2026年11月15日 CVE脆弱性レポート｜Apache APISIXとDataSketches C++の新規9件を詳しく解説
2026-11-13 11:00 JST - 2026-11-14 11:00 JSTに確認した対象11製品の新規CVEは9件で、すべてApache製品です。深刻度の内訳は危険（中）4件、注意（低）5件で、重大（高）はありませんでした。最も優先度が高いのはCVE-2026-124679（Apache APISIXの認証バイパス、CVSS 4.0 7.8）で、未認証の攻撃者が認証を回避できる恐れがあるため、早急な対応が必要です。Apache APISIXは7件すべて3.20.0へ、Apache DataSketches C++は2件とも5.3.1へアップグレードしてください。
本日の要点
確認期間は2026-11-13 11:00 JST - 2026-11-14 11:00 JSTです。対象11製品（Apache、PHP、Node.js、Postfix、SSH、SSL、Django、Python、Next.js、React.js、Linux）で新たに確認されたCVEは9件で、すべてApache Software Foundation製品でした。深刻度の内訳は危険（中）4件、注意（低）5件で、重大（高）はありませんでした。
製品別ではApache APISIXが7件、Apache DataSketches C++が2件です。APISIXの7件はすべて3.20.0で修正されており、認証バイパスや認可の不備が中心です。DataSketches C++の2件は、信頼できない送信元からのスケッチのデシリアライズ時にヒープメモリが破壊される範囲外書き込みで、5.3.1で修正されています。
最も優先度が高いのはCVE-2026-124679です。CVSS 4.0スコア7.8で、未認証の攻撃者がjwe-decryptやforward-authの特定の設定下で認証をバイパスできる恐れがあります。次いでCVE-2026-124680（CVSS 4.0 7.0、エンコードされたドットセグメントによる認可バイパス）も未認証で悪用できるため優先度が高く、APISIXを利用している環境では3.20.0へのアップグレードを急ぐべきです。なお、いずれのCVEについても現時点では実環境での悪用は報告されていません。
まずやるべき対策
- Apache APISIXを利用している場合は、3.20.0以降へアップグレードする（今回の7件すべてが3.20.0で修正）。
- Apache DataSketches C++を利用している場合は、5.3.1以降へアップグレードする（今回の2件とも5.3.1で修正）。
- アップグレードまでの暫定策として、APISIXではjwe-decryptのstrictをtrueにする、forward-authのallow_degradationを無効化する、認証のないルートと認証付きルートを同一の上流に混在させないなど、今回指摘された設定を見直す。
- DataSketches C++では、信頼できない送信元からのスケッチをデシリアライズしない。外部入力を扱う処理では入力元の信頼性を確認する。
- アップグレード後は、対象バージョンで稼働していることを確認し、認証・認可まわりの動作テストを実施する。
CVE-2026-123274｜Apache DataSketches C++ 2.0.0〜5.3.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache DataSketches C++ 2.0.0〜5.3.0
- 修正バージョン：Apache DataSketches C++ 5.3.1以降
概要
Apache DataSketches C++における範囲外書き込みの脆弱性。信頼できない送信元からKLLスケッチをデシリアライズするアプリケーションは、シリアライズされたレベル境界が検証されていなかったため、細工されたスケッチによってヒープメモリが破壊される可能性がある。この問題はApache DataSketches C++ 2.0.0から5.3.0までに影響する。バージョン5.3.1へのアップグレードが推奨される。
この脆弱性（CVE-2026-123274）は、Apache DataSketches C++における範囲外書き込みの脆弱性（CWE-787）である。信頼できない入力からKLLスケッチをデシリアライズする際に、シリアライズされたレベル境界が適切に検証されず、ヒープメモリ破壊を引き起こす可能性がある。2.0.0から5.3.0までのバージョンに影響し、Apache Software Foundationはバージョン5.3.1で修正した。
影響
信頼できない送信元からKLLスケッチをデシリアライズするアプリで、細工されたスケッチによりヒープメモリが破壊される恐れ（CWE-787、CVSS未付与）。クラッシュや未定義の動作につながる可能性
信頼できない送信元から細工されたKLLスケッチをデシリアライズするとヒープメモリ破壊が発生する可能性があり、アプリケーションの不安定化やクラッシュにつながる恐れがある。実環境での悪用は報告されていない。
対策
Apache DataSketches C++を、この脆弱性が修正された5.3.1以降にアップグレードすること。
修正バージョンはApache DataSketches C++ 5.3.1以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-123338｜Apache DataSketches C++ 3.0.0〜5.3.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache DataSketches C++ 3.0.0〜5.3.0
- 修正バージョン：Apache DataSketches C++ 5.3.1以降
概要
Apache DataSketches C++における範囲外書き込みの脆弱性。信頼できない送信元からREQスケッチをデシリアライズするアプリケーションは、シリアライズされたコンパクターヘッダーが検証されていなかったため、細工されたスケッチによってヒープメモリが破壊される可能性がある。この問題はApache DataSketches C++ 3.0.0から5.3.0までに影響する。バージョン5.3.1へのアップグレードが推奨される。
