本日はNVDで200件のCVEデータを確認し、Criticalが7件、Highが44件でした。あわせてGHSAでは、コンテナ/VM管理基盤LXD（Canonical）に本日新たに6件のCritical脆弱性が公開されており、ホストへの任意ファイル書き込みやコマンド実行につながるものが含まれます。セルフホストでLXDを運用している環境は優先的な確認を推奨します。
本日の概要
| 指標 | 数値 |
|---|---|
| NVD確認CVE | 200件 |
| Critical (9.0+) | 7件 |
| High (7.0-8.9) | 44件 |
| Medium (4.0-6.9) | 104件 |
| Low/評価なし | 45件 |
| GHSA新規Critical（LXD） | 6件 |
| 影響エコシステム | Go, PyPI, npm, NuGet, Maven, Packagist |
Critical/High脆弱性の詳細解説
OpenSSLの複数のCritical脆弱性（CVE-2024-4741 / CVE-2025-9230 / CVE-2024-5535）
本日のNVD更新で、OpenSSLに関する3件のCVEがCVSS 9.1〜9.8として再確認されました。
- CVE-2024-4741（CVSS 9.8）:
SSL_free_buffersを直接呼び出すアプリケーションでuse-after-freeが発生し得ます。この関数を呼ばない大半のアプリは対象外です。 - CVE-2025-9230（CVSS 9.8）: CMSのパスワードベース暗号化（PWRI）メッセージを復号する際に範囲外の読み書きが発生します。PWRIの利用自体が稀です。
- CVE-2024-5535（CVSS 9.1）:
SSL_select_next_protoを空のクライアントプロトコルリストで呼ぶとメモリ内容が漏洩し得ます。OpenSSL自身は実際のリスクをLowと評価しています。
いずれも対応するOpenSSL修正版へのアップデートで解消します。詳細: NVD
CVE-2025-57631：TDuckCloudのSQLインジェクション（CVSS 9.8）
ファイルアップロードモジュール経由のSQLインジェクションです。v5.1が対象。修正版の提供状況を確認し、アップデートを推奨します。詳細: NVD
CVE-2023-3961：Sambaのパストラバーサル（CVSS 9.1）
クライアントが送るパイプ名のサニタイズ不備により、Unixドメインソケットへrootとして接続できてしまう脆弱性です。ベンダパッチの適用を推奨します。詳細: NVD
CVE-2025-57644：Accela Automation PlatformのRCE/SSRF（CVSS 9.1）
Test Script機能において、認証済みの管理ユーザーが任意のJavaコードを実行可能です。あわせて任意ファイル書き込みとSSRFも確認されています。詳細: NVD
CVE-2025-56795：Mealieの持続的XSS（CVSS 9.0）
レシピ作成機能の note/text フィールドのエスケープ不備です。v3.0.1以前が対象で、アップデートを推奨します。詳細: NVD
LXD（Canonical）に6件のCritical脆弱性
GHSAで本日、コンテナ/VM管理基盤LXDに6件のCritical脆弱性が新規公開されました。いずれも悪意のあるイメージやプロジェクト境界の不備を起点とし、ホスト側への影響が大きいものです。
| CVE | 概要 |
|---|---|
| CVE-2026-48751 | 制限プロジェクトの境界を回避し、任意コマンドを実行可能 |
| CVE-2026-48750 | exec-outputのシンボリックリンクを悪用したホストへの任意ファイル書き込み |
| CVE-2026-48755 | バックアップ圧縮コマンドへの引数インジェクション（任意ファイル書き込み・コード実行） |
| CVE-2026-48752 | templates/のシンボリックリンクによるホストの任意ファイル読み書き |
| CVE-2026-48769 | 信頼済みイメージハッシュの不備によるクライアント側の任意ファイル書き込み |
| CVE-2026-48749 | rootfs/のシンボリックリンクによるホストの任意ファイル読み書き |
いずれもLXD（一部はフォークのIncusにも影響）の修正コミット反映版へのアップデートが必要です。マルチテナントでLXDを運用している環境は優先的に確認してください。詳細: GHSA-47w9-6r3f-938g
広く使われるソフトウェアのHigh脆弱性
- CVE-2023-5178（CVSS 8.8）: Linuxカーネル NVMe/TCPサブシステムのuse-after-free。RCEや権限昇格につながる可能性があります。
- CVE-2024-6387（CVSS 8.1）: OpenSSHの既知の回帰（regreSSHion系）。認証タイムアウト処理のシグナル競合です。
いずれも各ディストリビューションからパッチが提供済みのケースが多いですが、未対応の環境は確認を推奨します。
エコシステム別サマリー
- Go: LXD関連の脆弱性が中心に12件。コンテナ/VM基盤の運用担当者は要確認です。
- PyPI: GeoNodeのOSコマンドインジェクション（CVE-2026-33050）やDjangoの
wordwrapDoS（CVE-2025-26699）など9件。 - npm: Next.jsのMiddleware/Proxyバイパスの修正漏れ（CVE-2026-45109）。v15.5.18またはv16.2.6で修正されています。
- NuGet: ImageMagickのQ8/Q16バインディング（Magick.NET）、PCDファイル処理の範囲外読み取り。v14.10.3で修正。
- Maven: Eclipse hawkBitの権限昇格（CVE-2026-16454）。v1.0.4で修正。
- Packagist: FacturaScriptsの持続的XSS（CVE-2026-45710）。v2026.2で修正。
JVN日本語情報
本日はMyJVNのデータはありません。
まとめ
本日はOpenSSLやSambaなど既存ソフトウェアのCritical脆弱性がNVD上で複数再確認された一方、GHSAではLXDに新規6件のCritical脆弱性が公開されました。いずれもホストへの任意ファイル書き込みやコマンド実行につながるため、セルフホストでコンテナ/VM基盤を運用している場合は優先的な確認を推奨します。それ以外の環境でも、利用しているソフトウェアが今回の対象に含まれているか確認してください。
データソース表記
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。