MariaDBサーバーのJSON_SCHEMA_VALID()関数に、ヒープベースのバッファオーバーフローを引き起こす深刻な脆弱性（CVE-2026-32710）が発見されました。認証されたユーザーによりサーバーがクラッシュ（DoS）し、最悪の場合はリモートコード実行（RCE）に繋がる恐れがあります。
脆弱性（CVE-2026-32710）の概要と仕組み
広く利用されているオープンソースデータベースである「MariaDB」のサーバー機能において、**ヒープベースのバッファオーバーフロー（CWE-122）**の脆弱性が発見されました。
この脆弱性は、MariaDB内に実装されているJSON_SCHEMA_VALID()関数（JSONデータをスキーマに対して検証する機能）のバグに起因しています。認証されたユーザー（低権限ユーザーを含む）が細工した不正なJSONデータを同関数に入力することで、ヒープバッファの境界を越えたメモリ操作が引き起こされます。
影響を受けるバージョンと想定される被害
米国国立標準技術研究所（NIST）のNVD等の一次情報源によると、影響を受けるMariaDBのバージョンは以下の通りです。
-
MariaDB 11.4系： 11.4.10未満
-
MariaDB 11.8系： 11.8.6未満
-
（※12.1.2から12.2.1までの12系バージョンも影響を受けると報告されています）
本脆弱性のCVSS v3.1ベーススコアは「8.5（High：高）」と評価されています。 この脆弱性が悪用された場合の主な被害は、サーバーの予期せぬクラッシュによるサービス拒否（DoS）です。さらに、攻撃者がメモリレイアウトを厳密に制御できる「特定の条件下（主にラボ環境などで再現可能なレベル）」においては、クラッシュにとどまらずリモートコード実行（RCE）へとエスカレーションし、システム上で任意のコマンドを実行される危険性が潜んでいます。
脆弱性の対策バージョン
-
MariaDB 11.4.10
-
MariaDB 11.8.6
-
MariaDB 12.2.2
関連記事
Zoom、Windows向けクライアントの危険度の高い脆弱性を修正(CVE-2025-49456,CVE-2025-49457)
Salesforce CLIインストーラに権限奪取が可能な脆弱性(CVE-2025-9844)
Geoserverで重大な脆弱性（CVE-2024-36401）任意のコードをリモート実行される可能性
パロアルトネットワークス、PAN-OSのAdvanced DNS SecurityにDoS脆弱性（CVE-2026-0229）
Pythonのフレームワーク Django、アップデートでSQLインジェクションの脆弱性を修正（CVE-2025-59681）
Microsoft 月例 パッチ公開 ゼロデイ脆弱性 CVE-2025-33053 に注意喚起、修正件数は66件に
Node.jsに深刻なDoS 脆弱性（CVE-2026-21710）など
PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003)
n8nで複数の重大な脆弱性、大規模スキャンも観測(CVE-2026-25049,CVE-2026-21858)
