【セキュリティ日報】Samba・Go SSHのRCE級（CVSS10.0）ほかCritical 19件・High 79件（2026-09-01）

本日はNVDで集計したCVE 200件のうち、Criticalが19件、Highが79件と多めでした。最も深刻なのは Samba AD ドメインコントローラの WINS フックで無認証のリモートコード実行に至る CVE-2025-10230（CVSS 10.0）と、Go の golang.org/x/crypto/ssh におけるサーバ認可バイパス CVE-2026-46595（CVSS 10.0）です。加えて Axios・Handlebars・Immutable.js・flatted・pyOpenSSL など広く使われる npm / Python ライブラリに重大な脆弱性が並びました。基盤サービスとアプリ依存ライブラリの両面で棚卸しが必要な一日です。

本日の概要

Critical / High 脆弱性の詳細

CVE-2025-10230 Samba WINS フックの OS コマンドインジェクション

• CVSS: 10.0（Critical） / CWE-78
• 影響: Samba Active Directory ドメインコントローラ（WINS フックを有効化した構成）
• 概要: WINS 登録パケットに含まれる NetBIOS 名が、検証やエスケープを経ずにシェルコマンドへ渡されます。これにより無認証のネットワーク攻撃者が Samba プロセス権限でリモートコード実行に至る可能性があります。攻撃条件が緩く、AD DC を運用している環境では影響が甚大です。
• 対応: Samba プロジェクトのセキュリティ情報に従い修正版へアップデート。当面は wins hook の無効化を検討
• リンク: NVD / Samba Security History

CVE-2026-46595 Go x/crypto/ssh の認可バイパス（source-address 検証スキップ）

• CVSS: 10.0（Critical） / CWE-863・CWE-303
• 影響: golang.org/x/crypto/ssh を利用する SSH サーバ実装
• 概要: CVE-2024-45337 の修正後も、公開鍵以外のコールバックが渡された場合に接続元アドレス（source-address）の検証がスキップされる問題が残っていました。設定によっては接続元制限を回避され、認可バイパスにつながります。
• 対応: golang.org/x/crypto の修正版へアップデート（Go 脆弱性DB GO-2026-5023 を参照）
• リンク: NVD / GO-2026-5023

CVE-2025-62718 Axios の NO_PROXY バイパスによる SSRF

• CVSS: 9.9（Critical） / CWE-918・CWE-1289
• 影響: Axios 1.15.0 より前、および 0.31.0 より前
• 概要: NO_PROXY ルール照合時のホスト名正規化が不十分で、localhost.（末尾ドット）や [::1]（IPv6リテラル）宛のリクエストが照合をすり抜けてプロキシ経由になります。これにより攻撃者がプロキシ経由でループバックや内部サービスへ到達でき、プロキシバイパス・SSRF につながります。
• 対応: Axios 1.15.0 / 0.31.0 以降へアップデート
• リンク: NVD / axios PR#10661

CVE-2026-33937 Handlebars の compile() を介した任意コード実行

• CVSS: 9.8（Critical） / CWE-94・CWE-843
• 影響: Handlebars 4.0.0 〜 4.7.8
• 概要: Handlebars.compile() は文字列に加え解析済み AST オブジェクトも受け付けます。NumberLiteral ノードの value フィールドが引用符付けやサニタイズなしで生成コードに埋め込まれるため、細工した AST を渡せる攻撃者がサーバ上で任意コード実行に至る可能性があります。
• 対応: Handlebars 4.7.9 以降へアップデート。compile() へは常に文字列のみを渡すよう入力型を検証
• リンク: NVD / GHSA-2w6w-674q-4c4q

CVE-2026-33228 flatted の Prototype Pollution

• CVSS: 9.8（Critical） / CWE-1321・CWE-915
• 影響: flatted 3.4.2 より前
• 概要: parse() が攻撃者制御下の文字列値を数値検証なしに内部配列のインデックスキーとして扱うため、__proto__ を介して Array.prototype への参照が出力オブジェクトへ漏れ、後続の書き込みでグローバルなプロトタイプ汚染を引き起こせます。widely-used なシリアライズ用ライブラリのため影響範囲が広い脆弱性です。
• 対応: flatted 3.4.2 以降へアップデート
• リンク: NVD / GHSA-rf6f-7fwh-wjgh

CVE-2026-29063 Immutable.js の Prototype Pollution

• CVSS: 9.8（Critical） / CWE-1321・CWE-915
• 影響: Immutable.js 3.8.3 / 4.3.7 / 5.1.5 より前
• 概要: mergeDeep()・mergeDeepWith()・merge()・Map.toJS()・Map.toObject() の各 API を通じてプロトタイプ汚染が可能です。永続データ構造ライブラリとして広く使われるため、依存関係の確認を推奨します。
• 対応: Immutable.js 3.8.3 / 4.3.7 / 5.1.5 以降へアップデート
• リンク: NVD / GHSA-wf6x-7x77-mvgw

