本日はNVDで200件のCVEが公開・更新され、うちCriticalが34件、Highが67件です。最も注目すべきは電力系統監視ソフト openPDC/openHistorian に見つかった2件の脆弱性（未認証RCEにつながるデシリアライズ、Dockerイメージの固定管理者認証情報、いずれもCVSS9.8）で、組み込みTCP/IPスタック lwIP のバッファオーバーフロー（CVSS9.8）、複数のWordPressプラグインでの認証バイパス・RCEにも注意が必要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 34件 |
| High (7.0-8.9) | 67件 |
| Medium (4.0-6.9) | 87件 |
| Low (0.1-3.9) | 6件 |
| GHSA 更新Advisory | 447件（Critical 62 / High 154 / Moderate 187 / Low 38 / 未評価 6） |
| 影響エコシステム | npm（OSV監視対象） |
注: CVSS未評価（NONE）の項目6件は上表の深刻度別件数には含めていません。
Critical / High 脆弱性の詳細
電力系統監視ソフトopenPDC/openHistorianで2件の深刻な脆弱性（未認証RCE・Dockerイメージの固定認証情報）
- CVSS: いずれも9.8（Critical）
- 影響: openPDC、openHistorian（Grid Protection Alliance）
- 概要: CVE-2026-100730 は、サービスコンソールのインターフェースがクライアントから送られたデータ構造をそのままデシリアライズしてしまう不備です。Windows認証を有効にしている構成では認証済み攻撃者が対象ですが、Windows認証を使っていない構成では未認証のネットワーク攻撃者からも到達可能で、サービスアカウントの権限でのリモートコード実行につながる恐れがあります。同じCISA ICS Advisoryで公開されたCVE-2026-105278は、公開されているopenPDCのDockerイメージに初回利用時の強制変更なしの固定管理者認証情報が含まれているという不備で、管理インターフェースにネットワークアクセスできる攻撃者がそのまま管理者権限を取得できます。
- 対策: 公開データに具体的な修正バージョンの記載はないため、CISA ICS Advisory（ICSA-26-281-02）を確認し、ベンダー（Grid Protection Alliance）の最新のアドバイザリ・パッチ情報に従ってください。Dockerイメージを利用している場合は、固定の管理者認証情報を速やかに変更し、管理インターフェースへのネットワークアクセスを制限することを推奨します。
- 詳細: CISA ICSA-26-281-02
組み込みTCP/IPスタックlwIPのSMTPクライアントにバッファオーバーフロー
- CVSS: 9.8（Critical）
- 影響: lwIP（SMTPクライアント機能を利用する組み込み・IoT機器）
- 概要: CVE-2026-15340 は、組み込み機器で広く利用されるTCP/IPスタック lwIP のSMTPクライアントが入力サイズを検証していない不備です。悪意あるデータを処理させることでバッファオーバーフローを引き起こせる可能性があります。
- 対策: 公開データに具体的な修正バージョンの記載はないため、CISA ICS Advisory（ICSA-26-279-02）を確認し、ベンダーの最新リリースへの更新を検討してください。更新が難しい組み込み機器では、SMTPクライアント機能の利用自体を見直すことも有効です。
- 詳細: CISA ICSA-26-279-02
WordPress二段階認証プラグイン「Advanced IP Blocker」で認証バイパス
- CVSS: 9.8（Critical）
- 影響: Advanced IP Blocker（WordPressプラグイン）8.13.13以前
- 概要: CVE-2026-104732 は、2段階認証（2FA）のログイン処理において、1段階目のパスワード認証を完了したかどうかをサーバー側で確認していない不備です。対象ユーザーのuser_idが分かれば、未認証の攻撃者がTOTPコードを総当たりすることで、2FA付きの管理者アカウントを含むアカウントを乗っ取れる可能性があります。
- 対策: プラグイン提供元の更新情報を確認し、最新バージョンへアップデートしてください。
- 詳細: NVD: CVE-2026-104732
