本日は分析対象のCVEが200件公開・更新され、うちCriticalが18件、Highが114件でした。最も深刻なのは、LLMフローを組む AI基盤 Flowise の認証バイパス（CVE-2026-70478、CVSS 10.0）で、認証不要のエンドポイントから連携サービスのアクセストークンを奪取できます。加えて libcurl の接続再利用の欠陥（CVE-2026-19931、CVSS 9.8）、OpenSSL CMP のフォーマット文字列DoS（CVE-2026-63073、CVSS 9.8）、Windows NFS のUse-After-Free RCE（CVE-2026-78445、CVSS 9.8）など、基盤ライブラリ・OS側のCriticalが目立ちます。アプリ・依存ライブラリ・OSの3面から確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件 |
| Critical (9.0+) | 18件 |
| High (7.0-8.9) | 114件 |
| Medium (4.0-6.9) | 54件 |
| Low / なし | 6件 / 8件 |
| 主な影響領域 | AI基盤(Flowise), 基盤ライブラリ(curl/OpenSSL), OS(Windows), Node.js/npm系OSS, Java系OSS |
Critical / High 脆弱性の詳細
CVE-2026-70478 — Flowise の認証なしOAuth認証情報漏えい（CVSS 10.0）
- CVSS: 10.0 CRITICAL（CVE-2026-70478、CWE-200）
- 影響: Flowise 3.1.3 より前
- 概要:
POST /api/v1/oauth2-credential/refresh/:credentialIdがWHITELIST_URLSに含まれ 認証を要求しません。このエンドポイントは保存済み認証情報を復号してOAuthプロバイダにリフレッシュ要求を送り、更新後のaccess_tokenを応答本文で返します。認証情報IDを知る攻撃者が、被害者の連携サービスへアクセスできてしまいます。 - 対策: Flowise 3.1.3 以降 へアップデートしてください。
- リンク: CVE-2026-70478
CVE-2026-70477 — Flowise CSV Agent のプロンプトインジェクションRCE（CVSS 9.8）
- CVSS: 9.8 CRITICAL（CVE-2026-70477、CWE-94）
- 影響: Flowise 3.1.3 より前（CSV Agent ノードを使うチャットフロー）
- 概要: CSV Agent ノードへのプロンプトインジェクションにより、ブロックリスト検証を回避するPythonコードをLLMに生成させ、サンドボックス化されていない Pyodide 環境で実行され得ます。サービスアカウント権限での任意コード実行につながります。
- 対策: Flowise 3.1.3 以降 へアップデートしてください。
- リンク: CVE-2026-70477
CVE-2026-15630 — Casdoor のテナント境界を越える認可バイパス（CVSS 9.9）
- CVSS: 9.9 CRITICAL（CVE-2026-15630、CWE-269/639/863）
- 影響: Casdoor（マルチテナントIDプラットフォーム）
- 概要: 認可判定が
?id=に基づく一方、実際の操作はリクエストボディに基づくという不整合を突き、あるテナントの非グローバル組織管理者が 別テナントのリソースを作成・変更・削除 できます。研究者によるPoC・解説が公開されています。 - 対策: 開発元のアドバイザリに従い修正版へアップデートしてください。
- リンク: CVE-2026-15630
CVE-2026-19931 — libcurl のNegotiate接続の誤再利用（CVSS 9.8）
- CVSS: 9.8 CRITICAL（CVE-2026-19931、CWE-488）
- 影響: libcurl（Negotiate認証を使う構成）
- 概要: 空の資格情報で開始したリクエストに対し、同一ホスト向けのNegotiate認証済みHTTP接続を誤って再利用します。結果として ユーザーBのリクエストがユーザーAの認証済み接続経由で送信 され得ます。マルチユーザーでlibcurlを共有するプロキシ・アプリで影響が大きくなります。
- 対策: 各ディストリビューション/curlの修正版へアップデートしてください。
- リンク: CVE-2026-19931
CVE-2026-63073 — OpenSSL CMP検証のフォーマット文字列DoS（CVSS 9.8）
- CVSS: 9.8 CRITICAL（CVE-2026-63073、CWE-134）
- 影響: OpenSSL の CMP クライアント（expected sender / サーバ証明書ピンニングを構成している場合）
- 概要: CMP応答検証時、相手が指定した送信者DNをそのまま
ERR_raise_data()の書式文字列として渡してしまい、CN=%s%nのようなDNで クライアントがクラッシュ します。信頼できる/傍受されたCMPエンドポイントからのDoSが確実な影響で、任意コード実行には至らないと評価されています。FIPSモジュールは影響しません。 - 対策: OpenSSL の修正版へアップデートしてください。
- リンク: CVE-2026-63073
