本日はNVDで集計したCVE 141件のうち、Criticalが10件、Highが45件でした。最も深刻なのは Adobe Campaign Classic（ACC）が無認証・ユーザー操作不要で任意コード実行を許す CVE-2026-76193 ほか3件（いずれもCVSS 10.0）です。加えて PostgreSQL では任意コード実行につながる不具合が18件まとめて修正され、WordPressプラグインのアカウント乗っ取り、Linux kernel やネットワーク機器の脆弱性も並びました。エンタープライズ製品とデータベース基盤の両面で対応が必要な一日です。
本日の概要
| 指標 | 数値 |
|---|---|
| 集計CVE | 141件 |
| Critical (9.0+) | 10件 |
| High (7.0-8.9) | 45件 |
| Medium (4.0-6.9) | 54件 |
| Low (0.1-3.9) | 32件 |
| 影響エコシステム | npm ほか（OSV監視対象） |
Critical / High 脆弱性の詳細
CVE-2026-76193 Adobe Campaign Classic の SSRF を起点とした任意コード実行
- CVSS: 10.0（Critical） / CWE-918
- 影響: Adobe Campaign Classic（ACC、APSB26-134 対象バージョン）
- 概要: サーバサイドリクエストフォージェリ（SSRF）を悪用され、現在のユーザーのコンテキストで任意コード実行に至る可能性があります。攻撃にユーザー操作は不要で、スコープ変更（Scope: Changed）を伴う最大深刻度です。同ブルティンでは OS コマンドインジェクションによる同等のRCE（CVE-2026-76195 / CVE-2026-76197、いずれも10.0）も同時に修正されています。
- 対応: Adobe のセキュリティ情報 APSB26-134 に従い、修正版へ速やかにアップデート
- リンク: NVD / Adobe APSB26-134
CVE-2026-14662 PostgreSQL の任意コード実行系脆弱性（計18件の一斉修正）
- CVSS: 8.8（High、代表値） / CWE-190・CWE-122・CWE-843 ほか
- 影響: PostgreSQL 18.6 / 17.11 / 16.15 / 15.19 / 14.24 より前
- 概要: tsvector/tsquery の整数ラップアラウンド（CVE-2026-14662）、正規表現やto_char・plperlのヒープバッファオーバーフロー、型混同、EXTRACT()デパースのSQLインジェクション（CVE-2026-15741）など、DBサーバ運用OSユーザー権限での任意コード実行につながる問題が18件まとめて公開されました。多くはDBユーザーや関数作成者など一定の権限が前提ですが、影響は甚大です。
- 対応: PostgreSQL 18.6 / 17.11 / 16.15 / 15.19 / 14.24 以降へアップデート
- リンク: NVD / PostgreSQL Security
CVE-2026-15369 Custom User Registration Fields for WooCommerce の権限昇格
- CVSS: 9.8（Critical） / CWE-269
- 影響: Custom User Registration Fields for WooCommerce 2.2.3 以前
- 概要: 決済時のStore API経由で攻撃者が指定したロール値が検証されずに注文メタへ保存され、そのまま
add_role()に渡されるため、無認証の攻撃者が「administrator」を指定してアカウントを作成し管理者権限を取得できてしまいます。悪用には「User Role Selection」設定が有効である必要があります。 - 対応: プラグインの修正版へアップデート。当面は該当設定を無効化
- リンク: NVD / Wordfence
CVE-2026-16259 Uix UserCenter（WordPress）のアカウント乗っ取り
- CVSS: 9.8（Critical） / CWE-269
- 影響: Uix UserCenter WordPress プラグイン 1.0.3 まで
- 概要: 無認証のプロフィール更新アクションが対象アカウントの所有者確認を行わず、さらに署名鍵が全インストール共通のハードコード値である問題です。攻撃者が任意ユーザーのトークンを偽造し、管理者のメールアドレスとパスワードを上書きしてアカウントを乗っ取ることが可能です。
- 対応: 修正版への更新、または当面はプラグインを無効化
- リンク: NVD / WPScan
CVE-2026-15980 MyHome Core（WordPress）の認証バイパス
- CVSS: 9.8（Critical） / CWE-289
- 影響: MyHome Core プラグイン 4.4.5 以前
- 概要:
send_link()AJAXハンドラの認可欠如とactivate()のトークン検証不備により、無認証の攻撃者が未確認アカウント（管理者を含む）の有効な認証クッキーを取得できます。悪用にはレガシー/WPBakeryモードでのフロント登録・確認メール有効化などの条件があります。 - 対応: 修正版へアップデート
- リンク: NVD / Wordfence
CVE-2026-82542 Tenda HG10 のバッファオーバーフロー（PoC公開）
- CVSS: 10.0（Critical） / CWE-119・CWE-120
- 影響: Tenda HG10（300001138）Boa Web Server
- 概要:
formIPv6RoutingのdestNet引数の処理でバッファオーバーフローが発生し、リモートから攻撃可能です。エクスプロイトが公開されており、悪用リスクが高い状態です。家庭・SOHO向けルータのため、管理画面をインターネットに露出していないかの確認が重要です。 - 対応: ベンダー提供の修正ファームウェアを確認。当面は管理インタフェースの外部露出を遮断
