脆弱性の更新25件を図解 悪用の8件、KEV入りは修正から最長101日

今日まず見るのは、悪用の報告がある8件です。SonicWallのSSL-VPN、OpenSSH、GPUStack、FreeSWITCHに、IBM Aspera Faspex、NASのPlex、cPGuard、Webtop Media Transcoderの8つ。どれかが社内にあれば、今日のうちに手を付けます。

8件のどれも使っていなくても、Ubuntuのサーバー、Veeamの12.3、Cisco ISEには修正待ちの行が残ります。WebSAM WinShareも、構成によっては今日の側に入ります。

各社の日付で11月6日から9日に、公式の告知で確認できたセキュリティ更新は25件でした。

対象は、前の回の締めにあたる11月6日朝のあとに出た告知です。前の回に入った告知のうち、ここにあるのは改訂があったものだけで、この期間に出た更新のすべてではありません。件数は製品ごとで、NASのPlexはQNAPとSynologyの2本、OpenSSHは開発元とAlpine、Synologyの3本の告知で、それぞれ1件です。

前の回の11月4日〜6日の図解は告知の単位で数えた19件なので、25件とは数え方が違います。悪用の報告がある製品で比べると、前の回の6件から今回は8件に増えました。KEVへの追加も、KEVの日付で11月3日と4日の2件から、6日と9日の5件に増えています。

問い1の「悪用」は、製品での悪用の報告です。BrotliのCVE-2026-111497は10月27日からKEVにあり、連邦機関の期限は11月10日です。ただ、Ciscoは自社の製品への悪用を把握していないとし、9日に同じ番号を修正したAppleの告知にも悪用の記述はありません。どちらも自社の製品での悪用を書いていないので、赤い箱には数えていません。

赤い2つの箱の8件は、自社にあれば今日のうちに手を付けたい行です。もっとも、会社で広く使われているのはSonicWallとOpenSSH、NASのPlexくらいでしょう。GPUStack、FreeSWITCH、IBM Aspera Faspex、Webtop Media Transcoderは、入れている会社が限られるはずです。

ただ、使う会社が少ない製品ほど、台帳から漏れやすいものです。GPUStackはAIのモデルを動かすGPUのサーバーを束ねて管理するツールで、開発の部署が自分で立てていることもあるでしょう。

月曜の4件は、修正版が出てからKEVに入った

米国の月曜にあたる9日にKEVへ加わった4件は、どれも連邦機関の期限が3日後の12日です。6日に加わったSonicWallの期限は14日後の20日なので、急ぎ方がはっきり違います。

日数は、修正版を載せた開発元の告知の日から、KEVに加わった日までの暦日です。並べると、KEVに載る日が修正版の出た日と結びつかないことが分かります。

いちばん長いのはGPUStackです。勧告は7月31日に公開され、修正版の2.2.0もそのときに示されていました。勧告はその後、9月29日に更新されています。今の勧告には、2.1.1で動かしていた環境が実際に悪用され、攻撃者がリバースシェルを動かすバックエンドを作っていたとあります。この一文が初版からあったかは、確かめられませんでした。はっきりしているのは、修正版から101日たってKEVに入ったことです。KEVだけを更新の順番の物差しにしていると、修正版の出た日から大きく遅れて動くことになります。

前の回のApple（CVE-2024-27834）は、2024年5月13日の修正から905日たってKEVに入りました。古い修正が急に急ぎの行に変わるのは、今週に限った話ではありません。KEVだけに頼らず、開発元の告知やJVNの「悪用」の字も同じように拾うほうが確かでしょう。

週の数で見ると、9日の月曜1日だけで前の週の3件を超えました。11月10日朝のKEVは1,773件で、前の回の11月6日朝の1,768件から5件増えました。

期限3日の4件には、どれもKEVの「Forensic triage required per BOD 26-04」の欄にYesが付いています。CISAの手引きは、こうした番号について連邦機関に、できる限り証拠を集めてから修正するよう求めています。日本の会社に義務はありません。それでも、外から届くところで動いていた機器なら、上げる前にログと設定を控える順番はそのまま使えます。

