ワークフロー基盤 Kestra の CVE-2026-49869(CVSS 10.0、CWE-78)を、GitHub Security Advisory・NVD・CISA KEV・Microsoft の観測レポートという一次情報で整理します。endsWith による末尾一致で認証フィルタが素通しになった原因、なぜ認証バイパスが即RCEになるのか、Dockerソケットが被害を増幅した経緯、2026年9月7日の追加修正までを追います。
SonicWall SMA1000 の2つのゼロデイ CVE-2026-83548(CVSS 10.0、CWE-918のプリ認証SSRF)と CVE-2026-83549(CWE-78、AMCのOSコマンドインジェクション)を、製品ノーティス SNWLID-2026-0016、CVEレコード、NVD、CISA KEV の JSON フィードという一次情報から整理します。連鎖して未認証RCEに至る構図、影響バージョンと修正ホットフィックス、7月の同型ゼロデイとの関係、確認手順とログ調査の観点までまとめます。
JFrog Artifactory の認証バイパス CVE-2026-82329(CVSS 9.8、CWE-287)を、JFrog公式アドバイザリ・CVEレコード・NVD・CISA KEVという一次情報で整理します。対象バージョンと修正版、SaaSが対象外である理由、join keyを使った緩和策、KEV是正期限、ログ調査とトークン棚卸しまで実務手順をまとめます。
2026年9月3日にChromeが修正し、翌4日にCISA KEVへ追加されたV8の型混同ゼロデイCVE-2026-85046を、Chrome Releasesの公式投稿・CVEレコード・KEVのJSONフィード・V8のコミットログという一次情報で整理します。PACKED_ELEMENTSの配列がPACKED_SMI_ELEMENTSのMapを受け取る仕組み、Array.prototype.sortのインライン化とcomparefnの副作用、書き込みバリアの省略がなぜ任意読み書きにつながるのか、「サンドボックス内での任意コード実行」の実際の意味、Edge・Brave・Electronへの波及、そして企業での更新強制まで。
2026年9月2日にCISA KEVへ追加されたStarletteのCVE-2026-48710（通称BadHost）を、CVEレコード・GitHub Security Advisory・修正コミット・KEVのJSONフィードという一次情報で整理します。Hostヘッダに区切り文字が1文字入るだけでrequest.url.pathがscope[path]とズレる仕組み、CVSS 6.5という控えめなスコアで悪用が確認された経緯、FastAPIの依存範囲に潜む落とし穴、恒久対策としてのscope参照への切り替え、TrustedHostMiddlewareとリバースプロキシによる暫定緩和、同日KEV追加7件の傾向、そしてログ調査の観点まで。
2026年8月27日にPaperCutが緊急公表したNG/MFのゼロデイ2件が、8月31日にCISA KEVへ追加されました。認証チェック完了前にバックエンド処理が走るCVE-2026-81578と、DBドライバ名を検証せずクラスロードするCVE-2026-82078。単体では未認証RCEにならない2つが連鎖する構造、CVSSが8.8と9.4に割れる理由、緊急パッチRelease 3のビルド番号、公式が公開したIoCとログ調査手順、そして2023年のPaperCut事件との違いを一次情報から整理します。
2026年6月30日にCitrixがDoSとして公表・修正したNetScaler ADC / Gatewayの脆弱性CVE-2026-8452は、8月14日のwatchTowr Labsの解析で未認証RCEに到達できることが示され、8月26日にCISA KEVへ追加されました。SAML署名の正規化処理で起きるヒープオーバーフローの中身、CVSSが8.8と9.8に割れる理由、影響ビルドの確認手順、パッチ済みでも必要な侵害調査と事後対応を一次情報から整理します。
2026年8月6日、AppleがCVE-2026-65400だけを修正する臨時アップデートをmacOS Tahoe 26.6.1 / Sequoia 15.7.9 / Sonoma 14.8.9に配布しました。公開時点で悪用の言及はありませんでしたが、6日後にオランダNCSCが実際の悪用を確認し、8月18日にCISA KEVへ追加されます。一次情報で確認できる事実、CVSSが7.1と9.8に割れている理由、そして自分のMacの露出確認と対処をまとめます。
2026年8月6日に公表されたMetabaseの未認証SQLインジェクション CVE-2026-72898 を、GitHub Security Advisory・Metabase公式ブログ・NVD・CISA KEVのJSONフィード・公式リポジトリのコミット差分という一次情報で整理します。CVSS 10.0の内訳、KEV是正期限わずか3日、同時公表された兄弟CVE 2本、回避策だけでは塞げない別経路、修正版がGitHub上に存在しないという運用上の罠、そしてアップグレード後にやるべき事後対応まで。
