脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Notepad++ 8.8.9より前のバージョンは、WinGUpアップデーターを使用する場合、ダウンロードされたアップデートメタデータとインストーラーが暗号学的に検証されないというアップデート整合性検証の脆弱性を含んでいます。アップデートトラフィックを傍受またはリダイレクトできる攻撃者は、アップデーターに攻撃者制御のインストーラーをダウンロードして実行させることができ、ユーザーの権限で任意のコード実行が可能になります。
KEV掲載: 2026-02-12公式(NVD) →Windows Shellの保護メカニズムの失敗により、認可されていない攻撃者がネットワーク経由でセキュリティ機能をバイパスできます。
KEV掲載: 2026-02-10公式(NVD) →MSHTML フレームワークの保護メカニズムの不具合により、認可されていない攻撃者がネットワーク経由でセキュリティ機能をバイパスされる可能性があります。
KEV掲載: 2026-02-10公式(NVD) →Windows リモートデスクトップの不適切な権限管理により、認可された攻撃者がローカルで権限昇格を実行できます。
KEV掲載: 2026-02-10公式(NVD) →デスクトップウィンドウマネージャーにおける非互換型によるリソースアクセス（「型の混同」）により、認可された攻撃者がローカル権限昇格を実行可能になります。
KEV掲載: 2026-02-10公式(NVD) →Microsoft Office Wordの信頼されていない入力に対する依存により、認可されていない攻撃者がセキュリティ機能をローカルでバイパスすることが可能になります。
KEV掲載: 2026-02-10公式(NVD) →Windows リモート アクセス コネクション マネージャー におけるNullポインタ逆参照により、権限のない攻撃者がローカルでサービス拒否(DoS)を引き起こすことが可能です。
KEV掲載: 2026-02-10公式(NVD) →Metro開発サーバー（React Native Community CLIで開かれる）は、デフォルトで外部インターフェースにバインドされます。このサーバーはOSコマンドインジェクションに対して脆弱なエンドポイントを公開しています。これにより、認証されていないネットワーク攻撃者がサーバーにPOSTリクエストを送信し、任意の実行可能ファイルを実行できます。Windowsでは、攻撃者は完全に制御された引数で任意のシェルコマンドも実行できます。
KEV掲載: 2026-02-05公式(NVD) →SmarterTools SmarterMailのビルド9511より前のバージョンに、ConnectToHub APIメソッドに認証なしの遠隔コード実行脆弱性が存在します。攻撃者は悪意あるOSコマンドを提供する悪意あるHTTPサーバーにSmarterMailをポイントすることができます。このコマンドは脆弱性のあるアプリケーションによって実行されます。
KEV掲載: 2026-02-05公式(NVD) →SolarWinds Web Help Deskに、信頼できないデータの逆シリアル化脆弱性が存在することが判明しました。この脆弱性によりリモートコード実行が可能となり、攻撃者はホストマシン上でコマンドを実行できます。認証なしで悪用される可能性があります。
KEV掲載: 2026-02-03公式(NVD) →FreePBX Endpoint Managerは、FreePBXシステムにおけるテレフォニーエンドポイント管理用のモジュールです。バージョン17.0.2.36以上17.0.3未満において、管理インターフェース内のfilestoreモジュールは、testconnection -> check_ssh_connect()関数を経由して認証済みユーザーによる認証後コマンドインジェクションに対して脆弱性があります。攻撃者はこの脆弱性を悪用して、asteriskユーザーとしてシステムへのリモートアクセスを取得することができます。この問題はバージョン17.0.3で修正されています。
KEV掲載: 2026-02-03公式(NVD) →Sangoma FreePBX 115.0.16.26以下、14.0.13.11以下、13.0.197.13以下はアクセス制御不備の脆弱性を持っています。
KEV掲載: 2026-02-03公式(NVD) →GitLab CE/EEの10.5以上14.3.6未満、14.4以上14.4.4未満、14.5以上14.5.2未満のすべてのバージョンに影響する問題が発見されました。権限のない外部ユーザーがCI Lint APIを経由してサーバー側リクエストを実行できる可能性があります。
KEV掲載: 2026-02-03公式(NVD) →Ivanti Endpoint Manager Mobileの脆弱性として、認証を必要としないコードインジェクション攻撃により、リモートコード実行を達成することが可能になります。
