本日の NVD 分析対象 200件 は Critical が 23件、High が 111件 と、昨日までの旧 Microsoft CVE 再評価中心の日と異なり、現行の広く使われる OSS・主要ベンダー製品の新規／再評価 Critical が目立つ一日です。最優先は Go の SSH ライブラリ golang.org/x/crypto の認証バイパス（CVE-2026-46595、CVSS 10.0） で、CVE-2024-45337 の修正が不完全だったことに起因します。加えて SQL Server のデシリアライゼーション RCE（CVE-2026-54117、9.8）、Nuxt DevTools の未認証 RCE（CVE-2026-71319、Critical） など、影響範囲の広い修正が並びます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 200件（NVD 全体では 2,611件が公開・更新） |
| ├ Critical (9.0+) | 23件 |
| ├ High (7.0-8.9) | 111件 |
| ├ Medium (4.0-6.9) | 54件 |
| ├ Low (0.1-3.9) | 8件 |
| GitHub Advisory（更新分） | 1,286件（Critical 130 / High 623 / Moderate 335 / Low 56） |
| ├ うちレビュー済み（パッケージ特定済み） | 40件（Critical 2 / High 21 / Moderate 16 / Low 1） |
| OSV 新規Advisory | 3件（npm 2 / PyPI 1） |
| JVN（日本語） | 2件（High 1 / 情報提供 1） |
| 影響エコシステム | npm, PyPI, Go, Maven, Packagist, crates.io |
Critical / High 脆弱性の詳細解説
CVE-2026-46595：golang.org/x/crypto の SSH 認証バイパス
- 深刻度: Critical（CVSS 10.0、CWE-863 / CWE-303）
- 影響:
golang.org/x/crypto（v0.39.0 未満） - 概要: 以前
CVE-2024-45337で「公開鍵以外のコールバックが設定されているとソースアドレス検証がスキップされる」問題が修正されましたが、その修正が不完全でした。パスワード認証など公開鍵以外のコールバックを設定している SSH サーバ実装では、ソースアドレス制限が完全に無効化され、本来許可されていない送信元からの接続を許してしまいます。 - 修正:
golang.org/x/cryptoを v0.39.0 以降へ更新し再ビルド・再デプロイしてください。Go 標準ライブラリのcrypto/sshは別パッケージのため影響しません。
CVE-2026-22797：OpenStack keystonemiddleware の権限昇格
- 深刻度: Critical（CVSS 9.9、CWE-290）
- 影響:
keystonemiddleware（10.7.2 / 10.9.1 / 10.12.1 未満、external_oauth2_tokenミドルウェア使用時） - 概要:
external_oauth2_tokenミドルウェアが受信する認証ヘッダーを OAuth 2.0 トークン処理前にサニタイズしないため、X-Is-Admin-ProjectやX-Roles、X-User-Idなどの偽造アイデンティティヘッダーを送ることで、認証済み攻撃者が権限昇格や他ユーザーへのなりすましを行える可能性があります。当該ミドルウェアを使う全デプロイが対象です。 - 修正: keystonemiddleware を 10.7.2 / 10.9.1 / 10.12.1 以降へ更新してください。
CVE-2026-54117：SQL Server のデシリアライゼーション RCE
- 深刻度: Critical（CVSS 9.8、CWE-502）
- 影響: Microsoft SQL Server（詳細は MSRC を参照）
- 概要: 信頼できないデータのデシリアライゼーションにより、認証なしの攻撃者がネットワーク経由でコード実行に至る可能性があります。データベース基盤の RCE は影響が大きいため、パッチ適用計画を優先することを推奨します。
- 修正: Microsoft の月例セキュリティ更新（MSRC の該当アドバイザリ）を適用してください。
CVE-2026-29063：Immutable.js のプロトタイプ汚染
- 深刻度: Critical（CVSS 9.8、CWE-1321）
- 影響:
immutable（3.8.3 / 4.3.7 / 5.1.5 未満、npm） - 概要:
mergeDeep()・mergeDeepWith()・merge()・Map.toJS()・Map.toObject()経由でプロトタイプ汚染が可能です。Immutable.js は多数の JavaScript プロジェクトの依存に含まれるため、直接利用していないアプリでも推移的依存として影響し得ます。 - 修正: immutable を 3.8.3 / 4.3.7 / 5.1.5 以降へ更新してください。
CVE-2026-27459：pyOpenSSL のバッファオーバーフロー
- 深刻度: Critical（CVSS 9.8、CWE-120）
- 影響:
pyOpenSSL（22.0.0 以上 26.0.0 未満、PyPI） - 概要:
set_cookie_generate_callbackに渡すコールバックが 256 バイトを超える Cookie 値を返すと、OpenSSL が用意したバッファをオーバーフローします。26.0.0 で長すぎる Cookie 値は拒否されるようになりました。DTLS の Cookie 生成コールバックを利用している場合に影響します。 - 修正: pyOpenSSL を 26.0.0 以降へ更新してください。
CVE-2026-33815 / CVE-2026-33816：pgx/v5 のメモリ安全性の欠陥
- 深刻度: Critical（各 CVSS 9.8、CWE-787）
- 影響:
github.com/jackc/pgx/v5（Go 用 PostgreSQL ドライバ） - 概要: Go 向け PostgreSQL ドライバ pgx にメモリ安全性（境界外書き込み）の脆弱性が 2件報告されています。pgx は Go アプリの DB アクセスで広く使われるため、
go.modの依存バージョンを確認のうえ追随を推奨します。Red Hat からも errata（RHSA-2026:11070 ほか）が出ています。 - 修正: pgx/v5 を修正版へ更新してください（
pkg.go.dev/vuln/GO-2026-4771・GO-2026-4772を参照）。
CVE-2026-71319：Nuxt DevTools の未認証 RPC による任意コマンド実行
- 深刻度: Critical（GHSA-279x-mwfv-vcqv）
- 影響:
@nuxt/devtools（3.3.1 未満、npm） - 概要: 認証されていない Nuxt DevTools の RPC を通じて、開発者のホスト上で任意コマンドを実行できる脆弱性です。開発サーバを外部からアクセス可能な状態で起動している場合に特にリスクが高く、悪意あるページからの攻撃も想定されます。開発環境の脆弱性ですが、開発者マシンの侵害につながる点で軽視できません。
- 修正:
@nuxt/devtoolsを 3.3.1 以降へ更新してください。開発サーバは信頼できないネットワークへ公開しない運用を推奨します。
Linux カーネル：IPv6 ICMP / DLM の境界外書き込み
- 深刻度: Critical（各 CVSS 9.8）
- 影響: Linux kernel（stable 各系列で修正済み）
- 概要: CVE-2026-43038（
ip6_err_gen_icmpv6_unreach()のskb->cb[]未クリアによる境界外アクセス、CWE-843）と CVE-2026-43125（dlm_search_rsb_treeの長さ未検証による境界外書き込み、CWE-787）が公開されています。いずれもネットワーク由来のデータが起点となり得るため、ディストリのカーネル更新を適用してください。 - 修正: 各ディストリビューションが提供するカーネル更新を適用してください。
そのほかの High（GHSA レビュー済み・広く使われるパッケージ）
- fast-uri（npm）: パーセントエンコードされたドットセグメントによるパストラバーサル等（CVE-2026-6321 / 6322 / 13676）。fastify / ajv などの依存として広く含まれます。2.4.2 / 3.1.3 / 4.0.1 以降で修正。
- Netty netty-resolver-dns（Maven）: NS / CNAME レコードの Bailiwick 検証不足による DNS キャッシュポイズニング（CVE-2026-45674 / 47691）。4.1.135.Final / 4.2.15.Final で修正。
- Electron（npm）: サンドボックス化された iframe が
allow-popups制限をバイパス（CVE-2026-70608）。39.8.10 / 41.10.3 / 42.0.1 で修正。 - vLLM（PyPI）: Activation Function ローダで
