脆弱性と更新管理の記事まとめ
悪用が確認された脆弱性の事例と、VPN装置・サーバー・WordPressなどの更新を進める手順の記事をまとめました。
基本と対策の記事（10本）
- EDR・XDR・MDR の違い完全ガイド ― 何を守り、どう選ぶか【2026年版】
- 「見つける」より「直す」が詰まる ── 6〜12か月の猶予に企業がやるべき脆弱性対応
- 能力は同じ、違いはガードレールだけ ― Fable 5 / Mythos 5 が突きつけるデュアルユース統制
- ハッキングは「壊す」から「だます」へ — 1995-2026 攻撃手口の変質、経営者は何を更新すべきか
- AI ゲートウェイ製品 比較 — Cloudflare AI Gateway / Lakera / Portkey / Helicone
- CASB × AI ― クラウドアクセスブローカーのAI対応状況
- DLP × AI ― 従来のData Loss Preventionは生成AI時代に通用するか
- AIガードレール製品比較 ― Lakera vs Protect AI vs HiddenLayer
- SASE × AI ― Zscaler vs Netskope vs Palo Alto Prisma
- DLP ソリューション AI対応比較（Microsoft Purview / Forcepoint / Netskope）
事例と最新の動き（50本）
- 明治学院大学の学部サイトが改ざん、偽の「ロボット確認」でMacにコマンド実行を促す仕掛け — 管理者アカウントの乗っ取りが起点
- WordPress本体のCVE-2026-119977が悪用確認、更新作業の最中にコードを実行される — 7.1.4への更新と更新担当の決め方
- Ivanti Connect Secureの権限昇格の脆弱性（CVE-2026-111357）が悪用確認、10月の2件と連鎖して認証なしでroot権限に — VPN装置は更新と侵害調査をセットで
- Linuxカーネルの脆弱性（CVE-2026-46300）が悪用確認リスト入り、PHPの「PHP2Shell」と組み合わせてWebシェル設置とroot奪取 — 自社サイトのサーバーはPHPとOSの両方を更新
- Adobe CommerceとMagentoの脆弱性「PolyShell」（CVE-2026-48356）が悪用確認リスト入り — 3月から攻撃が続くECサイトの裏口、7月の修正と侵害の有無を制作会社に確認を
- Siemens Software CenterにDLL読み込みの脆弱性（CVE-2026-110936）、悪用確認でCISA KEVに追加 — 設計・製造部門のPCでV4.0.9.8以上を確かめる
- Jira・ConfluenceなどAtlassianのData Center版にログインなしでファイルを読まれる脆弱性（CVE-2026-21589）、悪用確認でCISA KEVに追加 — まず自社がクラウド版かを確かめる
- 国産WAF「SiteGuard Server Edition」の統計機能にroot権限を奪われる脆弱性（CVE-2026-106931）、悪用を確認 — 更新の前に「診断情報」を保存する
- SharePointの「ToolShell」（CVE-2025-53770）、公表から1年3か月でも悪用予測スコアはほぼ100% — 7月にサポートが終わった2016・2019版を社内に残していないか
- Cisco Secure Email Gatewayに添付ファイル1通でroot権限を奪われる脆弱性（CVE-2026-76519）が悪用確認 — ファイルレピュテーションを有効にした機器は今日更新を
- CISA KEVに悪用確認済みの脆弱性5件を追加 — Apache Struts・ProFTPD・BINDなど、修正から10年経っても更新されないサーバーが狙われる
- FortiMailに認証なしでファイルを書き込まれる脆弱性（CVE-2026-104286）が悪用確認、修正版の配布前に回避策を
- WordPress本体に未認証で任意コード実行の恐れ（CVE-2026-87902）悪用を確認、4.7系以降は今すぐ更新を
- Check Point のVPNゲートウェイと管理サーバーに悪用中の脆弱性2件（CVE-2026-85102 / CVE-2026-93616）— 認証なしで任意コード実行
- F5 BIG-IP APM に認証不要のリモートコード実行（CVE-2026-94127）— 悪用確認済み、OAuth を設定した仮想サーバーが標的
- Acronis Backup の cPanel / Plesk / DirectAdmin 版に権限昇格（CVE-2026-87886）、悪用確認 — レンタルサーバーのバックアップ機能が root 奪取の足場に
- Cisco ISE の認証回避（CVE-2026-76460）が悪用確認 — CVSS 10.0、社内LANとVPNの接続を決める認証基盤を認証なしで乗っ取られる
