本日はNVDで200件のCVE（重複除去後）を確認しました。うちCriticalが12件、Highが92件です。最も深刻なのは5Gコアネットワークソフトウェア「free5gc」の認可不備（CVE-2023-4659、CVSS9.8）で、トークン値をadminに書き換えるだけで管理者として振る舞える問題です。あわせてLinuxカーネルの既知脆弱性11件（CVSS9.1〜9.8）が本日まとめてCVE番号付きで公表されています。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD、重複除去後） | 200件 |
| Critical (9.0+) | 12件 |
| High (7.0-8.9) | 92件 |
| Medium (4.0-6.9) | 94件 |
| GHSA Advisory | 1,315件 |
| JVN（日本語） | 4件 |
| OSV | 0件（本日データなし） |
※ NVDの取得データに同一CVEの重複エントリが含まれていたため、ユニークなCVE単位で集計しています。
Critical / High 脆弱性の詳細解説
CVE-2023-4659: free5gcの認可不備
- CVSSスコア: 9.8（Critical）
- 影響ソフトウェア: free5gc（オープンソースの5Gコアネットワーク実装）
- 概要: 管理操作用のAPIがトークン値を適切に検証しておらず、トークン値を
adminに書き換えるだけで管理者として振る舞えてしまいます。トークンなしのPOST/GET/DELETEリクエストも受け付けてしまうため、ユーザーの作成・削除・改変が可能になります。 - 対応: ベンダーのアドバイザリを確認の上、該当バージョンを使用している場合はパッチ適用を推奨します。
- 参考: NVD
Linuxカーネルの既知脆弱性クラスタ（CVSS 9.1〜9.8、11件）
stableツリー向けに過去に修正済みの脆弱性へCVE番号が付与され、本日まとめて公開されました。代表例はCVE-2025-38708（DRBDのkref参照カウント漏れによるUse-After-Free）で、two-primaries構成時の書き込み競合処理に起因します。ほかにnfsd・cifs・ipv6 sr等のUAFや境界外アクセスが含まれます（CVE-2025-38724, -38734, -38737, -39673, -39682, -39702, -39703, -39726, -39758, -38728）。いずれも上流では修正済みのため、カーネルのセキュリティアップデートを適用済みであれば影響を受けません。
CVE-2025-1247ほか: Red Hat Quarkus関連の複数脆弱性
- CVSSスコア: 最大8.3（High）
- 概要: QuarkusのRESTでフィールドインジェクションかつCDIスコープ未指定のエンドポイントを使うと、同時リクエスト間でリクエストパラメータが混在する問題（CVE-2025-1247、CVSS8.3）が見つかりました。関連してquarkus-resteasyのメモリリーク（CVE-2025-1634）、smallrye-fault-toleranceのDoS（CVE-2025-2240）、GraphQL over WebSocketの認可バイパス（CVE-2023-6394）、Cookie解析不備によるHttpOnly値漏えい（CVE-2024-12397）も同時に公開されています。
- 対応: Red Hatのエラータに従いパッチ適用を推奨します。
CVE-2025-41450: Danfoss AK-SM 8xxAシリーズの認証不備
- CVSSスコア: 8.2（High）
- 影響: Danfoss AK-SM 8xxAシリーズ（冷凍・空調監視コントローラ）のバージョン4.2未満
- 概要: 不適切な認証により、ネットワーク経由でのアクセス制御回避が懸念されます。OT/ICS機器のため、対象製品を導入している現場は優先的な確認を推奨します。
CVE-2025-52915: K7 Security製ドライバのDoS
- CVSSスコア: 7.2（High）
- 概要: K7RKScan.sys（K7 Security Anti-Malwareのカーネルドライバ）が、管理者権限を持つプロセスからの細工されたIOCTL要求を十分検証せず、保護対象プロセスを強制終了できてしまう問題です。サードパーティサービスの停止につながる可能性があります。
エコシステム別サマリー（GHSA）
GHSAでは本日1,315件のアドバイザリを確認（Critical 154 / High 738 / Moderate 227 / Low 39）。パッケージエコシステム別ではNuGetが496件と突出しており、.NET系パッケージのまとめての登録・更新があったとみられます。そのほかnpm 16件、Maven 7件、PyPI 4件、Packagist 2件、Go・RubyGemsが各1件でした。注目点としては、JWTアルゴリズム混同を許すjson-web-token（npm, GHSA-4xw9-cx39-r355）、Pillowのヒープバッファオーバーフロー（GHSA-5xmw-vc9v-4wf2）、OpenTelemetry JS系パッケージのプロセスクラッシュ（GHSA-q7rr-3cgh-j5r3）、requestsの.netrc認証情報漏えい（GHSA-9hjg-9r4m-mvj7）などがあります。該当パッケージを利用している場合は修正バージョンへの更新を検討してください。OSVは本日データなしでした。
JVN日本語情報
- アツミ電氣製DVRの非公開機能悪用（CVE-2026-97627ほか、CVSS7.2）: 複数のDVR製品に存在する、非公開機能を外部から悪用できる問題です。
- ヤマハVOCALOID6 Editorの外部エンティティ参照不備（CVE-2026-104679、CVSS7.1）: XXE関連の脆弱性で、細工されたファイルの読み込み時に影響が及ぶ可能性があります。
- そのほかLenovo製タブレットのAndroid Verified Bootにおけるテスト用鍵の流用（CVSS6.6）、UnRTFの境界外書き込み（CVSS5.4）も公表されています。
まとめ
本日はfree5gcのCritical脆弱性とLinuxカーネルの既知脆弱性クラスタが目立ちました。いずれも対象ソフトウェアとバージョンを特定した上で、優先度に応じたパッチ適用を推奨します。Quarkus関連の複数Highは主にRed Hat系ミドルウェアを使う組織への影響が大きいため、該当する場合はエラータの確認をおすすめします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。