上げるまでのつなぎは、製品ごとに違います。GPUStackはforce_auth_localhost=trueにし、入口のプロキシでX-GPUStack-Real-IPのヘッダーをはがします。勧告によると、同じホストのリバースプロキシの後ろに置いた構成では、外からの要求も127.0.0.1から来たように見え、認証なしで管理者になれてしまいます。攻撃者はどのIPアドレスからでも使える管理者のAPIキーを作れるので、上げたあとも見覚えのないキーとバックエンドが残っていないかを見ておきたいところです。

FreeSWITCHは、受け付けたSIPのMESSAGEで、FreeSWITCHのAPIのコマンドを選べてしまう脆弱性です。上げるまでは、受信のチャットが要らないプロファイルでenable-chat=falseにし、標準の設定にあるパスワードのない利用者を消します。メッセージの認証だけでは道はふさがらない、と勧告は念を押しています。

OpenSSHのssholeが当たるのは、muslで動き、PAMを使わず、パスワード認証が有効なsshdです。RHELやDebian、Ubuntuの標準の構成は条件に当たりません。自社のどこにAlpineのsshdがあるかの探し方は、OpenSSHのssholeの記事にまとまっています。Synologyは11月6日、自社の製品は影響を受けないと公表しました。

IBM Aspera Faspexは5.0.0〜5.0.19が対象で、回避策の欄は「None」です。IBMの告知に悪用の記述はありませんが、KEVには入り、証拠の保全の欄もYesです。修正そのものは上げるだけでも、外から届くところに置いていたなら、上げる前にログと設定を控えておきます。番号ごとの中身は、SecPulseのGPUStack、FreeSWITCH、IBM Aspera Faspexのページで引けます。

NASのPlexとcPGuardは、上げたあとに替えるものがある

赤い箱には、今週KEVに加わっていない悪用も3件あります。QNAPは11月6日、NASで動くPlex Media ServerがPlex2Shellで侵害されたように見える、という報告を一部の利用者から受けたと公表しました。サポートが確認した範囲では、データの消失は起きていないそうです。

外から届いていたNASは、1.43.3.10861以降に上げるだけでは足りません。入れ直しから、NASのパスワード、バックアップ先のキーを替えるまでの順番は、QNAPのNASの記事に手順があります。

Synologyも8日、DSM向けのPlexのパッケージの修正を出しました。表にあるのはDSM 7.2.1から7.4で、修正版は1.43.5.11079以降です。DSM 7.1以前は表になく、回避策の欄は「None」でした。Synologyの告知は更新を求めるだけです。しかし、Plex自身は、1.43.3.10861より古く外から届くサーバーは侵害されたおそれがあるとし、侵害を否定できなければ、Plexのサービスのアカウントが届く範囲を漏れた前提で扱うよう求めています。外から届いていたSynologyのNASにも、QNAPの手順はそのまま使えるとみています。Plexの案内の中身はPlexの記事で読めます。

cPGuardは、11月2日に偽の更新が配られた件のあと、8日に5.89.00を出しました。変更履歴には、更新を署名し、ほかと切り離した基盤から配る形に改めたことが並びます。9日には、不具合を修正した5.89.01も出ました。ただし5.88.12〜5.88.19を入れたサーバーは、今の版によらず、rootのパスワードやSSHの鍵の入れ替えが要ります。借りているサーバーでの確認の仕方は、cPGuardの記事で順を追えます。

JVNが9日に公表したWebtop Media Transcoderは、開発者が悪用を確認したとされます。ログインできる攻撃者が細工したファイルを上げると、機微な情報を取られるおそれがある脆弱性です。パッチは開発者が出しているので、使っているなら問い合わせます。

初版のあとで変わった9件

25件のうち9件は、初版のあとで中身が改められた告知です。いちばん大きく動いたのはSonicWallでした。

11月8日朝の時点で、SNWLID-2026-0014の回避策の欄は「None」でした。対象の機種と版はSonicWallのSSL-VPNの記事で確認できます。9日の版1.1では、SAMLを使っていて更新できない機器について、ファイアウォールに設定したLDAP、RADIUS、TACACS+のサーバーを無効にするか削除する、という策が足されています。SAMLとは別の認証方式の資格情報を使う攻撃なので、その入口ごと止める形です。

