本日はNVDで集計したCVE 200件のうち、Criticalが32件、Highが90件でした。最も深刻なのは Siemens SIMATIC IoT2050 の Node-RED インタフェースが無認証で任意コード実行を許す CVE-2026-58115（CVSS 10.0）です。加えて wg-easy や Progress MarkLogic の権限奪取、Python StateMachine・OpenMed・n8n といったOSS/ライブラリの注入系（RCE・SQLi）が多数並び、全体として「コード実行・権限昇格」系が目立つ一日となりました。
本日の概要
| 指標 | 数値 |
|---|---|
| 集計CVE | 200件（NVD全体では1,461件） |
| Critical (9.0+) | 32件 |
| High (7.0-8.9) | 90件 |
| Medium (4.0-6.9) | 64件 |
| Low (0.1-3.9) | 0件 |
| 影響エコシステム | Maven, Packagist, npm, Go, PyPI, crates.io |
Critical / High 脆弱性の詳細
CVE-2026-58115 Siemens SIMATIC IoT2050 の Node-RED 無認証による任意コード実行
- CVSS: 10.0（Critical） / CWE-306
- 影響: SIMATIC IoT2050 Advanced（6ES7647-0BA00-1YA2）で Node-RED を導入した Industrial OS の V4.3.4.1 より前
- 概要: Node-RED の HTTP インタフェースに認証が強制されておらず、システムコマンドを実行できるプログラミングノードへ無認証でアクセスできてしまう問題です。リモートの攻撃者が細工したフローを作成することで、サーバ上で最高権限による任意コード実行に至る可能性があります。産業用ゲートウェイという性質上、OTネットワークへの侵入起点になり得ます。
- 対応: Industrial OS を V4.3.4.1 以降へアップデート。当面は Node-RED インタフェースの外部露出を遮断
- リンク: NVD / Siemens ProductCERT (SSA-834709)
CVE-2026-72603 wg-easy のクライアント名を介したOSコマンドインジェクション（root実行）
- CVSS: 9.9（Critical） / CWE-78
- 影響: wg-easy 15.3.0
- 概要:
clients.create権限を持つユーザがクライアント名フィールドに改行区切りの WireGuardPostUpディレクティブを注入できる問題です。クライアント名が改行を無害化せずに設定ファイルへ書き込まれるため、wg-quickが root 権限で任意ディレクティブを実行し、ホスト上での root コード実行に至ります。管理UIを共有している環境では権限設計の見直しが必要です。 - 対応: 修正版へのアップデート。当面は
clients.create権限の付与範囲を最小化し、管理UIの露出を制限 - リンク: NVD / wg-easy
CVE-2026-9192 Progress MarkLogic Server の ODBC App Server 認証バイパス
- CVSS: 9.8（Critical） / CWE-287
- 影響: Progress MarkLogic Server 11.3.6 より前、および 12.0.3 より前
- 概要: ODBC App Server においてパスワード検証を回避され、管理者を含む任意の名前付きユーザの権限でクエリを実行できてしまう認証バイパスです。無認証のリモート攻撃者が悪用可能で、データベースの機密性・完全性・可用性すべてに影響します。同ブルティンでは低権限RESTロールからの権限昇格（CVE-2026-7329、CVE-2026-8709、CVE-2026-9193、いずれも9.9）も同時に修正されています。
- 対応: MarkLogic Server 11.3.6 / 12.0.3 以降へアップデート
- リンク: NVD / Progress (Security Alert Bulletin August 2026)
CVE-2026-47103 Python StateMachine の SCXML 経由 eval インジェクションによる任意コード実行
- CVSS: 9.8（Critical） / CWE-95 / CWE-94
- 影響: python-statemachine 3.0.0 以上 3.2.0 未満
- 概要: SCXMLプロセッサが
<data expr="...">属性の式文字列を、サンドボックスなしで Python の組み込みeval()に渡していました。攻撃者が細工した SCXML ドキュメントを与えられる経路がある場合、ホストプロセスの権限で任意コード実行が可能です。公開PoCが存在するため、外部入力のSCXMLを処理する構成では優先的な対応を推奨します。 - 対応: python-statemachine 3.2.0 以降へアップデート
- リンク: NVD / GHSA-v4jc-pm6r-3vj8
CVE-2026-72750 n8n の Snowflake ノードにおける SQL インジェクション
- CVSS: 8.8（High） / CWE-89
- 影響: n8n 1.123.67 より前、2.31.5 より前、2.32.1 より前
- 概要: Snowflake ノードの Execute Query 操作が、式（expression）の値を SQL 文字列へ直接補間していました。ワークフロー作成者が外部由来の信頼できないデータを生SQLに埋め込むと、パラメータ化されずにSQLインジェクションが成立します。修正版では位置指定プレースホルダで値をバインドする「Query Parameters」フィールドが追加されています。
