つみかさね

【セキュリティ日報】KubeVirtにCVSS9.9のクラスタ乗っ取り脆弱性ほか 121件

2026-08-10データソース: NVD, OSV, GHSA, JVN

対応判断サマリー

high対応必須
KubeVirt virt-handler シンボリックリンク検証不備
CVE-2026-7374
Red Hat エラータ適用で修正版へ更新
high対応必須
Linux kernel SCTP 解放済みメモリ参照
CVE-2026-64564
ディストリビュータ提供のカーネル更新を適用
high対応必須
D-Link DWR-M961 コマンドインジェクション（多数）
CVE-2026-71945
修正ファームウェアへ更新・管理画面を非公開に
high対応必須
MSI Radix AXE6600 コマンドインジェクション（多数）
CVE-2026-71983
サポートページを確認しファーム更新
high対応必須
Konnectivity プロキシの認証欠如
CVE-2026-16242
Red Hat エラータ適用
high推奨
Microsoft Excel 解放済みメモリ参照（RCE）
CVE-2026-62870
月例更新を適用・不審ファイルに注意
high推奨
Keycloak 無効アカウント検証不備
CVE-2026-1609
26.5.3 へアップデート
high推奨
Zephyr hawkBit クライアントのヒープ書き込み
CVE-2026-10849
修正コミット取り込み版へ更新
high推奨
Nuxt server island テンプレートインジェクションRCE
CVE-2026-71320
Nuxt 3.21.10 / 4.5.1 へ更新
high推奨
Angular i18n の event-handler 属性経由XSS
CVE-2026-69151
@angular/core 22.0.1 / 21.2.19 / 20.3.27 へ更新
CVENVD脆弱性KubeVirtLinuxNuxtDjangoルーター

本日は新規・更新CVEが121件公開され、うちCritical（9.0以上）が29件と多めです。最も深刻なのは CVE-2026-7374（CVSS 9.9）で、KubeVirt環境でのノード／クラスタ乗っ取りにつながります。加えてD-LinkおよびMSIのルーターに多数のCriticalが集中しており、該当機器の利用者は早急な確認を推奨します。

本日の概要

指標数値
新規・更新CVE121件
Critical (9.0+)29件
High (7.0-8.9)22件
Medium (4.0-6.9)46件
Low / 未採点2件 / 22件
影響エコシステムnpm, PyPI

Criticalの内訳は、D-Link DWR-M961（約14件）とMSI Radix AXE6600（約11件）のネットワーク機器向けコマンドインジェクション／バッファオーバーフローが大半を占めます。これらは個別性が低いため、本日報では代表例と、ソフトウェア基盤に影響する脆弱性を中心に解説します。

Critical / High の詳細

CVE-2026-7374：KubeVirt virt-handler のシンボリックリンク検証不備（CVSS 9.9）

  • CVSS: 9.9 / Critical（CWE-59: Link Following）
  • 影響: KubeVirt（OpenShift Virtualization 等）
  • 概要: 単一のnamespaceで編集権限を持つ認証済みユーザーが、仮想マシンのコンソールソケットを細工したシンボリックリンクに差し替えることで、virt-handlerの特権接続を乗っ取れます。結果としてホスト上の任意のUnixソケット（コンテナランタイム CRI-O 等）へアクセスでき、ノード全体、ひいてはクラスタ全体の掌握につながる可能性があります。
  • 対策: Red Hat のエラータ（RHSA-2026:20720 ほか）で修正済み。該当バージョンへのアップデートを推奨します。
  • 詳細: 個別ページ / NVD

CVE-2026-64564：Linux kernel SCTP の解放済みメモリ参照（CVSS 9.8）

  • CVSS: 9.8 / Critical
  • 影響: Linux kernel（SCTP の ASCONF/DEL-IP 処理）
  • 概要: SCTPのASCONFチャンク処理において、DEL-IP処理中に処理対象のトランスポートが解放され、以降の処理で解放済みメモリを再利用してしまう問題です。association の整合性が崩れ、メモリ破壊やクラッシュにつながる可能性があります。
  • 対策: 各安定版で修正コミットが取り込まれています。ディストリビュータ提供のカーネル更新を適用してください。
  • 詳細: 個別ページ / NVD
  • CVSS: 9.8 / Critical（CWE-78/CWE-120）
  • 影響: D-Link DWR-M961（ファームウェア 1.1.5_C1_202607071108 未満）、MSI Radix AXE6600（ファームウェア v781521）
  • 概要: 管理インターフェースの各種パラメータに対する入力検証が不十分で、リモートの攻撃者が root 権限でのコマンド実行を行える可能性があります。D-Link 系は CVE-2026-71945〜71958、MSI 系は CVE-2026-71983〜71993 として多数採番されています。
  • 対策: D-Link は修正ファームウェアが案内されています（SAP10512）。MSI は各機器のサポートページを確認してください。管理画面をインターネットに露出させない運用も併せて推奨します。

