脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
BIG-IP APM アクセスポリシーが仮想サーバーに設定されている場合、特定の悪意のあるトラフィックがリモートコード実行（RCE）につながる可能性があります。 注記：技術サポート終了（EoTS）に達したソフトウェアバージョンは評価対象外です。
KEV掲載: 2026-03-27公式(NVD) →Trivyはセキュリティスキャナーです。2026年3月19日、脅威アクターが侵害された認証情報を使用して悪意のあるTrivy v0.69.4リリースを公開し、`aquasecurity/trivy-action`の77個中76個のバージョンタグを認証情報窃取型マルウェアに強制プッシュし、`aquasecurity/setup-trivy`の全7個のタグを悪意のあるコミットに置き換えました。このインシデントは2026年2月後半に始まったサプライチェーン攻撃の継続です。3月1日の初期開示に続いて認証情報のローテーションが実行されましたが、アトミックではありませんでした(全ての認証情報が同時に失効しませんでした)。攻撃者は有効なトークンを使用してローテーション期間(数日間続きました)中に新たにローテーションされたシークレットを流出させることができた可能性があります。これにより攻撃者がアクセスを保持し3月19日の攻撃を実行することが可能になった可能性があります。影響を受けるコンポーネントには、`aquasecurity/trivy` Go/コンテナイメージバージョン0.69.4、`aquasecurity/trivy-action` GitHubアクション バージョン0.0.1～0.34.2(76/77)、および`aquasecurity/setup-trivy` GitHubアクション バージョン0.2.0～0.2.6(安全なコミットで再作成された0.2.6より前)が含まれます。既知の安全なバージョンにはTrivyバイナリのバージョン0.69.2および0.69.3、trivy
KEV掲載: 2026-03-26公式(NVD) →Langflowは、AI駆動のエージェントとワークフローを構築・デプロイするためのツールです。1.9.0より前のバージョンでは、POST /api/v1/build_public_tmp/{flow_id}/flowエンドポイントは認証を必要とせずにパブリックフローの構築を許可しています。オプションのdataパラメータが指定された場合、このエンドポイントはデータベースに格納されているフローデータの代わりに攻撃者が制御可能なフローデータ（ノード定義に含まれた任意のPythonコード）を使用します。このコードはサンドボックス化されないままexec()に渡され、認証不要なリモートコード実行が発生します。これはCVE-2025-3248とは別の問題です。CVE-2025-3248は/api/v1/validate/codeに認証を追加することで修正されました。build_public_tmpエンドポイントはパブリックフロー向けに認証なしで設計されていますが、誤って任意の実行可能コードを含む攻撃者供給のフローデータを受け入れています。この問題はバージョン1.9.0で修正されました。
KEV掲載: 2026-03-25公式(NVD) →Craftは、ウェブおよび他のプラットフォーム上でカスタムデジタルエクスペリエンスを作成するための柔軟でユーザーフレンドリーなCMSです。バージョン3.0.0-RC1から3.9.15未満、4.0.0-RC1から4.14.15未満、および5.0.0-RC1から5.6.17未満の間で、Craftはリモートコード実行の脆弱性に対して脆弱です。これは影響度が高く、複雑性が低い攻撃ベクトルです。この問題はバージョン3.9.15、4.14.15、および5.6.17で修正されており、CVE-2023-41892の追加的な修正です。
KEV掲載: 2026-03-20公式(NVD) →Livewireはlaravel向けのフルスタックフレームワークです。Livewire v3からv3.6.3までのバージョンで、特定のシナリオにおいて認証されていない攻撃者がリモートコマンド実行を達成することを可能にする脆弱性が存在します。この問題は、特定のコンポーネントプロパティ更新がどのようにハイドレート(復元)されるかに起因しています。この脆弱性はLivewire v3に固有であり、それより前のメジャーバージョンには影響しません。悪用するには、コンポーネントが特定の方法でマウントおよび設定されている必要がありますが、認証やユーザーインタラクションは不要です。この問題はLivewire v3.6.4で修正されています。すべてのユーザーは、できるだけ早くこのバージョン以降にアップグレードすることを強くお勧めします。既知の回避策はありません。