CVE-2026-27459 pyOpenSSL のバッファオーバーフロー

• CVSS: 9.8（Critical） / CWE-120
• 影響: pyOpenSSL 22.0.0 以上 26.0.0 より前
• 概要: set_cookie_generate_callback に設定したコールバックが 256 バイトを超えるクッキー値を返すと、OpenSSL 側のバッファをオーバーフローさせる問題です。26.0.0 で長すぎるクッキー値を拒否するよう修正されています。
• 対応: pyOpenSSL 26.0.0 以降へアップデート
• リンク: NVD / GHSA-5pwr-322w-8jr4

CVE-2026-39821 Go idna パッケージの権限昇格につながる Punycode 誤変換

• CVSS: 9.6（Critical） / CWE-1289
• 影響: golang.org/x/net/idna を利用するプログラム
• 概要: ToASCII / ToUnicode が、ASCII のみのラベルへデコードされる Punycode ラベル（例: xn--example-.com）を誤って受理します。ASCIIホスト名に対して権限チェックを行った後に Unicode 変換するプログラムでは、チェックをすり抜けて権限昇格につながる可能性があります。
• 対応: golang.org/x/net の修正版へアップデート（GO-2026-5026 を参照）
• リンク: NVD / GO-2026-5026

CVE-2026-33186 gRPC-Go の :path 検証不備による認可バイパス

• CVSS: 9.1（Critical） / CWE-285・CWE-551
• 影響: gRPC-Go 1.79.3 より前
• 概要: HTTP/2 の :path 疑似ヘッダ検証が緩く、先頭スラッシュを欠いた非正規パス（例: Service/Method）でもルーティングされます。認可インターセプタが正規パス前提の「deny」ルールを評価するため、フォールバックの「allow」ルールがあるとポリシーをすり抜ける可能性があります。grpc/authz などパスベースの認可を使う構成が対象です。
• 対応: gRPC-Go 1.79.3 以降へアップデート。当面は検証インターセプタでの非正規パス拒否を検討
• リンク: NVD / GHSA-p77j-4mvh-x3m3

CVE-2026-39832 Go x/crypto/ssh agent の宛先制限が無効化される問題

• CVSS: 9.1（Critical） / CWE-863
• 影響: golang.org/x/crypto/ssh/agent（0.52.0 より前）
• 概要: リモートエージェントへ鍵を追加する際、restrict-destination-v00@openssh.com などの制約拡張がリクエストにシリアライズされず、宛先制限が黙って外れていました。転送された鍵がリモートホストで無制限に使えてしまう可能性があります。
• 対応: golang.org/x/crypto を 0.52.0 以降へアップデート
• リンク: NVD / GHSA-vgwf-h737-ff37

上記のほか、libxml2 の schematron 処理におけるメモリ破損・解放後参照（CVE-2025-49796 / CVE-2025-49794、いずれも9.1）、Go x/crypto/ssh の不正な global request 応答によるサーバのデッドロック（CVE-2026-39830 9.1）、guardrails-detectors の XSD 処理を悪用した SSRF（CVE-2026-15143 9.3）も本日の注目 Critical です。High 帯では DBI（Perl）のコードインジェクション（CVE-2026-14380 8.8）、Podman machine init の TLS 検証欠如（CVE-2025-6032 8.3）、libssh の ssh_get_hexa() の不具合（CVE-2026-0966 8.2）などが並びました。

エコシステム別サマリー

本日の OSV 監視対象（16パッケージ）では npm の1件が該当しました。

• npm / Nuxt: navigateTo / reloadNuxtApp のURL処理不備による SSRF オープンリダイレクト・クライアント側スクリプト実行・プロトコル相対バイパス（CVE-2026-56326）。修正版は 4.4.7 / 3.21.7 です。Nuxt を利用している場合はアップデートを推奨します。

GitHub Advisory Database では、npm・PyPI・Go・Packagist・crates.io と幅広いエコシステムで勧告が更新されました。とくに npm（Axios・Handlebars・Immutable.js・flatted）や Go（golang.org/x/crypto）のように依存ツリーの深い位置で使われるライブラリが目立ちます。SCA やロックファイルの棚卸しで、間接依存も含めて影響有無を確認することを推奨します。

JVN 日本語情報

本日の MyJVN では「該当する脆弱性対策情報はありません」と応答され、国内向けの新規公開はありませんでした。海外ソース（NVD / GHSA / OSV）を中心に対応判断を進めてください。

まとめ

本日は「無認証・リモートで基盤サービスを侵害しうる」脆弱性が最も深刻でした。Samba AD DC の WINS フック RCE（CVSS 10.0）と Go x/crypto/ssh の認可バイパス（CVSS 10.0）は、いずれも攻撃条件が緩く影響が大きいため、修正版適用を最優先で進めてください。

アプリケーション側では、Axios・Handlebars・Immutable.js・flatted・pyOpenSSL といった広く使われるライブラリに Prototype Pollution や RCE・SSRF が集中しました。多くは修正版が公開済みのため、依存関係を棚卸しして計画的にアップデートしてください。各CVEの影響バージョン・確認コマンド・対応可否の判断は個別ページにまとめています。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。