本日のNVDフィードは 1,641件（多くは既存CVEの再評価）。分析対象の上位200件では Critical 19件 / High 99件 です。注目は、macOS の Screen Sharing 認証バイパス（CVSS 9.8）、Cisco Catalyst SD-WAN / IOS XE の内部レビューによる多数修正（9.9）、そして Red Hat OpenShift AI（RHOAI）まわりの認証回避・RCE 系（9.9〜8.8） です。GitHub Advisory Database でも査読済みAdvisory 1,050件が更新され、Apache OpenNLP や Jetty など広く使われるライブラリの修正が含まれます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 更新エントリ | 1,641件（多くは既存CVEの再評価） |
| 分析対象（上位200件）Critical (9.0+) | 19件 |
| 分析対象（上位200件）High (7.0-8.9) | 99件 |
| 分析対象（上位200件）Medium (4.0-6.9) | 72件 |
| GitHub Advisory（査読済み・更新分） | 1,050件（Critical 30 / High 81 / Moderate 62） |
| OSV 新規Advisory | 22件（PyPI 13 / npm 9） |
| JVN（日本語） | 0件（本日該当なし） |
| 影響エコシステム | npm, PyPI, Maven, Go |
Critical / High 脆弱性の詳細解説
CVE-2026-65400：macOS Screen Sharing の認証バイパス
- 深刻度: Critical（CVSS 9.8）
- 影響: macOS Sequoia（15.7.9 未満）、macOS Sonoma（14.8.9 未満）、macOS Tahoe（26.6.1 未満）
- 概要: 状態管理の不備により、ネットワーク上の攻撃者が正規の認証情報なしで Screen Sharing に認証できてしまう問題です。リモートで画面共有を有効化している Mac は、遠隔からの不正接続につながり得ます。
- 修正: 各系統の修正版（15.7.9 / 14.8.9 / 26.6.1）へアップデート。当面は「システム設定 → 一般 → 共有」で画面共有を無効化する緩和策も有効です。
CVE-2026-18948：Feast の UDF デシリアライズによる未認証RCE
- 深刻度: Critical（CVSS 9.9）
- 影響: Feast（機械学習 Feature Store）— Red Hat OpenShift AI 同梱版ほか
- 概要: レジストリに保存されるユーザー定義関数（UDF）を
dillで不適切にデシリアライズするため、既定構成では feature server 上で未認証の任意コード実行につながります。クロステナントのデータアクセスや横展開の起点にもなり得ます。 - 修正: Red Hat のerrata（RHSA-2026:53261 ほか）に従い修正版へ更新してください。
CVE-2026-14450 / CVE-2026-13717：Red Hat OpenShift AI の MaaS 認証回避・トラフィック改ざん
- 深刻度: Critical（9.9）/ High（8.8）
- 影響: Red Hat OpenShift AI（RHOAI）の MaaS API / MaaS Gateway
- 概要: CVE-2026-14450 は、
X-MaaS-Username/X-MaaS-Groupヘッダーを検証せず信用するため、クラスタ内の任意Podが Kuadrant の AuthPolicy を回避し、他テナントのServiceAccountトークン発行やAPIキー失効にまで至ります。CVE-2026-13717 は Gateway の設定不備により、低権限ユーザーが MaaS のモデルトラフィック（アクセスキー・入出力）を傍受・改ざんできる問題です。 - 修正: RHSA-2026:53262 ほかの更新を適用してください。あわせて DSPO の CVE-2026-18617（MySQL DSN 経由の
LOCAL INFILEによるファイル窃取／High 8.8）も同系の更新に含まれます。
CVE-2026-20303 / CVE-2026-20304 / CVE-2026-20272：Cisco の内部レビューによる修正（Critical）
- 深刻度: Critical（SD-WAN 9.9 / IOS XE 9.8）
- 影響: Cisco Catalyst SD-WAN、Cisco IOS XE Software、Cisco RoomOS（High 8.8）
