本日はNVDの更新分（分析対象200件、総ヒット1,231件）でCriticalが13件、Highが68件でした。最も注目すべきは、IP-PBXソフトウェア FreePBX の未認証リモートコード実行 CVE-2025-57819（CVSS 9.8）で、CISAの「悪用が確認された脆弱性カタログ（KEV）」に掲載され、実際の悪用とPoCの公開が確認されています。加えて Arcserve UDP に未認証RCEを含む複数のCritical、Paymenter のファイルアップロードによるRCEなど、基盤・運用系のCriticalが並びました。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 更新CVE（分析対象） | 200件（総ヒット 1,231件） |
| Critical (9.0+) | 13件 |
| High (7.0-8.9) | 68件 |
| Medium (4.0-6.9) | 91件 |
| Low (0.1-3.9) | 9件 |
| GHSA 更新Advisory | 460件（Critical 26 / High 195 / Moderate 158 / Low 17） |
| 影響エコシステム | Maven, NuGet, Go, npm, Hex, PyPI, Packagist |
注: NVDの更新には過去CVEの再スコアリング・再公開も含まれます。以下ではCVSSが付与され、鮮度・影響範囲が大きいものを優先して解説します。GHSA由来の項目はGitHubの深刻度区分（CRITICAL/HIGH）で示します。
Critical / High 脆弱性の詳細
CVE-2025-57819 FreePBX の未認証リモートコード実行（CISA悪用確認済み）
- CVSS: 9.8（CRITICAL / CWE-89, CWE-288）
- 影響: FreePBX 15 / 16 / 17 の該当エンドポイントモジュール（15.0.66 / 16.0.89 / 17.0.3 未満）
- 概要: ユーザー入力のサニタイズ不備により、未認証の攻撃者が管理者機能へアクセスし、任意のデータベース操作とリモートコード実行が可能になる可能性があります。CISAのKEVカタログに掲載され、実際の悪用が確認されています。 管理画面をインターネットに露出している場合は最優先の対応が必要です。
- 対策: エンドポイントモジュールを 15.0.66 / 16.0.89 / 17.0.3 以降へ更新してください。あわせて管理画面のアクセス制限を推奨します。
- 詳細: CVE-2025-57819 個別ページ
CVE-2025-58048 Paymenter のファイルアップロードによるRCE
- CVSS: 9.9（CRITICAL / CWE-434 危険なファイルの無制限アップロード）
- 影響: Paymenter 1.2.11 未満
- 概要: チケット添付機能で認証済みの悪意あるユーザーが任意ファイルをアップロードでき、設定ファイルからの認証情報読み取りやWebサーバ権限でのOSコマンド実行につながる可能性があります。
- 対策: 1.2.11 へアップデートしてください。即時更新が難しい場合は、
/storage/配下を実行させずダウンロード扱いにするnginx設定や、WAFでのアクセス遮断が緩和策として案内されています。 - 詳細: CVE-2025-58048 個別ページ
CVE-2025-34522 Arcserve UDP のヒープバッファオーバーフロー（未認証）
- CVSS: 9.8（CRITICAL / CWE-122）
- 影響: Arcserve Unified Data Protection 10.2 未満（全バージョン）
- 概要: 入力解析処理の境界チェック不備により、未認証の攻撃者が細工した入力でヒープメモリを破壊でき、クラッシュやリモートコード実行につながる可能性があります。事前認証不要である点でリスクが高い脆弱性です。
- 対策: UDP 10.2 へアップグレード、または 8.0〜10.1 はパッチ適用を実施してください。7.x 以前はサポート外のため 10.2 への移行が必要です。
- 詳細: CVE-2025-34522 個別ページ
CVE-2025-34520 Arcserve UDP の認証バイパス
- CVSS: 9.8（CRITICAL / CWE-288）
- 影響: Arcserve Unified Data Protection 10.2 未満（全バージョン）
- 概要: リクエストパラメータの操作やロジックの欠陥を突くことで、有効な資格情報なしにログイン機構を回避し、管理者レベルの機能へアクセスできる可能性があります。
- 対策: UDP 10.2 へアップグレード、または 8.0〜10.1 はパッチ適用を実施してください。
- 詳細: CVE-2025-34520 個別ページ
CVE-2025-10220 AxxonSoft Axxon One VMS の第三者コンポーネント経由RCE
- CVSS: 9.8（CRITICAL / CWE-1104 メンテナンスされない第三者コンポーネントの使用）
- 影響: Axxon One VMS 2.0.0〜2.0.4（Windows）
- 概要: 古い第三者NuGetパッケージ（Google.Protobuf ほか）を同梱しているため、これらの既知脆弱性を悪用され、リモートからの任意コード実行やセキュリティ機能のバイパスにつながる可能性があります。
- 対策: ベンダーのセキュリティアドバイザリに従い修正版へ更新してください。
