本日はNVDで集計したCVE 200件のうち、Criticalが12件、Highが135件と高深刻度が多めです。gRPC-Goの認可バイパス（CVSS 9.1）やGo製PostgreSQLドライバ pgx の境界外書き込み（9.8）など、広く使われる基盤ライブラリの更新が必要な一日です。Adobe製品（Connect / ColdFusion / Commerce / AEM）のRCE・XSSも複数公開されています。
本日の概要
| 指標 | 数値 |
|---|---|
| 集計CVE | 200件（NVD全体では1,551件） |
| Critical (9.0+) | 12件 |
| High (7.0-8.9) | 135件 |
| Medium (4.0-6.9) | 49件 |
| Low (0.1-3.9) | 3件 |
| 影響エコシステム | Maven, NuGet, Packagist, npm, Go, PyPI |
Critical / High 脆弱性の詳細
CVE-2026-33815 jackc/pgx (Go PostgreSQLドライバ)のメモリ安全性（境界外書き込み）脆弱性
- CVSS: 9.8（Critical） / CWE-787
- 影響: github.com/jackc/pgx/v5（修正版より前の全バージョン）
- 概要: Goの代表的なPostgreSQLドライバである jackc/pgx v5 にメモリ安全性の脆弱性（境界外書き込み）が報告されました。悪用された場合、メモリ破壊を通じて予期しない動作やコード実行につながる恐れがあります。pgx はGoのDBアクセスで広く使われているため、依存関係に含まれるサービスは影響確認が推奨されます。
- 対応: Go vuln DB (GO-2026-4771) が示す修正版へアップデート
- リンク: NVD / Go Vuln DB
CVE-2026-33186 gRPC-GoのHTTP/2 :path 検証不備による認可バイパス
- CVSS: 9.1（Critical） / CWE-285 / CWE-551
- 影響: gRPC-Go 1.79.3 より前のバージョン
- 概要: gRPC-Goのサーバがルーティングにおいて
:path疑似ヘッダの検証に寛容すぎたため、先頭スラッシュを欠いたパス（例:Service/Method）を受理していました。リクエストは正しいハンドラに到達する一方、認可インターセプタ（公式の grpc/authz を含む）は非正規化パスを評価するため、「deny」ルールが回避され認可バイパスにつながる可能性があります。 - 対応: gRPC-Go 1.79.3 以降へアップデート
- リンク: NVD / GHSA
CVE-2026-39821 golang.org/x/net idna パッケージのPunycodeラベル検証不備による権限昇格
- CVSS: 9.6（Critical） / CWE-1289
- 影響: golang.org/x/net の idna パッケージ（修正版より前）
- 概要: ToASCII / ToUnicode 関数が、ASCIIのみに復号されるPunycodeラベル（例:
xn--example-.com）を誤って受理し、example.comを返してしまう問題です。ASCIIホスト名で権限チェックを行い、その後Unicodeへ変換するプログラムでは、拒否したはずの名前へのアクセスを結果的に許可してしまう権限昇格につながる恐れがあります。 - 対応: golang.org/x/net を GO-2026-5026 が示す修正版へアップデート
- リンク: NVD / Go Vuln DB
CVE-2026-34659 Adobe Connectの信頼できないデータのデシリアライズによる任意コード実行
- CVSS: 9.6（Critical） / CWE-502
- 影響: Adobe Connect 2025.9.15、2025.8.157 およびそれ以前
- 概要: Adobe Connect に信頼できないデータのデシリアライズ脆弱性があり、現在のユーザー権限で任意コード実行につながる可能性があります。悪用には、被害者が細工されたURLを開く等のユーザー操作が必要です（Scope changed）。
- 対応: Adobe Security Bulletin APSB26-50 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-34660 Adobe Connectの不正な認可（Incorrect Authorization）
- CVSS: 9.3（Critical） / CWE-863
- 影響: Adobe Connect 2025.9.15、2025.8.157 およびそれ以前
- 概要: Adobe Connect の認可処理に不備があり、悪意あるスクリプトの注入を通じて、現在のユーザー権限での任意コード実行や、被害者のアカウント・セッションへの昇格アクセスにつながる可能性があります。悪用には細工URLへのアクセス等のユーザー操作が必要です。
