本日はnpmエコシステム（OSV）で新規に16件の脆弱性が確認され、うちNext.jsの未認証RCEが2件含まれます。あわせてNVDでは既存CVE 220件のCVSS再評価、GHSAではLinuxカーネルやWordPressプラグインを中心に217件の更新がありました。Next.jsを本番運用している場合は優先的な確認を推奨します。
本日の概要テーブル
| 指標 | 数値 |
|---|---|
| npmエコシステムの新規脆弱性（OSV） | 16件 |
| NVD再評価CVE（既存CVEのCVSS見直し） | 220件（Critical 34 / High 116 / Medium 57 / Low 13） |
| GHSA更新アドバイザリ | 217件（Critical 20 / High 136 / Moderate 49 / Low 10 / 不明2） |
| 主な影響エコシステム | npm（Next.js, Nuxt, Astro, Vite） |
NVDの220件は本日新規公開ではなく、
lastModifiedが2026年10月23〜24日に更新された既存CVE（主に2021〜2023年公開）のメタデータ再評価です。GHSAの217件はLinuxカーネルのstableバックポート・Oracle月例CPU・WordPressプラグインが中心で、本日時点では個別の脆弱性詳細（summary）が未整備のスタブ情報が大半です。実質的に「本日の新規かつ詳細が判明している脆弱性」はOSVのnpmエコシステム16件が中心となります。
Critical/High 脆弱性の詳細解説
Next.js: use cache 関数経由の未認証RCE（GHSA-673q-mjm6-r5xr）
- CVSS: v4.0
AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N（機密性・完全性・可用性すべて高、攻撃者の事前条件は限定的） - 影響: App RouterでCache Componentを使い、複数の型付き配列（typed array）を返す
use cache関数を持つアプリケーション - 概要: 該当する
use cache関数が存在すると、認証なしに任意コード実行につながる可能性があります。回避策はなく、該当する関数がなくてもアップグレードが推奨されています。 - 修正: Next.js 16.4.1 以降
- 参考: GHSA-673q-mjm6-r5xr
Next.js: Image Optimization API の未認証RCE（CVE-2026-96889）
- CVSS: v4.0
AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H - 影響: Next.jsのImage Optimization機能がSVGファイルを処理する際、依存ライブラリ（sharp）のメモリ関連の不具合によりRCEが発生し得ます。glibcベースのLinux上で実行している場合が対象です。
- 修正: Next.js 15.5.28 以降、または 16.4.1 以降（
sharp0.35.5 以降を利用） - 参考: GHSA-2464-fhr4-w9xw / NVD
Siemens COMOS バッファオーバーフロー（CVE-2023-24482）
- CVSS: 10.0（Critical）
- 影響: COMOS V10.2〜V10.4.2.0の各マイナーバージョン（修正版未満）
- 概要: キャッシュ検証サービスにSEH方式のバッファオーバーフローがあり、任意コード実行またはDoSにつながります。産業制御システム（ICS）向け製品のため、該当環境の利用者のみ対象です。
- 参考: Siemens ProductCERT SSA-693110
Apache bRPC の任意コード実行（CVE-2023-31039）
- CVSS: 9.8（Critical）
- 影響バージョン: Apache bRPC <1.5.0
- 概要:
ServerOptions::pid_fileパラメータを操作できる攻撃者が、bRPCプロセス権限で任意コードを実行できます。 - 修正: 1.5.0以降へアップグレード。困難な場合は該当パッチを適用。
- 参考: NVD CVE-2023-31039
SUSE Rancher の権限管理不備（CVE-2023-22647）
- CVSS: 9.9（Critical）
- 影響バージョン: Rancher >=2.6.0 <2.6.13、>=2.7.0 <2.7.4
- 概要: 標準ユーザーがKubernetesシークレットを削除しつつ読み取り権限を保持できる不備を利用し、サービスアカウントトークンへのアクセスに発展する可能性があります。
- 参考: GHSA-p976-h52c-26p6
Mozilla Firefox のメモリ安全性問題（CVE-2023-29531 ほか）
- CVSS: 9.8（Critical）
- 影響バージョン: Firefox <112、Firefox ESR <102.10、Thunderbird <102.10
- 概要: WebGL API経由の境界外メモリアクセスなど、メモリ破壊につながる複数の不具合です（CVE-2023-29542, CVE-2023-34416も同系統）。
- 参考: Mozilla Security Advisory
curl のSFTPパストラバーサル（CVE-2023-27534）
- CVSS: 8.8（High）
- 影響バージョン: curl <8.0.0
- 概要: SFTP実装で
~をパスの先頭要素として使う際の置換処理に不備があり、/~2/fooのようなパスでフィルタ回避が可能です。 - 参考: HackerOne #1892351
Node.js の権限バイパス・OpenSSLエラー不備（CVE-2023-23918 / CVE-2023-23919）
- CVSS: 7.5（High）
- 影響バージョン: Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3
- 概要: 実験的Permissions機能を
--experimental-policyで有効にしている場合、process.mainModule.require()経由でモジュールアクセス制限を回避できます（CVE-2023-23919はOpenSSLエラースタック処理の不備）。 - 参考: Node.js Security Release
エコシステム別サマリー（npm / OSV）
本日OSVで検出されたnpmエコシステムの16件は、いずれもフロントエンド系フレームワークに関するものです。
- Next.js（4件）: 上記RCE2件のほか、App Router + Server Actionsを狙ったCPU過剰消費によるDoS（修正: 15.5.28 / 16.4.1）、Cache Componentsのネスト
use cache関数でのキャッシュキー不備による情報混在（修正: 16.3.8） - Nuxt（4件）: ルーティングの大文字小文字・パーセントエンコーディングの扱いの差異により
redirect/headers/appMiddleware等のルートルールが回避される問題が複数（CVE-2026-114130〜114133、修正: 4.4.4〜4.6.2系） - Astro（2件）: JSX/MDXの
<script>/<style>タグ内の動的値エスケープ漏れによるXSS（修正: 7.3.2）、View TransitionsのCSSインジェクション（修正: 7.3.3） - Vite / launch-editor（6件）: 開発サーバーのクロスオリジンスクリプト実行、
server.fs.allow設定外のファイル読み取り2件、Windows環境でのエディタ起動時のコマンド解釈問題3件（修正: vite 6.4.4〜8.3.3系、launch-editor 2.14.2）。いずれも開発環境（dev server）が外部ネットワークに公開されている場合に主に影響します。
GHSA更新217件の傾向
GHSA側は個別の脆弱性説明が未整備のスタブデータが中心ですが、参照URLから傾向を分類できます。
- Linuxカーネル関連: 約102件（47%）。
git.kernel.orgのstableツリーへのバックポートが中心で、個別の実害評価には追加調査が必要です。 - Oracle月例CPU（2026年10月）関連: 約41件（19%）。Oracle Critical Patch Update October 2026に対応する一括登録です。
- WordPressプラグイン関連: 約36件（17%）。
patchstack.com/wpscan.comを参照するプラグイン個別の脆弱性（XSS・SQLインジェクション・アクセス制御系が中心）です。
まとめ
本日最も優先度が高いのはNext.jsの未認証RCE2件（use cache 経由、Image Optimization API経由）です。App RouterやCache Componentsを利用している場合、該当機能の有無に関わらずアップグレードの検討を推奨します。NVD・GHSAの更新分は既存CVEの再評価やICS専用製品・Linuxカーネルのバックポートが中心で、一般的なWebサービス運用への直接的な影響は限定的です。curlやNode.jsを古いバージョンで運用している場合は、あわせてバージョンの確認をおすすめします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。