2026年8月22日の重要脆弱性: Microsoft, Samba, Incus など15件 • 今日の脆弱性

概要

本日、2026年8月22日、複数のベンダーからCVSSスコア9.0以上の重要脆弱性が合計15件公開されました。Microsoft Azure SQL Database、Samba、Xinference、Joomla拡張機能など、広範なシステムに影響を及ぼすものが含まれています。特にコンテナ・仮想マシンマネージャーのIncusでは、権限昇格や任意ファイル操作、リモートコード実行につながる複数の深刻な問題が報告されており、早急な確認と対応が求められます。これらの脆弱性は、認証されていないリモートからの攻撃や、低権限ユーザーによるシステムへの影響拡大を引き起こす可能性があります。

Microsoft / Azure SQL Database

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-69502

Azure SQL Databaseのサーバーサイドリクエストフォージェリ（SSRF）により、認証されていない攻撃者がネットワーク経由で権限昇格を行う危険性があります。

→ CVE-2026-69502 の詳しい解説と推奨対応はこちら

xorbitsai / Xinference

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-61539

Xinferenceにおいて、Llama3ツールコール解析での安全でないeval()の使用により、認証されていないリモート攻撃者が細工されたプロンプトを通じて任意のコードを実行できる危険性があります。

→ CVE-2026-61539 の詳しい解説と推奨対応はこちら

cmsjunkie.com / J-BusinessDirectory extension for Joomla

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2026-75949

JoomlaのJ-BusinessDirectory拡張機能に、不適切なファイルアップロード/削除処理（パス・トラバーサル）の脆弱性があり、任意のファイルをアップロードまたは削除される危険性があります。

→ CVE-2026-75949 の詳しい解説と推奨対応はこちら

Samba

CVSS: 10.0 / 10 (緊急)
CVE: CVE-2025-10230

SambaのWINSサーバーフックスクリプトにおいて、NetBIOS名が適切に検証またはエスケープされずにシェルコマンドに渡されるため、認証されていないネットワーク攻撃者がリモートでコマンドを実行できる危険性があります。

→ CVE-2025-10230 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48755

Incusのバックアップ圧縮アルゴリズムにおける引数インジェクションの脆弱性により、ホスト上で任意のファイルを書き込み、結果として任意のコマンドが実行される可能性があります。

→ CVE-2026-48755 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-62867

Incusのストレージボリューム構成におけるblock.create_optionsの不適切な検証により、引数インジェクションが可能となり、ルート権限で任意のコマンドが実行される危険性があります。

→ CVE-2026-62867 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-63343

Incusにおいて、悪意のあるイメージ内のmetadata.yamlシンボリックリンクが悪用されることで、認証されたIncusユーザーがルート権限でホスト上の任意のファイルを読み書きできる危険性があります。

→ CVE-2026-63343 の詳しい解説と推奨対応はこちら

nezhahq / Nezha Monitoring

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-62283

Nezha Monitoringに、WebSocketストリームUUIDの所有権チェックが不十分な脆弱性があり、認証された攻撃者が別のユーザーのターミナルまたはファイルマネージャーセッションを乗っ取ることができる危険性があります。これにより、対象サーバー上のファイル操作やシェルコマンド実行が可能になります。

→ CVE-2026-62283 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-62941

Incusのプロジェクトを跨いだインスタンスコピーにおいて、構成マージのタイミングの問題により、対象プロジェクトのセキュリティ制限がバイパスされ、危険な設定が適用される危険性があります。

→ CVE-2026-62941 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48752

Incusにおいて、悪意のあるイメージまたはインスタンスバックアップ内のtemplates/シンボリックリンクを利用したパス・トラバーサルにより、ホスト上の任意のファイルを読み書きされ、任意のコマンドが実行される可能性があります。

→ CVE-2026-48752 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48749

Incusにおいて、悪意のあるイメージ内のrootfs/シンボリックリンクを利用したパス・トラバーサルにより、ホスト上の任意のファイルを読み書きされ、任意のコマンドが実行される可能性があります。

→ CVE-2026-48749 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48753

IncusのS3プロトコルアップロードエンドポイントに、パス・トラバーサルの脆弱性があり、ホスト上に任意のファイルを生成され、結果として任意のコマンドが実行される可能性があります。

→ CVE-2026-48753 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48769

Incusクライアントに、悪意のあるイメージサーバーが細工されたIncus-Image-Hashヘッダーを返すことで、任意のファイル書き込みが発生し、サーバー上でルート権限での任意のコマンド実行に繋がる可能性があります。

→ CVE-2026-48769 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-48751

Incusのインスタンススナップショットがrestricted.containers.lowlevel=block設定を無視するため、raw.lxcやraw.qemuなどの低レベルフックを悪用し、Incusサーバー上で任意のコマンド実行が可能となる危険性があります。

→ CVE-2026-48751 の詳しい解説と推奨対応はこちら

lxc / Incus

CVSS: 9.9 / 10 (緊急)
CVE: CVE-2026-62940

Incusのインスタンス移行時に、ユーザー提供の構成オーバーライドがプロジェクト制限なしに適用されるため、制限されたプロジェクトのユーザーが特権コンテナに昇格し、ホストシステムに脱出できる危険性があります。

→ CVE-2026-62940 の詳しい解説と推奨対応はこちら