本日は新規CVEが726件公開され、うちCriticalが39件、Highが273件と、いずれも多めの1日です。SAP NetWeaver関連でCVSSスコア10.0の認証バイパス脆弱性（CVE-2026-120017）を含む複数のSAP製品の重大な脆弱性が公開されています。CISA KEVには IBM Aspera Faspex の権限昇格脆弱性が新たに追加されました。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（本日公開） | 726件 |
| Critical (9.0+) | 39件 |
| High (7.0-8.9) | 273件 |
| Medium (4.0-6.9) | 262件 |
| 悪用確認（CISA KEV 新規） | 1件 |
| 影響エコシステム | npm, PyPI |
悪用が確認された脆弱性（CISA KEV）
CVE-2026-123218（IBM Aspera Faspex）（悪用確認: CISA KEV）
IBM Aspera Faspex に不適切な認可の脆弱性があります。認証済みのユーザーが特定のメッセージを作成することで認可チェックを回避し、権限昇格を引き起こせます。
- KEV への追加日: 2026年11月9日（ランサムウェアでの悪用: 不明）
- 対応: IBMのベンダー指示に従い、該当のミティゲーションを適用してください。
Critical/High 脆弱性の詳細解説
本日はSAPのセキュリティパッチデー（Security Patch Day）に合わせて、SAP製品に関するCVSS 9.6〜10.0の重大な脆弱性が合計8件公開されています。以下は代表的なものと、その他の注目すべき脆弱性です。
CVE-2026-120017（SAP NetWeaver AS ABAP）
- CVSS: 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H、v3.1）
- 影響: SAP NetWeaver AS ABAP および ABAP Platform
- 概要: 特定の設定下で認証アサーションの検証が不十分であり、未認証の攻撃者が特別に作成したデータを送信することで認証を回避し、任意のユーザー（特権アカウントを含む）になりすませます。成功すると接続先のシステムを含めて広範囲に影響する可能性があります。
- 対応: SAPセキュリティノート3849308のパッチを適用してください。
- 参考: SAP Security Patch Day
同日には SAP NetWeaver / SAP Gateway / SAP Web Dispatcher 関連で、CVE-2026-76964・CVE-2026-89103・CVE-2026-89126・CVE-2026-109795・CVE-2026-109803・CVE-2026-76965・CVE-2026-89119（いずれもCVSS 9.6〜10.0）も公開されています。SAP製品を利用している場合は、SAPセキュリティノートを一括で確認することを推奨します。
CVE-2026-124600（GV-Face / GeoVision）
- CVSS: 10.0（v4.0）
- 影響: GeoVision GV-Face
- 概要: ユーザーの認証情報を暗号化されていないHTTP通信で送信しており、通信を傍受できる攻撃者に認証情報が漏洩します。
- 対応: ベンダーのセキュリティアドバイザリに従いファームウェアを更新してください。
CVE-2026-125086（D-Link M60）
- CVSS: 10.0
- 影響: D-Link M60 1.12.B01
- 概要: emDaemon MQTT Broker のハードコードされた認証情報が原因で、リモートから攻撃を実行できます。本脆弱性のエクスプロイトは既に公開されています。
- 対応: D-Linkのファームウェア更新情報を確認してください。
CVE-2026-123800（SuperTokens Core）
- CVSS: 9.9
- 影響: SuperTokens Core 6.0.0〜6.0.24 ほか複数バージョン系列
- 概要: マルチテナント環境で、1つのアプリケーションのAPIキーを持つ攻撃者が親ドメインの設定を更新でき、兄弟アプリケーションの資格情報の奪取やユーザーなりすましにつながります。
- 対応: 修正バージョン（6.0.24, 7.0.23, 8.0.7 など）へ更新してください。
CVE-2026-123270（Redpanda Connect）
- CVSS: 9.8
- 影響: Redpanda Connect 4.39〜4.110
- 概要: streamsモードの管理HTTP APIが既定で
0.0.0.0:4195に公開され認証が無効なため、未認証の攻撃者がコード実行可能なパイプライン定義を投稿し、サービスアカウント権限でリモートコード実行が可能です。 - 対応: v4.111以降へ更新し、管理APIを明示的に有効化していないか確認してください。
CVE-2026-115934（Craft CMS）
- CVSS: 9.8
- 影響: Craft CMS（MySQL/MariaDB環境）
- 概要: フロントエンドの検索機能（craft.search）に未認証のSQLインジェクションがあり、スタックドクエリの実行により管理者権限への昇格が可能です。
- 対応: 4.18.9 または 5.11.2 以降へ更新してください。緊急時は
[attribute]を含むリクエストをブロックする回避策があります。
CVE-2026-125120（Mongoose）
- CVSS: 9.8
- 影響: npm パッケージ
