本日はNVD・GHSA・OSVのデータでCVE情報200件を確認し、うちCriticalが52件、Highが93件でした。特に注目すべきは、信頼できないコードの実行分離に使われるNode.jsライブラリ「vm2」で複数のサンドボックス脱出(CVSS9.8)が確認されたこと、テンプレートエンジン「Twig」でPHPコード注入(CVSS9.8)が見つかったことです。いずれも広く依存される基盤系ソフトウェアのため、確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| 収録CVE | 200件 |
| Critical (9.0+) | 52件 |
| High (7.0-8.9) | 93件 |
| Medium (4.0-6.9) | 46件 |
| Low (0-3.9) | 1件 |
| GHSA アドバイザリ | 1,552件（うち詳細記載80件超） |
| 影響エコシステム | npm, PyPI, Maven, Go, NuGet, Packagist |
Critical/High 脆弱性の詳細解説
CVE-2026-44008 / CVE-2026-44009：vm2のサンドボックス脱出
CVSSスコア: 9.8（Critical）
Node.jsのサンドボックスライブラリ「vm2」の3.11.2より前のバージョンで、複数のサンドボックス脱出手法が確認されました。neutralizeArraySpeciesBatchメソッドやNullプロトタイプ例外処理の不備を利用し、サンドボックス外のホストオブジェクトにアクセスされ、ホスト側で任意のコマンドが実行される可能性があります。vm2は開発が停止しているため、修正バージョン3.11.2への更新に加えて、isolated-vm等の別のサンドボックス実装への移行を検討してください。
CVE-2026-46633：Twigのテンプレート名によるコード注入
CVSSスコア: 9.8（Critical）
PHPのテンプレートエンジン「Twig」で、1.15.1以降3.26.0より前のバージョンに脆弱性が見つかりました。{% use %}タグで指定したテンプレート名がコンパイラ内でシングルクオートをエスケープされずPHP文字列リテラルに展開されるため、文字列を終端させて任意のPHP式をコンパイル済みキャッシュファイルへ注入できます。3.26.0で修正されています。Symfony等のフレームワーク経由で利用しているケースも多く、確認を推奨します。
CVE-2026-57156：FreeRDPの整数オーバーフロー
CVSSスコア: 9.8（Critical）
リモートデスクトッププロトコル(RDP)クライアント実装「FreeRDP」の32bitビルドで、update_read_delta_points関数内の整数オーバーフローが確認されました。悪意あるRDPサーバーに接続すると、ヒープバッファが過小に確保された状態で書き込みが発生する恐れがあります。3.28.0で修正されています。
CVE-2026-30871 / CVE-2026-30872：OpenWrtのmdnsデーモンのバッファオーバーフロー
CVSSスコア: 9.8（Critical）
組み込みLinux向けディストリビューション「OpenWrt」で、mDNSデーモンがPTRクエリ（逆引きDNS）を処理する際にスタックベースのバッファオーバーフローが発生する脆弱性です。UDP5353番ポートで受信するマルチキャストDNSパケットの処理経路から到達可能で、クラフトされたDNSパケットによりリモートコード実行につながる恐れがあります。24.10.6および25.12.1で修正されています。
CVE-2026-39892：Python cryptographyのバッファオーバーフロー
CVSSスコア: 9.8（Critical）
Pythonの暗号ライブラリ「cryptography」の45.0.0以降46.0.7より前のバージョンで、Hash.update()等のAPIに非連続（non-contiguous）バッファを渡した場合にバッファオーバーフローが発生する脆弱性が見つかりました。46.0.7で修正されています。
CVE-2026-61186：Oracle Agile Engineering Data Managementの脆弱性
CVSSスコア: 9.4（Critical）
Oracle Agile Engineering Data Management 6.2.1に、未認証の遠隔攻撃者がHTTP経由でデータの改ざん・削除やサービス停止を引き起こせる脆弱性が確認されています。該当製品を利用している場合は、Oracleのセキュリティアラートに従ったパッチ適用を推奨します。
CVE-2026-27876：Grafanaの連鎖的RCE
CVSSスコア: 9.1（Critical）
Grafanaで、実験的機能「SQL Expressions」とGrafana Enterpriseプラグインを組み合わせた連鎖攻撃によりリモートコード実行が可能になる脆弱性です。sqlExpressions機能トグルを有効化している環境のみが対象で、11.6系・12.0〜12.4系の各マイナーバージョンで修正版が提供されています。v13.0.0以降は本脆弱性の対象外です。
CVE-2026-45688 / CVE-2026-45689：Rocket.ChatのNoSQLインジェクション
CVSSスコア: 9.1（Critical）
チャットツール「Rocket.Chat」で、CASログインハンドラおよびOAuth2の/oauth/tokenエンドポイントが、受け取ったパラメータの型チェックを行わずMongoDBのクエリに渡してしまう脆弱性です。NoSQLインジェクションによりCASチケットチェックのバイパスやOAuthアクセストークンの奪取が可能で、未認証・事前アカウント不要で成立します。8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7, 7.10.11で修正されています。
エコシステム別サマリー
本日はOSVデータでnpmエコシステムの3件を確認しました。いずれもフロントエンド開発でよく使われるツールチェーンに関するものです。
- CVE-2026-45109（Next.js）: CVSS 7.5。過去に修正された
middleware.tsのミドルウェア/プロキシバイパス（CVE-2026-44575）が、Turbopack使用時には適用されていなかったことが判明しました。15.5.18・16.2.6で修正。 - CVE-2026-119200（Nuxt）:
.や..のドット区切りセグメント（パーセントエンコード含む）がページレンダリング時に解決される一方、server/middlewareやルートルールでは未解決のままチェックされるため、パスベースのアクセス制御をバイパスできます。4.6.3で修正。 - CVE-2026-118662（Vite）: 開発サーバーを
--host等でネットワークに公開している場合、server.fs.denyで拒否したファイルの内容をクエリパラメータの工夫で読み取れる脆弱性です。6.4.5で修正。
GHSAでは1,552件のアドバイザリを確認しましたが、大半はGoogle ChromeやApple製品の大量のバージョンアップに伴うCVE番号のみのスタブで、詳細な記載があるものは80件程度でした。その中では、Apache Tomcat・Apache ActiveMQ（Maven）、vm2・flowise・protobufjs（npm）、PyTorch・NLTK・prefect・feast（PyPI）に関するアドバイザリが目立ちました。
まとめ
本日はCriticalが52件と多めで、中でもvm2のサンドボックス脱出とTwigのコード注入は、基盤的に広く依存されるライブラリであるため影響範囲が広くなりやすい点に注意が必要です。vm2は開発が停止しているプロジェクトのため、修正バージョンへの追従だけでなく、別実装への移行計画も合わせて検討することを推奨します。その他のCriticalも含め、お使いの環境に該当するソフトウェアがあれば、影響バージョンを確認のうえ早めの対応をご検討ください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。