CISAが4件の悪用確認脆弱性をKEVに登録 — Fortinet、Citrix、Chrome V8、シスコFMCに直ちに対応を

要点

• 米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年9月9日、野外での悪用を確認した4件の脆弱性を「Known Exploited Vulnerabilities（KEV）カタログ」に追加した。
• 対象は、Fortinet複数製品の CVE-2025-25249、Citrix NetScalerの CVE-2026-19490、Google Chromium V8の CVE-2026-87491、シスコ Secure Firewall Management Center（FMC）の CVE-2026-20079 である。
• CISAは連邦民間行政府（FCEB）機関に対し、拘束力のある運用指令 BOD 26-04 に基づき、公開資産で完全な制御を奪われる恐れのあるKEV脆弱性を優先して迅速に修復するよう求めている。民間組織にも同様のリスクベース対応を推奨している。

CISAがKEVに追加した4件

CISAが2026年9月9日に公表したアラートによると、今回KEVカタログに追加されたのは次の4件である。いずれも「攻撃者による悪用の証拠」を根拠に登録された。

CVE	製品	脆弱性の種類
CVE-2025-25249	Fortinet 複数製品	ヒープベースのバッファオーバーフロー
CVE-2026-19490	Citrix NetScaler	代替パス／チャネルによる認証バイパス
CVE-2026-87491	Google Chromium V8	境界外書き込み（Out of Bounds Write）
CVE-2026-20079	Cisco Secure Firewall Management Center	代替パス／チャネルによる認証バイパス

いずれも、外部に公開された資産が侵害された場合に攻撃者がシステム全体を制御できる恐れがあるものとして、BOD 26-04 で「優先して修復すべき高リスク脆弱性」に位置付けられる。

• CVE-2025-25249 は、Fortinetの複数製品に影響するヒープベースのバッファオーバーフローである。CISAはFortinet製品が企業ネットワークの境界で広く利用されていることから、迅速な対応が必要だとしている。
• CVE-2026-19490 は、Citrix NetScaler（旧 NetScaler ADC / Gateway）における認証バイパスである。代替パスを利用して認証を迂回される恐れがあり、リモートから管理機能へ到達できる環境では影響が大きい。
• CVE-2026-87491 は、Google Chrome などの基盤である Chromium の JavaScriptエンジン V8 における境界外書き込みである。CISAは同脆弱性が野外で悪用されていることを確認しており、ブラウザの更新が重要だとしている。
• CVE-2026-20079 は、シスコ Secure Firewall Management Center（FMC）における認証バイパスである。CISAとシスコは同脆弱性が野外で悪用されていることを確認しており、FMCをインターネットに公開している組織は特に注意が必要だとしている。

CISAは各CVEの詳細な技術情報や修正バージョンについては、ベンダーやNVDの情報を参照するよう案内している。

BOD 26-04に基づく対応要請

CISAは、FCEB機関に対しては BOD 26-04「Prioritizing Security Updates Based on Risk」に基づく対応を求めている。同指令は、公開資産で完全な制御を奪われる恐れのあるKEV脆弱性を迅速に修復し、パッチ適用前に侵害がなかったかを確認することを基本的な期待値として定めている。

CISAはFCEB機関以外にも、すべての組織に対してリスクベースの脆弱性管理を採用し、KEVカタログに登録された脆弱性の修復を優先するよう推奨している。今回の4件は、ファイアウォール、ADC、ブラウザ、セキュリティ管理基盤と、いずれも日本企業でも広く利用される製品群にまたがるため、CISAは「公開資産の棚卸しと優先的なパッチ適用」を呼びかけている。

CISAは、KEVに未登録で悪用を確認した脆弱性について、CVE番号、悪用の証拠、明確な緩和策を添えて「KEV Nomination Form」から報告するよう、研究者やベンダーに協力を求めている。

影響と確認事項

• Fortinet製品 を利用する組織は、該当製品が CVE-2025-25249 の影響を受けるバージョンかどうかをベンダーアドバイザリで確認する必要がある。
• Citrix NetScaler を公開している組織は、認証バイパス CVE-2026-19490 の影響と修正版の適用状況を確認する必要がある。
• Chrome / Chromium ベースブラウザ（Chrome、Edge、Brave など）を利用する組織と個人は、CVE-2026-87491 を修正した最新版への更新が必要である。
• Cisco Secure FMC を利用する組織は、CVE-2026-20079 の影響を受けるバージョンと修正版をシスコのアドバイザリで確認し、FMCをインターネットに直接公開していないかも併せて点検する必要がある。

CISAはKEV登録の根拠を「野外での悪用の証拠」と説明しているが、具体的な攻撃グループやキャンペーン名は今回のアラートでは明らかにしていない。

出典

• Cybersecurity and Infrastructure Security Agency「CISA Adds Four Known Exploited Vulnerabilities to Catalog」 (2026年9月9日) https://www.cisa.gov/news-events/alerts/2026/09/09/cisa-adds-four-known-exploited-vulnerabilities-catalog