本日はNVDで集計したCVE 200件のうち、Criticalが10件、Highが88件でした。Neo4j Enterprise のSSO認可バイパスとMLflowの無認証ジョブAPI（いずれもCVSS 9.8）など、「認証・認可を素通りさせる」系が目立ちます。加えて Adobe Connect / Commerce のRCE・XSSが多数、Acrobat Reader の脆弱性は CISA KEV（悪用が確認された既知の脆弱性）に登録されており、デスクトップ製品側の更新も急がれます。
本日の概要
| 指標 | 数値 |
|---|---|
| 集計CVE | 200件（NVD全体では2,052件） |
| Critical (9.0+) | 10件 |
| High (7.0-8.9) | 88件 |
| Medium (4.0-6.9) | 100件 |
| Low (0.1-3.9) | 2件 |
| 影響エコシステム | Go, npm, Maven, Packagist, PyPI, crates.io |
Critical / High 脆弱性の詳細
CVE-2026-1524 Neo4j Enterprise のSSO実装エッジケースによる認可バイパス
- CVSS: 9.8（Critical） / CWE-287 / CWE-863
- 影響: Neo4j Enterprise Edition 2026.02 より前（5.x系は 5.26.22 より前）
- 概要: 複数のOIDCプロバイダを「認証専用」と「認可用」に使い分けている構成で、本来は認証のみを担うはずのプロバイダが認可情報も提供してしまう問題です。認証専用プロバイダ側に高い権限を持つグループが含まれる場合、想定外の権限昇格・認可バイパスにつながります。
- 対応: Neo4j 2026.02（または 5.26.22）以降へアップデート
- リンク: NVD / Neo4j Security
CVE-2026-0545 MLflow のジョブAPIがbasic-auth有効時も無認証でアクセス可能
- CVSS: 9.8（Critical） / CWE-306
- 影響: MLflow（修正版より前、最新版を含む）
- 概要: FastAPIのジョブエンドポイント（
/ajax-api/3.0/jobs/*）が、basic-authアプリを有効にしても保護されていません。ジョブ実行が有効（MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true）で許可リストにジョブ関数がある場合、無認証でジョブの投入・参照・キャンセルが可能となり、許可ジョブがシェル実行等を行う構成では無認証RCEに至る恐れがあります。 - 対応: MLflow の修正版へアップデート。困難な場合はジョブ実行を無効化し外部露出を遮断
- リンク: NVD / huntr
CVE-2023-49105 ownCloud core のpre-signed URLによるWebDAV認証バイパス
- CVSS: 9.8（Critical） / CWE-287
- 影響: owncloud/core 10.6.0 以上 10.13.1 未満
- 概要: 被害者のユーザー名が判明しており、その被害者に署名キー（signing-key）が設定されていない場合、認証なしで任意のファイルへアクセス・変更・削除が可能になる問題です。署名キー未設定でも pre-signed URL が受理されてしまうことが原因で、外部公開しているセルフホスト環境では特に注意が必要です。
- 対応: owncloud/core 10.13.1 以降へアップデート
- リンク: NVD / ownCloud
CVE-2026-27303 Adobe Connect の信頼できないデータのデシリアライズによる任意コード実行
- CVSS: 9.6（Critical） / CWE-502
- 影響: Adobe Connect 2025.3、12.10 およびそれ以前
- 概要: Adobe Connect にデシリアライズ脆弱性があり、現在のユーザー権限で任意コード実行につながる可能性があります。悪用には被害者が細工URLを開く等のユーザー操作が必要で、Scope changed とされています。同ブルティン APSB26-37 では複数のXSS・デシリアライズ（CVE-2026-27243/27245/27246、CVE-2026-34615 など）も同時に修正されています。
- 対応: Adobe Security Bulletin APSB26-37 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-33186 gRPC-Go のHTTP/2 :path 検証不備による認可バイパス
- CVSS: 9.1（Critical） / CWE-285 / CWE-551
- 影響: gRPC-Go 1.79.3 より前のバージョン
- 概要:
:path疑似ヘッダの検証が寛容すぎ、先頭スラッシュを欠いたパス（例:Service/Method）を受理していました。リクエストは正しいハンドラに到達する一方、認可インターセプタ（公式の grpc/authz を含む）は非正規化パスを評価するため、「deny」ルールが回避され認可バイパスにつながる可能性があります。 - 対応: gRPC-Go 1.79.3 以降へアップデート
- リンク: NVD / GHSA
