今週（7/20〜7/24）は、NVDで公開・更新されたCVEが合計1040件、Criticalが110件、Highが457件と、物量・深刻度ともに重い一週間でした。CVSS 10.0級が複数掲載され、認証なしでSite Admin権限を奪えるCisco Secure Workload（CVE-2026-20223）、Go x/crypto/sshの認証バイパス（CVE-2026-46595）、Dokployのハードコードシークレット（CVE-2026-45631）が並びました。トレンドとしては、Axios・Rollup・cryptography・Immutable.js・pgx・grpc-go など「開発現場で広く使われるライブラリ」へのCritical集中と、Astroを騙る悪性パッケージ（MAL-2026-10726）に代表されるサプライチェーン汚染が週を通して続きました。
週間サマリーテーブル
| 指標 | 月(7/20) | 火(7/21) | 水(7/22) | 木(7/23) | 金(7/24) | 週合計 |
|---|---|---|---|---|---|---|
| 新規・更新CVE | 200 | 220 | 200 | 220 | 200 | 1040件 |
| Critical | 3 | 37 | 19 | 37 | 14 | 110件 |
| High | 29 | 134 | 110 | 102 | 82 | 457件 |
| Medium | 37 | 47 | 66 | 55 | 81 | 286件 |
| Low | 9 | 1 | 1 | 8 | 10 | 29件 |
Criticalは火曜・木曜に37件と山があり、水曜・金曜は再掲・再評価の落ち着いた分布でした。ただし件数の少ない日ほど「基盤に近い層」の新規Critical（vLLM・Ruby json・Cisco）が目立った点に注意が必要です。
今週の注目脆弱性 TOP5
CVE-2026-20223：Cisco Secure Workload の認証バイパス（CVSS 10.0）
CVE-2026-20223（7/24掲載）は内部REST APIのアクセス検証不備で、未認証のリモート攻撃者が Site Admin 権限を取得し、テナント境界を越えて機密情報の閲覧や構成変更が可能になるおそれがあります。境界に露出しやすい管理系のため、今週最優先クラスの案件です。Ciscoのアドバイザリを確認し修正版へ更新してください。
CVE-2026-46595：Go x/crypto/ssh の認証バイパス（CVSS 10.0）
CVE-2026-46595（7/23掲載）は、CVE-2024-45337の修正に残っていた不備です。公開鍵以外のコールバックを設定したSSHサーバー構成で source-address（接続元アドレス）検証がスキップされ、認可バイパスが成立します。golang.org/x/crypto を利用するSSHサーバー実装が対象になり得るため、依存バージョンの更新を推奨します。
CVE-2025-62718：Axios のNO_PROXY回避によるSSRF（CVSS 9.9）
CVE-2025-62718（7/21掲載、以降も再掲）は、NO_PROXY判定のホスト名正規化が不十分で、localhost.（末尾ドット）や [::1]（IPv6リテラル）宛の通信が照合を素通りし、設定済みプロキシを経由してしまう不備です。NO_PROXY頼みのSSRF対策が回避されるため、Axios 1.15.0 または 0.31.0 以降へアップデートしてください。
CVE-2026-7374：KubeVirt virt-handler の権限昇格（CVSS 9.9）
CVE-2026-7374（7/20掲載）は、コンソールソケット接続時のシンボリックリンク検証不備により、単一namespaceの編集権限を持つ認証済みユーザーがホストのCRI-Oソケットを乗っ取り、ノード・クラスタ全体を掌握され得る不備です。Red Hatエラータ（RHSA-2026:20720 ほか）に従いアップデートし、あわせて対象namespaceの編集権限の付与範囲を棚卸ししてください。
CVE-2026-48172：LiteSpeed cPanelプラグインの権限昇格（CVSS 9.8・悪用観測）
CVE-2026-48172（7/24掲載）は、LiteSpeed User-End cPanel Plugin 2.4.5未満の権限昇格で、2026年5月に実際の悪用が観測されています。今週唯一の「悪用観測済み」案件のため、該当環境は最優先で2.4.7以降へ更新し、ログの点検を行ってください。
