本日は分析対象のCVEが200件（NVD該当は509件、うち深刻度上位を分析）公開・更新され、うちCriticalが28件、Highが108件と多めでした。運用インパクトの観点で目立つのは、Node.js製サンドボックス vm2 のサンドボックス脱出（CVE-2026-43997 など複数、最大CVSS 10.0）と、広く使われるHTTPクライアント axios の一連の脆弱性群（SSRF/プロキシバイパスなど）です。JavaScript・Goの依存関係の棚卸しを優先的に推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件（NVD該当 509件） |
| Critical (9.0+) | 28件 |
| High (7.0-8.9) | 108件 |
| Medium (4.0-6.9) | 40件 |
| Low (0.1-3.9) | 1件 |
| 主な影響領域 | JavaScript/Node.js, Go, コンテナ基盤 |
Critical / High 脆弱性の詳細
vm2 サンドボックス脱出（CVSS 最大 10.0）— 本日最大の注目
- CVSS: 最大 10.0 CRITICAL / CWE-94, CWE-653, CWE-1321 ほか
- 影響: vm2（Node.js 向けの vm/sandbox ライブラリ、3.11.3 未満）
- 概要: 信頼できないコードを隔離するために使われる vm2 に、サンドボックスの外へ脱出できる脆弱性が複数公開されました。ホストの Object を取得できるもの（CVE-2026-43997、CVSS 10.0）、ホスト側プロトタイプを書き換えられるもの（CVE-2026-44005、CVSS 10.0）、
Module._load()経由でchild_process等を読み込みホスト上でコード実行に至るもの（CVE-2026-43999、CVSS 9.9）、非同期ジェネレータを悪用してホスト上で任意コマンドを実行できるもの（CVE-2026-45411、CVSS 9.8）などが含まれます。ユーザー投稿のコードやテンプレートを vm2 上で評価している構成では、実質的にホストの乗っ取りにつながり得ます。 - 対策: vm2 3.11.3 以降へアップデートしてください。加えて、そもそも信頼できないコードを実行する用途では、プロセス/VMレベルで隔離する仕組み（
isolated-vmやコンテナ・別プロセス実行など）の併用を検討することを推奨します。 - リンク: CVE-2026-43997 / CVE-2026-44005 / CVE-2026-45411 / GHSA-47x8-96vw-5wg6
CVE-2025-62718 — axios の NO_PROXY バイパスによるSSRF（CVSS 9.9）
- CVSS: 9.9 CRITICAL / CWE-918, CWE-1289
- 影響: axios（1.15.0 未満 / 0.31.0 未満）
- 概要: HTTPクライアント axios が
NO_PROXYルールのホスト名正規化を正しく扱わず、localhost.（末尾ドット）や[::1]（IPv6リテラル）宛のリクエストがNO_PROXY判定をすり抜けてプロキシ経由になります。CVE-2025-62718 は、NO_PROXYでループバックや内部サービスを保護していても、プロキシ経由でそれらへ到達される（プロキシバイパス／SSRF）可能性があるものです。本日は axios について High/Medium も多数（CVE-2026-44494 ほか）まとめて公開されています。 - 対策: axios 1.15.0 以降（0.x系は 0.31.0 以降）へアップデートしてください。可能な範囲で最新の 1.16.x 系まで上げると、本日公開された関連の High も併せて解消できます。
- リンク: CVE-2025-62718 / NVD
CVE-2026-41242 — protobufjs のコードインジェクション（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-94
- 影響: protobufjs（8.0.1 未満 / 7.5.5 未満）
- 概要: protobuf 定義を JS 関数へコンパイルする protobufjs で、protobuf 定義の
typeフィールドに任意コードを注入でき、その定義を使ったデコード時に実行されます（CVE-2026-41242）。信頼できない.proto定義を読み込む構成で影響が出ます。 - 対策: protobufjs 8.0.1 / 7.5.5 以降へアップデートしてください。
- リンク: CVE-2026-41242 / NVD
CVE-2026-29063 — Immutable.js のプロトタイプ汚染（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-1321, CWE-915
- 影響: Immutable.js（3.8.3 / 4.3.7 / 5.1.5 未満）
- 概要: 広く使われる Immutable.js の
