本日は分析対象のCVEが200件（NVD該当 2,374件、うち深刻度上位を分析）公開・更新され、うちCriticalが33件、Highが118件でした。開発者にとって影響が大きいのは、広く使われるHTTPクライアント axios のプロキシバイパスによるSSRF（CVE-2025-62718、CVSS 9.9）と プロトタイプ汚染（CVE-2026-44494、CVSS 8.7）です。加えて Rollup の任意ファイル書き込み（CVE-2026-27606、CVSS 9.8）、Immutable.js のプロトタイプ汚染（CVE-2026-29063、CVSS 9.8）とnpm系の主要OSSにCriticalが集中しました。基盤側では Cisco Secure Firewall Management Center の認証バイパス（CVE-2026-20079、CVSS 10.0・CISA KEV収録）が最も深刻です。外部公開面と依存ライブラリの双方から確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件（NVD該当 2,374件） |
| Critical (9.0+) | 33件 |
| High (7.0-8.9) | 118件 |
| Medium (4.0-6.9) | 40件 |
| Low / なし | 2件 / 7件 |
| 主な影響領域 | Node.js/npm系OSS, Python系OSS, ネットワーク機器, クラウド基盤 |
Critical / High 脆弱性の詳細
axios — NO_PROXYをすり抜けるSSRF＋プロトタイプ汚染
- CVSS: 9.9 CRITICAL（CVE-2025-62718、CWE-918）/ 8.7 HIGH（CVE-2026-44494、CWE-1321）
- 影響: axios 1.15.0 / 0.31.0 より前（SSRF）、1.0.0 から 1.16.0 より前（プロトタイプ汚染）
- 概要: SSRFは、
NO_PROXYルール照合時のホスト名正規化が不十分で、localhost.（末尾ドット）や[::1]といった表記の宛先が照合をすり抜けてプロキシ経由になる問題です。NO_PROXYでループバックや内部サービスを保護しているつもりでも、意図せずプロキシを経由し内部リソースへ到達され得ます。もう1件はレスポンス処理経由でObject.prototypeを汚染できるプロトタイプ汚染です。いずれもサーバサイドで axios を使う構成で影響が大きいです。 - 対策: SSRFは axios 1.15.0 / 0.31.0 以降、プロトタイプ汚染は 1.16.0 以降へアップデートしてください。両方に対応するには 1.16.0 以降が確実です。
- リンク: CVE-2025-62718 / CVE-2026-44494
CVE-2026-20079 — Cisco Secure Firewall Management Center の認証バイパス（CVSS 10.0・CISA KEV）
- CVSS: 10.0 CRITICAL / CWE-288
- 影響: Cisco Secure Firewall Management Center (FMC) Software の Web インターフェース
- 概要: 起動時に生成される不適切なシステムプロセスに起因し、未認証のリモート攻撃者が細工したHTTPリクエストで認証を回避し、デバイス上でスクリプトを実行して基盤OSの root 権限を取得され得ます（CVE-2026-20079）。CVSSは満点の10.0で、CISA KEV に収録され悪用が確認されています。
- 対策: Cisco のセキュリティアドバイザリ（cisco-sa-onprem-fmc-authbypass-5JPp45V2）に従い 修正版へアップデートし、管理インターフェースのアクセス元を限定してください。
- リンク: CVE-2026-20079 / Cisco Advisory
CVE-2026-22797 — OpenStack keystonemiddleware の権限昇格（CVSS 9.9）
- CVSS: 9.9 CRITICAL / CWE-290
- 影響: keystonemiddleware 10.5〜10.7（10.7.2 より前）、10.8・10.9（10.9.1 より前）、10.10〜10.12（10.12.1 より前）で
external_oauth2_tokenミドルウェアを使う構成 - 概要: OAuth 2.0 トークン処理時に受信認証ヘッダを十分にサニタイズしておらず、
X-Is-Admin-ProjectやX-Roles、X-User-Idなどを偽装したヘッダを送ることで、認証済み攻撃者が権限を昇格したり他ユーザーになりすまし得ます（CVE-2026-22797）。当該ミドルウェアを使う全デプロイが対象です。 - 対策: 10.7.2 / 10.9.1 / 10.12.1 以降へアップデートしてください。
- リンク: CVE-2026-22797
CVE-2026-27606 — Rollup の任意ファイル書き込み（CVSS 9.8）
- CVSS: 9.8 CRITICAL / CWE-22
- 影響: Rollup 2.80.0 / 3.30.0 / 4.59.0 より前
- 概要: 出力ファイル名のサニタイズ不備により、CLIの名前付き入力・手動チャンクのエイリアス・悪意あるプラグイン等を通じて出力ファイル名を制御され、
../のトラバーサルでビルドプロセスの権限が及ぶ範囲のファイルを上書きされ得ます（CVE-2026-27606）。設定ファイルの上書きを通じて永続的なコード実行に至る可能性があります。 - 対策: Rollup 2.80.0 / 3.30.0 / 4.59.0 以降へアップデートしてください。信頼できないプラグインや入力を扱うCI/ビルド環境は特に優先を推奨します。
- リンク: CVE-2026-27606
CVE-2026-7374 — KubeVirt virt-handler のシンボリックリンク検証不備（CVSS 9.9）
- CVSS: 9.9 CRITICAL / CWE-59
- 影響: KubeVirt / OpenShift Virtualization の virt-handler コンポーネント
