rc-serve 使用時）
• 概要: rclone rcd --rc-serve が /[remote:path]/object 形式のパスに対する認証なしの GET/HEAD リクエストを受け付けます。URL から解釈された remote 値が通常のバックエンド初期化に渡され、インラインの remote 設定でローカルコマンドを実行するバックエンドオプションを指定できるため、単一の認証なしリクエストで rclone プロセス権限のコマンド実行に至ります。
• 修正バージョン: 1.74.3 以降
• 参考: CVE詳細 / NVD / GHSA-qw24-gh76-8rvv

CVE-2026-49875 — Apache CXF の XXE（XML外部実体参照）

• CVSS: 9.8（Critical, CWE-611）
• 影響: Apache CXF（EndpointReferenceUtils / W3CMultiSchemaFactory 使用系）
• 概要: 上記クラスが JAXP のハードニング設定なしに SAXParserFactory を構築しており、帯域外（OOB）の外部実体解決を許してしまいます。SOAP/Web サービス基盤として広く使われるため、外部からの XML を処理する構成では影響範囲の確認が必要です。あわせて OAuthRequestFilter の逆転した IP 判定（CVE-2026-50628, CVSS 9.8）や、添付ヘッダ数の無制限（CVE-2026-50645）も同時に公開されています。
• 修正バージョン: 4.2.2 / 4.1.7 / 3.6.12 以降
• 参考: CVE詳細 / NVD / Apache mailing list

CVE-2026-6235 — Sendmachine for WordPress の認可バイパス

• CVSS: 9.8（Critical, CWE-862）
• 影響: Sendmachine for WordPress プラグイン 1.0.20 以前
• 概要: manage_admin_requests 関数で権限確認が不十分なため、認証なしの攻撃者がプラグインの SMTP 設定を上書きできます。これにより、パスワードリセットメールを含むサイトからの送信メールを傍受され得ます。WordPress プラグイン起点の実害が大きいケースです。
• 修正バージョン: 1.0.20 より後のバージョンへ更新
• 参考: CVE詳細 / NVD / GHSA-4x86-c4g3-px96

CVE-2026-61041 — Oracle Demantra Demand Management の権限昇格

• CVSS: 9.9（Critical, CWE-284）
• 影響: Oracle Demantra Demand Management 12.2.3〜12.2.15
• 概要: 低権限の攻撃者が HTTP 経由のネットワークアクセスで製品を掌握し得ます。スコープ変化（S:C）を伴い、他製品にも影響が波及し得る点が CVSS 9.9 の要因です。Oracle の四半期パッチ（2026年7月 CPU）で修正されています。同 CPU では CVE-2026-62516（SQLインジェクション, CVSS 8.8）なども公開されています。
• 対応: Oracle Critical Patch Update（2026年7月）を適用してください。
• 参考: NVD / Oracle CPU Jul 2026

CVE-2026-33815 — Go github.com/jackc/pgx/v5 のメモリ安全性

• CVSS: 9.8（Critical, CWE-787）
• 影響: github.com/jackc/pgx/v5
• 概要: 広く使われる Go 製 PostgreSQL ドライバ pgx v5 のメモリ安全性の脆弱性（境界外書き込み）です。NVD の記述は簡潔ですが、Go 脆弱性DB（GO-2026-4771）と Red Hat の Errata で追跡されています。go list -m all で pgx の利用有無を確認し、修正版へ引き上げてください。
• 修正バージョン: GO-2026-4771 の記載に従い修正版へ更新
• 参考: NVD / GO-2026-4771

CVE-2026-66032 — libssh2 の SFTP セッション二重解放

• CVSS: 8.8（High, CWE-415）
• 影響: libssh2 1.11.1 以前（commit 5e47761 で修正）
• 概要: sftp_open()（src/sftp.c）に二重解放の脆弱性があり、悪意ある SSH サーバが、SFTP セッションを開く認証済みクライアントのヒープを破壊し得ます。libssh2 は多数のツール・言語バインディングに組み込まれるため、信頼できないサーバへ接続する構成では注意が必要です。
• 修正バージョン: commit 5e47761 を含むリリースへ更新
• 参考: NVD / VulnCheck advisory