2026年8月のMicrosoft Patch Tuesdayで修正されたWindows DNS Serverのリモートコード実行脆弱性CVE-2026-62878を一次情報で整理します。CVSS 9.8のスタックバッファオーバーフローで、未認証・ユーザー操作不要のためZero Day Initiativeはワーム化可能と評価しています。悪用済みゼロデイCVE-2026-68820(afd.sys、Lazarusが悪用)や8月の全体像(約421件)、対象バージョンと修正KB、SIGRed(CVE-2020-1350)との比較までまとめます。
MSP向けRMM基盤N-able N-centralの認証バイパスCVE-2026-18577を一次情報で整理します。CVE-2026-18556の不完全修正に起因するCWE-288で、CVSS v4.0は8.2。2026年8月1日から実悪用が観測され、8月3日にCISA KEV追加、是正期限は8月6日。Take Control悪用とcloudflaredによる永続化、修正版2026.3.1.7と2026.3.1.10、侵害確認の手順までまとめます。
AIワークフロー基盤LangflowのCVE-2026-9198(CVSS 9.8)を一次情報で整理します。auto_loginが配るsuperuserトークンとvalidate/codeのexec()実行が連鎖し、既定構成のまま未認証RCEが成立。2026年8月4日にCISA KEV追加、是正期限は8月7日。対象バージョン1.0.0から1.10.0、修正版1.10.1、侵害確認手順までまとめます。
SD-WAN管理基盤VeloCloud OrchestratorのCVE-2026-16812を一次情報で整理します。CVSS 3.1/4.0とも満点10.0、未認証・回避策なしで既に悪用中、CISA KEV即日追加。対象バージョンと侵害確認手順をまとめます。
Broadcomが2026年7月29日に公開したVMSA-2026-0006を一次情報で整理します。vCenterのVMware Directory Service認証バイパスCVE-2026-59309とSyslogサーバのディレクトリトラバーサルCVE-2026-59310はいずれもCVSSv3.1で9.8、回避策なし。対象バージョン、修正リリース、運用者が今すぐやることをまとめます。
Cisco Secure Firewall Management CenterのハードコードパスワードCVE-2026-20316を一次情報で整理します。CVSS5.3ながらSIRはHigh、実悪用でCISA KEV入り。ホットフィックスと侵害確認手順をまとめます。
Googleが2026年7月30日の公式ブログで、Chrome 149と150の2マイルストーンで1,072件のセキュリティバグを修正し、直前23マイルストーンの合計を上回ったと発表しました。同日公開のChrome 151も370件を修正し、うち349件はGoogle自身の報告です。本記事では公式リリースノートを一次情報として件数と深刻度の内訳を数え直し、Geminiベースのエージェントハーネスによる脆弱性発見、自動トリアージ、修正パッチ生成の仕組みと、CVE件数インフレ・バグバウンティ縮小・パッチ適用運用への影響を整理します。
GitLabが2026年7月29日に公開したセキュリティパッチリリース(19.2.1/19.1.3/19.0.5)を、公式リリースノートの一次情報にもとづき整理します。CVSS8.5のWorkhorse情報漏えいCVE-2026-6267、Pipeline Schedule APIのmass-assignment CVE-2026-12436、未認証DoSのCVE-2026-15975を含む13件のCVEの技術的内容と、Self-managed利用者が取るべき対応手順を解説します。
2026年7月29日、Node.jsが v26.5.1/v24.18.1/v22.23.2 でCVE 11件を一斉修正しました。HTTP/2のmaxSessionMemory回避・heap-use-after-freeと、Permission Modelのパス照合過剰許可というHIGH評価3件を中心に、仕組みと実務対応を整理します。
AWS のエージェント型AI IDE「Kiro」で、汚染Webページの隠しテキストが Kiro に自身の設定ファイル `mcp.json` を書き換えさせ悪性MCPサーバ経由でRCEに至る脆弱性 CVE-2026-10591（CVSS 8.8）を一次情報で整理します。2026年7月頃に公表・7/22付番、0.11 未満が影響、v0.11 で修正。承認ダイアログが機能しなかった理由と対策までまとめます。
Check Point の SmartConsole 認証バイパス脆弱性 CVE-2026-16232 を一次情報で整理します。未認証の攻撃者が管理サーバのログイントークンを奪い管理者権限を得る CVSS 9.1（ベンダー評価9.3）の重大な欠陥で、2026年7月に実悪用が確認され CISA KEV に追加、修正期限は7月25日です。影響バージョンと Jumbo Hotfix、緩和策までまとめます。
Next.js の月次セキュリティリリースプログラム初回実リリースが2026年7月20日に公開されました。パッチ版 16.2.11(Active LTS)/15.5.21(Maintenance LTS) で HIGH 4件・MEDIUM 5件の計9件を修正。SSRF・Open Redirect・middlewareバイパス・Server Actions の DoS など発火条件と対応を実務目線で整理します。
2026年7月のMicrosoft Patch Tuesdayは公開史上最多の約622件のCVEを修正しました。実際に攻撃されているSharePoint・ADFSのゼロデイ、深刻度スコアの落とし穴、そして実務者がやるべき優先度付けを一次〜準一次情報で整理します。