- リンク: NVD / VulDB
CVE-2026-80721 Linux kernel の Bluetooth ISO における解放後参照
- CVSS: 8.8（High）
- 影響: Linux kernel（Bluetooth ISO、stable系の該当バージョン）
- 概要:
iso_conn_del()後に ISO ソケットがhconを参照し続ける可能性があり、ダングリング参照（解放後参照）につながる問題です。修正ではiso_conn_del()内で明示的に参照をクリアし、競合状態の複雑な取り扱いを解消しています。 - 対応: ディストリビュータ提供のカーネル更新を適用
- リンク: NVD / kernel.org
CVE-2026-72984 Microsoft Edge（Chromium）の型混同によるRCE
- CVSS: 8.8（High） / CWE-843
- 影響: Microsoft Edge（Chromium ベース）
- 概要: 互換性のない型でのリソースアクセス（型混同）により、ネットワーク経由で認可されていない攻撃者が任意コード実行に至る可能性があります。ブラウザは日常的に攻撃対象になりやすいため、更新の優先度が高い脆弱性です。
- 対応: Microsoft Edge を最新版へアップデート
- リンク: NVD / MSRC
CVE-2026-82636 Qubes OS の qvm-copy-to-vm 経由 OS コマンドインジェクション
- CVSS: 7.9（High） / CWE-78
- 影響: Qubes OS の qubes-core-dom0-linux 4.3.22 より前
- 概要: dom0 から攻撃者制御下のqubeへの
qvm-copy-to-vm実行時に、エラーメッセージをsystemライブラリ関数で処理しており、シェルメタ文字を含むメッセージによりコマンドインジェクションが成立し得ます。dom0はQubesの信頼境界の中核であり、影響が大きい箇所です。 - 対応: qubes-core-dom0-linux 4.3.22 以降へアップデート
- リンク: NVD / Qubes QSB-118
CVE-2026-78002 rsyslog の RainerScript replace() におけるヒープバッファオーバーフロー
- CVSS: 7.5（High） / CWE-131
- 影響: rsyslog（RainerScript
replace()を使用する構成） - 概要: 無認証のリモート攻撃者が細工した syslog メッセージを送ることで、文字列置換時のバッファサイズ計算ミスによりヒープバッファオーバーフローを引き起こせます。成功するとサービス拒否（DoS）に至ります。ログ集約基盤として広く使われるため、外部からメッセージを受け付ける構成では確認を推奨します。
- 対応: ディストリビュータ提供の修正版へアップデート
- リンク: NVD / GHSA-g72f-gc6v-f2w3
上記のほか、Pake（Tauri）のパストラバーサルによる永続化・コード実行（CVE-2026-82635 8.8）、Readest（Tauri/EPUB）の iframe srcdoc を介したXSSからのRCE（CVE-2026-82642 8.8）、keploy のエージェント制御プレーン無認証公開によるTLS鍵漏えい（CVE-2026-82641 8.6）、NextChat のプロキシ経由 OpenAI APIキー漏えい（CVE-2026-82639 7.5）、SiYuan の保存型XSS（CVE-2026-82653 / CVE-2026-82654、いずれも8.9）も本日の注目CVEです。
エコシステム別サマリー
本日の OSV 監視対象（16パッケージ）では npm の1件が該当しました。
- npm / Nuxt:
navigateTo/reloadNuxtAppのURL処理不備による SSRF オープンリダイレクト・クライアント側スクリプト実行・プロトコル相対バイパス（CVE-2026-56326）。修正版は 4.4.7 / 3.21.7 です。Nuxt を利用している場合はアップデートを推奨します。
また GitHub Advisory Database では、AI/開発ツール系の勧告が目立ちました。jina-ai reader のSSRF（CVE-2026-82638 7.5）、browser-use web-ui の平文APIキー保存・任意ディレクトリ作成、pac4j（OIDC/SAML）の一連の認可不備、Rodauth（Ruby）のCSRF/TOTP再利用など、認証・認可基盤やAIエージェント周辺の実装不備が続いています。
JVN 日本語情報
本日の MyJVN では「該当する脆弱性対策情報はありません」と応答され、国内向けの新規公開はありませんでした。海外ソース（NVD / GHSA / OSV）を中心に対応判断を進めてください。
まとめ
本日は「無認証・ユーザー操作不要で任意コード実行に至る」エンタープライズ製品の脆弱性が最も深刻でした。Adobe Campaign Classic のCVSS 10.0（3件）は攻撃条件が緩く影響も甚大なため、APSB26-134 に基づく修正版適用を最優先で進めてください。
データベース基盤では PostgreSQL が任意コード実行につながる不具合を18件まとめて修正しています。多くは一定の権限が前提ですが、対象バージョンが広範のため、18.6 / 17.11 / 16.15 / 15.19 / 14.24 以降への計画的なアップデートを推奨します。WordPressプラグイン群の無認証アカウント乗っ取りや、Linux kernel・ネットワーク機器の脆弱性も併せて確認しましょう。各CVEの影響バージョン・確認コマンド・対応可否の判断は個別ページにまとめています。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。