本日は新規CVEが213件公開・更新され、うちCriticalが19件、Highが92件です。最も注目すべきは国内企業が提供するWAF「SiteGuard Server Edition」のOSコマンドインジェクション脆弱性（CVSS7.8）で、開発元によれば悪用も確認されています。VPN製品Ivanti Connect Secureの認証回避脆弱性（CVSS8.6）も合わせて優先的な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE | 213件 |
| Critical (9.0以上) | 19件 |
| High (7.0〜8.9) | 92件 |
| Medium (4.0〜6.9) | 57件 |
| Low (0.1〜3.9) | 5件 |
| CVSS未評価 | 40件 |
| 影響エコシステム（OSV） | npm, PyPI |
Critical/High 脆弱性の詳細解説
CVSSスコアが高い順に、注目度の高い7件を解説します。NVD分のCriticalは既存ライブラリのスコア再評価分を多く含むため、影響範囲の広いものを中心に取り上げます。
CVE-2021-3177：Python の sprintf 不備によるバッファオーバーフロー（CVSS 9.8）
Python 3.x（3.9.1以前）で、_ctypes/callproc.c の PyCArg_repr が内部的に sprintf を安全でない形で使用しており、浮動小数点数を未検証のまま受け取るアプリケーションでバッファオーバーフローが発生し、リモートコード実行に至る可能性がある脆弱性です。
- 影響バージョン: Python 3.x 〜 3.9.1
- 対応: 3.9.2 / 3.8.8 / 3.7.10 / 3.6.13 以降、または各ディストリビューションが提供する修正済みパッケージへの更新
- 参考: NVD
CVE-2021-20231：GnuTLS のクライアント側 Use-After-Free（CVSS 9.8）
TLSライブラリ GnuTLS で、クライアントが key_share 拡張を送信する処理にUse-After-Freeの欠陥があり、メモリ破損やクラッシュなど予期しない動作を引き起こす可能性があります。同種の欠陥（CVE-2021-20232）も同時に修正されています。
- 対応: GnuTLS 3.7.2以降へのアップデート
- 参考: NVD
CVE-2019-9169：glibc の正規表現処理におけるヒープ境界外読み取り（CVSS 9.8）
GNU C Library（glibc）の posix/regexec.c にある proceed_next_node 関数で、大文字小文字を区別しない正規表現マッチを試みる際にヒープ境界外読み取りが発生する脆弱性です。glibcはほぼ全てのLinux環境で利用されるため影響範囲は広範です。
- 影響バージョン: glibc 2.29以前
- 対応: glibc 2.30以降、またはディストリビューションが提供する修正済みパッケージへの更新
- 参考: NVD
CVE-2019-8457：SQLite3 の rtreenode() におけるヒープ境界外読み取り（CVSS 9.8）
組み込みデータベース SQLite3 で、不正なrtreeテーブルを処理する際に rtreenode() 関数でヒープ境界外読み取りが発生する脆弱性です。SQLiteはブラウザやモバイルアプリなど多数のソフトウェアに組み込まれています。
- 影響バージョン: SQLite 3.6.0 〜 3.27.2
- 対応: SQLite 3.28.0以降への更新
- 参考: NVD
CVE-2026-104935：Ivanti Connect Secure におけるなりすましによる認証回避（CVSS 8.6）
VPN/リモートアクセス製品 Ivanti Connect Secure（ICS）で、なりすましを利用した認証バイパスが存在し、リモートの未認証攻撃者が任意のコマンドを実行できる可能性がある脆弱性です。ICSバージョン22.7R2.14以前は影響を受けません。
- 影響バージョン: 25.1.3.0未満（22.7R2.14より新しいバージョン）
- 対応: 25.1.3.0以降へのアップデート
- 参考: JVN
CVE-2026-106931：SiteGuard Server Edition における OSコマンドインジェクション（CVSS 7.8・悪用確認済み）
EGセキュアソリューションズ社が提供するWAF「SiteGuard Server Edition」の統計機能にOSコマンドインジェクションの脆弱性が存在します。情報セキュリティ早期警戒パートナーシップに基づきIPAへ報告され、JPCERT/CCが開発者との調整を行いました。開発元によれば、本脆弱性を悪用した攻撃が既に確認されています。
- 対応: 開発元（EGセキュアソリューションズ）の発表を確認し、提供される修正・回避策に従って対応する
- 参考: JVN
CVE-2026-101020：AssetView における不適切なアクセス権限の割り当て（CVSS 7.8）
株式会社ハンモックが提供する資産管理ソフト「AssetView」に、重要なリソースへのアクセス権限の割り当てが不適切な脆弱性（CWE-732）が確認されています。
- 対応: 開発者（ハンモック社）およびJVNの公式発表を確認し、提供される修正に従って対応する
- 参考: JVN
エコシステム別サマリー（OSV）
本日はnpmで6件、PyPIで1件の脆弱性が確認されています。CVSS基本値はいずれも4〜6点台のMedium相当ですが、利用者の多いフレームワークが対象のため一覧しておきます。
- npm / Next.js：Draft Modeのコンテンツが通常リクエストへ混入する不具合、自己ホスト環境でのSSG/ISRキャッシュポイズニング（2件）、Image Optimization機能のSSRF、開発サーバーのMCPエンドポイントからの情報漏えい、App RouterのメタデータルートでのdynamicParamsバイパスなど、計6件のアドバイザリが引き続き公開されています。いずれも16.3.8（一部は15.5.27）で修正済みです。
- PyPI / Django：GeoDjango（
django.contrib.gis）が、深くネストしたGEOMETRYCOLLECTIONを含むWKT/WKB入力の処理時にセグメンテーションフォルトでクラッシュしうるDoS脆弱性です。5.2.17 / 6.0.8 / 6.1.1で修正されています。
JVN 日本語情報
本日のJVN掲載は6件で、うちCVSS7点台以上が3件です。前述のIvanti Connect Secure・SiteGuard Server Edition・AssetViewに加え、楽天モバイルの複数端末でAndroid Verified Bootにテスト用鍵が使われていた問題（CVSS6.6）、EC-CUBE用「AmazonPayプラグイン」の外部制御の脆弱性（CVSS4.7・開発者によれば悪用確認済み）が公開されています。EC-CUBEの脆弱性はCVSSスコアこそ中程度ですが、既に悪用が確認されているため、該当プラグインの利用者は優先的に対応を検討してください。
まとめ
本日はNVDから既存ライブラリ（glibc・Python・SQLite・GnuTLS・curl等）のCVSSスコア再評価分を含め、Criticalが19件公開・更新されました。古いバージョンが残るレガシー環境やコンテナのベースイメージの点検に活用してください。一方、実際の運用で優先度が高いのは、悪用が確認されているSiteGuard Server EditionとEC-CUBE AmazonPayプラグイン、そして広く使われるVPN製品であるIvanti Connect Secureです。該当製品を利用している場合は、開発元の発表に従った優先的な対応を推奨します。npmエコシステムではNext.jsのアドバイザリが引き続き公開されているため、利用プロジェクトのバージョン確認もおすすめします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。