- ムラウチドットコムで771万件の個人情報漏えい — Webシステムの脆弱性1つから複数システムへ広がった経緯
- FortiOSのヒープバッファオーバーフロー（CVE-2025-25249）が悪用確認 — FortiGate利用企業が今週中に見る3か所
- デジタル庁GSSに不正アクセス、24.6万件が漏えいの可能性 — 「把握済みのVPN脆弱性」が入口になった
- 2026年8月Microsoft月例更新 ― WinSock AFDドライバの特権昇格 CVE-2026-68820 は悪用確認済み
- 2026年7月Microsoft月例更新 ― SharePointの悪用確認済み脆弱性3件とAD FS特権昇格への対処
- 【緊急】NetScaler ADC/Gatewayにリモートコード実行の重大脆弱性（CVE-2026-8452）—今すぐ対応を
- 【緊急】Balbooa Forms に未認証RCE脆弱性（CVE-2026-56291）―危険なファイルの無制限アップロードが可能
- Adobe Acrobat / Reader の脆弱性 APSB26-63 ― 対象バージョンと修正版、今すぐ更新を
- LiteSpeed cPanelプラグインのシンボリックリンク脆弱性 CVE-2026-54420（CVSS 8.5）― 共有ホスティングでの権限昇格、実際に悪用
- Joomla の JCE エディタ拡張に無認証PHPコード実行 CVE-2026-48907（CVSS 9.8）
- Check Point Remote/Mobile Access の認証バイパス CVE-2026-50751 ― 非推奨IKEv1の証明書検証欠陥で無認証VPN接続
- Ubiquiti UniFi OS のパストラバーサル CVE-2026-34909（CVSS 10.0）― ネットワーク隣接からのファイル窃取に注意
- PTC Windchill PDMLink / FlexPLM の無認証RCE CVE-2026-12569（CVSS 9.8）― デシリアライズ欠陥、製造業PLMは要確認
- Ivanti Connect Secure のSSRF脆弱性 CVE-2024-21893 ― 無認証で制限リソースにアクセス、CISA KEV掲載
- Ivanti Connect Secure のコマンドインジェクション CVE-2024-21887 ― 認証バイパスとの連鎖で無認証RCEに
- Citrix Bleed（CVE-2023-4966）― NetScalerのセッション窃取脆弱性、MFAを回避する悪用に注意
- PAN-OS GlobalProtect のコマンドインジェクション CVE-2024-3400（CVSS 10.0）― 無認証RCE、パッチ適用状況の再点検を
- 【要対応】Microsoft SharePoint Server のデシリアライズ脆弱性 CVE-2026-45659 ― CISA KEV追加、認証済みRCEへの対応指針
- 【緊急】PAN-OS認証回避の脆弱性（CVE-2026-0265）：今すぐ確認すべき対応策
- トレンドマイクロ製品に複数の脆弱性、TrendAI Apex Oneなど早急なパッチ適用を
- 古いDirectX脆弱性（CVE-2009-1537）が依然KEV掲載：レガシー環境のリスクを再点検する
- Microsoft 月例セキュリティ更新（2026 年 4 月）— 優先度判定の観点
- Cisco ASA / FTD CVE-2025-20333 / 20362 — VPN を狙う認証バイパス + RCE チェーン
- 【緊急】Joomla!の認証バイパス脆弱性CVE-2023-23752、悪用確率95%の実態と対策
- GUARDIANWALL MailSuiteのスタックバッファオーバーフロー脆弱性——メールセキュリティ製品のリスクを正しく理解する
- 悪用リスク極めて高：CVE-2017-8917（Joomla! SQLインジェクション）の今すぐ確認すべき対策
- 悪用確率94%の脆弱性CVE-2018-7600（Drupalgeddon2）：今すぐ対応すべき理由
- CVE-2021-22986 深刻度解説：F5 BIG-IP/BIG-IQ認証バイパスRCE脆弱性とEPSS94%が示す高悪用リスク
- Adobe Acrobat/Reader の重大脆弱性 APSB26-44 を今すぐ確認・対処すべき理由
- Stable Diffusion WebUIの脆弱性 ― 社内サーバー侵害経路
- ベクトルDB（Pinecone / Weaviate）の脆弱性と侵入経路
- LangChain の既知脆弱性 3選 ― エージェントが任意コード実行
- WordPress脆弱性 2026年1-3月 ― AIプラグインが攻撃経路に
ほかのテーマ: 生成AIセキュリティの記事まとめ / 情報漏えいとインシデント対応の記事まとめ / 認証とフィッシング対策の記事まとめ / 規制・法令と個人情報保護の記事まとめ / 委託先とクラウド管理の記事まとめ