本日は新規・更新CVEが150件公開され、うちCriticalが13件、Highが36件でした。CVSSスコア上では Tenda のIoT機器（CP3 / HG10）のOSコマンドインジェクションや、WordPressプラグインのアカウント乗っ取り系がCriticalに多く並びました。運用インパクトの観点では、実際に攻撃が観測されている MikroTik RouterOS の脆弱性群（cert.pl報告）と、ほぼ全てのLinux環境が依存する libxml2（CVSS 9.1）が最優先の確認対象です。早めの棚卸しを推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 150件 |
| Critical (9.0+) | 13件 |
| High (7.0-8.9) | 36件 |
| Medium (4.0-6.9) | 76件 |
| Low (0.1-3.9) | 25件 |
| 主な影響領域 | ネットワーク機器, 共通ライブラリ, WordPress |
Critical / High 脆弱性の詳細
MikroTik RouterOS — 実際に攻撃が観測されている脆弱性群
- 重要度: cert.pl（ポーランドCERT）が「actively exploited（悪用が観測されている）」と報告
- 影響: MikroTik RouterOS（長期版 6.49.21 / 7.23.4 未満）
- 概要: 広く使われる境界ルーター MikroTik RouterOS に複数の脆弱性が公開され、そのうち一部で実際の攻撃活動が観測されていると cert.pl が注意喚起しています（CVE-2026-86060、CVE-2026-67276 ほか）。境界機器は外部公開されていることが多く、侵入の初期侵害点になりやすいため注意が必要です。
- 対策: RouterOS 6.49.21（Long-term）/ 7.23.4（Long-term）以降へアップデートしてください。管理画面（Winbox / API / SSH）のインターネット公開を停止し、アクセス元を制限することも併せて推奨します。
- リンク: MikroTik フォーラム 7.23.4 / cert.pl アドバイザリ
CVE-2025-49794 / CVE-2025-49796 — libxml2 のメモリ破壊（CVSS 9.1）
- CVSS: 9.1 CRITICAL / CWE-825, CWE-125
- 影響: libxml2（Schematron の
sch:name要素を含むXML処理） - 概要: ほぼ全てのLinuxディストリビューションや多数のアプリが依存する libxml2 に、解放後メモリ使用（use-after-free）と領域外読み取りの2件が報告されました。CVE-2025-49794 と CVE-2025-49796 は、攻撃者が細工したXMLをlibxml2で処理させることでクラッシュ（DoS）やメモリ破壊を引き起こせるものです。信頼できないXMLをパースするサービスで影響が大きくなります。
- 対策: 各ディストリビューションが提供する 修正版パッケージへアップデートしてください（Red Hat では RHSA-2025:10630 ほか）。
- リンク: NVD (49794) / RHSA-2025:10630
CVE-2026-16242 — Kubernetes Konnectivity 認証欠如（CVSS 9.4）
- CVSS: 9.4 CRITICAL / CWE-306
- 影響: Konnectivity proxy-server（Hosted Control Planes 構成、Red Hat 系）
- 概要: Hosted Control Planes 向けの Konnectivity proxy-server で、エージェント向けリスナーが
--cluster-ca-certなし（かつトークン認証なし）で起動され、クライアント証明書が検証されていませんでした。Konnectivity クラスタエンドポイントに到達できる遠隔の攻撃者が、未認証のエージェントとしてルーティングプールに参加し、コントロールプレーンからノードへの通信を中継・盗聴・改ざん・遮断できる可能性があります。 - 対策: Red Hat のエラータ（RHSA-2026:46885 ほか）に従い、対象コンポーネントを 修正版へアップデートしてください。
- リンク: NVD / RHSA-2026:46885
Tenda CP3 / HG10 — IoT機器のOSコマンドインジェクション・バッファオーバーフロー（CVSS 10.0〜9.1）
- CVSS: 最大 10.0 CRITICAL / CWE-77, CWE-78, CWE-120 ほか
- 影響: Tenda CP3（27.5.57.101）、Tenda HG10（300001138）
- 概要: Tenda のネットワークカメラ CP3 とゲートウェイ HG10 に、遠隔から悪用可能なOSコマンドインジェクションやバッファオーバーフローが多数公開されました（CVE-2026-86152 10.0、CVE-2026-86167 9.9、CVE-2026-86165 9.8 ほか）。HG10 系の一部は PoC（実証コード）が公開済みとされています。
