本日は新規・更新CVEが1,145件公開され、分析対象の上位200件のうちCriticalが22件、Highが91件と多めです。最も深刻なのはオーケストレーション基盤 Kestra の認証バイパスによるリモートコード実行 CVE-2026-49869（CVSS 10.0）で、CISAのKEV（悪用が確認された脆弱性カタログ）にも登録されています。早急な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（全体） | 1,145件 |
| 分析対象（上位） | 200件 |
| Critical (9.0+) | 22件 |
| High (7.0-8.9) | 91件 |
| Medium (4.0-6.9) | 63件 |
| Low (0.1-3.9) | 10件 |
| 影響エコシステム | Maven, Go, PyPI, npm, Packagist |
Critical / High 脆弱性の詳細
CVE-2026-49869 — Kestra 認証バイパスによる未認証RCE（CVSS 10.0）
- CVSS: 10.0 CRITICAL / CWE-287, CWE-918, CWE-78
- 影響: Kestra OSS 1.0.45 未満、および 1.3.21 未満
- 概要: 認証フィルタが公開エンドポイントの判定に「パスの末尾が
/configsで終わるか」という後方一致を使っていたため、末尾がconfigsになるパスすべてで認証を回避できてしまいます。未認証の攻撃者が任意のワークフローを作成・実行でき、既定で有効なスクリプト実行プラグイン経由でワーカーコンテナ内のroot権限でのRCEに直結します。 - 対策: 1.0.45 または 1.3.21 以降へアップデート。CISA KEV登録済みのため優先度は最高です。
- リンク: NVD / GHSA-5vc5-wxxq-3fjx
CVE-2026-9586 — Sangoma Switchvox 未認証SQLインジェクション（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-89
- 影響: Sangoma Switchvox SMB Edition 8.3 (104997)
- 概要:
/paエンドポイントがユーザー由来の値をサニタイズせずPostgreSQLクエリに連結しており、未認証の攻撃者が単一のリクエストで任意のSQL実行、ひいてはRCEに至る可能性があります。PoCが第三者により公開され、CISA KEVにも登録されています。 - 対策: バージョン 8.4.0.2 以降へアップデート。外部公開しているPBX/VoIP機器は露出範囲を至急確認してください。
- リンク: NVD / Horizon3 解説
CVE-2026-9698 — Perl DBI バッファオーバーフロー（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-787, CWE-120
- 影響: Perl の DBI モジュール 1.648 未満
- 概要:
RaiseError/PrintError/HandleError設定時のエラーメッセージが、長さ制限なしで200バイトのバッファに書き込まれていました。エラーテキストに影響を与えられる攻撃者がバッファオーバーフローを誘発できます。Perl DBI は多くのアプリケーションのDB接続層で使われるため影響範囲は広めです。 - 対策: DBI 1.648 以降へアップデート。Red Hat 等からもエラータが出ています。
- リンク: NVD / DBI 1.648 changes
CVE-2025-24288 — Versa Director デフォルト認証情報（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-1188
- 影響: Versa Director（22.1.4 より前）
- 概要: 既定で SSH や PostgreSQL などのサービスがインターネットに露出し、複数アカウント（多くがsudo権限）が同一のデフォルトパスワードを共有していました。PoCが公開されています。
- 対策: 修正リリースへの更新に加え、デフォルトパスワードの複雑なものへの変更、露出サービスの遮断、認証ログの監査を実施してください。
- リンク: NVD / Versa Security Bulletin
CVE-2026-33186 — gRPC-Go 認可バイパス（CVSS 9.1）
- CVSS: 9.1 CRITICAL / CWE-285
- 影響: gRPC-Go 1.79.3 未満
- 概要: HTTP/2 の
:path疑似ヘッダの検証が緩く、先頭スラッシュを省いた非正規パス（Service/Method）を受理していました。ルーティングは成功する一方、grpc/authz等の認可インターセプタが正規パスの「deny」ルールと一致せず、フォールバックの「allow」があるとポリシーを回避されます。パスベースの認可を使う gRPC-Go サーバーが対象です。 - 対策: 1.79.3 以降へアップデート。当面は検証インターセプタの追加やインフラ側でのパス正規化で緩和できます。
- リンク: NVD / GHSA-p77j-4mvh-x3m3