この脆弱性（CVE-2026-123338）は、Apache DataSketches C++における範囲外書き込みの脆弱性（CWE-787）である。信頼できない送信元からREQスケッチをデシリアライズするアプリケーションは、適切に検証されていない細工されたシリアライズ済みコンパクターヘッダーによりヒープメモリ破壊を被る可能性がある。3.0.0から5.3.0までのバージョンに影響し、Apache Software Foundationはバージョン5.3.1で修正した。
影響
信頼できない送信元からREQスケッチをデシリアライズするアプリで、細工されたスケッチによりヒープメモリが破壊される恐れ（CWE-787、CVSS未付与）。クラッシュや未定義の動作につながる可能性
信頼できない送信元から悪意を持って細工されたREQスケッチをデシリアライズするとヒープメモリ破壊が発生する可能性がある。アプリケーションのクラッシュや、メモリ破壊に関連するその他の未定義の動作につながる恐れがある。実環境での悪用は報告されていない。
対策
Apache DataSketches C++を、この脆弱性が修正された5.3.1以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。
修正バージョンはApache DataSketches C++ 5.3.1以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124666｜Apache APISIX 3.8.0〜3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.8.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおけるなりすましによる認証バイパスの脆弱性。マルチ認証がwolf-rbacから他の成功した認証へフォールバックするルートでは、クライアントが指定したWolf IDヘッダーがリクエストに残る。そのため、文書化されたヘッダーを信頼する下流サービスは、成功した認証によって確立されていないIDを受け入れてしまう可能性がある。この問題はApache APISIX 3.8.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIXのこの脆弱性により、攻撃者はIDヘッダーをなりすまして認証をバイパスできる。具体的には、マルチ認証がwolf-rbacから他の成功した認証へフォールバックするルートでは、クライアントが指定したWolf IDヘッダーがクリアされずリクエストに残る。これらのヘッダーを信頼する下流サービスは、なりすまされたIDを受け入れてしまい、不正アクセスにつながる可能性がある。この脆弱性はApache APISIX 3.8.0から3.19.0までに影響する。バージョン3.20.0で修正された。
影響
マルチ認証がwolf-rbacから他の認証へフォールバックするルートで、クライアント指定のWolf IDヘッダーが残存し、下流サービスがなりすましIDを受け入れる恐れ（CWE-290、CVSS 4.0 6.4）
攻撃者は下流サービスが頼りにするIDヘッダーをなりすまし、それらのサービスに不正なIDを受け入れさせる可能性がある。これにより、認証にこれらのヘッダーを利用するシステム内で不正アクセスや不正な操作が行われる恐れがある。CVSS 4.0スコアは6.4（中程度）で、ネットワークからの攻撃ベクトル、低い攻撃複雑性、ユーザー操作不要を示す。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策はベンダーアドバイザリに示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124679｜Apache APISIX 3.18.0〜3.19.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.18.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおけるなりすましによる認証バイパスの脆弱性。strict: falseのjwe-decryptを使用し、forward_headerがトークンヘッダーと異なるルートでは、未認証のクライアントが、上流がゲートウェイで復号された平文として扱う値を指定できる。同様のことは、allow_degradation: trueでforward-authが設定され、認証サービスが利用できない場合にも起こり得る。この問題はApache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIXのこの脆弱性により、未認証の攻撃者が特定の設定下で復号済み平文の値をなりすまして認証をバイパスできる。strictをfalseに設定したjwe-decryptを使用し、forward_headerがトークンヘッダーと異なる場合、攻撃者は上流サービスがゲートウェイで復号されたものとして扱う値を指定できる。さらに、allow_degradationを有効にしたforward-authが設定され、認証サービスがダウンしている場合にも同様のバイパス条件が生じる。Apache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0で修正された。
影響
未認証の攻撃者が、jwe-decrypt（strict: false）やforward-auth（allow_degradation: true）の設定下でゲートウェイ復号済みとみなされる値を偽装し認証をバイパスできる恐れ（CWE-290、CVSS 4.0 7.8）
