CISA(米国サイバーセキュリティ・インフラセキュリティ庁)は2026年10月16日(米国時間)、悪用確認済み脆弱性をまとめたKEVカタログに2件を追加しました。対象はFortinetの複数製品とBeyondTrust Remote Supportです。実際の悪用を示す証拠に基づく追加であり、利用している会社は修正の優先順位を見直す必要があります。
追加された2件と、発表だけでは分からないこと
追加された脆弱性は、次の2件です。CVEは、個々の脆弱性を識別するための番号です。
- CVE-2025-61624：Fortinetの複数製品にあるパストラバーサル脆弱性。ファイルなどの参照先を示すパスの扱いに関する問題です。
- CVE-2026-102764：BeyondTrust Remote Supportにある、なりすましによる認証回避の脆弱性です。
今回の発表には、Fortinet側の具体的な対象製品名、両脆弱性の対象バージョン、修正版、個別の修正期限は書かれていません。製品名が一致しただけで影響の有無を確定せず、各製品の脆弱性情報との照合が必要です。
日本での提供は発表には書かれていません。また、日本国内での悪用の有無も示されていません。国内被害の発表と捉えるのではなく、自社が対象製品を使っているかを確認するための情報として扱います。
米連邦機関向け指令と、全組織への推奨を分ける
CISAが説明するBOD 26-04は、米連邦文民行政府機関(FCEB)の脆弱性管理要件を定める指令です。インターネットに公開した資産の完全制御につながるKEV掲載脆弱性について、迅速な修正を優先させます。
高リスクの脆弱性を優先し、低リスクへの対応を後回しにする考え方です。また、パッチ適用前に侵害の有無を確認すべき場合についても、基本要件を定めています。ただし、今回の発表だけでは、追加された2件について具体的にどの確認が必要かまでは分かりません。
一方、CISAは指令の適用対象外を含む全組織にも、リスクに基づく脆弱性管理を推奨しています。日本企業にとっても、KEV掲載情報は修正の優先順位を決める材料になります。「米国機関向けの指令だから確認不要」とは切り分けないことが重要です。
影響する会社・しない会社
- 影響する: Fortinet製品を利用する会社。今回の発表は「複数製品」としており、利用製品が対象かどうかの照合が必要です。
- 影響する: BeyondTrust Remote Supportを利用する会社。対象バージョンが発表には書かれていないため、利用版と修正状況を確認する必要があります。
- 影響しない: 両社の該当製品を利用していないことを確認できた会社では、今回の2件に対する自社製品の修正作業は対象外です。利用有無が不明な段階では、対象外と判断できません。
- 影響しない: BOD 26-04の直接の適用対象として示されているのはFCEBです。それ以外の組織への修正優先の呼びかけとは、区別して受け止める必要があります。
情シスが今日やること
- 今日、IT資産台帳と契約一覧を検索する。 「Fortinet」「BeyondTrust Remote Support」で利用の有無を確認します。委託先管理の範囲が不明なら、運用担当者にも製品名と利用版の確認を依頼します。
- 製品担当者に2つのCVE番号を渡す。 製品の管理画面や構成記録で利用版を確認し、メーカーの脆弱性情報と照合するよう依頼します。具体的な画面名や確認箇所は発表には書かれていません。
- 修正の優先順位と、侵害確認の要否を分けて確認する。 セキュリティ担当者と運用担当者に、公開資産に該当するか、修正前に侵害確認が必要かを相談します。更新作業の予定だけで対応完了としない運用を検討します。
- 今日中に確認担当と回答予定日を決める。 対象版、修正版、対応期限が未確認なら、その項目を残して管理者へ共有します。発表にない期限をCISAの指定とせず、確認結果に基づいて社内の対応日程を決めてください。
