【セキュリティ日報】Go x/cryptoのSSH認証バイパスCVSS10.0、LXDにCritical集中ほか26件

項目	優先度	対応	影響対象	クイックアクション
golang.org/x/crypto のSSHサーバ認証バイパス CVE-2026-46595	high	対応必須	golang.org/x/crypto でSSHサーバを実装するGoアプリ利用者	golang.org/x/crypto v0.39.0 以降へアップデート
Canonical LXD の認証済みリモートコマンド実行 CVE-2026-28384	high	対応必須	Canonical LXD 4.12〜6.6 利用者	修正済みsnapチャネル（5.0.6/5.21.4/6.7 系）へ更新
LXD の設定値改行注入によるホスト任意コード実行 CVE-2026-63298	high	対応必須	Canonical LXD 利用者	Canonical のアドバイザリに従い修正版へ更新
Sequelize（Oracleダイアレクト）のSQLインジェクション CVE-2026-69240	high	対応必須	Sequelize 利用者（dialect: oracle）	Sequelize 6.37.4 以降へアップデート
logging-operator のFluentd設定注入によるコマンド実行 CVE-2026-54680	high	対応必須	Kubernetes logging-operator 利用者	logging-operator 6.6.0 以降へアップデート
Pterodactyl Wings のデーモン設定情報漏えい CVE-2026-52855	high	対応必須	Pterodactyl Wings 利用者	Wings 1.12.3 以降へアップデート
Commvault CommServe の認可バイパス CVE-2026-13738	high	対応必須	Commvault 利用者	全Commvaultコンポーネントを修正メンテナンスリリースへ更新
gRPC-Go の認可バイパス（:pathルーティング） CVE-2026-33186	high	対応必須	gRPC-Go（パスベース認可）利用者	gRPC-Go 1.79.3 以降へアップデート
OpenSSL PKCS#7 検証のUse-After-Free CVE-2026-45447	high	推奨	OpenSSL（PKCS#7/S-MIME処理）利用者	各ディストリの修正版OpenSSLへ更新
jackson-databind の配列サブタイプ許可リストバイパス CVE-2026-54513	high	推奨	jackson-databind 利用者	jackson-databind 2.18.8 / 2.21.4 / 3.1.4 以降へ更新
Netty のIPv6サブネットフィルタ回避 CVE-2026-44249	high	推奨	Netty（netty-handler）利用者	netty-handler 4.1.135.Final / 4.2.15.Final 以降へ更新

本日は分析対象のCVEが200件公開・更新され、うちCriticalが26件、Highが81件でした。最も深刻なのは、Goで広く使われるSSHライブラリ golang.org/x/crypto のSSHサーバ認証バイパス（CVE-2026-46595、CVSS 10.0）で、公開鍵以外の認証コールバックを使う構成で送信元アドレス制限が無効化されます。加えて Canonical LXD に認証バイパス・ホストでのコマンド実行など Critical（CVSS 9.9）が10件以上集中し、Node.js ORMの Sequelize にSQLインジェクション（CVE-2026-69240、CVSS 9.8）も公開されました。Go製アプリ・コンテナ基盤・依存ライブラリの3面から確認を推奨します。

本日の概要

指標	数値
分析対象CVE	200件
Critical (9.0+)	26件
High (7.0-8.9)	81件
Medium (4.0-6.9)	60件
Low / なし	2件 / 31件
主な影響領域	Go系OSS, コンテナ基盤(LXD), Node.js/npm系OSS, Java系OSS

Critical / High 脆弱性の詳細

golang.org/x/crypto — SSHサーバの認証バイパス（CVSS 10.0）

CVSS: 10.0 CRITICAL（CVE-2026-46595、CWE-863）
影響: golang.org/x/crypto v0.38.0 以前（SSHサーバ実装を使うGoアプリケーション）
概要: 以前の CVE-2024-45337 で修正された認証バイパスの修正が不完全で、公開鍵以外の認証コールバック（パスワード認証など）を設定している場合に 送信元アドレス（source-address）の検証がスキップ されます。宛先制限拡張が付いたSSHキーも、本来許可されない送信元から制限なしに利用され得ます。
対策: golang.org/x/crypto v0.39.0 以降 へ更新（go get golang.org/x/crypto@latest）し、再ビルド・再デプロイしてください。Go標準ライブラリの crypto/ssh は別パッケージのため影響しません。
リンク: CVE-2026-46595

