本日は新規・更新CVEが1,349件公開され、分析対象の上位200件のうちCriticalが26件、Highが120件と多めです。最も深刻なのはNode.jsのサンドボックスライブラリ vm2 の脱出（サンドボックスエスケープ）で、CVE-2026-43997・CVE-2026-44005・CVE-2026-43999 の3件が CVSS 10.0/9.9 でまとまって公開されました。Go標準ライブラリの x/crypto/ssh 認可バイパス（10.0）や OpenSSL の脆弱性も含まれます。早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（全体） | 1,349件 |
| 分析対象（上位） | 200件 |
| Critical (9.0+) | 26件 |
| High (7.0-8.9) | 120件 |
| Medium (4.0-6.9) | 53件 |
| Low (0.1-3.9) | 0件 |
| 影響エコシステム | Go, npm, Hex, PyPI, crates.io |
Critical / High 脆弱性の詳細
CVE-2026-43997 / 44005 / 43999 — vm2 サンドボックス脱出（CVSS 10.0 / 10.0 / 9.9）
- CVSS: 10.0・10.0・9.9 CRITICAL / CWE-94, CWE-1321, CWE-863, CWE-829
- 影響: vm2 3.11.0 未満（各脆弱性で下限は異なる）
- 概要: 信頼できないコードを隔離実行するためのライブラリ vm2 で、サンドボックスからホスト側へ抜け出す経路が3件公開されました。ホストオブジェクトの取得、ホスト側 intrinsic プロトタイプへの書き込み、builtin 許可リストの回避による
child_process等のロードなどが可能で、いずれもホスト権限でのコード実行に直結します。vm2 は既に開発が終了しており、根本的な対策は移行です。 - 対策: 暫定的には 3.11.0 以降へアップデート。中長期的には
isolated-vmなど後継への移行を検討してください。信頼できない入力を vm2 で評価している箇所を優先的に棚卸しするとよいでしょう。 - リンク: NVD / GHSA-47x8-96vw-5wg6
CVE-2026-46595 — Go x/crypto/ssh 認可バイパス（CVSS 10.0）
- CVSS: 10.0 CRITICAL / CWE-863, CWE-303
- 影響:
golang.org/x/crypto/ssh（GO-2026-5023、対象バージョンは各リリースの修正版未満） - 概要: 過去の CVE-2024-45337 で修正された認可バイパスの不完全修正です。公開鍵以外のコールバック（キーボードインタラクティブ等）を渡した構成では送信元アドレス検証がスキップされてしまい、SSHサーバの接続元制限が回避され得ます。Goで書かれたSSHサーバ実装が対象です。
- 対策: 修正版へ 依存を更新してください。
go.devのアナウンスと Red Hat エラータ（RHSA-2026:23262）が出ています。 - リンク: NVD / Go announce
CVE-2024-42450 — Versa Director デフォルト認証情報／Postgres露出（CVSS 10.0）
- CVSS: 10.0 CRITICAL / CWE-798
- 影響: Versa Director 22.1.4 より前
- 概要: 既定で PostgreSQL が全インターフェースで待ち受け、全インスタンスで共通のデフォルトパスワードが使われていました。未認証の攻撃者がDBへアクセスし、ローカルファイルの読み取りや権限昇格に至る可能性があります。ラボ環境でのPoCが存在します。
- 対策: 22.1.4 以降へアップデート（HA/Postgresポートへのアクセスが自動制限されます）。旧版はHAポートの手動ハードニングとファイアウォール制限を実施してください。
- リンク: NVD / Versa Bulletin
CVE-2025-62718 — Axios の NO_PROXY バイパス（SSRF, CVSS 9.9）
- CVSS: 9.9 CRITICAL / CWE-918, CWE-441, CWE-1289
- 影響: Axios 1.15.0 未満、および 0.31.0 未満
- 概要:
NO_PROXY判定時のホスト名正規化が不十分で、localhost.（末尾ドット）や[::1]（IPv6リテラル）宛のリクエストがマッチをすり抜けてプロキシ経由となります。ループバックや内部サービスを守る意図の設定を回避され、プロキシバイパスやSSRFにつながります。Node.js界隈で非常に広く使われるため影響は大です。 - 対策: 1.15.0 または 0.31.0 以降へアップデート。9月4日公開の CVE-2026-44492（IPv4射影IPv6のNO_PROXYバイパス）と併せて確認してください。
- リンク: NVD / axios PR#10661
CVE-2026-15630 — Casdoor クロステナント認可バイパス（CVSS 9.9）
- CVSS: 9.9 CRITICAL / CWE-269, CWE-639, CWE-863
- 影響: Casdoor（認可用途のオープンソースIAM）
- 概要: 認可判定が
