News Topic
CVE/脆弱性対応
公開されたCVEを見つけたあとに、何を根拠に優先度を決め、どこまで確認すればよいかを整理するトピックです。CISA KEV、NVD、ベンダー公式情報を入口に、実務チェックリストへつなげます。
関連記事
20件の記事があります。
セキュリティ例外申請の書き方 ─ パッチ延期・認証例外を安全に残す実務テンプレート
パッチ延期、SaaS権限、認証例外を期限付きで扱うためのセキュリティ例外申請テンプレート。理由、暫定策、承認者、再評価条件の残し方を整理する。
2026年5月14日LiteLLM CVE-2026-42208 ─ AIプロキシのSQL Injectionで最初に確認すること
CISA KEVに追加されたLiteLLMのSQL Injection脆弱性について、対象バージョン、影響範囲、APIキー確認、更新・ローテーションの初動を整理する。
2026年5月14日Windows Shell CVE-2026-32202 ─ spoofing系脆弱性の初動確認
CISA KEVに追加されたWindows Shellのspoofing系脆弱性について、更新状況、端末影響、ユーザー周知、ログ確認の初動を整理する。
2026年5月13日Linux Kernel CVE-2026-31431 ─ Copy Failで最初に確認すること
CISA KEVに追加されたLinux KernelのCVE-2026-31431 Copy Failについて、対象サーバー、Kubernetes、CI/CDランナーで最初に確認すべき影響範囲、パッチ判断、暫定緩和、記録の残し方を整理する。
2026年5月12日cPanel/WHM CVE-2026-41940 ─ ホスティング管理画面の認証回避リスクと初動対応
CISA KEVに追加されたcPanel & WHM / WP2のCVE-2026-41940について、公開管理画面、更新状況、ログ確認、顧客影響、初動対応を防御側の観点で整理します。
2026年5月12日PAN-OS CVE-2026-0300 ─ User-ID Authentication Portalを公開している組織の初動確認
CISA KEVに追加されたPAN-OS CVE-2026-0300について、User-ID Authentication Portalの公開状況、信頼ゾーン制限、無効化判断、初動確認を防御側の実務観点で整理します。
2026年5月10日SSVCとは ─ 脆弱性対応をTrack/Attend/Actで決める方法
SSVCは、CVSSやEPSSだけでは決めきれない脆弱性対応を、Track・Attend・Actの判断へ落とす考え方。情シスやSOCが使える優先度付けの手順を解説する。
2026年5月7日KEVとは ─ CVSSだけに頼らない脆弱性対応の優先順位
CISA KEV、CVSS、EPSS、インターネット露出、自社資産の重要度を組み合わせ、CVE対応の優先順位を決める実務手順を解説する。
2026年4月27日Marimo RCE CVE-2026-39987 ─ 公開10時間未満で悪用、AIノートブックを守る実務対応
MarimoのCVE-2026-39987は、未認証でターミナルWebSocketからシェルに到達できる重大なRCE脆弱性だ。CISA KEV追加、公開後9時間41分での悪用観測、影響環境、更新・露出遮断・資格情報ローテーションまで実務対応を整理する。
2026年4月26日FortiClient EMS ゼロデイ CVE-2026-35616 ─ 管理APIバイパスがKEV入り、露出確認と封じ込めを急ぐべき理由
Fortinet FortiClient EMS の管理API認証・認可バイパス脆弱性 CVE-2026-35616 がCISA KEVへ追加された。影響バージョン、ホットフィックス、管理プレーン露出の危険性、侵害確認と封じ込めの実務手順を整理する。
2026年4月23日Apache ActiveMQ Classic のRCEが実戦投入 ─ CVE-2026-34197 と管理API露出の危険
Apache ActiveMQ Classic のコード実行脆弱性 CVE-2026-34197 が2026年4月16日にCISA KEVへ追加され、実際の悪用が確認された。影響バージョン、Jolokia管理APIが危険な理由、6.0.0〜6.1.1でさらに深刻になる背景、管理者が直ちに取るべき対策を整理する。