Go SSH / 標準ライブラリの関連修正（CVSS 9.1〜9.6）

CVSS: 9.1〜9.6 CRITICAL
概要: 上記と同じ golang-announce の一連の修正として複数が公開されました。
- CVE-2026-39832（CVSS 9.1）: SSHエージェントへ鍵を追加する際、宛先制限などの制約拡張がシリアライズされず、転送時に 制限が黙って外れる 問題。
- CVE-2026-39830（CVSS 9.1）: 悪意あるSSHピアが未要求のグローバル応答でバッファを埋め、接続のリードループを ブロック（リソースリーク） させる問題。
- CVE-2026-42508（CVSS 9.1）: 失効した SignatureKey の失効チェック漏れ。
- CVE-2026-39821（CVSS 9.6）: idna パッケージの ToASCII/ToUnicode がASCIIのみに復号されるPunycodeラベルを誤って受理し、権限チェックの回避 につながる問題。
対策: いずれも golang.org/x/crypto / golang.org/x/net の最新版へ更新してください。

Canonical LXD — 認証バイパス・ホストでのコマンド実行が多数（CVSS 9.9）

CVSS: 9.9 CRITICAL（複数CVE）
影響: Canonical LXD（コンテナ/仮想マシン管理）4.12〜6.6 系ほか
概要: LXDに Critical が10件以上 まとまって公開されました。認証済みユーザーによる操作を起点に、ホスト上でのコマンド実行や権限昇格に至り得るものが含まれます。
- CVE-2026-28384（CVSS 9.9）: compression_algorithm パラメータのサニタイズ不備により、認証済み・非特権ユーザーがLXDデーモン権限でコマンドを実行（image/backupエンドポイント経由）。
- CVE-2026-63298（CVSS 9.9）: nvidia.driver.capabilities などの設定値に改行を挿入して lxc.conf を操作し、ホスト上で任意コード実行。
- CVE-2026-63294（CVSS 9.9）: 細工したbackup/imageアーカイブ内の backup.yaml をシンボリックリンクにすることで root権限でのコマンド実行。
- CVE-2026-62420 / CVE-2026-63296 / CVE-2026-63297 / CVE-2026-63300（各CVSS 9.9）: プロジェクト間のインスタンス移行・コピー時に プロジェクト制限（restricted.*）の検証が回避 され、制限プロジェクトに高権限構成を持ち込める問題。
- CVE-2026-66898（CVSS 9.9）: backupアーカイブ内のインスタンス/ボリューム名の検証不備による パストラバーサル。
対策: Canonical のセキュリティアドバイザリに従い、修正済みのsnapチャネル（例: 5.0/stable の 5.0.6-e49d9f4、5.21/stable の 5.21.4-1374f39、6.0 stable の 6.7-1f11451）へ更新してください。4.0/stable は影響しません。

CVE-2026-69240 — Sequelize（Oracleダイアレクト）のSQLインジェクション（CVSS 9.8）

CVSS: 9.8 CRITICAL（CVE-2026-69240、CWE-89）
影響: Sequelize 6.37.4 より前（dialect: oracle 設定時のみ）
概要: sql-string.js のエスケープ処理が、値が TO_TIMESTAMP または TO_DATE で始まる文字列の場合にシングルクォートをエスケープせずに返してしまい、当該経路に到達するアプリケーション値を通じて 任意のSQL式を注入 され得ます。
対策: Sequelize 6.37.4 以降 へアップデートしてください。Oracle以外のダイアレクトを使用している場合は影響しません。
リンク: CVE-2026-69240

CVE-2026-45447 — OpenSSL PKCS#7 検証のUse-After-Free（CVSS 8.8）

CVSS: 8.8 HIGH（CVE-2026-45447、CWE-416）
影響: OpenSSL の PKCS#7 / S/MIME 署名メッセージ処理（PKCS7_verify を使うアプリ）
概要: 署名メッセージの digestAlgorithms が空のASN.1 SETとして存在する場合、PKCS7_verify() が呼び出し側所有のBIOを誤って解放し、その後のBIO利用で Use-After-Free が発生します。クラッシュやヒープ破壊、環境によっては遠隔コード実行の可能性があります。CMS APIを使う処理は影響しません。
対策: 各ディストリビューション/OpenSSLの修正版へアップデートしてください。
リンク: CVE-2026-45447

CVE-2026-33186 — gRPC-Go の認可バイパス（CVSS 9.1）

CVSS: 9.1 CRITICAL（CVE-2026-33186、CWE-285）
影響: gRPC-Go 1.79.3 より前で、パスベースの認可インターセプタ（grpc/authz 等）を使う構成
概要: HTTP/2 の :path 疑似ヘッダに対するルーティングが寛容すぎ、先頭スラッシュを欠いたパスでも正しいハンドラに到達する一方、認可インターセプタは非正規化パスを評価するため、正規パス向けの「deny」ルールが一致せず フォールバックの「allow」で通過 し得ます。
対策: gRPC-Go 1.79.3 以降 へ更新してください。暫定策として、検証用インターセプタの導入やインフラ側でのパス正規化も有効です。
リンク: CVE-2026-33186

