CISA、悪用確認済みの脆弱性を2製品で追加、利用環境の確認を

米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は、2026年10月23日付の別々の発表で、悪用が確認された脆弱性をまとめたKEVカタログに各1件を追加しました。対象はCollabora OnlineとArista VeloCloud Orchestratorで、いずれも実際の悪用を示す証拠に基づく追加です。利用企業では、自社の製品構成を確認し、対応の優先順位を見直す必要があります。

対象は2製品、脆弱性の種類は異なる

Collabora Onlineで追加されたのは、Built-in CODE Serverに関するCVE-2026-110447です。種類はOSコマンドインジェクションで、OSへの命令に不正な内容を混ぜ込む問題です。

もう一方は、Arista VeloCloud OrchestratorのCVE-2026-114625です。こちらはSQLインジェクションで、データベースへの問い合わせに不正な内容を混ぜ込む問題です。同じ日の発表ですが、対象製品も脆弱性の種類も異なります。社内の対応票も分けて管理すると、確認漏れを防げます。

今回の重要な点は、単に脆弱性が公表されたのではなく、悪用の証拠を根拠にKEVへ追加されたことです。ただし、これだけで自社が侵害されたと判断することはできません。まずは製品の利用有無と構成を照合する段階です。

日本での提供状況や、国内向けの対象版・修正版については、発表には書かれていません。今回の資料だけでは、手元の環境が対象か、どの版へ更新すべきかまでは判断できません。

米国の指令と、企業が対処を急ぐ理由は別

CISAが説明する脆弱性管理の指令「BOD 26-04」は、米連邦文民行政府機関のみが適用対象です。同指令は、公開資産の全制御を奪えるKEV掲載の高リスク脆弱性について、迅速な対処を優先させます。

一方、CISAは全組織に対し、リスクに基づく脆弱性管理と、KEVに掲載された脆弱性への優先対処を推奨しています。日本企業では、米国の指令が直接適用されるかという話と、悪用が確認された問題を優先して調べるかという話を分けることが重要です。

影響する会社・しない会社

• 影響する: Collabora Onlineを利用し、Built-in CODE Serverを含む構成を持つ会社です。対象となる版や詳しい条件は発表には書かれていないため、利用しているだけで影響確定とはせず、製品側の情報と照合してください。
• 影響する: Arista VeloCloud Orchestratorを利用している会社です。こちらも対象版は発表には書かれていないため、製品名とCVE番号を基に確認が必要です。
• 影響しない: 両製品を自社運用にも委託先の運用にも使っていないことを確認できた会社は、今回の2件に関する製品対処の対象には当たりません。
• 影響しない: 米連邦文民行政府機関ではない日本企業には、BOD 26-04は直接適用されません。ただし、該当製品の脆弱性による影響がないという意味ではありません。

情シスが今日やること

1. 今日の初動として、IT資産台帳や構成管理の一覧で両製品名を検索してください。Collabora Onlineについては、Built-in CODE Serverの有無を運用担当者に確認します。台帳で分からなければ、未使用と判断せず確認中にします。
2. 利用が見つかった製品について、版、構成、管理担当者、委託先を対応票に記録します。委託運用なら、該当するCVE番号を添えて、対象かどうかと対応状況の回答を依頼してください。
3. 製品の公式セキュリティ情報で、対象条件と修正・回避策の有無を確認します。今回の発表には更新先の版がないため、推測した版への更新を作業指示にしないでください。
4. 確認結果をセキュリティ担当者と業務責任者に共有し、対応期限と次の報告日を決めます。発表に個別の期限は示されていないため、米国の指令をそのまま自社の期限に置き換えず、悪用確認済みである点を優先順位の判断に使ってください。