- 詳細: CVE-2025-10220 個別ページ
CVE-2025-9994 Amp'ed RF BT-AP 111 の認証機能欠如
- CVSS: 9.8（CRITICAL / CWE-306 重要機能に対する認証の欠如）
- 影響: Amp'ed RF BT-AP 111 Bluetoothアクセスポイント
- 概要: HTTP管理インターフェイスに認証機能が存在せず、ネットワーク到達可能な第三者が管理操作を行える可能性があります。修正の提供状況はベンダー情報の確認が必要です。
- 対策: 管理インターフェイスをネットワーク的に隔離し、外部から到達できないようにすることを推奨します。
- 詳細: CVE-2025-9994 個別ページ
CVE-2025-30264 QNAP QTS / QuTS hero のコマンドインジェクション
- CVSS: 8.8（HIGH / CWE-77, CWE-78）
- 影響: QTS 5.2.5.3145 build 20250526 未満、QuTS hero h5.2.5.3138 build 20250519 未満
- 概要: ユーザーアカウントを取得したリモート攻撃者が、任意コマンドを実行できる可能性があります。NAS製品のため、業務データを扱う環境では影響が大きくなり得ます。
- 対策: 修正済みのファームウェアバージョンへアップデートしてください。
- 詳細: CVE-2025-30264 個別ページ
WordPress テーマ 2件の認証バイパス
- CVE-2025-54725 Golo テーマ（CVSS 9.8）: 1.7.0 以前で、代替経路を用いた認証バイパスが可能です。詳細: CVE-2025-54725 個別ページ
- CVE-2025-54738 Jobmonster テーマ（CVSS 9.8）: 4.7.9 以前で同様の認証バイパスが報告されています。詳細: CVE-2025-54738 個別ページ
- あわせて CVE-2025-54742 WpEvently プラグイン（CVSS 8.8、4.4.8 以前）のPHPオブジェクトインジェクションも公開されています。詳細: CVE-2025-54742 個別ページ
そのほか、TOTOLINK A702R や Tenda AC20 / CH22 などのルータ・家庭用機器で、リモートから悪用可能なバッファオーバーフロー（PoC公開済み）のHighが多数まとまって公開されています。該当機器を運用している場合は個別に確認を推奨します。
エコシステム別サマリー
本日のGHSA更新Advisory（460件）で影響パッケージが多かったエコシステムは以下の通りです。
- Maven: Jenkins プラグイン群のAdvisoryが目立ちます。Script Security Plugin のサンドボックスバイパス（CVE-2026-57280 / CVE-2026-57281）、OWASP ZAP Plugin のコントローラ上RCE（CVE-2026-57301）など。
- Go: gRPC-Go の xDS サーバに
:authority/Hostヘッダ欠落によるDoS（CVE-2026-84445, High）。 - npm: OpenZeppelin Confidential Contracts の秘密データ抽出（High）、Vendure の未認証ReDoS（CVE-2026-63460）など。
- PyPI: khoj の未認証パストラバーサルによるファイル読み取り（High）。
- RubyGems: rubyzip のパストラバーサル（CVE-2026-85396, High）。
- Packagist: FriendsOfFlarum OAuth の未認証アカウント乗っ取り（CVE-2026-92161, Critical）。
OSVの監視対象では、Nuxt の nuxt dev 実行時にLinuxの抽象名前空間Unixソケットが権限制御なしに接続可能になる問題（CVE-2026-56301）が該当しました。対象は Nuxt 3.21.7 / 4.4.7 未満 です。
JVN 日本語情報
本日のMyJVN（JVN iPedia）では、国内CMS「baserCMS」に関する情報が公開されています。
- baserCMS用プラグイン「アドオンマイグレーター」の脆弱性（JVNDB-2026-000138、CVSS 7.2）: 信頼できない制御領域からの機能の組み込み（CWE-829）に関する脆弱性です。該当プラグインを利用している場合は、開発者からの情報を確認の上で対応を検討してください。
- baserCMSにおける複数の脆弱性（JVNDB-2026-000141、CVSS 6.3）: クロスサイトスクリプティング、SQLインジェクション、認証の欠如など複数の脆弱性が報告されています。修正版の提供状況を確認してください。
まとめ
本日の最優先は、CISAが実際の悪用を確認済みの FreePBX 未認証RCE（CVE-2025-57819、CVSS 9.8）です。PoCも公開されており、管理画面を公開している環境は速やかな対応を推奨します。バックアップ基盤の Arcserve UDP にも未認証RCEを含むCriticalが公開されているため、こちらも影響バージョンの確認とパッチ適用が必要です。NAS（QNAP）やWordPressテーマ・プラグインのCritical/Highも複数出ており、多くは修正版が提供されています。影響バージョンの使用有無を確認の上、アップデートを検討してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。