本日はNVDで200件のCVEが公開・更新され、うちCriticalが7件、Highが83件です。最も注目すべきは、国内で広く使われるブログ・CMS Movable Type のアップグレードスクリプトにおけるコードインジェクション（CVSS9.4）で、サイト内検索機能のSQLインジェクションも同時に公開されています。OpenShift GitOps(ArgoCD)のクラスタ権限昇格や、Spring Framework・Apache CXFの複数脆弱性にも注意が必要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 7件 |
| High (7.0-8.9) | 83件 |
| Medium (4.0-6.9) | 101件 |
| Low (0.1-3.9) | 5件 |
| GHSA 更新Advisory | 764件（Critical 91 / High 294 / Moderate 259 / Low 24 / 未評価 96） |
| 影響エコシステム | npm, PyPI（OSV監視対象） |
注: CVSS未評価（NONE）の項目4件は上表の深刻度別件数には含めていません。
Critical / High 脆弱性の詳細
国産CMS Movable Type で複数の脆弱性（コードインジェクション・SQLインジェクション）
- CVSS: 9.4（Critical）
- 影響: シックス・アパート株式会社「Movable Type」（対象バージョンは開発者提供の情報を確認）
- 概要: CVE-2026-96408 は、Movable Typeのアップグレードスクリプトにコードインジェクションの不備（CWE-94）が存在する脆弱性です。同時に、サイト内検索機能にSQLインジェクション（CWE-89、CVE-2026-103668）も公開されており、これ以外にも複数の脆弱性が修正されています。国内のブログ・Webサイト運用で広く利用されている製品のため、影響範囲は大きいと考えられます。
- 対策: 開発者（シックス・アパート）が提供する最新情報を確認し、修正版への更新を速やかに実施してください。
- 詳細: JVN JVNDB-2026-000146
OpenShift GitOps(ArgoCD) でクラスタroot権限奪取につながる権限昇格
- CVSS: 9.1（Critical / CWE-266）
- 影響: OpenShift GitOps（ArgoCD）
- 概要: CVE-2025-13888 は、namespace管理者が ArgoCD のカスタムリソース（CR）を細工することで、他のnamespace（特権namespaceを含む）での昇格した権限を騙し取れる脆弱性です。認証済みの攻撃者がこの昇格権限を悪用すると、マスターノード上で特権ワークロードを実行し、クラスタ全体のroot権限を実質的に取得できてしまいます。
- 対策: Red Hatの該当エラータ（RHSA-2025:23203等）に従い、OpenShift GitOpsを修正版へアップデートしてください。
- 詳細: CVE-2025-13888 Errata
Spring Framework と Apache CXF で複数の深刻な脆弱性
- CVSS: 深刻度はいずれもCritical評価（GHSA基準）
- 影響:
org.apache.cxf:cxf-rt-transports-jms、org.springframework:spring-webflux/spring-webmvc - 概要: エンタープライズJavaで広く使われる Apache CXF の
JMSConfigFactoryに JNDIインジェクション（CVE-2026-50632）が見つかりました。また Spring Framework では、WebFluxのFunctional Endpointsにおけるヘッダー述語バイパス（CVE-2026-47892）と、フラグメントレンダリング時のServer-Sent Eventストリーム破損（CVE-2026-47890）の2件が公開されています。 - 対策: Apache CXFの該当モジュールは4.2.2/4.1.7/3.6.12以降へ、Spring Frameworkは7.0.9以降へアップデートしてください。
- 詳細: Apache CXF Advisory / Spring Framework Security
AIエージェントツール Flowise と MLflow で複数の深刻な脆弱性
- CVSS: 深刻度はいずれもCritical評価（GHSA基準）
- 影響:
flowise/flowise-components（3.1.3未満）、mlflow（3.10.0未満） - 概要: AIワークフロー構築ツール Flowise では、NodeVMサンドボックスがPuppeteerの許可リストを介してエスケープ可能な問題（CVE-2026-73483、認証済み攻撃者によるRCEおよび任意ファイル読取）と、CSV/AirtableエージェントのバリデータをバイパスしたプロンプトインジェクションからRCE・SSRFに至る問題（CVE-2026-73487）が公開されています。機械学習基盤 MLflow（CVE-2026-2651）は、
--serve-artifactsモード有効時にマルチパートアップロードエンドポイントへ不正アクセスされる問題です。 - 対策: Flowise関連パッケージは3.1.3以降へ、MLflowは3.10.0以降へアップデートしてください。
- 詳細: Flowise Advisory / MLflow CVE
SIPキャプチャツール Homer で認証まわりの複数の深刻な脆弱性
- CVSS: 深刻度はいずれもCritical評価（GHSA基準、一部High）
- 影響:
github.com/sipcapture/homer-app（修正コミット適用前） - 概要: SIPトラフィック可視化ツール Homer で、