KEV掲載: 2026-01-29公式(NVD) →Fortinet FortiAnalyzer 7.6.0～7.6.5、FortiAnalyzer 7.4.0～7.4.9、FortiAnalyzer 7.2.0～7.2.11、FortiAnalyzer 7.0.0～7.0.15、FortiManager 7.6.0～7.6.5、FortiManager 7.4.0～7.4.9、FortiManager 7.2.0～7.2.11、FortiManager 7.0.0～7.0.15、FortiOS 7.6.0～7.6.5、FortiOS 7.4.0～7.4.10、FortiOS 7.2.0～7.2.12、FortiOS 7.0.0～7.0.18、FortiProxy 7.6.0～7.6.4、FortiProxy 7.4.0～7.4.12、FortiProxy 7.2.0～7.2.15、FortiProxy 7.0.0～7.0.22、FortiWeb 8.0.0～8.0.3、FortiWeb 7.6.0～7.6.6、FortiWeb 7.4.0～7.4.11における認証回避の脆弱性[CWE-288]は、FortiCloud SSO認証が有効な場合、FortiCloudアカウントと登録デバイスを持つ攻撃者が、他のアカウントに登録された他のデバイスにログインできる可能性があります。
KEV掲載: 2026-01-27公式(NVD) →GNU Inetutils 2.7までのtelnetdは、USER環境変数に「-f root」という値を設定することで、リモート認証をバイパスできます。
KEV掲載: 2026-01-26公式(NVD) →SmarterTools SmarterMailのビルド9511より前のバージョンには、パスワードリセットAPIの認証回避脆弱性が存在します。force-reset-passwordエンドポイントは匿名リクエストを許可し、システム管理者アカウントをリセットする際に既存パスワードまたはリセットトークンの検証に失敗します。認証されていない攻撃者は、対象の管理者ユーザー名と新しいパスワードを指定してアカウントをリセットでき、SmarterMailインスタンスの完全な管理権限侵害をもたらします。注意：SmarterMailのシステム管理者権限は、組み込みの管理機能を経由してオペレーティングシステムコマンドを実行する能力を付与し、基礎となるホスト上の管理者（SYSTEMまたはroot）アクセスを事実上提供します。
KEV掲載: 2026-01-26公式(NVD) →この脆弱性を悪用されると、認証されていない攻撃者がメールサーバー上の任意の場所に任意のファイルをアップロードでき、リモートコード実行を可能にする可能性があります。
KEV掲載: 2026-01-26公式(NVD) →Microsoft Office における信頼できない入力への依存が、セキュリティ決定に関する脆弱性として存在し、未認可の攻撃者がローカルでセキュリティ機能をバイパスすることを可能にします。
KEV掲載: 2026-01-26公式(NVD) →Linuxカーネルのcreate_elf_tables()関数に整数オーバーフロー脆弱性が発見されました。SUID（またはその他の特権）バイナリへのアクセス権を持つ権限なしのローカルユーザーがこの脆弱性を悪用して、システム上で権限を昇格させる可能性があります。カーネルバージョン2.6.x、3.10.x、および4.14.xが脆弱であると考えられています。
KEV掲載: 2026-01-26公式(NVD) →vCenterサーバーのDCERPCプロトコル実装にヒープオーバーフロー脆弱性が存在します。vCenterサーバーへのネットワークアクセス権を持つ悪意のあるアクターが特別に細工されたネットワークパケットを送信することで、この脆弱性をトリガーし、リモートコード実行につながる可能性があります。
KEV掲載: 2026-01-23公式(NVD) →Versa Concerto SD-WAN オーケストレーション プラットフォームは、Traefik リバース プロキシ設定における認証バイパスの脆弱性を有しており、攻撃者が管理エンドポイントにアクセスすることを可能にします。内部 Actuator エンドポイントは、ヒープ ダンプとトレース ログへのアクセスに悪用される可能性があります。この問題は Concerto 12.1.2 から 12.2.0 までのバージョンに影響することが判明しています。追加のバージョンも脆弱である可能性があります。
KEV掲載: 2026-01-22公式(NVD) →Viteはjavascript用フロントエンドツールフレームワークです。Viteは?inline&importまたは?raw?importを使用して、許可されていないファイルのコンテンツを露出させます。--hostまたはserver.host設定オプションを使用してVite開発サーバーをネットワークに明示的に露出させているアプリケーションのみが影響を受けます。この脆弱性は6.2.4、6.1.3、6.0.13、5.4.16、および4.5.11で修正されています。