KEV掲載: 2026-03-20公式(NVD) →このセキュリティ問題は、改善されたメモリ管理により対処されました。この問題は Safari 18.6、iOS 18.6、iPadOS 18.6、macOS Sequoia 15.6、tvOS 18.6、visionOS 2.6、watchOS 11.6 で修正されています。悪意を持って作成された Web コンテンツの処理により、メモリ破損が発生する可能性がありました。
KEV掲載: 2026-03-20公式(NVD) →メモリ破損の問題がロック状態チェックの改善で対処されました。この問題はiOS 18.7.2およびiPadOS 18.7.2、iOS 26.1およびiPadOS 26.1、macOS Sequoia 15.7.2、macOS Sonoma 14.8.2、macOS Tahoe 26.1、tvOS 26.1、visionOS 26.1、watchOS 26.1で修正されています。悪意のあるアプリケーションがプロセス間で共有されるメモリに予期しない変更を引き起こす可能性があります。
KEV掲載: 2026-03-20公式(NVD) →メモリ破損の問題がメモリ処理の改善により解決されました。この問題はiOS 18.7.2およびiPadOS 18.7.2、iOS 26.1およびiPadOS 26.1、macOS Sequoia 15.7.2、macOS Sonoma 14.8.2、macOS Tahoe 26.1、tvOS 26.1、visionOS 26.1、watchOS 26.1で修正されています。悪意のあるアプリケーションが予期しないシステム終了またはカーネルメモリへの書き込みを引き起こす可能性があります。
KEV掲載: 2026-03-20公式(NVD) →Cisco Secure Firewall Management Center（FMC）ソフトウェアのWebベース管理インターフェースの脆弱性により、認証されていないリモート攻撃者が影響を受けるデバイス上でrootとして任意のJavaコードを実行できる可能性があります。 この脆弱性は、ユーザーが供給するJavaバイトストリームの安全でないデシリアライゼーションが原因です。攻撃者は、細工されたシリアライズされたJavaオブジェクトを影響を受けるデバイスのWebベース管理インターフェースに送信することで、この脆弱性を悪用できます。悪用が成功した場合、攻撃者はデバイス上で任意のコードを実行し、権限をrootに昇格させることができます。 注記：FMC管理インターフェースがパブリックインターネットアクセスを持たない場合、この脆弱性に関連する攻撃面は軽減されます。
KEV掲載: 2026-03-19公式(NVD) →Microsoft Office SharePointにおける信頼されていないデータの逆シリアル化により、権限のない攻撃者がネットワーク経由でコードを実行することが可能になります。
KEV掲載: 2026-03-18公式(NVD) →Zimbra Collaboration (ZCS) 10 (10.0.18より前)および10.1 (10.1.13より前)では、HTMLメールメッセージ内のカスケーディングスタイルシート(CSS)の@importディレクティブを介して、Classic UI に保存型XSSが発生する可能性があります。
KEV掲載: 2026-03-18公式(NVD) →Wing FTP Serverバージョン7.4.4より前のloginok.htmlは、UIDクッキーに長い値を使用した場合、アプリケーションの完全なローカルインストールパスを開示します。
KEV掲載: 2026-03-16公式(NVD) →Google Chrome 146.0.7680.75より前のSkiaにおけるバッファオーバーフローの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてメモリ領域外への書き込みが可能になります。(Chromiumセキュリティ重要度: 高)
KEV掲載: 2026-03-13公式(NVD) →Google Chromeの146.0.7680.75より前のV8における不適切な実装により、リモート攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行することが可能でした。(Chromiumセキュリティ重大度:高)
KEV掲載: 2026-03-13公式(NVD) →n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン0.211.0以降1.120.4、1.121.1、1.122.0未満には、ワークフロー式評価システムに重大なリモートコード実行(RCE)脆弱性が存在します。特定の条件下では、認証済みユーザーがワークフロー設定中に提供する式が、基盤となるランタイムから十分に隔離されていない実行コンテキストで評価される可能性があります。認証済み攻撃者はこの動作を悪用して、n8nプロセスの権限で任意のコードを実行できます。悪用に成功すると、影響を受けるインスタンスの完全な侵害につながる可能性があり、機密データへの不正アクセス、ワークフローの改ざん、システムレベルの操作の実行が含まれます。この問題はバージョン1.120.4、1.121.1、1.122.0で修正されています。ユーザーは式評価を制限するための追加的なセーフガードを導入したパッチ版へのアップグレードを強く推奨されます。すぐにアップグレードできない場合、管理者は以下の一時的な緩和策の検討を推奨されます。ワークフローの作成および編集権限を完全に信頼できるユーザーのみに制限する、または/かつn8nを制限されたオペレーティングシステム権限とネットワークアクセスを持つ強化された環境にデプロイして、潜在的な悪用の影響を軽減する。これらの対応策は完全にはリスクを
