自動更新

脆弱性速報

実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。

1758

KEV掲載(悪用中)

361

ランサム悪用

2026-10-27

最終更新

攻撃状況 →

CVE-2017-10271緊急CVSS7.5EPSS 100.0%KEVランサム
Oracle Corporation WebLogic Serverに含まれる脆弱性により、リモートコード実行が可能になります。
KEV掲載: 2022-02-10公式(NVD) →
CVE-2017-0262緊急CVSS7.8EPSS 81.0%KEV
Microsoft Officeにリモートコード実行脆弱性が存在します。
KEV掲載: 2022-02-10公式(NVD) →
CVE-2021-36934緊急CVSS7.8EPSS 67.3%KEV
ボリュームシャドウコピー(VSS)がシステムドライブで利用可能な場合、ユーザーはSAMファイルを読み取ることができ、これにより任意のユーザーがSYSTEMレベルまで権限を昇格させることが可能になります。
KEV掲載: 2022-02-10公式(NVD) →
CVE-2014-4404緊急CVSS7.8EPSS 48.9%KEV
Apple OS X、iOS 8未満、およびApple TV 7未満のIOHIDFamilyにおけるヒープベースのバッファオーバーフローにより、攻撃者が特権コンテキストで任意のコードを実行することが可能になります。
KEV掲載: 2022-02-10公式(NVD) →
CVE-2017-0263緊急CVSS7.8EPSS 10.0%KEV
Microsoft Win32kに、Windowsカーネルモードドライバがメモリ内のオブジェクトを適切に処理できないことが原因で、権限昇格の脆弱性が存在します。
KEV掲載: 2022-02-10公式(NVD) →
CVE-2015-1130緊急CVSS7.8EPSS 9.9%KEV
Apple OS Xの10.10.3より前のAdmin FrameworkのXPC実装に、認証をバイパスして管理者権限を取得することを可能にする脆弱性があります。ローカルユーザーはこれを悪用できます。
KEV掲載: 2022-02-10公式(NVD) →
CVE-2022-21882緊急CVSS7.8EPSS 59.2%KEVランサム
Microsoft Win32kに、権限昇格を可能にする未指定の脆弱性が含まれています。
KEV掲載: 2022-02-04公式(NVD) →
CVE-2021-20038緊急CVSS9.8EPSS 99.9%KEVランサム
SonicWall SMA 100デバイスは、認証なしでスタックベースのバッファオーバーフロー脆弱性に対して脆弱であり、その悪用によってコード実行に至る可能性があります。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2014-7169緊急CVSS9.8EPSS 99.9%KEV
GNU Bash 4.3以前は、環境変数の値に含まれる関数定義の後の文字列を処理します。これにより、リモート攻撃者がコードを実行できます。このCVEはCVE-2014-6271の脆弱性を適切に修復します。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2014-6271緊急CVSS9.8EPSS 100.0%KEV
GNU Bash 4.3以前は、環境変数の値内の関数定義の後の末尾文字列を処理するため、リモート攻撃者がコードを実行できます。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2017-5689緊急CVSS9.8EPSS 92.2%KEV
インテル製品に存在する脆弱性により、攻撃者が権限昇格を実行できる可能性があります。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2020-5722緊急CVSS9.8EPSS 84.4%KEV
Grandstream UCM6200シリーズは、細工されたHTTPリクエストを介した認証なしのリモートSQLインジェクション脆弱性を持っています。この脆弱性を悪用することで、rootとしてのコード実行が可能になります。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2014-1776緊急CVSS9.8EPSS 82.7%KEV
Microsoft Internet Explorerにはメモリ破損の脆弱性が存在し、リモート攻撃者が現在のユーザーのコンテキストでコードを実行することを可能にします。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2020-0787緊急CVSS7.8EPSS 42.5%KEVランサム
Microsoft Windows BITSは、シンボリックリンクの不適切な処理により、特権昇格の脆弱性に対して脆弱です。攻撃者はこの脆弱性を悪用して、システムレベルの特権で任意のコードを実行することができます。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2022-22587緊急CVSS9.8EPSS 11.6%KEV
Apple IOMobileFrameBufferのメモリ破損脆弱性により、悪意のあるアプリケーションがカーネル特権で任意のコードを実行することが可能になります。
KEV掲載: 2022-01-28公式(NVD) →
CVE-2012-0391緊急CVSS9.8EPSS 75.6%KEV
Apache Struts 2 2.2.3.1より前のバージョンに含まれるExceptionDelegatorコンポーネントは、入力値の検証が不十分な脆弱性を持っており、リモートコード実行を許可しています。
KEV掲載: 2022-01-21公式(NVD) →
CVE-2018-8453緊急CVSS7.8EPSS 70.0%KEVランサム
Microsoft Windows Win32kに、攻撃者が権限昇格を実行できる脆弱性が存在します。
KEV掲載: 2022-01-21公式(NVD) →
CVE-2006-1547緊急CVSS7.5EPSS 54.6%KEV
Apache Struts 1.2.9より前のバージョンにおけるActionFormは、BeanUtils 1.7と組み合わせた場合、サービス拒否(DoS)攻撃を可能にする脆弱性が存在します。
KEV掲載: 2022-01-21公式(NVD) →
CVE-2021-35247緊急CVSS5.3EPSS 3.5%KEV
SolarWinds Serv-U バージョン 15.2.5 以前に含まれる入力検証不適切な脆弱性により、攻撃者はサニタイズなしでクエリを構築および送信することができます。
KEV掲載: 2022-01-21公式(NVD) →
CVE-2020-13927緊急CVSS9.8EPSS 99.8%KEV
Airflowの実験的APIの以前のデフォルト設定では、認証なしにすべてのAPIリクエストを許可していました。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2020-11978緊急CVSS8.8EPSS 99.2%KEV