mongoose（6.13.11, 7.8.12, 8.24.3, 9.9.2 より前） - 概要:
sanitizeFilterを有効化していてもcountDocuments()にはクエリ演算子のサニタイズ処理が適用されず、攻撃者が制御するフィルタ値によって件数ロジックを悪用され、認可判定を誤らせる可能性があります。 - 対応: 6.13.11 / 7.8.12 / 8.24.3 / 9.9.2 以降へ更新してください。
CVE-2026-121653（Ivanti Endpoint Manager）
- CVSS: 9.8
- 影響: Ivanti Endpoint Manager（2024 SU8より前）
- 概要: Core部分にSQLインジェクションがあり、未認証の遠隔攻撃者がリモートコード実行を達成できます。
- 対応: 2024 SU8以降へ更新してください。
エコシステム別サマリー
OSVからはnpm・PyPIで以下の注目パッケージが見つかりました。
- Django（PyPI）:
django.utils.text.wrap()に長大な文字列を渡すとDoSが発生する脆弱性。4.2.20 / 5.0.13 / 5.1.7 で修正済み。 - Next.js（npm）: Turbopack使用時に
middleware.tsでのApp Router用Middleware/Proxyバイパスが残存（過去のCVE-2026-44575修正の抜け）。15.5.18 / 16.2.6 で修正済み。 - PyTorch（PyPI）:
torch.load(..., weights_only=True)で読み込む.pthチェックポイントファイルが未検証で、悪意あるファイルによりメモリ破壊・コード実行の可能性。2.10.0 で修正済み。
またGHSA経由では、本日CISA KEVに掲載されている以下の脆弱性も確認されています（いずれも悪用確認: CISA KEV）。
- GPUStack（PyPI,
gpustack）: リバースプロキシ経由のループバック偽装により未認証で管理者権限を取得できる脆弱性。2.2.0で修正済み。 - OpenSSH（CVE-2026-123158）: 認証バイパスにつながる想定外のステータスコード処理。10.6p2で修正済み。
- PAN-OS（CVE-2026-0322, Palo Alto Networks）: 認証済み攻撃者がファイアウォール上でroot権限のコードを実行できるコードインジェクション。ベンダーの緩和策を適用してください。
JVN 日本語情報
本日は JVN iPedia（MyJVN）から情報を取得できませんでした。
評価が更新された既存の CVE
新規ではなく、評価が更新された既存の脆弱性です。公開から時間が経ったCVEが、本日の再評価でCVSS 9.0以上になっています。
| CVE | CVSS | 公開日 | 概要 |
|---|---|---|---|
| CVE-2023-28531 | 9.8 | 2023-03-17 | OpenSSHのssh-addがスマートカード鍵に接続先制約を適用しない |
| CVE-2023-35085 | 9.8 | 2023-08-10 | UniFiアクセスポイント/スイッチのSNMP監視における整数オーバーフローRCE |
| CVE-2023-38034 | 9.8 | 2023-08-10 | UniFi製品のDHCPクライアント機能におけるコマンドインジェクションRCE |
| CVE-2023-39405 | 9.8 | 2023-08-13 | HuaweiのWi-Fiモジュールにおける範囲外パラメータ読み書き |
| CVE-2022-50591 | 9.8 | 2025-11-06 | Advantech iViewのSNMP管理ツールにおけるSQLインジェクション |
| CVE-2022-50593 | 9.8 | 2025-11-06 | Advantech iViewのsearch_termパラメータにおけるSQLインジェクションRCE |
| CVE-2026-25874 | 9.8 | 2026-04-23 | LeRobotの非同期推論パイプラインにおけるpickle安全でないデシリアライズRCE |
| CVE-2026-8376 | 9.8 | 2026-05-26 | Perlの正規表現コンパイル時における32bit環境向けヒープバッファオーバーフロー |
| CVE-2026-42496 | 9.1 | 2026-05-26 | Perl Archive::Tarのシンボリックリンク展開によるパストラバーサル |
| CVE-2026-13221 | 9.1 | 2026-07-13 | Perlの正規表現トライ構造が65535分岐超で破損し誤マッチを生む |
まとめ
本日はSAPのセキュリティパッチデーと重なり、SAP関連製品のCritical脆弱性が多数公開された1日でした。NetWeaverやGatewayなど広く使われるSAPコンポーネントを運用している場合は、パッチの適用状況を優先的に確認してください。また、Craft CMS・Mongoose・Ivanti Endpoint Managerなど利用者の多いソフトウェアにも重大な脆弱性が見つかっているため、該当する環境では早めのバージョン確認を推奨します。CISA KEVに新たに追加されたIBM Aspera Faspexの脆弱性は、既に悪用が確認されているため優先度の高い対応が必要です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, CISA Known Exploited Vulnerabilities Catalog AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。