assert文に依存したセキュリティチェックのバイパス（CVE-2026-41523、0.22.0 で修正）。 - GeoServer（Maven）:
gs-main/gs-wmsなどのサーバサイドテンプレートインジェクション（CVE-2024-45747、2.27.0 で修正）。
エコシステム別サマリー
npm
- Nuxt / Nuxt DevTools: 上記の DevTools 未認証 RCE（CVE-2026-71319、3.3.1）に加え、OSV でも
<NuxtLink>のjavascript:/data:URL 未サニタイズによる反射型 XSS（GHSA-934w-87qh-qr26）、navigateTo/reloadNuxtAppの URL 処理の弱点（SSR オープンリダイレクト等、GHSA-c9cv-mq2m-ppp3）が公開。いずれも Nuxt 4.4.7 / 3.21.7 で修正。 - fast-uri: パストラバーサル / ホスト混同の複数 High。fastify エコシステムの推移的依存として広範に影響。
- Electron: サンドボックス iframe のポップアップ制限バイパス。
- protobufjs: CVE-2026-44293（8.8、後述）。
PyPI
- Django: OSV の新規 Advisory（PYSEC-2026-3717）。6.0.8 で修正。空間・入力処理まわりの更新のため、該当構成は追随を推奨。
- pyOpenSSL: 上記のバッファオーバーフロー（26.0.0）。
- vLLM: セキュリティチェックのバイパス（0.22.0）。
- Copier / Document Merge Service / GeoLens: trust-prefix バイパス（copier 9.15.2）、SSTI 由来 RCE（document-merge-service 9.1.0）、認可・キャッシュスコープの欠陥（geolens 1.2.4）。
Go / Maven / その他
- Go: golang.org/x/crypto の認証バイパス（v0.39.0）と、GHSA Critical の サーバ側デッドロック DoS（CVE-2026-39830、v0.52.0 で修正）、pgx/v5 のメモリ安全性。
- Maven: Netty DNS リゾルバのキャッシュポイズニング、GeoServer SSTI、XWiki Platform の権限昇格（CVE-2026-53966）。
- その他: protobufjs のコード生成インジェクション（CVE-2026-44293、7.5.6 / 8.0.2）、pgvector の IVFFlat インデックス構築時の整数オーバーフロー（CVE-2026-18022、0.8.6、32bit システムのみ影響）。
JVN 日本語情報
- JVNDB-2026-000118：エクストライノベーション製メール配信システム acmailer の複数の脆弱性。認可処理の不備（CVE-2026-70408、CVSS 8.8 High、CWE-863）とクロスサイトスクリプティング（CVE-2026-66358、CWE-79）。国内向けメール配信基盤として稼働しているケースが多く、利用組織は開発元の対策適用を推奨します。
- JVNDB-2026-029098：米国 CISA が 2026年8月18日に公表した ICS / Medical Advisory（新規2件）の情報提供。制御システム・医療機器を運用する組織は該当アドバイザリを確認してください。
まとめ
本日は現行 OSS・主要ベンダー製品の Critical が多く、最優先は golang.org/x/crypto の SSH 認証バイパス（CVE-2026-46595、CVSS 10.0） です。Go で SSH サーバを実装している場合はソースアドレス制限が無効化されるため、v0.39.0 以降への更新と再デプロイを推奨します。次いで SQL Server のデシリアライゼーション RCE（CVE-2026-54117） と Nuxt DevTools の未認証 RCE（CVE-2026-71319） が影響範囲・深刻度ともに高い案件です。
npm 側では Immutable.js のプロトタイプ汚染・fast-uri のパストラバーサル・Electron のサンドボックスバイパス など、推移的依存として広く含まれるパッケージの修正が続いています。SCA（ソフトウェア構成解析）で依存を棚卸しし、計画的なアップデートを進めてください。国内向けには acmailer（CVSS 8.8） の確認を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。