脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
use-after-free問題がメモリ管理の改善により対処されました。この問題はmacOS Ventura 13.5、iOS 16.6およびiPadOS 16.6、Safari 16.6、iOS 15.8.7およびiPadOS 15.8.7で修正されています。悪意を持って細工されたウェブコンテンツを処理すると、メモリ破損につながる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →整数オーバーフローが改善された入力検証で対処されました。この問題はtvOS 15.2、macOS Monterey 12.1、Safari 15.2、iOS 15.2およびiPadOS 15.2、watchOS 8.3で修正されています。悪意を持って作成されたウェブコンテンツの処理により、任意のコード実行につながる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →use-after-free の問題がメモリ管理の改善により対処されました。この問題は iOS 17 および iPadOS 17、iOS 15.8.7 および iPadOS 15.8.7 で修正されています。アプリはカーネル特権で任意のコードを実行できる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →VMware Aria Operationsはコマンドインジェクションの脆弱性を含んでいます。悪意のある認証されていないアクターがこの問題を悪用し、VMware Aria Operationsで任意のコマンドを実行する可能性があります。これにより、サポート支援製品移行の進行中にリモートコード実行につながる可能性があります。 CVE-2026-22719を修復するには、VMSA-2026-0001の「Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947」の「Fixed Version」列に記載されているパッチを適用してください。 CVE-2026-22719の回避策は、VMSA-2026-0001の「Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947」の「Workarounds」列に記載されています。
KEV掲載: 2026-03-03公式(NVD) →メモリアロケーション時のアライメント使用中に発生するメモリ破損。
KEV掲載: 2026-03-03公式(NVD) →Cisco Catalyst SD-WAN Controller（旧称 SD-WAN vSmart）および Cisco Catalyst SD-WAN Manager（旧称 SD-WAN vManage）のピアリング認証に存在する脆弱性により、認証されていないリモート攻撃者が認証をバイパスし、影響を受けるシステムに対する管理者権限を取得できる可能性があります。 この脆弱性は、影響を受けるシステムのピアリング認証メカニズムが正常に動作していないことに起因しています。攻撃者は、細工された要求を影響を受けるシステムに送信することにより、この脆弱性を悪用できます。悪用に成功した場合、攻撃者は影響を受けるCisco Catalyst SD-WAN Controllerに内部の高い権限を持つ非rootユーザーアカウントでログインできる可能性があります。このアカウントを使用することで、攻撃者はNETCONFにアクセスでき、SD-WAN ファブリックのネットワーク設定を操作することが可能になります。
KEV掲載: 2026-02-25公式(NVD) →Cisco SD-WANソフトウェアのCLIに存在する脆弱性により、認証済みのローカル攻撃者が権限昇格を実行できる可能性があります。 この脆弱性は、アプリケーションCLI内のコマンドに対する不適切なアクセス制御が原因です。攻撃者は、アプリケーションCLIで悪意のある細工が施されたコマンドを実行することにより、この脆弱性を悪用できます。攻撃に成功した場合、攻撃者はrootユーザーとして任意のコマンドを実行できる可能性があります。 Ciscoはこの脆弱性に対応するソフトウェアアップデートをリリースしています。この脆弱性に対応する回避策はありません。
KEV掲載: 2026-02-25公式(NVD) →FileZenはOSコマンドインジェクション脆弱性を含んでいます。FileZenアンチウイルスチェックオプションが有効になっている場合、ログイン済みユーザーが特別に細工されたHTTPリクエストを送信することで、任意のOSコマンドを実行される可能性があります。
KEV掲載: 2026-02-24公式(NVD) →Roundcube Webmail 1.5.10未満および1.6.x 1.6.11未満では、program/actions/settings/upload.php内のURL内の_fromパラメータが検証されないため、認証されたユーザーによるリモートコード実行が可能です。これはPHPオブジェクトの逆シリアル化につながります。
KEV掲載: 2026-02-20公式(NVD) →Roundcube Webmail 1.5.12より前および1.6.12より前の1.6は、SVGドキュメント内のanimateタグを経由したクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。
KEV掲載: 2026-02-20公式(NVD) →GitLab 10.5以降のすべてのバージョンに存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性により、ウェブフックの内部ネットワークリクエストが有効な場合、登録が無効化されたGitLabインスタンス上でも、認証されていない攻撃者による悪用が可能でした。
KEV掲載: 2026-02-18公式(NVD) →Dell RecoverPoint for Virtual Machines バージョン 6.0.3.1 HF1 より前のバージョンに、ハードコードされた認証情報の脆弱性が存在します。この脆弱性はハードコードされた認証情報の知識を有する認証されていないリモート攻�者によって悪用される可能性があり、基盤となるオペレーティングシステムへの不正アクセスおよびroot レベルでの永続化につながる可能性があるため、重大度が高いと考えられます。Dell は、顧客に対してできるだけ早急にアップグレードするか、以下の修復方法のいずれかを適用することを推奨しています。
