本日のNVD分析対象は 163件、うち Critical 23件 / High 44件 です。最も注目すべきは KubeVirt の virt-handler におけるシンボリックリンク検証不備（CVSS 9.9） で、単一namespaceの編集権限からノード〜クラスタ全体の乗っ取りに至り得ます。ノート／ナレッジ基盤 SiYuan（v3.7.4未満） も認証バイパスとElectron経由のRCE系が多数、Tenda AC10 の認証バイパスは PoC公開済みです。GitHub Advisory Database でも 129件が更新され、.NETテンプレートエンジン Scriban の多数修正などが含まれます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 163件 |
| Critical (9.0+) | 23件 |
| High (7.0-8.9) | 44件 |
| Medium (4.0-6.9) | 69件 |
| GitHub Advisory（更新分） | 129件（Critical 22 / High 32 / Moderate 40 / Low 20） |
| OSV 新規Advisory | 22件（PyPI 13 / npm 9） |
| JVN（日本語） | 0件（本日該当なし） |
| 影響エコシステム | npm, PyPI, NuGet(.NET) |
Critical / High 脆弱性の詳細解説
CVE-2026-7374：KubeVirt virt-handler のシンボリックリンク検証不備によるノード乗っ取り
- 深刻度: Critical（CVSS 9.9、CWE-59）
- 影響: KubeVirt / OpenShift Virtualization（Red Hat errata RHSA-2026:20720 ほかで修正）
- 概要: virt-handler が仮想マシンのコンソールソケットに接続する際、シンボリックリンクの検証が不十分です。単一namespaceで編集権限を持つ認証済みユーザーが、コンソールソケットをホストのコンテナランタイム（CRI-O）ソケットへのシンボリックリンクに差し替えることで、virt-handler の特権接続を乗っ取り、ノード全体、ひいてはクラスタ全体の掌握につながり得ます。
- 修正: Red Hat のerrata（RHSA-2026:20720 / 20736 / 20763 ほか）を適用してください。関連して、ライブマイグレーションのプロキシソケットを悪用する CVE-2026-13622（High 8.8）、VMExport のパストラバーサルによる情報漏えい CVE-2026-9804（High 7.7）も同系の修正に含まれます。
SiYuan v3.7.4 未満：認証バイパスとElectron経由のRCE群
- 深刻度: Critical（CVSS 9.8〜9.0）/ High（7.5）
- 影響: SiYuan（ノート／ナレッジ管理アプリ）v3.7.4 未満
- 概要: 認証試行回数の制限不備により、HTTP Basic認証経由でアクセスコードを、Authorizationヘッダー経由でAPIトークンを、それぞれレート制限なしに総当たりできます（CVE-2026-73046、CVE-2026-73056、いずれも9.8）。加えて、PDF注釈・テンプレート・テーブル列幅・絵文字などの入力がエスケープされず、Node統合が有効なElectronレンダラー上でスクリプトが実行され得る保存型XSS/RCEが多数（CVE-2026-73041〜CVE-2026-73053、9.0）。WebSocketの認証バイパス（CVE-2026-73054、7.5）も報告されています。
- 修正: v3.7.4 以降へアップデートしてください。公開共有機能を外部公開している場合は特に優先度が高くなります。
CVE-2026-19924：Tenda AC10 の認証バイパス（PoC公開済み）
- 深刻度: Critical（CVSS 9.8、CWE-287）
- 影響: Tenda AC10 16.03.10.09_multi_TDE01（httpd の R7WebsSecurityHandler 関数）
- 概要: 認証処理の不備により、リモートから認証を回避できます。エクスプロイトが公開されており、悪用の可能性があります。
- 修正: ベンダーの対応状況を確認し、修正ファームウェアが提供され次第適用してください。当面はWAN側からの管理インターフェース到達を遮断する構成を推奨します。
CVE-2026-73061 ほか：Scriban（.NETテンプレートエンジン）のサンドボックス回避
- 深刻度: Critical（CVSS 9.8 / 9.1）ほか
- 影響: Scriban（NuGet）— バージョンにより 7.0.0 / 7.2.2 未満
- 概要:
TypedObjectAccessorがアクセス修飾子（private/internal/init-only）を無視してCLRオブジェクトのプロパティに書き込めるアクセス修飾子バイパス（CVE-2026-73061、9.8）や、MemberFilter変更が型キャッシュに反映されず非公開メンバーが露出する問題（CVE-2026-74790、9.1）など、サンドボックス/テナント分離を破る系統が多数報告されています。DoS系（GHSA）も併せて公開されています。 - 修正: 各Advisoryが示す修正版（7.2.2 以降など）へ更新してください。ユーザー入力をテンプレートとして評価している構成は特に確認を推奨します。