- 対応: Adobe Security Bulletin APSB26-50 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-47928 Adobe ColdFusionの不適切な入力検証による任意コード実行
- CVSS: 9.6（Critical） / CWE-20
- 影響: Adobe ColdFusion 2023.19、2025.8 およびそれ以前
- 概要: Adobe ColdFusion に不適切な入力検証の脆弱性があり、現在のユーザー権限で任意コード実行につながる可能性があります。脆弱なコンポーネントは既定では管理ネットワークゾーンに限定されており、悪用にユーザー操作は不要（Scope changed）とされています。管理ゾーンの露出を確認してください。
- 対応: Adobe Security Bulletin APSB26-64 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-34691 Adobe Experience Manager Forms JEEの格納型クロスサイトスクリプティング（XSS）
- CVSS: 9.3（Critical） / CWE-79
- 影響: AEM Forms JEE LTS SP1、6.5.24.0 およびそれ以前
- 概要: Adobe Experience Manager Forms JEE に格納型XSSの脆弱性があります。攻撃者が脆弱なフォームフィールドに悪意あるスクリプトを注入し、被害者が該当ページを閲覧した際にブラウザ上でJavaScriptが実行され、アカウントやセッションへの昇格アクセスにつながる恐れがあります。
- 対応: Adobe Security Bulletin APSB26-57 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-44293 protobuf.js (protobufjs)の生成コードへの安全でない式の混入（コードインジェクション）
- CVSS: 8.8（High） / CWE-94
- 影響: protobufjs 7.5.6 より前、および 8.0.0〜8.0.1
- 概要: protobuf.js が toObject 変換用に生成するJavaScriptに、スキーマ由来の安全でない式が含まれ得る問題です。bytes フィールドの既定値に非文字列を持つ細工されたディスクリプタにより、生成関数へ攻撃者制御のコードが混入する可能性があります。npm で広く使われるため、依存確認が推奨されます。
- 対応: protobufjs 7.5.6 または 8.0.2 以降へアップデート
- リンク: NVD / GHSA
CVE-2026-27140 Go ツールチェーン (cgo/SWIG)の信頼レイヤ回避によるビルド時コードスマグリング
- CVSS: 8.8（High） / CWE-863 / CWE-641
- 影響: Go ツールチェーン（GO-2026-4871 の修正版より前）
- 概要:
cgoを含むファイル名と細工された入力データにより、信頼レイヤのバイパスを通じてビルド時に任意コードが実行され得る問題です。Goのビルドツールチェーンは外部から取得したソースをそのままコンパイルする前提で動作するため、信頼できないSWIG入力をビルドするCI/CDやパッケージ取り込み経路で影響を受ける可能性があります。とくにサードパーティのモジュールやプルリクエストを自動ビルドするパイプラインでは、ビルド実行そのものがコード実行の起点になり得る点に注意が必要です。ローカルで信頼済みのソースのみをビルドしている環境では影響は限定的ですが、依存取得と同時に検証を行う運用が推奨されます。 - 対応: Go を GO-2026-4871 が示す修正版へアップデート
- リンク: NVD / Go Vuln DB
CVE-2025-67030 plexus-utils (Codehaus)のextractFile におけるディレクトリトラバーサル
- CVSS: 8.8（High） / CWE-22
- 影響: plexus-utils（修正コミット 6d780b3 より前）
- 概要: plexus-utils の Expand.extractFile メソッドにディレクトリトラバーサルの脆弱性があり、アーカイブ展開時に想定外のパスへファイルが書き出され、任意コード実行につながる可能性があります。Maven ビルドツール群の依存として広く含まれるため確認が推奨されます。
- 対応: 修正コミット 6d780b3 を含む plexus-utils へアップデート
- リンク: NVD / GitHub
CVE-2026-43112 Linux kernel (cifs client)のcifs_sanitize_prepath における境界外読み取り
