本日はNVDの更新分（分析対象200件）でCriticalが19件、Highが75件でした。更新の大半はCISA KEV（悪用確認済み）掲載の過去CVEの再同期ですが、新規・注目として Next.js の next/og 経由のRCE（GHSA公開）、cal.com のリポジトリ乗っ取り（CVE-2024-58354）、Progress Kemp LoadMaster の未認証RCE（CVE-2026-8037） があります。OSVではWebフレームワーク（Next.js / Django）の脆弱性が目立ちました。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD 更新CVE（分析対象） | 200件 |
| Critical (9.0+) | 19件 |
| High (7.0-8.9) | 75件 |
| Medium (4.0-6.9) | 80件 |
| Low (0.1-3.9) | 7件 |
| GHSA 更新Advisory | 564件（Critical 62 / High 266 / Moderate 188 / Low 20 / 未評価 28） |
| 影響エコシステム | npm, PyPI, Maven, crates.io（OSV/GHSA経由） |
注: NVDの更新には過去CVEの再スコアリング・再公開が多く含まれます。本日の分析対象200件のうち相当数はCISA KEVに掲載された既知の悪用済み脆弱性（例: SMBGhost CVE-2020-0796、Oracle WebLogic CVE-2019-2725、Ivanti Connect Secure CVE-2025-0282 など）の再同期です。これらは既に修正版が提供済みで、通常はパッチ適用済みであれば追加対応は不要です。CVSS未評価（NONE）の項目は上表の深刻度別件数には含めていません。
Critical / High 脆弱性の詳細
Next.js の next/og（ImageResponse）経由のリモートコード実行
- 深刻度: Critical 相当（CVSS v4: AV:N/AC:L/PR:N/UI:N、機密性・完全性・可用性いずれもHigh）
- 影響:
next16.3.6 未満（next/ogのImageResponseを利用している場合） - 概要: GHSA-vcvr-r3jv-pc5j は、Next.js の
next/ogが内部で利用する画像生成ライブラリ（satori）の上流脆弱性に起因します。アプリケーションが攻撃者の制御可能な値をSVGのコンテンツ・属性・スタイルに渡して画像を生成している場合、リモートコード実行につながる可能性があります。動的にOGP画像を生成しているサイトで影響が大きくなります。当サイトも含め、Next.jsで動的OGP画像を提供している環境は確認を推奨します。 - 対策: Next.js を 16.3.6 以降へアップデートしてください。即時更新が難しい場合は、
ImageResponseに渡す値のうち外部入力由来のものをサニタイズ・検証する緩和を検討してください。 - 詳細: GHSA-vcvr-r3jv-pc5j / Next.js v16.3.6
cal.com（cal.diy）のリポジトリ乗っ取り
- CVSS: 9.9（CRITICAL / CWE-77）
- 影響: cal.com（旧 calcom リポジトリ、後に cal.diy へ改名）の main ブランチ。修正版は未提供
- 概要: CVE-2024-58354 は、GitHub Actions ワークフローが
pull_request_targetトリガーで書き込み権限を持ったまま、攻撃者が提出したPull Requestのコードを「危険なチェックアウト」で実行してしまう問題です。外部からのPRをトリガーに、書き込み権限付きのGITHUB_TOKENで任意コマンドが実行され、ブランチの改ざんやコミットのpush等によりリポジトリが乗っ取られる恐れがあります。cal.com をフォーク・自前運用している場合は影響が大きくなります。 - 対策: 修正版が未提供のため、
pull_request_targetを利用するワークフローの見直し（外部PRコードの実行停止、権限の最小化、dangerous-git-checkout相当の処理の除去）を推奨します。 - 詳細: CVE-2024-58354 / GHSA-p3f6-52gv-cj7m
Progress Kemp LoadMaster の未認証リモートコード実行（CISA KEV）
- CVSS: 9.6（CRITICAL / CWE-77）
- 影響: Progress Kemp LoadMaster（ADC製品）
- 概要: CVE-2026-8037 は、LoadMaster のAPIにおける複数のコマンドエンドポイントで入力のサニタイズが不十分なことに起因し、未認証の攻撃者が任意のOSコマンドを実行できる脆弱性です。CISA KEV に掲載され、実際の攻撃も報告されています。境界機器上での任意コード実行は内部侵入の起点となり得るため、最優先での対応を推奨します。
- 対策: ベンダー速報に従い修正ファームウェアを適用し、管理APIのインターネット露出を遮断してください。
- 詳細: CVE-2026-8037 / CISA KEV
Nagios XI の NRDP 経由リモートコード実行
- CVSS: 9.8（CRITICAL / CWE-78）
- 影響: Nagios XI 2024R1.2 より前のバージョン
- 概要: CVE-2024-14003 は、Nagios XI の NRDP（Nagios Remote Data Processor）サーバープラグインで、受信リクエストのパラメータ検証が不十分なことにより、攻撃者がWeb/Nagiosサービスの権限で任意コマンドを実行できる脆弱性です。本日のNVD更新には、このほかにも Nagios XI の認可不備・セッション管理不備・権限昇格（CVE-2024-13994、CVE-2024-14005 など）が多数含まれています。監視基盤は内部ネットワーク全体を把握できる立場にあるため、侵害の影響が広範に及ぶ点に注意が必要です。