CVE-2026-16242：Konnectivity プロキシの認証欠如（CVSS 9.4）

  • CVSS: 9.4 / Critical（CWE-306: 認証の欠如）
  • 影響: OpenShift Hosted Control Planes の Konnectivity proxy-server
  • 概要: エージェント向けリスナーがクライアント証明書を検証しない構成で起動されており、到達可能な攻撃者が未認証のエージェントとしてルーティングプールに参加できます。コントロールプレーンとノード間の通信を傍受・改ざん・遮断される恐れがあります。
  • 対策: Red Hat エラータ（RHSA-2026:46885 ほか）で修正済み。詳細: 個別ページ / NVD

CVE-2026-62870：Microsoft Excel の解放済みメモリ参照（CVSS 8.8）

  • CVSS: 8.8 / High（CWE-416: Use After Free）
  • 影響: Microsoft Office Excel
  • 概要: 細工されたファイルを開くことで、ネットワーク経由の攻撃者が任意コードを実行できる可能性があります。広く利用されているため、不審なファイルの取り扱いに注意してください。
  • 対策: Microsoft の月例更新で修正。詳細: 個別ページ / MSRC

CVE-2026-1609：Keycloak の無効アカウント検証不備（CVSS 8.1）

  • CVSS: 8.1 / High（CWE-284: アクセス制御不備）
  • 影響: Keycloak（JWT authorization grant プレビュー機能が有効な場合）
  • 概要: JWT authorization grant 処理でユーザーの「無効化状態」が検証されず、無効化済みユーザー向けのJWTを取得できてしまう問題です。プレビュー機能を有効にしている場合に影響します。
  • 対策: Keycloak 26.5.3 で修正。詳細: 個別ページ / リリース

CVE-2026-10849：Zephyr hawkBit クライアントのヒープ書き込み（CVSS 8.2）

  • CVSS: 8.2 / High（CWE-122/CWE-787）
  • 影響: Zephyr RTOS（subsys/mgmt/hawkbit の hawkBit 更新クライアント）
  • 概要: 更新サーバーからのHTTPレスポンス本文をヒープバッファに蓄積する際、終端NUL用の領域が確保されず、境界外への1バイト書き込みが発生します。悪意ある／中間者的な更新サーバーによりヒープ破壊（DoS）を引き起こされる可能性があります。
  • 対策: 修正コミット（59d7ab5）が取り込まれています。GHSA-39h3-7phx-pwhv

エコシステム別サマリー（npm / PyPI）

npm

  • Nuxt: 複数のアドバイザリが公開。特に CVE-2026-71320 は runtimeCompiler: true（既定は無効）かつ server island を利用する構成で、テンプレートインジェクションによるサーバーサイドRCEに至ります。ほかにも未認証のDoS（CVE-2026-71314 / CVE-2026-71321）、ルートルールの大文字小文字取り違えによる認可バイパス（CVE-2026-71315）などが含まれます。Nuxt 3.21.10 / 4.5.1 で修正されています。
  • Angular: CVE-2026-69151（GHSA-jj27-h5hq-8x99）— i18n パイプラインで i18n-on* 属性を介したXSSが可能。@angular/compiler / @angular/core の 22.0.1 / 21.2.19 / 20.3.27 で修正。
  • node-sql-query: CVE-2026-19351 — SelectQuery にSQLインジェクション。0.1.29 で修正。

PyPI

  • Django: キャッシュミドルウェア関連の情報漏えい（CVE-2026-35193 / CVE-2026-48587 / CVE-2026-48588 / CVE-2026-8404）、GDALRaster のヒープ過剰読み取り（CVE-2026-53877）、DomainNameValidator の改行許容によるヘッダーインジェクション（CVE-2026-53878）、署名付きクッキーのソルト衝突（CVE-2026-6873）など計6件。いずれも深刻度は中程度ですが、5.2.15 / 5.2.16 / 6.0.6 / 6.0.7 への更新を推奨します。

JVN 日本語情報

本日のMyJVNデータには該当する脆弱性対策情報はありませんでした。

まとめ

本日はCriticalが29件と多く、その大半はD-LinkおよびMSIのネットワーク機器に対するコマンドインジェクションです。該当機器を利用している場合は、修正ファームウェアの適用と管理画面の露出防止を優先してください。基盤ソフトウェアでは、KubeVirt（CVSS 9.9）のクラスタ乗っ取りと Linux kernel（CVSS 9.8）が最重要です。Webフレームワーク側では Nuxt のサーバーサイドRCE と Angular のXSSが公開されているため、該当バージョンの利用者はアップデートを検討してください。全体として「基盤・機器・アプリ」の各層に注意が必要な一日です。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

Xでシェアはてブ
データソース: NVD API 2.0 (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
"This product uses the NVD API but is not endorsed or certified by the NVD."
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。