本日は新規CVEが200件公開・更新され、うちCriticalが13件、Highが104件です。特にNext.jsのCache Componentにおける未認証RCE（GHSA-673q-mjm6-r5xr）と、Firefox/Thunderbirdの緊急パッチ（CVSSスコア9.8）が注目されます。フロントエンドにNext.jsを利用している場合は優先的に確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE (NVD) | 200件 |
| Critical (9.0+) | 13件 |
| High (7.0-8.9) | 104件 |
| Medium (4.0-6.9) | 70件 |
| Low (0.1-3.9) | 13件 |
| GHSA Advisory | 292件（Critical 19 / High 63） |
| OSV (npm) | 16件 |
| 影響エコシステム | npm, PyPI, Maven, NuGet, Packagist, Go, RubyGems |
Critical/High 脆弱性の詳細解説
Next.js: Cache Componentにおける未認証RCE（GHSA-673q-mjm6-r5xr）
App RouterでCache Componentを有効にし、複数の型付き配列を返す use cache 関数を持つアプリケーションで、未認証のリモートコード実行が可能になる脆弱性です。回避策はなく、該当する関数の有無にかかわらずアップデートが推奨されています。修正版は next 16.4.1以降です。
Next.js: Image Optimization APIのSVG処理における未認証RCE（CVE-2026-96889）
Image Optimization APIがglibc系Linux上で動作し、SVGファイルを処理する際、依存ライブラリ sharp の脆弱性を通じて未認証のリモートコード実行が可能になります。sharp 0.35.5以降であれば回避可能ですが、確実な対策は Next.js 自体のアップデートです。修正版は next 15.5.28 または 16.4.1以降です。
CVE-2026-6760 / CVE-2026-6768: Firefox/Thunderbird のCookie保護機構のバイパス（CVSS 9.8）
Networking: Cookiesコンポーネントにおける保護機構のバイパスで、2件とも同日にCVSSスコア9.8として公開されています。Firefox 150、Thunderbird 150でそれぞれ修正済みです。詳細な攻撃条件は非公開ですが、深刻度の高さから早急な更新を推奨します。
CVE-2026-5964: Digiwin EasyFlow .NET のSQLインジェクション（CVSS 9.8）
台湾Digiwin社のEasyFlow .NETに、未認証の遠隔攻撃者がSQLコマンドを注入できる脆弱性です。データベースの読み取り・改ざん・削除が可能になるため、該当製品を利用している場合はベンダー公告の確認が必要です。
CVE-2026-32956: シーラックス SD-330AC / AMC Manager のヒープバッファオーバーフロー（CVSS 9.8, JVN掲載）
リダイレクトURLの処理においてヒープベースのバッファオーバーフローが発生し、任意コード実行につながる可能性があります。JVNにも掲載されている国内関連製品のため、該当機器を利用している場合は優先的に確認してください。
CVE-2026-40088: PraisonAI のシェルコマンドインジェクション（CVSS 9.6）
マルチエージェントAIフレームワーク PraisonAI で、ワークフローやYAML定義、LLMが生成したツール呼び出し経由でシェルコマンドを注入できる脆弱性です。AIエージェント基盤を運用している場合は特に注意が必要です。4.5.121以降で修正済みです。
CVE-2026-26026: GLPI のテンプレートインジェクションによるRCE（CVSS 9.1）
IT資産管理ソフトウェアGLPIで、管理者権限を持つユーザーによるテンプレートインジェクションがRCEにつながる脆弱性です。11.0.0以上11.0.6未満が対象で、11.0.6で修正されています。
CVE-2026-33943: Happy DOM のコードインジェクションによるRCE（CVSS 8.8）
テストで広く使われるHappy DOMで、ESモジュールのコンパイル時にサニタイズ漏れがあり、任意JavaScriptが実行可能になります。15.10.0以上20.8.7以下が対象で、20.8.8で修正されています。CIやテスト環境でhappy-domを利用している場合は確認を推奨します。
certifi: 侵害された中間CA鍵を含むルート証明書を同梱（Critical, GHSA-6q48-6c7w-9gw2）
Pythonのほぼ全てのHTTPSクライアントが依存するcertifiに、侵害されたemSignの中間CA鍵を含むルート証明書が同梱されていた問題です。サプライチェーン全体への影響が大きく、2026.10.18以降へのアップデートを推奨します。
その他の注目Critical
- Totolink A7100RU（CVE-2026-6154 / CVE-2026-6155, いずれもCVSS 9.8）: CGIハンドラのOSコマンドインジェクションで、公開済みのエクスプロイトが存在します。該当ルーターの利用有無を確認してください。
- Google Chrome 147.0.7727.101未満（CVE-2026-6299, 6300, 6307, 6360ほか, CVSS 8.8-8.3）: Prerender・CSS・TurbofanなどのUse-After-Free/Type Confusionが複数修正されています。自動更新を確認してください。
- Apache CXF（GHSA-xw5h-cmh3-8j6j, Critical相当）: XML外部エンティティ参照の不備で、
org.apache.cxf:cxf-core4.2.2 / 4.1.7 / 3.6.12で修正されています。
エコシステム別サマリー（OSV / GHSA）
- npm: Next.js（RCE 2件・キャッシュリーク・DoS）、Nuxt（ルーティング関連4件）、Astro（XSS・CSS注入）、Vite / launch-editor（開発サーバー関連の複数件）
- PyPI: certifi（CA証明書問題）、aiohttp、wger（複数の権限管理不備）、pyload-ng、wagtail、open-webui
- NuGet: SixLabors.ImageSharp（TIFF/ICC処理の複数のバッファ関連脆弱性、6件）
- Maven: Apache CXF（XXE）、Apache Log4j 1→2ブリッジ、Keycloak（SAML検証不備）
- Packagist: Dolibarr（LFI）、Grav（CSRF・コールバック検証不備）
- Go / RubyGems: Talos Linux（サポートバンドルの認証情報漏えい）、kobako（サンドボックスエスケープ）
JVN日本語情報
本日のMyJVNデータの取得はありませんが、NVDデータ中に以下のJVN掲載製品が含まれています。
- シーラックス SD-330AC / AMC Manager（CVE-2026-32956, JVNVU94271449）: 上記の通りヒープバッファオーバーフローでCVSS 9.8。
- 富士電機 V-SFT 6.2.10.0以下（CVE-2026-32925, JVNVU90448293, CVSS 7.8）: V7ファイルを開く際のスタックバッファオーバーフロー。クラフトされたファイルを開くことで任意コード実行につながる可能性があります。
まとめ
本日はNext.jsの未認証RCE2件とFirefox/ThunderbirdのCVSS 9.8パッチが並び、フロントエンド・ブラウザ双方で優先度の高い対応が求められる日でした。加えてcertifiのCA証明書問題はPythonエコシステム全体に影響するサプライチェーン上の懸念であり、依存関係の更新を推奨します。該当する製品・ライブラリを利用している場合は、まず影響バージョンの有無を確認し、パッチ適用の優先順位を判断してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。