本日の NVD 分析対象 200件 は Critical が 34件、High が 96件 と多めの一日です。最優先は Zimbra Collaboration の未認証 RCE（CVE-2026-73570、CVSS 8.9） で、実環境での悪用が確認され CISA KEV にも登録されています。加えて Firefox / Thunderbird の解放後利用 4件（各 9.8）、Oracle Hyperion のシステム乗っ取り（CVSS 10.0）が並びます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 200件 |
| ├ Critical (9.0+) | 34件 |
| ├ High (7.0-8.9) | 96件 |
| ├ Medium (4.0-6.9) | 51件 |
| ├ Low (0.1-3.9) | 3件 |
| GitHub Advisory（更新分） | 329件（Critical 45 / High 133 / Moderate 84 / Low 7 / 未分類 60） |
| ├ うちパッケージ特定済み | 37件 |
| OSV 新規Advisory | 1件（PyPI 1） |
| JVN（日本語） | 2件（Critical 1 / Medium 1） |
| 影響エコシステム | npm, Maven, PyPI, Packagist, Go |
Critical / High 脆弱性の詳細解説
CVE-2026-73570：Zimbra Collaboration の未認証 RCE（実環境で悪用中）
- 深刻度: High（CVSS 8.9、CWE-78）※実悪用ありのため実質最優先
- 影響: Zimbra Collaboration (ZCS) 10.1.20 未満で、任意の
zimbra-snmpパッケージを導入し SNMP 通知を有効化している構成 - 概要: SNMP 通知処理時の入力サニタイズ不備により、認証されていない攻撃者が細工した SMTP リクエストを送ることで Zimbra ユーザー権限で OS コマンドが実行され得ます。CISA KEV 収録・CERT Polska が実環境での悪用を報告しており、本日で最も緊急度が高い案件です。
- 修正: ZCS 10.1.20 以降へ更新してください。当面 SNMP 通知が不要であれば無効化・
zimbra-snmpの棚卸しを推奨します。
CVE-2026-70921：Oracle Hyperion Financial Management のシステム乗っ取り
- 深刻度: Critical（CVSS 10.0、CWE-284）
- 影響: Oracle Hyperion Financial Management 11.2.25.0.000（Oracle Critical Patch Update 2026年8月）
- 概要: 未認証の攻撃者がネットワーク（TLS）経由で容易に悪用でき、スコープ変更を伴って重要データの読み取り・改ざんに至ります。関連する CVE-2026-70920（CVSS 9.9、低権限からの完全乗っ取り）も併せて修正対象です。
- 修正: Oracle CPU 2026年8月（cspuaug2026）のパッチを適用してください。
CVE-2026-74936 ほか：Firefox / Thunderbird の解放後利用（UAF）4件
- 深刻度: Critical（各 CVSS 9.8、CWE-416）
- 影響: Firefox / Firefox ESR / Thunderbird（WebAssembly・Graphics: Text・ImageLib・DOM Core & HTML の各コンポーネント。CVE-2026-74936 / 74940 / 74943 / 74944）
- 概要: JavaScript エンジンや描画・DOM 処理で解放済みメモリを参照する UAF で、細工されたコンテンツの閲覧によりリモートコード実行につながり得ます。日常的に使うブラウザ・メールクライアントであり影響範囲が広いです。
- 修正: Firefox 154 / ESR 140.14 / ESR 153.1、Thunderbird 154 / 140.14 / 153.1 以降へ更新してください。
CVE-2026-8836：lwIP の SNMPv3 スタックバッファオーバーフロー
- 深刻度: Critical（CVSS 9.8、CWE-121）
- 影響: lwIP 2.2.1 以前（SNMPv3 USM ハンドラ、
snmp_parse_inbound_frame） - 概要:
msgAuthenticationParametersの処理でスタックバッファオーバーフローが発生し、リモートから悪用され得ます。lwIP は組み込み機器・IoT の TCP/IP スタックとして広く採用されており、SNMP を有効化したファームウェアが対象です。 - 修正: 上流のパッチ（commit
0c957ec…）を取り込んだファームウェア更新を適用してください。
CVE-2026-76904：GeoTools の未認証 SQL インジェクション
- 深刻度: Critical（GHSA、CWE-89）
- 影響:
org.geotools.jdbc:gt-jdbc-postgis（PostGIS レイヤに対するjsonArrayContainsフィルタ関数） - 概要:
jsonArrayContainsフィルタ関数で入力が検証されず、認証なしで SQL インジェクションが可能です。GeoServer など GeoTools を基盤とする地理情報サーバが対象になり得ます。 - 修正:
gt-jdbc-postgisを 33.6 / 34.5 / 35.1 以降へ更新してください。
CVE-2026-77413 ほか：jsonata（npm）の任意コード実行
- 深刻度: Critical（GHSA、CWE-94）
- 影響: npm
jsonata（1.8.8 未満、および 2.2.0 未満。関連 CVE-2026-77414 / 77415） - 概要: 細工された JSONata 式の評価を通じて任意コード実行に至ります。信頼できない入力を JSONata 式として評価する構成が対象です。
- 修正:
jsonataを 1.8.8 / 2.2.1 以降へ更新してください。ユーザー入力を式として評価しない設計も緩和策です。
CVE-2026-40998：Spring Web Services の XPath XXE
- 深刻度: High（GHSA、CWE-611）
- 影響:
org.springframework.ws:spring-xml（Jaxp13 XPath、StreamSource/SAXSource経由） - 概要: XML 外部実体参照（XXE）によりサーバ上のファイル読み取りや SSRF につながり得ます。Spring WS 系では他にも SSRF（CVE-2026-40999）や GraphQL の unsafe deserialization（CVE-2026-41699）など複数の修正が出ています。
- 修正:
spring-xml/spring-ws-*を 4.1.4 / 5.0.2 以降 へ更新してください。
CVE-2026-73566：node-tar の再帰暴走による DoS
- 深刻度: High（GHSA、CWE-674）
- 影響: npm
tar（node-tar、7.5.21 未満） - 概要: 長いパスとメンバー選択を組み合わせた細工 tar により
mapHas/filesFilterが再帰暴走し、捕捉不能なスタックオーバーフロー（DoS） を引き起こします。Node.js エコシステムで極めて広く使われる依存です。 - 修正:
tarを 7.5.21 以降へ更新してください。
そのほかの注目脆弱性（個別ページなし）
- UTT HiPER 1200GW ルータ:
/goform/formGroupConfigのstrcpyによるスタックオーバーフロー（CVE-2026-76003、9.9）。PoC 公開済み。該当機器の利用組織は要確認。 - Oracle E-Business Suite / Hyperion 他: Oracle CPU 2026年8月で多数の High（Product Hub の CVE-2026-70918、Payroll の CVE-2026-70941 など、各 8.8）。
- WordPress SureForms: CSV エクスポートのフォーミュラインジェクション（CVE-2026-19501、8.8）。管理者の端末で表計算ソフトの数式が実行され得る。
エコシステム別サマリー
npm
- jsonata: 細工式による任意コード実行（Critical、1.8.8 / 2.2.1）。
- tar（node-tar）: 再帰暴走による DoS（High、7.5.21）。
- react-router: RSC モードの CSRF バイパス（High、7.18.2 / 8.3.0）。
- @keystone-6/core: 負の
takeによるgraphql.maxTakeバイパス（High、6.5.3）。
Maven
- GeoTools（gt-jdbc-postgis）: 未認証 SQL インジェクション（Critical、33.6 / 34.5 / 35.1）。
- Spring Web Services: XPath XXE（CVE-2026-40998）・SSRF（CVE-2026-40999）ほか複数（4.1.4 / 5.0.2）。
- Spring for GraphQL: Cross-Site WebSocket Hijacking（CVE-2026-41700）・unsafe deserialization（CVE-2026-41699、各 High、1.4.6 / 2.0.4）。
- Spring Boot: Artemis 自動構成の予測可能な一時ディレクトリ（CVE-2026-41001、Moderate、3.5.15 / 4.0.7）。
PyPI
- xinference:
eval()を悪用した RCE（Critical、2.7.0）。 - hydra-core: 信頼できない設定からのコード実行（High、1.3.4）。
- OctoPrint: アップロード経由のファイル持ち出し（High、1.11.8 / 2.0.0rc3）。
- Django: OSV 新規 Advisory（CVE-2026-15830）。GeoDjango の WKT/WKB 深いネストによる再帰暴走 DoS。6.0.8 / 5.2.17 で修正。
Packagist / Go
- Packagist: Phalcon（cphalcon）Volt コンパイラの PHP コードインジェクション（CVE-2026-59989、Critical、5.16.0）、Snipe-IT の一括編集での権限バイパス（CVE-2026-48507、High、8.6.0）。
- Go: Atlantis のパストラバーサル（CVE-2026-64679、High、0.45.0）、kin-openapi の nil ポインタ panic / リソース消費（CVE-2026-76905 / 77354、0.141.0 / 0.142.0）。
JVN 日本語情報
- JVNDB-2026-000119：日本電気（NEC）製 UNIVERGE IX-R/IX-V シリーズルータ の重要な機能に対する認証の欠如（CVE-2026-16876、CVSS 9.4 Critical、CWE-306）。ネットワーク機器の認証欠如は影響が大きく、国内で該当ルータを運用する組織は開発元の対策適用を最優先で確認してください。
- JVNDB-2026-000120：科学技術振興機構「日本科学未来館アシストアプリ」のクロスサイトスクリプティング（CVE-2026-73537、CVSS 4.7 Medium、CWE-79）。該当アプリ利用者は最新版への更新を推奨します。
まとめ
本日の最優先は 実環境での悪用が確認されている Zimbra Collaboration の未認証 RCE（CVE-2026-73570、CVSS 8.9） です。zimbra-snmp を導入し SNMP 通知を有効化している ZCS 10.1.20 未満の環境は、CISA KEV 収録案件として早急な更新を推奨します。加えて Firefox / Thunderbird の解放後利用 4件（各 9.8）、Oracle Hyperion のシステム乗っ取り（CVSS 10.0） も影響が大きく、ブラウザ更新と Oracle CPU 8月分の適用を検討してください。
アプリケーション依存では jsonata の任意コード実行、GeoTools の未認証 SQLi、node-tar の DoS、Spring Web Services の XXE など、広く使われるライブラリ・フレームワークの修正が続いています。SCA（ソフトウェア構成解析）で依存を棚卸しし、計画的にアップデートを進めてください。国内向けには NEC UNIVERGE ルータの認証欠如（CVSS 9.4） の確認を引き続き推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。