【2026年7月8日】セキュリティ脆弱性まとめ ― Plesk・ArcGIS・自作AIツールなど11件、一般利用者への影響は

2026年7月8日に世界の脆弱性データベース（NVD）や日本のJVNで公開・報告された脆弱性のうち、当サイトが単独の速報記事にしなかったものを、この記事で一日分まとめて整理します。単独記事にしなかったのは、多くが「特定の権限を持つ人しか悪用できない」「限られた製品を自分で運用している人だけが対象」など、無差別に一般の利用者へ及ぶものではないためです。とはいえ条件がそろえば実害につながります。自分が使っている製品が含まれていないか、ここで確認してください。

なお、同じ7月8日に見つかった脆弱性のうち、影響が広く「今すぐ更新すべき」と判断したものは、それぞれ単独の記事にしています。Joomlaのページ作成ツール2種の乗っ取りの脆弱性と、Adobe ColdFusionの脆弱性がKEVに正式登録された件です。以下は、それ以外の「条件つきで危険」な脆弱性の一覧です。

7月8日の脆弱性一覧

「攻撃の前提」の欄が、そのまま「自分に関係するか」の判断材料になります。ログイン不要のものは影響が広く、権限やローカル操作が要るものは対象が限られます。危険度は10点満点です。

ログイン不要で狙われうるもの（前提のハードルが低い）

ここに挙げるのは、攻撃者がログインせずに仕掛けられる種類です。ただし対象はいずれも、自分でサーバーやツールを立てて動かしている人に限られます。一般の消費者が普段使うスマホアプリやWebサービスが直接狙われるものではありません。

CVE-2026-59800: 通信ルーティングソフト「9Router」に、すでに攻撃が観測

9Routerは、ネットワークの経路制御を行うソフトで、VPNサービスTailscaleとの連携機能を持ちます。この連携用の入り口（インストール処理）に、送られてきたパスワード欄の中身をそのままサーバーの命令として実行してしまう欠陥（OSコマンドインジェクション、CWE-78）があり、ログイン不要で悪用できます。危険度は9.8で、今回の一覧で唯一すでに実際の攻撃が観測されている案件です（攻撃監視組織Shadowserverが2026年7月4日に悪用を確認、実演コードも存在）。9Routerを公開サーバーで運用している場合は最優先で最新版へ更新してください。利用者は限られますが、性質は最も危険です。

CVE-2026-13019: 地図情報基盤「Esri Portal for ArcGIS」の認証不備

ArcGISは、自治体や公共インフラ、企業が地図データを扱うために広く使う地理情報システム（GIS）です。そのポータル機能（バージョン12.1以前）に、パスワード再発行の仕組みの弱さから、ログイン不要で本来保護されるべきAPIにアクセスできる欠陥（CWE-640）があります。危険度は9.8。現時点で悪用の報告はありませんが、外部公開しているArcGIS Portalを運用する組織は更新対象を確認してください。地図基盤は公共性が高く、乗っ取られれば配信データの改ざんや内部情報の露出につながります。

CVE-2026-58473 / 59706 / 59707 / 55418: 自作AIツール4種の認証欠如

この4件は、いずれも自分でサーバーに立てて使うオープンソースのAI開発ツールで、共通して「本来は保護すべき入り口にログインの確認がない」種類の欠陥です。Cognee（AIの記憶・知識グラフ基盤、CVE-2026-58473）は無認証でLLMの接続先設定を書き換えられ、AIの処理を攻撃者の用意した先へ向けられます。mem0（AIメモリ基盤、CVE-2026-59706）は無認証のAPIからLLMのAPIキーが平文で漏れます。LocalAI（自前で動かすAI推論サーバー、CVE-2026-59707）はサーバーを踏み台に任意の場所へ通信させられるSSRF、FastGPT（社内向けの質問応答基盤、CVE-2026-55418）は他チームの保存ファイルを盗み見られます。狙われるのは、これらを自前で運用しているAI開発者や社内チームです。APIキーが漏れれば、そのキーで課金が発生したり、社内データにアクセスされたりする恐れがあります。いずれも各ツールの最新版で修正されています。オープンソースのAI基盤を狙う攻撃が続いている状況は、OSSサプライチェーンの動向もあわせて確認する価値があります。

悪用に権限や特別な条件が要るもの

ここからは、攻撃の成立に「有効なアカウント」や「特別な権限」「特定の内部情報」が必要な種類です。危険度の数字は高いものの、無差別のスキャンで刺さるものではなく、内部の関係者や同居する利用者が主な脅威になります。

