2026年11月14日 CVE脆弱性レポート｜Apache APISIXとDataSketches C++の新規9件を詳しく解説
2026年11月13日11時から11月14日11時までに新たに確認したCVEは9件で、全てApache Software Foundationの製品でした。内訳は危険（中）4件、注意（低）5件です。Apache APISIXの認証・認可回避が7件を占め、いずれも3.20.0で修正されています。最も優先度が高いのは未認証で認証を回避できるCVE-2026-124679（CVSS 4.0で7.8）とCVE-2026-124680（同7.0）です。Apache DataSketches C++では信頼できないスケッチのデシリアライズによるヒープメモリ破壊が2件報告され、5.3.1で修正されています。対象製品を使っている場合は、各CVEの対象バージョンと対策を確認してください。
本日の要点
確認期間は2026年11月13日11時から11月14日11時（日本時間）です。対象としたApache、PHP、Node.js、Postfix、SSH、SSL、Django、Python、Next.js、React.js、Linuxの11製品のうち、新規CVEがあったのはApache製品のみで、合計9件でした。
- Apache APISIX：7件。認証バイパス（なりすまし）と不正な認可が中心で、修正版は全て3.20.0です。APIゲートウェイは外部と内部の境界に置かれるため、認証・認可の回避は「本来入れるはずのない相手が上流APIに到達する」問題に直結します。該当バージョンを使っている場合は最優先で更新してください。
- Apache DataSketches C++：2件。KLLスケッチとREQスケッチのデシリアライズ時の範囲外書き込み（CWE-787）で、細工されたデータを読み込むとヒープメモリが破壊される恐れがあります。修正版は5.3.1です。
- 特に優先度が高いもの：CVE-2026-124679（CVSS 4.0スコア7.8）とCVE-2026-124680（同7.0）。いずれも条件を満たす構成では未認証のクライアントが保護された上流に到達できる可能性があります。
まずやるべき対策
- Apache APISIXを使っている場合は、バージョンが3.19.0以下でないか確認し、3.20.0以降へアップグレードする。特にjwe-decrypt、forward-auth、multi-auth（wolf-rbac）、mTLSの除外設定を使っている構成は優先する。
- Apache DataSketches C++を使っている場合は5.3.1以降へアップグレードする。アップグレードまでの間は、信頼できない送信元から受け取ったスケッチデータをデシリアライズしない。
- アップグレードがすぐできない場合は、ゲートウェイの外側で不要なパスやメソッドを遮断し、認証ヘッダーをクライアントから直接受け付けないよう中継設定を見直す。
CVE-2026-123274｜Apache DataSketches C++ 2.0.0〜5.3.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache DataSketches C++ 2.0.0〜5.3.0
- 修正バージョン：Apache DataSketches C++ 5.3.1以降
概要
Apache DataSketches C++における範囲外書き込みの脆弱性。信頼できない送信元からKLLスケッチをデシリアライズするアプリケーションは、シリアライズされたレベル境界が検証されていなかったため、細工されたスケッチによってヒープメモリが破壊される可能性がある。この問題はApache DataSketches C++ 2.0.0から5.3.0までに影響する。バージョン5.3.1へのアップグレードが推奨される。
この脆弱性（CVE-2026-123274）は、Apache DataSketches C++における範囲外書き込みの脆弱性（CWE-787）である。信頼できない入力からKLLスケッチをデシリアライズする際に、シリアライズされたレベル境界が適切に検証されず、ヒープメモリ破壊を引き起こす可能性がある。2.0.0から5.3.0までのバージョンに影響し、Apache Software Foundationはバージョン5.3.1で修正した。
影響
信頼できない送信元からKLLスケッチをデシリアライズするアプリで、細工されたスケッチによりヒープメモリが破壊される恐れ（CWE-787、CVSS未付与）。クラッシュや未定義の動作につながる可能性
信頼できない送信元から細工されたKLLスケッチをデシリアライズするとヒープメモリ破壊が発生する可能性があり、アプリケーションの不安定化やクラッシュにつながる恐れがある。実環境での悪用は報告されていない。
対策
Apache DataSketches C++を、この脆弱性が修正された5.3.1以降にアップグレードすること。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-123338｜Apache DataSketches C++ 3.0.0〜5.3.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache DataSketches C++ 3.0.0〜5.3.0
- 修正バージョン：Apache DataSketches C++ 5.3.1以降
概要
Apache DataSketches C++における範囲外書き込みの脆弱性。信頼できない送信元からREQスケッチをデシリアライズするアプリケーションは、シリアライズされたコンパクターヘッダーが検証されていなかったため、細工されたスケッチによってヒープメモリが破壊される可能性がある。この問題はApache DataSketches C++ 3.0.0から5.3.0までに影響する。バージョン5.3.1へのアップグレードが推奨される。
