今週（10/19〜10/23）はNVD新規CVEが合計800件、うちCriticalが63件・Highが394件でした。週の前半はWordPressプラグイン群やfree5gc、rsyncデーモンなど個別のCritical脆弱性が中心でしたが、週後半（金曜）にOracleの2026年10月CPUによるCritical脆弱性17件の一括公開と、Next.jsの認証不要RCE2件が同日に重なり、週全体のCritical件数を大きく押し上げました。FortiOSの既知悪用脆弱性（CISA KEV掲載）も金曜に再表面化しており、エンタープライズ・フロントエンド双方の開発者に確認が必要な一週間でした。
週間サマリーテーブル
| 指標 | 月19 | 火20 | 水21 | 木22 | 金23 | 週合計 |
|---|---|---|---|---|---|---|
| 新規CVE（NVD） | 0件 | 200件 | 200件 | 200件 | 200件 | 800件 |
| Critical | 8 | 8 | 12 | 9 | 26 | 63件 |
| High | 49 | 58 | 92 | 74 | 121 | 394件 |
※ 月曜はNVDへの新規CVE登録がなく、GHSA（GitHub Advisory Database）で確認されたCritical/High件数を集計しています。火〜金のNVD件数は「重複除去後」の件数です。
注目脆弱性 TOP5
Oracle 2026年10月CPU：Hyperion/Access Manager等でCritical脆弱性17件（最大CVSS10.0）
- CVSSスコア: 最大10.0（代表例: CVE-2026-70880、CVE-2026-70921）
- 影響ソフトウェア: Oracle Hyperion Data Relationship Management、Oracle Hyperion Financial Management、Oracle Access Manager（CVE-2026-70905、CVSS9.8）など
- 掲載日: 10/23（金）
- 概要: 2026年8月公開のOracle Critical Patch Updateに含まれる脆弱性群が、金曜にNVD上で一括して詳細更新されました。未認証の攻撃者がネットワーク経由でシステムを乗っ取れるとされ、Access ManagerはSAML認証経由で悪用可能とされています。SSO基盤として広く使われているため影響範囲は大きめです。
- 対応状況: Oracleの2026年8月CPU（cspuaug2026）に含まれる修正パッチの適用が必要です。
Next.js：認証不要RCEが同日2件（use cache関数 / Image Optimization API）
- 深刻度: いずれもCritical（GHSA-673q-mjm6-r5xr、GHSA-2464-fhr4-w9xw）
- 影響ソフトウェア: Next.js（App Router + Cache Components、Image Optimization API）
- 掲載日: 10/23（金）
- 概要:
use cache関数が複数の型付き配列を返す構成を悪用するRCEと、SVGファイルを使ったImage Optimization API経由のRCEが同日に公開されました。いずれも未認証での悪用が可能とされています。 - 対応状況: Next.js 15.5.28または16.4.1以降へのアップデートが必要です。
FortiOS：既知悪用脆弱性が再表面化（CVE-2024-21762、CVSS9.8）
- CVSSスコア: 9.8（Critical）
- 影響ソフトウェア: FortiOS 7.4.0〜7.4.2他、FortiProxy各系統
- 掲載日: 10/23（金）
- 概要: 境界外書き込みの脆弱性で、特定のリクエストにより攻撃者が不正なコードやコマンドを実行可能です。CISAのKnown Exploited Vulnerabilities（KEV）カタログに掲載されており、実際の悪用が確認されています。
- 対応状況: ベンダー提供の修正済みバージョンへの至急アップデートが必要です。
rsyncデーモンのヒープバッファオーバーフロー（CVE-2024-12084、CVSS9.8）
- CVSSスコア: 9.8（Critical）
- 影響ソフトウェア: rsync（ファイル同期ツール）のrsyncdデーモン
- 掲載日: 10/22（木）
- 概要: 攻撃者が制御可能なチェックサム長（s2length）の処理に不備があり、
MAX_DIGEST_LENが固定長のSUM_LENGTH（16バイト）を超える場合にsum2バッファへ境界外書き込みが発生します。rsyncdをネットワークに公開している場合は影響が大きくなります。 - 対応状況: ディストリビューション提供の修正済みrsyncパッケージへの更新が必要です。
