本日はNVDで200件のCVEが公開・更新され、うちCriticalが32件、Highが66件と多めです。ただしこの大部分はMozilla Firefox/Thunderbirdの過去の脆弱性情報がNVD側で再評価・一括更新されたもので、いずれも既存のリリースで対応済みです。新規に確認すべき脆弱性としては、AIエージェント構築ツール Flowise の認証済みリモートコード実行（CVSS9.9）が最も重要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 32件 |
| High (7.0-8.9) | 66件 |
| Medium (4.0-6.9) | 96件 |
| Low (0.1-3.9) | 4件 |
| GHSA 更新Advisory | 227件（Critical 17 / High 44 / Moderate 126 / Low 33 / 未評価 7） |
| 影響エコシステム | npm, PyPI（OSV監視対象） |
注: CVSS未評価（NONE）の項目2件は上表の深刻度別件数には含めていません。また、Critical/Highの多くはMozilla Firefox/Thunderbirdの過去アドバイザリがNVDで再評価された結果で、Firefox 133〜140系の各リリースで既に修正済みです。ブラウザを最新版に保っていれば追加対応は不要です。
Critical / High 脆弱性の詳細
AIエージェント構築ツール Flowise の認証済みリモートコード実行
- CVSS: 9.9（CRITICAL / CWE-77）
- 影響: Flowise 3.0.1以上<3.0.8、および3.0.8以降でも環境変数
ALLOW_BUILTIN_DEPを有効化している場合 - 概要: CVE-2025-34267 は、Puppeteer/Playwrightを利用するツールの実行時に、攻撃者がブラウザバイナリのパスやパラメータを指定できてしまい、意図したnodevmサンドボックスの制限を回避してホスト上で任意コードを実行され得るものです。認証済みユーザーが前提ですが、マルチユーザーでFlowiseを提供している環境では影響が大きくなります。
- 対策: 最新版へのアップデートに加え、業務上必要な場合を除き
ALLOW_BUILTIN_DEPを無効化してください。 - 詳細: CVE-2025-34267 / FlowiseAI Security Advisory
WordPressテーマ/プラグインで複数のCritical脆弱性（ファイルアップロード・コード注入）
- CVSS: 10.0（CRITICAL / CWE-434, CWE-94）
- 影響: Support Ticket System for WooCommerce (Premium) 2.0.7以前、Clanora テーマ 1.3.1未満、Wastia テーマ 1.1.3未満、Alone テーマ 7.8.3以下
- 概要: CVE-2025-60235 をはじめ、いずれもファイル種別の検証不備により、攻撃者が悪意あるファイル（Webシェル等）をアップロードまたはコードを注入してサーバ上で実行させ得る脆弱性です。CVSSはすべて最大値の10.0と評価されています。
- 対策: 各プラグイン・テーマを修正版へアップデートしてください。
- 詳細: CVE-2025-60235 / CVE-2025-48106 / CVE-2025-49060 / CVE-2025-60206
Siemens SINEC NMS のSQLインジェクション（権限昇格）
- CVSS: 8.8（HIGH / CWE-89）
- 影響: SINEC NMS V4.0 SP1 未満
- 概要: CVE-2025-40755 は、
getTotalAndFilterCountsエンドポイントの入力処理不備により、認証済みの低権限ユーザーがSQLインジェクションを通じて権限昇格し得る脆弱性です。同製品群ではTLSサーバ証明書検証不備による中間者攻撃のリスク（CVE-2025-40801・8.1、CVE-2025-40800・7.4、COMOS/NX/Simcenter等が対象）も公開されています。 - 対策: SINEC NMS を V4.0 SP1 以降へアップデートしてください。
- 詳細: CVE-2025-40755 / Siemens ProductCERT SSA-318832
pgAdmin のLDAP認証に関する脆弱性（インジェクション・TLS検証バイパス）
- CVSS: 7.5（HIGH / CWE-90, CWE-295）
- 影響: pgAdmin 9.9以前（LDAP認証使用時）
- 概要: CVE-2025-12764 はLDAP認証フローでの特殊文字の注入によりDC/LDAPサーバへ過大な負荷を与えDoSを引き起こし得るもの、CVE-2025-12765はLDAP認証時のTLS証明書検証をバイパスできるものです。いずれもLDAP認証を有効にしている場合に影響します。
- 対策: pgAdmin を最新版へアップデートしてください。
- 詳細: CVE-2025-12764 / pgAdmin4 Issue #9325
エコシステム別サマリー
本日はOSV監視対象（16パッケージ）で計6件の更新がありました。npmでは Next.js の next/og（ImageResponse）経由のRCE（next 16.3.6で修正）と、Nuxtの navigateTo/reloadNuxtApp のURL処理不備 が前日からの継続で更新されています。PyPIでは Django の GeoDjango関連 CVE-2026-15307（ファイル書き込み・外部通信を誘発し得る）と、深くネストしたジオメトリ解析によるDoS（CVE-2026-15830）が引き続き更新対象です。いずれも未対応の場合は優先的に確認してください。
GHSAでは227件のAdvisoryが更新され、npmパッケージ locutus のプロトタイプ汚染（2.0.39で修正）がCritical評価、flatted の CVE-2026-33228 がHigh評価（3.4.2で修正）となっています。
JVN 日本語情報
本日のMyJVNでは、日本発の社内Wiki/ナレッジ共有ツール GROWI に関するアクセス制限不備 CVE-2026-100727（CVSS5.3・Medium）が1件公開されています。深刻度自体は高くありませんが、国内で利用例の多いツールのため、該当する場合は念のため最新の対策情報を確認してください。
まとめ
本日の最優先は、AIエージェント構築ツール Flowise の認証済みリモートコード実行（CVSS9.9）です。ALLOW_BUILTIN_DEP を有効にしている場合は、バージョン更新と設定の見直しを進めてください。次いで、WordPress向けの複数テーマ・プラグインに公開されたファイルアップロード／コード注入系のCritical脆弱性、Siemens SINEC NMSの権限昇格、pgAdminのLDAP関連脆弱性にも該当する場合は対応を検討してください。なお、本日は件数上Critical/Highが非常に多く見えますが、大半はMozilla製品の過去アドバイザリの再評価によるもので、ブラウザを最新版に保っていれば追加対応は不要です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。