その他の注目 Critical / High

CVE-2026-54680（CVSS 9.9）: Kubernetes の logging-operator で、FlowリソースのCRD文字列がエスケープされずに fluent.conf へ書き込まれ、Fluentd設定の注入からアグリゲータ内で任意コマンド実行が可能。6.6.0 で修正。
CVE-2026-52855（CVSS 9.9）: Pterodactyl Wings で、egg設定テンプレートの {{config.}} プレースホルダから config.token などデーモン設定の機密情報を低権限ユーザーが読み取り可能。1.12.3 で修正。
CVE-2026-13738（CVSS 9.8）: Commvault CommServe の認可バイパス。CommServe/Webserver/Command Center/Media Agents 等すべてを修正メンテナンスリリースへ更新。
CVE-2026-54513（CVSS 8.1）: jackson-databind の allowIfSubTypeIsArray() が配列の要素型を許可リストと照合せず、EvilType[] のような配列型を通過させる許可リストバイパス。2.18.8 / 2.21.4 / 3.1.4 で修正。
CVE-2026-44249（CVSS 8.1）: Netty の IpSubnetFilterRule.compareTo() のマスク処理不備によりIPv6サブネットルールを回避され、有効な公開IPで制限を突破され得る。netty-handler 4.1.135.Final / 4.2.15.Final で修正。
CVE-2026-64364（CVSS 8.8）: Linux kernel の HID multitouch で、大きなContactCountMaximumを申告するデバイスにより mt_io_flags の境界外ビットアクセスが発生しカーネルパニック。untrustedなUSB/Bluetooth HIDデバイスから到達可能。各ディストリの修正版カーネルへ更新を推奨。
CVE-2026-58592（CVSS 8.3）: Ladybird ブラウザのWebAssembly ESM統合でのダングリング参照によるメモリ安全性の欠陥（PoC公開）。修正コミット以降のビルドへ更新を推奨。

エコシステム別サマリー

本日のGitHub Advisory（パッケージ特定済み）では npm（20）> Go（17）> PyPI（14）> Maven（5）> Packagist（3）> crates.io（2） の順で更新が目立ちました。Java系では jackson-databind の許可リストバイパス（CVE-2026-54513）と Netty のIPv6サブネット回避（CVE-2026-44249、関連して netty-codec-haproxy の参照カウント不整合 CVE-2026-48059）が要注意です。npm系では Angular（@angular/platform-server）のSSRF・資格情報漏えい（CVE-2026-88056）と SSR XSS（CVE-2026-88060）が公開されました。OSVでは監視対象パッケージ（npm 87件 / PyPI 44件）が再集計され、Next.js のミドルウェア/プロキシバイパス・SSRF・DoS の一連のアドバイザリ（CVE-2026-64641〜64649 ほか）が引き続き広く含まれます。依存ライブラリは npm audit / pip-audit / govulncheck で棚卸しすることを推奨します。

JVN 日本語情報

JVNDB-2026-033234: コンテック製無線LAN FLEXLANシリーズにおける複数の脆弱性（CVSS 8.8 High）。OSコマンドインジェクション（CWE-78）、クロスサイトスクリプティング（CWE-79）、CSRF（CWE-352）、パストラバーサル（CWE-23）などが報告されています。産業用ネットワーク機器のため、利用中の場合は開発元の対策情報を確認してください（JVNDB-2026-033234）。
JVNDB-2026-032930: コンテック製 SolarView Compact における複数の脆弱性（CVSS 8.8 High）。スケジュール設定画面のOSコマンドインジェクション（CWE-78、CVE-2026-82794）やクロスサイトスクリプティング（CWE-79）が報告されています。太陽光発電計測システムを運用している場合は修正版の適用を推奨します（JVNDB-2026-032930）。
JVNDB-2026-000132: a-blog cms におけるパストラバーサルの脆弱性（CWE-22、CVSS 6.5 Medium）。CMSを運用している場合は開発元の対策情報を確認してください（JVNDB-2026-000132）。

まとめ

本日は Go エコシステムとコンテナ基盤（LXD）にCriticalが集中 した一日でした。とりわけ golang.org/x/crypto のSSHサーバ認証バイパス（CVSS 10.0）は、自作SSHサーバやGo製ツールで当該ライブラリを使っている場合に送信元アドレス制限が無効化されるため、v0.39.0 以降への更新を最優先で確認してください。LXDは認証済みユーザー起点でホスト権限のコマンド実行や権限昇格に至るCriticalが多数あり、マルチテナントでLXDを運用している環境は修正済みsnapチャネルへの更新を推奨します。アプリケーション層では Sequelize（Oracleダイアレクト）のSQLインジェクション、Java系の jackson-databind / Netty の修正も見逃せません。Go製バイナリ・コンテナ基盤・package.json/pom.xml の依存ライブラリの3面から、影響バージョンとパッチ適用状況を棚卸しすることを推奨します。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。