WordPress向けCF7拡張プラグインで未認証の任意ファイルアップロードからRCE
- CVSS: 9.8（Critical）
- 影響: Extensions For CF7（WordPressプラグイン）3.4.5以前
- 概要: CVE-2026-94589 は、署名フィールドの検証処理でファイル拡張子・MIMEタイプ・サイズのチェックが欠落しており、アップロードディレクトリでPHP実行を防ぐ保護もないという不備です。ファイル名のサニタイズも回避できるため、未認証の攻撃者が実行可能なファイルをアップロードし、リモートコード実行に至る可能性があります。
- 対策: 3.4.5より新しいバージョンへのアップデートを確認してください。
- 詳細: NVD: CVE-2026-94589
WooCommerce向け3D商品コンフィギュレータでRCE、WPCOM Memberで認証バイパス
- CVSS: いずれも9.8（Critical）
- 影響: 3D Product configurator for WooCommerce（2.16.2以前）、WPCOM Member（1.7.27以前）
- 概要: CVE-2026-103889 は、
xpv_imageパラメータの処理で認証・nonceチェックが欠落しており、未認証の攻撃者が単一のPOSTリクエストでサーバー上のコードを実行できる不備です。またCVE-2026-104803は、WPCOM Memberのソーシャルログイン連携処理でnonceやOAuthステートの検証が行われておらず、対象ユーザーのソーシャル識別子（openid/unionid）が分かれば、未認証の攻撃者が管理者を含む任意ユーザーとしてログインできてしまう不備です。 - 対策: いずれも最新バージョンへのアップデートを確認してください。
- 詳細: NVD: CVE-2026-103889 / NVD: CVE-2026-104803
WordPressテーマ・プラグインでオブジェクトインジェクション系の脆弱性も多数
本日はこれに加えて、ThemeREX GroupのBooklovers（CVE-2026-62045）・Gutentype（CVE-2026-62046）、10Web Slider（CVE-2026-105885）、BuddhaThemesのNeo | Barber Shop（CVE-2026-94064）・ColorFolio（CVE-2026-94065）など、デシリアライズによるPHPオブジェクトインジェクション（CVSS8.8〜9.8）がWordPressテーマ・プラグインで多数公開されています。該当するテーマ・プラグインを利用している場合は、提供元の更新情報を確認してください。
本日再分析された既存の脆弱性について
NVDのCritical/Highの一部は、Linuxカーネルのネットワークドライバ（mana、CVE-2026-72064）やbtrfsファイルシステム（CVE-2026-80734）など、カーネルの安定版修正として過去に取り込まれた不備が本日再分析対象として更新されたものです。新規の脆弱性ではありませんが、該当のカーネルバージョンを使用している環境では確認しておくとよいでしょう。
エコシステム別サマリー
本日はOSV監視対象でnpmの6件の更新があり、いずれも Next.js（next）のキャッシュ汚染・SSRF・情報漏えい関連の不備（CVSS換算で4.2〜6.5のMedium相当、15.5.27 / 16.3.8で修正）です。これは2026年10月9日付の本紙記事で既報の内容と同一のアドバイザリ群（2026年10月7日公開）で、新規の追加はありません。
JVN 日本語情報
本日のMyJVNには該当する脆弱性対策情報がありません。
まとめ
本日最も優先度が高いのは、電力系統監視ソフト openPDC/openHistorian に見つかった2件の脆弱性です。未認証でのリモートコード実行につながるデシリアライズの不備と、公開Dockerイメージの固定管理者認証情報という、いずれも悪用が容易な内容のため、該当システムを運用している場合はCISA ICS Advisoryを確認し、早急な対応を推奨します。次いで組み込みTCP/IPスタック lwIP のバッファオーバーフロー、複数のWordPressプラグイン・テーマでの認証バイパス・RCE・オブジェクトインジェクションが本日目立ちました。WordPress関連のCVE件数が非常に多い一日でしたが、いずれも提供元の最新バージョンへのアップデートで対応可能です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。