CVE-2026-5674 — PipeWire の PulseAudio 互換層によるサンドボックス脱出

• CVSS: 8.8（High, CWE-427）
• 影響: PipeWire（PulseAudio 互換層）
• 概要: PipeWire の PulseAudio 互換レイヤを悪用することで、Flatpak などのサンドボックス化アプリからの脱出につながり得ます。最小権限しか持たないサンドボックス内のアプリが影響します。Red Hat の Errata（RHSA-2026:47082 ほか）で修正が提供されています。
• 対応: ディストリビューション提供の更新（Red Hat 系は RHSA-2026:47082 等）を適用してください。
• 参考: NVD / Red Hat CVE-2026-5674

CVE-2026-66036 ほか — FFmpeg のヒープ破壊クラスタ

• CVSS: 8.8（High, CWE-122 / CWE-190）
• 影響: FFmpeg 8.1.2 以前
• 概要: vf_hqdn3d フィルタ（CVE-2026-66036）、MACE6 音声デコーダ（CVE-2026-66039）、PNG/APNG エンコーダ（CVE-2026-66040）など、細工されたメディアの処理でヒープ破壊に至る脆弱性が複数公開されています。ユーザー投稿メディアを FFmpeg で変換するサービスは影響確認を推奨します。
• 修正バージョン: 各コミット（5d7112c ほか）を含むリリースへ更新
• 参考: NVD / VulnCheck advisory

エコシステム別サマリー

• npm: 本日の OSV では Nuxt 関連の勧告クラスタ（SSR RCE の CVE-2026-71320、CPU枯渇 DoS、SSR データ漏えいなど）と Angular i18n の XSS（CVE-2026-69151）が確認されています。加えて axios、PDF.js（GHSA-hq66-cqwq-w95j）、js-yaml の二次関数的CPU消費、Nx の Zip-Slip なども公開されました。npm ls axios nuxt pdfjs-dist js-yaml で棚卸ししてください。
• Go: pgx v5（CVE-2026-33815）、rclone（CVE-2026-49980）、go-git のシンボリックリンク追従（GHSA-hc8v-wwc9-vgxm）に High 以上が集中しました。go list -m all で該当モジュールを確認してください。
• Maven: Apache CXF（CVE-2026-49875 ほか）、Micrometer の HTTP/gRPC 計装 DoS（CVE-2026-40984 / CVE-2026-40983）が公開されています。
• PyPI / Packagist: GitPython の複数の git オプション注入（RCE 系）、Craft CMS の認証済み RCE クラスタ、league/commonmark の DoS 系が目立ちます。該当フレームワーク利用者は修正版への更新を検討してください。

JVN 日本語情報

• 本日の MyJVN には該当する脆弱性対策情報の掲載はありませんでした。日本語での注意喚起が必要な場合は、上記の広く使われる基盤（axios / rclone / Apache CXF / libssh2 等）を優先的に確認してください。

まとめ

本日の要点は3つです。1つ目は HTTP クライアント axios の SSRF（CVE-2025-62718, CVSS 9.9）で、NO_PROXY によるループバック保護を前提に内部サービスへアクセスしている構成は、1.15.0（0.x 系は 0.31.0）以降への更新を優先的に検討してください。2つ目は認証なしで悪用され得る rclone の RCE（CVE-2026-49980）で、rclone rcd --rc-serve を公開している運用は即時の更新（1.74.3 以降）または非公開化を推奨します。3つ目は Apache CXF の XXE（CVE-2026-49875）をはじめとする基盤ライブラリ／ミドルウェアの脆弱性で、依存関係の棚卸しと修正版への追随を進めてください。旧CVEの再解析（Crestron 機器の RCE など）は「該当製品の有無」の確認から始めるのが効率的です。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。