米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は2026年10月20日、悪用確認済み脆弱性をまとめたKEVカタログに6件を追加しました。対象はPlex Media Server、SiteGuard Server Edition、Siemens Software Centerです。実際の悪用を示す証拠に基づく追加であり、利用企業では修復の優先順位を見直す材料になります。
追加された6件と対象製品
今回追加された脆弱性は、次のとおりです。CVE番号は、脆弱性を識別するための共通番号です。製品名だけでなく、この番号を使って対策情報を照合してください。
- Plex Media Server：4件。CVE-2026-96652とCVE-2026-96655は、サーバー側リクエスト偽造(SSRF)の脆弱性です。CVE-2026-96654は符号化URIスキームの処理、CVE-2026-96656はファイル名・パスを外部から制御される問題です。
- SiteGuard Server Edition：1件。EG Secure Solutionsをベンダーとする製品で、CVE-2026-106931はOSコマンド注入の脆弱性です。
- Siemens Software Center：1件。CVE-2026-110936は検索パス制御の脆弱性です。
今回の発表には、影響を受ける版や修正版、個別の修復期限は書かれていません。製品を使っているだけで該当すると決めず、各CVEの対策情報との照合が必要です。日本での提供状況や日本語対応についても、今回の発表には書かれていません。
米政府の義務と、日本企業の判断を分ける
脆弱性管理を定める指令BOD 26-04の適用対象は、米連邦文民行政機関(FCEB)のみです。日本の一般企業に、この指令の義務がそのまま課されるわけではありません。一方、CISAは全組織に対し、リスクに基づく脆弱性管理と、KEV掲載脆弱性の優先修復を推奨しています。
同指令は、公開資産で悪用後に完全制御を許すKEV掲載脆弱性の迅速な修復を優先します。また、パッチ適用前に攻撃者による侵害があったかどうかを確認すべき場合について、基本的な要件も定めています。今回の6件すべてが、この条件に当てはまるという説明ではありません。
KEVへの追加候補には、CVE番号、悪用の証拠、明確な緩和策が必要です。ただし、掲載されたことだけを根拠に、すべてに修正版があるとは判断できません。自社では、利用版と対策方法を確認したうえで、修復と侵害確認をどう進めるか決める必要があります。
影響する会社・しない会社
- 影響する: 3製品のいずれかを利用している会社は、今回の6件との照合が必要です。影響を受ける版の条件は発表には書かれていません。
- 影響する: 運用を外部に委託している対象製品がある会社は、委託先に利用版と対応状況の確認を依頼する対象です。
- 影響しない: 3製品を利用していない会社は、今回追加された6件に関する製品対応の対象ではありません。ほかの脆弱性への対応が不要になるわけではありません。
- 影響しない: 米連邦文民行政機関に該当しない日本の一般企業は、BOD 26-04の適用対象ではありません。ただし、KEVを修復の優先判断に使うことは推奨されています。