KEV掲載: 2026-02-18公式(NVD) →Zimbra Collaboration Suite (ZCS) 8.8.15 Patch 7より前のバージョンでは、WebEx zimletがインストールされていてzimlet JSPが有効になっている場合、SSRFが許可されます。
KEV掲載: 2026-02-17公式(NVD) →Active Template Library (ATL) の CComVariant::ReadFromStream 関数におけるスタックベースのバッファオーバーフロー脆弱性。DirectShow の msvidctl.dll に含まれる MPEG2TuneRequest ActiveX コントロールで発生します。Microsoft Windows 2000 SP4、XP SP2 および SP3、Server 2003 SP2、Vista Gold、SP1、SP2、および Server 2008 Gold と SP2 に影響します。攻撃者は細工された Web ページを介して任意のコードを実行できます。2009 年 7 月に実際に悪用されました。別名「Microsoft Video ActiveX Control Vulnerability」(マイクロソフト ビデオ ActiveX コントロール脆弱性)。
KEV掲載: 2026-02-17公式(NVD) →Google Chrome 145.0.7632.75 より前のCSSにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてサンドボックス内で任意のコードを実行することが可能でした。(Chromiumセキュリティ重要度:High)
KEV掲載: 2026-02-17公式(NVD) →ThreatSonar Anti-Ransomware（TeamT5製）は、アップロードされたファイルの内容を適切に検証していません。製品プラットフォーム上で管理者権限を持つリモート攻撃者は、悪意のあるファイルをアップロードでき、サーバー上で任意のシステムコマンドを実行するために使用される可能性があります。
KEV掲載: 2026-02-17公式(NVD) →BeyondTrust Remote Support (RS) および特定の旧バージョンの Privileged Remote Access (PRA) に、認証前のリモートコード実行の脆弱性が存在します。特別に細工されたリクエストを送信することで、認証されていないリモート攻撃者がサイトユーザーのコンテキストでオペレーティングシステムコマンドを実行できる可能性があります。
KEV掲載: 2026-02-13公式(NVD) →Microsoft Configuration Manager リモートコード実行脆弱性
KEV掲載: 2026-02-12公式(NVD) →SolarWinds Web Help Deskに、認証なしの攻撃者が特定の制限機能へのアクセスを取得できる可能性のあるセキュリティ制御回避脆弱性が見つかりました。
KEV掲載: 2026-02-12公式(NVD) →Notepad++ 8.8.9より前のバージョンは、WinGUpアップデーターを使用する場合、ダウンロードされたアップデートメタデータとインストーラーが暗号学的に検証されないというアップデート整合性検証の脆弱性を含んでいます。アップデートトラフィックを傍受またはリダイレクトできる攻撃者は、アップデーターに攻撃者制御のインストーラーをダウンロードして実行させることができ、ユーザーの権限で任意のコード実行が可能になります。
KEV掲載: 2026-02-12公式(NVD) →メモリ破損の問題が改善された状態管理により対処されました。この問題はiOS 26.3、iPadOS 26.3、macOS Tahoe 26.3、tvOS 26.3、visionOS 26.3、watchOS 26.3で修正されています。メモリ書き込み機能を持つ攻撃者は、任意のコードを実行できる可能性があります。Appleは、iOS 26以前のバージョンに対して非常に高度な標的型攻撃でこの問題が悪用されたという報告を認識しています。CVE-2025-14174およびCVE-2025-43529も、この報告に対応して発行されました。
KEV掲載: 2026-02-12公式(NVD) →MSHTML フレームワークの保護メカニズムの不具合により、認可されていない攻撃者がネットワーク経由でセキュリティ機能をバイパスされる可能性があります。
KEV掲載: 2026-02-10公式(NVD) →Windows リモートデスクトップの不適切な権限管理により、認可された攻撃者がローカルで権限昇格を実行できます。
KEV掲載: 2026-02-10公式(NVD) →Windows Shellの保護メカニズムの失敗により、認可されていない攻撃者がネットワーク経由でセキュリティ機能をバイパスできます。
KEV掲載: 2026-02-10公式(NVD) →Microsoft Office Wordの信頼されていない入力に対する依存により、認可されていない攻撃者がセキュリティ機能をローカルでバイパスすることが可能になります。
KEV掲載: 2026-02-10公式(NVD) →デスクトップウィンドウマネージャーにおける非互換型によるリソースアクセス（「型の混同」）により、認可された攻撃者がローカル権限昇格を実行可能になります。
KEV掲載: 2026-02-10公式(NVD) →Windows リモート アクセス コネクション マネージャー におけるNullポインタ逆参照により、権限のない攻撃者がローカルでサービス拒否(DoS)を引き起こすことが可能です。
KEV掲載: 2026-02-10公式(NVD) →SmarterTools SmarterMailのビルド9511より前のバージョンに、ConnectToHub APIメソッドに認証なしの遠隔コード実行脆弱性が存在します。攻撃者は悪意あるOSコマンドを提供する悪意あるHTTPサーバーにSmarterMailをポイントすることができます。このコマンドは脆弱性のあるアプリケーションによって実行されます。
