CISAがKEVに3件を追加 — LinuxカーネルやownCloud、JFrog Artifactoryの悪用確認された脆弱性

米CISAは8月27日、悪用が確認された脆弱性（KEV）カタログに3件を追加した。対象はownCloudの認証不備（CVE-2023-49105）、Linuxカーネルの権限昇格につながる未特定の脆弱性（CVE-2026-53362）、JFrog Artifactoryのパストラバーサル（CVE-2026-66384）である。CISAは連邦機関にBOD 26-04に基づく迅速な対応を求め、民間組織にも優先的な緩和を呼びかけている。

脆弱性 NEXSIGHT CYBER WIRE 編集部 2026.08.28 4–5 min read

攻撃手法

特権昇格

ソフトウェア

Linux

米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年8月27日、実際に悪用が確認された脆弱性を集めた「Known Exploited Vulnerabilities（KEV）カタログ」に3件を追加したと発表した。追加されたのは、ownCloudの認証不備、Linuxカーネルの権限昇格につながる脆弱性、JFrog Artifactoryのパストラバーサルの脆弱性である。CISAは連邦機関に迅速な是正を求めるとともに、民間組織にも優先的な対応を呼びかけている。

追加された3件の概要

CISAが2026年8月27日付のアドバイザリで示した3件は次のとおりである。

CVE-2023-49105 — ownCloud Improper Authentication Vulnerability ownCloudに存在する認証不備の脆弱性である。被害者のユーザー名が既知で、かつ被害者が署名鍵（signing-key）を設定していない場合、攻撃者が認証なしで任意のファイルへアクセス、改変、削除できるおそれがある。CWEはCWE-287（不適切な認証）に分類される。

CVE-2026-53362 — Linux Kernel Unspecified Vulnerability LinuxカーネルのIPv6ネットワークサブシステムに起因する未特定の脆弱性である。悪用された場合、権限昇格を許すおそれがあるとCISAは説明している。CISAは「SUSE、Red HatなどLinuxカーネルを使用する複数の製品に影響しうる」としている。フォレンジックトリアージはBOD 26-04に基づき実施が必要とされる。

CVE-2026-66384 — JFrog Artifactory Improper Limitation of a Pathname to a Restricted Directory Vulnerability JFrog Artifactoryにおけるパストラバーサルの脆弱性である。制限されたディレクトリへのパス名の制限が不適切なため、攻撃者が制限を迂回して想定外の場所へアクセスできるおそれがある。CWEはCWE-22に該当する。

いずれも「Known To Be Used in Ransomware Campaigns?」は現時点でUnknown（不明）とされている。

CISAが求める対応

CISAは、連邦民間行政府機関（FCEB）に対して「Binding Operational Directive（BOD）26-04: Prioritizing Security Updates Based on Risk」に基づく対応を求めている。BOD 26-04は、KEVに登録された脆弱性のうち、公開された資産で悪用後に資産全体の制御を奪われるような高リスクの脆弱性を迅速に是正し、低リスクのものは後回しにするというリスクベースの是正を求めるものである。あわせて、パッチ適用前に侵害がなかったかを確認するフォレンジックトリアージの実施も求めている。

CISAは「BOD 26-04はFCEB機関にのみ適用されるが、すべての組織がリスクベースの脆弱性管理を採用し、KEVカタログに登録された脆弱性の是正を優先することを推奨する」と呼びかけている。各脆弱性の「Action」欄では「ベンダーの指示に従い緩和策を適用し、BOD 26-04とフォレンジックトリアージ要件に準拠すること」が求められている。

今回追加された3件のKEV登録日はいずれも2026年8月27日で、是正期限（Due Date）は2026年8月30日とされている。CISAは今後も基準を満たす脆弱性を順次カタログに追加するとしている。

日本企業への影響

3件のうち、特に影響範囲が広いのはLinuxカーネルのCVE-2026-53362である。Linuxカーネルはサーバーやクラウド基盤、組み込み機器まで広範に利用されており、日本企業でもSUSE Linux EnterpriseやRed Hat Enterprise Linux、あるいはそれらを基盤とする製品を利用している場合は影響を確認する必要がある。ownCloudはファイル共有基盤として一部企業で利用され、JFrog ArtifactoryはCI/CDやアーティファクト管理で利用される開発基盤である。いずれもインターネットに公開された資産で利用している場合は、CISAが示すようにベンダーの指示に基づく緩和策の適用と、侵害有無の確認を優先して検討することが求められる。

出典

CISA「CISA Adds Three Known Exploited Vulnerabilities to Catalog」2026年8月27日 https://www.cisa.gov/news-events/alerts/2026/08/27/cisa-adds-three-known-exploited-vulnerabilities-catalog
CISA「Known Exploited Vulnerabilities Catalog」 https://www.cisa.gov/known-exploited-vulnerabilities-catalog

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。