今週（10/26〜10/30）は新規・更新CVEが合計1,167件報告され、そのうちCriticalが101件、Highが444件でした。最大の特徴はCISAの既知の悪用脆弱性カタログ（KEV）に3件（Kestra、Fortinet FortiMail、Adobe Commerce）が新たに追加された点で、いずれも実環境での悪用が確認されています。あわせてNext.jsの未認証RCE2件が週の前半から後半まで継続して複数の日報に登場し、App RouterやImage Optimization APIを使うプロダクトは広範囲に影響を受けました。全体件数は月曜（367件）が突出して多く、火〜金は200件前後で安定していました。
週間サマリーテーブル
| 指標 | 月(10/26) | 火(10/27) | 水(10/28) | 木(10/29) | 金(10/30) | 週合計 |
|---|---|---|---|---|---|---|
| 新規・更新CVE | 367 | 200 | 200 | 200 | 200 | 1,167件 |
| Critical | 33 | 13 | 22 | 23 | 10 | 101件 |
| High | 124 | 104 | 75 | 76 | 65 | 444件 |
注目脆弱性 TOP5
CVE-2026-49869 / CVE-2026-53576: Kestraの認証バイパスによる未認証RCE（CVSS 10.0, CISA KEV）
ワークフロー基盤KestraのREST APIで、認証フィルタがリクエストパスの末尾が /configs かどうかだけを見て公開エンドポイントと判定していたため、末尾一致するあらゆるAPIパスが認証なしで通過してしまう問題です。未認証の攻撃者がワークフローを作成・実行でき、デフォルトでスクリプト実行プラグインが有効なためworkerコンテナ内でrootとして任意コード実行が可能になります。公式docker-compose.ymlが /var/run/docker.sock をマウントしているため、Dockerホストへの侵害にも繋がりえます（CVE-2026-53576）。CISAの実被害確認済みリスト（KEV）にも掲載されており、1.0.45／1.3.21で修正済みです。掲載日: 10/26。
CVE-2026-104286: Fortinet FortiMailのパストラバーサル（CVSS 9.8, CISA KEV）
不正なパス指定により認証なしでHTTP/HTTPSリクエストから任意のファイルを書き込める脆弱性です。FortiMail 8.0.0、7.6系、7.4系、7.2系、7.0系全バージョンが対象で、CISAのKEVに追加され実環境での悪用が確認されています。Fortinet公式アドバイザリ（FG-IR-26-175）の修正バージョンへ速やかな更新が必要です。掲載日: 10/29。
CVE-2026-48356: Adobe Commerce（Magento）の危険なファイルアップロード（CVSS 9.3, CISA KEV）
危険な種別のファイルを無制限にアップロードできる不備で、被害者が悪意あるURLにアクセスする等の操作を通じて現在のユーザー権限でのコード実行に繋がる可能性があります。CISAのKEVに追加され、大規模な攻撃が実際に観測されています。Adobe公式アドバイザリAPSB26-73のパッチ適用が必要です。掲載日: 10/29。
Next.jsの未認証RCE2件（use cache関数／Image Optimization API）
App RouterでCache Componentを有効にし複数の型付き配列を返すuse cache関数を持つアプリケーションが対象のRCE（GHSA-673q-mjm6-r5xr）と、glibc系Linux上で依存ライブラリsharpの脆弱性を介したSVG処理RCE（CVE-2026-96889）の2件です。いずれも既知の回避策がなく予防的なアップデートが推奨されています。next 16.4.1（および15.5.28）で修正済みです。この2件は10/26・10/27・10/28・10/29の4日間にわたり繰り返し報告され、週全体でフロントエンドチームに最も注意を促した脆弱性でした。
CVE-2026-33765: Pi-hole Admin InterfaceのOSコマンドインジェクション（CVSS 9.8）
管理画面の設定保存処理（savesettings.php）がユーザー入力をサニタイズせずにシェルコマンドへ渡しており、sudo権限で実行されるコマンドに任意のコマンドを注入できる脆弱性です。突かれればroot権限の奪取につながります。v6.0で修正済みです。掲載日: 10/28。
週間トレンド分析
- エコシステム傾向: npm、特にNext.js/Nuxt/Astro/Viteのフレームワーク群が5日連続で脆弱性報告の常連となりました。Next.jsの未認証RCE2件は週を通して複数日の日報に再掲され、影響の大きさが浮き彫りになっています。
- 脆弱性タイプの傾向: 認証バイパス・コマンドインジェクション系が目立ちました。Kestra・Pi-hole・Fleet・Snipe-IT・parse-serverなど、管理コンソールやワークフロー基盤のデフォルト設定不備（Kestraの末尾一致判定、OpenProjectの固定SECRET_KEY_BASEなど）が共通の弱点として浮かび上がっています。
- CISA KEV登録: 今週はKestra・FortiMail・Adobe Commerceの3件がCISAのKEVに新規追加されました。いずれも実環境での悪用が確認済みであり、他の未パッチ脆弱性より優先度を上げて対応すべき週でした。
- 件数の推移: 月曜（367件）が週内で突出して多く、火〜金は200件前後で推移。Critical件数は月曜33件から金曜10件まで減少傾向にありますが、Highは全日で65件以上と高止まりしています。
- AI関連ソフトウェアの脆弱性: Spring AI（SpEL injection）、nanobot（メール経由のプロンプトインジェクション）、PraisonAI（シェルコマンドインジェクション）、LibreChat（SSRF保護バイパス）と、LLMを組み込んだアプリケーション特有の脆弱性が水曜を中心に複数報告されました。入力検証・SSRF対策の重要性が改めて浮き彫りになっています。
日別ダイジェスト
- 10/26（月）: CVE 367件 — Kestraの未認証RCE(CVSS10.0, CISA KEV)が最も深刻
- 10/27（火）: CVE 200件 — Next.jsのRCEとFirefox/Thunderbirdの緊急パッチ
- 10/28（水）: CVE 200件 — Pi-hole/Fleetのroot権限奪取コマンドインジェクション
- 10/29（木）: CVE 200件 — Fortinet FortiMailとAdobe CommerceがCISA KEVに追加
- 10/30（金）: CVE 200件 — Apache CXFのXXE脆弱性が最も深刻
まとめ・来週の注目ポイント
今週はCISAのKEVに3件（Kestra、FortiMail、Adobe Commerce）が追加され、いずれも実環境での悪用が確認済みという緊張感のある週でした。該当製品を運用している場合は最優先でパッチ適用状況を確認してください。またNext.jsの未認証RCE2件は週の前半から後半まで継続して報告され、App RouterやImage Optimization APIを使うプロダクトは広範囲に影響を受けています。Kestra・Pi-hole・Fleet・Snipe-ITなど管理コンソール系ソフトウェアの認証バイパス・コマンドインジェクションが目立った点も踏まえ、デフォルト設定（固定SECRET_KEY_BASEや末尾一致の認証判定など）を見直す棚卸しを推奨します。
来週はSpring AI・nanobot・LibreChatのようなAI関連ソフトウェアの脆弱性が今週に続いて報告される可能性があり、LLMを組み込んだアプリケーションを運用しているチームは入力検証・SSRF対策の状況を改めて確認しておくとよいでしょう。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。