CVE-2026-78445 — Windows NFS (ONCRPC XDR) のUse-After-Free RCE（CVSS 9.8）
- CVSS: 9.8 CRITICAL（CVE-2026-78445、CWE-416）
- 影響: Windows Services for NFS（ONCRPC XDRドライバ）
- 概要: ONCRPC XDR ドライバのUse-After-Freeにより、認証されていない攻撃者が ネットワーク経由でコードを実行 し得ます。NFSサーバ機能を有効にしているWindows環境が対象です。
- 対策: Microsoft の月例更新（MSRC）に従いパッチを適用してください。
- リンク: CVE-2026-78445
その他の注目 Critical / High
- CVE-2026-19001（CVSS 9.8）: MongoDB BI Connector ODBC Driver で、極端に長いカタログ/スキーマ/オブジェクト名によるバッファ境界外書き込み。メモリ破壊から異常終了、条件によっては任意コード実行の可能性。v1.4.9 で修正。
- CVE-2026-79698 / CVE-2026-86299（各CVSS 9.9）: Advantech WISE-6610 シリーズおよび Linksys RE7000 のコマンドインジェクション。産業用/家庭用ネットワーク機器のため、該当機器を運用中の場合は開発元の対策情報を確認してください。
- CVE-2026-12894（CVSS 8.8）: Quarkus の Qute テンプレートエンジンで、
ReflectionValueResolverがEnum等の処理時に内部関数へのアクセス遮断に失敗し、テンプレートに影響を与えられる攻撃者が任意コマンド実行に至り得る。Red Hat の修正版へ更新を推奨。 - CVE-2026-84645（CVSS 8.8）: Jenkins 2.579 / LTS 2.568.2 以前で、ユーザー投稿の
config.xmlにネストしたオブジェクトがStapler経由でHTTPリクエストを処理し、リモートコード実行に至る（関連: CVE-2026-84648 のログビューアXSS、CVE-2026-84650）。2026-09-02 のアドバイザリに従い更新を推奨。 - CVE-2026-71328（CVSS 8.8）: Visual Studio のヒープベースバッファオーバーフローにより、ネットワーク経由での任意コード実行の可能性。月例更新の適用を推奨。
- CVE-2026-70846 / CVE-2026-70737 / CVE-2026-70922（CVSS 8.8〜9.6）: Oracle 製品群（Demand Planning, Enterprise Manager, Financial Services）の脆弱性。8月Critical Patch Update に従い更新を推奨。
エコシステム別サマリー
本日のOSV監視対象では npm（87件）> PyPI（44件） が中心で、GHSA側では PyPI・Maven・Packagist・Go の更新も見られました。npm系では Next.js のRCE（React flightプロトコル）・画像最適化APIの未認証RCE（AVIF経由）・ミドルウェア/プロキシバイパス・SSRF・DoS の一連のアドバイザリ（CVE-2026-64641〜64649 ほか）が引き続き広く含まれます。また Astro の画像最適化（AVIF）経由のRCE（astro 7.2.8 で修正）や Angular のサニタイズバイパスXSS、Vite の server.fs.deny バイパス系 も要注意です。PyPI/その他では Django のキャッシュ経由の機密情報漏えい・DoS・SQLi 系 が多数更新されました。依存ライブラリは npm audit / pip-audit / govulncheck で棚卸しすることを推奨します。
JVN 日本語情報
- JVNDB-2026-000132: a-blog cms におけるパストラバーサルの脆弱性（CWE-22、CVE-2026-87727、CVSS 6.5 Medium）。有限会社アップルップルが提供するCMSで、情報セキュリティ早期警戒パートナーシップに基づき報告・調整されたものです。a-blog cms を運用している場合は開発元の対策情報を確認してください（JVNDB-2026-000132）。
まとめ
本日は AI基盤・基盤ライブラリ・OS にCriticalが分散 した一日でした。とりわけ Flowise の認証バイパス（CVSS 10.0）は、認証不要でOAuth連携先のアクセストークンを奪取できるため、Flowise を外部公開している環境は 3.1.3 以降への更新を最優先で確認してください。libcurl の接続誤再利用（CVSS 9.8）はマルチユーザーでcurlを共有する構成でユーザー間のリクエスト混線を招くため、ディストリの修正版適用を推奨します。OpenSSL CMP のDoS、Windows NFS のRCE も含め、依存の深い基盤コンポーネントが多い点が特徴です。アプリケーション層では Quarkus(Qute)・Jenkins・Visual Studio、フレームワーク層では Next.js/Astro/Django の一連の修正も見逃せません。アプリ・依存ライブラリ・OSの3面から、影響バージョンとパッチ適用状況を棚卸しすることを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。