本日はNVDで200件のCVEが公開・更新され、うちCriticalが4件、Highが43件です。最も注目すべきは SolarWinds Web Help Desk に見つかった未認証RCE（CVSS9.8、過去2件のパッチをいずれも回避し、CISAのKEVに登録済みで実際の悪用が確認されています）で、AIワークフローツール Flowise のテナント間シークレット漏洩、広く使われるテンプレートエンジンHandlebarsのCritical脆弱性にも注意が必要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 4件 |
| High (7.0-8.9) | 43件 |
| Medium (4.0-6.9) | 144件 |
| Low (0.1-3.9) | 4件 |
| GHSA 更新Advisory | 246件（Critical 9 / High 72 / Moderate 107 / Low 46 / 未評価 12） |
| 影響エコシステム | npm, PyPI（OSV監視対象） |
注: CVSS未評価（NONE）の項目5件は上表の深刻度別件数には含めていません。
Critical / High 脆弱性の詳細
SolarWinds Web Help Deskで既存パッチを二重に回避する未認証RCE（CISAのKEVに登録・積極的な悪用を確認）
- CVSS: 9.8（Critical）
- 影響: SolarWinds Web Help Desk
- 概要: CVE-2025-26399 は、AjaxProxy機能が信頼できないデータをそのままデシリアライズしてしまう不備です。これは過去に修正されたCVE-2024-28986を回避したCVE-2024-28988、さらにそのCVE-2024-28988自体を回避する形で見つかったもので、未認証の攻撃者がホスト上で任意のコマンドを実行できる恐れがあります。CISAのKnown Exploited Vulnerabilities（KEV）カタログに登録されており、Microsoftのセキュリティブログでも実際の悪用が確認されています。
- 対策: ベンダーの最新のホットフィックス（WHD 12.8.7 Hotfix 1以降）へのアップデートを確認してください。
- 詳細: SolarWinds公式アドバイザリ / CISA KEVカタログ
AIワークフローツールFlowiseのクラウド版でテナント間のシークレット漏洩
- CVSS: 9.6（Critical）
- 影響: Flowise Cloud（セルフホスト版は対象外）
- 概要: CVE-2025-59434 は、Flowise Cloudの無料プランを使う任意のユーザーが、Custom JavaScript Functionノードを通じて他テナントの環境変数（OpenAI APIキー、AWS認証情報、Supabaseトークン、Google Cloudのシークレットなど）にアクセスできてしまう不備です。2025年8月のクラウド版アップデートで既に修正されています。
- 対策: 本不備は既にベンダー側で修正済みです。該当期間にFlowise Cloudの無料プランを利用していた場合は、漏洩した可能性のあるシークレット（APIキー等）のローテーションを推奨します。セルフホスト版の利用者は対象外です。
- 詳細: GHSA-435c-mg9p-fv22
広く使われるテンプレートエンジンHandlebarsでCritical評価のJavaScriptインジェクション
- CVSS: 具体的なスコアは本稿執筆時点で未公開（GHSA基準でCritical評価）
- 影響:
handlebars（npm）4.7.10未満 - 概要: GHSA-p8wg-vrv2-v86f（CVE-2026-106445）は、テンプレートコンパイル時に「オブジェクト自身のプロパティかどうか」を確認するチェックを回避できる不備で、信頼できないテンプレートやデータを処理する構成でJavaScriptインジェクションにつながる恐れがあります。Handlebarsは多数のnpmパッケージ・フレームワークから依存される広く使われるテンプレートエンジンです。
- 対策:
handlebarsを4.7.10以降へアップデートしてください。 - 詳細: GHSA-p8wg-vrv2-v86f
WordPressプラグイン・テーマでコードインジェクション・CSRF系の脆弱性が多数
WPCasa（不動産サイト構築プラグイン、1.4.1以前）のapi_requests関数で入力検証不足による未認証コードインジェクション（CVSS9.8）が見つかりました。これに加えて、Custom Post Type Images（CVE-2025-58255、CVSS9.6）、Constructoテーマ（CVE-2025-58244、CVSS8.8）、Findgoテーマ（CVE-2025-58250、CVSS8.8）、WorkScout-Core（CVE-2025-59572、CVSS8.8）でもCSRFを起点とするコードインジェクション・オブジェクトインジェクション・認証バイパスが公開されています。該当のプラグイン・テーマを利用している場合は、提供元の更新情報を確認してください。
