本日はNVDで805件のCVEが更新され、うちCriticalが18件、Highが90件と非常に多い一日でした。もっとも深刻なのはGitLab CE/EEの未認証RCE（CVE-2026-97229、CVSS 10.0）で、CI/CD設定の正規表現検証不備が原因です。Windows・PHP・FreeIPA・HPE Aruba・Oracleでも複数のCritical/High脆弱性がまとめて公開されており、幅広い確認が必要です。
本日の概要
| 指標 | 数値 |
|---|---|
| 本日のCVE更新件数（NVD） | 805件 |
| Critical（9.0以上） | 18件 |
| High（7.0〜8.9） | 90件 |
| Medium（4.0〜6.9） | 67件 |
| Low以下／評価未確定 | 25件 |
| OSV検出（npm） | 3件 |
| GHSA同期件数 | 331件 |
※ Critical〜Low以下の内訳（200件）はNVDが詳細スコアを保持する上位件数です。残りはMedium以下が中心です。
Critical/High 脆弱性の詳細解説
GitLab CE/EE の未認証RCE（CVSS 10.0）— CVE-2026-97229
CWE-190（整数オーバーフロー）。GitLab CE/EEのCI/CD設定に特殊な正規表現を仕込むと、正規表現の検証不備により未認証の攻撃者がGitLabサーバ上で任意コードを実行できる状態でした。影響バージョンは19.2系19.2.8未満、19.3系19.3.5未満、19.4系19.4.2未満です。19.2.8 / 19.3.5 / 19.4.2 以降へのアップデートを推奨します。 NVD / GitLabパッチリリース情報
Intel DCAP の情報漏えい（CVSS 10.0）— CVE-2026-20702
CWE-693（保護機構の不備）。Intel Data Center Attestation Primitives（DCAP）に、ネットワーク経由かつ特殊な内部知識があれば認証不要・ユーザー操作不要で情報漏えいにつながる保護機構の不備があります。Intelのセキュリティアドバイザリ（intel-sa-01449）で対象環境を確認し、提供されるアップデートの適用を推奨します。 NVD
PHP のメモリ管理不備によるRCE（CVSS 9.8 / 8.1）— CVE-2026-109618 ・ CVE-2026-109619
PHPがメモリ不足（OOM）エラー時にlongjmp()で処理を中断する際、一部のコンテキストでリクエストメモリの初期化が不十分なまま後続処理が走り、未初期化・解放済みメモリを参照してしまう不備です。複数の経路から再現可能で、リモートコード実行（RCE）に至る可能性があります。php-srcの公式セキュリティアドバイザリを確認し、修正済みバージョンへの更新を推奨します。 NVD
Windows 定例更新内の Critical RCE 3件（CVSS 9.8）
CVE-2026-83770（Text Shapingのヒープバッファオーバーフロー）、CVE-2026-83780（CCFFilterドライバのUse-After-Free）、CVE-2026-83782（Shellのヒープバッファオーバーフロー）は、いずれもネットワーク経由でコード実行につながる不備です。Microsoftの月例セキュリティ更新で修正されており、Windows Updateの適用を推奨します。 MSRC
FreeIPA の認証バイパス・権限昇格 関連6件（CVSS 9.8〜8.1）
Red Hat FreeIPAで6件のCritical/Highがまとめて修正されました。もっとも深刻なCVE-2026-76578（CVSS 9.8）は、自己管理OTPトークンのACIが認証を要求しない不備を突かれると、未認証のLDAPクライアントが管理者グループ相当のKerberosプリンシパルを作成できる状態でした。他にもAD信頼関係でのPAC検証不備による権限昇格（CVE-2026-11861）やパスワードリセット画面のXSS（CVE-2026-18147）が含まれます。該当するRHSAエラータの適用を推奨します。 Red Hat
HPE Aruba Networking AOS-10/AOS-8 の Critical/High 関連9件（CVSS 9.8〜8.2）
HPE Aruba NetworkingのAOS-10/AOS-8で9件のCritical/Highがまとめて公開されました。もっとも深刻なCVE-2026-79853（CVSS 9.8）はCLI経由の情報漏えいが起点となり、取得した情報を使った更なるアクセスにつながる可能性があるとされています。PAPIプロトコルの認証バイパスやバッファオーバーフローも複数含まれます。HPEのセキュリティ勧告（hpesbnw05162）で対象モデルと修正ファームウェアを確認してください。 HPE
Oracle 2026年10月 Critical Patch Update：JD Edwards / PeopleSoft（CVSS 9.1〜8.1）
Oracleの2026年10月Critical Patch Updateで、JD Edwards EnterpriseOne Tools（対象バージョン9.2.0.0〜9.2.26.5）向けに10件、PeopleSoft Enterprise PeopleTools（対象バージョン8.61〜8.63）向けに1件、CVSS 8.1〜9.1の脆弱性が公開されています。もっとも深刻なCVE-2026-91265（CVSS 9.1）は、未認証でHTTP経由の攻撃によりデータの改ざん・削除が可能になるというものです。2026年10月のCPUパッチの適用を推奨します。 Oracle
エコシステム別サマリー
OSVでは本日npmエコシステムで3件の脆弱性が確認されました。
- Nuxt（CVE-2026-119200）: 4.6.0以降でリクエストパスのドットセグメント処理の不備により、
server/middlewareやルートルールでのパスチェックを回避できる状態でした。修正: 4.6.3。 - Vite（CVE-2026-118662）: クエリ付きリクエストで
server.fs.denyの禁止設定を回避し、拒否対象ファイルの内容を取得できる不備。修正: 6.4.5。 - Vite（CVE-2026-53571）: Windows環境の代替パス表記で同様に
server.fs.denyを回避できる不備。修正: 8.0.16 / 7.3.5 / 6.4.3。
いずれも開発サーバーを--host等で外部公開している場合に影響する点が共通しています。
JVN 日本語情報
本日のJVN（MyJVN）データはありません。
まとめ
本日はCriticalが18件・Highが90件と多い一日でした。特にGitLabの未認証RCE（CVSS 10.0）は影響範囲が広く、CI/CDパイプラインを運用している場合は優先的な確認を推奨します。Windows・PHP・FreeIPA・HPE Aruba・Oracleの各ベンダーでもまとめて複数の脆弱性が公開されているため、該当製品を利用している場合は今回の一覧を起点に対応状況を確認してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。