この脆弱性（CVE-2026-123338）は、Apache DataSketches C++における範囲外書き込みの脆弱性（CWE-787）である。信頼できない送信元からREQスケッチをデシリアライズするアプリケーションは、適切に検証されていない細工されたシリアライズ済みコンパクターヘッダーによりヒープメモリ破壊を被る可能性がある。3.0.0から5.3.0までのバージョンに影響し、Apache Software Foundationはバージョン5.3.1で修正した。
影響
信頼できない送信元からREQスケッチをデシリアライズするアプリで、細工されたスケッチによりヒープメモリが破壊される恐れ（CWE-787、CVSS未付与）。クラッシュや未定義の動作につながる可能性
信頼できない送信元から悪意を持って細工されたREQスケッチをデシリアライズするとヒープメモリ破壊が発生する可能性がある。アプリケーションのクラッシュや、メモリ破壊に関連するその他の未定義の動作につながる恐れがある。実環境での悪用は報告されていない。
対策
Apache DataSketches C++を、この脆弱性が修正された5.3.1以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124666｜Apache APISIX 3.8.0〜3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.8.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおけるなりすましによる認証バイパスの脆弱性。マルチ認証がwolf-rbacから他の成功した認証へフォールバックするルートでは、クライアントが指定したWolf IDヘッダーがリクエストに残る。そのため、文書化されたヘッダーを信頼する下流サービスは、成功した認証によって確立されていないIDを受け入れてしまう可能性がある。この問題はApache APISIX 3.8.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIXのこの脆弱性により、攻撃者はIDヘッダーをなりすまして認証をバイパスできる。具体的には、マルチ認証がwolf-rbacから他の成功した認証へフォールバックするルートでは、クライアントが指定したWolf IDヘッダーがクリアされずリクエストに残る。これらのヘッダーを信頼する下流サービスは、なりすまされたIDを受け入れてしまい、不正アクセスにつながる可能性がある。この脆弱性はApache APISIX 3.8.0から3.19.0までに影響する。バージョン3.20.0で修正された。
影響
マルチ認証がwolf-rbacから他の認証へフォールバックするルートで、クライアント指定のWolf IDヘッダーが残存し、下流サービスがなりすましIDを受け入れる恐れ（CWE-290、CVSS 4.0 6.4）
攻撃者は下流サービスが頼りにするIDヘッダーをなりすまし、それらのサービスに不正なIDを受け入れさせる可能性がある。これにより、認証にこれらのヘッダーを利用するシステム内で不正アクセスや不正な操作が行われる恐れがある。CVSS 4.0スコアは6.4（中程度）で、ネットワークからの攻撃ベクトル、低い攻撃複雑性、ユーザー操作不要を示す。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策はベンダーアドバイザリに示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124679｜Apache APISIX 3.18.0〜3.19.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.18.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおけるなりすましによる認証バイパスの脆弱性。strict: falseのjwe-decryptを使用し、forward_headerがトークンヘッダーと異なるルートでは、未認証のクライアントが、上流がゲートウェイで復号された平文として扱う値を指定できる。同様のことは、allow_degradation: trueでforward-authが設定され、認証サービスが利用できない場合にも起こり得る。この問題はApache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIXのこの脆弱性により、未認証の攻撃者が特定の設定下で復号済み平文の値をなりすまして認証をバイパスできる。strictをfalseに設定したjwe-decryptを使用し、forward_headerがトークンヘッダーと異なる場合、攻撃者は上流サービスがゲートウェイで復号されたものとして扱う値を指定できる。さらに、allow_degradationを有効にしたforward-authが設定され、認証サービスがダウンしている場合にも同様のバイパス条件が生じる。Apache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0で修正された。
影響
未認証の攻撃者が、jwe-decrypt（strict: false）やforward-auth（allow_degradation: true）の設定下でゲートウェイ復号済みとみなされる値を偽装し認証をバイパスできる恐れ（CWE-290、CVSS 4.0 7.8）
