本日はNVDへの新規CVE登録はありませんでしたが、GitHub Advisory Database（GHSA）では深刻度Criticalが8件、Highが49件公開・更新されました。最も注目すべきはphpMyFAQのWebAuthn認証バイパスで、管理者権限の奪取につながる可能性があります。WordPressプラグイン複数件のCritical脆弱性にも早めの確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 0件（取得した200件は全て欠番・拒否済みのレコード） |
| GHSA更新アドバイザリ | 206件 |
| Critical | 8件 |
| High | 49件 |
| Medium（Moderate） | 89件 |
| Low | 17件 |
| 深刻度未評価 | 43件 |
| 影響エコシステム（OSV） | PyPI 1件 |
Critical/High 脆弱性の詳細解説
NVDは本日新規CVEの登録がなく（取得分は全て失効・拒否済みの旧番号）、GitHub Advisory Databaseで深刻度Criticalと評価された脆弱性を中心に解説します。
CVE-2026-111911：phpMyFAQのWebAuthn認証バイパス（深刻度: Critical）
FAQ管理システムphpMyFAQで、WebAuthn認証情報の処理に不備があり、認証情報を注入することで認証を回避できる脆弱性です。管理画面への不正アクセスにつながる可能性があります。
CVE-2026-110886：WordPress「Conversational Forms for Chatbot」のオブジェクトインジェクション（深刻度: Critical）
チャットボット向けフォームプラグイン「Conversational Forms for Chatbot」（1.5.1以下）にPHPオブジェクトインジェクションの脆弱性が確認されています。悪用されるとサーバー上で意図しない処理が実行される可能性があります。
- 影響バージョン: WordPressプラグイン
conversational-forms1.5.1以下 - 対応: 最新版へアップデート
- 参考: NVD / Patchstack
CVE-2026-109894：WordPress「BookTics」のSQLインジェクション（深刻度: Critical）
予約管理プラグイン「BookTics」（1.0.29以下）にSQLインジェクションの脆弱性が確認されています。データベースへの不正な問い合わせにつながる可能性があります。
- 影響バージョン: WordPressプラグイン
booktics1.0.29以下 - 対応: 最新版へアップデート
- 参考: NVD / Patchstack
CVE-2026-110372：WordPress「OttoKit（旧SureTriggers）」の権限昇格（深刻度: Critical）
自動化連携プラグイン「OttoKit」（1.1.40以下）に権限昇格の脆弱性が確認されています。低権限ユーザーが管理者権限を取得できる可能性があります。
- 影響バージョン: WordPressプラグイン
suretriggers1.1.40以下 - 対応: 最新版へアップデート
- 参考: NVD / Patchstack
CVE-2026-111998：イベントストリーミング基盤Vanusのデフォルト管理者認証情報（深刻度: Critical）
イベントストリーミングプラットフォームVanus（0.8.0〜0.9.0）のGateway機能に、変更されていないデフォルトの管理者認証情報が残存する問題が確認されています。初期設定のまま運用している場合、管理者権限での不正アクセスを許す可能性があります。
- 影響バージョン:
vanus0.8.0〜0.9.0 - 対応: 最新版へアップデートし、管理者認証情報を変更
- 参考: NVD / GitHub Issue
CVE-2026-111283：BMC Helix Network ManagementのSAML認証バイパス（深刻度: Critical）
ネットワーク管理製品BMC Helix Network Management（26.3.01未満）で、SAML設定の処理に不備があり、認証を回避してローカル管理者としてアクセスできる脆弱性が確認されています。
- 影響バージョン:
BMC Helix Network Management<26.3.01 - 対応: 26.3.01以降へアップデート
- 参考: NVD / BMCリリースノート
CVE-2026-112005：データベース管理ツールwhodbのDuckDBプラグイン関連脆弱性（深刻度: Critical、詳細未公開）
データベース管理ツールwhodbのDuckDBプラグイン処理（core/src/plugins/duckdb）に関する脆弱性が深刻度Criticalで報告されています。アドバイザリに詳細な説明は記載されていませんが、修正コミットが公開されています。利用している場合は最新版への更新を推奨します。
Critical以外にもHigh評価の脆弱性が49件公開されています。開発環境基盤Coderでは本日6件のアドバイザリが公開され、ワークスペースプロキシのホスト名プレフィックス一致を利用した資格情報窃取（CVE-2026-111927、High）をはじめ、認可やRBACポリシーに関する複数の問題が修正されています（2.34.2〜2.35.4への更新で対応）。タスク管理ツールVikunjaでは、WebSocket認証がセッション無効化を無視する問題（CVE-2026-111917）とWebhook経由のアクセス権限取消し不備（CVE-2026-111919）が2.7.0で修正されました。リモートデスクトップクライアントFreeRDPのクリップボード処理における整数アンダーフロー（CVE-2026-111881、3.32.0で修正）、デバイス管理プラットフォームFleetの無制限gzip展開によるDoS（CVE-2026-111924、4.83.0で修正）、観測性ライブラリOpenTelemetry Pythonのトレースエクスポーター処理（CVE-2026-112006、v1.45.0で修正）も広く使われるソフトウェアとして注意が必要です。phpMyFAQでは他にも7件のHigh/Moderate評価のアドバイザリ（CVE-2026-111897、111901、111902、111903、111905、111906、111909）が公開されており、API権限管理やCSRF関連の問題が中心です。4.1.9以降へのアップデートでまとめて解消されます。
また、WordPressのテーマ・プラグインではStrong Testimonials（CVE-2026-107436、PHPオブジェクトインジェクション）やeStoreテーマ（CVE-2026-108485、XSS）など複数件がHigh評価で報告されています。libdvdnav、libstrophe、libtta、schroedinger、cgltf、lwipなどC言語実装のメディア/ネットワークライブラリでも、ファジングによるメモリ安全性の問題が複数報告されていますが、いずれもModerate評価です。Linuxカーネルの安定版バックポート修正（CVE-2026-98433等）も複数ありますが、深刻度は未評価となっています。
エコシステム別サマリー
OSVではPyPIのDjango（GeoDjango）に1件のDoS脆弱性（CVE-2026-15830）が確認されています。深くネストしたGEOMETRYCOLLECTIONをWKT/WKB形式で渡すとGEOSライブラリ内で無制限の再帰が発生しセグメンテーションフォルトを引き起こす可能性があり、5.2.17 / 6.0.8 / 6.1.1で修正されています。CVSSベクトル上は可用性への影響がLowにとどまり、緊急度は高くありません。
JVN 日本語情報
本日のJVN掲載は0件で、該当する脆弱性対策情報はありませんでした。
まとめ
本日はNVDへの新規CVE登録がない一方、GitHub Advisory DatabaseでCritical評価の脆弱性が8件公開されました。特にphpMyFAQのWebAuthn認証バイパスやWordPressプラグイン複数件のCritical脆弱性は、該当ソフトウェアを利用している場合は優先的な確認を推奨します。Coder・Vikunja・FreeRDP・Fleet・OpenTelemetry PythonなどHigh評価の脆弱性も広く使われるソフトウェアに及んでおり、バージョン確認とアップデートの検討をおすすめします。JVNからの新規掲載はありませんでした。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。