- 対策: Nagios XI を 2024R1.2 以降へアップデートしてください。
- 詳細: CVE-2024-14003 / Nagios XI Changelog
Ray（AI基盤）のブラウザ経由リモートコード実行（CISA KEV）
- CVSS: 8.8（HIGH / CWE-94）
- 影響: Ray 2.52.0 未満
- 概要: CVE-2025-62593 は、AIコンピュートエンジン Ray を開発用途で動かしている開発者が、悪意あるWebサイトの閲覧やマルバタイジングをきっかけに、DNSリバインディングとUser-Agentベースの不十分な防御を突かれてRCEに至る脆弱性です。CISA KEV に掲載されています。開発端末上でRayを起動したまま外部サイトを閲覧する運用で影響が大きくなります。
- 対策: Ray を 2.52.0 以降へアップデートしてください。
- 詳細: CVE-2025-62593 / GHSA-q279-jhrf-cc6v
Django（GeoDjango）の GDAL ラスタ解析による不正操作
- CVSS: 8.8（HIGH）
- 影響: Django 5.2系（5.2.17 未満）および 6.0系（6.0.8 未満）で GeoDjango を利用している場合
- 概要: CVE-2026-15307 は、GeoDjango の空間ルックアップが右辺値を楽観的にラスタとして
GDALRasterに渡すため、信頼できない入力（例: Django管理画面の変更一覧クエリ文字列）が到達した場合に、ファイル書き込みや外部への通信を誘発し得る脆弱性です。あわせて、深くネストしたジオメトリコレクション解析によるDoS（CVE-2026-15830）も公開されています。GeoDjango（django.contrib.gis）を使っていない場合は影響しません。 - 対策: Django を 5.2.17 以降または 6.0.8 以降へアップデートしてください。
- 詳細: CVE-2026-15307 / Django security releases
GnuTLS の証明書検証バイパス
- CVSS: 8.2（HIGH / CWE-295）
- 影響: GnuTLS（Red Hat等のディストリビューション提供パッケージ）
- 概要: CVE-2026-42013 は、証明書検証時に過大なSAN（Subject Alternative Name）があると検証処理が誤ってCN（Common Name）へフォールバックしてしまい、なりすましや中間者攻撃につながり得る脆弱性です。あわせてRSA鍵交換時の短いヒープ読み取り（CVE-2026-5260、8.2）も公開されています。TLSの基盤ライブラリのため影響範囲は広めです。
- 対策: ディストリビューションの提供する更新パッケージを適用してください。
- 詳細: CVE-2026-42013 / Red Hat RHSA-2026:13274
エコシステム別サマリー
本日はOSV監視対象でWebフレームワーク系が目立ちました。GHSA（564件更新）とあわせて注目すべきものを挙げます。
- npm: Next.js の
next/og（ImageResponse）経由のRCE（GHSA-vcvr-r3jv-pc5j、next16.3.6 で修正）が最注目です。動的OGP画像を生成しているサイトは優先的に確認してください。GHSAでは暗号ライブラリ node-forge のRSA PKCS#1 v1.5 署名検証不備（CVE-2026-85393）も更新されています。 - PyPI: Django に GeoDjango 関連の脆弱性が2件（CVE-2026-15307 / CVE-2026-15830）。5.2.17 / 6.0.8 で修正済みです。GeoDjangoを使っていれば影響します。
- その他（Maven / crates.io）: GHSA経由で多数のアドバイザリが更新されています。SCAツールで自プロジェクトの依存バージョンを確認してください。
JVN 日本語情報
本日のMyJVN（JVN iPedia）では JetBrains YouTrack の脆弱性が複数公開されました。
- JVNDB-2026-036348（CVE-2026-103493、CVSS 8.1 / High）: YouTrack 2026.2.19422 以前で、MermaidおよびLaTeXのコンテンツを介した保存型クロスサイトスクリプティング（XSS）が発生し得る問題です。
- JVNDB-2026-036347（CVE-2026-103494、CVSS 6.6 / Medium）: ユーザーグループのメンバーシップ変更を介した権限昇格が可能でした。
- このほか YouTrack のIDOR・SSRF等が複数（いずれも Medium）公開されています。YouTrack を 2026.2.19422 より後のバージョンへ更新してください。また OpenSSL Security Advisory（2026年9月29日） に関する注意喚起も出ています。
まとめ
本日のNVD更新はCISA KEV掲載の過去CVE再同期が大半で、これらは修正版を適用済みであれば通常追加対応は不要です。新規に優先すべきは、Webアプリケーション側では Next.js の next/og 経由RCE（next 16.3.6 以降へ更新）と、cal.com を自前運用している場合のGitHub Actionsワークフロー見直しです。インフラ・運用基盤側では、CISA KEV掲載の Progress Kemp LoadMaster（CVE-2026-8037）と監視基盤 Nagios XI（CVE-2024-14003）のRCEへの対応が重要です。ライブラリ側では Django（GeoDjango）・GnuTLS の更新を、SCAツールでの依存確認とあわせて進めてください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。