今週（8/3〜8/7）は、実際の悪用が確認された脆弱性と、CVSS 10.0 級の重大な脆弱性が相次いだ重い一週間でした。解析したCVEのうち Critical は合計115件、High は516件にのぼります。最優先は、CISA KEV に登録され悪用が確認されている Check Point SmartConsole の認証バイパス（CVE-2026-16232）。あわせて MariaDB・Go x/crypto/ssh・Adobe Campaign Classic・vm2 で CVSS 10.0 の任意コード実行／認可バイパスが公開され、週の後半は npm・Go の依存ライブラリ由来の脆弱性が集中しました。
週間サマリー
| 指標 | 8/3(月) | 8/4(火) | 8/5(水) | 8/6(木) | 8/7(金) | 週合計 |
|---|---|---|---|---|---|---|
| 解析CVE | 86 | 200 | 200 | 200 | 200 | 886件 |
| Critical | 6 | 22 | 31 | 23 | 33 | 115件 |
| High | 20 | 121 | 167 | 120 | 88 | 516件 |
| Medium | 19 | 44 | 2 | 44 | 68 | 177件 |
| Low | 1 | 9 | 0 | 3 | 6 | 19件 |
8/4 は NVD マッチ総数が694件と多く CVSS 上位200件を精査した集計、8/5〜8/7 の解析200件は既存CVEの再評価（lastModified 更新）が中心です。Critical 件数の多くは Ivanti・Fortinet・Zimbra・Cleo・Citrix・GitLab など既知悪用（KEV）系の再解析を含むため、新規採番との切り分けが重要です。
今週の注目脆弱性 TOP5
1. CVE-2026-16232 — Check Point SmartConsole の認証バイパス（悪用確認・CISA KEV）
- CVSS: 9.1（Critical）／掲載日: 8/3（月）
- 影響: Check Point 管理サーバ（SmartConsole ログイン処理）
- 未認証のリモート攻撃者がログイントークンを取得し、フル管理者権限で認証できてしまう問題です。Check Point が既に悪用を確認し CISA KEV にも登録されており、今週唯一の「悪用確認済みの新規注目CVE」です。管理サーバをインターネットに露出し、Trusted Clients による接続元制限をしていない構成が対象。
- 対策: アドバイザリ sk185169 に従い対応し、管理サーバの外部到達性遮断と Trusted Clients による接続元制限を実施してください。今週の最優先案件です。
2. CVE-2026-49261 — MariaDB wsrep_notify_cmd のOSコマンドインジェクション
- CVSS: 10.0（Critical）／掲載日: 8/4（火）
- 影響: MariaDB 10.6 / 10.11 / 11.4 / 11.8 / 12.3 系（
wsrep_notify_cmd有効時） - Galera（wsrep）クラスタ構成で、joiner ノード名に埋め込まれたシェルコマンドが実行されます。10.6.27 / 10.11.18 / 11.4.12 / 11.8.8 / 12.3.2 へ更新（暫定で
wsrep_notify_cmd無効化）。Windows 版 CONNECT エンジンのOSコマンド実行（CVE-2026-44170, CVSS 9.8）も同日公開されています。
3. CVE-2026-46595 — Go x/crypto/ssh の SSH 認可バイパス
- CVSS: 10.0（Critical）／掲載日: 8/4（火）・8/7（金）に再掲
- 影響:
golang.org/x/crypto（SSH サーバ実装）0.52.0 未満相当 - 過去の CVE-2024-45337 の不完全修正で、公開鍵以外のコールバックが渡された構成では送信元アドレス検証がスキップされます。自作 SSH サーバは広範に存在するため、
govulncheck（GO-2026-5023）での棚卸しが必要です。0.52.0 以降へ更新してください。
4. CVE-2026-43999 — vm2 の NodeVM サンドボックス脱出（RCE）
- CVSS: 9.9（Critical、関連CVEは 10.0）／掲載日: 8/7（金）
- 影響:
vm2（npm）3.11.0 未満 moduleビルトインが許可されている場合にModule._load()経由でホスト側の任意モジュールを読み込め、child_process等を用いた RCE に至ります。関連する CVE-2026-43997 / 44005 / 44006（いずれも CVSS 10.0）も同時公開。vm2 はメンテナンス終了が表明されているため、3.11.0 更新に加えisolated-vm等への移行検討も推奨されます。
