本日は新規・更新CVEが389件公開され、うちCriticalが41件、Highが149件です。最も注目すべきは、画像ライブラリ libheif の欠陥に起因する**AVIF画像最適化経由の未認証リモートコード実行（RCE）**で、Next.js と Astro の両方に波及しています。ユーザー投稿画像を最適化するサイトは早急な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 389件 |
| Critical (9.0+) | 41件 |
| High (7.0-8.9) | 149件 |
| Medium (4.0-6.9) | 2件 |
| 影響エコシステム | npm, PyPI |
Critical 41件の多くは Linux kernel のネットワークスタック（ksmbd / SMC / SCTP / seg6 / nvme-tcp 等）に対する一括採番で、多数が use-after-free 系です。一方、Web開発者への影響が大きいのは OSV 経由で観測された JavaScript / Python フレームワーク群の脆弱性です。
注目の脆弱性
Next.js / Astro：AVIF最適化経由の未認証RCE（libheif起因）
Next.js（GHSA-2xp9-vwfh-vxw4）と Astro（GHSA-26w7-cxv4-gfx2、CVSS 9.8）で、同一の根本原因による未認証RCEが公開されました。両フレームワークが画像処理に使う sharp の内部ライブラリ libheif（GHSA-g89c-p67h-r497）に欠陥があり、悪意あるAVIF画像を最適化させるだけでコード実行に至る可能性があります。
- 影響条件: 攻撃者が信頼できないAVIF画像を最適化パイプラインに渡せる場合（ユーザー投稿画像など）
- 修正: Next.js
15.5.24/16.3.3以降（内部の Sharp 更新を含む）、Astro7.2.8以降（Sharp 0.35.4 を要求） - 回避策: 修正版が行き渡るまでAVIF最適化を無効化（Next.js は暫定的に既定で無効化）
CVE-2026-75604：Next.js のWindowsホスト向け未認証RCE
Windowsファイルシステム上でホストされた Next.js アプリ（Pages / App Router で Cache Component 未使用時）で、未認証の攻撃者によるRCEに至る脆弱性です。CVSSは約 9.0（Critical）。既知の回避策はなく、Windows上で稼働している場合は即時アップデートが推奨されます。
- 影響: Windowsホストの Next.js アプリ
- 修正:
15.5.24/16.3.3以降
CVE-2026-9800：Keycloak Policy Enforcer の認可バイパス
CVSS 8.1（High）。Keycloak の Policy Enforcer に、認証済みユーザーがロール／スコープ／UMA の全認可ポリシーを回避できる欠陥があります。リクエストURLに access-denied ページのパスを含めることで保護リソースへアクセスできてしまいます。Red Hat から更新（RHSA）が提供されています。
その他のフレームワーク脆弱性（Moderate）
- Angular サニタイズバイパス（CVE-2026-88057）: ディレクティブの host binding が具象ホスト要素ではなくセレクタ基準で SecurityContext を判定していた問題。修正
20.3.28/21.2.20/22.1.0以降。 - Astro 認可バイパス（CVE-2026-84376）:
baseパス除去時のパスセグメント境界チェック不足により、context.url.pathnameで認可するミドルウェアが回避されうる。修正7.2.4以降。
エコシステム別サマリー
本日 OSV で観測された脆弱性は npm 87件 / PyPI 44件。npm 側は Next.js の Image Optimization / Middleware バイパス / SSRF 系、Vite の server.fs.deny バイパス系、Angular・Svelte の XSS 系が目立ちます。PyPI 側は Django の SQLインジェクション・DoS・キャッシュ経由の情報漏えい系が継続的に多い印象です。いずれも監視対象パッケージの更新に伴う再集計が中心のため、利用中のメジャーバージョンに対応する修正版が出ていないか確認しておくと安全です。
JVN 日本語情報
本日の MyJVN は該当する新規の脆弱性対策情報がありませんでした。
まとめ
本日の要点は、libheif という単一の画像ライブラリの欠陥が Next.js と Astro の両方に未認証RCEとして波及した点です。画像アップロード・最適化を扱うWebサイトは、影響範囲を確認のうえ修正版へのアップデート、または AVIF最適化の一時無効化を検討してください。加えて、Windowsホストの Next.js（CVE-2026-75604）と Keycloak（CVE-2026-9800）は回避策が限定的なため、優先的な対応を推奨します。Linux kernel の Critical 41件はディストリビューションの更新提供に合わせて計画的に適用すれば問題ありません。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。