本日は分析対象のCVEが200件（NVD該当は3,918件、うち深刻度上位を分析）公開・更新され、うちCriticalが23件、Highが140件でした。Web開発者にとって影響が大きいのは、Next.js と Astro の画像最適化APIに、libheif（AVIFデコーダ）由来の未認証リモートコード実行が見つかった件です。加えて Cisco Secure Firewall Management Center の認証バイパス（CVE-2026-20079、CVSS 10.0）、Apache Camel のJMS/Infinispanデシリアライズによるコード実行（CVE-2026-40860 ほか、CVSS 9.8）、そして 悪用確認済み（CISA KEV）の WatchGuard Fireware VPN（CVE-2025-14733、CVSS 9.8）も並びました。外部公開面から順に確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件（NVD該当 3,918件） |
| Critical (9.0+) | 23件 |
| High (7.0-8.9) | 140件 |
| Medium (4.0-6.9) | 35件 |
| Low / なし | 0件 / 2件 |
| 主な影響領域 | Webフレームワーク（Next.js/Astro）, ネットワーク機器, Apache Camel, Linux kernel |
Critical / High 脆弱性の詳細
Next.js / Astro — AVIF画像最適化経由の未認証RCE
- 影響: Next.js（
next< 15.5.24、16系は < 16.3.3）、Astro（astro< 7.2.8、Sharp 0.35.4 を要求）— いずれも GHSA で Critical - 概要: 既定の画像最適化で使われる
libheif（AVIFデコーダ）の脆弱性に起因し、悪意ある AVIF 画像を最適化処理させるだけで未認証のリモートコード実行に至り得ます。Next.js は Image Optimization API で AVIF ファイルを扱う際が対象（GHSA-2xp9-vwfh-vxw4）、Astro は Sharp ベースの既定画像サービスで untrusted な AVIF を処理する際が対象です（GHSA-26w7-cxv4-gfx2、CVSS 9.8）。ユーザー投稿画像や外部URLの画像をサーバ側で最適化している構成は影響が大きいため優先的な確認を推奨します。 - 対策: Next.js は 15.5.24 以降（16系は 16.3.3 以降）、Astro は 7.2.8 以降へアップデートしてください。あわせて、別途 Next.js の Windows ホスト向け未認証RCE（CVE-2026-75604、GHSA-p293-qw3h-jr36、Critical）も 15.5.24 / 16.3.3 で修正されています。
- リンク: Next.js Advisory / Astro Advisory
CVE-2026-20079 — Cisco Secure Firewall Management Center の認証バイパス（CVSS 10.0）
- CVSS: 10.0 CRITICAL / CWE-288
- 影響: Cisco Secure Firewall Management Center (FMC) Software の Web インターフェース
- 概要: 起動時に生成される不適切なシステムプロセスに起因し、未認証のリモート攻撃者が細工したHTTPリクエストで認証を回避し、デバイス上でスクリプトを実行して基盤OSの root 権限を取得され得ます（CVE-2026-20079）。境界防御の中核となる管理製品であり、CVSS は満点の 10.0 です。
- 対策: Cisco のセキュリティアドバイザリ（cisco-sa-onprem-fmc-authbypass-5JPp45V2）に従い、修正版へアップデートしてください。管理インターフェースのアクセス元を限定することも推奨します。
- リンク: CVE-2026-20079 / Cisco Advisory
CVE-2026-40860 / CVE-2026-40858 — Apache Camel のデシリアライズによるコード実行（CVSS 9.8 / 8.8）
- CVSS: 9.8 CRITICAL / 8.8 HIGH（いずれも CWE-502）
- 影響: Apache Camel の
camel-jms・camel-sjms（JMSObjectMessage経由）、およびcamel-infinispan（リモート Infinispan キャッシュ経由） - 概要:
camel-jms系は受信した JMSObjectMessageをObjectInputFilterなしでデシリアライズしており、既定設定（mapJmsMessage=true）のコンシューマが細工メッセージを受信すると 任意コード実行に至り得ます（CVE-2026-40860、CVSS 9.8）。camel-infinispanもリモート Infinispan キャッシュ値を同様にデシリアライズします（CVE-2026-40858、CVSS 8.8）。 - 対策: 修正済みの Camel リリースへアップデートしてください。Red Hat 製品は該当 RHSA（RHSA-2026:17668 ほか）を適用してください。
- リンク: CVE-2026-40860 / CVE-2026-40858 / Camel Security
CVE-2025-14733 — WatchGuard Fireware OS の IKEv2 バッファオーバーフロー（CVSS 9.8・CISA KEV 収録）
- CVSS: 9.8 CRITICAL / CWE-787
- 影響: WatchGuard Firebox（Fireware OS）で IKEv2 の Mobile User VPN / 動的ゲートウェイピア向け Branch Office VPN を構成した環境
- 概要:
ikedプロセスの境界外書き込みにより、未認証のリモート攻撃者が任意コードを実行され得ます（CVE-2025-14733）。過去に IKEv2 構成を削除していても、設定が残っていると影響を受ける場合があります。CISA KEV 収録で悪用が確認されています。 - 対策: WatchGuard PSIRT（wgsa-2025-00027）に従い 修正版 Fireware OS へアップデートしてください。
- リンク: CVE-2025-14733 / WatchGuard PSIRT
CVE-2023-52251 — provectus kafka-ui のコマンドインジェクション（CVSS 8.8・修正なし）
- CVSS: 8.8 HIGH / CWE-94
- 影響: provectus kafka-ui 0.4.0〜0.7.2
- 概要: メッセージ取得APIの
qパラメータ経由で リモートからの任意コード実行が可能です（CVE-2023-52251）。公開 PoC があり、provectus 版は 2024-04 以降メンテナンスが止まっており 修正リリースは提供されていません。 - 対策: 維持されている後継 kafbat/kafka-ui への移行、または UI/API のネットワーク分離を推奨します。
- リンク: CVE-2023-52251
その他の注目 Critical / High
- CVE-2026-7374（CVSS 9.9）: KubeVirt
virt-handlerのシンボリックリンク検証不備。単一 namespace の編集権限を持つ利用者がコンソールソケットを CRI-O ソケットへの symlink に差し替えることで特権接続を乗っ取り得ます。該当 RHSA を適用してください。 - CVE-2026-29063（CVSS 9.8）: Immutable.js のプロトタイプ汚染。
mergeDeep()等の API 経由で発生。3.8.3 / 4.3.7 / 5.1.5 で修正。 - CVE-2026-41242（CVSS 9.8）: protobufjs の
typeフィールド経由のコード注入。7.5.5 / 8.0.1 で修正。あわせて CVE-2026-44293（CVSS 8.8、toObject生成コード）も 7.5.6 / 8.0.2 で修正。 - CVE-2026-42027（CVSS 9.8）: Apache OpenNLP の
ExtensionLoaderによるモデルマニフェスト経由の任意クラスインスタンス化。1.9.5 / 2.5.9 / 3.0.0-M3 より前が対象。信頼できないモデルを読み込む構成は更新を推奨します。 - CVE-2026-8376（CVSS 9.8）: Perl の正規表現コンパイル時のヒープバッファオーバーフロー（32bitビルド）。5.42.3-RC1 / 5.43.11 等で修正。
- CVE-2026-33001（CVSS 8.8）: Jenkins（2.554 以前 / LTS 2.541.2 以前）の tar 展開時のシンボリックリンク処理不備。修正版への更新を推奨します。
- CVE-2026-53071 / CVE-2026-53277（各CVSS 8.8）: Linux kernel の Bluetooth L2CAP のロック欠如による解放後使用、KVM/arm64 の SRCU ロック不備。各ディストリの修正版カーネルへの更新を推奨します。
エコシステム別サマリー
本日の OSV では npm で4件（Next.js・Astro の画像最適化RCE系ほか）が新規該当となりました。GHSA では多数のアドバイザリが更新され、エコシステム別のアドバイザリ件数は npm（51）> PyPI（43）> Go（17）> NuGet（12）> Maven（8）> Packagist（7） の順で目立ちます。npm では上記 Webフレームワークの RCE に加え、MapLibre GL JS の XSS サニタイザバイパス（CVE-2026-85061、6.4.1 で修正）、Maven では Netty の DNS リゾルバの bailiwick 検証不備によるキャッシュポイズニング（CVE-2026-45674 / CVE-2026-47691、netty-resolver-dns 4.2.15.Final / 4.1.135.Final で修正）、Packagist では CakePHP の SQL インジェクション（CVE-2026-77635、5.3.7 ほかで修正）などが確認されています。依存ライブラリは npm audit / pip-audit / dotnet list package --vulnerable 等で棚卸しすることを推奨します。
JVN 日本語情報
- JVNDB-2026-000129: baserCMS 用プラグイン「BurgerEditor」（株式会社ディーゼロ）における複数の脆弱性。ユーザ識別情報操作による権限チェック回避（CWE-639、CVE-2026-84062）と、アップロードファイルの検証不備（CWE-434、CVE-2026-84063、CVSS 6.5 Medium）が報告されています。情報セキュリティ早期警戒パートナーシップに基づき IPA へ報告・JPCERT/CC が調整したものです。BurgerEditor を利用している場合は開発元の対策情報を確認してください（JVNDB-2026-000129）。
まとめ
本日は Web フレームワーク（Next.js / Astro）の未認証RCE が最も広く影響し得る一日でした。いずれも AVIF 画像デコーダ（libheif）に起因し、「untrusted な画像をサーバ側で最適化する」構成が引き金になります。ユーザー投稿画像や外部URLの画像を扱っているサイトは、Next.js 15.5.24（16系は 16.3.3）/ Astro 7.2.8 以降への更新を優先してください。あわせて、CVSS 満点の Cisco Secure Firewall Management Center 認証バイパス、Apache Camel のデシリアライズRCE、悪用確認済み（CISA KEV）の WatchGuard VPN も並んでいます。外部から到達可能な境界機器・アプリケーションから順に、影響バージョンとパッチ適用状況を棚卸しすることを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。