WordPressプラグインの重大な権限昇格・ファイル操作系
- 深刻度: Critical（CVSS 9.8 / 9.1）
- 影響: 複数のWordPressプラグイン
- 概要: 未認証で管理者への権限昇格やパスワード上書きが可能な Pods（CVE-2026-19598、3.3.9 以下、9.8）と Frontend Admin by DynamiApps（CVE-2026-18432、3.29.9 以下、9.8）、未認証の任意ファイルアップロードでRCEに至る ProSolution WP Client（CVE-2026-16098、2.0.10 以下、9.8）、任意ファイル削除で
wp-config.php破壊からRCEに至り得る Link Library（CVE-2026-18855、7.9.4 以下、9.1）などが並びました。 - 修正: 各プラグインを最新版へ更新してください。使用していないプラグインは無効化・削除を推奨します。
libxml2 の解析処理におけるメモリ破壊（再評価）
- 深刻度: Critical（CVSS 9.1）
- 影響: libxml2（CVE-2025-49794 use-after-free、CVE-2025-49796 境界外読み取り）
- 概要: Schematron の
sch:name要素を含むXMLの解析時にメモリ破壊が発生し、クラッシュ（DoS）や未定義動作につながります。広く利用されるライブラリのため、Red Hat errata を通じた再評価・配布が続いています。 - 修正: ディストリビューションが提供するパッケージ更新（RHSA-2025:10630 ほか）を適用してください。
エコシステム別サマリー
npm（OSV 新規）
- Nuxt：
<NuxtLink>のto/hrefにjavascript:などのURLを検証せず反映する反射型XSS（CVE-2026-53722）、navigateTo/reloadNuxtAppのオープンリダイレクト・スクリプト実行（CVE-2026-56326）、開発サーバーがDevTools経由でプロジェクトルート等を開示（CVE-2026-72744）。4.4.7 / 3.21.7 以降（一部 4.5.1 / 3.21.10）で修正。 - Astro：
transition:*ディレクティブ値やスロット名、View Transitionプロパティ、spread属性名の未エスケープによる反射型XSS（CVE-2026-59727、CVE-2026-50146、CVE-2026-73422、CVE-2026-59729 ほか）と、プリレンダー用エラーページfetchの Host ヘッダーSSRF（CVE-2026-54299）。SSR構成では修正版への追随を推奨します。
PyPI（OSV 新規）
- Django：署名Cookieのソルト名前空間衝突（CVE-2026-6873）、
UpdateCacheMiddleware/has_vary_headerによるキャッシュ済みレスポンス開示系（CVE-2026-8404、CVE-2026-48587、CVE-2026-48588）、DomainNameValidatorの改行許容によるヘッダーインジェクション余地（CVE-2026-53878）、GDALRasterのヒープ過剰読み取り（CVE-2026-53877）。多くは Moderate 以下ですが、広く使われるため 5.2.16 / 6.0.7 系への計画的な追随を推奨します。
NuGet / IaC（GitHub Advisory）
- Scriban（.NETテンプレート）：サンドボックス/テナント分離を破るアクセス制御系とDoS系が計15件規模で更新（上記詳細参照）。
- OpenTofu（Terraform互換IaC）：シンボリックリンクを辿るパストラバーサル（CVE-2026-74796、High）と、悪意あるzipによるDoS（CVE-2026-74797）。CI/CDで外部モジュールを取り込む構成は確認を推奨します。
JVN 日本語情報
本日、MyJVN（JVN iPedia）に該当する新規の脆弱性対策情報はありませんでした。
まとめ
本日の要点は、特権プロセスの乗っ取りと認証回避が上位に集中した点です。特に KubeVirt / OpenShift Virtualization のノード乗っ取り（9.9） は、namespace分離を前提としたマルチテナント運用に直接影響するため、Red Hat errata の適用を優先してください。SiYuan はデスクトップ／セルフホスト双方で認証バイパスとRCE系が揃っており、v3.7.4 への更新（特に共有機能の外部公開時）を推奨します。
ネットワーク機器では Tenda AC10 の認証バイパス（PoC公開済み） が実運用リスクの高い一件です。アプリ層では WordPressプラグイン群 と Scriban が広い攻撃面を持ちます。ライブラリ側の libxml2 / Django / Nuxt / Astro は広く使われるため、推移的依存も含めた棚卸しと計画的な更新が有効です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。