本日は NVD で公開・更新された CVE を 200件分析し、うち Critical（CVSS 9.0以上）が 23件です。最注目は境界機器である Progress Kemp LoadMaster の認証なしRCE（CVE-2026-8037, CVSS 9.6）で、CISA の悪用確認済み脆弱性（KEV）カタログに登録され、標的型攻撃も報告されています。あわせて Azure（DNS / Key Vault）の CVSS 10.0 認可欠陥、Dell VSI の root 権限 OS コマンドインジェクション、Linux カーネルのメモリ破壊クラスタなど、基盤に関わる重大な脆弱性が並びました。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件 |
| Critical (9.0+) | 23件 |
| High (7.0-8.9) | 104件 |
| Medium (4.0-6.9) | 56件 |
| Low (0.1-3.9) | 17件 |
| 影響エコシステム | PyPI, npm, Maven, Packagist, RubyGems |
補足: 本日の分析対象には既存CVEの再評価（lastModified 更新）による再掲も含まれます（例: 2024年公開の WatchGuard SSO Agent 系や libxml2 の各CVE）。まずは自環境で稼働中の製品・依存ライブラリに該当するかを確認し、パッチ適用済みのものは対応不要と切り分けてください。
注目の脆弱性
CVE-2026-8037 — Progress Kemp LoadMaster の認証なしリモートコード実行（悪用確認済み）
- CVSS: 9.6（Critical, CWE-77）
- 影響: Progress Kemp LoadMaster（ADC 製品）の API。複数のコマンドエンドポイント
- 概要: API の複数エンドポイントで入力のサニタイズが不十分なため、認証なしの攻撃者が LoadMaster アプライアンス上で任意コマンドを実行できます。ロードバランサという境界機器で成立するため、そのまま内部ネットワークへの侵入口となり得ます。CISA の KEV カタログに登録済みで、標的型攻撃も報告されている点から、優先度は最上位です。
- 修正バージョン / 対応: Progress の 2026年6月セキュリティ速報に従いパッチを適用し、管理APIの外部公開範囲を見直してください。
- 参考: CVE詳細 / NVD / Progress 速報 / CISA KEV
CVE-2026-58275 / CVE-2026-62825 — Azure DNS / Key Vault の認可・認証欠陥（CVSS 10.0）
- CVSS: 10.0（Critical, CWE-862 / CWE-287）
- 影響: Azure DNS（CVE-2026-58275）、Azure Key Vault（CVE-2026-62825）
- 概要: いずれもネットワーク経由で認証・認可の不備を突かれ、権限昇格につながる欠陥です。ただし対象は Microsoft がクラウド側で運用するマネージドサービスであり、通常は Microsoft 側の修正で対処されます。同系統で Azure Red Hat OpenShift の認可欠陥（CVE-2026-56160, CVSS 9.1）も公開されています。
- 対応: Microsoft Security Response Center（MSRC）のガイダンスを確認してください。多くのケースで利用者側の個別対応は不要ですが、影響評価と監査ログの確認を推奨します。
- 参考: NVD / MSRC (Azure DNS)
CVE-2026-67261 — Dell VSI for VMware vSphere Client の root 権限 OS コマンドインジェクション
- CVSS: 9.8（Critical, CWE-78）
- 影響: Dell Virtual Storage Integrator for VMware vSphere Client 10.11.1.0 未満（IAPI コンポーネント）
- 概要: IAPI コンポーネントの OS コマンドインジェクションにより、認証なしのリモート攻撃者が root 権限で任意コマンドを実行し得ます。VSI 環境全体の掌握につながる可能性があります。あわせて同製品の機微情報開示（CVE-2026-54489, CVSS 9.1）も公開されています。
- 修正バージョン: 10.11.1.0 以降へアップデート
- 参考: CVE詳細 / NVD / Dell DSA-2026-335
CVE-2026-15733 — WGDashboard の OS コマンドインジェクション（PoC 公開）