CVE-2026-21290 Adobe Commerce (Magento) の格納型クロスサイトスクリプティング
- CVSS: 8.7（High） / CWE-79
- 影響: Adobe Commerce 2.4.9-alpha3、2.4.8-p3、2.4.7-p8 ほかそれ以前
- 概要: 低権限の攻撃者が脆弱なフォームフィールドに悪意あるスクリプトを注入でき、被害者が該当ページを閲覧した際にブラウザ上でJavaScriptが実行されます。セッション乗っ取りが可能で機密性・完全性への影響が高くなります。ECサイト運用者は低権限アカウントの棚卸しと併せて更新を検討してください。
- 対応: Adobe Security Bulletin APSB26-05 の修正版へアップデート
- リンク: NVD / Adobe
CVE-2026-34621 Acrobat Reader のプロトタイプ汚染による任意コード実行（CISA KEV）
- CVSS: 8.6（High） / CWE-1321
- 影響: Acrobat Reader 24.001.30356、26.001.21367 およびそれ以前
- 概要: Acrobat Reader にプロトタイプ汚染（Prototype Pollution）の脆弱性があり、悪意あるファイルを開くことで現在のユーザー権限での任意コード実行につながる可能性があります。本CVEは CISA の KEV（Known Exploited Vulnerabilities）カタログに登録されており、実際の悪用が確認されています。デスクトップ端末側の更新を優先してください。
- 対応: Adobe Security Bulletin APSB26-43 の修正版へアップデート
- リンク: NVD / Adobe
上記のほか、Adobe Connect の追加デシリアライズ（CVE-2026-34615 9.3）、Dreamweaver / Illustrator の任意コード実行（CVE-2026-21267〜21272、21280/21333）、Acrobat Reader のもう1件のプロトタイプ汚染（CVE-2026-34622 8.6）も High として集計されています。加えて eMudhra emSigner のアカウント乗っ取り（CVE-2023-43902 9.8）も本日 Critical に含まれます。
エコシステム別サマリー
本日の OSV 監視対象（16パッケージ）には新規該当はありませんでした。GitHub Advisory Database では940件の更新があり、パッケージ情報付きの新規勧告はエコシステム別に Go・npm・Maven が多い状況です。注目は以下です。
- npm / pnpm: pnpm でリポジトリ制御下の configDependencies が native install エンジンを選択できる問題（CVE-2026-55697、修正 10.34.2 / 11.5.3）。CI/開発環境で不特定リポジトリを扱う場合は要確認です。
- npm / svgo:
removeScriptsプラグインが一部の実行可能スクリプトを除去しきれない問題（CVE-2026-73650、修正 2.8.3 / 3.3.4）。SVGサニタイズ用途で使っている場合は更新を推奨します。 - Go / free5GC: NRF の nnrf-nfm がNFプロファイル入力検証を欠き、NF登録ポイズニングにつながる Critical（CVE-2026-55068、修正 4.2.2）。
- Maven / Yamcs:
executeSqlの列名インジェクションによる認証済みRCE（CVE-2026-55511、修正 5.13.2 / 5.12.8）。
JVN 日本語情報
MyJVN では本日4件が公開・更新されました。国内向けの注目は以下です。
- JVNDB-2026-000125（CVSS 9.8）SOYシリーズにおける複数の脆弱性。該当製品の利用者は提供元の情報を確認し最新版への更新を推奨します。
- JVNDB-2026-000110（CVSS 7.8）楽天Koboデスクトップアプリ（Windows版）のインストーラにおけるDLL読み込みの脆弱性。インストーラ実行前に信頼できる配布元か確認してください。
- JVNDB-2026-000124（CVSS 6.7）Zabbix agent におけるDLL読み込みの脆弱性。監視エージェント導入端末の更新を確認してください。
まとめ
本日は「認証・認可を素通りさせる」系（Neo4jのSSO認可バイパス、MLflowの無認証ジョブAPI、ownCloudのWebDAV認証バイパス、gRPC-Goの認可バイパス）が中心でした。いずれも設定条件が絡むため、まず自社の構成（OIDCプロバイダの使い分け、MLflowのジョブ実行有効化、外部公開範囲）を確認したうえで影響を切り分けるのが効率的です。
デスクトップ・アプリ側では Acrobat Reader が CISA KEV に登録され実際の悪用が確認されているため、APSB26-43 の適用を最優先で進めてください。Adobe Connect / Commerce を運用している場合は APSB26 系ブルティンの適用状況も併せて確認しましょう。各CVEの影響バージョン・確認コマンド・対応可否の判断は、個別ページにまとめています。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。