coordinator.jwt.secretが空（デフォルト）の場合に認証を完全にバイパスできる問題（CVE-2026-62253）、ハードコードされたデフォルト管理者パスワード「sipcapture」が初回ログイン時に変更を強制されない問題（CVE-2026-62252）、/api/v4/statistics/queryのrawqueryフィールド経由の認証済みSQLインジェクション（CVE-2026-62251、High）が公開されています。 - 対策: 修正コミットを反映した最新版へアップデートし、
coordinator.jwt.secretに十分な強度の値を設定してください。 - 詳細: Homer Security Advisories
IoT/ICS機器で複数のリモートコード実行脆弱性
- CVSS: 9.8（Critical）が最高値
- 影響: Telenium Online Web Application、TRENDnet TV-IP410 vA1.0R、Riello UPS NetMan 208（1.12未満）
- 概要: 産業用コールセンターシステム Telenium Online Web Application は、ログインページ読込時に呼び出されるPerlスクリプトの入力検証不備により、クラフトされたHTTPリクエストから任意のPerlコードを注入されリモートコード実行が可能です（CISA ICSアドバイザリ公表済み）。ネットワークカメラ TRENDnet TV-IP410（CVE-2024-46484、CVSS9.8）はOSコマンドインジェクション、UPS監視ソフト Riello UPS NetMan 208（CVE-2025-68916、CVSS9.1）はディレクトリトラバーサル経由のファイルアップロードでコード実行が可能です。
- 対策: いずれもベンダー提供の修正版・パッチ適用、または該当デバイスのネットワーク露出を信頼ホストのみに制限してください。
- 詳細: CISA ICSA-24-263-04
レガシーJavaデシリアライゼーションRCEが本日再浮上
- CVSS: 9.8（Critical / CWE-502）が最高値
- 影響: JBoss Application Server（Red Hat EAP 5.2同梱）、Apache Chainsaw 2.1.0未満
- 概要: JBoss Application Serverの
HTTP Invokerに含まれるReadOnlyAccessFilterがデシリアライズ対象クラスを制限していない問題（CVE-2017-12149）と、Apache Chainsawのデシリアライズ不備（CVE-2020-9493）という既存のRCE脆弱性が、本日データの再分析対象として更新されています。いずれも古い脆弱性ですが、該当コンポーネントが現役で稼働している環境では引き続きリスクとなります。 - 対策: Apache Chainsawは2.1.0以降へアップデートし、JBoss Application Server（EOL製品）はRed Hatの移行ガイドに従い後継製品への移行を検討してください。
- 詳細: CVE-2017-12149 / CVE-2020-9493
エコシステム別サマリー
本日はOSV監視対象（16パッケージ）で計6件の更新があり、先週から継続して Next.js の next/og（ImageResponse）経由のRCE（next 16.3.6で修正）、Nuxtの navigateTo/reloadNuxtApp のURL処理不備（CVE-2026-56326、4.4.7/3.21.7で修正）、Djangoの GeoDjango関連2件（ファイル書き込み・外部通信＝CVE-2026-15307、深くネストしたジオメトリ解析のDoS＝CVE-2026-15830、いずれも5.2.17/6.0.8系で修正）が未対応環境向けに追跡され続けています。該当パッケージを使用している場合は優先的に確認してください。
GHSAでは上記以外にも、AIエージェントフレームワーク PraisonAI のf-string補間によるコードインジェクション（CVE-2026-62176、PyPI、Critical）、UIフレームワーク Quasar のSSRメタタグ未エスケープによるXSS（CVE-2026-106102、npm、Critical）がCritical評価となっています。
JVN 日本語情報
本日のMyJVNでは3件公開されています。最も深刻度が高いのは上記の国産CMS Movable Typeの複数脆弱性（CVSS9.4・Critical）です。また、計測機器向けライブラリ MCC製 Universal Library for Linux (uldaq) のスタックベースバッファオーバーフロー CVE-2026-19477（CVSS7.8・High）、Androidアプリ「チケット流通センター」の複数脆弱性（CVSS4.0・Medium）も公開されています。
まとめ
本日の最優先は、国内で広く使われる国産CMS Movable Typeの複数脆弱性（CVSS9.4）です。アップグレードスクリプトとサイト内検索機能の双方に不備があるため、運用環境は開発者の最新情報を確認の上、速やかな対応を推奨します。次いで、OpenShift GitOps(ArgoCD)のクラスタ権限昇格、Spring Framework・Apache CXFの複数脆弱性は、Kubernetes/Javaエンタープライズ基盤を運用している場合に優先的な確認が必要です。AIエージェントツール(Flowise・MLflow)、SIPキャプチャツールHomer、各種IoT/ICS機器にも実運用への影響があり得る脆弱性が含まれていますので、該当する技術スタックを使用している場合は確認をお願いします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。