- CVSS: 9.8（Critical, CWE-78）
- 影響: WGDashboard（WireGuard 管理UI）4.2.3 以前
- 概要: 複数箇所の OS コマンドインジェクションにより、認証済みの攻撃者が root 権限で任意コマンドを実行できます。PoC が公開されているため悪用の敷居が下がっています。管理UIをインターネットに公開している構成では特に注意が必要です。
- 修正バージョン / 対応: 修正済みバージョンへの更新と、管理UIのアクセス制限（VPN内・IP制限）を推奨します。
- 参考: CVE詳細 / NVD / WGDashboard
CVE-2026-14537 — Google mcp-toolbox の認可バイパス（レガシーHTTPエンドポイント）
- CVSS: 9.8（Critical, CWE-863）
- 影響: Google mcp-toolbox v1.3.0 / v1.4.0（
--enable-api有効時） - 概要: 直接 HTTP API でツールを呼び出すエンドポイントの認可が不十分で、
--enable-apiフラグ有効時にレガシーHTTPエンドポイント経由でリクエストを送ると、scopeRequired機能で保護されたツールを認証なしで呼び出せます。MCP（Model Context Protocol）系ツールを社内基盤に組み込んでいる場合は影響確認を推奨します。 - 修正バージョン: v1.4.0 より後の修正版へ更新、または
--enable-apiの無効化を検討 - 参考: CVE詳細 / NVD / mcp-toolbox PR #3435
CVE-2025-49794 / CVE-2025-49796 — libxml2 のメモリ破壊（Schematron 処理）
- CVSS: 9.1（Critical, CWE-825 / CWE-125）
- 影響: libxml2（Schematron の
sch:name要素を含む XPath 処理） - 概要: 細工された XML を libxml2 で処理すると、解放後メモリ参照（CVE-2025-49794）やメモリ破壊（CVE-2025-49796）が発生し、クラッシュや未定義動作に至ります。libxml2 は多数の言語・アプリに組み込まれる基盤ライブラリのため、影響範囲が広い点に注意してください。Red Hat 等のディストリビューションから修正が提供されています。
- 修正バージョン / 対応: ディストリ提供の更新（RHSA-2025:10630 ほか）を適用してください。
- 参考: NVD / Red Hat RHSA-2025:10630
CVE-2026-10050 — Eclipse Jetty の Digest 認証バイパス
- CVSS: 9.1（Critical, CWE-173 / CWE-303）
- 影響: Eclipse Jetty（サーバ側 Digest 認証）
- 概要: Digest 認証のサーバ側実装がパスワードを ISO-8859-1 でエンコードするため、非 ISO-8859-1 文字（中国語・キリル文字・ギリシャ文字など）を含むパスワードは
?に置換されます。攻撃者が?のみで構成した Digest ヘッダを送ると、同じ長さで非 ISO-8859-1 文字を含む任意のパスワードにマッチしてしまい、認証を回避され得ます。 - 修正バージョン / 対応: 修正版へ更新のうえ、RFC 7616 準拠（
charset=UTF-8）の Digest 認証への移行を検討してください。 - 参考: CVE詳細 / NVD / GHSA-2fvj-hgj9-j2gr
CVE-2026-32327 / CVE-2026-34191 — Apache APR-util の DoS / SQLインジェクション
- CVSS: 9.1（Critical, CWE-674 / CWE-89）
- 影響: Apache Portable Runtime Utility (APR-util) 1.6.3 以前（SQLi は 1.6.0〜1.6.3）
- 概要:
apr_xml_quote_elem()を用いて信頼できない XML を解析するライブラリ利用者に対するスタック再帰攻撃（CVE-2026-32327）と、apr_dbd_oracleプロバイダ経由の SQL インジェクション（CVE-2026-34191）です。APR-util は Apache HTTP Server などが依存する基盤ライブラリのため、依存関係の確認を推奨します。 - 修正バージョン: 1.6.4 以降へアップデート
- 参考: NVD / Apache mailing list
CVE-2026-64564 ほか — Linux カーネルのメモリ破壊クラスタ
