本日の NVD 分析対象 200件 は Critical が 26件、High が 115件。最優先は Cisco Secure Firewall Management Center（FMC）の CVE-2026-20079（CVSS 10.0） で、認証不要のリモート攻撃で root 権限の奪取に至ります。加えて Go の x/crypto/ssh、KubeVirt、immutable.js、pgx などの Critical が並び、GitHub Advisory は 712件が更新されました。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 分析対象 | 200件（NVD 全体の該当は 2,557件） |
| ├ Critical (9.0+) | 26件 |
| ├ High (7.0-8.9) | 115件 |
| ├ Medium (4.0-6.9) | 48件 |
| ├ Low (0.1-3.9) | 6件 |
| GitHub Advisory（更新分） | 712件（Critical 62 / High 170 / Moderate 84 / Low 12 / 未分類 380） |
| OSV 新規Advisory | 0件 |
| JVN（日本語） | 5件 |
| 影響エコシステム | Maven, npm, PyPI, Packagist, Go, Hex, crates.io |
本日は既存 CVE の再評価・情報更新が多く、上位 Critical の多くは前日（2026-08-26）に最終更新されたものです。すでに対応済みの脆弱性が含まれる場合は、影響バージョンの確認のみで問題ありません。
Critical / High 脆弱性の詳細解説
Cisco Secure Firewall Management Center の認証不要リモート侵害（CVSS 10.0）
本日で最も深刻なのが CVE-2026-20079（CVSS 10.0、CWE-288） です。Cisco Secure Firewall Management Center（FMC）Software の Web インターフェースに認証処理の不備があり、認証されていないリモートの攻撃者が細工した HTTP リクエストを送るだけで認証を回避し、デバイス上でスクリプトを実行して基盤 OS の root アクセスを取得できます。原因はブート時に生成されるシステムプロセスの不備で、攻撃条件が容易なうえスコープ変更を伴うため、ベーススコアは最大値の 10.0 です。FMC はファイアウォール群を統括する管理基盤であり、侵害されると防御全体の掌握につながります。Cisco のセキュリティアドバイザリ（cisco-sa-onprem-fmc-authbypass）に沿ったパッチ適用と、管理インターフェースの外部露出の遮断を最優先で計画してください。
Go x/crypto/ssh のソースアドレス検証バイパス（CVSS 10.0）
CVE-2026-46595（CVSS 10.0、CWE-863/CWE-303） は、golang.org/x/crypto/ssh の認可バイパスです。過去の CVE-2024-45337 では SSH サーバー設定の誤用に対する認可バイパスが修正されましたが、公開鍵以外のコールバックが渡された場合にソースアドレス検証がスキップされる経路が残っていました。Go の SSH サーバー実装は広く利用されるため、golang.org/x/crypto を Go 脆弱性DB（GO-2026-5023）記載の修正版へ更新することを推奨します。
KubeVirt virt-handler のシンボリックリンク悪用によるノード奪取（CVSS 9.9）
CVE-2026-7374（CVSS 9.9、CWE-59） は、KubeVirt の virt-handler コンポーネントの脆弱性です。単一 namespace の編集権限を持つ認証済み OpenShift ユーザーが、VM コンソールソケットをホストのコンテナランタイム（CRI-O）ソケットへのシンボリックリンクに置き換えることで、virt-handler の特権接続を乗っ取れます。結果としてホスト上の任意の Unix ソケットへアクセスでき、ノードおよびクラスタ全体の掌握に至り得ます。Red Hat エラータ（RHSA-2026:20720 ほか）の修正版へ更新してください。
広く使われるライブラリの Critical
- CVE-2026-29063（immutable.js、CVSS 9.8、CWE-1321）:
mergeDeep()/merge()/Map.toJS()/Map.toObject()等の API で プロトタイプ汚染が可能。3.8.3 / 4.3.7 / 5.1.5 で修正されています。npm で広く使われるため間接依存も含めて確認を推奨します。 - CVE-2026-33815 / CVE-2026-33816（jackc/pgx/v5、CVSS 9.8、CWE-787）: Go の PostgreSQL ドライバ
github.com/jackc/pgx/v5のメモリ安全性の脆弱性。Go 脆弱性DB（GO-2026-4771 / GO-2026-4772）記載の修正版へ更新してください。 - CVE-2026-22797（OpenStack keystonemiddleware、CVSS 9.9、CWE-290）:
