つみかさね

【セキュリティ週報】Critical 122件・Cisco FMC/vm2にCVSS 10.0（9/7〜9/11）

2026-09-12データソース: NVD, OSV, GHSA, JVN
Critical
122
High
497
Medium
257
Low
30
CVENVD脆弱性週報axiosvm2OpenShiftCisco

今週（9/7〜9/11）は、分析対象CVEが合計950件、うちCriticalが122件・Highが497件と、Criticalが連日20件超で推移する多めの週でした。最大の焦点は CVSS 満点（10.0）の脆弱性が2系統 並んだこと——境界防御の中核である Cisco Secure Firewall Management Center の認証バイパス（CISA KEV収録・悪用確認済み）と、信頼できないコードを隔離するはずの Node.js製サンドボックス vm2 の脱出 です。加えて axios・Rollup・Immutable.js・Next.js/Astro など npm 系の主要OSSにCriticalが集中し、基盤側では OpenShift/RHACM のクラスタ権限昇格が1日に集中しました。境界機器・依存ライブラリの双方から棚卸しを推奨します。

週間サマリー

指標月(9/7)火(9/8)水(9/9)木(9/10)金(9/11)週合計
分析対象CVE150200200200200950件
Critical1328252333122件
High3610895140118497件
Medium7640663540257件

※ 月曜は「新規・更新CVE」ベース、火〜金は「分析対象CVE（深刻度上位）」ベースの件数です。NVD該当総数は日により最大3,918件に達しました。

今週の注目脆弱性 TOP5

1. CVE-2026-20079 — Cisco Secure Firewall Management Center 認証バイパス（CVSS 10.0・CISA KEV）

  • CVSS: 10.0 CRITICAL / CWE-288
  • 影響: Cisco Secure Firewall Management Center (FMC) Software の Web インターフェース
  • 掲載: 9/10（木）・9/11（金）
  • 起動時に生成される不適切なシステムプロセスに起因し、未認証のリモート攻撃者が細工したHTTPリクエストで認証を回避、基盤OSの root 権限まで取得され得ます。CVSSは満点の10.0で、CISA KEV に収録され悪用が確認されています。境界防御の管理製品そのものが標的である点で今週最優先です。
  • 対策: Cisco アドバイザリ（cisco-sa-onprem-fmc-authbypass-5JPp45V2）に従い修正版へ更新し、管理インターフェースのアクセス元を限定してください。

2. vm2 サンドボックス脱出（CVSS 最大 10.0）

  • CVSS: 最大 10.0 CRITICAL / CWE-94, CWE-1321 ほか
  • 影響: vm2（Node.js 向け sandbox ライブラリ、3.11.3 未満）
  • 掲載: 9/8（火）
  • ホストの Object を取得できるもの（CVE-2026-43997、10.0）、ホスト側プロトタイプを書き換えられるもの（CVE-2026-44005、10.0）、Module._load() 経由でホスト上コード実行に至るもの（CVE-2026-43999、9.9）など複数が公開。ユーザー投稿コードやテンプレートを vm2 上で評価する構成は、実質ホスト乗っ取りにつながり得ます。
  • 対策: vm2 3.11.3 以降へアップデート。信頼できないコード実行には isolated-vm・別プロセス/コンテナ隔離の併用を推奨。

3. Next.js / Astro — AVIF画像最適化経由の未認証RCE

  • CVSS: 9.8 CRITICAL（GHSA Critical）
  • 影響: Next.js（15.5.24 未満、16系は 16.3.3 未満）、Astro（7.2.8 未満）
  • 掲載: 9/10（木）
  • 既定の画像最適化で使われる libheif（AVIFデコーダ）の脆弱性に起因し、悪意ある AVIF 画像を最適化させるだけで未認証RCEに至り得ます。ユーザー投稿画像や外部URLの画像をサーバ側で最適化している構成は影響大。Next.js は Windows ホスト向けの別RCE（CVE-2026-75604）も同時修正。
  • 対策: Next.js 15.5.24 以降（16系は 16.3.3 以降）、Astro 7.2.8 以降へアップデート。

4. CVE-2025-62718 — axios の NO_PROXY バイパスによるSSRF（CVSS 9.9）

  • CVSS: 9.9 CRITICAL / CWE-918
  • 影響: axios 1.15.0 未満（0.x系は 0.31.0 未満）。あわせてプロトタイプ汚染 CVE-2026-44494（8.7）は 1.16.0 未満が対象
  • 掲載: 9/8（火）・9/11（金）
  • NO_PROXY のホスト名正規化が不十分で、localhost.（末尾ドット）や [::1] 宛が照合をすり抜けプロキシ経由になります。ループバックや内部サービスを保護していても意図せず到達され得ます。利用範囲が非常に広いHTTPクライアントで、今週2度取り上げられました。
  • 対策: SSRFとプロトタイプ汚染の両方に対応するには axios 1.16.0 以降が確実です。

