本日はNVDで新規・更新のCVEが220件公開され、うちCriticalが32件、Highが87件です。最も深刻なのはGitLab CE/EEの認証不要RCE（CVSS10.0）で、CI/CD設定内の正規表現だけでサーバを乗っ取られる恐れがあります。Adobe Experience Manager・SAP Cloud SDK・PHPにも緊急度の高い脆弱性が複数公開されており、対象ソフトウェアの利用者は早急な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規・更新CVE（NVD） | 220件 |
| Critical (9.0+) | 32件 |
| High (7.0-8.9) | 87件 |
| Medium (4.0-6.9) | 84件 |
| OSSアドバイザリ（GHSA） | 554件（Critical 69件・High 216件） |
| 影響エコシステム | npm, PyPI, Go, Maven, crates.io, Packagist, GitHub Actions |
Critical / High 脆弱性の詳細解説
GitLab CE/EEに認証不要のリモートコード実行（CVE-2026-97229ほか、CVSS最大10.0）
GitLab CE/EEのCI/CD設定内で特別に作成した正規表現を検証不備が原因で、未認証の攻撃者がGitLabサーバ上で任意のコードを実行できる脆弱性が公開されました（CVE-2026-97229、CVSSスコア10.0）。関連して、認証済みユーザーが同様の手口でコード実行を引き起こせる脆弱性（CVE-2026-89078、CVE-2026-93577、いずれもCVSSスコア9.9）も同時に修正されています。
影響バージョン: 19.2 < 19.2.8、19.3 < 19.3.5、19.4 < 19.4.2（関連CVEも概ね同じ19.2〜19.4系が対象）。
対応: 該当する最新パッチバージョンへのアップデートを推奨します。 参考: GitLabパッチリリース / NVD
Adobe Experience Managerに複数のCriticalな認可不備（CVSS 9.3〜10.0）
Adobe Experience Managerで、不適切な認可（Incorrect Authorization）に起因し、ユーザー操作なしで任意コード実行につながる脆弱性が複数公開されました（CVE-2026-48382・CVE-2026-48383はCVSSスコア10.0、CVE-2026-75732はCVSSスコア9.9）。反射型XSSのCVE-2026-83662（CVSSスコア9.3）も同時に修正されています。いずれもAdobeの定例パッチ（APSB26-152）でまとめて対応されています。
対応: APSB26-152記載のバージョンへのアップデートを推奨します。 参考: Adobeセキュリティ公告 APSB26-152
SAP Cloud SDK for PythonにOAuth2のSSRF（CVE-2026-89111、CVSS 10.0）
マルチテナントのBTPアプリケーションにおいて、tenant_subdomainパラメータを攻撃者が制御できる場合、OAuth2のトークン取得リクエストを攻撃者のサーバへリダイレクトさせ、クライアント資格情報を窃取できる脆弱性です。
対応: SAPのセキュリティパッチデイの情報に従い、該当SDKを最新版へ更新してください。 参考: SAP Security Patch Day / NVD
PHPのOOMエラー処理に起因するリモートコード実行（CVE-2026-109618、CVSS 9.8）
PHPがメモリ不足（OOM）発生時にlongjmp()で処理を中断する際、一部のコンテキストでメモリが未初期化のまま残り、リクエスト終了処理がそのメモリを読み取る・分岐に使うことでRCEにつながる脆弱性です。複数のOOM発生パターンから再現できるとされています。
対応: 利用しているPHPディストリビューションのセキュリティアドバイザリに従い、修正版へ更新してください。 参考: PHP security advisory
npmパッケージ expr-eval のPrototype Pollution（CVE-2025-13204、CVSS 9.8）
expr-evalにPrototype Pollutionの脆弱性があり、式評価インターフェースにアクセスできる攻撃者がJavaScriptのプロトタイプベースの継承モデルを悪用して任意コード実行を引き起こせます。後継のexpr-eval-forkで修正されています。
対応: expr-evalからexpr-eval-forkへの移行を検討してください。
参考: NVD
Juniper Junos OSにJ-Web認証バイパスとrpdのバッファオーバーフロー（CVSS 9.8）
J-Webの認証不備により未認証の攻撃者が昇格した権限でCGIコンテンツを実行できる脆弱性（CVE-2026-101986）と、BGPピアからの特定のflow-spec更新でrpdがクラッシュし、場合によっては遠隔コード実行につながるスタックバッファオーバーフロー（CVE-2026-101990）が公開されました。
対応: Juniperのアドバイザリ（JSA112187）記載の修正版へのアップデートを推奨します。 参考: JSA112187
Apache IoTDBに認証バイパスと認証欠落（CVSS 9.8）
Apache IoTDBのThrift RPCサービスで認証バイパス（CVE-2026-58663）と、重要機能に対する認証欠落（CVE-2026-59562）が見つかりました。いずれも2.0.0以上2.0.11未満が対象です。
対応: 2.0.11以降へのアップデートを推奨します。 参考: Apache IoTDB advisory
@fastify/middieでパス限定ミドルウェアがバイパスされる問題（CVE-2026-112712、CVSS 9.1）
Fastify用のExpress風ミドルウェアエンジンである@fastify/middieで、マウントパスとスコープのプレフィックスの結合方法に不整合があり、認証・認可・レート制限などのパス限定ミドルウェアが未認証リクエスト1回で回避される場合があります。9.0.0以上9.3.5以下が対象です。
対応: 9.3.6以降へのアップデート、またはpreHandlerフックでの認可強制を推奨します。
参考: GHSA-5p92-8765-9fv8
エコシステム別サマリー
- npm: Nuxtで
./..セグメントを使ったパスがサーバ側のミドルウェアチェックやルートルールを回避できる問題（CVE-2026-119200、nuxt・@nuxt/nitro-server4.6.3未満）。Viteでもserver.fs.denyで指定したファイルの内容が取得できてしまう問題が2件（CVE-2026-118662、CVE-2026-53571）公開されています。GHSA側ではSignal Kのresources APIパストラバーサル（JWT署名鍵の漏えいからRCEに繋がる恐れ、Critical）や、joiの二次関数的DoS（17.13.9未満）も確認されています。 - PyPI:
pyasn1に複数のDoS脆弱性（BIT STRING・ANYデコード処理での二次関数的CPU消費、0.6.5未満）が公開されています。 - Go:
imgproxyのICOローダに整数オーバーフロー（DoS、場合によりRCEの恐れ、Critical、4.0.16未満）、buildahに任意ディレクトリマウントの問題（1.38.0未満）。 - crates.io:
russhのSSHクライアントでEXT_INFOパケットによる無制限アロケーション（0.65未満）。 - Maven:
mariadb-java-clientでXA recover()のサーバ提供値を無検証で信頼する問題（3.3.7未満）、Keycloakのログに機微なヘッダーが記録される問題（26.5.6未満）。 - GitHub Actions:
pypa/gh-action-pypi-publishで、PyPIのTrusted Publishing/署名検証に使うSigstoreの証明書チェーン失効に関するCritical案件（1.14.3未満）。
JVN日本語情報
本日のJVNデータはありません。
まとめ
本日はGitLab・Adobe Experience Manager・SAP Cloud SDKなど、広く使われる製品にCVSSスコア9.0以上のCritical脆弱性が複数公開される日となりました。特にGitLabの未認証RCEとAdobe AEMの認可不備は影響範囲が広いため、該当製品の利用者は優先的にパッチ適用状況を確認してください。npm・PyPI・Go・crates.ioの各エコシステムでも日常的に使われるパッケージへの修正が続いており、依存関係の定期的な棚卸しを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。