KEV掲載: 2026-03-11公式(NVD) →SolarWinds Web Help Deskに認証なしのAjaxProxyデシリアライゼーションリモートコード実行脆弱性が発見されました。この脆弱性を悪用されると、攻撃者はホストマシン上でコマンドを実行できます。この脆弱性はCVE-2024-28988のパッチ回避であり、さらにCVE-2024-28986のパッチ回避でもあります。
KEV掲載: 2026-03-09公式(NVD) →VMware Workspace ONE UEM コンソール 20.0.8（20.0.8.37 未満）、20.11.0（20.11.0.40 未満）、21.2.0（21.2.0.27 未満）、および 21.5.0（21.5.0.37 未満）に SSRF 脆弱性が存在します。この問題により、UEM へのネットワークアクセスを持つ悪意のある攻撃者が認証なしでリクエストを送信し、機密情報にアクセスすることが可能になる恐れがあります。
KEV掲載: 2026-03-09公式(NVD) →Ivanti Endpoint Manager 2024 SU5より前のバージョンにおける認証回避の脆弱性により、リモートの認証されていない攻撃者が保存された特定の認証情報データを漏洩させることができます。
KEV掲載: 2026-03-09公式(NVD) →Hikivisionの複数シリーズ（DS-2CD2xx2F-I、DS-2CD2xx0F-I、DS-2CD2xx2FWD、DS-2CD4x2xFWD、DS-2CD4xx5、DS-2DFx、DS-2CD63xx）に不正な認証（Improper Authentication）の脆弱性が発見されました。影響を受けるバージョンはDS-2CD2xx2F-IシリーズV5.2.0ビルド140721～V5.4.0ビルド160530、DS-2CD2xx0F-IシリーズV5.2.0ビルド140721～V5.4.0ビルド160401、DS-2CD2xx2FWDシリーズV5.3.1ビルド150410～V5.4.4ビルド161125、DS-2CD4x2xFWDシリーズV5.2.0ビルド140721～V5.4.0ビルド160414、DS-2CD4xx5シリーズV5.2.0ビルド140721～V5.4.0ビルド160421、DS-2DFxシリーズV5.2.0ビルド140805～V5.4.5ビルド160928、およびDS-2CD63xxシリーズV5.0.9ビルド140305～V5.3.5ビルド160106です。この脆弱性は、アプリケーションがユーザーの認証を適切に、または正しく実施しない場合に発生します。これにより、悪意のある利用者がシステム上の権限を昇格させ、機密情報にアクセスすることが可能になる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →Rockwell Automation Studio 5000 Logix Designer バージョン21以降およびRSLogix 5000 バージョン16～20は、Logixコントローラーが Rockwell Automation CompactLogix 1768、1769、5370、5380、5480、ControlLogix 5550、5560、5570、5580、DriveLogix 5560、5730、1794-L34、Compact GuardLogix 5370、5380、GuardLogix 5570、5580、SoftLogix 5800と通信していることを検証するための鍵を使用しています。Rockwell Automation Studio 5000 Logix Designer バージョン21以降およびRSLogix 5000 バージョン16～20は脆弱であり、認証されていない攻撃者がこの検証メカニズムをバイパスして、Rockwell Automation CompactLogix 1768、1769、5370、5380、5480、ControlLogix 5550、5560、5570、5580、DriveLogix 5560、5730、1794-L34、Compact GuardLogix 5370、5380、GuardLogix 5570、5580、SoftLogix 5800に対して認証することが可能です。
