米CISAが、実際に攻撃で悪用されている脆弱性4件を、「悪用が確認された脆弱性(KEV)」の一覧に追加しました。対象は、Palo Alto、Cisco、Ahsayの製品です。いずれも、企業のネットワークやメール、バックアップを支える、情シスにとって身近な製品です。
何が追加されたのか
CISAが2026年10月14日にKEVカタログへ追加したのは、次の4件です。
CISAが悪用中として追加した脆弱性4件(編集部作成)作成: 編集部 / もとの資料: CISAのKEV・各社の情報・報道を編集部が整理
- CVE-2026-0322(Palo Alto PAN-OS): ファイアウォールのOSであるPAN-OSの管理インターフェースで、遠隔からコードを実行されうる問題です(悪用には認証が必要)。深刻度は高(CVSS8.6)で、Palo Altoは悪用は「ごく限定的」としています。クラウド版(Cloud NGFW、Prisma Access)は影響を受けないとされます。
- CVE-2026-76519(Cisco Secure Email Gateway): メールの安全を守るゲートウェイのAMP機能に、相対パストラバーサルの問題があり、任意のファイルの書き込みや、root権限でのコマンド実行につながります。深刻度は緊急(CVSS9.8)で、Ciscoは10月に悪用を確認したとしています。
- CVE-2026-105133・CVE-2026-105134(Ahsay AhsayCBS): バックアップ管理基盤AhsayCBSの、認証バイパスとコマンド挿入の問題です。連鎖して悪用され、Webシェルや暗号通貨のマイニングを仕込まれています。この2件は、別の記事でも詳しく取り上げています。
米国の連邦機関には、2026年10月17日までの是正の期限が設けられました。
影響を受けるのはどんな環境か
関係するのは、これらの製品を使っている組織です。Palo Altoのファイアウォール(PAN-OS)、Ciscoのメールゲートウェイ、Ahsayのバックアップ基盤は、いずれも企業のインフラを支える製品で、インターネットに接する位置で使われることも多いものです。悪用が確認されている以上、「使っているかどうか分からない」状態を放置せず、まず棚卸しで確かめることが大切です。
情シスが今日やること
- 自社の利用を確認する: Palo AltoのPAN-OS、CiscoのSecure Email Gateway、AhsayのAhsayCBSを使っていないかを確認します。委託先が運用している機器も含めて、棚卸しします。
- 修正版へ更新する: 使っている場合は、各社の情報に沿って修正版へ更新します。PAN-OSは対象の版(10.2・11.1・11.2・12.1・12.2)へ、CiscoはAsyncOS 16.5.0-780以降などへ、Ahsayはホットフィックス(10.3.4.45・9.15.2.70)を当てます。
- 回避策・アクセスの制限も行う: 回避策がないものもあります。PAN-OSの管理インターフェースは、信頼できる内部IPからのみアクセスできるように制限するなど、入口を絞る対応をあわせて行います。
- 侵害の痕跡を確認する: 悪用が確認されているため、更新だけでなく、不審なログインやファイル、通信がないかを確認します。rootを奪う攻撃では、痕跡が消されることもあるため、外部のログもあわせて見ます。
KEVに載るのは、「実際に攻撃に使われている」脆弱性です。優先度を見極める、よい手がかりになります。自社で使う製品が含まれていないかを確かめ、含まれていれば、通常の更新より優先して対応することが、被害を避ける近道です。
