本日はNVDで更新のあったCVEが200件、うちCriticalが10件、Highが65件でした。最も深刻なのはApache CXFのXXE脆弱性CVE-2026-49875（CVSS 9.8）で、企業向けWebサービス基盤での利用が多く、早めの確認が推奨されます。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 200件 |
| Critical (9.0+) | 10件 |
| High (7.0-8.9) | 65件 |
| Medium (4.0-6.9) | 57件 |
| Low (0-3.9) | 3件 |
| CVSS未評価 | 65件 |
| 影響エコシステム | npm, PyPI, Go, Maven, crates.io ほか |
Critical/High 脆弱性の詳細解説
Apache CXFのXXE脆弱性 CVE-2026-49875
- CVSSスコア: 9.8（Critical）
- 影響バージョン: Apache CXF <4.2.2 / <4.1.7 / <3.6.12
- 概要:
EndpointReferenceUtilsとW3CMultiSchemaFactoryがJAXPのハードニング設定なしでSAXParserFactoryを生成しており、外部エンティティの解決（XXE）が可能な状態でした。SOAP/Webサービスのエンドポイントを公開している環境では、内部ファイルやネットワーク情報が読み取られる可能性があります。 - 修正: 4.2.2 / 4.1.7 / 3.6.12 以降へのアップデートが推奨されます。
- 参考: NVD
Eclipse Equinox OSGiコンソールのRCE CVE-2023-54342 / CVE-2023-54344
- CVSSスコア: 9.8（Critical）
- 影響バージョン: Equinox OSGi 3.8〜3.18（CVE-2023-54342）、3.7.2以前（CVE-2023-54344）
- 概要: OSGiコンソールのtelnetインターフェースに未認証でアクセスできる状態の場合、forkコマンド機能を通じて任意のコードを実行できる可能性があります。
- 対応: データ上に明確な修正バージョンの記載はありません。OSGiコンソールを外部に公開しないよう設定を見直すか、最新のEquinoxへの更新を検討してください。
- 参考: NVD
GL.iNetルーターの認証バイパス CVE-2023-46453
- CVSSスコア: 9.8（Critical）
- 影響機種: GL-MT3000, GL-AR300M, GL-B1300, GL-AX1800, GL-AR750S, GL-MT2500, GL-AXT1800, GL-X3000, GL-SFT1200（4.3.7ファームウェア）
- 概要: ユーザー名欄にSQL文と正規表現を兼ねる文字列を入力することで認証をバイパスし、管理者権限を取得できる可能性があります。
- 対応: データ上に修正ファームウェアの記載はありません。ベンダーの公式サポート情報で該当機種のファームウェア更新状況を確認してください。
- 参考: NVD
SequenceServerのコマンドインジェクション CVE-2024-42360
- CVSSスコア: 9.8（Critical）
- 影響バージョン: SequenceServer <3.1.2
- 概要: HTTPエンドポイントの入力・クエリパラメータの検証が不十分で、意図しないシェルコマンドが実行される可能性があります。
- 修正: 3.1.2以降へのアップデートが推奨されます。
- 参考: NVD
libxml2のuse-after-free CVE-2025-49794
- CVSSスコア: 9.1（Critical）
- 概要: XPath要素の解析時、schematronの
<sch:name path="..."/>要素が絡む条件でuse-after-freeが発生する可能性があります。libxml2を利用するアプリケーションがクラッシュする、あるいは未定義の動作を引き起こす恐れがあります。 - 対応: 利用しているディストリビューションのlibxml2パッケージが最新化されているか確認してください（Red Hatなど各社からパッチ提供済み）。
- 参考: NVD
Linuxカーネル ksmbdのスラブ領域外アクセス CVE-2023-54203
- CVSSスコア: 9.1（Critical）
- 概要: SMB1マウント失敗時の処理で、ksmbdがSMB2用のレスポンスヘッダ生成関数を誤って呼び出してしまい、スラブ領域外アクセスが発生する不具合です。
- 対応: ksmbdを有効化している環境では、修正コミットを含む最新のLinuxカーネルへの更新を推奨します。
- 参考: NVD
XWikiのクロスサイトスクリプティング CVE-2023-32070
- CVSSスコア: 9.0（Critical）
- 影響バージョン: XWiki Platform <14.6-rc-1
- 概要: HTMLレンダリング時に危険な属性・属性値のチェックが行われておらず、属性やリンクURL経由でXSS攻撃が可能な状態でした。
- 修正: 14.6-rc-1以降へのアップデートが推奨されます。回避策は確認されていません。
- 参考: NVD
その他の注目High脆弱性
- CVE-2024-3727（CVSS 8.3）:
github.com/containers/imageライブラリに、認証済みレジストリへの意図しないアクセスを引き起こす不具合。PodmanやBuildahなどのコンテナツール経由で利用している場合は確認を推奨します。 - CVE-2023-0698（CVSS 8.8）: Chrome 110.0.5481.77より前のWebRTC実装における境界外読み取り。ブラウザの自動更新状況を確認してください。
エコシステム別サマリー
OSVではnpmのVite dev server関連で2件の更新があり、server.fs.deny による制限がクエリパラメータ経由で回避できる不具合（Moderate相当）です。開発サーバーを--hostなどで外部公開している場合のみ影響するため、通常の開発利用では優先度は低めです。
GitHub Advisory Databaseでは本日時点で828件のアドバイザリが更新され、うちCriticalが45件、Highが270件でした。エコシステム別ではnpm(100件)、PyPI(46件)、Go(37件)、Maven(14件)、crates.io(10件)の順に件数が多く、特に以下が目立ちます。
- npm:
nodejs-whisperにOSコマンドインジェクション（音声ファイルパス経由、修正版0.4.0） - Go:
labstack/echoでWebSocketアップグレード時にルート単位のアクセス制御がバイパスされる不具合（修正版v4.16.1 / v5.4.1） - crates.io:
zipクレートにヘッダ不整合を利用したファイル上書き・RCEの恐れ（修正版9.0.5） - PyPI:
brotli/brotlicffiにデコーダの境界外書き込み（修正版1.2.1 / 1.2.1.0）
JVN日本語情報
本日はJVN（日本語脆弱性情報）のデータはありません。
まとめ
本日はCriticalが10件（NVD）とやや多めで、Apache CXFのXXE脆弱性は企業のSOAP/Webサービス基盤で広く使われているため優先的な確認を推奨します。Eclipse Equinox OSGiのRCEやGL.iNetルーターの認証バイパスなど、修正バージョンの明記がないCVEについてはベンダーの公式情報を確認の上、対応を検討してください。npm・PyPI・Goエコシステムでも実運用に影響しうるアドバイザリが複数公開されているため、依存パッケージの棚卸しを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。