本日分析したCVEは200件で、うちCriticalが18件、Highが73件です。最も注目すべきは、Cisco Secure Firewall Management Center (FMC) の認証バイパス（CVE-2026-20079、CVSS 10.0） で、CISA KEVに登録され実際の悪用が確認されています。加えてテンプレートエンジン LiquidJS のRCE（CVE-2026-45618、CVSS 10.0） も要注意です。
本日の概要
| 指標 | 数値 |
|---|---|
| 分析対象CVE | 200件 |
| Critical (9.0+) | 18件 |
| High (7.0-8.9) | 73件 |
| Medium (4.0-6.9) | 95件 |
| Low (0.1-3.9) | 4件 |
| 影響エコシステム | npm, PyPI |
本日のCriticalは、境界防御機器（Cisco FMC）の悪用中の認証バイパス、広く使われるライブラリ・OSS（LiquidJS / Apache Airflow / Linux kernel） 、そして AI関連ミドルウェア（MCPサーバー実装 / StackGres）の認証欠如 が主なテーマです。
注目の脆弱性
CVE-2026-20079：Cisco Secure Firewall Management Center の認証バイパス（悪用中）
CVSS 10.0（Critical）。Cisco Secure Firewall Management Center (FMC) SoftwareのWeb管理インターフェースに、未認証のリモート攻撃者が認証を回避してスクリプトを実行し、OSのroot権限を取得できる 脆弱性（CWE-288）があります。起動時に生成される不適切なシステムプロセスに起因し、細工したHTTPリクエストで悪用されます。CISA KEVカタログに登録され、実際の攻撃（ongoing exploitation）が報告されています。境界を守るための機器そのものが侵入口になるため、最優先で Cisco のアドバイザリを確認し、対象バージョンのパッチを適用してください。
CVE-2026-45618：LiquidJS のテンプレートインジェクション（RCE）
CVSS 10.0（Critical）。Shopify / GitHub Pages 互換のテンプレートエンジン LiquidJS の 10.26.0 より前のバージョンで、細工したテンプレートによる 任意コード実行（CWE-94）が可能です。ユーザー入力をテンプレートに渡す構成では特に危険です。10.26.0 で修正されているため、依存バージョンを確認のうえアップデートを推奨します。
CVE-2026-78155：StackGres operator の権限昇格
CVSS 9.9（Critical）。PostgreSQL運用向けの StackGres operator に、データベースを所有する低権限テナントが 管理者権限へ昇格 できる脆弱性（CWE-426）があります。マルチテナントでKubernetes上に展開している場合、テナント分離が崩れる恐れがあるため、開発元の情報を確認してください。
CVE-2026-59243：Apache Airflow (FAB) の認証バイパス
CVSS 9.8（Critical）。Apache Airflow の FAB auth manager による Azure AD OAuth ログインが、IDトークン検証時に verify_signature=False を既定で使っていたため、偽造または未署名（alg:none）のIDトークンで任意ユーザー（Admin含む）になりすまし できます（CWE-347）。Azure AD OAuth ログイン経路を既定設定で使っている環境が対象です。修正版への更新を推奨します。
CVE-2026-50027：mcp-memory-service の認証欠如（任意書き込み・読み取り）
CVSS 9.8（Critical）。AIアプリ向けのセマンティックメモリ層 mcp-memory-service の 10.67.1 より前で、MCP_API_KEY や OAuth を設定していても /api/documents/* 配下の全HTTPルートが 認証なしで公開 されます（CWE-306）。未認証の攻撃者が保存内容の読み書きを行える可能性があるため、10.67.1 以降への更新を推奨します。ローカルAI開発環境の広がりを踏まえ軽視できません。
CVE-2026-73849：Emlog の未認証再インストール
CVSS 9.8（Critical）。オープンソースのCMS Emlog の 2.6.26 以前で、install.php が action=reinstall を 認証なしで受理 し、インストール済みチェックを意図的にスキップしてしまいます（CWE-306）。未認証の攻撃者が設定ファイルを上書きできる恐れがあります。外部公開している場合は特に注意し、開発元アドバイザリ（GHSA-v5qq-p8mp-3gxm）を確認してください。
CVE-2026-58076 / CVE-2026-67587：Apache Airflow のデシリアライズ経由コード実行
いずれも CVSS 8.8（High）。Airflow のシリアライズ層および Task SDK が、シリアライズデータ中のクラス名から任意のモジュールを import_string() で読み込み、任意の呼び出し可能オブジェクトを実行しうる問題（CWE-502）です。DAG作成者が executor_config や next_kwargs を通じて悪用できる可能性があります。修正版への更新を推奨します。
CVE-2026-77638：Tor の競合状態による中間者攻撃
CVSS 8.9（High）。Tor の 0.4.9.11 より前に競合状態（CWE-362）があり、特定条件下でランデブーポイントがクライアントの接続先オニオンサービスを なりすまし（中間者） できる恐れがあります。0.4.9.11 で修正されています。
エコシステム別サマリー
本日 OSV で観測された脆弱性は npm 83件 / PyPI 44件 です。npm 側では、Next.js の App Router Server Function を悪用した DoS（CVE-2026-23870 / GHSA-8h8q-6873-q5fj） が目立ち、next 15.5.16 で修正されています。細工したHTTPリクエストで過剰なCPU消費を引き起こすもので、App Routerを使う13.x〜16.x系が影響します。多くは監視対象パッケージの再集計ですが、利用中のメジャーバージョンに修正版が出ていないか確認しておくと安全です。
JVN 日本語情報
- JVNDB-2026-000135：クオリティソフト製 QND における複数の脆弱性（CVE-2026-81326 / CVE-2026-84408、CVSS 8.8 / High）。ハードコードされた暗号鍵（CWE-321）と名前付きパイプのアクセス制限不備（CWE-782）で、開発者との調整を経て公開されています。IT資産管理製品のため、利用組織は開発元の情報を確認してください。
- JVNDB-2026-000134：XikeStor製Layer3スイッチのコンフィグレーションデータダウンロード機能における 認証欠如（CVE-2026-88263、CVSS 7.5 / High、CWE-306）。設定データが認証なしで取得されうるため、対象機器の利用者は開発元の情報を確認してください。
まとめ
本日の最優先は、Cisco Secure Firewall Management Center の認証バイパス（CVSS 10.0） です。CISA KEV登録済みで実際の悪用が確認されており、境界防御機器という性質上、放置すればネットワーク全体の侵入口になります。管理インターフェースの外部露出を見直しつつ、速やかにパッチを適用してください。次に、LiquidJS / Apache Airflow / Linux kernel といった広く使われるOSSにCriticalが複数出ています。特にAirflowは認証バイパスとデシリアライズRCEが重なるため、self-host環境は計画的な更新を推奨します。MCPサーバー実装やStackGresなどAI関連ミドルウェアの認証欠如も、利用が広がる中で注意が必要です。Linux kernelのCriticalはディストリビューションの更新に合わせて適用すれば問題ありません。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。