本日は Nuxt（Node.js フレームワーク）に サーバーサイド RCE を含む High 5件 が集中して公開されました。真の Critical（新規9.0+）はありませんが、広く使われるフレームワークへの深刻な脆弱性が並んだ点に注意が必要です。Django（情報漏えい系7件）、Microsoft SharePoint Server（High 3件）も更新されています。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 更新エントリ | 1,682件（多くは既存CVEの再評価） |
| 分析対象（上位200件）Critical (9.0+) | 14件 |
| 分析対象（上位200件）High (7.0-8.9) | 100件 |
| 分析対象（上位200件）Medium (4.0-6.9) | 60件 |
| OSV 新規Advisory | 21件（npm 7 / PyPI 14） |
| GHSA 更新 | 1,048件 |
| JVN（日本語） | 14件（High 3 / Medium 11） |
| 影響エコシステム | npm, PyPI |
NVD の本日フィード（1,682件）は Log4Shell（CVE-2021-44228）や Cisco ASA 系など過去CVEの再評価が大半です。以下では実運用への影響が大きい新規の査読済みAdvisoryを中心に解説します。
Critical / High 脆弱性の詳細解説
CVE-2026-71320：Nuxt Server Island のテンプレートインジェクションによるサーバーサイド RCE
- CVSS: 8.1（High） /
AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H - 影響:
nuxt< 3.21.10（3系）、nuxt< 4.5.1（4系） - 概要:
vue.runtimeCompiler: trueを有効化し、サーバーアイランドの props を動的コンポーネント解決（<component :is>等）に渡している構成で、/__nuxt_island/エンドポイント経由のリモートコード実行につながります。デフォルト構成（runtimeCompiler無効）では該当しません。 - 修正: 3.21.10 / 4.5.1 へアップデート。詳細は CVE-2026-71320 を参照。
CVE-2026-71315：Nuxt の route rules 認証ゲートをバイパス（大文字パス）
- CVSS: 8.2（High） /
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N - 影響:
nuxt< 3.21.10、nuxt< 4.5.1 - 概要: route rules は既定で大文字小文字を区別せずマッチしますが、キー（例:
/Admin）が大文字を含むとappMiddlewareによる認証ゲートが黙って外れる場合があります。CVE-2026-53721 の修正が不完全だったための追加修正です。 - 修正: 3.21.10 / 4.5.1 へアップデート。詳細は CVE-2026-71315。
CVE-2026-71316：Nuxt のペイロードキャッシュが他ユーザーの SSR データを開示
- CVSS: 7.5（High） /
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - 影響:
nuxt< 4.5.1（4系のみ） - 概要:
routeRulesのcache/swr/isrを有効にしたページで、SSR ペイロードが Cookie や認可情報を鍵に含めずに共有キャッシュへ保存され、別ユーザーや未認証クライアントに返る可能性があります。 - 修正: 4.5.1 へアップデート。詳細は CVE-2026-71316。
CVE-2026-71321：Nuxt island エンドポイントの無認証 CPU 枯渇（DoS）
- CVSS: 7.5（High） /
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - 影響:
nuxt< 3.21.10、nuxt< 4.5.1 - 概要:
/__nuxt_island/エンドポイントが、URL に含まれるハッシュ検証の前に攻撃者制御のリクエストボディをパース・ハッシュ化するため、大きな JSON ボディで CPU を消費させられます。認証不要で成立します。 - 修正: 3.21.10 / 4.5.1 へアップデート。詳細は CVE-2026-71321。
CVE-2026-71314：Nuxt island レンダリングの無認証 OOM クラッシュ（DoS）
- CVSS: 7.5（High） /
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - 影響:
nuxt< 3.21.10、nuxt< 4.5.1 - 概要: island / サーバーコンポーネントが prop に対する
v-forを含む場合、未認証の攻撃者が巨大な整数を prop として送り込み、v-for展開でメモリを枯渇させてサーバーをクラッシュさせられます。 - 修正: 3.21.10 / 4.5.1 へアップデート。詳細は CVE-2026-71314。
エコシステム別サマリー
npm
Nuxt の Server Island 周りに脆弱性が集中しています（上記5件に加え、権限のないコンポーネント生成 CVE-2026-71318（CVSS 4.8）、開発サーバーのプロジェクトルート開示 CVE-2026-72744（CVSS 4.3）も同時公開）。3系は 3.21.10、4系は 4.5.1 でまとめて修正されているため、いずれかへ更新すれば本日分はカバーできます。
PyPI（Django）
Django に情報漏えい・ヘッダーインジェクション系の脆弱性が 7件 公開されました（いずれも Low〜Medium）。主なもの:
- CVE-2026-6873: 署名付き Cookie の salt 名前空間衝突（< 5.2.15 / < 6.0.6）
- CVE-2026-8404 / CVE-2026-48587 / CVE-2026-48588 / CVE-2026-35193: キャッシュミドルウェアが条件によりプライベートなレスポンスを開示し得る（< 5.2.15〜5.2.16 系）
- CVE-2026-53878:
DomainNameValidatorが改行を許容し HTTP ヘッダーインジェクションにつながり得る（< 5.2.16 / < 6.0.7）
いずれも深刻度は高くありませんが、Django 5.2.16 / 6.0.7 へのアップデートでまとめて解消できます。キャッシュミドルウェアを利用している場合は優先度を上げて確認してください。
JVN 日本語情報（Microsoft SharePoint Server）
本日の JVN は 14件すべてが Microsoft SharePoint Server 関連です。High（CVSS 8.8）は以下の3件:
- CVE-2026-63514: 信頼できないデータのデシリアライゼーション。認可された攻撃者がネットワーク経由でコード実行の可能性（JVNDB-2026-027896）
- CVE-2026-64901: 同じくデシリアライゼーションによるコード実行の可能性（JVNDB-2026-027844）
- CVE-2026-62827: 不適切な認証による権限昇格（JVNDB-2026-027904）
いずれも「認可された攻撃者」が前提のため、まず信頼できないユーザーへの権限付与状況を確認しつつ、Microsoft の月次更新プログラム適用を進めてください。残る 11件は SSRF・パストラバーサル・XSS 等の Medium です。
まとめ
本日の要点は Nuxt の High 5件（サーバーサイド RCE・認証バイパス・情報漏えい・DoS×2） です。SSR を本番運用している場合、nuxt を 3.21.10 または 4.5.1 以降 へ更新することで本日公開分をまとめて解消できます。RCE（CVE-2026-71320）は vue.runtimeCompiler: true を有効化している構成に限定されますが、認証バイパス（CVE-2026-71315）や無認証 DoS は既定構成でも影響し得るため、優先的に確認を推奨します。
Django・SharePoint はいずれもアップデートで解消可能です。Django はキャッシュミドルウェア利用時、SharePoint は権限付与の棚卸しとあわせて対応を検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。