CISA KEVに悪用確認済みの脆弱性5件を追加 — Apache Struts・ProFTPD・BINDなど、修正から10年経っても更新されないサーバーが狙われる
米CISAは2026年10月8日、攻撃での悪用が確認された脆弱性の一覧（KEV）に5件を追加した。ONLYOFFICE Docs、Apache Struts、ProFTPD、ISC BIND、Strapiの脆弱性で、最も古いものは2015年に修正版が出ている。いずれも新しく見つかった欠陥ではない。修正版が出てから何年も経つのに、更新されずに動き続けているサーバーが今も攻撃に使われている、というのが今回の追加の意味である。米政府機関には10月11日までの対応が求められている。この記事では5件の中身と、社内の「古いサーバー」を洗い出す手順をまとめる。
背景
KEVは、CISAが実際の攻撃で使われたと確認した脆弱性だけを載せる一覧である。危険度の点数が高いだけでは載らないため、「今まさに狙われているもの」を優先順位付けする材料として、米国外の企業にも使われている。今回追加された5件は次のとおりである。
- ONLYOFFICE Docs（CVE-2021-3199）: 文書を共同編集するサーバー。画像アップロードの処理でフォルダの外にファイルを置ける欠陥（パストラバーサル）があり、遠隔からプログラムを実行される恐れがある。2021年に修正済み
- Apache Struts（CVE-2016-3081）: Javaで作るWebシステムの部品。特定の機能（動的メソッド呼び出し）を有効にしていると、細工した要求で任意のコマンドを実行される。2016年に修正済み
- ProFTPD（CVE-2015-3306）: ファイルを送受信するFTPサーバー。ログインしていない相手が、サーバー上の任意のファイルを読み書きできる。2015年に修正済み
- ISC BIND（CVE-2015-5477）: ドメイン名をIPアドレスに変換するDNSサーバー。細工した問い合わせ1つでサービスを止められる。2015年に修正済み
- Strapi（CVE-2023-22894）: Webサイトの記事やデータを管理するソフト。管理画面に入れる攻撃者が、利用者の機密情報を読み出せる。別の脆弱性（CVE-2023-22621）と組み合わせると、プログラムの実行にもつながる。2023年に修正済み
CISAは5件のうちStruts、ProFTPD、ONLYOFFICE、Strapiの4件について、更新だけでなく侵入の痕跡の調査も求めている。Strapiについては、サポートが終わった版が使われている可能性があるとして、利用の中止や移行も選択肢に挙げている。
リスクの全体像
10年前の脆弱性がなぜ今も使われるのか。理由は単純で、攻撃する側にとって効率が良いからである。修正版が出てから年数が経った脆弱性は、攻撃の手順が公開され、自動で探し回る道具に組み込まれている。攻撃者はインターネット上のサーバーを片端から調べ、古い版のまま動いているものを見つけたら入る。狙う相手を選んでいるわけではなく、更新されていないサーバーを持っている会社が順に当たる。
中小企業でこうしたサーバーが残りやすいのは、次のような場面である。
- 数年前に外注で作った業務システムや会員サイトが、保守契約が切れたまま動いている（Struts、Strapi）
- 取引先とのファイル受け渡し用に立てたFTPサーバーが、担当者の異動後も止められていない（ProFTPD）
- 社内のDNSサーバーやネットワーク機器の中に、古いBINDが組み込まれている（BIND）
- 社内で文書を共同編集するために入れたサーバーが、導入時の版のまま使われている（ONLYOFFICE）
どれも「動いているから触らない」ことで残る。止まると業務に響くため更新を後回しにし、そのうち誰が管理しているのか分からなくなる。今回の5件は、その状態が攻撃者にとって最も入りやすい入口であることを示している。
チェックリスト
- インターネットから接続できるサーバーの一覧があるか。各サーバーで動いているソフトと版数を記録しているか
- 外注で作ったWebシステムにApache Strutsが使われていないか。使われている場合、版数と保守の担当会社が分かるか
- FTPサーバー（ProFTPDなど）が社外に公開されていないか。今も使っている取引先がいるか
- 社内または委託先が管理するDNSサーバーのBINDが、2015年以降の版に更新されているか
- ONLYOFFICE DocsやStrapiを社内か委託先で使っていないか。使っていれば、サポート中の版か
- 保守契約が切れたまま動いているシステムがないか
打ち手
1番目は、今週中に「インターネットに見えているもの」の一覧を作ることである。社内の情報システム担当か、システムを作った外注先・保守会社に、公開しているサーバーと、その上で動くソフトの名前と版数を出してもらう。分からないと言われたサーバーが、最も危ない候補になる。2番目は、今回の5製品に当てはまるものがあれば、修正版への更新か停止を決めることである。使っていないFTPサーバーや古い会員サイトは、更新するより止める方が早くて確実だ。3番目は痕跡の確認で、該当するサーバーがあった場合は、見覚えのないファイルやアカウントが増えていないかを保守会社に調べてもらう。古い脆弱性は長期間狙われているため、更新した時点ですでに入られている可能性を捨てられない。4番目は今後の仕組みで、保守契約が切れるシステムは、契約終了と同時に停止か移行を決めるルールにする。
古いサーバーは、更新するより止める方が早いことが多い
あわせて読みたい
- 古いDirectX脆弱性（CVE-2009-1537）が依然KEV掲載：レガシー環境のリスクを再点検する
- WordPress本体に未認証で任意コード実行の恐れ（CVE-2026-87902）悪用を確認、4.7系以降は今すぐ更新を
- 自律的に脆弱性を悪用するAIに、企業はどう備えるか ── 実行時防御とパッチ短縮の打ち手
- 【要対応】Microsoft SharePoint Server のデシリアライズ脆弱性 CVE-2026-45659 ― CISA KEV追加、認証済みRCEへの対応指針
Omamori AI の結論
- 事実: CISAは10月8日、ONLYOFFICE Docs、Apache Struts、ProFTPD、ISC BIND、Strapiの5件をKEVに追加した。いずれも2015〜2023年に修正版が出ている脆弱性で、更新されていないサーバーが攻撃に使われている。
- 判断軸: 新しい脆弱性への対応より先に、「誰も管理していない古いサーバーが社外から見えていないか」を確かめる。
- 打ち手: 公開サーバーと版数の一覧化、該当製品の更新または停止、侵入の痕跡の確認、保守契約の終了時に停止か移行を決めるルールづくり。
経営者視点で考えるべきこと
古いサーバーが残る原因は、技術よりも予算と責任の所在にある。システムを作ったときは費用を出しても、保守費は削られやすく、契約が切れた後は誰の仕事でもなくなる。経営者が確認したい点は3つある。社外から接続できるサーバーの一覧を、社内の誰かが持っているか。保守契約が切れているシステムが動いていないか。止めると困る業務がある場合、そのシステムの更新や作り直しの費用を予算に入れているか。古いサーバーからの侵入は、そこを足場に社内の他のシステムへ広がることが多い。会員情報や取引先とのデータが漏れれば、更新費用とは比べものにならない損失になる。
