今週（8/31〜9/4）の分析対象CVEは合計 941件、うち Critical 87件・High 406件 と高深刻度が積み上がった一週間でした（金曜はNVD全体で新規・更新1,145件のうち上位200件を分析）。最大の注目は CVSS 10.0 が10件そろったことで、なかでもオーケストレーション基盤 Kestra（CVE-2026-49869） は認証バイパスから未認証RCEに直結し、CISA KEV カタログ掲載・悪用確認済みです。加えてリバースプロキシ Traefik の認証/mTLSバイパス3件（いずれもCVSS 10.0）、Samba AD DCのWINSフックRCE、Go x/crypto/ssh の認可バイパスと、境界・認可を「素通り」させる欠陥が連日並びました。もう一つの軸は Axios・Handlebars・Immutable.js・flatted・pyOpenSSL・sanitize-html・protobuf.js など依存ツリーの土台となる基盤ライブラリのサプライチェーンです。
週間サマリーテーブル
| 指標 | 月(31) | 火(01) | 水(02) | 木(03) | 金(04) | 週合計 |
|---|---|---|---|---|---|---|
| 新規CVE | 141 | 200 | 200 | 200 | 200 | 941件 |
| Critical | 10 | 19 | 13 | 23 | 22 | 87件 |
| High | 45 | 79 | 92 | 99 | 91 | 406件 |
※「新規CVE」は各日の NVD 分析対象件数（1日あたり最大200件の分析上限）。金曜（9/4）は NVD 全体で新規・更新 1,145件が公開され、そのうち上位200件を分析対象としています。
注目脆弱性 TOP5
CVE-2026-49869 — Kestra の認証バイパスによる未認証RCE（CVSS 10.0・KEV悪用確認）
オーケストレーション基盤 Kestra OSS の認証フィルタが、公開エンドポイントの判定に「パスの末尾が /configs で終わるか」という後方一致（endsWith）を使っていたため、末尾が configs になる任意のAPIパスで認証を完全に回避できます。既定で有効なスクリプト実行プラグイン経由で、未認証のリモート攻撃者がワーカーコンテナ内のroot権限でコード実行に至ります。CISA KEV カタログ掲載・悪用確認済みで今週最優先です。影響は 1.0.45 未満／1.3.21 未満で、1.0.45 / 1.3.21 以降へアップデートしてください。（掲載: 9/3・9/4）
CVE-2026-48020 / CVE-2026-48491 / CVE-2026-53622 — Traefik の認証・mTLSバイパス3件（いずれもCVSS 10.0）
HTTPリバースプロキシ Traefik で、認証・認可を迂回する3件が同時に公開されました。StripPrefix（CVE-2026-48020）は .. やそのパーセントエンコード形が公開ルートにマッチし、正規化後に認証必須ルートへ解決されます。SNICheck（CVE-2026-48491）はワイルドカードホストのmTLS設定で完全一致照合しか行わず、クライアント証明書なしで到達され得ます。HTTP/3(QUIC)（CVE-2026-53622）はSNIの大文字小文字を区別する完全一致でTLS設定を選ぶため、mTLSを回避されます。2.11.48〜2.11.51 / 3.6.18〜3.6.19 / 3.7.3 で修正済み。ワイルドカードホストやStripPrefixを使う構成は設定の見直しも検討してください。（掲載: 9/3）
CVE-2025-10230 — Samba WINS フックの OS コマンドインジェクション（CVSS 10.0）
Samba Active Directory ドメインコントローラの WINS フックで、WINS登録パケット中の NetBIOS 名が検証・エスケープなしにシェルコマンドへ渡されます。無認証のネットワーク攻撃者が Samba プロセス権限でリモートコード実行に至る可能性があり、AD DC を運用する環境では影響が甚大です。修正版へのアップデートを最優先とし、当面は wins hook の無効化を検討してください。（掲載: 9/1）
CVE-2026-46595 — Go golang.org/x/crypto/ssh の認可バイパス（CVSS 10.0）
かつて CVE-2024-45337 が修正した認可バイパスに修正漏れがあり、公開鍵認証以外のコールバックを渡した場合に接続元アドレス（source-address）検証がスキップされます。golang.org/x/crypto/ssh は Go 製 SSH 実装として非常に広く使われ、送信元制限を認可に組み込む環境では制限が意図通りに働かない恐れがあります。Go の脆弱性DB（GO-2026-5023）を参照し、修正版へ更新してください。同ライブラリでは agent の宛先制限が無効化される CVE-2026-39832（9.1）、不正応答によるデッドロック CVE-2026-39830（9.1）も並びました。（掲載: 9/1・9/3）
CVE-2026-76193 — Adobe Campaign Classic の SSRF を起点とした任意コード実行（CVSS 10.0・3件）
