本日は新規・更新CVEが200件、うちCriticalが16件、Highが114件と多めです。メッセージング基盤で広く使われる Apache ActiveMQ Artemis に認証不備（CVSS 9.8）が公開されており、認証なしでメッセージの注入・窃取につながるおそれがあります。加えて Canonical LXD、OpenSSL、Vim など利用者の多いソフトウェアにも修正が出ているため、早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 16件 |
| High (7.0-8.9) | 114件 |
| Medium (4.0-6.9) | 64件 |
| Low (0-3.9) | 3件 |
| 影響エコシステム | Packagist, Maven, Go, npm, PyPI, NuGet, crates.io |
Critical / High 脆弱性の詳細
CVE-2026-27446 Apache ActiveMQ Artemis 認証不備
- CVSS: 9.8（CRITICAL / CWE-306）
- 影響: Apache Artemis 2.50.0〜2.51.0、Apache ActiveMQ Artemis 2.11.0〜2.44.0
- 概要: Core protocol に認証不備があり、未認証のリモート攻撃者がブローカーを攻撃者管理の不正ブローカーへのフェデレーション接続に誘導できます。任意キューへのメッセージ注入・窃取につながる可能性があります。
- 対策: Apache Artemis 2.52.0 へアップデート。回避策としてCore protocolの受け口制限や双方向SSL必須化も案内されています。
CVE-2025-71338 Flowise パストラバーサルによるRCE
- CVSS: 10.0（CRITICAL / CWE-73）
- 影響: Flowise 2.2.7 以前
- 概要: LLMアプリ構築ツール Flowise の document-store ローダーがパスを適切にサニタイズせず、未認証の攻撃者がストレージ外へファイルを書き込み、起動時ファイルの上書きからRCEにつながる可能性があります。
- 対策: flowise@2.2.7-patch.1 以降へアップデート。
CVE-2026-66012 SiYuan MCPエンドポイント認可不備
- CVSS: 10.0（CRITICAL / CWE-862）
- 影響: SiYuan v3.7.2 より前
- 概要:
POST /mcpに管理者ロール強制がなく、Publishを匿名モードで公開している場合、未認証攻撃者がワークスペースの読み書きから管理者権限奪取に至る可能性があります。 - 対策: v3.7.2 以降へアップデート。Publishの匿名モードは無効化を推奨。
CVE-2026-28384 Canonical LXD コマンドインジェクション
- CVSS: 9.9（CRITICAL / CWE-78）
- 影響: LXD 4.12〜6.6（4.0/stable は非該当）
- 概要:
compression_algorithmパラメータのサニタイズ不備により、認証済みの非特権ユーザーがLXDデーモン権限で任意コマンドを実行できる可能性があります。 - 対策: 各stableチャンネルの修正版snap（5.0.6 / 5.21.4 / 6.7）へ更新。
CVE-2026-5189 Sonatype Nexus ハードコード認証情報
- CVSS: 9.8（CRITICAL / CWE-798）
- 影響: Nexus Repository Manager 3.0.0〜3.70.5（
binaryListenerEnabled=true有効時のみ） - 概要: ハードコードされた認証情報により、未認証攻撃者が内部DBへアクセスしNexusプロセス権限で任意OSコマンドを実行できる可能性があります。悪用には非デフォルト設定が必要です。
- 対策: 3.71.0 以降へアップデート。または
binaryListenerEnabledを無効に戻す。
CVE-2026-53176 Linux kernel iSERログイン処理の境界外書き込み
- CVSS: 9.8（CRITICAL / CWE-191, CWE-839）
- 影響: iSER（IB/isert）を有効にした Linux kernel
- 概要: ログインリクエスト長の下限チェックがなく、76バイト未満のPDUで符号付き整数がアンダーフローし、境界外コピーでターゲットノードがクラッシュします。認証前の経路のため資格情報は不要です。
- 対策: 各stableブランチの修正コミットを含むカーネルへアップデート。
CVE-2026-45447 OpenSSL PKCS#7署名検証の解放後使用
- CVSS: 8.8（HIGH / CWE-416, CWE-825）
- 影響: OpenSSL の PKCS#7 API 利用時（CMS APIは非該当）
- 概要: digestAlgorithms が空のASN.1 SETの場合、
PKCS7_verify()中に呼び出し側所有のBIOを誤って解放し、以降の利用で解放後使用が発生します。クラッシュやメモリ破損、条件次第でRCEのおそれがあります。 - 対策: 修正版のOpenSSLへアップデート。
CVE-2026-47162 Vim netrw Vimscriptコード注入
- CVSS: 8.8（HIGH / CWE-94）
- 影響: Vim 9.2.0495 より前
- 概要: netrw が履歴ファイル保存時にディレクトリ名を単一引用符文字列へエスケープせず埋め込むため、細工されたディレクトリ名で履歴読み込み時に任意のVimscript（シェルコマンド含む）が実行される可能性があります。
- 対策: Vim 9.2.0495 以降へアップデート。
このほか Java系ネットワークフレームワーク Netty にDNSのCNAME検証不備（CVE-2026-45674・8.7、CVE-2026-47691・8.7）、Picketlink SAML の偽造アサーション受理（CVE-2026-10579・9.8）も公開されています。SSOやメッセージ基盤を運用している環境は併せて確認を推奨します。
エコシステム別サマリー
本日のGitHub Advisory（1,285件）では、Packagist（PHP） の更新が突出しており、CMSの Grav に複数のCritical系アドバイザリが集中しています。次いで Maven / Go / npm が多く、npmではOpenAPIコード生成の Orval にインポート時RCE系の指摘が複数出ています。PyPIでは LMDeploy にPickleデシリアライズ由来のRCEが報告されています。OSVの監視対象パッケージ（16件）については本日新規の該当はありませんでした。
JVN 日本語情報
- JVNDB-2026-000137: スマートフォンアプリ「東北電力 よりそうｅねっと」におけるハードコードされた暗号鍵使用の脆弱性（CVE-2026-75553、CVSS 2.4 / Low）。IPA/JPCERT/CC の調整案件で、影響は限定的ですが、該当アプリ利用者はアップデート情報の確認を推奨します。
まとめ
本日はCriticalが16件と多めで、特に Apache ActiveMQ Artemis の認証不備（CVSS 9.8）はメッセージング基盤の完全性・機密性に直結するため、Core protocolの公開状況の確認とアップデートを優先的に検討してください。加えて LXD、OpenSSL、Vim など利用者の多いソフトウェアにも修正が出ています。いずれも影響条件（非デフォルト設定・特定API利用など）が絞られるものもあるため、まずは自環境が該当するかを確認し、該当する場合はパッチ適用または回避策の適用を進めることを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。