本日はNVDで200件のCVEが更新され、うちCriticalが5件・Highが138件でした。エコシステム側では Nuxt にサーバーサイドRCEや認証バイパスを含む脆弱性群、Django に複数の情報漏えい系、npmの広く使われるライブラリ fast-uri にパストラバーサルが公開されています。ビルドツール Nx の不正パッケージ公開（サプライチェーン）も要注意です。
本日の概要
| 指標 | 数値 |
|---|---|
| 更新CVE（NVD） | 200件 |
| Critical (9.0+) | 5件 |
| High (7.0-8.9) | 138件 |
| Medium (4.0-6.9) | 57件 |
| GitHub Advisory 更新 | 581件（Critical 24 / High 58） |
| OSV 脆弱性 | 21件（npm 7 / PyPI 14） |
| 影響エコシステム | npm, PyPI |
NVDで更新された200件の大半は、2021年公開のMicrosoft/Windows製品CVE（Windows DNS ServerやExchange等）が一括で再評価されたものです。過去に対応済みであれば新たな作業は不要ですが、未適用の環境が残っていないかは確認しておくと安全です。以下では、本日新たに注目すべきエコシステム側の脆弱性を中心に解説します。
Critical / High 脆弱性の詳細
CVE-2026-71315 Nuxt Server Islands の認証バイパス
- CVSS: 8.2（High） / AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- 影響: Nuxt（
nuxt, npm） 修正版 < 4.5.1 / < 3.21.10 - 大文字小文字が混在したパスに対してルートルールが黙って無視され、
appMiddlewareによる認証ゲートを回避できてしまう問題です。過去のCVEに対する修正が不完全だったことに起因します。認証で保護しているはずのルートに未認証でアクセスされる恐れがあります。 - 対策: Nuxt 4.5.1 または 3.21.10 以降へアップデートしてください。
CVE-2026-71320 Nuxt サーバーサイド リモートコード実行
- CVSS: 8.1（High） / AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- 影響: Nuxt（
nuxt, npm） 修正版 < 4.5.1 / < 3.21.10 - Server Islands のprops経由でテンプレートが差し込まれ、サーバー側で任意コードが実行され得る脆弱性です。
vue.runtimeCompiler: true（デフォルト無効）を有効化し、propsを動的コンポーネント解決に渡している構成が条件となります。該当構成では影響が大きいため優先的な対応を推奨します。 - 対策: Nuxt 4.5.1 / 3.21.10 以降へアップデート。
runtimeCompilerを必要としない場合は無効のまま運用してください。
CVE-2025-10894 Nx の不正パッケージ公開（サプライチェーン）
- 深刻度: Critical（GitHub Advisory）
- 影響:
nx,@nx/devkit,@nx/js,@nx/workspace,@nx/key,@nx/enterprise-cloudほか（npm） - Nx関連パッケージの悪意あるバージョンがnpmに公開された事案です。CI/CDやローカル開発環境で不正バージョンを取り込んだ場合、認証情報の窃取などにつながる恐れがあります。
- 対策: インストール済みバージョンを確認し、公表された不正バージョンを使用していないか点検してください。該当が疑われる場合はトークン・認証情報のローテーションを検討してください。
CVE-2026-67426 flyto-core の未認証SSRF
- 深刻度: Critical（GitHub Advisory）
- 影響:
flyto-core（PyPI） 修正版 < 2.26.7 - 認証なしで到達可能なエンドポイントの
callback_urlを悪用したSSRFにより、内部のrunner-secret（内部シークレット）が外部へ持ち出される恐れがあります。 - 対策: flyto-core 2.26.7 以降へアップデートしてください。
CVE-2026-6321 / CVE-2026-6322 fast-uri のパストラバーサル・ホスト混同
- 深刻度: High（GitHub Advisory）
- 影響:
fast-uri（npm） 修正版 < 3.1.1 / < 3.1.2（2系は < 2.4.1） - fast-uri はURLパース用の軽量ライブラリで、Fastifyやajvなど多くのパッケージから間接的に依存されています。パーセントエンコードされたドットセグメントによるパストラバーサル（CVE-2026-6321）と、authority区切り文字の混同によるホスト確認回避（CVE-2026-6322）が報告されています。直接使っていなくても依存ツリーに含まれるケースが多い点に注意してください。
- 対策:
npm ls fast-uriで依存関係を確認し、3.1.2 / 2.4.1 以降へ更新してください。
CVE-2026-71316 Nuxt ランタイムキャッシュ経由のSSRデータ漏えい
- CVSS: 7.5（High） / AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- 影響: Nuxt（
nuxt, npm） 修正版 < 4.5.1 - ランタイムのSSRキャッシュ処理が原因で、別ユーザーのSSR（サーバーサイドレンダリング）データが他ユーザーや未認証クライアントに開示される恐れがあります。ユーザー固有情報をSSRで扱う場合に影響が大きくなります。
- 対策: Nuxt 4.5.1 以降へアップデートしてください。
CVE-2026-71321 / CVE-2026-71314 Nuxt Server Islands のDoS
- CVSS: いずれも 7.5（High） / A:H
- 影響: Nuxt（
nuxt, npm） 修正版 < 4.5.1 / < 3.21.10 - ハッシュ検証前に本文をパース・ハッシュ化することによるCPU枯渇（CVE-2026-71321）と、island描画時の
v-for無制限展開によるメモリ枯渇（CVE-2026-71314）で、未認証の攻撃者がサービス停止を狙える問題です。 - 対策: Nuxt 4.5.1 / 3.21.10 以降へアップデートしてください。
エコシステム別サマリー
- npm: 本日はNuxt関連（Server Islands由来のRCE・認証バイパス・DoS・SSRデータ漏えい）が集中しました。加えて広く依存される fast-uri のパストラバーサル、ビルドツール Nx の不正パッケージ公開があり、直接依存だけでなく間接依存の点検が重要です。
- PyPI: Django に複数の脆弱性が公開されました。キャッシュミドルウェアによるプライベート応答の開示（CVE-2026-48588、CVE-2026-8404、CVE-2026-35193、CVE-2026-48587）、
DomainNameValidatorの改行許容によるHTTPヘッダインジェクション（CVE-2026-53878）、GDALRasterのヒープ過読み（CVE-2026-53877）などで、多くはLow〜Mediumですが、修正版 5.2.16 / 6.0.7（一部 6.0.6）が出ています。まとめてのアップデートを推奨します。このほか未認証SSRFの flyto-core（PyPI, Critical）も要確認です。
JVN 日本語情報
- JVNDB-2026-000109（CVE-2026-13133）: LINE PC版（Windows版）インストーラのDLL読み込みの脆弱性 — CVSS 7.8（High）。ファイル検索パスの制御不備（CWE-427）により、細工されたDLLを読み込ませて意図しないコードを実行させられる恐れがあります。詳細は 個別ページ を参照してください。修正版の適用を推奨します。
まとめ
本日のハイライトは、広く使われるフルスタックフレームワーク Nuxt のServer Islands由来の脆弱性群です。特にサーバーサイドRCE（CVSS 8.1）と認証バイパス（CVSS 8.2）は影響が大きく、Server Islandsを本番運用している場合は 4.5.1 / 3.21.10 への早めのアップデートを推奨します。
サプライチェーン面では Nx の不正パッケージ公開と、依存ツリーに広く含まれる fast-uri のパストラバーサルが要注意です。npm ls で依存を確認し、必要に応じて更新・トークンローテーションを検討してください。Django利用者は複数CVEをまとめて解消できる最新パッチの適用を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。