今週（8/24〜8/28）の新規CVEは合計 1,000件、うち Critical 104件・High 573件 と高深刻度が多い一週間でした。最大の注目は CVSS 10.0 が3件そろったことで、なかでも Oracle WebLogic Server Proxy Plug-in（CVE-2026-21962） は認証不要のリモート侵害が可能なうえ CISA KEV カタログ掲載・悪用確認済みです。週を通して「認証・認可を素通りさせる」欠陥（Cisco FMC、Go x/crypto/ssh、gRPC-Go、OpenStack、x/net idna）と、依存ツリーの土台となる基盤ライブラリのサプライチェーン（Axios・immutable.js・jackc/pgx・protobufjs・node-tar）が二大トレンドでした。後半は AI/MCP 関連 OSS と Adobe 製品の RCE も加わりました。
週間サマリーテーブル
| 指標 | 月(24) | 火(25) | 水(26) | 木(27) | 金(28) | 週合計 |
|---|---|---|---|---|---|---|
| 新規CVE | 200 | 200 | 200 | 200 | 200 | 1,000件 |
| Critical | 23 | 22 | 21 | 26 | 12 | 104件 |
| High | 76 | 139 | 108 | 115 | 135 | 573件 |
※「新規CVE」は各日の NVD 分析対象件数（1日あたり最大200件の分析上限）。NVD 全体の該当件数は日により 1,000〜2,500件規模で、既存 CVE の再評価・情報更新を多く含みます。
注目脆弱性 TOP5
CVE-2026-21962 — Oracle WebLogic Server Proxy Plug-in の認証不要リモート侵害（CVSS 10.0・悪用確認）
Oracle Fusion Middleware の WebLogic Server Proxy Plug-in（Apache HTTP Server 向け／IIS 向け）に不適切なアクセス制御があり、認証されていないリモートの攻撃者が HTTP アクセスだけで侵害できます。WebLogic の前段リバースプロキシとして Web 層の入口に位置し、CISA KEV カタログ掲載・実環境での悪用確認（PoC 公開）という点で今週最優先です。影響バージョンは 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0（IIS 向けは 12.2.1.4.0 のみ）で、2026年1月 Oracle CPU に修正が含まれます。即時適用が難しい場合は当該プラグインの外部露出低減を先行させてください。（掲載: 8/26）
CVE-2026-20079 — Cisco Secure Firewall Management Center の認証不要 root 奪取（CVSS 10.0）
Cisco Secure Firewall Management Center（FMC）の Web インターフェースの認証処理不備により、認証なしのリモート攻撃で認証を回避し、基盤 OS の root アクセスを取得できます。ファイアウォール群を統括する管理基盤のため、侵害は防御全体の掌握に直結します。Cisco アドバイザリ（cisco-sa-onprem-fmc-authbypass）に沿った修正適用と、管理インターフェースの外部露出遮断を最優先で計画してください。（掲載: 8/27）
CVE-2026-46595 — Go x/crypto/ssh の送信元アドレス検証スキップによる認可バイパス（CVSS 10.0）
かつて CVE-2024-45337 が修正した認可バイパスに修正漏れがあり、公開鍵認証以外のコールバックを渡した場合に送信元アドレス（source-address）検証がスキップされます。golang.org/x/crypto/ssh は Go 製 SSH 実装として非常に広く使われ、送信元 IP 制限を認可に組み込んでいる環境は制限が意図通りに働かない恐れがあります。Go チームの修正（GO-2026-5023 / CL 781642）と Red Hat エラータ（RHSA-2026:23262 ほか）へ更新してください。（掲載: 8/25・8/27）
CVE-2026-7374 — KubeVirt virt-handler のシンボリックリンク経由ノード乗っ取り（CVSS 9.9）
KubeVirt の virt-handler が VM コンソールソケット接続時にシンボリックリンクを検証せず、単一 namespace の編集権限しか持たない利用者がホストの CRI-O ソケットへリンクを置き換えることで特権接続を乗っ取り、ノードおよびクラスタ全体の掌握に至り得ます。マルチテナントで OpenShift Virtualization / KubeVirt を運用する環境は影響が大きく、Red Hat エラータ（RHSA-2026:20720 ほか）へ更新し、pods/exec など namespace 権限の棚卸しを推奨します。（掲載: 8/24・8/27）