KEV掲載: 2026-03-05公式(NVD) →use-after-free問題がメモリ管理の改善により対処されました。この問題はmacOS Ventura 13.5、iOS 16.6およびiPadOS 16.6、Safari 16.6、iOS 15.8.7およびiPadOS 15.8.7で修正されています。悪意を持って細工されたウェブコンテンツを処理すると、メモリ破損につながる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →整数オーバーフローが改善された入力検証で対処されました。この問題はtvOS 15.2、macOS Monterey 12.1、Safari 15.2、iOS 15.2およびiPadOS 15.2、watchOS 8.3で修正されています。悪意を持って作成されたウェブコンテンツの処理により、任意のコード実行につながる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →use-after-free の問題がメモリ管理の改善により対処されました。この問題は iOS 17 および iPadOS 17、iOS 15.8.7 および iPadOS 15.8.7 で修正されています。アプリはカーネル特権で任意のコードを実行できる可能性があります。
KEV掲載: 2026-03-05公式(NVD) →VMware Aria Operationsはコマンドインジェクションの脆弱性を含んでいます。悪意のある認証されていないアクターがこの問題を悪用し、VMware Aria Operationsで任意のコマンドを実行する可能性があります。これにより、サポート支援製品移行の進行中にリモートコード実行につながる可能性があります。 CVE-2026-22719を修復するには、VMSA-2026-0001の「Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947」の「Fixed Version」列に記載されているパッチを適用してください。 CVE-2026-22719の回避策は、VMSA-2026-0001の「Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947」の「Workarounds」列に記載されています。
KEV掲載: 2026-03-03公式(NVD) →メモリアロケーション時のアライメント使用中に発生するメモリ破損。
KEV掲載: 2026-03-03公式(NVD) →Cisco Catalyst SD-WAN Controller（旧称 SD-WAN vSmart）および Cisco Catalyst SD-WAN Manager（旧称 SD-WAN vManage）のピアリング認証に存在する脆弱性により、認証されていないリモート攻撃者が認証をバイパスし、影響を受けるシステムに対する管理者権限を取得できる可能性があります。 この脆弱性は、影響を受けるシステムのピアリング認証メカニズムが正常に動作していないことに起因しています。攻撃者は、細工された要求を影響を受けるシステムに送信することにより、この脆弱性を悪用できます。悪用に成功した場合、攻撃者は影響を受けるCisco Catalyst SD-WAN Controllerに内部の高い権限を持つ非rootユーザーアカウントでログインできる可能性があります。このアカウントを使用することで、攻撃者はNETCONFにアクセスでき、SD-WAN ファブリックのネットワーク設定を操作することが可能になります。
KEV掲載: 2026-02-25公式(NVD) →Cisco SD-WANソフトウェアのCLIに存在する脆弱性により、認証済みのローカル攻撃者が権限昇格を実行できる可能性があります。 この脆弱性は、アプリケーションCLI内のコマンドに対する不適切なアクセス制御が原因です。攻撃者は、アプリケーションCLIで悪意のある細工が施されたコマンドを実行することにより、この脆弱性を悪用できます。攻撃に成功した場合、攻撃者はrootユーザーとして任意のコマンドを実行できる可能性があります。 Ciscoはこの脆弱性に対応するソフトウェアアップデートをリリースしています。この脆弱性に対応する回避策はありません。
KEV掲載: 2026-02-25公式(NVD) →FileZenはOSコマンドインジェクション脆弱性を含んでいます。FileZenアンチウイルスチェックオプションが有効になっている場合、ログイン済みユーザーが特別に細工されたHTTPリクエストを送信することで、任意のOSコマンドを実行される可能性があります。
KEV掲載: 2026-02-24公式(NVD) →Roundcube Webmail 1.5.10未満および1.6.x 1.6.11未満では、program/actions/settings/upload.php内のURL内の_fromパラメータが検証されないため、認証されたユーザーによるリモートコード実行が可能です。これはPHPオブジェクトの逆シリアル化につながります。
KEV掲載: 2026-02-20公式(NVD) →Roundcube Webmail 1.5.12より前および1.6.12より前の1.6は、SVGドキュメント内のanimateタグを経由したクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。
