【セキュリティ日報】Chaos MeshにKubernetes乗っ取りの脆弱性、Critical 46件含め297件

項目	優先度	対応	影響対象	クイックアクション
Chaos Mesh 認証なしAPIからのコマンドインジェクション(クラスタ乗っ取り) CVE-2025-59359	high	対応必須	Chaos Mesh利用者(Kubernetesクラスタ管理者)	最新版へアップデートし、Chaos Controller Managerのデバッグサーバーへのアクセス制限・認証設定を見直す
Kyverno 特権昇格(apiCallのnamespace制限バイパス) CVE-2026-124440	high	対応必須	Kyverno 1.19.1以前を利用するKubernetes環境	Kyverno 1.19.2以降へアップデート
Craft CMS GraphQLスキーマのスコープバイパス CVE-2026-124427	high	対応必須	Craft CMS 5.x利用者	Craft CMS 5.11.2以降へアップデート
Zimbra Collaboration 二要素認証(2FA)バイパス CVE-2025-54391	high	対応必須	Zimbra Collaboration (ZCS) 利用組織	Zimbraのセキュリティアドバイザリを確認しパッチを適用
Frappe Framework / ERPNext SQLインジェクション CVE-2025-58375	high	対応必須	Frappe/ERPNext利用者	Frappe 14.96.10 または 15.72.0 以降へアップデート
Next.js Middleware/Proxyバイパス(segment-prefetch経由) CVE-2026-45109	high	対応必須	Next.js App Router利用者(Turbopack環境)	Next.js 15.5.18 または 16.2.6 以降へアップデート
scriban テンプレートエンジンの複数の脆弱性 CVE-2026-124438	high	対応必須	scribanを利用する.NETアプリケーション	scriban 7.5.3以降へアップデート
OpenEMR の認可不備・ファイル読み書き等の多数の脆弱性(約40件) CVE-2026-124450	high	対応必須	OpenEMR導入の医療機関	OpenEMR 8.3.0または8.4.0以降へアップデート
SunEditor の複数のストアドXSS CVE-2026-124494	high	対応必須	SunEditorを組み込んだWebアプリ	SunEditor 3.4.0以降へアップデート

本日はNVD・GHSA・OSVの集計で新規・更新のCVEが297件公開され、うちCriticalが46件、Highが121件です。最も注目すべきはCVE-2025-59359ほか、Chaos MeshのKubernetesクラスタ乗っ取りに繋がる脆弱性チェーンで、Kubernetes環境でChaos Meshを利用している場合は早急な確認が推奨されます。

本日の概要テーブル

指標	数値
新規・更新CVE	297件
Critical (9.0+)	46件
High (7.0-8.9)	121件
Medium (4.0-6.9)	74件
影響エコシステム	npm, PyPI, Go, PHP (Composer), .NET

※ このほかLowが6件、CVSS未評定（スコア算出前）が48件あります。

Critical/High 脆弱性の詳細解説

Chaos Mesh 認証なしAPIからのクラスタ乗っ取り（CVE-2025-59358 / CVE-2025-59359 / CVE-2025-59360 / CVE-2025-59361）

CVSSスコア: 9.8（CVE-2025-59358は7.5）
影響を受けるソフトウェア: Chaos Mesh（Kubernetes向けカオスエンジニアリングツール）のChaos Controller Manager
概要: Chaos Controller ManagerがGraphQLデバッグサーバーを認証なしでクラスタ全体に公開しており（CVE-2025-59358）、これを経由してcleanTcs・killProcesses・cleanIptablesの各ミューテーションでOSコマンドインジェクションが可能（CVE-2025-59359〜59361）。4件を組み合わせると、未認証のクラスタ内攻撃者がクラスタ全体でコードを実行できる状態になります。jfrogの調査では「Chaotic Deputy」として報告されています。
対応: chaos-mesh/chaos-mesh のPR #4702で修正されています。最新版へのアップデートに加え、デバッグサーバーへのネットワークアクセス制限・認証設定を見直してください。
参考: GitHub PR / jfrog調査レポート

Kyverno 特権昇格・認可バイパス（CVE-2026-124440 / CVE-2026-124441）

深刻度: CVE-2026-124440がCritical、CVE-2026-124441がHigh（GitHubの評価。CVSS数値スコアは未公開）
影響を受けるソフトウェア: Kyverno（Kubernetesポリシーエンジン） < 1.19.2
概要: apiCallのnamespace制限（clamp）をバイパスして権限昇格できる問題、およびgenerateのターゲットkindを操作して認可をバイパスできる問題です。クラスタ全体のポリシー適用に関わるため影響範囲が広いです。
修正: Kyverno 1.19.2で修正済み。
参考: GHSA-39w8-hv5g-f73w / GHSA-vjfx-fp68-rh4v

Craft CMS の複数脆弱性（CVE-2026-124427 ほか）

深刻度: CVE-2026-124427（GraphQLスキーマのスコープバイパス）がCritical、CVE-2026-124430（RCEに繋がる署名オラクル）がHigh
影響を受けるソフトウェア: Craft CMS 5.0.0 < 5.11.2
概要: GraphQLのprev/nextクエリでスキーマのスコープ制限を回避できる問題と、app/render-elementsの署名検証の不備を利用したRCEのほか、SVGファイル読み取り・公開登録経由の権限昇格・アセット差し替えによる未許可ボリューム閲覧など複数の問題が同時公開されています。
修正: Craft CMS 5.11.2で修正済み。
参考: GHSA-xpg7-m6gm-4xfh / GHSA-qj3q-j7r4-428p