phpMyFAQ：WebAuthn認証バイパス（CVE-2026-111911、Critical）
- 深刻度: Critical
- 影響ソフトウェア: phpMyFAQ 4.0.0以上4.1.9未満
- 掲載日: 10/19（月）
- 概要: WebAuthn認証情報の処理に不備があり、認証情報を注入することで認証を回避できる脆弱性です。管理画面への不正アクセスにつながる可能性があります。
- 対応状況: 4.1.9以降へのアップデートが必要です。
週間トレンド分析
Critical件数は週後半に急増: 月〜木は8〜12件で推移していましたが、金曜はOracle CPUの一括公開とNext.jsのRCE2件が重なり26件まで跳ね上がりました。週単体では「平日はWordPressプラグインやLinuxカーネルの既知脆弱性クラスタが中心、金曜にベンダー一括公開が重なる」という構図が見られます。
認証・認可不備が繰り返し登場: phpMyFAQのWebAuthn認証バイパス（月）、free5gcの認可不備（水）、BMC Helix Network ManagementのSAML認証バイパス（月）、Oracle Access ManagerのSAML経由認証不要アクセス（金）など、認証・認可処理の不備が週を通して繰り返し報告されています。SSO・認証基盤を運用している場合は特に注意が必要です。
Linuxカーネルの既知脆弱性クラスタが複数日連続: 水（11件）・木（8件）・金（3件）と、stableツリーで既に修正済みの脆弱性へ事後的にCVE番号が付与されるケースが連日確認されました。いずれも最新のカーネルセキュリティアップデートを適用済みであれば影響を受けません。
エコシステム別では npm・PyPI が目立つ週: npmはNext.js・Vite・launch-editorの複数脆弱性（木・金）、PyPIはMercuryの認証不要RCE（火）、certifi/uvのルート証明書信頼問題（木）、Pillowのヒープバッファオーバーフロー（木）が報告され、フロントエンド・Python開発者双方への影響が目立ちました。GHSAの集計では水曜にNuGetが496件と突出していますが、これは.NET系パッケージの一括登録によるもので、個別対応が必要な件数ではありません。
WordPressプラグインは今週も定番の供給源: Conversational Forms for Chatbot、BookTics、OttoKit（月）、Drag and Drop File Upload for Elementor Forms、WP Funnel Manager、Miraculous Core Plugin（火）、JetSearch（金）など、週を通して複数のCriticalが報告されています。WordPress運用者はプラグインの定期的な更新確認が引き続き重要です。
日別ダイジェスト
- 10/19（月）: GHSA Critical 8件 — phpMyFAQのWebAuthn認証バイパスが最も深刻
- 10/20（火）: 新規CVE200件・Critical8件 — WordPressプラグインにCVSS10.0の任意ファイルアップロード
- 10/21（水）: 新規CVE200件・Critical12件 — free5gcの認可不備(CVSS9.8)とLinuxカーネル既知脆弱性11件
- 10/22（木）: 新規CVE200件・Critical9件 — rsyncデーモンのヒープバッファオーバーフロー(CVSS9.8)とcertifi/uv証明書問題
- 10/23（金）: 新規CVE200件・Critical26件 — Oracle Hyperion等Critical17件とNext.js認証不要RCE2件
まとめ・来週の注目ポイント
今週は週の前半が個別製品のCritical脆弱性（phpMyFAQ、WordPressプラグイン各種、free5gc、rsync）、週後半がベンダー一括公開（Oracle CPU）とフロントエンド基盤の認証不要RCE（Next.js）という、異なる性質の脅威が組み合わさった一週間でした。特にOracle Hyperion/Access Manager、Next.js、FortiOSの3件は影響範囲が広いため、該当環境を運用している場合は優先的にパッチ適用状況を確認してください。
来週はOracle CPUに含まれるその他の脆弱性の詳細化や、Next.jsのRCEに関連した実際の悪用報告が出てくるか注目したいところです。またLinuxカーネルの既知脆弱性クラスタへの事後CVE付与が複数週にわたり続いているため、カーネルセキュリティアップデートの適用状況を定期的に見直すことをおすすめします。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。