本日は公開・更新されたCVEが220件で、うちCritical（9.0以上）が36件と多めです。最も深刻なのはCVE-2026-49261（MariaDB、CVSS 10.0）で、Galeraクラスタ構成の一部で任意のOSコマンドが実行され得ます。あわせてCISA KEV（悪用が確認された脆弱性カタログ）掲載のProgress Kemp LoadMasterやWatchGuard Firebox、PoC公開済みのFFmpegも含まれており、外部公開機器・OSSライブラリの双方で早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 公開・更新CVE | 220件 |
| Critical (9.0+) | 36件 |
| High (7.0-8.9) | 119件 |
| Medium (4.0-6.9) | 49件 |
| Low / 未評価 | 16件 |
| 影響エコシステム | PyPI, npm, Go |
Critical / High 脆弱性の詳細
CVE-2026-49261：MariaDB Galera のOSコマンドインジェクション
- CVSS: 10.0（Critical） / CWE-78
- 影響: MariaDB 10.6.1〜10.6.26、10.11.1〜10.11.17、11.4.1〜11.4.11、11.8.1〜11.8.7、12.3.1（
wsrep_notify_cmd有効時） - Galeraクラスタで
wsrep_notify_cmdが設定されている場合、参加（joiner）ノードの名前に埋め込まれたシェルコマンドが実行されます。 - 修正: 10.6.27 / 10.11.18 / 11.4.12 / 11.8.8 / 12.3.2。回避策として
wsrep_notify_cmdの無効化が案内されています。
CVE-2026-22797：OpenStack keystonemiddleware の認証バイパス
- CVSS: 9.9（Critical） / CWE-290
- 影響: keystonemiddleware 10.5〜10.7（< 10.7.2）、10.8、10.9（< 10.9.1）、10.10〜10.12（< 10.12.1）の
external_oauth2_tokenミドルウェア利用時 - 認証ヘッダのサニタイズ不備により、
X-RolesやX-User-Idなどを偽装して権限昇格・なりすましが可能になります。 - 修正: 10.7.2 / 10.9.1 / 10.12.1。
CVE-2026-8091：Firefox / Thunderbird のメモリ破壊
- CVSS: 9.8（Critical） / CWE-754, CWE-805
- Audio/Video再生コンポーネントの境界条件の誤りに起因する脆弱性です。
- 修正: Firefox 150 / Thunderbird 150 / Firefox ESR 140.10.1 / Thunderbird 140.10.1 / Firefox ESR 115.35.2。クライアント端末の自動更新状況を確認してください。
CVE-2026-9698：Perl DBI のバッファオーバーフロー
- CVSS: 9.8（Critical） / CWE-787
- 影響: DBI < 1.648（Perl）
RaiseError等の設定時、エラーメッセージが長さ制限のない200バイトバッファに書き込まれ、エラー文言を操作できる攻撃者がオーバーフローを誘発できます。- 修正: DBI 1.648 以降。
CVE-2026-8037：Progress Kemp LoadMaster の未認証RCE（CISA KEV）
- CVSS: 9.6（Critical） / CWE-77
- LoadMaster（ADC製品）のAPIで未認証の攻撃者が任意コマンドを実行できます。CISA KEVに掲載され、PoCも公開されています。
- ベンダー掲示のセキュリティ速報に従い、速やかにパッチ適用を推奨します。
CVE-2026-42880：Argo CD の Secret 情報漏えい
- CVSS: 9.6（Critical） / CWE-200
- 影響: Argo CD 3.2.0〜（< 3.2.11）、3.3.0〜（< 3.3.9）
- ServerSideDiff エンドポイントの認可・マスキング不備により、読み取り専用権限のユーザーがetcd上のKubernetes Secretを平文で取得できます。
- 修正: 3.2.11 / 3.3.9。
CVE-2026-39821：Go idna（golang.org/x/net）の権限昇格
- CVSS: 9.6（Critical） / CWE-1289
ToASCII/ToUnicodeがPunycodeラベルを誤って受理し、ホスト名ベースの権限チェックを回避され得ます。- 修正: golang.org/x/net の idna パッケージを修正版へ更新（GO-2026-5026）。
CVE-2026-33186：gRPC-Go の認可バイパス
- CVSS: 9.1（Critical） / CWE-285
- 影響: gRPC-Go < 1.79.3
- HTTP/2
:pathの先頭スラッシュ欠落を許容していたため、パスベースの認可（grpc/authz等）のdenyルールを回避される可能性があります。 - 修正: 1.79.3。バリデーション用インターセプタ導入による緩和も可能です。
CVE-2026-48746：vLLM の APIキー認証バイパス
- CVSS: 9.1（Critical） / CWE-444
- 影響: vLLM 0.3.0〜（< 0.22.0）
- ASGIサーバとstarletteの信頼関係に起因し、
--api-keyを設定していても認証を回避してOpenAI互換APIを利用され得ます。 - 修正: 0.22.0。
エコシステム別サマリー
- PyPI: Django に7件のセキュリティ修正（キャッシュミドルウェアによる私的レスポンスの漏えい、署名クッキーのソルト衝突など）。多くはCVSS Medium帯ですが、キャッシュ配信構成では影響を確認し、5.2.16 / 6.0.7 系への更新を推奨します。OpenStack Ironic Python Agent（CVE-2026-43003）も対象です。
- npm: Nuxt に複数のアドバイザリ。サーバーアイランド（
/__nuxt_island/）経由の未認証DoSやコンポーネント実体化、runtimeCompiler有効時のSSRF/RCE（CVE-2026-71320）などで、Nuxt 3.21.10 / 4.5.1 で修正されています。 - Go: golang.org/x/crypto のSSH関連（CVE-2026-39830 / 39832）や x/net の idna 問題が並んでおり、依存モジュールの更新を推奨します。
JVN 日本語情報
- JVNDB-2026-000109（CVE-2026-13133）: LINE PC版（Windows版）のインストーラにDLL読み込みの脆弱性（CVSS 7.8 / CWE-427）。信頼できない検索パスから不正なDLLを読み込む可能性があり、最新版インストーラの利用を推奨します。
まとめ
本日はCriticalが36件と多く、特にMariaDB（CVSS 10.0）とOpenStack keystonemiddleware（9.9）が目を引きます。加えてProgress Kemp LoadMasterやWatchGuard FireboxはCISA KEV掲載で実際の悪用が確認されており、境界機器を運用している場合は最優先で対応状況を確認してください。
OSS側ではArgo CD・gRPC-Go・vLLM・Go標準ライブラリ（x/net, x/crypto）といった基盤コンポーネントに重大な認可・認証の不備が集中しています。いずれもパッチが提供済みのため、影響バージョンの棚卸しとアップデートを計画的に進めることを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。