CVE-2025-62718 / CVE-2026-29063 / CVE-2026-33815 — 基盤ライブラリの Critical 群
依存ツリーに間接的に含まれることが多いライブラリの Critical が週を通して並びました。Axios（CVE-2025-62718、CVSS 9.9） はホスト名正規化の不備で NO_PROXY マッチングがスキップされ SSRF に至ります（1.15.0 / 0.31.0 で修正）。immutable.js（CVE-2026-29063、CVSS 9.8） は mergeDeep() 等でプロトタイプ汚染（3.8.3 / 4.3.7 / 5.1.5 で修正）。jackc/pgx v5（CVE-2026-33815、CVSS 9.8） は Go の PostgreSQL ドライバのメモリ安全性（境界外書き込み、GO-2026-4771 で修正）。いずれも package-lock.json / go.sum を通じた間接依存の棚卸しが肝心です。（掲載: 8/25〜8/28）
週間トレンド分析
- 「認証・認可の素通り」が週間テーマ: CVSS 10.0 の3件（WebLogic / Cisco FMC / Go ssh）に加え、gRPC-Go の
:path検証不備による認可バイパス（CVE-2026-33186、9.1）、x/netidna の Punycode 検証不備による権限昇格（CVE-2026-39821、9.6）、OpenStack keystonemiddleware のヘッダー偽装（CVE-2026-22797、9.9）と、認可判定を回避する欠陥が連日並びました。 - 基盤ライブラリのサプライチェーン: Axios・immutable.js・jackc/pgx・protobufjs・node-tar・OpenSSL・plexus-utils と、アプリ本体ではなく依存側の更新を要するものが中心。SBOM／依存ツリーの確認を起点に対応範囲を洗い出すのが効率的です。
- エコシステム別の偏り: 前半は PyPI／Go（AI/MCP 関連 Critical が水曜に集中）、木曜以降は Maven（Java） の更新が突出。金曜は Adobe 製品（Connect / ColdFusion / Commerce / AEM）の RCE・XSS が複数公開されました。
- Linux カーネル: 月曜だけで Critical 23件中16件がカーネル（各 CVSS 9.8）。cifs クライアントの境界外読み取り（CVE-2026-43112）など、ディストリのカーネル更新を計画的に適用してください。
- KEV（悪用確認）: 今週の実悪用確認は Oracle WebLogic Proxy Plug-in（CVE-2026-21962）。KEV 掲載は放置時の優先度が跳ね上がるため最優先枠として扱ってください。
日別ダイジェスト
- 8/24（月）: Critical 23件 — KubeVirt/OpenShift のノード乗っ取り（CVSS 9.9）とLinuxカーネルCritical多数
- 8/25（火）: Critical 22件 — Go
x/crypto/sshの認可バイパス（CVSS 10.0）ほか基盤ライブラリ集中 - 8/26（水）: Critical 21件 — Oracle WebLogic Proxy Plug-in（CVSS 10.0/KEV悪用確認）とAI/MCP関連Critical
- 8/27（木）: Critical 26件 — Cisco FMC の認証不要 root 奪取（CVSS 10.0）、Maven系の更新突出
- 8/28（金）: Critical 12件 — gRPC-Goの認可バイパスとAdobe製品RCE・XSS複数
まとめ・来週の注目ポイント
今週は CVSS 10.0 が3件そろい、いずれも「認証・認可の素通り」に起因する重大案件でした。まず Oracle WebLogic Proxy Plug-in（CVE-2026-21962） を KEV 悪用確認・認証不要という理由で最優先とし、パッチ（2026年1月 Oracle CPU）適用または外部露出遮断を週内に判断してください。境界機器では Cisco FMC、開発基盤では Go x/crypto/ssh／gRPC-Go／x/net idna と、Go エコシステムの認可・検証系が集中した点も見逃せません。
基盤ライブラリのサプライチェーンは来週以降も対応が尾を引く見込みです。Axios・immutable.js・jackc/pgx・protobufjs・node-tar の間接依存を package-lock.json / go.sum で棚卸しし、Adobe 製品運用者は APSB26 系ブルティンの適用状況を確認しましょう。国内向けには SKYSEA Client View・サクラエディタ・Apache Struts 2・古野電気 FA-50 の JVN 情報も併せて点検を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。