CISA(米国サイバーセキュリティ・インフラセキュリティ庁)は、2026年10月13日付の発表で、既知の悪用脆弱性をまとめたKEVカタログに2件を追加しました。対象はMicrosoft WindowsとIvanti Connect Secureです。実際に悪用されている証拠に基づく追加であり、利用企業は対処の優先順位を見直す必要があります。
WindowsとIvanti Connect Secureの2件が対象
追加された脆弱性は、次の2件です。CVE番号は、脆弱性を識別するための番号です。担当者や委託先への確認では、製品名だけでなく、この番号を伝えると確認対象をそろえられます。
- CVE-2026-96951：Microsoft Windowsのコマンドインジェクション脆弱性。コマンドインジェクションとは、不正な命令を混入させる問題です。
- CVE-2026-104935：Ivanti Connect Secureのなりすましによる認証回避脆弱性。認証の確認をすり抜ける問題です。
今回の重要な点は、単に脆弱性が公表されたのではなく、CISAが実際の悪用の証拠を確認していることです。CISAは全組織に対して、リスクに基づく脆弱性管理を採用し、KEVカタログ掲載の脆弱性への対処を優先するよう推奨しています。
一方、今回の発表には、影響を受ける具体的な製品の版、修正版、修正方法は書かれていません。製品名が一致するだけで、社内の全端末や全機器が対象と判断することはできません。日本での提供状況や日本向けの対象版についても、発表には書かれていません。
米国の指令と、日本企業の対応を分けて考える
発表で説明されているBOD 26-04は、米連邦文民行政府機関(FCEB)のみに適用される指令です。日本企業に、この指令による対応義務が課されるという発表ではありません。
この指令では、外部に公開された資産のうち、悪用されると完全な制御を許すKEV脆弱性への迅速な対処を優先します。その一方で、リスクの低い脆弱性への対応は後回しにする方針です。また、パッチ適用前にシステムが侵害されていたかどうかを、機関が確認する必要がある場合の基本要件も定めています。
ただし、今回追加された2件が、それぞれどの条件に該当するかは、この発表だけでは判断できません。日本企業では、米国向けの指令をそのまま社内期限に置き換えるのではなく、利用状況と対象版を確認し、全組織向けの推奨を対応計画に反映することが実務上の出発点になります。
影響する会社・しない会社
- 影響する: Microsoft Windowsを利用している会社。CVE-2026-96951の対象版に該当するか、確認が必要です。具体的な対象版は発表には書かれていません。
- 影響する: Ivanti Connect Secureを利用している会社。CVE-2026-104935の対象版と対処方法を確認する必要があります。
- 影響しない: 両製品を利用していない会社は、今回追加された2件についての製品確認の対象外です。ただし、委託先での利用も含めて確認したうえで判断することを勧めます。
- 影響しない: 日本企業は、BOD 26-04の義務の適用対象ではありません。ただし、KEV掲載の脆弱性を優先するというCISAの推奨は全組織向けです。
情シスが今日やること
- 今日、利用製品を洗い出します。 自社のIT資産台帳や端末・機器管理画面で、製品名と版を確認します。Microsoft WindowsとIvanti Connect Secureを分けて一覧にしてください。今回の発表には、確認に使う具体的な管理画面やメニュー名は書かれていません。
- 今日、管理担当者と委託先へ確認を依頼します。 2件のCVE番号を添え、対象版への該当有無、修正方法、対応可能な時期を尋ねます。管理を委託している場合は、利用有無の確認も依頼してください。回答期限は社内で設定します。
- 対応順を決める前に、確認結果を整理します。 利用製品、版、外部公開の有無をそろえ、既存の脆弱性対応一覧で優先順位を見直します。対象版が不明なものは「対象外」ではなく「確認中」として残すことを勧めます。
- 侵害確認の要否と実施時期を相談します。 管理担当者や委託先に、パッチ適用前にシステムが侵害されていた可能性を調べる必要があるか、調べる場合はいつ実施するかを相談してください。侵害が起きた時点と、確認を行う時点は分けて整理します。確認方針と更新予定をシステム責任者へ共有してください。日本企業向けの一律の対応期限は、今回の発表には書かれていません。
