本日分析したCVEは200件で、うちCriticalが27件、Highが89件です。最も注目すべきは、広く使われる libcurl の一括Critical群（CVE-2026-10536ほか、いずれもCVSS 9.8〜9.1） と、LLMフロー構築ツール Flowise のIDOR（CVE-2026-67622、CVSS 9.9） です。いずれも利用範囲が広く、早急な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件 |
| Critical (9.0+) | 27件 |
| High (7.0-8.9) | 89件 |
| Medium (4.0-6.9) | 74件 |
| Low (0.1-3.9) | 8件 |
| 影響エコシステム | npm, PyPI |
本日のCriticalは、curl / libcurl の一括採番（接続・認証情報の再利用にまつわる不具合が中心）と、Flowise の一連の脆弱性（RCE・IDOR・SSRF系）が二大テーマです。加えてMCPサーバー実装や Linux kernel、Go 標準ライブラリにも Critical が出ています。
注目の脆弱性
CVE-2026-10536ほか：libcurl の一括Critical群
CVSS 9.8〜9.1（Critical）。本日は libcurl の脆弱性が多数まとめて更新されています。代表的なものは以下です。
- CVE-2026-10536（9.8）：HTTP/2 のストリーム依存ツリー（
CURLOPT_STREAM_DEPENDS）を設定したハンドルをcurl_easy_reset()後にcurl_easy_cleanup()するとUse-After-Freeが発生しうる。 - CVE-2026-11856（9.8）：Digest認証を使ったハンドルを別オリジンに転用すると、
hostA向けのAuthorization:ヘッダがhostBに誤って送信されうる（認証情報漏えい）。 - CVE-2026-8925（9.8）：SASL認証時にGSASLコンテキストを二重に
free()してしまう。 - CVE-2026-9079 / CVE-2026-8927（9.8〜9.1）：プロキシ認証情報のクリアが効かず、後続転送に古い資格情報が持ち越される。
- CVE-2026-11564（9.1）：接続プール再利用時に、独自CAへ切り替えても以前のネイティブCA信頼が引き継がれうる。
- CVE-2026-8924（9.1）：Public Suffix Listチェックを回避する「スーパークッキー」を悪意あるサーバーが設定できる。
いずれも ハンドルを使い回す／接続を再利用する アプリケーションで顕在化する挙動です。curl コマンド単体より、libcurl を組み込んだ製品・スクリプトへの影響を優先的に確認してください。curl の各アドバイザリ（curl.se/docs）で修正版が案内されています。
CVE-2026-67622：Flowise のIDOR（他ワークスペースの資格情報アクセス）
CVSS 9.9（Critical）。Flowise 3.1.4 までの OpenAI Assistants 連携に安全でない直接オブジェクト参照（CWE-639）があり、認証済み攻撃者が任意の資格情報UUIDを指定することで、他ワークスペースの認証情報にアクセスできる可能性があります。クロスワークスペースのメタデータ列挙やファイルアップロードにもつながります。開発元アドバイザリを確認のうえ対処してください。
なお Flowise は本日、CSVAgent/Pyodide経由のRCE（CVE-2026-69264、9.8）や overrideConfig の未認証注入（CVE-2026-69258、9.1）など多数のCVEが更新されており、バージョン 3.1.3 で修正されているものが中心です。self-hostしている場合は 3.1.3 以降への更新を推奨します。
CVE-2026-85661：excel-mcp-server の任意ファイル読み書き
CVSS 9.8（Critical）。excel-mcp-server 0.1.8 は stdioモードで EXCEL_FILES_PATH が未設定の場合にパス制限を適用せず、プロセスがアクセス可能な 任意ファイルの読み書き を許してしまいます。MCPサーバーをローカルで動かす構成が増えているため、環境変数設定と最新版の確認を推奨します。
CVE-2026-85688：TEN Framework の未認証ファイル読み書き
CVSS 9.8（Critical）。TEN Framework 0.11.71 の TMAN Designer のファイルコンテンツAPIに未認証の任意ファイル読み書きがあり、authorized_keys やcronファイル等への書き込みを介したコード実行につながる可能性があります。外部公開している場合は特に注意してください。
CVE-2026-39821：Go idna のPunycodeデコード不備
CVSS 9.6（Critical）。ToASCII / ToUnicode が、ASCIIのみのラベルにデコードされるPunycodeエンコードラベルを誤って受理します（例: xn--example-.com → example.com）。ホスト名で権限チェックを行うプログラムで 権限昇格 につながりうるため、golang.org/x/net の該当修正版（GO-2026-5026）への更新を推奨します。
CVE-2026-71362：Adobe Commerce (Magento) の権限昇格
CVSS 9.1（Critical）。Adobe Commerce の不適切な認可により、攻撃者がユーザー操作なしで機微なリソースへの権限を昇格できる可能性があります。Adobe のセキュリティ情報 APSB26-92 で更新が提供されています。ECサイトは影響範囲を確認のうえ計画的に適用してください。
エコシステム別サマリー
本日 OSV で観測された脆弱性は npm 87件 / PyPI 44件 です。npm 側は Next.js の Server Components を悪用したDoSやServer Actionsのソースコード露出、React flightプロトコル経由のRCE（GHSA系）、および Astro のAVIF画像最適化を介したRCEが目立ちます。PyPI 側は継続的にWebフレームワークやML関連ライブラリの更新が中心です。多くは監視対象パッケージの再集計ですが、利用中のメジャーバージョンに修正版が出ていないか確認しておくと安全です。
JVN 日本語情報
- JVNDB-2026-000133：Lite-On製O-RU「FF-RFI079I4」「FF-RFI078I4」における複数の脆弱性（CVE-2026-77853 / CVE-2026-80217、CVSS 8.8 / High）。OSコマンドインジェクション（CWE-78）と非公開機能の悪用（CWE-912）で、開発者との調整を経て公開されています。該当機器の利用者は開発元の情報を確認してください。
- JVNDB-2026-000131：Androidアプリ「YAMAP / ヤマップ登山地図アプリ」のアクセス制限不備（CVE-2026-85125、CVSS 5.4 / Medium）。通信チャネルの送信元検証不備（CWE-940）で、最新版への更新を推奨します。
まとめ
本日の要点は、まず libcurl の一括Critical群 です。単体のcurlコマンドよりも、libcurlを組み込んだ自作ツールや製品において、ハンドル・接続の再利用時に認証情報漏えいやUse-After-Freeが起きうる点が本質です。curlを依存に持つソフトウェアの更新提供状況を確認してください。次に Flowise は3.1.3で多数の脆弱性が修正されており、self-host環境は速やかな更新を推奨します。MCPサーバー実装（excel-mcp-server / TEN Framework）の任意ファイル操作も、ローカルAI開発環境の広がりを踏まえ軽視できません。Go標準ライブラリやLinux kernelのCriticalは、ディストリビューションや言語ランタイムの更新に合わせて計画的に適用すれば問題ありません。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。