本日の NVD 分析対象 200件 は、いずれも2020〜2021年の Microsoft 製品 CVE（Hyper-V / DNS Server / Exchange / SharePoint 等）の再評価・再公開分で、新規の緊急案件ではありません。実際に注目すべきは GitHub Advisory Database（GHSA）と OSV の新規 OSS Advisory で、GHSA では 1,464件が更新され、うちパッケージが特定されたレビュー済み Advisory は 41件（Critical 5 / High 16） です。特に moby/go-archive（Docker/moby 系）のパストラバーサル（CVE-2026-17106、High）、jmespath.php のコードインジェクション（CVE-2026-54133、Critical）、Astro の Host ヘッダー SSRF（CVE-2026-54299、CVSS 7.5） が影響範囲の広い修正です。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 200件（すべて2020〜2021年 Microsoft 製品CVEの再評価分） |
| ├ Critical (9.0+) | 10件 |
| ├ High (7.0-8.9) | 132件 |
| ├ Medium (4.0-6.9) | 53件 |
| GitHub Advisory（更新分） | 1,464件（Critical 225 / High 727 / Moderate 373 / Low 59） |
| ├ うちレビュー済み（パッケージ特定済み） | 41件（Critical 5 / High 16 / Moderate 18 / Low 2） |
| OSV 新規Advisory | 10件（npm 9 / PyPI 1） |
| JVN（日本語） | 2件（High 1 / Medium 1） |
| 影響エコシステム | PyPI, Packagist, npm, Go, RubyGems |
Critical / High 脆弱性の詳細解説
⚠️ 本日の GHSA データには CVSS 数値スコアが付与されていないため、以下は GHSA の深刻度ラベル（Critical / High）で示します。数値スコアは各 Advisory の原文をご確認ください。
CVE-2026-17106：moby/go-archive の tar 展開パストラバーサル
- 深刻度: High（GHSA）
- 影響:
github.com/moby/go-archive（0.3.0 未満） - 概要: 細工された tar アーカイブを展開する際、展開先ディレクトリの外にファイルを書き込めるパストラバーサルです。moby/go-archive は Docker/moby エコシステムでイメージやアーカイブの展開に使われるため、これを利用する Go 製ツールが広く影響を受け得ます。信頼できないイメージ・アーカイブを取り込む処理は特に注意が必要です。
- 修正: go-archive を 0.3.0 以降へ更新してください。moby/go-archive を推移的に取り込む Go 製ツールは、SCA で依存バージョンを確認のうえ追随を推奨します。
CVE-2026-54133：jmespath.php のコードインジェクション
- 深刻度: Critical（GHSA）
- 影響:
mtdowling/jmespath.php（2.9.1 未満、Packagist） - 概要:
CompilerRuntimeにおいて エスケープされない関数名を経由してコードインジェクションが可能です。jmespath.php は AWS SDK for PHP などの依存として広く含まれるため、直接利用していないアプリでも推移的依存として影響し得ます。攻撃者が JMESPath 式を制御できる構成が対象です。 - 修正: jmespath.php 2.9.1 以降へ更新してください（
composer why mtdowling/jmespath.phpで依存元を確認）。
CVE-2026-62988：Froxlor の認証情報・2FAシークレット漏えい
- 深刻度: Critical（GHSA）
- 影響:
froxlor/froxlor（2.3.8 未満、Packagist） - 概要: Froxlor（ホスティング管理パネル）の API エンドポイントを通じて、認証情報や 2要素認証（2FA）シークレットが開示され得ます。同日には Froxlor の第二次 SQL インジェクション（CVE-2026-54348、High）、DNS TXT レコードの格納型 XSS（CVE-2026-54347、High）、CSRF（CVE-2026-55593）も併せて公開されています。
- 修正: Froxlor 2.3.8 以降へ更新してください。
CVE-2026-55107：kobako（RubyGems）のサンドボックス脱出
- 深刻度: Critical（GHSA）
- 影響:
kobako（0.9.1 未満、RubyGems） - 概要: ゲスト評価環境の
method_missingからpublic_sendに到達することで、サンドボックスを脱出しホスト側で任意コード実行に至ります。信頼できないコードを評価する用途で kobako を使っている場合に影響します。 - 修正: kobako 0.9.1 以降へ更新してください。
MONAI の複数の RCE / 安全でないデシリアライゼーション
- 深刻度: High（GHSA、3件）
- 影響:
MONAI（1.6.0 未満、PyPI） - 概要: 医療画像向け AI フレームワーク MONAI に、OS コマンドインジェクション（GHSA-rghg-q7wp-9767）、
algo_from_pickle()のpickle.loads()を経由した RCE（GHSA-qxq5-qhx6-94qw、過去修正の不完全対応）、NumpyReaderの.npyファイル読み込み時の安全でないデシリアライゼーション（GHSA-wg9g-w2j2-8pgr）が報告されています。いずれも信頼できないモデル・データを扱う場合に任意コード実行へつながり得ます。 - 修正: MONAI 1.6.0 以降へ更新してください。
CVE-2026-55182：LibreNMS のリモートコード実行
- 深刻度: High（GHSA）
- 影響:
