本日の NVD 分析対象 200件 は Critical が 22件、High が 139件 と、広く使われるライブラリ・ドライバの再評価が目立つ一日です。最優先は Go の SSH 実装ライブラリ golang.org/x/crypto/ssh の 認可バイパス（CVE-2026-46595、CVSS 10.0） で、過去の CVE-2024-45337 の修正漏れが露呈した形です。加えて Axios の SSRF（9.9）、Immutable.js のプロトタイプ汚染（9.8）、jackc/pgx のメモリ安全性（9.8）、OpenSSL の CMS スタックバッファオーバーフロー（8.8） など、依存として広く含まれるコンポーネントの修正が並びます。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 200件（NVD 全体の該当は 1,002件） |
| ├ Critical (9.0+) | 22件 |
| ├ High (7.0-8.9) | 139件 |
| ├ Medium (4.0-6.9) | 38件 |
| ├ Low (0.1-3.9) | 1件 |
| GitHub Advisory（更新分） | 233件（Critical 33 / High 97 / Moderate 77 / Low 20） |
| OSV 新規Advisory | 1件（PyPI 1） |
| JVN（日本語） | 2件 |
| 影響エコシステム | npm, PyPI, Go, Maven |
Critical / High 脆弱性の詳細解説
Go 標準準拠 SSH ライブラリの認可バイパス（CVSS 10.0）
本日で最も深刻なのが CVE-2026-46595（CVSS 10.0、CWE-863 / CWE-303） です。かつて CVE-2024-45337 が「誤用された SSH サーバー設定における認可バイパス」を修正しましたが、その修正が公開鍵認証以外のコールバックを渡した場合を考慮しておらず、送信元アドレス（source-address）の検証がスキップされることが判明しました。
golang.org/x/crypto/ssh は Go 製の SSH サーバー・クライアント実装として非常に広く利用されています。送信元 IP による接続制限を認可の一部として組み込んでいる場合、その制限が意図通りに機能しない可能性があります。Go チームの修正（CL 781642 / GO-2026-5023）と Red Hat エラータ（RHSA-2026:23262 ほか）が公開されているため、x/crypto を更新し、認証コールバックの実装を確認してください。
広く使われる JS / Go ライブラリの Critical / High
依存ツリーに間接的に含まれることが多い、いわゆる「エコシステムの土台」となるライブラリの修正が集中しました。
- CVE-2025-62718（Axios、CVSS 9.9、CWE-918）: ホスト名正規化の不備により、
localhost.（末尾ドット）や[::1]宛のリクエストで NO_PROXY のマッチングがスキップされ、プロキシバイパスと SSRF につながります。1.15.0 / 0.31.0 で修正。npm で極めて広く使われるため、間接依存も含めて確認を推奨します。 - CVE-2026-29063（Immutable.js、CVSS 9.8、CWE-1321）:
mergeDeep()/merge()/Map.toJS()などで プロトタイプ汚染が可能。3.8.3 / 4.3.7 / 5.1.5 で修正されています。 - CVE-2026-33815 / CVE-2026-33816（jackc/pgx v5、各 CVSS 9.8、CWE-787）: Go の PostgreSQL ドライバ
github.com/jackc/pgx/v5に メモリ安全性（境界外書き込み） の欠陥。Go 版（GO-2026-4771 / 4772）および Red Hat エラータで修正が提供されています。 - CVE-2026-23950（node-tar、CVSS 8.8、CWE-367）:
path-reservationsの Unicode パス衝突処理の不備により、大文字小文字・正規化を区別しないファイルシステム（macOS APFS 等）で競合状態を悪用したシンボリックリンク汚染・任意ファイル上書きが可能。7.5.4 で修正。即時更新が難しい場合は、展開時にSymbolicLinkエントリを除外する回避策があります。 - CVE-2026-44293（protobufjs、CVSS 8.8、CWE-94）:
toObject変換用に生成される JavaScript に、スキーマ制御の bytes フィールド既定値由来の安全でない式が混入し得るコード生成の問題。7.5.6 / 8.0.2 で修正。
OpenSSL の CMS スタックバッファオーバーフロー（CVSS 8.8）
CVE-2025-15467（CVSS 8.8、CWE-787 / CWE-120） は、CMS の AuthEnvelopedData / EnvelopedData を AEAD 暗号（AES-GCM 等）で解析する際、ASN.1 パラメータ中の IV 長を検証せずに固定長スタックバッファへコピーすることに起因するスタックバッファオーバーフローです。認証・タグ検証よりも前に発生するため、有効な鍵なしでトリガー可能で、クラッシュ（DoS）や条件次第でコード実行に至り得ます。OpenSSL 3.0 / 3.3 / 3.4 / 3.5 / 3.6 が影響を受け、1.1.1 / 1.0.2 は非該当、FIPS モジュールも境界外のため非該当です。信頼できない S/MIME や PKCS#7 を処理するアプリケーションは、OpenSSL の更新を推奨します。
