本日NVDから取得したCVEは200件（直近の公開・更新分）で、うちCriticalが23件、Highが99件と多めです。最も注目すべきはリバースプロキシ Traefik の認証バイパス3件（いずれもCVSS 10.0）で、mTLSやパス認証を迂回して保護されたバックエンドに到達されるおそれがあります。加えてApache HTTP Server（mod_proxy_ajp）やOpenSSL、Linux kernelにも深刻度の高い修正が出ています。早めの影響確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 取得CVE | 200件 |
| Critical (9.0+) | 23件 |
| High (7.0-8.9) | 99件 |
| Medium (4.0-6.9) | 47件 |
| Low (0.1-3.9) | 1件 |
| 影響エコシステム | PyPI, npm, Packagist, Go, Maven |
Critical / High 脆弱性の詳細
CVE-2026-48020 Traefik StripPrefix の認証バイパス
CVSS 10.0（CWE-288/CWE-22）。HTTPリバースプロキシ Traefik の StripPrefix ミドルウェアで、.. やそのパーセントエンコード形（%2e%2e）を含むパスが公開ルートにマッチし、プレフィックス除去・正規化後に別の「認証必須ルート」の配信対象へ解決されてしまう問題です。認証なしで管理・内部設定エンドポイントに到達されるおそれがあります。2.11.48 / 3.6.19 / 3.7.3 で修正済み。
CVE-2026-48491 Traefik SNICheck の mTLS バイパス
CVSS 10.0（CWE-288/CWE-807）。ワイルドカードホスト（Host(*.example.com)）にmTLS（RequireAndVerifyClientCert）を設定していても、SNICheckがワイルドカード照合を行わず完全一致のみで判定するため、同一エントリポイント上の緩いSNIでハンドシェイクを成立させ、クライアント証明書なしで保護対象へ到達される可能性があります。3.7.0〜3.7.2 が対象で 3.7.3 で修正。
CVE-2026-53622 Traefik HTTP/3(QUIC) の mTLS バイパス
CVSS 10.0（CWE-288/CWE-289）。HTTP/3有効時、TLS設定の選択がSNIの大文字小文字を区別する完全一致で行われ、ワイルドカードや大小差のホスト名に一致せずデフォルト設定へフォールバックします。結果としてクライアント証明書なしでQUICハンドシェイクが成立し、mTLSを回避される場合があります。2.11.51 / 3.6.18 / 3.7.3 で修正済み。
CVE-2026-49869 Kestra の認証バイパスによる未認証RCE
CVSS 10.0（CWE-287/CWE-78ほか）。オーケストレーション基盤 Kestra OSS の AuthenticationFilter が公開設定エンドポイントの判定に endsWith("/configs")（末尾一致）を使うため、末尾が configs になる任意のAPIパスで認証を完全に回避できます。スクリプト実行プラグインが既定で有効なため、未認証のリモートからワーカーコンテナ内でroot権限のコード実行に至ります。1.0.45 / 1.3.21 で修正。
CVE-2026-46595 Go golang.org/x/crypto/ssh の認可バイパス
CVSS 10.0（CWE-863/CWE-303）。過去のCVE-2024-45337の修正に関連し、公開鍵以外のコールバックが渡された場合に送信元アドレス検証がスキップされる問題です。Goの golang.org/x/crypto/ssh を用いたSSHサーバ実装が影響を受けます。Goのセキュリティアナウンス（GO-2026-5023）と各ディストリビューションの更新を確認してください。
CVE-2026-72765 n8n の式サンドボックスエスケープ
CVSS 9.9（CWE-94）。ワークフロー自動化 n8n の式評価で、アロー関数の本体を用いてサンドボックスを回避し、n8nホスト上でシステムコマンドを実行できる問題です。ワークフローの作成・変更権限を持つ認証済みユーザが対象。2.31.5 / 2.32.1 で修正済み。
CVE-2026-28780 Apache HTTP Server mod_proxy_ajp のヒープオーバーフロー
CVSS 9.8（CWE-122/CWE-787）。mod_proxy_ajp が悪意あるAJPサーバに接続した場合、攻撃者が制御する4バイトをヒープバッファ末尾外に書き込ませられる問題です。2.4.66以前が対象で、2.4.67 で修正。AJPプロキシ構成を利用している場合はアップデートを推奨します。
CVE-2026-41242 protobuf.js のコードインジェクション
CVSS 9.8（CWE-94）。npmパッケージ protobufjs で、protobuf定義の type フィールドに任意コードを注入でき、その定義を用いたデコード時に実行される問題です。信頼できない定義を扱う場合に影響します。7.5.5 / 8.0.1 で修正済み。
CVE-2026-33816 Go pgx/v5 のメモリ安全性問題
CVSS 9.8（CWE-787）。PostgreSQLドライバ github.com/jackc/pgx/v5 のメモリ安全性に関する脆弱性です。Goのセキュリティアナウンス（GO-2026-4772）およびRed Hat等の更新を確認し、最新版へアップデートしてください。