KEV掲載: 2026-02-05公式(NVD) →Metro開発サーバー（React Native Community CLIで開かれる）は、デフォルトで外部インターフェースにバインドされます。このサーバーはOSコマンドインジェクションに対して脆弱なエンドポイントを公開しています。これにより、認証されていないネットワーク攻撃者がサーバーにPOSTリクエストを送信し、任意の実行可能ファイルを実行できます。Windowsでは、攻撃者は完全に制御された引数で任意のシェルコマンドも実行できます。
KEV掲載: 2026-02-05公式(NVD) →SolarWinds Web Help Deskに、信頼できないデータの逆シリアル化脆弱性が存在することが判明しました。この脆弱性によりリモートコード実行が可能となり、攻撃者はホストマシン上でコマンドを実行できます。認証なしで悪用される可能性があります。
KEV掲載: 2026-02-03公式(NVD) →FreePBX Endpoint Managerは、FreePBXシステムにおけるテレフォニーエンドポイント管理用のモジュールです。バージョン17.0.2.36以上17.0.3未満において、管理インターフェース内のfilestoreモジュールは、testconnection -> check_ssh_connect()関数を経由して認証済みユーザーによる認証後コマンドインジェクションに対して脆弱性があります。攻撃者はこの脆弱性を悪用して、asteriskユーザーとしてシステムへのリモートアクセスを取得することができます。この問題はバージョン17.0.3で修正されています。
KEV掲載: 2026-02-03公式(NVD) →GitLab CE/EEの10.5以上14.3.6未満、14.4以上14.4.4未満、14.5以上14.5.2未満のすべてのバージョンに影響する問題が発見されました。権限のない外部ユーザーがCI Lint APIを経由してサーバー側リクエストを実行できる可能性があります。
KEV掲載: 2026-02-03公式(NVD) →Sangoma FreePBX 115.0.16.26以下、14.0.13.11以下、13.0.197.13以下はアクセス制御不備の脆弱性を持っています。
KEV掲載: 2026-02-03公式(NVD) →Ivanti Endpoint Manager Mobileの脆弱性として、認証を必要としないコードインジェクション攻撃により、リモートコード実行を達成することが可能になります。
KEV掲載: 2026-01-29公式(NVD) →Fortinet FortiAnalyzer 7.6.0～7.6.5、FortiAnalyzer 7.4.0～7.4.9、FortiAnalyzer 7.2.0～7.2.11、FortiAnalyzer 7.0.0～7.0.15、FortiManager 7.6.0～7.6.5、FortiManager 7.4.0～7.4.9、FortiManager 7.2.0～7.2.11、FortiManager 7.0.0～7.0.15、FortiOS 7.6.0～7.6.5、FortiOS 7.4.0～7.4.10、FortiOS 7.2.0～7.2.12、FortiOS 7.0.0～7.0.18、FortiProxy 7.6.0～7.6.4、FortiProxy 7.4.0～7.4.12、FortiProxy 7.2.0～7.2.15、FortiProxy 7.0.0～7.0.22、FortiWeb 8.0.0～8.0.3、FortiWeb 7.6.0～7.6.6、FortiWeb 7.4.0～7.4.11における認証回避の脆弱性[CWE-288]は、FortiCloud SSO認証が有効な場合、FortiCloudアカウントと登録デバイスを持つ攻撃者が、他のアカウントに登録された他のデバイスにログインできる可能性があります。
KEV掲載: 2026-01-27公式(NVD) →GNU Inetutils 2.7までのtelnetdは、USER環境変数に「-f root」という値を設定することで、リモート認証をバイパスできます。
KEV掲載: 2026-01-26公式(NVD) →この脆弱性を悪用されると、認証されていない攻撃者がメールサーバー上の任意の場所に任意のファイルをアップロードでき、リモートコード実行を可能にする可能性があります。
KEV掲載: 2026-01-26公式(NVD) →SmarterTools SmarterMailのビルド9511より前のバージョンには、パスワードリセットAPIの認証回避脆弱性が存在します。force-reset-passwordエンドポイントは匿名リクエストを許可し、システム管理者アカウントをリセットする際に既存パスワードまたはリセットトークンの検証に失敗します。認証されていない攻撃者は、対象の管理者ユーザー名と新しいパスワードを指定してアカウントをリセットでき、SmarterMailインスタンスの完全な管理権限侵害をもたらします。注意：SmarterMailのシステム管理者権限は、組み込みの管理機能を経由してオペレーティングシステムコマンドを実行する能力を付与し、基礎となるホスト上の管理者（SYSTEMまたはroot）アクセスを事実上提供します。
KEV掲載: 2026-01-26公式(NVD) →Linuxカーネルのcreate_elf_tables()関数に整数オーバーフロー脆弱性が発見されました。SUID（またはその他の特権）バイナリへのアクセス権を持つ権限なしのローカルユーザーがこの脆弱性を悪用して、システム上で権限を昇格させる可能性があります。カーネルバージョン2.6.x、3.10.x、および4.14.xが脆弱であると考えられています。
KEV掲載: 2026-01-26公式(NVD) →Microsoft Office における信頼できない入力への依存が、セキュリティ決定に関する脆弱性として存在し、未認可の攻撃者がローカルでセキュリティ機能をバイパスすることを可能にします。
KEV掲載: 2026-01-26公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。