Zimbra Collaboration 二要素認証（2FA）バイパス（CVE-2025-54391）

CVSSスコア: 9.1
影響を受けるソフトウェア: Zimbra Collaboration (ZCS)
概要: EnableTwoFactorAuthRequest SOAPエンドポイントの不備により、有効な認証情報を持つ攻撃者が既存の2FA方式を経由せずに別の2FA方式（認証アプリやメール）を追加設定できます。結果として2FA保護が無効化され、不正アクセスに繋がります。
対応: Zimbraのセキュリティアドバイザリを確認し、パッチを適用してください。
参考: Zimbra Security Center

Frappe Framework / ERPNext のSQLインジェクション（CVE-2025-58375 / CVE-2025-52044）

CVSSスコア: CVE-2025-58375が8.1、CVE-2025-52044が7.5
影響を受けるソフトウェア: Frappe 14.96.9以下 / 15.0.0〜15.71.0、Frappe ERPNext 15.57.5
概要: Frappe本体のエンドポイントパラメータの検証不備によるエラーベースSQLインジェクション、およびERPNextのget_stock_balance()のinventory_dimensions_dictパラメータ経由のSQLインジェクションです。いずれもデータベース内の情報が窃取される可能性があります。
修正: Frappe 14.96.10 / 15.72.0で修正済み。ERPNext側は該当PRの修正を確認してください。
参考: GHSA-mggw-6xqj-rphj

Next.js Middleware/Proxyバイパス（CVE-2026-45109）

CVSSベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N（High相当）
影響を受けるソフトウェア: Next.js < 15.5.18 / < 16.2.6（Turbopack使用時）
概要: 既存の脆弱性（CVE-2026-44575）に対する修正が、Turbopackを使ったmiddleware.tsには適用されていなかった問題です。App Routerのsegment-prefetchルートを介してMiddleware/Proxyによる保護をバイパスできます。
修正: Next.js 15.5.18 または 16.2.6以降へアップデートしてください。
参考: GHSA-26hh-7cqf-hhc6 / 関連GHSA-267c-6grr-h53f

scriban テンプレートエンジンの複数脆弱性（CVE-2026-124438 ほか）

深刻度: CVE-2026-124438（配列mapメンバーアクセス経由のdelegateターゲット露出）がCritical、サービス拒否系2件（CVE-2026-124437・CVE-2026-124439）がHigh
影響を受けるソフトウェア: scriban（.NET向けテンプレートエンジン） < 7.5.2 / < 7.5.3
概要: ガードされていないビルトイン関数や再帰処理によるサービス拒否、およびメンバーアクセスを通じて内部のdelegateオブジェクトが露出する問題です。
修正: scriban 7.5.3以降へアップデートしてください。
参考: GHSA-hvr4-4p37-494f

OpenEMR に認可不備・ファイル読み書き等の多数の脆弱性（約40件、CVE-2026-124450 ほか）

深刻度: Critical・High・Moderate混在（患者情報の不正閲覧に繋がるSQLインジェクションや任意ファイル読み書き含む）
影響を受けるソフトウェア: OpenEMR（オープンソース電子カルテ） < 8.3.0 / < 8.4.0
概要: 本日のGHSA更新のうち過半数がOpenEMR関連で、ポータル患者設定のIDOR、FHIR API経由の認可不備、disposeDocument機能を利用した任意ファイル読み書き、sl_eob機能のSQLインジェクションなど多岐にわたります。患者情報（PHI）を扱うため影響が大きいです。
修正: 各アドバイザリの指摘内容に応じてOpenEMR 8.3.0または8.4.0以降へアップデートしてください。
参考: OpenEMRセキュリティアドバイザリ一覧

SunEditor の複数ストアドXSS（CVE-2026-124493 / CVE-2026-124494 ほか）

深刻度: CVE-2026-124493・124494がCritical、CVE-2026-124492がHigh、CVE-2026-124491がModerate
影響を受けるソフトウェア: SunEditor（JavaScript向けWYSIWYGエディタ） < 3.4.0
概要: documentTypeヘッダーのtextContent、コロンを使ったエンティティのサニタイズ回避、リンクモーダルのブックマーク一覧、ファイルアップロードのファイル名など複数の箇所でサニタイズが不十分なため、ストアドXSSに繋がります。
修正: SunEditor 3.4.0以降へアップデートしてください。
参考: GHSA-h9pq-57qf-vvfh

エコシステム別サマリー

OSVで監視している16パッケージのうち、本日新たに検出されたのは以下の2件です。

PyPI: Django（CVE-2025-26699、長い文字列のwrap処理によるDoS、4.2.20/5.0.13/5.1.7で修正済み）
npm: Next.js（CVE-2026-45109、上述のMiddlewareバイパス）

このほか本日のGHSA更新では、Go（kafka-konsumer）、PHP/Composer（Craft CMS、OpenEMR、phpMyFAQ、Grav）、.NET（scriban）、Java/Maven（OpenRemote）など複数のエコシステムにまたがる脆弱性が公開されています。いずれもOSVの監視対象パッケージ一覧には含まれないため、ecosystemDataのグラフにはOSVで確認できたnpm/PyPIのみを反映しています。

JVN 日本語情報

本日のMyJVNデータはありません。

まとめ

本日はCriticalが46件と多めで、特にKubernetes関連ツール（Chaos Mesh、Kyverno）で未認証のまま権限昇格・コマンド実行につながる脆弱性が複数公開されている点に注意が必要です。クラウドネイティブ環境を運用している場合は、まずこの2つのアップデート状況を確認することを推奨します。CMS・テンプレートエンジン・エディタ系のライブラリにも複数のXSSや認可不備が見つかっており、フロントエンド/CMS担当者も影響バージョンの確認を行ってください。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。