未認証の攻撃者が認証制御をバイパスし、保護されたリソースやサービスへ不正アクセスできる可能性がある。上流サービスがなりすまされた認証データをどの程度信頼するかに応じて、不正な操作やデータ漏洩につながる恐れがある。CVSS 4.0スコア7.8で高深刻度と評価され、悪用されれば重大なリスクがある。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この認証バイパスの脆弱性が修正された3.20.0以降にアップグレードすること。ベンダーアドバイザリに他の緩和策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124680｜Apache APISIX 0.9〜3.19.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 0.9〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける解釈の競合に起因する（不正な認可）の脆弱性。同一の上流に認証のないルートが存在し、上流がエンコードされたドットセグメントを折りたたまない場合、未認証のクライアントはルートレベルの認証プラグインで保護された上流パスに到達できる。この問題はApache APISIX 0.9から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIX 0.9から3.19.0には、不正な認可につながる解釈の競合（CWE-436）が存在する。具体的には、同一の上流に認証のないルートが存在し、上流がエンコードされたドットセグメントを正規化しない場合、未認証のクライアントはルートレベルの認証プラグインで保護されるべき上流パスにアクセスできる。この欠陥により、意図されたアクセス制御をバイパスできる。バージョン3.20.0で修正された。
影響
同一上流に認証なしルートが存在し、上流がエンコード済みドットセグメントを正規化しない場合、未認証クライアントがルートレベルの認証プラグインで保護された上流パスに到達できる恐れ（CWE-436、CVSS 4.0 7.0）
未認証の攻撃者がルートレベルの認証制御をバイパスし、保護された上流パスにアクセスして、機密性の高いリソースや機能を露出させる可能性がある。これは高深刻度の認可バイパスの脆弱性である。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124716｜Apache APISIX 1.4.0〜3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 1.4.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける不正な認可の脆弱性。ルートに必要な権限またはスコープのうちいずれか1つを持つ認証済みユーザーは、他の権限なしに保護された上流に到達でき、認可サーバーが拒否したHTTPメソッドも含まれる。この問題はApache APISIX 1.4.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIXのこの脆弱性（CWE-863）により、認証済みユーザーは、ルートに必要な権限またはスコープのうち1つだけを持つことで完全な認可チェックをバイパスできる。その結果、ユーザーは保護されるべき上流サービスにアクセスでき、認可サーバーが明示的に拒否したHTTPメソッドも含まれる。この欠陥はApache APISIX 1.4.0から3.19.0までに影響する。Apache Software Foundationはバージョン3.20.0で修正した。
影響
ルートに必要な権限・スコープのうち1つだけを持つ認証済みユーザーが、他の権限なしに保護された上流に到達できる恐れ（CWE-863、CVSS 4.0 6.4）。認可サーバーが拒否したHTTPメソッドも含む
有効な認証を持つが権限が限定された攻撃者が、完全な認可要件をバイパスし、保護された上流リソースにアクセスしたり、制限されるべきHTTPメソッドを実行したりできる可能性がある。これにより、影響を受けるApache APISIX環境内で不正アクセスや不正な操作が行われる恐れがある。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この不正な認可の脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124719｜Apache APISIX 3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおけるなりすましによる認証バイパスの脆弱性。ルートに設定されたヘッダーが呼び出し元のIDを運び、OpenAPI文書が同じヘッダーを宣言している場合、呼び出し元は上流APIに対して別のIDとして振る舞うことができる。この問題はApache APISIX 3.19.0から3.20.0未満に影響する。バージョン3.20.0へのアップグレードが推奨される。
この脆弱性は、ルートに設定されたヘッダーが呼び出し元のIDを運び、OpenAPI文書が同じヘッダーを宣言している場合に生じる。攻撃者はこれを悪用して呼び出し元IDヘッダーをなりすまし、実質的に認証をバイパスして上流APIに対して別のIDとして振る舞うことができる。影響を受けるバージョンは3.19.0から3.20.0未満である。Apache Software Foundationはバージョン3.20.0で修正した。
影響
ルート設定のヘッダーとOpenAPI文書が同じ呼び出し元IDヘッダーを宣言する場合、呼び出し元が他者のIDになりすまして上流APIを利用できる恐れ（CWE-290、CVSS 4.0 2.3）