未認証の攻撃者が認証制御をバイパスし、保護されたリソースやサービスへ不正アクセスできる可能性がある。上流サービスがなりすまされた認証データをどの程度信頼するかに応じて、不正な操作やデータ漏洩につながる恐れがある。CVSS 4.0スコア7.8で高深刻度と評価され、悪用されれば重大なリスクがある。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この認証バイパスの脆弱性が修正された3.20.0以降にアップグレードすること。ベンダーアドバイザリに他の緩和策は示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124680｜Apache APISIX 0.9〜3.19.0
- 深刻度：危険（中）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 0.9〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける解釈の競合に起因する（不正な認可）の脆弱性。同一の上流に認証のないルートが存在し、上流がエンコードされたドットセグメントを折りたたまない場合、未認証のクライアントはルートレベルの認証プラグインで保護された上流パスに到達できる。この問題はApache APISIX 0.9から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIX 0.9から3.19.0には、不正な認可につながる解釈の競合（CWE-436）が存在する。具体的には、同一の上流に認証のないルートが存在し、上流がエンコードされたドットセグメントを正規化しない場合、未認証のクライアントはルートレベルの認証プラグインで保護されるべき上流パスにアクセスできる。この欠陥により、意図されたアクセス制御をバイパスできる。バージョン3.20.0で修正された。
影響
同一上流に認証なしルートが存在し、上流がエンコード済みドットセグメントを正規化しない場合、未認証クライアントがルートレベルの認証プラグインで保護された上流パスに到達できる恐れ（CWE-436、CVSS 4.0 7.0）
未認証の攻撃者がルートレベルの認証制御をバイパスし、保護された上流パスにアクセスして、機密性の高いリソースや機能を露出させる可能性がある。これは高深刻度の認可バイパスの脆弱性である。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策は示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124716｜Apache APISIX 1.4.0〜3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 1.4.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける不正な認可の脆弱性。ルートに必要な権限またはスコープのうちいずれか1つを持つ認証済みユーザーは、他の権限なしに保護された上流に到達でき、認可サーバーが拒否したHTTPメソッドも含まれる。この問題はApache APISIX 1.4.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIXのこの脆弱性（CWE-863）により、認証済みユーザーは、ルートに必要な権限またはスコープのうち1つだけを持つことで完全な認可チェックをバイパスできる。その結果、ユーザーは保護されるべき上流サービスにアクセスでき、認可サーバーが明示的に拒否したHTTPメソッドも含まれる。この欠陥はApache APISIX 1.4.0から3.19.0までに影響する。Apache Software Foundationはバージョン3.20.0で修正した。
影響
ルートに必要な権限・スコープのうち1つだけを持つ認証済みユーザーが、他の権限なしに保護された上流に到達できる恐れ（CWE-863、CVSS 4.0 6.4）。認可サーバーが拒否したHTTPメソッドも含む
有効な認証を持つが権限が限定された攻撃者が、完全な認可要件をバイパスし、保護された上流リソースにアクセスしたり、制限されるべきHTTPメソッドを実行したりできる可能性がある。これにより、影響を受けるApache APISIX環境内で不正アクセスや不正な操作が行われる恐れがある。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この不正な認可の脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124719｜Apache APISIX 3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおけるなりすましによる認証バイパスの脆弱性。ルートに設定されたヘッダーが呼び出し元のIDを運び、OpenAPI文書が同じヘッダーを宣言している場合、呼び出し元は上流APIに対して別のIDとして振る舞うことができる。この問題はApache APISIX 3.19.0から3.20.0未満に影響する。バージョン3.20.0へのアップグレードが推奨される。
この脆弱性は、ルートに設定されたヘッダーが呼び出し元のIDを運び、OpenAPI文書が同じヘッダーを宣言している場合に生じる。攻撃者はこれを悪用して呼び出し元IDヘッダーをなりすまし、実質的に認証をバイパスして上流APIに対して別のIDとして振る舞うことができる。影響を受けるバージョンは3.19.0から3.20.0未満である。Apache Software Foundationはバージョン3.20.0で修正した。
影響
ルート設定のヘッダーとOpenAPI文書が同じ呼び出し元IDヘッダーを宣言する場合、呼び出し元が他者のIDになりすまして上流APIを利用できる恐れ（CWE-290、CVSS 4.0 2.3）
この脆弱性により、ある程度の権限を持つ攻撃者（低い攻撃複雑性、一部の権限が必要）がIDヘッダーをなりすまして認証をバイパスし、上流APIに対して他のユーザーやサービスになりすます可能性がある。CVSSスコアは2.3と低く、影響と悪用可能性は限定的である。実環境での悪用は確認されていない。
対策