?id=を基準にする一方、実際の操作はリクエストボディを基準にするため両者に不一致が生じ、あるテナントの非グローバル管理者が別テナントのリソースを作成・変更・削除できます。 - 対策: 修正版へ アップデートしてください。JPCERT/CC（CERT/CC）VU#889462 でも扱われています。
- リンク: NVD / CERT/CC VU#889462
CVE-2025-61140 / CVE-2024-28056 — jsonpath プロトタイプ汚染・AWS Amplify CLI IAM設定不備（各CVSS 9.8）
- CVSS: 9.8 CRITICAL
- 概要: CVE-2025-61140 は npm の
jsonpath1.1.1 のvalue関数におけるプロトタイプ汚染（CWE-1321）。CVE-2024-28056 は Amplify CLI 12.10.1 より前で、認証コンポーネント削除時にIAMロールの信頼ポリシーが条件なしのsts:AssumeRoleWithWebIdentityを許してしまう設定不備（CWE-276）です。 - 対策: jsonpath は後継/修正版へ、Amplify CLI は 12.10.1 以降へ更新し、2019年8月〜2024年1月に該当操作を行った環境はロール信頼ポリシーを点検してください。
CVE-2026-45447 — OpenSSL PKCS#7 / S/MIME の Use-After-Free（CVSS 8.8）
- CVSS: 8.8 HIGH / CWE-416, CWE-825
- 概要: 細工されたPKCS#7またはS/MIME署名メッセージの検証時に、
digestAlgorithmsが空のASN.1 SETとして存在するとUAFが発生し、プロセスクラッシュ・ヒープ破壊、条件次第でリモートコード実行に至る可能性があります。メール署名検証や証明書処理で広く使われるため影響範囲は広めです。 - 対策: ディストリビューションおよびOpenSSLの 修正版へアップデートしてください。
- リンク: NVD
その他の注目High
- CVE-2026-45674（8.7） — Netty の
DnsResolveContextがCNAMEレコードのbailiwick（管轄）検証を行わず、DNSキャッシュポイズニングにつながります。4.1.135.Final / 4.2.15.Final で修正。 - CVE-2026-15724（8.7） — Progress ShareFile Storage Zones Controller のパストラバーサル。5.12.5 / 6.0.2 で修正。
- CVE-2025-1244（8.8） Emacs、CVE-2026-47162（8.8） Vim（netrwプラグイン）、CVE-2025-5459（8.8） Puppet Enterprise のコード/コマンドインジェクション。Linuxカーネルも cifs/ksmbd/Bluetooth 系のメモリ破壊（8.8）が複数含まれます。
エコシステム別サマリー
GHSA（GitHub Advisory）では本日657件が更新され、影響パッケージが特定できるものの内訳は Go 47件 / npm 27件 / Hex 8件 / PyPI 6件 / crates.io 3件 が中心でした。深刻度分布は Critical 111件・High 294件・Moderate 201件です。
- npm: 前述の vm2・Axios・jsonpath に加え、OSVでは CVE-2026-56326（Nuxt）が対象。
navigateTo/reloadNuxtAppのURL処理の弱点でSSRオープンリダイレクトやクライアント側スクリプト実行につながり、Nuxt 3.21.7 / 4.4.7 以降で修正済みです。 - Go:
x/crypto/ssh（前述）をはじめ、標準ライブラリ周辺のAdvisoryが多めです。 - PyPI / crates.io / Hex: 件数は少ないものの更新があり、依存の棚卸しの機会に確認するとよいでしょう。
JVN 日本語情報
- JVNDB-2026-000128 — 株式会社エクシング「CPTrans-ME-X」における複数の脆弱性（CVSS 9.8）。OSコマンドインジェクション（CWE-78）、機微なシステム情報の漏えい（CWE-497）、デフォルトパスワードの使用（CWE-1393）、ハードコードされたパスワードの使用（CWE-259）が報告されています。該当製品を運用している場合は、開発者情報に従った対応を推奨します。
まとめ
本日はCriticalが26件と多く、中でも vm2 のサンドボックス脱出（CVSS 10.0×2・9.9） が最優先の確認対象です。vm2 はメンテナンスが終了しているため、暫定の 3.11.0 更新に加えて後継ライブラリへの移行方針を検討してください。加えて Go の x/crypto/ssh 認可バイパス（10.0）、Axios の NO_PROXY バイパス（9.9）、OpenSSL の PKCS#7 UAF（8.8） といった広く使われるコンポーネントが並んでおり、依存ライブラリのバージョン棚卸しを行うとよいでしょう。
外部公開している機器（Versa Director, Progress ShareFile 等）については、パッチ適用と合わせて露出サービスの見直しとデフォルト認証情報の変更を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。