- 概要: Cisco の内部セキュリティレビューに伴う software hardening リリースで、入力検証不備（CWE-20）やアクセス制御不備（CWE-284）、平文保存（CWE-312）などがまとめて修正されました。個別の攻撃条件は公開されていませんが、CVSSは高めに設定されています。
- 修正: Cisco Security Advisory（cisco-sa-hardening-sdwan / -iosxe / -roomos）に従い該当リリースへ更新してください。
CVE-2026-71966：CyberPanel の認証済みコマンドインジェクション
- 深刻度: High（CVSS 8.8）
- 影響: CyberPanel 2.4.3（コミット eca0c3c で修正）
- 概要: リモートバックアップ転送機能で、リモートサーバーのAPI応答に含まれるディレクトリ名がミドルウェア検証をすり抜け、認証済み攻撃者が任意のOSコマンドを実行できます。PoC/アドバイザリが公開済みです。
- 修正: 修正コミット（eca0c3c）以降へアップデートしてください。
エコシステム別サマリー
npm（OSV 新規）
- Astro：
transition:*ディレクティブ値・スロット名・View Transition プロパティ・spread属性名の未エスケープに起因する 反射型XSS 複数件（CVE-2026-59727、CVE-2026-50146、CVE-2026-73422、CVE-2026-59729 ほか）と、プリレンダー用エラーページfetchの Host ヘッダーSSRF（CVE-2026-54299）。SSR構成では修正版への追随を推奨します。 - Nuxt：
<NuxtLink>のjavascript:/data:URL 未サニタイズによる反射型XSS（CVE-2026-53722）、navigateTo/reloadNuxtAppのオープンリダイレクト（CVE-2026-56326）、開発サーバーが DevTools 経由でプロジェクトルート等を開示（CVE-2026-72744）。 - Budibase：
@budibase/server3.41.3 未満で、Automation の Webhook/Zapier/N8N/Slack/Discord ステップが IP ブラックリストを回避する SSRF（CVE-2026-35219）。
PyPI（OSV 新規）
- Django：署名Cookieのソルト名前空間衝突（CVE-2026-6873）、
UpdateCacheMiddleware/has_vary_headerによるキャッシュ済みレスポンスの開示系（CVE-2026-8404、CVE-2026-48587、CVE-2026-48588）、DomainNameValidatorの改行許容（CVE-2026-53878）、GDALRasterのヒープ過剰読み取り（CVE-2026-53877）。多くは Moderate 以下ですが、広く使われるため計画的な追随を推奨します。
Maven / Go（GitHub Advisory）
- Apache OpenNLP（
opennlp-tools）：モデルマニフェスト経由のExtensionLoaderで 任意クラスのインスタンス化（CVE-2026-42027、2.5.9 / 1.9.5 / 3.0.0-M3 で修正）。 - Jetty（
jetty-http）：Chunked拡張のクオート文字列解析による HTTPリクエストスマグリング（CVE-2026-2332、12.1.7 / 12.0.33 / 11.0.29 ほかで修正）。 - Lima（
lima-vm/lima）：QEMU VM内の任意ユーザーが guest agent ソケット経由で VM内root権限を取得（CVE-2026-53657、2.1.3 で修正）。
JVN 日本語情報
本日、MyJVN（JVN iPedia）に該当する新規の脆弱性対策情報はありませんでした。
まとめ
本日の要点は、認証・アクセス制御の回避が広い製品層で並んだ点です。特に macOS Screen Sharing の認証バイパス（9.8） はリモート画面共有を有効にした端末で影響が大きく、修正版OSへの更新（または画面共有の無効化）を推奨します。Red Hat OpenShift AI（MaaS / Feast / DSPO） は認証回避〜未認証RCEまで揃っており、AI/ML基盤を運用している場合は関連errataを一括で確認してください。
ライブラリ側では Apache OpenNLP・Jetty・Django など広く使われるものが更新されています。推移的依存も含めた棚卸しが有効です。NVDフィードのCriticalは過去CVEの再評価が中心のため、新規の査読済みAdvisoryを優先して確認することをおすすめします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。