ルーターTenda AC20/AC21でバッファオーバーフロー、PoCが公開済み
- CVSS: いずれも8.8（High）
- 影響: Tenda AC20（16.03.08.12以前）、Tenda AC21（16.03.08.16）
- 概要: CVE-2025-10815 はAC20の
SetPptpServerCfg処理のstrcpy呼び出しに、CVE-2025-10838はAC21のWifiExtraSet処理に、いずれも入力サイズの検証不足によるバッファオーバーフローがあり、リモートから攻撃できます。両方ともエクスプロイトコードが既に公開されています。 - 対策: Tendaから修正ファームウェアが提供されていないか確認してください。該当機種を利用している場合は、管理画面へのネットワークアクセスを信頼できる範囲に制限することも有効です。
- 詳細: NVD: CVE-2025-10815
WordPressプラグインでSQLインジェクション・Server-Side Template Injection
Advanced Views – Display Posts, Custom Fields, and More（3.7.19以前）では、カスタムTwigテンプレートの処理に入力サニタイズとアクセス制御の不備があり、author権限以上の認証済み攻撃者がサーバー上で任意のPHPコードを実行できます（CVSS8.8）。また、Perfect Brands for WooCommerce（CVE-2025-58686、CVSS8.5）とMail Mint（CVE-2025-59570、CVSS7.6）でもSQLインジェクションが公開されています。いずれも提供元の最新バージョンへの更新を確認してください。
その他: .NET画像処理ライブラリImageSharp、Mesh Connect SDK、Autodesk製品
.NET向け画像処理ライブラリImageSharp（GHSA-jj3q-cwqj-842r）では、CCITT fax展開処理でヒープバッファオーバーフローにつながる不備（HIGH評価）が公開されました。また、金融系SDKのMesh Connect JS SDK（CVE-2025-59430、CVSS8.2）ではリンクを開く処理のURLプロトコル検証不足によるスクリプト実行、Autodesk製品（CVE-2025-8892、CVSS7.8）では不正なPRTファイルによるメモリ破壊が報告されています。該当ソフトウェアの利用者は提供元の修正情報を確認してください。
エコシステム別サマリー
本日はOSV監視対象で計7件の更新があり、npmでは Next.js の6件（キャッシュ汚染・SSRF・情報漏えいなど）が確認されましたが、これは2026年10月9日付の本紙記事で既報の内容と同一のアドバイザリ群で新規の追加はありません。PyPIでは、Django GeoDjangoで新たな不備（CVE-2026-15830、CVSS換算5.3相当のMedium）が見つかりました。深くネストされたGEOMETRYCOLLECTIONをWKT/WKB形式で渡すと、内部で利用するGEOSライブラリが無制限に再帰処理を行いセグメンテーション違反を起こす不備で、Django 5.2系は5.2.17以降、6.0系は6.0.8以降、6.1系は6.1.1以降で修正されています。10月9日に報告したGeoDjangoのファイル書き込み不備（CVE-2026-15307）とは別の脆弱性です。
JVN 日本語情報
本日のMyJVNには該当する脆弱性対策情報がありません。
まとめ
本日最も優先度が高いのは、SolarWinds Web Help Deskの未認証RCE脆弱性です。過去2件のパッチをいずれも回避した不備で、CISAのKEVカタログに登録され実際の悪用も確認されているため、該当システムを運用している場合は最優先でアップデートを検討してください。次いで、AIワークフローツールFlowise Cloudのテナント間シークレット漏洩（既に修正済みのため、該当期間の利用有無確認とシークレットローテーションが対応の中心）、広く依存されるテンプレートエンジンHandlebarsのCritical脆弱性に注意が必要です。WordPressプラグイン・テーマのCSRF・コードインジェクション系とTendaルーターのバッファオーバーフロー（PoC公開済み）も目立ちましたが、いずれも提供元の最新バージョンへのアップデートで対応可能です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。