- CVSS: 9.8（Critical）
- 影響: Linux カーネル（各 stable ツリー）
- 概要: SCTP の DEL-IP 処理における解放後メモリ参照（CVE-2026-64564）、IPTFS のフラグ伝播不備によるメモリ破壊（CVE-2026-64566）、SMB クライアントの二重解放（CVE-2026-64597）など、細工されたネットワーク入力でカーネルのメモリ破壊に至る修正が複数公開されています。KVM 関連（CVE-2026-64561 等）も含まれます。
- 修正バージョン / 対応: ディストリビューション提供のカーネル更新を適用してください。
- 参考: NVD / kernel.org commit
CVE-2026-19144 — Google Chrome の解放後メモリ参照（HTML）
- CVSS: 8.8（High, CWE-416）
- 影響: Google Chrome 151.0.7922.109 未満
- 概要: HTML の処理における解放後メモリ参照で、細工された HTML ページによりヒープ破壊を引き起こし得ます。同リリースでは Android の WebAPK サンドボックス脱出（CVE-2026-19143）や Aura/GPU の脆弱性（CVE-2026-19147 等）も修正されています。
- 修正バージョン: 151.0.7922.109 以降へ更新
- 参考: NVD / Chrome Releases
エコシステム別サマリー
- npm: Nuxt の勧告クラスタが目立ちます。ランタイムテンプレート注入による SSR RCE（CVE-2026-71320、
runtimeCompiler有効時）、島レンダリングでの未認証 DoS（CVE-2026-71314）、ペイロードキャッシュ経由のデータ漏えい（CVE-2026-71316）などが 4.5.1 / 3.21.10 で修正されました。加えて Angular i18n の XSS（CVE-2026-69151）、crypto-js のエントロピー不足（CVE-2026-71851）、Hono の複数勧告（DoS / SSR データ漏えい、4.12.34 で修正）も公開されています。npm ls nuxt @angular/core crypto-js honoで棚卸ししてください。 - PyPI: Django のキャッシュミドルウェア系クラスタ（CVE-2026-48588 ほか、5.2.16 / 6.0.7 で修正）が中心で、多くは深刻度 Low〜Moderate です。加えて Keras の安全でないデシリアライズ・パストラバーサル系（CVE-2026-12481 等、3.12.3 / 3.15.0 で修正）、pypdf のメモリ枯渇（6.15.0 で修正）も見られます。
- Maven / Packagist: Apache APR-util（CVE-2026-32327 / CVE-2026-34191）に加え、CodeIgniter4 の Query Builder における SQL インジェクション（CVE-2026-63221）やアップロード検証バイパス（CVE-2026-63223）が 4.7.4 で修正されています。
JVN 日本語情報
- 本日の MyJVN には該当する脆弱性対策情報の掲載はありませんでした。日本語での注意喚起が必要な場合は、上記の悪用確認済み・広く使われる基盤（Progress Kemp LoadMaster / libxml2 / Eclipse Jetty / Linux カーネル等）を優先的に確認してください。
まとめ
本日の要点は3つです。1つ目は実際に悪用が確認されている境界機器の脆弱性、Progress Kemp LoadMaster の認証なしRCE（CVE-2026-8037, CVSS 9.6）で、CISA KEV 登録・標的型攻撃の報告もあるため、パッチ適用と管理APIの公開範囲見直しを最優先で進めてください。2つ目は Dell VSI（CVE-2026-67261）や WGDashboard（CVE-2026-15733）のように、管理系コンポーネントを外部公開している構成で成立する root 権限 RCE で、アクセス制限と更新の両面で対処してください。3つ目は libxml2・Eclipse Jetty・Linux カーネル・Apache APR-util といった基盤ライブラリ／OS の脆弱性で、依存関係の棚卸しとディストリ提供の更新への追随を進めてください。Azure 系（CVSS 10.0）は多くがクラウド側で対処されますが、影響評価と監査は行うことを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。