Adobe Campaign Classic（ACC） で、SSRF（CVE-2026-76193）と OS コマンドインジェクション（CVE-2026-76195 / CVE-2026-76197）を起点に、ユーザー操作不要で任意コード実行に至る3件（いずれもCVSS 10.0）が公開されました。攻撃条件が緩く影響も甚大です。Adobe のセキュリティ情報 APSB26-134 に従い、修正版へ速やかにアップデートしてください。（掲載: 8/31）
週間トレンド分析
- 「認証・認可の素通り」が週間テーマ: CVSS 10.0 の Kestra（
endsWith判定）・Traefik（パス正規化/SNI照合）・Samba（入力の未検証）・Gox/crypto/ssh（送信元検証スキップ）に加え、gRPC-Go の:path検証不備による認可バイパス（CVE-2026-33186、9.1）が3日連続で登場、Gox/netidna の Punycode 誤変換による権限昇格（CVE-2026-39821、9.6）も並びました。認可判定の前提（パス・ホスト名・送信元）を「正規化前」に評価してしまう共通パターンが目立ちます。 - 基盤ライブラリのサプライチェーン: Axios（NO_PROXYバイパスの CVE-2025-62718 と IPv4射影IPv6の CVE-2026-44492 の2件）、Handlebars（AST経由RCE）、Immutable.js・flatted（プロトタイプ汚染）、pyOpenSSL（バッファオーバーフロー）、sanitize-html（XSS回避）、protobuf.js（コードインジェクション）と、間接依存に潜むものが中心。
package-lock.json/go.sumを起点に棚卸しするのが効率的です。 - CISA KEV（悪用確認）: 今週の実悪用確認は Kestra（CVE-2026-49869）と Sangoma Switchvox の未認証SQLi/RCE（CVE-2026-9586、9.8）。KEV 掲載は放置時の優先度が跳ね上がるため、最優先枠として扱ってください。
- Linux カーネル: Bluetooth ISOのUAF（CVE-2026-80721）、icmpv6のUAF（CVE-2026-53006、9.8）、cifsの境界外読み取り（CVE-2026-43112）に続き、金曜は net/tls・netfs 系のメモリ破壊（CVE-2026-64046 ほか、9.8）が多数まとまって公開。個別対応より最新安定版への追従が現実的です。
- エコシステム別GHSA: 前半は npm/Go が中心、水曜は Maven 41件が突出、金曜は Maven 46件・Go 34件と、週後半に Java/Go 系の更新が積み上がりました。
- エンタープライズ製品: Versa Director（CVE-2019-25029 / CVE-2025-24288）、BarTender（CVE-2026-25550）、OpenShift WMCO・RHACM の権限昇格など、外部公開機器はパッチと合わせて露出・デフォルト認証情報の見直しを推奨します。
日別ダイジェスト
- 8/31（月）: Critical 10件 — Adobe Campaign ClassicのRCE（CVSS10.0×3）とPostgreSQL 18件一斉修正
- 9/1（火）: Critical 19件 — Samba・Go x/crypto/sshのRCE級（CVSS10.0）とAxios/Handlebars等ライブラリ集中
- 9/2（水）: Critical 13件 — OpenSSL S/MIMEのUAFとVimのファイルオープン時RCE（CVSS9.2）
- 9/3（木）: Critical 23件 — Traefikの認証バイパス（CVSS10.0×3）とKestra未認証RCE
- 9/4（金）: Critical 22件 — Kestra/Switchvox（KEV悪用確認）とLinuxカーネルnet/tls系Critical多数
まとめ・来週の注目ポイント
今週は CVSS 10.0 が10件そろい、多くが「認証・認可の素通り」に起因する重大案件でした。まず CISA KEV 掲載の Kestra（CVE-2026-49869）と Sangoma Switchvox（CVE-2026-9586） を悪用確認・未認証RCE直結という理由で最優先とし、公開エンドポイントの露出確認とパッチ適用を週内に判断してください。境界では Traefik（3件）・Samba・Go x/crypto/ssh と、リバースプロキシ／基盤サービスの認可バイパスが集中した点も見逃せません。ワイルドカードホストやmTLS、StripPrefix を使う構成は単なるバージョン更新にとどまらず設定の再点検を推奨します。
基盤ライブラリのサプライチェーンは来週以降も対応が尾を引く見込みです。Axios（2件）・Handlebars・Immutable.js・flatted・pyOpenSSL・sanitize-html・protobuf.js の間接依存を package-lock.json / go.sum で棚卸しし、Linux カーネル運用者は net/tls・netfs 系 Critical を含む安定版更新を計画的に適用しましょう。国内向けには PALLET CONTROL（JVNDB-2026-000126）・ShizenBox2（JVNDB-2026-000127）・キーエンス製 VisionTerminal・Hugging Face Transformers の JVN 情報も併せて点検を推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。