本日の NVD 分析対象 200件 は Critical が 23件、High が 76件 で、Red Hat の KubeVirt / OpenShift 基盤に対する脆弱性の再評価と Linux カーネルの Critical 多数が目立つ一日です。最優先は KubeVirt の シンボリックリンク経由のノード乗っ取り（CVE-2026-7374、CVSS 9.9） で、コンテナ実行基盤をマルチテナントで運用している環境が対象です。加えて Konnectivity プロキシの認証欠如、OpenShift Route の設定インジェクション、WordPress 認証プラグイン 3件のなりすましログイン（各 9.8）が並びます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 200件 |
| ├ Critical (9.0+) | 23件 |
| ├ High (7.0-8.9) | 76件 |
| ├ Medium (4.0-6.9) | 20件 |
| ├ Low (0.1-3.9) | 1件 |
| ├ スコアなし（評価中） | 80件 |
| GitHub Advisory（更新分） | 315件（Critical 20 / High 60 / Moderate 18 / Low 10） |
| OSV 新規Advisory | 1件（PyPI 1） |
| JVN（日本語） | 0件（本日は該当情報なし） |
| 影響エコシステム | PyPI |
Critical / High 脆弱性の詳細解説
KubeVirt / OpenShift コンテナ基盤の脆弱性クラスタ
本日は Red Hat 系のコンテナ実行基盤（KubeVirt・OpenShift）に対する脆弱性が集中して更新されました。共通するのは namespace レベルの限定的な権限しか持たない利用者が、より上位の権限やホストへ到達できてしまう点で、マルチテナントなクラスタ運用では影響が大きくなります。
- CVE-2026-7374（CVSS 9.9、CWE-59）: KubeVirt の
virt-handlerが仮想マシンのコンソールソケット接続時にシンボリックリンクを適切に検証しません。単一 namespace の編集権限を持つ利用者がソケットをホストの CRI-O ソケットへのシンボリックリンクに置き換えると、virt-handlerの特権接続を乗っ取り、ノードおよびクラスタ全体の掌握につながり得ます。本日で最も深刻な案件です。 - CVE-2026-13622（CVSS 8.8、CWE-22）: 同じく
virt-handlerのライブマイグレーション用プロキシで、シンボリックリンク保護なしに Unix ソケットへ接続します。namespace editとpods/exec権限を持つ攻撃者がマイグレーションプロキシのソケットをホスト CRI-O ソケットへのリンクに置き換えると、ノードの完全な侵害に至り得ます。 - CVE-2026-16242（CVSS 9.4、CWE-306）: Hosted Control Planes 構成の Konnectivity
proxy-serverが、エージェント側リスナーでクライアント証明書を検証せずに起動していました。到達可能な攻撃者が認証されていないエージェントとしてルーティングプールに参加し、コントロールプレーンとノード間の通信を傍受・改ざん・遮断し得ます。 - CVE-2026-1784（CVSS 8.8、CWE-15）: OpenShift Route の
spec.pathに対する検証が不十分で、HAProxy 設定への制御されたインジェクションが可能です。 - そのほか oauth-proxy のアイデンティティヘッダー・スマグリング（CVE-2026-49332、8.5）、OpenShift Router 経由のクラウドメタデータ SSRF（CVE-2026-42965、7.7）、KubeVirt virt-exportserver のパストラバーサル情報漏えい（CVE-2026-9804、7.7） も同系統として更新されています。
Linux カーネルの Critical 多数
本日の Critical 23件のうち 16件が Linux カーネルの修正で、CVSS 9.8 として評価されています。libceph のデコード処理の境界チェック不足、net: gro のフラッシュ済み skb の二重集約、scsi: target の PR-OUT TransportID 解析の境界不足、ntfs3 の分割位置検証不足など、いずれも stable 系列で修正済みです。個別の攻撃条件はまちまちですが、外部入力やネットワーク経由が起点となり得るものを含みます。各ディストリビューションが提供するカーネル更新を順次適用してください。
