本日時点でCVEが200件（Critical 23件、High 76件）確認されています。最も深刻なのはFortinet FortiMailのパストラバーサル脆弱性（CVE-2026-104286、CVSSスコア9.8）で、CISAの既知の悪用脆弱性カタログ（KEV）に追加済みです。Adobe Commerce（Magento）やNext.jsなど広く使われる製品にも緊急度の高い脆弱性があり、優先的な対応を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 200件 |
| Critical (9.0+) | 23件 |
| High (7.0-8.9) | 76件 |
| Medium (4.0-6.9) | 81件 |
| Low/情報 (0-3.9) | 20件 |
| 影響エコシステム | npm |
Critical/High 脆弱性の詳細解説
CVE-2026-104286 — Fortinet FortiMail のパストラバーサル
- CVSSスコア: 9.8（Critical）
- 影響を受けるソフトウェア: FortiMail 8.0.0、7.6.0〜7.6.5、7.4.0〜7.4.7、7.2.0〜7.2.9、7.0系全バージョン
- 概要: 不正なパス指定（パストラバーサル）により、認証なしでHTTP/HTTPSリクエストから任意のファイルをシステム上に書き込める脆弱性です。CISAのKEVに追加されており、実環境での悪用が確認されています。
- 対応: Fortinet公式アドバイザリ（FG-IR-26-175）の修正バージョンへ速やかに更新してください。
- 参考: NVD
CVE-2026-48356 — Adobe Commerce（Magento）の危険なファイルアップロード
- CVSSスコア: 9.3（Critical、Scope: Changed）
- 影響を受けるソフトウェア: Adobe Commerce（詳細は公式アドバイザリAPSB26-73を参照）
- 概要: 危険な種別のファイルを無制限にアップロードできる不備があり、被害者が悪意あるURLにアクセスするなどの操作を通じて、現在のユーザー権限でのコード実行につながる可能性があります。CISAのKEVに追加され、実際に大規模な攻撃が観測されています。
- 対応: Adobe公式アドバイザリAPSB26-73の修正パッチを適用してください。
- 参考: NVD
Next.js の重大な脆弱性2件（use cache のRCE／画像最適化APIのRCE）
- 深刻度: いずれもCritical相当（CVSS4.0ベース）
- 影響を受けるソフトウェア:
next16.4.1未満（use cacheのRCE）、next15.5.28未満および16.4.1未満（画像最適化APIのRCE、CVE-2026-96889） - 概要: App Routerで複数の型付き配列を返す
use cache関数を持つアプリは、認証なしでリモートコード実行につながる可能性があります。もう一方は、glibc系Linux上でSVGファイルを扱う画像最適化APIを通じた未認証RCEです。 - 対応:
nextを各修正バージョン以降へ更新。画像最適化APIの問題はsharpを0.35.5以上にすることでも緩和されます。 - 参考: GHSA-673q-mjm6-r5xr / GHSA-2464-fhr4-w9xw
Firefox / Thunderbird のメモリ破損関連脆弱性群（CVE-2026-74987 ほか）
- CVSSスコア: 9.8（Critical、複数件）
- 影響を受けるソフトウェア: Firefox 153まで、Firefox ESR各系列、Thunderbird各系列（詳細はMFSA2026-74〜78を参照）
- 概要: Mozilla社内で見つかった複数のメモリ破損関連の疑いがあるバグ群で、十分な労力があれば悪用可能と推定されています。
- 対応: Firefox 154、Firefox ESR 140.14/153.1、Thunderbird 154等への更新を推奨します。
- 参考: Mozilla Security Advisories
CVE-2024-51092 — LibreNMS のOSコマンドインジェクション
- CVSSスコア: 9.1（Critical）
- 影響を受けるソフトウェア: LibreNMS 24.10.0未満
- 概要: AboutController・SettingsController・PollDeviceの処理を経由し、リモートから任意コードを実行できる脆弱性です。
- 対応: 24.10.0以降へアップデートしてください。
- 参考: GHSA-x645-6pf9-xwxw
CVE-2024-11080 — WordPress「Post Grid」プラグインのフック・インジェクション
- CVSSスコア: 9.8（Critical）
- 影響を受けるソフトウェア: Post Grid and Gutenberg Blocks – ComboBlocks 2.2.32〜2.3.1
- 概要: 未認証の攻撃者がWordPressのフック経由でアクションを実行できる脆弱性です。他のセキュリティ制御がない場合、影響は広範囲に及びます。
- 対応: 2.3.1より新しい修正バージョンへの更新を推奨します。
- 参考: Wordfence
CVE-2026-62146 — CRI-O のコンテナエスケープ
- CVSSスコア: 7.8（High）
- 影響を受けるソフトウェア: CRI-O（Kubernetesのコンテナランタイム）
- 概要: サンドボックス状態の永続化に信頼境界の不備があり、再起動後のコンテナ再作成時にホスト側のリソースがコンテナ内に露出し、コンテナエスケープにつながる可能性があります。Kubernetes環境を運用している場合は影響範囲を確認してください。
- 対応: Red Hatアドバイザリ（RHSA-2026:89713）に従い修正版へ更新してください。
- 参考: GHSA-6wmc-5877-hgc9
エコシステム別サマリー（npm）
本日のOSVデータでは、npmエコシステムで11件の脆弱性が報告されています。主要フレームワークに集中しているのが特徴です。
- Next.js: RCE2件（上述）に加え、Server Actionsを使うApp Routerで過剰なCPU負荷を招くDoS（
next15.5.28/16.4.1未満で修正） - Nuxt: ルートルールの大文字小文字・パーセントエンコードによるバイパス、
useHeadSafeのサニタイズ漏れ、NuxtLink経由のjavascript:URL実行など4件 - Astro:
<script>/<style>タグ内の未エスケープによるXSS、View TransitionsでのCSSインジェクション - Vite: Windows環境で
server.fs.denyの制限をバイパスしファイル内容が読み取れる不備
いずれも開発用サーバーや本番ビルドで使われる主要なJavaScriptフレームワークです。該当バージョンを使用している場合は早めのアップデートを推奨します。
JVN日本語情報
本日のデータにはMyJVN（日本語脆弱性情報）のファイルが含まれていないため、該当する情報はありません。
まとめ
本日はCriticalが23件と多めで、特にFortinet FortiMailとAdobe CommerceはCISAのKEVに追加されており実際の攻撃が確認されています。これらの製品を利用している場合は最優先で確認・対応してください。また、Next.js・Nuxt・Astro・Viteといった主要なJavaScriptフレームワークにも複数の脆弱性が報告されているため、フロントエンド開発を行っているチームも影響バージョンの確認を推奨します。Linux kernelやCRI-Oなど基盤インフラ側の脆弱性も含まれているため、優先度をつけた計画的な対応をおすすめします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。