本日はNVDに新規CVEが220件登録されましたが、そのうち198件はLinuxカーネルの修正に伴うもので、Critical52件・High147件の大半もカーネル関連です。一方でGitHub Advisory Databaseでは、Claude Agent SDKの任意コマンド実行やLMCacheのリモートコード実行など、AI関連OSSに関わるCritical評価の脆弱性が公開されており、該当ソフトウェアの利用者は優先して確認してください。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 220件 |
| Critical (9.0以上) | 52件 |
| High (7.0〜8.9) | 147件 |
| Medium (4.0〜6.9) | 2件 |
| Low (0.1〜3.9) | 1件 |
| CVSS未評価 | 18件 |
| 影響エコシステム（OSV） | PyPI |
Critical/High 脆弱性の詳細解説
NVDのCritical・High評価はほぼすべてLinuxカーネルの修正（ネットワークスタックやRDMAドライバの不具合修正など）で占められており、一般的な運用で直接悪用される可能性は限定的です。例外として、JSON処理コマンドのjqに整数オーバーフローによるヒープバッファオーバーフローの脆弱性（CVE-2026-32316、CVSS 8.2）が確認されています。代わりに、GitHub Advisory Databaseで深刻度Criticalと評価された中からAI関連OSSを中心に解説します。
CVE-2026-96620：Claude Agent SDKの引数インジェクション（深刻度: Critical）
Claude Agent SDK（Python版）のresumeオプションの処理に引数インジェクションの不備があり、任意のコマンド実行につながる可能性があります。エージェント実行基盤でユーザー入力を経由してresume値を渡す構成では影響が大きくなります。
CVE-2026-105192：LMCacheのリモートコード実行（深刻度: Critical）
LLM推論のKVキャッシュ共有を担うLMCacheのマルチプロセス通信（multiprocessモード）で、安全でないデシリアライズ処理を使用しており、リモートコード実行につながる脆弱性です。vLLM等と組み合わせた推論基盤で利用している場合は優先度の高い対応が必要です。
CVE-2026-32316：jqのヒープバッファオーバーフロー（深刻度: High、CVSS 8.2）
コマンドラインJSON処理ツールjqで、長大な文字列を結合する際に32bit整数オーバーフローが発生し、確保されるバッファサイズが実際の書き込みサイズより小さくなることでヒープバッファオーバーフローが起こります。信頼できないクエリをCI/CDスクリプト等で評価している環境は影響を受けます。
CVE-2026-96627：Arcaneの管理者アカウント乗っ取り（深刻度: High）
コンテナ管理ツールArcaneで、users:update権限を委任されたユーザーが権限階層チェックを経ずにパスワードリセット経由で管理者アカウントを乗っ取れる脆弱性です。委任権限を運用している環境では影響が大きくなります。
lopdfのスタックオーバーフロー（深刻度: High、CVE未割当）
Rust製PDFライブラリlopdfで、深くネストしたPDFオブジェクトを解析する際にスタックオーバーフローが発生しクラッシュする脆弱性です。信頼できないPDFファイルを処理するサービスでは注意が必要です。
CVE-2026-102834：JavaCVの無限ループDoS（深刻度: High）
映像処理ライブラリJavaCVのIPCameraFrameGrabberに整数オーバーフローがあり、特定の入力で無限ループに陥りサービス拒否を引き起こす脆弱性です。
ほかに、FortiOS/FortiProxy/FortiPAMのパストラバーサル脆弱性（CVE-2025-61624、CVSS 6.0）がCISAの既知Exploited脆弱性カタログに掲載されています。認証済みの管理者権限が前提のため影響範囲は限定的ですが、該当製品を運用している場合はパッチ適用状況を確認しておくとよいでしょう。
エコシステム別サマリー
OSVではPyPIのDjango（GeoDjango）に1件のDoS脆弱性（CVE-2026-15830）が確認されています。深くネストしたGEOMETRYCOLLECTIONをWKT/WKB形式で渡すとGEOSライブラリ内で無制限の再帰が発生しセグメンテーションフォルトを引き起こす可能性があり、5.2.17 / 6.0.8 / 6.1.1で修正されています。
GitHub Advisory Databaseでは、上記のPyPI（Claude Agent SDK、LMCache）に加え、Go（kin-openapiのnilポインタパニック、CoreDNSのAXFRパニック、Arcaneの2件）、crates.io（Wasmtime WASIのハードリンク経由権限バイパス、lopdf）、Maven（JavaCV）、Hex（swooshのURLパスインジェクション）、npm（ckan-mcp-serverのpostMessage検証不備）など幅広いエコシステムでアドバイザリが同期されています。
JVN 日本語情報
本日のJVN掲載は0件で、該当する脆弱性対策情報はありませんでした。
まとめ
本日のNVDは新規CVE220件のうちCriticalが52件・Highが147件と多めですが、その大半はLinuxカーネルの内部修正であり、一般的な運用環境への直接的な影響は限定的です。むしろ注意すべきは、GitHub Advisory Databaseで公開されたClaude Agent SDKの任意コマンド実行やLMCacheのリモートコード実行で、いずれもAIエージェント・LLM推論基盤を運用している場合は優先的な対応が推奨されます。加えて、広く使われるjqのヒープバッファオーバーフローも、信頼できない入力を処理する環境では見逃せません。JVNからの新規掲載はありませんでしたが、CISAの既知Exploited脆弱性カタログに掲載されたFortiOS関連の脆弱性にも注意しておくとよいでしょう。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。