【セキュリティ週報】今週のCritical136件・CVSS10.0が4件（07/27〜07/31）

今週（7/27〜7/31）は新規・更新CVEが合計 871件、うち Critical 136件・High 533件 と、平常週より対応判断の負荷が高い週でした。最大の特徴は CVSS 10.0（満点）が4件 出たことで、いずれも「認証」「境界防御」という守りの要に直結します。加えて Next.js / React の脆弱性が週を通して継続的に修正され、後半にかけて Go・Java（Maven）系の基盤ライブラリへ影響が広がりました。

週間サマリーテーブル

※ 金曜のNVD件数はLinux kernelの一括採番（CVSSは自動採番で高め）を多く含みます。実務優先度はGHSA/OSV側のライブラリ修正のほうが高い日でした。

注目脆弱性 TOP5

CVE-2026-20079：Cisco Secure Firewall Management Center の認証バイパス（CVSS 10.0）

• 掲載: 7/30（木） / CWE-288
• 影響: Cisco Secure Firewall Management Center (FMC) Software の該当バージョン
• 認証されていないリモート攻撃者が、細工したHTTPリクエストを送るだけでWeb管理インターフェースの認証を回避し、OSのroot権限を取得しうる問題です。境界防御そのものの管理基盤が狙われるため影響は甚大です。
• 対策: Cisco提供のアドバイザリに従い修正版へアップデート。管理インターフェースをインターネットから直接到達できない構成にすることも推奨されます。

CVE-2026-46595：Go golang.org/x/crypto/ssh の認証バイパス（CVSS 10.0）

• 掲載: 7/28（火）・7/30（木）に登場 / 過去の CVE-2024-45337 修正の不備
• 影響: golang.org/x/crypto/ssh を利用したSSHサーバ実装
• 公開鍵以外の種類のコールバックが渡された場合に送信元アドレス検証がスキップされ、アクセス元を制限したつもりのSSHサーバで想定外のホストからの認証が通る可能性があります。Go製SSHサーバは広範に存在するため影響範囲が広い脆弱性です。
• 対策: x/crypto を 0.52.0 以降へ更新。Red Hat 等でも RHSA-2026:23262 として修正配布。

CVE-2026-16117：@fastify/http-proxy のプレフィックス書き換えバイパス（CVSS 10.0）

• 掲載: 7/29（水） / CWE-20
• 影響: @fastify/http-proxy 11.5.0 以前（修正版 11.6.0）
• プレフィックスの一部をURLエンコードしたリクエストがルート照合には一致する一方でプレフィックス書き換え処理をすり抜け、エンコードされた生のパスがそのまま上流へ転送されます。結果として rewritePrefix で隠したはずの内部・管理用エンドポイントに認証なしで到達される可能性があります。
• 対策: 11.6.0 へアップデート（回避策なし）。

CVE-2026-60358：Oracle Access Manager の認証バイパス（CVSS 10.0）

• 掲載: 7/30（木） / Oracle Fusion Middleware 2026年7月 Critical Patch Update
• 認証なしのHTTPアクセスで Oracle Access Manager 全体を掌握され、他製品へも波及（スコープ変更）しうる問題です。あわせて Oracle Unified Directory、Managed File Transfer、Identity Manager Connector など Fusion Middleware 各コンポーネントに9.8〜10.0級がまとめて公開されました。
• 対策: 2026年7月 Critical Patch Update を適用。

CVE-2025-55182：Next.js / React App Router のリモートコード実行（CVSS 9.8）

• 掲載: 7/31（金） / ベクトル AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
• 影響: React 19.0.0 / 19.1.0 / 19.1.1 / 19.2.0 と、それらを利用する App Router 構成の Next.js 15.x / 16.x
• React の Flight（React Server Components のシリアライズ）プロトコル処理の問題で、細工したリクエストからサーバ側で任意コードが実行され得ます。App Router でサーバコンポーネントを描画する構成が対象で、影響範囲が広い深刻な脆弱性です。
• 対策: React は 19.0.1 / 19.1.2 / 19.2.1、Next.js は 15.0.5 〜 16.0.7 以降で修正。利用ブランチに対応する修正版へアップデート。

週間トレンド分析

• CVSS 10.0が4件という異例の週: Cisco FMC・Go x/crypto/ssh・@fastify/http-proxy・Oracle Access Manager。いずれも「認証をすり抜ける／境界を突破する」タイプで、単なるメモリ破壊より初手のリスクが高い顔ぶれです。
• テーマは「認証・認可バイパス」: 上記4件に加え、Spring LDAP の空パスワード認証バイパス（CVE-2026-41720）、grpc-go のパス認可バイパス（CVE-2026-33186）、KubeVirt/OpenShift の権限まわり、Kubernetes Konnectivity のエージェント認証不備（CVE-2026-16242）と、週を通じて認可制御の欠陥が目立ちました。
• Next.js / React は継続テーマ: Server Actions 経由のSSRF、キャッシュ混同、DoS（CVE-2026-64641〜64649、15.5.21 / 16.2.11）が月〜金で繰り返し登場し、金曜には App Router のRCE（CVE-2025-55182）が加わりました。当サイトもNext.js製のため優先確認対象です。
• エコシステムは前半npm → 後半Go/Mavenへ拡大: 週前半は npm（Next.js / Astro）中心でしたが、木曜は Go が最多（43件）、金曜は Maven が最多（85件、Spring・Netty・jackson-databind）と、Java/Go基盤へ波及しました。
• ベンダー四半期パッチが木曜に集中: Oracle 2026年7月 Critical Patch Update と SAP 7月 Security Patch Day（CVE-2026-44747）が重なり、Critical件数を押し上げました。四半期パッチは一括適用で効率的に対応できます。

日別ダイジェスト

• 7/27（月）: CVE 31件 — KubeVirt virt-handler のノード乗っ取り(9.9)と基盤ライブラリの一括修正
• 7/28（火）: CVE 220件 — Go x/crypto/ssh 認証バイパス(10.0)、Critical 46件と高水準
• 7/29（水）: CVE 220件 — @fastify/http-proxy プレフィックス書き換えバイパス(10.0)、Apache/Thrift集中
• 7/30（木）: CVE 200件 — Cisco FMC 認証バイパス(10.0)、Oracle 7月CPU・SAP・Axios
• 7/31（金）: CVE 200件 — Next.js/React App Router のRCE(9.8)、Spring/Netty/jackson集中

まとめ・来週の注目ポイント

今週は「認証・境界の要」を突く満点級の脆弱性が相次いだのが最大の教訓です。まずは 管理インターフェースの露出状況（Cisco FMC、Oracle Access Manager、各種管理コンソール）を棚卸しし、インターネットから直接到達できる管理面がないかを確認してください。次いで自社スタックに応じて、Go製SSHサーバ（x/crypto を 0.52.0 以降へ）、Next.js / React（App Router 構成は両方の修正版へ）、Fastifyプロキシ（11.6.0）を優先的にアップデートしましょう。

依存の洗い出しは govulncheck（Go）/ npm audit（npm）/ mvn dependency:tree（Maven）/ pip-audit（PyPI）による監査が効率的です。来週は今週の四半期パッチ（Oracle 7月CPU・SAP Patch Day）の適用漏れに起因する追撃や、Next.js / React RCE の悪用報告が出る可能性があるため、パッチ適用状況の確認を継続してください。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。