- 概要: 仮想マシンのコンソールソケット接続時のsymlink検証が不十分で、単一namespaceで編集権限を持つ認証済みユーザーがコンソールソケットをコンテナランタイム（CRI-O）ソケットへのsymlinkに差し替えることで、virt-handlerの特権接続を乗っ取り得ます（CVE-2026-7374）。ホスト上の任意Unixソケットへのアクセスからノードやクラスタ全体の掌握につながる恐れがあります。
- 対策: 該当 RHSA（RHSA-2026:20720 ほか）を適用し、修正版へアップデートしてください。
- リンク: CVE-2026-7374
その他の注目 Critical / High
- CVE-2026-29063（CVSS 9.8）: Immutable.js のプロトタイプ汚染。
mergeDeep()・merge()・Map.toJS()等の API 経由で発生。3.8.3 / 4.3.7 / 5.1.5 で修正。 - CVE-2026-28802（CVSS 9.8）: Python の OAuth/OIDCライブラリ Authlib で、
alg: none・空署名の細工JWTが署名検証を通過してしまう問題（1.6.5〜1.6.6）。1.6.7 で修正。 - CVE-2026-27459（CVSS 9.8）: pyOpenSSL のバッファオーバーフロー。
set_cookie_generate_callbackが256バイト超のCookie値を返すとOpenSSLのバッファをあふれさせます（22.0.0〜25系）。26.0.0 で修正。 - CVE-2026-27140（CVSS 8.8）: SWIG のビルド時コード実行。
cgoを含むファイル名と細工ペイロードで信頼レイヤをバイパスし得ます。修正版への更新を推奨。 - CVE-2026-43112（CVSS 8.8）: Linux kernel の
fs/smb/client（cifs）の境界外読み取り。空文字列や区切り文字のみのパスでcifs_sanitize_prepathがOOB readを起こします。各ディストリの修正版カーネルへの更新を推奨。 - CVE-2026-1784（CVSS 8.8）: OpenShift の Route リソースで
spec.pathの検査不足によりHAProxy設定の注入が可能。該当 RHSA（RHSA-2026:23241 ほか）を適用してください。 - CVE-2026-4601（CVSS 8.7）: jsrsasign（11.1.1 より前）のDSA署名で暗号処理ステップが欠落し、秘密鍵を復元され得ます。11.1.1 以降へ更新を推奨。
- CVE-2026-69096（CVSS 8.8）: OpenWrt の luci-app-dockerman におけるOSコマンドインジェクション。該当パッケージの更新を推奨。
エコシステム別サマリー
本日のOSVは監視対象パッケージ（Next.js・Django・Vite・Angular 等16パッケージ）が一括で再集計されており、Next.js と Django のアドバイザリが特に目立ちます。Next.js では CVE-2026-64641 〜 CVE-2026-64649 のまとまった修正が公開され、rewrites 経由のSSRF（CVE-2026-64645）、App Router のミドルウェア/プロキシバイパス（CVE-2026-64642）、レスポンスボディのキャッシュ混同（CVE-2026-64648）、内部Server Functionエンドポイントの情報露出（CVE-2026-64643）などが含まれます。Next.js 15.5.21 / 16.2.11 以降（一部は 15.5.24 / 16.3.3）への更新を推奨します。Django は 5.2.16 / 6.0.7 系で GDALRaster のヒープ過読み（CVE-2026-53877）、キャッシュミドルウェアによる非公開レスポンス露出（CVE-2026-48588）などが修正されています。Vite は Dev Server WebSocket 経由の任意ファイル読み取り（CVE-2026-39363、6.4.2 / 7.3.2 / 8.0.5 で修正）に注意してください。GitHub Advisory（パッケージ特定済み）ではエコシステム別に PyPI（15）> Go（13）> npm（12）> Packagist（4） の順で更新が目立ちました。依存ライブラリは npm audit / pip-audit / govulncheck 等で棚卸しすることを推奨します。
JVN 日本語情報
- JVNDB-2026-000129: baserCMS 用プラグイン「BurgerEditor」（株式会社ディーゼロ）における複数の脆弱性。ユーザ識別情報操作による権限チェック回避（CWE-639、CVE-2026-84062）と、アップロードファイルの検証不備（CWE-434、CVE-2026-84063、CVSS 6.5 Medium）が報告されています。情報セキュリティ早期警戒パートナーシップに基づき IPA へ報告・JPCERT/CC が調整したものです。利用中の場合は開発元の対策情報を確認してください（JVNDB-2026-000129）。
- JVNDB-2026-000130: SHIRASAGI（SHIRASAGI Project）における複数の脆弱性。クロスサイトスクリプティング（CWE-79、CVE-2026-81635）と認可処理の回避（CWE-639、CVE-2026-82582、CVSS 5.4 Medium）が報告されています。CMS を運用している場合は修正版の適用を推奨します（JVNDB-2026-000130）。
まとめ
本日は Node.js/npm 系の主要OSSにCriticalが集中した一日でした。とりわけ axios は利用範囲が非常に広く、NO_PROXY をすり抜けるSSRF（CVSS 9.9）とプロトタイプ汚染の2件が同時に判明したため、サーバサイドで axios を使う構成は 1.16.0 以降への更新を優先してください。ビルド基盤では Rollup の任意ファイル書き込み、フロントエンドでは Next.js の一連の修正（SSRF・ミドルウェアバイパス等）も見逃せません。基盤側では CVSS 満点かつ悪用確認済み（CISA KEV）の Cisco Secure Firewall Management Center 認証バイパスが最優先です。外部から到達可能な機器・アプリケーションと、package.json / requirements.txt に残る依存ライブラリの双方から、影響バージョンとパッチ適用状況を棚卸しすることを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。