本日のNVDは新規CVEを200件収録していますが、評価済みはMedium1件のみでCritical・Highの新規・再評価はありませんでした。一方でGitHub Advisory Databaseでは大量のアドバイザリ同期があり、KEDA・Argo CD・PodmanなどKubernetes関連OSSを中心にCritical評価の脆弱性が複数公開されています。いずれも設定次第で権限昇格や制限バイパスにつながるため、該当ソフトウェアの利用者は優先して確認してください。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 200件 |
| Critical (9.0以上) | 0件 |
| High (7.0〜8.9) | 0件 |
| Medium (4.0〜6.9) | 1件 |
| Low (0.1〜3.9) | 0件 |
| CVSS未評価 | 199件 |
| 影響エコシステム（OSV） | PyPI |
Critical/High 脆弱性の詳細解説
本日のNVDにCritical・Highの該当はありません（唯一評価されたMedium1件は、1999年登録のRPCポートマッパー検出に関する古い内容です）。代わりに、GitHub Advisory Databaseで深刻度Criticalと評価された中から、影響範囲の広いOSSプロジェクトを中心に7件を解説します。GHSAは数値のCVSSスコアを公開していないため、深刻度はGHSAの定性評価（Critical/High）で記載します。
CVE-2026-77524：KEDAの権限昇格脆弱性（深刻度: Critical）
KEDAのTriggerAuthenticationリソースに権限設計上の不備があり、namespace管理者権限を持つユーザーがクラスタ全体の管理者権限まで昇格できる可能性があります。マルチテナントのKubernetesクラスタでは影響が大きい脆弱性です。
- 影響バージョン:
github.com/kedacore/keda/v22.21.0未満（旧モジュールパスgithub.com/kedacore/kedaは修正バージョン未定） - 対応: 2.21.0以降へアップデート
- 参考: NVD / GHSA
CVE-2026-77459：Argo CDのAppProject制限バイパス（深刻度: Critical）
Argo CDのAppProjectで設定したdestination-namespaceやリソース制限が、PreDelete/PostDeleteのリソースフックを利用することで回避できる脆弱性です。GitOpsの権限分離を前提にした運用では影響度が高くなります。
- 影響バージョン:
github.com/argoproj/argo-cd/v33.3.15未満 / 3.4.10未満 / 3.5.4未満 / 3.6.0-rc2未満（v2系は修正バージョン未定） - 対応: 各マイナー系列の修正バージョン以降へアップデート
- 参考: NVD / GHSA
CVE-2026-94603：Podmanのサンドボックス無効化（深刻度: Critical）
コンテナのアノテーションを利用することで、podman run実行時のサンドボックス機構の大部分を無効化できる脆弱性です。信頼できないイメージを実行する運用では特に注意が必要です。
- 影響バージョン:
github.com/containers/podman5.8.8未満 /go.podman.io/podman/v66.1.3未満 - 対応: 5.8.8または6.1.3以降へアップデート
- 参考: NVD / GHSA
CVE-2026-102989：TanStack Startの未認証反射型XSS（深刻度: Critical）
TanStack StartのサーバーファンクションのレスポンスにXSSを注入できる脆弱性で、認証なしで悪用可能です。React/Vue/Solid向けの各ラッパーパッケージすべてが対象です。
- 影響バージョン:
@tanstack/start-server-core1.169.39未満、@tanstack/react-start1.168.60未満、@tanstack/solid-start1.168.57未満、@tanstack/vue-start1.168.56未満 - 対応: 利用中のパッケージを上記修正バージョン以降へアップデート
- 参考: NVD / GHSA
CVE-2026-102748：Dgraphの未認証DoS（深刻度: Critical）
Dgraphの管理用HTTP APIのremoveNodeエンドポイントに認証なしでアクセスでき、クラスタのノードを操作してサービス拒否を引き起こせる脆弱性です。
CVE-2026-104252：Vitess vttabletの反射型XSS（深刻度: Critical）
分散MySQLクラスタリングシステムVitessのvttabletが提供する/twopczエンドポイントに反射型XSSが存在します。
CVE-2026-57496：netlicensing-mcpのパストラバーサル（深刻度: Critical）
MCP連携ツールnetlicensing-mcpのREST API処理にパストラバーサルの不備があり、本来マスキングされるはずのトークンが露出する可能性があります。
エコシステム別サマリー
OSVではPyPIのDjango（GeoDjango）に1件のDoS脆弱性（CVE-2026-15830）が確認されています。深くネストしたGEOMETRYCOLLECTIONをWKT/WKB/hex-encoded WKB形式で渡すと、GEOSライブラリ内で再帰が無制限に発生しセグメンテーションフォルトを引き起こす可能性があります。5.2.17 / 6.0.8 / 6.1.1で修正されています。
GitHub Advisory Databaseでは本日も大量のアドバイザリ同期があり、確認できた範囲でCriticalが61件、Highが287件でした。詳細情報が付与されているHigh評価のうち、GoのOpenAPIバリデーションライブラリkin-openapiのパス解釈の混同によるセキュリティ要件バイパス（CVE-2026-100351、0.147.0で修正）と、サーバー管理ツールNginx UIで機微な操作にOTPの再認証が欠けている問題（CVE-2026-84315、v2.4.1で修正）が目立ちます。
JVN 日本語情報
本日のJVN掲載は6件で、Mediumが3件（Critical/Highはありません）。ゲオが提供するスマートフォンアプリ「ゲオアプリ」では、Custom URL Schemeのアクセス制限不備（CVE-2026-96614）と重要情報の平文保存（CVE-2026-105271）の2件が報告されています。また、国土交通省が提供する「車検証閲覧アプリ」では、事業者向けAPI連携の送信データに機微な情報が含まれる問題（CVE-2026-75559、CVSS5.3）が公開されました。
CVE番号を持たないCERT/CC経由の情報として、Google BoringSSLをはじめ複数のTLSライブラリで証明書の名前制約（Name Constraints）チェックを回避できる問題（VU#410595 / VU#948176）も掲載されています。TLSライブラリを自前で組み込んでいる開発者は動向を確認しておくと良いでしょう。
まとめ
本日はNVD側に新規のCritical・Highはなく、唯一の評価済みCVEも1999年登録のRPCポートマッパー検出という古い内容でした。一方でGitHub Advisory Databaseの同期では、KEDA・Argo CD・PodmanといったKubernetes関連OSSに加え、Dgraph・Vitess・TanStack Startなど幅広いOSSでCritical評価の脆弱性が公開されています。CVSSの数値は非公開のものが多いものの、権限昇格・サンドボックス回避・認証なしDoSなど影響度の高い内容が目立つため、該当ソフトウェアを運用している場合は優先的にバージョンを確認してください。JVNでは日本向けアプリの個人情報関連の脆弱性に加え、BoringSSLなどTLSライブラリの証明書検証に関する問題も報告されており、こちらも注視が必要です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。