CVE-2026-56843: レンタルサーバー管理「Plesk」で、同居する利用者が他人の情報を奪える

Pleskは、レンタルサーバーの契約者がサイトやメールを管理するための画面（コントロールパネル）で、cPanelと並ぶ定番です。今回の欠陥（CVE-2026-56843、危険度9.9）は、同じサーバーに同居する低い権限の契約者が、所有していない他人のドメインにアクセスし、他の契約者のFTPパスワードを平文で奪って別人になりすます、というものです。無差別攻撃ではなく「同じサーバー上の悪意ある同居者」が前提ですが、共有ホスティングでは現実的な脅威です。ホスティング事業者や、他人と同居するプランの利用者は、提供元の更新情報を確認してください。Pleskはcpanelと並んで広く使われるため、今後悪用が広がれば単独で扱う可能性があります。

CVE-2026-55255: AI開発ツール「Langflow」の他人の処理の呼び出し（KEV登録）

Langflowは、AIの処理の流れを部品をつないで作るツールです。この欠陥（CVE-2026-55255、危険度9.9）は、ログイン済みの利用者が他人の処理（フロー）のIDを指定して勝手に実行できるもので、米政府CISAの実際に攻撃された脆弱性リスト（KEV）に登録されています。KEV登録案件ではありますが、悪用にはログインが必要で、Langflowを外部に公開して運用している組織が対象です。同種の入口を突く手口は複数あり、Langflowの利用者は最新版（1.9.2以降）への更新が必要です。

CVE-2026-23697: 顧客管理ソフト「Vtiger CRM」のファイルアップロードから乗っ取り

Vtiger CRMは、顧客情報や営業活動を管理するオープンソースのソフトです。この欠陥（CVE-2026-23697、危険度8.8）は、ログインした利用者が拡張子チェックをすり抜けて危険なファイルを送り込み、サーバー上で命令を実行できる（CWE-434）ものです。実演コード（PoC）が存在します。悪用には有効なアカウントと特定のサーバー設定が必要ですが、社内でVtigerを運用している場合はv8.4.0以降へ更新してください。

CVE-2026-46354 / 55429: 開発環境基盤「Coder」の2件

Coderは、開発者向けの作業環境をサーバー上に用意する基盤です。7月8日には2件が公開されました。CVE-2026-46354（危険度9.1）は署名の検証不備でVMのIDトークンを偽造できますが、成立には標的VMの識別子を知る必要があり、通常は事前アクセスが前提です。CVE-2026-55429（危険度8.7）は、テンプレート作成者などの高い権限を持つ人だけが突ける権限バイパスです。どちらも無差別に刺さるものではなく、Coderを自前運用する開発チーム内部が主な脅威です。該当バージョンの利用者は更新を確認してください。

手元のパソコンが対象の国内案件（富士電機 Pupsman）

CVE-2026-56437 / CVE-2026-57895: 無停電電源装置の管理ソフトのインストーラ

Pupsmanは、富士電機のUPS（停電時に電力を供給する無停電電源装置）を管理するソフトです。日本のJVNで報告されたこの2件は、ソフトのインストーラに、細工したファイル（DLL）を同じフォルダに置くと読み込んでしまう不備（CWE-427）などがあり、うまくいくと管理者相当の権限で命令が実行されます。ただし攻撃はインターネット越しではなく手元のパソコン上で成立する種類で、攻撃者が事前にそのPCへファイルを置ける状況が前提です。UPSを運用する企業・工場の担当者は、バージョン3.9.0以降で導入してください。国内メーカー製ですが、対象は産業用途に限られます。

まとめ。今日、一般利用者が今すぐ動くべきものは

7月8日にまとめて公開された上記の脆弱性は、危険度の数字こそ高いものの、その大半は特定の製品を自分で運用している人が対象で、一般の消費者が使うスマホやWebサービスが直接狙われるものではありません。普段の利用者がこの一覧のために今すぐ何かをする必要は基本的にありません。

一方で、サーバーやツールを運用する立場の人にとっては話が別です。とくに実際の攻撃が観測された9Router（CVE-2026-59800）と、KEVに登録されたLangflow（CVE-2026-55255）は優先度が高く、該当するなら今日中に更新すべきです。実際に攻撃されている脆弱性は、米政府CISAの警告リスト（KEVダッシュボード日本語版）でも追えます。より広く影響するJoomlaのページ作成ツールやAdobe ColdFusionの件は、それぞれの記事もあわせて確認してください。

参照元

• ▸NVD - CVE-2026-59800（9Router）
• ▸NVD - CVE-2026-13019（Esri Portal for ArcGIS）
• ▸NVD - CVE-2026-58473（Cognee）
• ▸NVD - CVE-2026-59706（mem0）
• ▸NVD - CVE-2026-59707（LocalAI）
• ▸NVD - CVE-2026-55418（FastGPT）
• ▸NVD - CVE-2026-56843（Plesk）
• ▸NVD - CVE-2026-55255（Langflow）
• ▸NVD - CVE-2026-23697（Vtiger CRM）
• ▸NVD - CVE-2026-46354（Coder）
• ▸NVD - CVE-2026-55429（Coder）
• ▸JVN#62347140（富士電機 Pupsman）