external_oauth2_tokenミドルウェアが受信認証ヘッダーを無害化せず、X-Is-Admin-Project/X-Roles/X-User-Idなどの偽装ヘッダーで権限昇格・なりすましが可能。10.7.2 / 10.9.1 / 10.12.1 以降で修正されています。 - CVE-2018-1273（Spring Data Commons、CVSS 9.8、CWE-94）: プロパティバインダの不備により、Spring Data REST 経由で認証不要のリモートコード実行に至り得る既知の脆弱性。1.13.10 / 2.0.5 で修正済みですが、旧バージョンの残存に注意してください。
High で注目したいもの
- CVE-2026-53435（Jenkins、CVSS 8.8、CWE-502）: 攻撃者が制御する
config.xmlの投入により、Jenkins core / プラグインで定義された任意型をデシリアライズでき、任意ユーザーへのなりすまし・Script Console 経由の任意コード実行・任意ファイル読み取りに至り得ます。Jenkins 2.567 以前 / LTS 2.555.2 以前が対象で、2026-06-10 のアドバイザリの修正版へ更新してください。 - CVE-2026-14474（SSSD、CVSS 8.8、CWE-1188）: LDAP sudo プロバイダで
ldap_sudo_search_baseが未設定の場合、SSSD が LDAP ツリー全体を検索し、書き込み権限を持つ攻撃者が root 相当の sudo 権限を付与する sudoRole を注入できます。設定の明示と Red Hat エラータの適用を推奨します。 - CVE-2026-59723（Cline、CVSS 8.8、CWE-346）: AI コーディングエージェント Cline の Hub ダッシュボードサーバーが
/browserエンドポイントで Origin ヘッダーを検証せず、ローカルバインド時に悪意あるサイトからコマンド実行を誘発され得ます。3.0.30 で修正されています。
エコシステム別サマリー
本日の GitHub Advisory 更新分では、影響エコシステムは Maven（104件）・npm（23件）・PyPI（19件）・Packagist（10件）・Go（6件）・Hex（6件）・crates.io（5件） の順で多く、特に Maven（Java） が全体の過半を占めました。OSV の新規 Advisory は本日ありませんでした。Java 系プロジェクトを持つ場合は、依存ライブラリの棚卸しと更新を進めてください。
JVN 日本語情報
- [JVNDB-2026-030097] 古野電気製 FA-50（簡易型船舶自動識別装置、AIS）における複数の脆弱性（CVSS 9.1、Critical、CVE-2026-67578 ほか）: ハードコードされた認証情報の使用（CWE-798）および認証の欠如（CWE-306）が報告されました。該当機器を利用している場合は提供元の情報を確認してください。
- [JVNDB-2026-000121] Apache Struts 2 におけるリソース枯渇の脆弱性（CVSS 7.5、High、CVE-2026-73635）: 制限・調整のないリソース割り当て（CWE-770）により、リソース枯渇（DoS）に至り得ます。Struts 2 を利用している場合は提供元の対応版を確認してください。
- [JVNDB-2026-000123] Android アプリ「マイナポイント」におけるアクセス制限不備の脆弱性（CVSS 5.3、Medium、CVE-2026-73335）: デジタル庁提供のアプリで、Custom URL Scheme ハンドラーのアクセス制限不備（CWE-939）が報告されました。ストアの更新情報を確認してください。
まとめ
本日の最優先は Cisco Secure Firewall Management Center の CVE-2026-20079（CVSS 10.0） です。認証不要でリモートから root 奪取に至るため、Cisco アドバイザリの修正適用と、管理インターフェースの外部露出遮断を最優先で計画してください。あわせて Go x/crypto/ssh・KubeVirt・OpenStack keystonemiddleware のインフラ系 Critical、immutable.js・pgx・Spring Data Commons の広く使われるライブラリの Critical も確認が必要です。
本日は既存 CVE の再評価・情報更新が中心で、上位の多くは前日に最終更新されたものです。すでに対応済みであれば影響バージョンの確認のみで構いません。エコシステム別では Maven（Java） の更新が突出しているため、Java 系依存の棚卸しを推奨します。国内向けには 古野電気 FA-50・Apache Struts 2・マイナポイント の JVN 情報を確認しておくとよいでしょう。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。