5. OpenShift/RHACM/MCE クラスタ管理コンポーネントの権限昇格（CVSS 最大 9.9）

  • CVSS: 最大 9.9 CRITICAL / CWE-269, CWE-94 ほか
  • 影響: RHACM / multicluster engine (MCE) の各コントローラ、OpenShift Virtualization (KubeVirt)
  • 掲載: 9/9（水）・以降も KubeVirt が継続言及
  • ハブ/スポーク構成で、限定的な権限しか持たない利用者が cluster-admin 相当まで昇格できる欠陥が一群で公開（cluster-curator-controller の Job 注入 CVE-2026-73268 / RBAC 昇格 CVE-2026-73269、CSR 検証不備 CVE-2026-66795、KubeVirt virt-handler の symlink 経由ノード乗っ取り CVE-2026-7374 など）。侵害範囲が管理下の全クラスタに及び得ます。
  • 対策: Red Hat 提供の RHSA を適用。当面はクラスタ管理系リソース（ClusterCurator 等）への create/update 権限を最小化。

週間トレンド分析

  • npm/JavaScript エコシステムへの集中: 今週はnpm系の主要OSSにCriticalが連日並びました。vm2（10.0）・axios（9.9）・protobufjs（9.8）・Immutable.js（9.8）・Rollup（任意ファイル書き込み 9.8）・Next.js/Astro（未認証RCE）と、フロント〜ビルド〜ランタイムの各層に及びます。package-lock.json を起点に npm audit で機械的に洗い出すのが有効です。
  • 悪用確認済み（KEV / actively exploited）の境界機器が継続: MikroTik RouterOS（cert.pl が悪用観測・9/7）、Lantronix EDS5000（CISA KEV・9/9）、WatchGuard Fireware VPN（CISA KEV・9/10）、Cisco FMC（CISA KEV・9/10〜11）と、外部公開されるネットワーク機器の実悪用が週を通して報告されました。CVSSの高低より先に、外部到達面のパッチ適用状況を確認すべき週でした。
  • クラウド/クラスタ基盤の権限昇格: OpenShift/RHACM/MCE/KubeVirt（9/9）、Argo CD の Secret 漏えい（9/8）、OpenStack keystonemiddleware の権限昇格（9/11）、Kubernetes Konnectivity の認証欠如（9/7）と、マルチテナント基盤の「限定権限→管理権限」パターンが目立ちました。
  • CWE傾向: デシリアライズ/コード注入（CWE-94, CWE-502）、プロトタイプ汚染（CWE-1321）、認証・認可バイパス（CWE-287, CWE-288, CWE-306, CWE-863）、Linux kernel のメモリ破壊（CWE-787, CWE-667）が繰り返し登場しました。
  • 共通ライブラリ層: libxml2（9.1）・libpcap・libarchive・libxslt、Linux kernel（netfs / IPv6 RPL / netfilter / cifs）など、多数のディストリ・アプリが依存する部品の修正が週を通して並びました。個別アプリより先にOS標準パッケージの更新棚卸しを推奨します。

日別ダイジェスト

まとめ・来週の注目ポイント

今週の最重要は、CISA KEV 収録で悪用確認済みの Cisco Secure Firewall Management Center（CVSS 10.0） です。境界防御の管理面が未認証で乗っ取られ得るため、対象環境は他作業に優先して修正版適用とアクセス元制限を実施してください。次いで、ユーザー投稿コード／画像をサーバ側で処理する構成は vm2（3.11.3以降） と Next.js/Astro（15.5.24・16.3.3／7.2.8以降） の更新が急務です。

依存ライブラリ側では axios を 1.16.0 以降へ引き上げると、今週判明したSSRF・プロトタイプ汚染の両方を一度に解消できます。Rollup・Immutable.js・protobufjs も含め、npm audit / pip-audit / govulncheck での棚卸しを来週の初動として推奨します。境界機器（MikroTik / Lantronix / WatchGuard / Cisco）の実悪用が続いているため、来週も外部公開面のKEV追随を最優先に、パッチ適用状況の点検を継続してください。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

Xでシェアはてブ
データソース: NVD API 2.0 (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
"This product uses the NVD API but is not endorsed or certified by the NVD."
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。