Linux カーネル net/tls・netfs 系の複数Critical（CVSS 9.8）
- CVSS: 9.8 CRITICAL（CVE-2026-64046, CVE-2026-64047, CVE-2026-64061 ほか）
- 概要:
net: tlsのSGチェーン処理のoff-by-one、netfsの folio 早期解放など、メモリ破壊につながる修正が多数まとめて公開されました。加えて netfilter の CVE-2026-43114（9.4）も含まれます。 - 対策: ディストリビューションのカーネルアップデートを適用してください。件数が多いため、個別対応より最新安定版への追従が現実的です。
CVE-2026-44492 — Axios の NO_PROXY バイパス（SSRF, CVSS 8.6）
- CVSS: 8.6 HIGH / CWE-918, CWE-289
- 影響: Axios 0.32.0 未満、および 1.16.0 未満
- 概要: IPv4射影IPv6アドレス（
::ffff:7f00:1等）を正規化しないため、NO_PROXYに127.0.0.1や169.254.169.254を指定していても、IPv4射影形式のURLがプロキシ経由で内部サービスに到達します。クラウドのメタデータエンドポイントへのSSRFに悪用され得ます。Node.js界隈で非常に広く使われるため影響は大です。 - 対策: 0.32.0 または 1.16.0 以降へアップデート。
- リンク: NVD / GHSA-pjwm-pj3p-43mv
CVE-2026-17107 — RHACM/MCE 権限昇格（CVSS 8.5）
- CVSS: 8.5 HIGH / CWE-441
- 影響: Red Hat Advanced Cluster Management for Kubernetes (RHACM) / multicluster-engine (MCE) の cluster-proxy
- 概要: service-proxy が呼び出し元由来の Impersonate ヘッダを除去せずにプロキシ先へ付与し、spoke の ServiceAccount が無制限の impersonation 権限を持つため、認証済みのハブ利用者が
Impersonate-Groupヘッダを注入して全管理クラスタで cluster-admin へ昇格できます。 - 対策: Red Hat のエラータに従い更新を適用してください。
- リンク: NVD
エコシステム別サマリー
GHSA（GitHub Advisory）では本日514件が更新され、影響パッケージが特定できるものではエコシステムの内訳は Maven 46件 / Go 34件 / PyPI 15件 / npm 15件 / Packagist 4件 が中心でした。
- npm: OSVでは CVE-2026-56326（Nuxt）が公開。
navigateTo/reloadNuxtAppのURL処理の弱点でSSRオープンリダイレクトやクライアント側スクリプト実行につながります。Nuxt 3.21.7 / 4.4.7 以降で修正済み。Axios（前述）も要確認です。 - Maven: Apache Tomcat の認証系（DIGEST/FORM 認証のバイパス系）Advisory が複数更新されています。
- Go: 前述の gRPC-Go に加え、go-ethereum など主要ライブラリのAdvisoryが更新対象に含まれます。
JVN 日本語情報
- JVNDB-2026-000127 — Shizen Connect「ShizenBox2」における複数の脆弱性（CVSS 6.8）。不適切な物理アクセス制御、ユーザ識別情報操作による権限チェック回避（CWE-639）が報告されています。
- JVNDB-2026-031532 — キーエンス製 XG VisionTerminal / XG-X VisionTerminal における XXE（XML外部エンティティ参照）の不適切な制限（CVSS 5.5, CWE-611）。
- JVNDB-2026-031534 — Hugging Face 製 Transformers で、ユーザー同意確認前にリモートコードをディスクへ書き込む脆弱性。MLパイプラインを運用している場合は確認を推奨します。
まとめ
本日はCriticalが22件と多く、中でも Kestra（CVSS 10.0） と Sangoma Switchvox（CVSS 9.8） はいずれもCISA KEV登録済みで、未認証RCEに直結するため最優先の確認対象です。加えて Perl DBI・gRPC-Go・Axios といった広く使われるコンポーネントの脆弱性が並んでおり、依存ライブラリのバージョン棚卸しを行うとよいでしょう。Linuxカーネルもnet/tls・netfs系で多数のCriticalがまとまって公開されているため、ディストリビューションのカーネル更新を計画的に適用してください。
外部公開している機器（Versa Director, Switchvox 等）については、パッチ適用と合わせて露出サービスの見直しとデフォルト認証情報の変更を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。