- 対策: ベンダーの対応状況を確認し、可能な場合は修正ファームウェアを適用してください。修正提供までは、これらの機器の管理インターフェースをインターネットに公開しない構成を推奨します。
- リンク: NVD (86152)
WordPress プラグイン — アカウント乗っ取り・認証バイパス多数
- CVSS: 最大 9.8 CRITICAL / CWE-269, CWE-287, CWE-639 ほか
- 影響: SEO Flow by LupsOnline（3.0.3 未満）、MemberDash（1.8.5 以前）、Frontend Admin by DynamiApps（3.29.12 以前）、SureCart（4.6.3 未満）、RegistrationMagic（6.0.9.9 未満）ほか
- 概要: 本日はWordPress関連が47件と大半を占め、特に未認証または低権限からの管理者アカウント乗っ取りにつながる欠陥が目立ちました。CVE-2026-78362（SEO Flow、9.8）、CVE-2026-16310（MemberDash、9.8、任意ユーザーのパスワード変更）、CVE-2026-75816（Frontend Admin、9.8、認証バイパス）などが該当します。
- 対策: 該当プラグインを最新版へアップデートしてください。使用していないプラグインは無効化・削除し、管理者アカウントの不審なメールアドレス変更がないか確認することを推奨します。
- リンク: NVD (78362)
その他の注目High
- CVE-2026-85046（8.8） — Google Chrome の V8 における型混同（type confusion）。152.0.7977.82 未満が対象で、細工されたHTMLでサンドボックス内の任意コード実行に至ります。ブラウザを最新版へ更新してください。
- CVE-2026-0799（8.7） — libpcap のBPFインタプリタでスクラッチレジスタのインデックス検証が不足。tcpdump 等の広く使われるパケット解析ツールが依存します。修正版へのアップデートを推奨します。
- CVE-2026-19633（8.8） — PostgreSQL Anonymizer で、マスク対象ユーザーが権限昇格を伴う任意コード実行に至る欠陥。3.1.4 以降で修正済みです。
- CVE-2026-86242（8.1） — AIゲートウェイ Bifrost のHTTPトランスポートで、管理認証が無効（デフォルト）だと未認証のプラグイン登録経由でRCE/SSRFに至る可能性。2.0.0 で修正されています。
- CVE-2026-86250（7.5） — Node.js系サーバーフレームワークで使われる h3 のチャンクドCookie処理にDoS。2.0.1-rc.18 未満が対象で、O(n²)のループでプロセスがハングします。
エコシステム別サマリー
本日はOSV（監視パッケージ）で該当0件、GHSA（GitHub Advisory）ではパッケージ単位の影響範囲が空のエントリが中心でした。NVDの内容から領域別に見ると、WordPressプラグインが47件と最多で、多くがアカウント乗っ取り・XSS・SQLインジェクション系です。次いで SourceCodester / code-projects などの小規模PHPアプリのSQLインジェクションが19件前後（PoC公開済みが多い）、Tenda等のIoT/ネットワーク機器が続きました。
共通ライブラリ層では libxml2 / libpcap / libarchive（CVE-2025-5914、7.8）/ libxslt（CVE-2025-7425、7.8） といった、多数のディストリビューション・アプリが依存する部品の更新が並びました。個別アプリより先に、OS標準パッケージの更新棚卸しを推奨します。
JVN 日本語情報
本日のMyJVN（JVN iPedia）では、該当する新規の脆弱性対策情報はありませんでした。国内向けの追加情報は、翌営業日以降の更新を確認してください。
まとめ
本日はCriticalが13件と多めでした。CVSSスコアの高い順ではTenda IoT機器やWordPressプラグインが目立ちますが、運用リスクの観点では 実際に攻撃が観測されている MikroTik RouterOS の更新（6.49.21 / 7.23.4 以降）と管理面の露出停止が最優先です。加えて libxml2（CVSS 9.1） をはじめとする共通ライブラリの修正は影響範囲が広いため、OS標準パッケージの更新棚卸しを推奨します。
WordPress運用者は、アカウント乗っ取りにつながるプラグインの脆弱性が多数公開されているため、該当プラグインの更新と未使用プラグインの整理を進めてください。境界ネットワーク機器・IoT機器については、修正ファームの適用と管理インターフェースの露出制限を併せて実施することを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。