この脆弱性により、ある程度の権限を持つ攻撃者（低い攻撃複雑性、一部の権限が必要）がIDヘッダーをなりすまして認証をバイパスし、上流APIに対して他のユーザーやサービスになりすます可能性がある。CVSSスコアは2.3と低く、影響と悪用可能性は限定的である。実環境での悪用は確認されていない。
対策
Apache APISIXを、この認証バイパスの脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124723｜Apache APISIX 3.18.0〜3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.18.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける解釈の競合に起因する不正な認可の脆弱性。match_uri_encoded_slashが有効でskip_mtls_uri_regexが設定されている場合、証明書を持たないクライアントは、証明書を要求するルート背後の上流に到達でき、免除されたURIにデコードされるリクエストパスに限られる。この問題はApache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
この脆弱性は、設定オプションmatch_uri_encoded_slashとskip_mtls_uri_regexが有効な場合のApache APISIXにおける解釈の競合に起因する。これらの条件下では、証明書を持たないクライアントが、クライアント証明書を要求するルート背後の上流サービスにアクセスできるが、免除されたURIにデコードされるリクエストパスに限られる。この不正な認可の欠陥はApache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードで修正される。
影響
match_uri_encoded_slashとskip_mtls_uri_regexが有効な場合、証明書を持たないクライアントが、クライアント証明書を要求するルート背後の上流に到達できる恐れ（CWE-436、CVSS 4.0 6.3）。免除URIにデコードされるパスのみ
攻撃者は特定のルートでクライアント証明書の要件をバイパスし、クライアント証明書認証に依存する保護されたリソースやサービスを露出させる恐れがある。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
CVE-2026-124726｜Apache APISIX 3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける相対パストラバーサルと意図しないプロキシの脆弱性。MCPエンドポイントの呼び出し元は、OpenAPI文書が宣言していないエンドポイントを、宣言されたツールのHTTPメソッドで、ルートが付与する認証情報を使って呼び出すことができる。この問題はApache APISIX 3.19.0から3.20.0未満に影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIX（3.19.0から3.20.0未満）におけるこの脆弱性は、相対パストラバーサルと意図しないプロキシ動作の組み合わせである。MCPエンドポイントを呼び出す攻撃者は、OpenAPI仕様に宣言されていないエンドポイントに、ツールに宣言されたHTTPメソッドとルートに割り当てられた認証情報を使ってアクセスできる。これにより、意図された範囲を超えたエンドポイントへの不正アクセスにつながる可能性がある。この欠陥はCWE-23として追跡され、CVSS 4.0ベーススコア6.9で中深刻度と評価されている。バージョン3.20.0で修正された。
影響
MCPエンドポイントの呼び出し元が、OpenAPI文書に宣言されていないエンドポイントを、宣言されたツールのHTTPメソッドとルートの認証情報で呼び出せる恐れ（CWE-23、CVSS 4.0 6.9）
攻撃者はこの脆弱性を悪用してMCPエンドポイント経由で宣言されていないエンドポイントを呼び出し、露出を意図していない機能やデータにアクセスできる可能性がある。これにより、影響を受けるルートの認証情報の下で不正な操作が行われる恐れがある。この脆弱性はユーザー操作を必要とせず、ネットワーク経由でリモートから悪用できる。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。 アップグレード後は、認証・認可に関わるルート設定が意図どおりに動作するか確認してください。
参考情報
まとめ
本日の9件は、いずれも修正版が公開済みです。Apache APISIXの7件は「認証・認可の境界をどう越えられてしまうか」が論点で、構成条件によって深刻度が変わります。自組織のプラグイン構成（multi-auth、jwe-decrypt、forward-auth、mTLS除外など）と照らして該当するCVEを特定し、3.20.0への更新を計画してください。DataSketches C++の2件は、外部から受け取るデータをライブラリに渡す設計そのものが攻撃面になる例です。5.3.1への更新に加え、入力データの出所を限定する運用も有効です。
本記事は2026年11月14日11時時点のCVE公開情報とOffSeq Threat Radarの分析をもとに作成しています。CVSSスコアが未付与のものは内容から深刻度を判定しています。最新の修正状況は各ベンダーの公式情報を確認してください。
Googleの優先するニュース提供元にSEの部屋を追加
Googleで、いつも読みたい情報源を選べます。登録可否はGoogleの画面で確認できます。
候補にSEの部屋が表示されない場合は、まだ追加できません。