5. CVE-2026-34486 — Apache Tomcat の EncryptInterceptor バイパス
- CVSS: 9.8（Critical）／掲載日: 8/6（木）
- 影響: Apache Tomcat 11.0.20 / 10.1.53 / 9.0.116（クラスタ構成）
- 先行修正 CVE-2026-29146 の副作用で、クラスタ通信を暗号化する
EncryptInterceptorが回避可能に。セッションレプリケーション構成ではノード間通信の保護が無効化され得ます。11.0.21 / 10.1.54 / 9.0.117 以降へ更新してください。クラスタ機能未使用なら影響しません。
週間トレンド分析
- エコシステム別: 今週は npm と Go の依存ライブラリ由来の脆弱性が突出しました。npm は axios（NO_PROXY バイパス／プロトタイプ汚染ガジェット、計12件超）・Immutable.js・protobufjs・vm2・Nuxt（RCE/DoS/データ漏えい）・React Router・sanitize-html・Better Auth など、Go は
x/crypto/ssh・jackc/pgx/v5・gRPC-Go・idna・Traefik など。直接依存だけでなく推移的依存に潜みやすい点が共通の注意点です。 - CWE別の傾向: (1) プロトタイプ汚染（axios / Immutable.js / protobufjs）、(2) 認証・認可バイパス（Check Point / Go SSH / Traefik / gRPC-Go / Tomcat / OpenStack keystonemiddleware）、(3) OSコマンド／コードインジェクション（MariaDB / vm2 / Adobe ColdFusion）が三本柱でした。特にプロキシ・認可・サンドボックスといった「境界の信頼」を破る系統が目立ちます。
- KEV 再解析ラッシュ: 週後半（8/5〜8/7）の Critical 大量発生は、Ivanti・Fortinet・Zimbra・Cleo・Citrix・CyberPanel・GitLab・Oracle Java など既知悪用CVEの再解析が中心です。新規採番ではないため、日頃パッチ運用が追随できていれば多くは対応済みのはず。「該当製品の有無」と「更新の追随状況」の棚卸しから進めるのが効率的です。
日別ダイジェスト
- 8/3（月）: Check Point 認証バイパス（悪用確認・KEV）ほかCritical 6件 — KubeVirt ノード乗っ取り、FreeRDP、WooCommerce Social Login も
- 8/4（火）: MariaDB・Go x/crypto でCVSS 10.0、依存ライブラリ大量修正でCritical 22件 — axios・PostgreSQL・OpenSSL・libxml2 が集中
- 8/5（水）: Angular i18n XSS（新規）、KEV系再解析ラッシュでCritical 31件 — Ivanti/Fortinet/Zimbra/Linux kernel の更新中心
- 8/6（木）: Apache Tomcat EncryptInterceptor バイパス、npmプロトタイプ汚染が集中しCritical 23件 — Immutable.js/Axios/protobufjs、OpenStack権限昇格
- 8/7（金）: vm2 サンドボックス脱出RCE、Traefik/Nuxtにも重大脆弱性でCritical 33件 — Adobe Campaign Classic/ColdFusion のCVSS 10.0級も
まとめ・来週の注目ポイント
今週の実務上の最優先は、悪用が確認されている Check Point SmartConsole（CVE-2026-16232）です。管理サーバの外部到達性と Trusted Clients 制限を早急に確認してください。次点として、MariaDB・Go x/crypto/ssh・vm2・Adobe 製品の CVSS 10.0 級はサーバ側の任意コード実行／認可回避につながるため、自社スタックへの該当有無を優先的に切り分けましょう。
アプリケーション開発者にとっては、週を通じて npm・Go の依存ライブラリ修正が最大のテーマでした。npm audit / npm ls axios immutable protobufjs vm2 nuxt / govulncheck / pip-audit / cargo audit を使い、直接依存だけでなく推移的依存まで含めた棚卸しが最も効率的です。来週も既知悪用（KEV）系の再解析更新が続く可能性が高いため、「新規採番」か「再評価」かを見極め、パッチ運用の追随状況の点検を継続することを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。