- 対応: n8n 1.123.67 / 2.31.5 / 2.32.1 以降へアップデートし、生SQLでは Query Parameters を使用
- リンク: NVD / GHSA-652q-gvq3-74qv
CVE-2026-18691 MongoDB Server のクラスタ内接続における認証機構ダウングレード
- CVSS: 8.8（High） / CWE-757
- 影響: MongoDB Server（レプリカセット構成、詳細はベンダー情報を参照）
- 概要: レプリカセットメンバ間の接続確立時に、どの認証機構が使われるかを攻撃者が影響できる問題です。一定の条件下でクラスタ共有の内部資格情報が保護の弱い形で送信され、復元されると内部スーパーユーザとしてノードへ認証されてしまう恐れがあります。相応のネットワークアクセスが前提ですが、クラスタ全体の掌握につながり得ます。
- 対応: MongoDB のセキュリティ情報（SERVER-130264）に従い修正版へアップデート
- リンク: NVD / MongoDB JIRA (SERVER-130264)
Visual Studio Code の複数のコード実行脆弱性（CVE-2026-59113 / 69320 / 70336）
- CVSS: いずれも 8.8（High） / CWE-862・CWE-78・CWE-94
- 影響: Visual Studio Code（Microsoft のセキュリティ情報を参照）
- 概要: 認可の欠如（CVE-2026-59113）、OSコマンドインジェクション（CVE-2026-69320）、コードインジェクション（CVE-2026-70336）により、いずれもネットワーク経由での任意コード実行につながる可能性があります。開発端末は攻撃対象になりやすいため、更新を優先してください。
- 対応: Visual Studio Code を最新版へアップデート
- リンク: MSRC CVE-2026-59113
上記のほか、D-Link DWR-M961 のファームウェアにおけるコマンドインジェクション（CVE-2026-71944 / CVE-2026-71945、いずれも9.8、root実行）、OpenMed の PII フィルタ経由の無認証RCE（CVE-2026-47117 9.8）、Cisco IMC の Web管理画面におけるコマンドインジェクション（CVE-2026-20094 8.8）、FreePBX Framework 17.0 のCSRF（CVE-2026-72578 8.8）も本日の注目CVEです。
エコシステム別サマリー
本日の GitHub Advisory Database では629件の更新があり、パッケージ情報付きの新規勧告はエコシステム別に Maven が突出（Apache Camel 系の一斉修正が中心）、続いて Packagist・npm・Go・PyPI が並びました。注目は以下です。
- Maven / Apache Camel: ヘッダフィルタ回避やインジェクション系の勧告が多数（CVE-2026-48203・46456・46455・66906 ほか）。Camel を組み込むアプリは該当コンポーネントの更新を確認してください。
- Java / Keycloak: reset-credentials フロー回避による無認証アカウント乗っ取り（CVE-2026-18963）。IdPとして運用している場合は優先対応を推奨します。
- Maven / Yamcs: instance-template や StreamSQL 経由のRCE（CVE-2026-55559・55565）。
- Packagist / Pimcore: DataObject クラス定義や
unserialize経由のRCE（CVE-2026-55634・55220）。 - npm / Nuxt:
navigateTo/reloadNuxtAppのURL処理不備によるオープンリダイレクト・クライアント側スクリプト実行（CVE-2026-56326）。本日のOSV監視対象（16パッケージ）ではこの Nuxt の1件が該当しました。
JVN 日本語情報
MyJVN では本日3件が公開・更新されました。国内向けの注目は以下です。
- JVNDB-2026-000125（CVSS 9.8）SOYシリーズにおける複数の脆弱性（XSS・デシリアライゼーション）。該当製品の利用者は提供元情報を確認し最新版への更新を推奨します。
- JVNDB-2026-000124（CVSS 6.7）Zabbix agent のインストール時ファイルアクセス権設定不備に起因するDLL読み込みの脆弱性。監視エージェント導入端末の更新を確認してください。
- JVNDB-2026-000089（CVSS 6.3）GROWI におけるブックマーク関連APIの認可不備・権限チェック回避。社内Wikiとして運用している場合は更新を確認してください。
まとめ
本日は「認証・認可を素通りさせて任意コード実行に至る」系が中心でした。Siemens SIMATIC IoT2050（無認証RCE、CVSS 10.0）と MarkLogic の ODBC 認証バイパス（無認証、9.8）は外部からの攻撃条件が緩く、影響も甚大です。ネットワーク的な露出範囲の確認と、修正版適用を最優先で進めてください。
OSS/ライブラリ側では wg-easy・Python StateMachine・OpenMed・n8n など、入力の取り扱いに起因する注入系（RCE・SQLi）が目立ちました。依存パッケージの棚卸しと、外部入力を扱う経路（SCXML・生SQL・モデル名など）の確認を併せて実施しましょう。各CVEの影響バージョン・確認コマンド・対応可否の判断は、個別ページにまとめています。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。