このほか、実行環境に直結する重大案件として、PHP SOAP拡張のUse-After-Free（CVE-2026-6722、CVSS 9.8。8.2.31/8.3.31/8.4.21/8.5.6以降で修正）、Netatalk CNIDデーモンのヒープオーバーフロー（CVE-2026-44050、CVSS 9.9）、Drupal coreのSQLインジェクション（CVE-2026-9082、CVSS 9.8、KEV参照あり）、vLLMの信頼外モデル読み込みRCE（CVE-2026-22807、CVSS 8.8）が今週の注目どころです。
週間トレンド分析
- 開発ライブラリへのCritical集中: 特に火曜（7/21）を中心に、Axios・Rollup（CVE-2026-27606）・Immutable.js（CVE-2026-29063）・pyca/cryptography（CVE-2026-39892）・pgx/v5・Authlib・grpc-go（CVE-2026-33186）・fast-xml-parser など、多数のプロジェクトが依存するパッケージのCriticalが連日掲載されました。cryptographyやgrpc-goは週後半にも再掲され、
package-lock.json/requirements.txt/go.mod/Gemfile.lock単位での依存棚卸しが今週の最も効率的な対応です。 - サプライチェーン汚染の継続: Astroを騙る悪性パッケージ（MAL-2026-10726、バージョン7.1.0）が週を通して繰り返し報告されました。正規のAstroはv5系であり、7.1.0の取り込みは避けてください。あわせてWebdriverIOのブランチ名経由コマンドインジェクション（CVE-2026-25244）など、悪性リポジトリ取り込みが起点となるCI/CDリスクも顕在化しました。
- CWE傾向: 認証・認可の不備（CWE-287 / CWE-285 / CWE-290 / CWE-347）が目立ち、keystonemiddlewareのヘッダー偽装（CVE-2026-22797、CVSS 9.9）やAuthlibのJWT署名検証バイパス（CVE-2026-28802）が週内で複数回登場しました。メモリ破壊系（UAF / バッファオーバーフロー）と認証回避系が二本柱の週でした。
- Webフレームワークのまとめ修正: 金曜（7/24）にNext.jsのServer Actions SSRF等がまとめて公開（CVE-2026-64649 ほか、15.5.21 / 16.2.11で修正）。AngularのXSS・DjangoのSTARTTLS問題は週を通して継続的に修正が案内されました。
- ICS・ネットワーク機器の再掲: 水曜（7/22）にHirschmann / GarrettCom / ProSoftなど2017〜2018年公開の産業用スイッチCVEがまとめて再評価・再掲。該当機器の運用者はファームウェア更新と管理面のネットワーク分離を優先してください。
日別ダイジェスト
- 7/20（月）: CVE 200件 — KubeVirt virt-handlerのCVSS 9.9権限昇格、libxml2の連続Critical
- 7/21（火）: CVE 220件 — Axios NO_PROXY回避SSRF（9.9）ほか開発ライブラリのCriticalが集中（Critical 37件）
- 7/22（水）: CVE 200件 — vLLMの信頼外モデルRCE、Ruby json DoS、ICS機器の再掲Critical
- 7/23（木）: CVE 220件 — PHP SOAP拡張のRCE（9.8）、Go x/crypto/sshの認証バイパス（10.0）、Dokploy群
- 7/24（金）: CVE 200件 — Cisco Secure WorkloadのCVSS 10.0、悪用観測のLiteSpeed、Next.jsまとめ修正
まとめ・来週の注目ポイント
今週はCVSS 10.0級が複数並び、Critical合計110件と物量も多い週でした。優先すべきは、境界に露出しやすいCisco Secure Workload（CVE-2026-20223）とGo x/crypto/ssh（CVE-2026-46595）、そして実際に悪用が観測されているLiteSpeed cPanelプラグイン（CVE-2026-48172）です。この3件は「露出面 × 悪用性」の観点で週末中の確認を推奨します。
次に効率が良いのは、Axios・cryptography・grpc-go・Immutable.js など開発ライブラリのCriticalを依存定義単位で面的に棚卸しする対応です。多くはパッチ提供済みのため、該当バージョンの有無を確認してアップデートを進めれば大半をカバーできます。来週は、今週まとめて公開されたNext.js・Astroのフレームワーク系修正の適用状況と、Astro悪性パッケージ（MAL-2026-10726）のようなサプライチェーン汚染の続報に引き続き注意してください。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。