本日分析したCVEは200件（NVD全体では933件が更新）で、うちCriticalが30件、Highが87件です。最も注目すべきは Adobe ColdFusion の Evalインジェクションによる任意コード実行（CVE-2026-48273、CVSS 9.9） と、WordPressプラグインの 未認証RCE（CVE-2026-25470、CVSS 10.0） です。いずれも公開サーバーで悪用されやすく、早急な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件（NVD更新全体 933件） |
| Critical (9.0+) | 30件 |
| High (7.0-8.9) | 87件 |
| Medium (4.0-6.9) | 71件 |
| Low (0.1-3.9) | 3件 |
| 影響エコシステム | npm, PyPI |
Critical 30件の多くは Linux kernel のネットワークスタックや ksmbd（SMBサーバー）に対する一括採番で、use-after-free 系が中心です。一方、アプリ／インフラ運用者への影響が大きいのは、以下のミドルウェア・CMS系の脆弱性です。
注目の脆弱性
CVE-2026-48273：Adobe ColdFusion のEvalインジェクション（RCE）
CVSS 9.9（Critical）。動的に評価されるコードでのディレクティブの不適切な無害化（CWE-95）により、低権限の攻撃者がユーザー操作なしで任意コードを実行できる可能性があります。スコープが変化する（Scope: Changed）ため影響が実行コンテキストを超えて波及しうる点に注意が必要です。Adobe のセキュリティ情報 APSB26-119 で更新が提供されています。
CVE-2026-25470：WordPressプラグイン ACPT (Pro) の未認証RCE
CVSS 10.0（Critical・最大値）。WordPress用プラグイン「ACPT (Pro) - Custom Post Types Plugin」の 2.0.47 以前にコードインジェクション（CWE-94）があり、認証なしで任意コードを実行できる可能性があります。公開サイトでの稼働が多いため、当該プラグインの利用有無を確認のうえ最新版へ更新してください。
CVE-2026-28780：Apache HTTP Server mod_proxy_ajp のヒープオーバーフロー
CVSS 9.8（Critical）。mod_proxy_ajp が悪意あるAJPサーバーへ接続した場合、ヒープバッファ末尾に4バイトの書き込みが発生しうる欠陥です。影響は 2.4.66 以前で、2.4.67 で修正されています。AJPバックエンドを利用している構成は確認を推奨します。
CVE-2026-27446：Apache ActiveMQ Artemis の認証なしフェデレーション接続
CVSS 9.8（Critical）。未認証の攻撃者が Core プロトコルでブローカーに不正なフェデレーション接続を強制でき、任意キューへのメッセージ注入・窃取につながる可能性があります。Apache Artemis 2.50.0〜2.51.0、ActiveMQ Artemis 2.11.0〜2.44.0 が影響し、Artemis 2.52.0 で修正されています。
CVE-2025-67030：plexus-utils のディレクトリトラバーサル（Maven）
CVSS 8.8（High）。plexus-utils の Expand.extractFile にパストラバーサル（CWE-22）があり、細工されたアーカイブ展開で任意コード実行につながる可能性があります。Maven ビルドの依存に含まれることが多いため、修正コミットを含むバージョンへの更新を推奨します。
CVE-2026-33810：Go crypto/x509 の証明書検証不備
CVSS 8.2（High）。除外DNS制約を含む証明書チェーンの検証時、大文字小文字が異なるワイルドカードDNS SANに制約が正しく適用されない問題です。信頼済みのルートCAが発行したチェーンの検証に影響します。Go の該当バージョンへの更新（GO-2026-4866 参照）を推奨します。
エコシステム別サマリー
本日 OSV で観測された脆弱性は npm 87件 / PyPI 44件。npm 側は Next.js の Image Optimization・Middleware / Proxy バイパス・SSRF・キャッシュ混同（CVE-2026-644xx 系）や、Vite の server.fs.deny バイパス、Angular のサニタイズバイパス、Astro の AVIF最適化RCE が引き続き目立ちます。PyPI 側は Django のキャッシュ経由の情報漏えい・DoS・SQLインジェクション系が継続的に多い印象です。多くは監視対象パッケージの更新に伴う再集計ですが、利用中のメジャーバージョンに対応する修正版が出ていないか確認しておくと安全です。
JVN 日本語情報
- JVNDB-2026-000131：Androidアプリ「YAMAP / ヤマップ登山地図アプリ」におけるアクセス制限不備の脆弱性（CVE-2026-85125、CVSS 5.4 / Medium）。通信チャネルの送信元検証不備（CWE-940）で、開発者による調整のうえ公開されています。該当アプリ利用者は最新版への更新を推奨します。
まとめ
本日の要点は、公開サーバーで悪用されやすい ColdFusion のRCE（CVE-2026-48273、9.9） と WordPressプラグインの未認証RCE（CVE-2026-25470、10.0） です。いずれもインターネットに面したサーバーで稼働しやすいため、利用有無を確認のうえ優先的にパッチ適用を推奨します。加えて Apache HTTP Server（mod_proxy_ajp）や ActiveMQ Artemis といったミドルウェアの Critical も出ているため、該当構成は影響範囲を確認してください。Linux kernel の Critical 群は、ディストリビューションの更新提供に合わせて計画的に適用すれば問題ありません。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。