KEV掲載: 2026-01-22公式(NVD) →Zimbra Collaboration (ZCS) 10.0および10.1のWebmail Classic UIに、RestFilterサーブレットにおけるユーザー提供リクエストパラメータの不適切な処理が原因となるLocal File Inclusion (LFI)脆弱性が存在します。認証されていないリモート攻撃者は、/h/restエンドポイントへのリクエストを細工して内部リクエストディスパッチに影響を与え、WebRootディレクトリから任意のファイルをインクルードすることができます。
KEV掲載: 2026-01-22公式(NVD) →eslint-config-prettier 8.10.1、9.1.1、10.1.6、10.1.7にはサプライチェーン攻撃を目的とした悪意のあるコードが組み込まれています。影響を受けたパッケージをインストールすると、install.jsファイルが実行され、Windowsでnode-gyp.dllマルウェアが起動します。
KEV掲載: 2026-01-22公式(NVD) →Cisco Unified Communications Manager（Unified CM）、Cisco Unified Communications Manager Session Management Edition（Unified CM SME）、Cisco Unified Communications Manager IM & Presence Service（Unified CM IM&P）、Cisco Unity Connection、およびCisco Webex Calling Dedicated Instanceの脆弱性により、認証されていないリモート攻撃者が影響を受けるデバイスの基盤となるオペレーティングシステム上で任意のコマンドを実行できる可能性があります。 この脆弱性は、HTTPリクエストのユーザー入力の不適切な検証が原因です。攻撃者は、影響を受けるデバイスのWebベースの管理インターフェースに細工されたHTTPリクエストのシーケンスを送信することでこの脆弱性を悪用できます。悪用が成功した場合、攻撃者は基盤となるオペレーティングシステムへのユーザーレベルのアクセスを取得した後、特権をrootに昇格させることができます。 注：Ciscoはこのセキュリティアドバイザリにセキュリティインパクト評価（SIR）としてHighではなくCriticalを割り当てています。その理由は、この脆弱性の悪用により、攻撃者が特権をrootに昇格させる可能性があるためです。
KEV掲載: 2026-01-21公式(NVD) →Desktop Windows Manager の脆弱性により、認可された攻撃者がローカルで情報を開示できるようになり、機密情報が認可されていない者に暴露される可能性があります。
KEV掲載: 2026-01-13公式(NVD) →Gogsの PutContents APIにおける不適切なシンボリックリンク処理により、ローカルコード実行が可能になります。
KEV掲載: 2026-01-12公式(NVD) →HPE OneViewにリモートコード実行の脆弱性が存在します。
KEV掲載: 2026-01-07公式(NVD) →Microsoft Office PowerPoint 2000 SP3、2002 SP3、2003 SP3、および Microsoft Office 2004 for Mac のPowerPointは、無効なインデックス値を含むOutlineTextRefAtomを持つPowerPointファイルを通じて、メモリ破損をトリガーし、リモート攻撃者が任意のコードを実行することを許可します。2009年4月にExploit:Win32/Apptom.genによって野生で悪用されました。「メモリ破損の脆弱性」としても知られています。
KEV掲載: 2026-01-07公式(NVD) →Zlibで圧縮されたプロトコルヘッダーの長さフィールドの不一致により、認証されていないクライアントが初期化されていないヒープメモリを読み取ることができる可能性があります。この問題は、MongoDB Server v7.0 7.0.28未満のすべてのバージョン、MongoDB Server v8.0 8.0.17未満のバージョン、MongoDB Server v8.2 8.2.3未満のバージョン、MongoDB Server v6.0 6.0.27未満のバージョン、MongoDB Server v5.0 5.0.32未満のバージョン、MongoDB Server v4.4 4.4.30未満のバージョン、MongoDB Server v4.2 4.2.0以上のバージョン、MongoDB Server v4.0 4.0.0以上のバージョン、およびMongoDB Server v3.6 3.6.0以上のバージョンに影響します。
KEV掲載: 2025-12-29公式(NVD) →Digiever DS-2105 Pro 3.1.0.71-11デバイスは、time_tzsetup.cgiでコマンドインジェクション脆弱性を許可しています。注記：この脆弱性は、メンテナンス対象外となった製品にのみ影響します。