WordPress 認証プラグインのなりすましログイン（各 CVSS 9.8）
ソーシャルログイン系の WordPress プラグイン 3件に、サーバー側の本人確認を行わずに認証を通してしまう認証不備（CWE-287）が報告されました。いずれも 未認証の攻撃者が管理者を含む任意の既存ユーザーとしてログインできる可能性があります。
- CVE-2026-77000: WP Social Media Login（〜1.0.6）。ID プロバイダでのログイン完了を検証せず、メールアドレスを指定するだけで任意ユーザーとして認証されます。
- CVE-2026-77001: Social Login & Sharing buttons with Analytics By SoClever（〜1.2.0）。公開ログインハンドラで認証・認可・nonce チェックがなく、既定では元の管理者アカウントのセッションを取得され得ます。
- CVE-2026-77002: SmilePass Selfie Login（〜1.0.2）。同様にサーバー側検証がなく任意アカウントでのログインが可能です。
該当プラグインを利用している場合は、提供元の更新を確認し、修正が未提供であれば一時的な無効化も検討してください。
広く使われるライブラリ・ツールの High 以上
- libxml2: schematron の
sch:name要素処理での解放後利用（CVE-2025-49794、9.1）と境界外読み取り（CVE-2025-49796、9.1）。細工された XML でクラッシュ等に至ります。ディストリの libxml2 更新で対応してください。 - linux-pam:
pam_namespaceがユーザー制御のパスを適切に保護せず、シンボリックリンク攻撃と競合状態でローカルから root へ権限昇格（CVE-2025-6020、7.8）。 - libarchive: RAR シーク処理の整数オーバーフローに起因する二重解放（CVE-2025-5914、7.8）。メモリ破壊によりコード実行や DoS に至り得ます。
- rsync: チェックサム比較時にチェックサム長を操作され、未初期化のスタックデータを 1 バイトずつ漏えい（CVE-2024-12085、7.5）。
- Emacs: 細工されたサイトや HTTP リダイレクトを踏ませることで、リモートの未認証攻撃者がシェルコマンドを実行し得るコマンドインジェクション（CVE-2025-1244、8.8）。
エコシステム別サマリー
PyPI
- Django: OSV 新規 Advisory（PYSEC-2026-3717 / CVE-2026-15830）。GeoDjango の
GEOSGeometryが深くネストしたGEOMETRYCOLLECTIONを WKT / WKB / 16進 WKB でパースする際、無制限の再帰により基盤の GEOS ライブラリでセグメンテーション違反を起こし DoS に至り得ます。空間フィールドのルックアップやGeometryFieldフォームも対象です。Django 5.2.17 / 6.0.8 で修正されています。GeoDjango を使うプロジェクトはアップデートを推奨します。
JVN 日本語情報
本日は MyJVN に該当する日本語の脆弱性対策情報はありませんでした。
まとめ
本日は KubeVirt / OpenShift のコンテナ実行基盤に対する脆弱性の再評価が集中しました。最優先は virt-handler のシンボリックリンク検証不備による ノード乗っ取り（CVE-2026-7374、CVSS 9.9） で、マルチテナントでクラスタを運用している場合は影響が大きくなります。KubeVirt / OpenShift を運用中の環境は、Red Hat のエラータ（RHSA）に沿った更新と、namespace レベルの権限（特に pods/exec や EndpointSlice 書き込み）の棚卸しを推奨します。
インフラ全般では Linux カーネルの Critical 多数が出ているため、ディストリのカーネル更新を計画的に適用してください。アプリケーション側では libxml2・libarchive・rsync・linux-pam といった広く使われるコンポーネントの修正が続いています。Web サイト運用者は、WordPress のソーシャルログイン系プラグイン 3件（各 CVSS 9.8） のなりすましログインに注意し、該当プラグインの棚卸しと更新を確認してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。