librenms/librenms（26.5.0 未満、Packagist） - 概要: Signal Alert Transportation モジュールを経由したリモートコード実行です。同日には Oxidized API 応答由来の SSRF 起点の格納型 XSS（GHSA-7gww-x7fh-jf9j、26.7.0 で修正）など複数の LibreNMS 脆弱性も公開されています。監視基盤として稼働しているケースが多く、確認を推奨します。
- 修正: LibreNMS を該当修正版（26.5.0 / 26.7.0 以降）へ更新してください。
CVE-2026-54299：Astro の Host ヘッダー SSRF
- 深刻度: High（CVSS 7.5、CWE-918）
- 影響:
astro（6.4.6 未満、SSR 構成） - 概要: SSR アプリがプリレンダー済みエラーページ（
/404・/500）を実行時に取得する際、取得先 URL のオリジンが受信リクエストのHostヘッダーに依存します。攻撃者がHostを操作すると 意図しない宛先へリクエストを送らせる SSRF に発展し得ます。 - 修正: Astro 6.4.6 以降へ更新してください。当面はプロキシ側で
Hostヘッダーを固定する回避策が有効です。
CVE-2026-50146：Astro のスロット名未エスケープによる反射型XSS
- 深刻度: High（CVSS 7.1、CWE-79）
- 影響:
astro（6.3.3 未満） - 概要:
client:*ディレクティブ利用時に名前付きスロット名をdata-astro-template属性へ エスケープせず出力するため、スロット名にユーザー入力が入ると反射型 XSS に至ります。 - 修正: Astro 6.3.3 以降へ更新してください。
そのほか、MineAdmin のプラグイン導入/削除時のパストラバーサル（CVE-2026-55224、High、3.2.0-alpha.2 で修正）、MeshCentral のデータフィールド未サニタイズ（GHSA-c7hr-448w-65px、High、1.1.60 で修正）、GeoLens SDK のデータセット横断の認可バイパス（CVE-2026-55178、High、1.2.3 で修正）も併せて更新されています。
エコシステム別サマリー
npm
- Astro：上記の Host ヘッダー SSRF・スロット名 XSS に加え、
transition:*ディレクティブ値、View Transition プロパティ、spread 属性名の未エスケープによる反射型 XSS 群が公開（6.3.x〜7.1.x で順次修正）。SSR 構成では追随を推奨します。 - Nuxt：
<NuxtLink>のto/hrefにおけるjavascript:/data:スキーム未検証の反射型 XSS（CVE-2026-53722、4.4.7 で修正）、navigateTo/reloadNuxtAppのオープンリダイレクト・スクリプト実行（CVE-2026-56326、4.4.7）、開発サーバーが DevTools workspace 経由でプロジェクトルートを開示（CVE-2026-72744、4.5.1）。 - MagicMirror：Socket.IO 経由の blind SSRF・IP ホワイトリストのバイパス等（2.37.0 で修正）。
PyPI
- Django：GeoDjango の
GEOSGeometryが深くネストしたGEOMETRYCOLLECTION（WKT/WKB/hex-WKB）解析時に無限再帰でセグメンテーションフォルトに至る DoS（CVE-2026-15830、5.2.17 / 6.0.8 で修正）。空間フィールドを扱うアプリは確認を推奨します。 - MONAI：上記の RCE 群（1.6.0 で修正）。
- Lemur：Netflix 製証明書管理基盤に、権限確認不足・SSRF・任意証明書失効など多数の Advisory（いずれも 1.9.3 で修正）。
- MobSF：CSRF 未適用・ZIP 経由のパストラバーサル任意ファイル読み取り・Zip Bomb DoS 等（4.5.1 で修正）。
Packagist / Go / その他
- Packagist：Froxlor（Critical、2.3.8）、LibreNMS（RCE、26.5.0/26.7.0）、MineAdmin（パストラバーサル、3.2.0-alpha.2）、jmespath.php（Critical、2.9.1）。
- Go：moby/go-archive（パストラバーサル、0.3.0）、Vitess の
vttablet /debug/vrlogの認可不備（CVE-2026-65959）。 - その他：kobako（RubyGems、サンドボックス脱出 RCE、0.9.1）、triton-vm（crates.io、健全性の欠陥、4.0.0）、membrane_mp4_plugin（Hex、認証なし DoS、0.36.7）。
JVN 日本語情報
- JVNDB-2026-000118：エクストライノベーション製メール配信システム acmailer の認可処理の不備（CVE-2026-70408、CVSS 8.8 High）と XSS（CVE-2026-66358）。国内向けメール配信基盤として稼働しているケースが多く、利用組織は確認を推奨します。
- JVNDB-2026-000116：Apache Allura のサーバサイドリクエストフォージェリ（CVE-2026-69223、CVSS 6.6 Medium）。プロジェクト管理ツールを運用している組織は確認を推奨します。
まとめ
本日の NVD 更新は旧 Microsoft CVE の再評価が中心で、新規の緊急案件は OSS エコシステム側に集中しています。最優先は moby/go-archive（Docker/moby 系）のパストラバーサル（CVE-2026-17106） と jmespath.php のコードインジェクション（CVE-2026-54133、AWS SDK for PHP の推移的依存に注意） で、いずれも広く使われる基盤・依存パッケージのため、SCA（ソフトウェア構成解析）での棚卸しが有効です。
Web フレームワークでは Astro（SSRF / XSS 群）・Nuxt（XSS / オープンリダイレクト）・Django（GeoDjango の DoS） に修正が出ており、該当構成は計画的なアップデートを推奨します。国内向けには acmailer（CVSS 8.8） の確認を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。