Apache APISIXを、この認証バイパスの脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124723｜Apache APISIX 3.18.0〜3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.18.0〜3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける解釈の競合に起因する不正な認可の脆弱性。match_uri_encoded_slashが有効でskip_mtls_uri_regexが設定されている場合、証明書を持たないクライアントは、証明書を要求するルート背後の上流に到達でき、免除されたURIにデコードされるリクエストパスに限られる。この問題はApache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードが推奨される。
この脆弱性は、設定オプションmatch_uri_encoded_slashとskip_mtls_uri_regexが有効な場合のApache APISIXにおける解釈の競合に起因する。これらの条件下では、証明書を持たないクライアントが、クライアント証明書を要求するルート背後の上流サービスにアクセスできるが、免除されたURIにデコードされるリクエストパスに限られる。この不正な認可の欠陥はApache APISIX 3.18.0から3.19.0までに影響する。バージョン3.20.0へのアップグレードで修正される。
影響
match_uri_encoded_slashとskip_mtls_uri_regexが有効な場合、証明書を持たないクライアントが、クライアント証明書を要求するルート背後の上流に到達できる恐れ（CWE-436、CVSS 4.0 6.3）。免除URIにデコードされるパスのみ
攻撃者は特定のルートでクライアント証明書の要件をバイパスし、クライアント証明書認証に依存する保護されたリソースやサービスを露出させる恐れがある。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
CVE-2026-124726｜Apache APISIX 3.19.0
- 深刻度：注意（低）
- 公開日：2026-11-13
- ベンダー：Apache Software Foundation
- 対象：Apache APISIX 3.19.0
- 修正バージョン：Apache APISIX 3.20.0以降
概要
Apache APISIXにおける相対パストラバーサルと意図しないプロキシの脆弱性。MCPエンドポイントの呼び出し元は、OpenAPI文書が宣言していないエンドポイントを、宣言されたツールのHTTPメソッドで、ルートが付与する認証情報を使って呼び出すことができる。この問題はApache APISIX 3.19.0から3.20.0未満に影響する。バージョン3.20.0へのアップグレードが推奨される。
Apache APISIX（3.19.0から3.20.0未満）におけるこの脆弱性は、相対パストラバーサルと意図しないプロキシ動作の組み合わせである。MCPエンドポイントを呼び出す攻撃者は、OpenAPI仕様に宣言されていないエンドポイントに、ツールに宣言されたHTTPメソッドとルートに割り当てられた認証情報を使ってアクセスできる。これにより、意図された範囲を超えたエンドポイントへの不正アクセスにつながる可能性がある。この欠陥はCWE-23として追跡され、CVSS 4.0ベーススコア6.9で中深刻度と評価されている。バージョン3.20.0で修正された。
影響
MCPエンドポイントの呼び出し元が、OpenAPI文書に宣言されていないエンドポイントを、宣言されたツールのHTTPメソッドとルートの認証情報で呼び出せる恐れ（CWE-23、CVSS 4.0 6.9）
攻撃者はこの脆弱性を悪用してMCPエンドポイント経由で宣言されていないエンドポイントを呼び出し、露出を意図していない機能やデータにアクセスできる可能性がある。これにより、影響を受けるルートの認証情報の下で不正な操作が行われる恐れがある。この脆弱性はユーザー操作を必要とせず、ネットワーク経由でリモートから悪用できる。 悪用状況：既知の悪用は確認されていない。CISA KEV未掲載、悪用を報告する情報源なし。Metasploit・Exploit-DBに公開エクスプロイトコードはなく、公開されたnucleiテンプレートもない。OffSeq Mirageのセンサーでも攻撃トラフィックは観測されていない。
対策
Apache APISIXを、この脆弱性が修正された3.20.0以降にアップグレードすること。他の緩和策や一時的な回避策は示されていない。
修正バージョンはApache APISIX 3.20.0以降です。アップグレード後は対象バージョンで稼働していることを確認してください。
参考情報
まとめ
今回の確認期間（2026-11-13 11:00 JST - 2026-11-14 11:00 JST）では新規CVEが9件あり、すべてApache製品でした。APISIXの7件は認証・認可まわりの問題が中心で、未認証の攻撃者が認証を回避できるものが2件含まれています。DataSketches C++の2件はメモリ破壊につながる範囲外書き込みで、信頼できない入力を扱う環境では注意が必要です。実務上の優先順位としては、まずAPISIXの3.20.0へのアップグレード、次にDataSketches C++の5.3.1へのアップグレードを進めてください。いずれも修正バージョンが公開済みで、暫定策は限定的なため、アップグレード自体が最も確実な対策です。
出典はcve.orgのCVEレコード、Apache Software Foundationのアドバイザリ、OffSeq Threat Radarの分析です。深刻度の判定は、CVSSが付与されているものはそのスコアを参考にし、CVSS未付与のものは脆弱性の内容から判定しています。
Googleの優先するニュース提供元にSEの部屋を追加
Googleで、いつも読みたい情報源を選べます。登録可否はGoogleの画面で確認できます。
候補にSEの部屋が表示されない場合は、まだ追加できません。