脆弱性 / VULNERABILITIES / KEV
CISAが6件をKEVに追加 — NetScalerの境界外メモリ操作（CVE-2026-8452）やLinuxカーネル、SQL Serverなど実地悪用を確認
米CISAは2026年8月26日、実際に悪用が確認された6件の脆弱性をKEVカタログに追加したと発表した。Citrix NetScaler ADC/Gatewayの境界バッファ操作不備（CVE-2026-8452）、Linuxカーネルの境界外書き込み、Microsoft SQL ServerのRCEなど、日本企業でも利用が広い製品が含まれる。CISAは連邦機関に対しBOD 26-04に基づく迅速な修復を求め、全組織にもリスクベースの優先対応を推奨している。
要点
- CISAが6件をKEVに追加: 米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年8月26日、実地での悪用が確認された6件の脆弱性を「Known Exploited Vulnerabilities（KEV）カタログ」に追加したと発表した。
- 日本企業にも広く影響する製品が含まれる: 追加された6件には、Citrix NetScaler ADC/Gateway、Linuxカーネル、Microsoft SQL Serverなど、日本国内の企業や官公庁でも利用が広いプラットフォームの脆弱性が含まれる。
- 連邦機関には迅速な修復が義務付けられる: CISAは連邦民間行政機関（FCEB）に対し、運用指令BOD 26-04に基づき、公開資産で悪用されると機器全体の制御を奪われるタイプのKEVを優先して迅速に修復するよう求めている。パッチ適用前に侵害がなかったかの確認も求めている。
- 全組織への推奨: CISAはFCEB以外の組織にも、リスクベースの脆弱性管理を採用し、KEVに登録された脆弱性の修復を優先するよう推奨している。
追加された6件の概要
CISAが2026年8月26日にKEVへ追加した6件は以下のとおりである。いずれもCISAが「実地での悪用（active exploitation）の証拠に基づく」と説明している。
| CVE | 対象製品 | 脆弱性の種類 |
|---|---|---|
| CVE-2026-8452 | Citrix NetScaler ADC / NetScaler Gateway | メモリバッファの境界外操作の不適切な制限（Improper Restriction of Operations within the Bounds of a Memory Buffer） |
| CVE-2022-0995 | Linuxカーネル | 境界外書き込み（Out-of-Bounds Write） |
| CVE-2019-1068 | Microsoft SQL Server | リモートコード実行（RCE） |
| CVE-2021-23758 | Ajax.NET Professional | 信頼できないデータのデシリアライゼーション |
| CVE-2015-5287 | Red Hat Automatic Bug Reporting Tool（ABRT） | 権限昇格 |
| CVE-2015-3246 | Red Hat Libuser | 競合状態（Race Condition） |
CISAは「これらの脆弱性は悪意ある攻撃者に頻繁に悪用され、連邦企業に重大なリスクをもたらす」と述べている。
BOD 26-04が求める対応
CISAは今回の追加と併せて、2026年に更新された運用指令「BOD 26-04: Prioritizing Security Updates Based on Risk（リスクに基づくセキュリティ更新の優先順位付け）」の要件を改めて示した。
BOD 26-04はFCEB機関に対し、KEVに登録された脆弱性のうち、インターネットに公開されており、悪用されると資産全体の制御を奪われるものについて、迅速な修復を優先し、低リスクの脆弱性への対応は後回しにすることを求めている。さらに、パッチ適用前に攻撃者によってシステムが侵害されていなかったかを確認する基本的な手順も定めている。
CISAは「BOD 26-04はFCEB機関にのみ適用されるが、すべての組織がリスクベースの脆弱性管理を採用し、KEVカタログの脆弱性の修復を優先することを推奨する」と説明している。
CISAの呼びかけと情報提供の窓口
CISAは、KEVカタログに未登録だが実地で悪用されている脆弱性を把握している場合、KEV Nomination Formから情報提供するよう呼びかけている。CISAは追加の条件として「CVE IDがあること」「悪用の証拠があること」「明確な緩和ガイダンスがあること」を挙げている。
なお、CISAは翌27日にも別途、ownCloudやLinuxカーネル（CVE-2026-53362）、JFrog Artifactoryの3件をKEVに追加している。KEVは随時更新されるため、運用者はカタログ本体（CISA KEV Catalog）で最新状況を確認する必要がある。
日本の組織が確認すべきこと
CISAの発表は米連邦機関を直接の対象とするものだが、NetScaler、Linux、SQL Serverはいずれも日本国内の企業でも広く利用されている基盤である。CISAは公開資産で完全制御に至るKEVの優先対応を求めており、自組織で該当製品をインターネットに公開していないか、修正プログラムの適用状況と侵害の有無を確認することが重要になる。CISAは具体的な期限や対策の詳細を各アドバイザリで示しており、一次情報の確認が必要だ。
出典
- CISA Adds Six Known Exploited Vulnerabilities to Catalog — CISA（2026年8月26日 公表）
- Known Exploited Vulnerabilities Catalog — CISA
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。