KEV掲載: 2025-12-22公式(NVD) →WatchGuard Fireware OSの境界外書き込み脆弱性により、認証されていないリモート攻撃者が任意のコードを実行できる可能性があります。この脆弱性は、動的ゲートウェイピアで設定された場合、IKEv2を使用するモバイルユーザーVPNとブランチオフィスVPNの両方に影響します。この脆弱性はFireware OS 11.10.2から11.12.4_Update1まで、12.0から12.11.5まで、および2025.1から2025.1.3までのバージョンに影響します。
KEV掲載: 2025-12-19公式(NVD) →Cisco Secure Email GatewayおよびCisco Secure Email and Web ManagerのCisco AsyncOSソフトウェアのスパム隔離機能における脆弱性により、認証されていないリモート攻撃者が影響を受けるデバイス上でroot権限で任意のシステムコマンドを実行できる可能性があります。 この脆弱性は、スパム隔離機能によるHTTPリクエストの検証が不十分であることが原因です。攻撃者は、影響を受けるデバイスに細工されたHTTPリクエストを送信することでこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は基盤となるオペレーティングシステム上でroot権限で任意のコマンドを実行できる可能性があります。
KEV掲載: 2025-12-17公式(NVD) →ASUS Live Updateクライアントの特定バージョンが、サプライチェーン侵害を通じて導入された不正な改変を伴って配布されていました。改変されたビルドは、特定のターゲット条件を満たすデバイスに対して意図しないアクションを実行させる可能性がありました。これらの条件を満たし、侵害されたバージョンをインストールしたデバイスのみが影響を受けます。Live Updateクライアントは既に2021年10月に延長サポート終了（EOS）に達しており、現在サポートされているデバイスまたは製品はこの問題の影響を受けません。
KEV掲載: 2025-12-17公式(NVD) →SonicWall SMA1000アプライアンス管理コンソール(AMC)における不十分な認可に起因するローカル権限昇格脆弱性。
KEV掲載: 2025-12-17公式(NVD) →Fortinet FortiOS 7.6.0から7.6.3、FortiOS 7.4.0から7.4.8、FortiOS 7.2.0から7.2.11、FortiOS 7.0.0から7.0.17、FortiProxy 7.6.0から7.6.3、FortiProxy 7.4.0から7.4.10、FortiProxy 7.2.0から7.2.14、FortiProxy 7.0.0から7.0.21、FortiSwitchManager 7.2.0から7.2.6、FortiSwitchManager 7.0.0から7.0.5における暗号署名の不適切な検証の脆弱性により、認証されていない攻撃者は細工されたSAML応答メッセージを使用してFortiCloud SSOログイン認証をバイパスすることが可能になります。
KEV掲載: 2025-12-16公式(NVD) →Gladinet CentreStackおよびTriofoxのバージョン16.12.10420.56791より前のバージョンは、AES暗号化スキーム実装に対してハードコードされた値を使用していました。これにより、公開エンドポイントのセキュリティが低下し、認証なしで特別に細工されたリクエストが提供された場合、任意のローカルファイルインクルージョン脆弱性が発生する可能性があります。これは将来の悪用の扉を開き、以前の脆弱性と組み合わせて活用することで、システム全体の侵害につながる可能性があります。
KEV掲載: 2025-12-15公式(NVD) →use-after-free の問題がメモリ管理の改善により対処されました。この問題は Safari 26.2、iOS 18.7.3 および iPadOS 18.7.3、iOS 26.2 および iPadOS 26.2、macOS Tahoe 26.2、tvOS 26.2、visionOS 26.2、watchOS 26.2 で修正されています。悪意のある細工が施された Web コンテンツを処理することにより、任意のコード実行につながる可能性があります。Apple は、iOS 26 より前のバージョンの iOS において、この問題が特定の標的を絞った個人に対する極めて高度な攻撃に悪用されたと報告されていることを認識しています。CVE-2025-14174 もこの報告に対応して発行されました。
KEV掲載: 2025-12-15公式(NVD) →Sierra Wireless AirLink ES450 FW 4.9.3のupload.cgi機能に、悪用可能なリモートコード実行脆弱性が存在します。特別に細工されたHTTPリクエストにより、ファイルをアップロードでき、実行可能なコードがウェブサーバーにアップロードされ、ルーティング可能になります。攻撃者は認証済みのHTTPリクエストを送信することで、この脆弱性をトリガーできます。
KEV掲載: 2025-12-12公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。