- CVSS: 8.8（High） / CWE-125
- 影響: Linux kernel の SMB/CIFS クライアント（stable 修正前）
- 概要: Linux kernel の SMB/CIFS クライアントにおいて、cifs_sanitize_prepath が空文字列や区切り文字のみのパスを処理する際に境界外読み取りが発生する問題です。SMB マウントを利用する環境で影響を受ける可能性があります。ディストリの更新カーネルへの適用が推奨されます。
- 対応: 各ディストリビューションの修正済みカーネルへアップデート
- リンク: NVD / kernel.org
CVE-2026-34653 Adobe Commerce (Magento)のパストラバーサルによる任意ファイル読み書き
- CVSS: 8.7（High） / CWE-22
- 影響: Adobe Commerce 2.4.9-beta1、2.4.8-p4、2.4.7-p9 ほかそれ以前
- 概要: Adobe Commerce（Magento）にパストラバーサルの脆弱性があり、管理者権限を持つ認証済み攻撃者が制限領域外のファイルを読み書きできる可能性があります。悪用にユーザー操作は不要（Scope changed）です。ECサイト運用者は管理者権限の棚卸しと併せて更新を検討してください。
- 対応: Adobe Security Bulletin APSB26-49 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-0010 Android (DRM Manager Service)のIDrmManagerService の境界外書き込みによる権限昇格
- CVSS: 8.4（High） / CWE-787
- 影響: 2026-03-01 セキュリティパッチレベル未適用のAndroid端末
- 概要: Android の IDrmManagerService.cpp の onTransact に境界チェック欠如による境界外書き込みがあり、追加の実行権限なしにローカル権限昇格につながる可能性があります。悪用にユーザー操作は不要です。端末のセキュリティパッチ適用が推奨されます。
- 対応: 2026-03-01 以降のセキュリティパッチを適用
- リンク: NVD / Android
上記のほか、Linux kernel の 9.8 級（CVE-2025-40074 の ipv4 UAF、CVE-2025-68794 の iomap 不整合）や、EMSigner のアカウント乗っ取り（CVE-2023-43902）も本日 Critical として集計されています。カーネルは各ディストリビューションの更新提供に沿って適用してください。
エコシステム別サマリー
本日の OSV 監視対象（16パッケージ）には新規該当はありませんでした。GitHub Advisory Database では893件の更新があり、パッケージ情報付きの新規勧告はエコシステム別に Maven が最多です。Go では pgx・gRPC-Go・x/net(idna)・cgo/SWIG と基盤系が集中しており、依存ツリーの棚卸しを推奨します。npm では protobufjs のコードインジェクション（CVE-2026-44293）が注目です。
JVN 日本語情報
MyJVN では本日9件が公開・更新されました。国内向けの注目は以下です。
- JVNDB-2026-000110（CVSS 7.8）楽天Koboデスクトップアプリ（Windows版）のインストーラにおけるDLL読み込みの脆弱性。ダウンロードしたインストーラを実行する前に、信頼できる配布元か確認してください。
- JVNDB-2026-000122（CVSS 7.8）CorvusSKK における複数の脆弱性。日本語入力IMEの利用者は最新版への更新を推奨します。
- JVNDB-2026-000123（CVSS 5.3）Androidアプリ「マイナポイント」におけるアクセス制限不備の脆弱性。
まとめ
本日は「認証・認可を素通りさせる」系（gRPC-Goの認可バイパス、Go x/netのPunycode検証不備、plexus-utilsのパストラバーサル）と、「ビルド/生成時に不正なコードが混入する」系（protobufjs、Go cgo/SWIG）が目立ちました。いずれもアプリ本体ではなく依存ライブラリ・ツールチェーン側の更新が必要になるため、SBOMや依存ツリーの確認を起点に対応範囲を洗い出すのが効率的です。Adobe製品を運用している場合は APSB26 系ブルティンの適用状況を、Android端末は 2026-03-01 パッチレベルの適用を併せて確認してください。
各CVEの影響バージョン・確認コマンド・対応可否の判断は、個別ページにまとめています。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。