CVE-2026-25550 Seagull BarTender の未認証RCE
CVSS 9.8（CWE-306/CWE-502）。BarTender 2010/2016/2019 の .NET Remotingサービス（TCP 7375）が未認証のシングルトンエンドポイントを公開しており、未認証のリモート攻撃者による任意ファイル読み書き・RCE・NTLM認証の強制に悪用されるおそれがあります。サービスはSYSTEM権限で動作。BarTender 12.1 以降へアップグレードしてください。
CVE-2026-45447 OpenSSL PKCS#7/S/MIME の Use-After-Free
CVSS 8.8（CWE-416/CWE-825）。細工されたPKCS#7またはS/MIME署名メッセージの検証時、digestAlgorithms が空のASN.1 SETだと PKCS7_verify() が呼び出し側所有のBIOを誤って解放し、以降の利用でuse-after-freeが発生します。クラッシュ・ヒープ破壊、環境によってはRCEの可能性があります。CMS APIを使う場合は影響しません。OpenSSLの更新を確認してください。
CVE-2026-43112 Linux kernel cifs の境界外読み取り
CVSS 8.8（CWE-125）。SMBクライアント（fs/smb/client）の cifs_sanitize_prepath が空文字列や区切り文字のみのパスで境界外読み取りを起こす問題です。stable系の各カーネルで修正が取り込まれています。ディストリのカーネル更新を適用してください。
CVE-2026-45674 / CVE-2026-47691 Netty のDNS検証不備
いずれもCVSS 8.7（CWE-345/CWE-346）。ネットワークフレームワーク Netty の DnsResolveContext がCNAME/NSレコードのbailiwick（出所）検証を欠き、DNSキャッシュポイズニングにつながる問題です。4.1.135.Final / 4.2.15.Final で修正済み。netty-resolver-dns を利用するアプリはアップデートを推奨します。
CVE-2026-16365 / CVE-2026-16371 Firefox / Thunderbird の権限昇格
いずれもCVSS 8.8（CWE-269）。DOMのWorkers／Navigationコンポーネントにおける権限昇格で、Firefox 153 / Firefox ESR 140.15 / Thunderbird 153 等で修正されています。ブラウザ・メールクライアントを最新版へ更新してください。
CVE-2026-55997 Rancher の登録トークン平文保存
CVSS 8.8（CWE-312）。Rancherがノード参加用に発行する長寿命の登録トークンが有効期限なしの平文で保存・露出しており、APIやetcd、ノード上のファイル等から入手した悪意ある利用者が任意のタイミングで不正ノードをクラスタに登録できる問題です。Rancherのアドバイザリ（GHSA-7r53-jvhg-9jq4）を確認してください。
CVE-2026-72768 n8n MCP Client の SSRF 保護バイパス
CVSS 8.3（CWE-918）。n8n の MCP Clientノードで、SSRF保護を経由せず内部・ブロック対象ホストへリクエストを送れる問題です。認証済みユーザが内部サービスを露出させ、応答を読み取れるおそれがあります。2.32.1 で修正済み。
エコシステム別サマリー
本日のGHSA更新（900件）でパッケージ影響が多かったエコシステムは以下の通りです。
- PyPI（63件） / npm（46件）: 依然として件数が多く、供給網（依存関係）経由の影響に注意。
- Packagist（37件） / Go（25件）: Traefik・pgx・go-libp2p などGo系の重要修正が目立ちます。
- Maven（12件）: Netty（
netty-resolver-dns）のDNSキャッシュポイズニング修正が該当。 - OSV監視パッケージでは Nuxt（
navigateTo/reloadNuxtAppのURL処理、GHSA-c9cv-mq2m-ppp3 / CVE-2026-56326）が 3.21.7 / 4.4.7 で修正されています。
JVN 日本語情報
- JVNDB-2026-000126 PALLET CONTROL製品のアクセス制御不備（CVE-2026-81302, CVSS 7.8）。JALデジタル提供製品で、サービスプログラムとの通信に適切なアクセス権限が設定されておらず、一般ユーザからアクセス可能です。
- JVNDB-2026-000127 ShizenBox2における複数の脆弱性（CVE-2026-80254 ほか, CVSS 6.8）。不適切な物理アクセス制御、権限チェック回避（CWE-639）が報告されています。
まとめ
本日はCriticalが23件と多く、特にTraefikの認証バイパス3件（CVSS 10.0）が運用への影響という点で目立ちます。ワイルドカードホストやmTLS、StripPrefixを使っている構成では、単なるバージョン更新にとどまらず設定の見直しも検討してください。Apache HTTP Server（mod_proxy_ajp）、OpenSSL（PKCS#7）、Netty（DNS）、Kestra／n8n（RCE系）も影響範囲が広めです。いずれも修正版が提供されているため、利用有無を確認のうえアップデートを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。