本日はNVDで200件のCVEレコードが更新され（新規公開に加え、既存CVEの再スコアリングも含みます）、うちCriticalが6件、Highが89件です。最も深刻なのはApache AirflowのCVE-2026-33264（CVSS 9.8）で、細工したDAGによりAPI Server / Schedulerプロセス上で任意コードが実行される恐れがあります。GitHub Advisory Databaseでも本日Criticalが45件報告されており、広く組み込まれているBrotliやPodmanにも深刻な欠陥が見つかっています。
本日の概要テーブル
| 指標 | 数値 |
|---|---|
| NVD CVEレコード | 200件 |
| Critical (9.0+) | 6件 |
| High (7.0-8.9) | 89件 |
| Medium (4.0-6.9) | 68件 |
| Low (0.1-3.9) | 10件 |
| 未評価 | 27件 |
| GHSA Critical | 45件 |
| OSV（監視パッケージ対象） | 2件 |
Critical/High 脆弱性の詳細解説
Apache Airflow: DAGデシリアライズに起因するリモートコード実行 CVE-2026-33264
CVSS 9.8（Critical）。BaseSerialization.deserialize() の実装不備により、DAG作成者が細工したシリアライズDAGを仕込むと、SchedulerやAPI Serverのプロセス上で任意コードが実行できてしまいます。apache-airflow 3.3.0以降で修正済みです。DAG作成者の信頼度が低い環境では、allowed_deserialization_classes の許可リストを絞る多層防御も有効です。
Apache Airflow: ドキュメント例に起因するシェルインジェクションとJWT不備 CVE-2026-42252 / CVE-2025-57735
いずれもCVSS 9.1（Critical）。公式ドキュメントの BashOperator サンプルがシェルエスケープなしで dag_run.conf を埋め込んでおり、これを踏襲したDAGはトリガー権限を持つユーザーからのコマンドインジェクションに晒される可能性があります（CVE-2026-42252）。あわせて、ログアウト時にJWTトークンが無効化されない不備（CVE-2025-57735）も修正されました。いずれも apache-airflow 3.2.0以降で解消しています。
protobufjs: protobuf定義のtypeフィールドからのコードインジェクション CVE-2026-41242
CVSS 9.8（Critical）。protobuf定義をJS関数へコンパイルする際、type フィールド経由で任意コードが注入・実行される恐れがあります。npmパッケージ protobufjs の8.0.1・7.5.5・6.11.6未満が対象で、該当バージョンへのアップデートで解消します。
Brotli: デコーダのバッファ外書き込み（"Node2Shell"） — CVE-2026-111497
GitHub Advisory（GHSA-9v8h-qqgm-4m35）でCritical評価。圧縮ライブラリBrotliのデコーダにヒープ外書き込みの欠陥があり、PyPIの brotli（1.2.1未満）・brotlicffi（1.2.1.0未満）にも波及しています。Brotliは多くのWebフレームワークやランタイムに組み込まれているため、依存関係を広めに確認することを推奨します。
Podman: イメージアノテーションによるサンドボックス無効化 — CVE-2026-94603
GitHub Advisory（GHSA-2cvf-wqm6-wr9g）でCritical評価。podman run 実行時に、イメージ側のアノテーション指定でサンドボックス機構の大部分を無効化できる欠陥です。Go版Podmanの5.8.8・6.1.3以降で修正済みです。信頼できないコンテナイメージを実行する環境では優先して確認してください。
PostgreSQL: 配列操作時の整数オーバーフロー CVE-2023-5869
CVSS 8.8（High）。認証済みユーザーが配列値を変更する際の整数オーバーフローにより、サーバーメモリの読み書きを経て任意コード実行につながる可能性があります。各マイナーバージョン系列向けの修正が提供済みです。
Ansible Automation Platform（EDA）: Git／テンプレートインジェクション CVE-2025-49520 / CVE-2025-49521
いずれもCVSS 8.8（High）。EDAコンポーネントがユーザー指定のGit URL・ブランチ名をサニタイズせずに git ls-remote やJinja2テンプレートへ渡しており、認証済み攻撃者がEDAワーカー上でコマンドを実行できる可能性があります。Kubernetes/OpenShift環境ではサービスアカウントトークン窃取にもつながるため注意してください。
TP-Link Tapo: 認証バイパスによる設定変更 CVE-2026-34121
CVSS 8.8（High）。Tapo C520WS／C210のDS設定サービスでJSONリクエストの認可処理に不備があり、未認証の攻撃者が認証不要なアクションを紛れ込ませることで保護された設定変更を実行できてしまいます。ファームウェア提供元のアップデートを確認してください。
そのほかの注目Critical
Autodesk AutoCAD（CVE-2023-29073 / CVE-2023-29074、いずれもCVSS 9.8）のファイル解析時バッファオーバーフロー、MLフィーチャーストアFeastのdillデシリアライズによるコード実行（CVE-2026-18948、GHSA評価Critical）、PHP製ERPのFacturaScripts（SQLインジェクション CVE-2026-45262、パストラバーサル経由RCE CVE-2026-77526、いずれもCritical）など、GitHub Advisory Databaseだけで本日Critical 45件が報告されています。
エコシステム別サマリー
- OSV（監視パッケージ）: npm 2件。Nuxt（GHSA-9v7c-q64q-vv33）はドットセグメント入りパスがミドルウェアのパスチェックをすり抜け、意図しないページが描画される問題で4.6.3で修正。Vite（GHSA-8g5g-mxqh-grgj）は
server.fs.denyで拒否したファイルがクエリ付きリクエストで読み取れる問題で6.4.5で修正。いずれも開発サーバーをネットワーク公開している場合に影響します。 - GHSA（全体）: npm 14件、PyPI 8件、Go 9件、Maven 2件、RubyGems 5件ほか。Critical 45件・High 290件・Moderate 215件・Low 22件・未評価180件（計752件）。
JVN日本語情報
本日はMyJVNの対象データがありません。
まとめ
本日はApache Airflow関連でCritical 3件・High数件がまとまって更新されており、Airflowを運用している場合は優先的な確認を推奨します。あわせて、Brotliのように多くのソフトウェアに組み込まれているライブラリでCriticalな欠陥が見つかっているため、直接使っていないつもりでも依存関係を通じて影響を受けていないか確認してください。PostgreSQLやPodman、Ansible Automation Platformなどインフラ基盤寄りのソフトウェアにもHigh以上の脆弱性が複数あり、パッチ適用計画の優先順位付けが必要な一日です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。