KEV掲載: 2026-02-20公式(NVD) →GitLab 10.5以降のすべてのバージョンに存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性により、ウェブフックの内部ネットワークリクエストが有効な場合、登録が無効化されたGitLabインスタンス上でも、認証されていない攻撃者による悪用が可能でした。
KEV掲載: 2026-02-18公式(NVD) →Dell RecoverPoint for Virtual Machines バージョン 6.0.3.1 HF1 より前のバージョンに、ハードコードされた認証情報の脆弱性が存在します。この脆弱性はハードコードされた認証情報の知識を有する認証されていないリモート攻�者によって悪用される可能性があり、基盤となるオペレーティングシステムへの不正アクセスおよびroot レベルでの永続化につながる可能性があるため、重大度が高いと考えられます。Dell は、顧客に対してできるだけ早急にアップグレードするか、以下の修復方法のいずれかを適用することを推奨しています。
KEV掲載: 2026-02-18公式(NVD) →Zimbra Collaboration Suite (ZCS) 8.8.15 Patch 7より前のバージョンでは、WebEx zimletがインストールされていてzimlet JSPが有効になっている場合、SSRFが許可されます。
KEV掲載: 2026-02-17公式(NVD) →Active Template Library (ATL) の CComVariant::ReadFromStream 関数におけるスタックベースのバッファオーバーフロー脆弱性。DirectShow の msvidctl.dll に含まれる MPEG2TuneRequest ActiveX コントロールで発生します。Microsoft Windows 2000 SP4、XP SP2 および SP3、Server 2003 SP2、Vista Gold、SP1、SP2、および Server 2008 Gold と SP2 に影響します。攻撃者は細工された Web ページを介して任意のコードを実行できます。2009 年 7 月に実際に悪用されました。別名「Microsoft Video ActiveX Control Vulnerability」(マイクロソフト ビデオ ActiveX コントロール脆弱性)。
KEV掲載: 2026-02-17公式(NVD) →Google Chrome 145.0.7632.75 より前のCSSにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてサンドボックス内で任意のコードを実行することが可能でした。(Chromiumセキュリティ重要度:High)
KEV掲載: 2026-02-17公式(NVD) →ThreatSonar Anti-Ransomware（TeamT5製）は、アップロードされたファイルの内容を適切に検証していません。製品プラットフォーム上で管理者権限を持つリモート攻撃者は、悪意のあるファイルをアップロードでき、サーバー上で任意のシステムコマンドを実行するために使用される可能性があります。
KEV掲載: 2026-02-17公式(NVD) →BeyondTrust Remote Support (RS) および特定の旧バージョンの Privileged Remote Access (PRA) に、認証前のリモートコード実行の脆弱性が存在します。特別に細工されたリクエストを送信することで、認証されていないリモート攻撃者がサイトユーザーのコンテキストでオペレーティングシステムコマンドを実行できる可能性があります。
KEV掲載: 2026-02-13公式(NVD) →Microsoft Configuration Manager リモートコード実行脆弱性
KEV掲載: 2026-02-12公式(NVD) →SolarWinds Web Help Deskに、認証なしの攻撃者が特定の制限機能へのアクセスを取得できる可能性のあるセキュリティ制御回避脆弱性が見つかりました。
KEV掲載: 2026-02-12公式(NVD) →メモリ破損の問題が改善された状態管理により対処されました。この問題はiOS 26.3、iPadOS 26.3、macOS Tahoe 26.3、tvOS 26.3、visionOS 26.3、watchOS 26.3で修正されています。メモリ書き込み機能を持つ攻撃者は、任意のコードを実行できる可能性があります。Appleは、iOS 26以前のバージョンに対して非常に高度な標的型攻撃でこの問題が悪用されたという報告を認識しています。CVE-2025-14174およびCVE-2025-43529も、この報告に対応して発行されました。
KEV掲載: 2026-02-12公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。