2026年4月14日Adobe Acrobat Reader ゼロデイ CVE-2026-34621 ─ PDFを開くだけでローカルファイル窃取・任意コード実行
2026年4月12日、Adobe Acrobat Readerに2025年11月から悪用されていたゼロデイCVE-2026-34621（CVSS 8.6）の緊急パッチが公開された。プロトタイプ汚染を利用した手法で悪意あるPDFを開くだけでローカルファイル窃取や任意コード実行が可能。初期VirusTotal検出率は13/64と極めて低く、パッチ未適用環境への警戒が求められる。
2026年4月10日Ivanti EPMM CVE-2026-1340/1281 ─ CVSS 9.8、4,400超インスタンスが危険、CISAが4/11までのパッチを命令
IvantiのMDMソリューション「EPMM」に深刻な脆弱性CVE-2026-1340/1281（CVSS 9.8）が見つかり、4,400超のインスタンスが危険にさらされています。CISAはKEVカタログに登録し連邦機関へ4/11までのパッチを命令。実際の攻撃手法と緊急対策を解説します。
2026年4月3日2026年4度目のChromeゼロデイ ─ WebGPUのUAFがサンドボックス脱出チェーンに悪用
CVE-2026-5281はChromeのWebGPU実装「Dawn」に存在するuse-after-free脆弱性で、野生での悪用が確認されCISAのKEVカタログに追加されました。2026年に入り4度目のChromeゼロデイが示すWebGPUという新たな攻撃面の拡大を解説します。
2026年4月3日Cisco FMC CVE-2026-20131 ─ KEV追加済みの管理基盤RCEをどう点検するか
Cisco Secure Firewall Management CenterのCVE-2026-20131は、CISA KEVにも追加された重大な管理基盤RCEです。公式情報とAmazonの公開分析をもとに、FMC管理者が確認すべき初動を整理します。
2026年3月30日セッションIDが筒抜けに ─ Citrix NetScaler SAML IDPの記憶漏洩脆弱性CVE-2026-3055が野生で悪用
CVSS 9.3のCitrix NetScalerメモリ読み取り脆弱性が2026年3月27日から積極的に悪用されています。SAMLログインに細工したリクエストを送るだけで、認証済み管理者のセッションIDがCookieに乗って返ってくる──この攻撃の仕組みと即時対応を解説します。
2026年3月30日「侵入」から「ログイン」へ ─ インフォスティーラーとエージェンティックAIが変えたサイバー犯罪の構造
2025年に世界で1,100万台のマシンに感染したインフォスティーラーが33億件の認証情報を生産し、エージェンティックAIがそれを自動的にテスト・悪用する時代が来ています。「脆弱性を突く」から「正規のIDで入る」へという攻撃パラダイムの転換と、組織が取るべき対策を解説します。
2026年3月28日公開から20時間で世界規模の攻撃へ ─ LangflowのRCE脆弱性が示す「アドバイザリー駆動型エクスプロイト」の脅威
AIワークフロー構築ツールLangflowの重大なリモートコード実行脆弱性CVE-2026-33017が、公開からわずか20時間で実際の攻撃に悪用された。概念実証コードがない状態でも攻撃が成立した衝撃の事例から、AI時代のセキュリティ対応の新しい常識を解説します。
2026年3月28日Oracleクラウドの沈黙 ─ 600万件のSSO認証情報が闇市場に出回った「否定された侵害」
2026年3月、Oracle Cloudのシングルサインオン基盤から約600万件の認証情報が流出したとされる事件が発覚。Oracleは侵害を否定し続けたが、複数の企業が漏洩データの真正性を確認。クラウドセキュリティの盲点と今すぐできる対策を解説します。
2026年3月22日CVSS 10.0の緊急脆弱性：攻撃者が真っ先に狙う理由と組織の防御戦略
2026年3月、Quest KACE SMAにCVSS満点（10.0）の脆弱性が発見されました。スコア10.0とは何を意味するのか、なぜ即座にパッチ適用が必要なのかを詳しく解説します。