CI/CD 基盤・クラウド認証の脆弱性
- CVE-2026-33211（Tekton Pipelines、CVSS 9.6、CWE-22）: git resolver の
pathInRepoパラメータを介したパストラバーサルで、resolver Pod 上の任意ファイル（ServiceAccount トークンを含む）を base64 で読み出せます。1.0.1 / 1.3.3 / 1.6.1 / 1.9.2 / 1.10.2 で修正。マルチテナントでResolutionRequestsを作成できる環境は特に注意が必要です。 - CVE-2026-22797（OpenStack keystonemiddleware、CVSS 9.9、CWE-290）:
external_oauth2_tokenミドルウェアが受信認証ヘッダーを無害化せず、X-Is-Admin-Project/X-Roles/X-User-Idなどの偽装ヘッダーで権限昇格・なりすましが可能。external_oauth2_tokenを使う全構成が対象で、10.7.2 / 10.9.1 / 10.12.1 以降で修正されています。
Linux カーネル・その他の High
- CVE-2026-43112（Linux kernel、CVSS 8.8、CWE-125）: SMB クライアント（
fs/smb/client）のcifs_sanitize_prepathで、空文字列や区切り文字のみのパスに対する境界外読み取り。stable 系列で修正済みのため、ディストリのカーネル更新を適用してください。 - そのほか Emacs のコマンドインジェクション（CVE-2025-1244、8.8）、OpenShift Route の HAProxy 設定インジェクション（CVE-2026-1784、8.8） などが更新されています。
ℹ️ 注記: Python の PLY（Lex-Yacc）に関する RCE 報告（CVE-2025-56005、CVSS 9.8）は、第三者から「PoC が任意コード実行を実証できていない」として却下を求める指摘が出ています。評価が流動的なため、当面は動向を注視することを推奨します。
エコシステム別サマリー
PyPI
- Django: OSV 新規 Advisory（PYSEC-2026-3717 / CVE-2026-15830）。GeoDjango の
GEOSGeometryが深くネストしたGEOMETRYCOLLECTIONを WKT / WKB / 16進 WKB で解析する際、無制限の再帰により基盤の GEOS ライブラリでセグメンテーション違反（DoS） に至り得ます。Django 5.2.17 / 6.0.8 で修正されています。GeoDjango を利用するプロジェクトはアップデートを推奨します。
npm / Go
- 本日は Axios・Immutable.js・node-tar・protobufjs（npm）と jackc/pgx・x/crypto/ssh（Go）といった、依存として広く含まれるライブラリの Critical / High が集中しました。直接依存だけでなく、
package-lock.json/go.sumを通じた間接依存の棚卸しを推奨します。
JVN 日本語情報
- [JVNDB-2026-000097] SKYSEA Client View および SKYMEC IT Manager における複数の脆弱性（CVSS 8.5、High）: Ｓｋｙ株式会社の IT 資産管理ツールに、認可処理の欠如（CWE-862）、パストラバーサル（CWE-22 / CWE-25）、スタックベースのバッファオーバーフロー（CWE-121）、インストール時の不適切なファイルアクセス権設定（CWE-276）など複数の脆弱性が報告されました（CVE-2026-66109 ほか）。国内で導入の多い製品のため、提供元の情報に沿った更新を推奨します。
- [JVNDB-2026-000115] サクラエディタにおける OS コマンドインジェクションの脆弱性（CVSS 7.8、High、CVE-2026-59561）: 「ターミナルを起動」機能で、編集中ファイルのディレクトリ名を無害化せずにシェル起動へ用いるため、細工されたディレクトリ名で OS コマンドインジェクションが発生し得ます。信頼できない場所のファイルを開く運用では注意し、提供元の対応を確認してください。
まとめ
本日は 依存ツリーの土台となるライブラリ・ドライバの Critical / High が集中しました。最優先は Go の SSH 実装 x/crypto/ssh の 認可バイパス（CVE-2026-46595、CVSS 10.0） で、送信元 IP 制限を認可に組み込んでいる場合は特に影響が大きくなります。あわせて Axios（SSRF）・Immutable.js（プロトタイプ汚染）・jackc/pgx（メモリ安全性）・node-tar（任意ファイル上書き）・protobufjs（コード生成）・OpenSSL（CMS バッファオーバーフロー） と、間接依存として広く含まれるコンポーネントの修正が並んでいます。
対応としては、package-lock.json / go.sum を用いた直接・間接依存の棚卸しと、各提供元の修正版への更新を計画的に進めてください。CI/CD 基盤では Tekton Pipelines のパストラバーサル（9.6）、クラウド認証では OpenStack keystonemiddleware のなりすまし（9.9） に注意が必要です。国内向けには SKYSEA Client View と サクラエディタ の JVN 情報も確認しておくとよいでしょう。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。