SAP が2026年7月14日のセキュリティパッチデーで公開した3件の重大脆弱性を一次〜準一次情報で整理します。NetWeaver AS ABAP のメモリ破壊 CVE-2026-44747（CVSS 9.9）、Approuter のHTTPリクエストスマグリング CVE-2026-27690（CVSS 9.1）、Commerce Cloud のサンプル認証情報放置 CVE-2026-44761（CVSS 9.1）について、影響製品・SAP Note番号・実務での優先順位を解説します。
JetBrains が2026年6月下旬から7月初頭にかけて公表した Hub/YouTrack のアカウント乗っ取り（CVE-2026-56141、CVSS 9.8）と認証バイパス（CVE-2026-50242）、IntelliJ IDEA の RCE（CVE-2026-49382/49366）を一次〜準一次情報で整理します。CWE-338 の予測可能な復元コード、認証基盤 Hub 経由で CI/CD まで波及する影響範囲、修正版へのアップグレード手順と自衛策をまとめます。
Adobe が2026年6月30日に公開した ColdFusion のセキュリティ速報 APSB26-68 を一次〜準一次情報で整理します。11件の脆弱性のうち6件が CVSS 10.0、多くが認証不要でのリモートコード実行（RCE）につながる深刻な内容です。CVE-2026-48276 などの不正ファイルアップロードやパストラバーサルの中身、影響を受ける ColdFusion 2025/2023 のバージョン、Update 10/21 への更新と緩和・検知の実務をまとめます。
Linux カーネルの epoll サブシステムに見つかった use-after-free 脆弱性 Bad Epoll(CVE-2026-46242)を、NVD などの一次〜準一次情報ベースで整理します。ep_remove() の競合状態からローカルの一般ユーザーが root を奪える仕組み、影響するカーネルバージョンと Android への波及、そして「同じ 2023 年のコミットが混入させた隣の競合バグを Anthropic の Mythos が見つけ、Bad Epoll だけを見逃した」という話題性のある経緯まで解説します。2026 年 7 月時点の続報(実際の悪用は未確認・CISA KEV 未掲載、修正が公開開示に先行、ディストリのバックポートは配布途上)も追記しました。
Microsoft SharePoint Server の RCE 脆弱性 CVE-2026-45659（CVSS 8.8、CWE-502 デシリアライズ）を一次〜準一次情報ベースで整理します。2026年7月2日の CISA KEV 追加、7月4日の連邦是正期限、Site Member 権限だけで悪用可能な攻撃条件、影響を受ける SharePoint Server 2016/2019/Subscription Edition、そしてパッチ適用・緩和・検知の実務対応をまとめます。
Cato Networks が公表した Cursor IDE の2つの重大 RCE 脆弱性「DuneSlide」（CVE-2026-50548 / CVE-2026-50549、CVSS 9.8）を一次情報ベースで整理します。run_terminal_cmd の working_directory パラメータ悪用と symlink 解決フォールバックの悪用が、ゼロクリックのプロンプトインジェクションからサンドボックス脱出・完全なシステム侵害に至る仕組みと、いま打つべき対策をまとめます。
App Router の Server Function エンドポイントを狙うデシリアライズ由来の DoS 脆弱性 CVE-2026-23864 / CVE-2026-23869 を解説します。影響有無の確認方法、上げるべき Next.js のバージョン、WAF などの緩和策を実務目線でまとめました。
2026年6月18日のNode.jsセキュリティリリースは、HIGH 2件を含む12件のCVEを全アクティブライン(22/24/26)で一斉修正しました。中でも目立つのは、ワイルドカード証明書を回避する CVE-2026-48618(Unicodeドット問題)を筆頭にしたTLSホスト名検証バイパスの集中修正です。なぜ「ホスト名を正しく比較する」だけのことがこれほど壊れやすいのか、各CVEの仕組みと、いま実務でやるべきことを整理します。
WhatsApp/TelegramからPCを操作できるオープンソースAIエージェント「OpenClaw」は2026年1月のリリースから半年弱で約36万GitHubスターに到達し、史上最も注目を浴びるOSSとなりました。一方で2026年2月の大規模セキュリティ嵐（複数CVE、ClawJacked、悪意ある340件のスキル）と、4月の堅牢化アップデートまでを最新情報で解説します。
Next.jsの脆弱性CVE-2025-55182（React2Shell）を悪用したクリプトマイナー感染の実際の事例を報告します。発見の経緯、感染状況、そして行った対策について詳しく解説します。
React Server Componentsに認証不要でリモートコード実行（RCE）可能な脆弱性「React2Shell」が発見されました。CVSSスコアは最大値の10.0。Next.js含む多くのフレームワークが影響。今すぐ対応が必要です。