脆弱性 / VULNERABILITIES / KEV
CISAが悪用確認済み脆弱性7件をKEVに追加 — SonicWall SMA1000のゼロデイ2件やJFrog Artifactoryなど、連邦機関に緊急対応を指示
米CISAは2026年9月2日、SonicWall SMA1000のSSRFとOSコマンドインジェクションのゼロデイ2件を含む7件の脆弱性をKEVカタログに追加したと公表した。
米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年9月2日、悪用が確認された脆弱性として7件を「Known Exploited Vulnerabilities（KEV）カタログ」に追加したと公表した。対象には、SonicWallのセキュアアクセス製品「SMA1000」シリーズでゼロデイとして悪用が確認された2件の脆弱性が含まれる。CISAは連邦政府機関に対し、BOD 26-04に基づいて迅速な緩和を求めるとともに、民間を含む全組織にもリスクベースでの優先対応を推奨している。
追加された7件 — SMA1000のゼロデイ2件を含む
CISAが2026年9月2日付でKEVに追加した脆弱性は次の7件である。いずれもCISAが「悪用の証拠」を確認したとして登録したものである。
- CVE-2026-83548 : SonicWall SMA1000 Appliances のサーバーサイドリクエストフォージェリ（SSRF）
- CVE-2026-83549 : SonicWall SMA1000 Appliances のOSコマンドインジェクション
- CVE-2026-82329 : JFrog Artifactory の認証不備（Improper Authentication）
- CVE-2026-9586 : Sangoma Switchvox のSQLインジェクション
- CVE-2026-48710 : Kludex Starlette のHTTPリクエスト/レスポンス・スプリッティング（Request/Response Smuggling）
- CVE-2026-49869 : Kestra OSS のOSコマンドインジェクション
- CVE-2026-59822 : BerriAI LiteLLM の認証不備
CISAは、これらの脆弱性が「悪意ある攻撃者にとって頻繁に利用される攻撃経路であり、連邦政府のエンタープライズに重大なリスクをもたらす」と説明している。
連邦機関への要求 — BOD 26-04で最優先の緩和を義務化
CISAは、今回の追加が「Binding Operational Directive（BOD）26-04: Prioritizing Security Updates Based on Risk」に基づく措置であると説明している。BOD 26-04は、連邦民間行政府（FCEB）機関に対し、KEVカタログに掲載された脆弱性のうち「公開された資産において悪用後に資産全体の制御を奪われる」高リスクのものを最優先で迅速に緩和し、よりリスクの低い脆弱性への対応を後回しにすることを求める指令である。
BOD 26-04はさらに、パッチ適用前に攻撃者がシステムを侵害していなかったかどうかを確認するための基本的な期待値も定めている。CISAは、BOD 26-04はFCEB機関にのみ適用される一方で、すべての組織がリスクベースの脆弱性管理を採用し、KEVカタログの脆弱性の緩和を優先することを推奨すると述べている。
日本企業への影響 — VPNや開発基盤など広範囲に波及
今回KEVに追加された製品は、日本企業でも利用が広い領域にまたがる。
- SonicWall SMA1000は、社外から社内ネットワークへ安全に接続するためのVPN/リモートアクセス装置である。CISAがゼロデイとして悪用を確認したCVE-2026-83548とCVE-2026-83549は、SonicWallが2026年9月2日までに修正を公開し、悪用が報告されている。インターネットに公開されたSMA1000を運用している組織は、修正の適用状況を直ちに確認する必要がある。
- JFrog Artifactoryは、ソフトウェアの部品（パッケージやコンテナイメージ）を保管・管理する開発基盤である。CVE-2026-82329は既定の設定で未認証の攻撃者が管理者権限のトークンを偽造できる認証バイパスであり、2026年9月1日時点で既に悪用が観測されている。
- Sangoma Switchvoxは企業向けVoIP電話基盤、BerriAI LiteLLMやKestra OSSはAIやオーケストレーションの基盤として開発環境で使われることがある。いずれもインターネット公開の有無や利用形態によってリスクが異なる。
CISAは、KEVに掲載された脆弱性は「公開された資産で完全な制御を奪われる」性質を持つものを優先的に対処すべきだとし、カタログの基準を満たす脆弱性について今後も継続的に追加すると述べている。脆弱性が悪用されていることを認識しながらKEVに未掲載のものがあれば、CVE番号、悪用の証拠、明確な緩和策を添えてCISAの「KEV Nomination Form」から提案するよう呼びかけている。
出典
- CISA, “CISA Adds Seven Known Exploited Vulnerabilities to Catalog” (2026-09-02) — https://www.cisa.gov/news-events/alerts/2026/09/02/cisa-adds-seven-known-exploited-vulnerabilities-catalog
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。