Airflowに付属する例示DAG（有向非環グラフ）の1つにリモートコード/コマンドインジェクション脆弱性が発見されました。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-40870緊急CVSS9.8EPSS 93.0%KEV
危険な型のファイルの無制限アップロードが可能であり、認証されていないユーザーがディレクトリトラバーサルを通じて任意のコードを実行できます。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-33766緊急CVSS7.3EPSS 98.2%KEV
Microsoft Exchange Serverに情報開示脆弱性が存在し、認証されていない攻撃者がターゲットのメールトラフィックを盗聴される可能性があります。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-32648緊急CVSS9.1EPSS 90.4%KEV
october/systemパッケージの影響を受けたバージョンでは、攻撃者はアカウントのパスワードリセットをリクエストした後、特別に細工されたリクエストを使用してアカウントにアクセスすることができます。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-21315緊急CVSS7.8EPSS 90.7%KEV
この脆弱性では、攻撃者が悪意のあるペイロードを送信して、nameパラメータを悪用することができます。攻撃が成功すると、攻撃者はリモートコード実行を行うことができます。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2020-14864緊急CVSS7.5EPSS 97.2%KEV
getPreviewImage関数のプレビューFilePaths パラメータを対象としたパストラバーサル脆弱性により、攻撃者が任意のシステムファイルにアクセスすることが可能な脆弱性。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-25298緊急CVSS8.8EPSS 73.6%KEV
Nagios XIには、Nagios XIサーバー上でOSコマンドインジェクション攻撃を引き起こす可能性のある脆弱性が含まれています。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-25296緊急CVSS8.8EPSS 71.9%KEV
Nagios XIに、Nagios XIサーバー上でOSコマンドインジェクションに至る可能性のある脆弱性が存在します。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-22991緊急CVSS9.8EPSS 62.4%KEV
BIG-IP ASM Risk Engine のTraffic Management Microkernel にはバッファオーバーフロー脆弱性が存在し、URL ベースのアクセス制御を回避される可能性があります。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-21975緊急CVSS7.5EPSS 78.0%KEVランサム
vRealize Operations Manager 8.4 より前のバージョンの API におけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性により、vRealize Operations Manager API へのネットワークアクセスを有する悪意のある攻撃者が SSRF 攻撃を実行し、管理者認証情報を盗取する可能性があります。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2021-25297緊急CVSS8.8EPSS 56.7%KEV
Nagios XIに、Nagios XIサーバー上のOSコマンドインジェクションにつながる可能性のある脆弱性が含まれています。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2020-13671緊急CVSS8.8EPSS 36.2%KEV
Drupal コアの拡張ファイル名における不適切なサニタイゼーションが存在します。
KEV掲載: 2022-01-18公式(NVD) →
CVE-2019-10149緊急CVSS9.8EPSS 100.0%KEV
/src/deliver.c の deliver_message() 関数における受信者アドレスの不適切な検証により、リモートコマンド実行につながる可能性があります。
KEV掲載: 2022-01-10公式(NVD) →
CVE-2019-9670緊急CVSS9.8EPSS 100.0%KEV
Synacor Zimbra Collaboration Suite (ZCS)のmailboxdコンポーネントに、XML外部エンティティ(XXE)の不適切な制限の脆弱性が含まれています。
KEV掲載: 2022-01-10公式(NVD) →
CVE-2019-2725緊急CVSS9.8EPSS 100.0%KEVランサム
Oracle Fusion Middlewareのコンポーネント（サブコンポーネント：Web Services）であるOracle WebLogic Serverにおけるインジェクション脆弱性。
KEV掲載: 2022-01-10公式(NVD) →
CVE-2021-36260緊急CVSS9.8EPSS 99.9%KEV
Hikvision製品の一部のウェブサーバーにおけるコマンドインジェクション脆弱性。入力値の検証が不十分であることが原因。
KEV掲載: 2022-01-10公式(NVD) →
CVE-2015-7450緊急CVSS9.8EPSS 97.8%KEV
特定のIBMアナリティクス、ビジネスソリューション、コグニティブ、ITインフラストラクチャ、およびモバイル・ソーシャル製品におけるシリアライズされたオブジェクトインターフェースにより、リモート攻撃者が任意のコマンドを実行することが可能になります
KEV掲載: 2022-01-10公式(NVD) →
CVE-2019-7609緊急CVSS10.0EPSS 95.3%KEV
Kibanaのタイムリオンビジュアライザーに任意のコード実行の脆弱性が存在します。
KEV掲載: 2022-01-10公式(NVD) →
CVE-2017-1000486緊急CVSS9.8EPSS 94.1%KEV
Primetek Primefaces は弱い暗号化の欠陥により、リモートコード実行の脆弱性を有しています
KEV掲載: 2022-01-10公式(NVD) →
CVE-2018-13382緊急CVSS7.5EPSS 81.7%KEVランサム
Fortinet FortiOS および FortiProxy の SSL VPN ウェブポータルにおける不適切な認可の脆弱性により、認証されていない攻撃者がパスワードを修正することを許可します。
KEV掲載: 2022-01-10公式(NVD) →

優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。