mergeDeep()/merge()/Map.toJS()などでプロトタイプ汚染が可能でした（CVE-2026-29063）。外部入力を Immutable の Map にマージする経路がある場合に影響します。 - 対策: 3.8.3 / 4.3.7 / 5.1.5 以降へアップデートしてください。
- リンク: CVE-2026-29063 / NVD
CVE-2026-64068 — Linux kernel netfs のロック不備（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-667
- 影響: Linux kernel（netfs のリトライ処理）
- 概要: Linux kernel の netfs で、リトライ時に新しいサブリクエストを追加する際の排他ロックが欠けており、メモリ破壊につながり得る不具合が修正されました（CVE-2026-64068）。ネットワークファイルシステム（
cifs/9p/afs等、netfs を利用するFS）を使う環境が対象です。 - 対策: 各ディストリビューションが提供する 修正版カーネルへアップデートしてください。
- リンク: CVE-2026-64068 / kernel.org
CVE-2026-42880 — Argo CD の Secret 情報漏えい（CVSS 9.6）
- CVSS: 9.6 CRITICAL / CWE-200
- 影響: Argo CD（3.2.0〜3.2.11未満 / 3.3.0〜3.3.9未満）
- 概要: GitOps CD ツール Argo CD の ServerSideDiff エンドポイントに認可・マスキングの欠落があり、読み取り専用権限の攻撃者が Server-Side Apply の dry-run 機構を悪用して Kubernetes Secret の平文を抽出できる可能性があります（CVE-2026-42880）。
- 対策: Argo CD 3.2.11 / 3.3.9 以降へアップデートしてください。
- リンク: CVE-2026-42880 / GHSA-3v3m-wc6v-x4x3
その他の注目 High
- CVE-2026-33815 / CVE-2026-33816（各CVSS 9.8）: Go の PostgreSQL ドライバ
jackc/pgx/v5のメモリ安全性の問題。悪意ある/侵害されたDBサーバからの応答で影響し得ます。修正版へ更新を推奨します。 - CVE-2026-22029（CVSS 8.0）: React Router（@remix-run/router 1.23.2未満、react-router 7.x）。1.23.2 以降へのアップデートを推奨します。
- CVE-2026-41567（CVSS 7.2）: Moby（Docker）。29.5.1 未満が対象。修正版への更新を推奨します。
- CVE-2025-15467 / CVE-2026-45447（各CVSS 8.8）: OpenSSL の CMS/PKCS#7 処理の不具合。配布パッケージの更新を推奨します。
エコシステム別サマリー
本日の OSV データには新規の該当はありませんでしたが、NVD ベースで見ると npm（JavaScript/Node.js） の依存関係に関する Critical/High が突出しています。vm2・axios・protobufjs・Immutable.js に加え、node-tar（CVE-2026-24842）、ws（CVE-2026-48779）、follow-redirects（CVE-2026-40895）、js-cookie（CVE-2026-46625）、xmldom（CVE-2026-41674）、shell-quote（CVE-2026-9277）など、広く使われるパッケージが並びました。Go では pgx・x/crypto の SSH（CVE-2026-46595）・idna（CVE-2026-39821）・go-jose・Avro codec、Python では urllib3・pyasn1・Pillow・Python-Markdown などが該当しています。いずれも npm audit / govulncheck / pip-audit 等での棚卸しを推奨します。
JVN 日本語情報
本日の MyJVN データには該当する脆弱性情報はありませんでした。
まとめ
本日は JavaScript/Node.js エコシステムの依存関係を狙える脆弱性が集中した一日でした。特に vm2 のサンドボックス脱出は、ユーザー投稿コードやプラグインを実行する基盤にとって影響が大きく、CVSS 10.0 という深刻度からも最優先の確認対象です。axios・protobufjs・Immutable.js など利用者の多いパッケージも並んでいるため、まずは package-lock.json / go.sum 等をベースに影響有無を機械的に洗い出し、修正版へのアップデート計画を立てることを推奨します。境界での対策が効きにくい依存ライブラリの問題が中心のため、アップデートの優先度を上げて対応を検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。