もっとも、LDAPやRADIUSをSSL-VPN以外の認証にも使っていれば、それも止まります。上げられる機器は、7.3.4-7013（Gen7）か8.2.3-8015（Gen8）へ上げるほうが早いでしょう。

ほかの2件、SophosとCiscoのeMudhraの告知も、11月6日に版を上げました。Sophosは版3で、Sophos Firewall向けのホットフィックスHF110626.1を出しました。

目を引くのは、CiscoがISEを「影響なし」から「調査中」に戻したことです。前の回の版1.7を見て閉じた会社は、行を開け直すことになります。

ペイントも似た形です。10月の月例で修正したはずの番号に、Microsoftは米国時間の11月6日、脆弱性に包括的に対処するための新しい版を出しました。ペイントはMicrosoft Storeで更新されるアプリで、案内は新しい版を入れるか、自動で更新されたかを確認するよう求めています。Storeを止めているPCには自動で届かないとみておくほうが安全でしょう。悪用の報告はなく、CVSSは7.0です。

告知の初版で台帳の行を閉じる運用だと、こうした改訂は拾えません。版の履歴を持つ告知は、閉じたあとも履歴だけを見に行く日を決めておくと、見落としが減るはずです。

修正版がない4件と、古い系列の扱い

修正版が出ていないか、届く日が先の行は4件です。前の回と比べて変わったのは、古い系列への修正の出し方でしょう。

LinuxカーネルのCVE-2026-98432は、Ubuntuのページが9日に更新されました。修正済みは26.10だけで、26.04、24.04、22.04は準備中のままです。一方、5日の時点で「Vulnerable」だった20.04、18.04、16.04も、準備中に変わりました。待つ間はページの緩和策にあるnftablesのルールで条件を減らせますが、悪用を完全には防げないという説明つきです。経緯はLinuxカーネルの記事で追えます。

同じ脆弱性は、Linuxを中に積んだ製品にも広がりました。Veeamは6日のKB4966で、Linuxのカーネルを含む部品を対象にしました。13.1のSoftware ApplianceはVeeam Updaterで更新できますが、12.3のLinuxのヘルパーアプライアンスとリカバリーメディアは、個別の修正が「まもなく」出る段階です。更新の前に作ったリカバリーメディアも対象なので、作り直す手間が残ります。Sophosのホットフィックスはv23.0とv22.0 MR3向けで、ほかの版は先にサポートの版へ上げる必要があり、適用には再起動が要ります。

CiscoのBrotliは、KEVの連邦機関の期限が今日の10日です。ところが9日の版1.9でも、Catalyst Centerの修正版は2027年7月、Secure Workloadは2027年2月の予定のままでした。eMudhraの証明書の件でも、ISEの修正版は3.5P5が12月、3.3P13と3.4P8は2027年4月です。ISEを使う会社では、Brotliは調査中、eMudhraは修正版が先なので、2つの告知の両方に閉じられない行が残ります。

同じBrotliの修正は、Appleも9日のiOSとmacOSの更新に入れました。ただ、iOS 18.7.12とwatchOS 26.6.1の一覧に、Brotliは見当たりません。

前の回は、8製品で古い系列に修正が届かないことが目立ちました。今週は向きが分かれています。Alpineはサポートが終わった3.21以前にも、3.16までssholeの修正を出し、SS1は13.0から17.1まで10の系列に修正版をそろえました。Ubuntuのカーネルも16.04までが準備中です。反対に、SynologyのPlexはDSM 7.1以前が表になく、Sophosのホットフィックスは2つの版だけで、AppleのBrotliの修正はiOS 18に届いていません。古い系列を抱える会社にとって、製品しだいで答えが逆になる週だったと言えそうです。

うちの会社に関係するかは、台帳の3つの列で決まる

製品名、系列、外から届くかの3つの列が台帳にあれば、25件の大半はその場で外せます。

関係が深いのは、赤い箱の製品を外から届くところで動かしている会社です。SonicWallのSSL-VPN、Alpineのsshd、GPUStackの管理画面、FreeSWITCHのSIP、IBM Aspera Faspex、NASのPlexがこれに当たります。社内からしか届かないなら、今日のうちにやることは版と設定の確認までにして、上げるのは今週の保守の時間でもよいでしょう。

Ubuntuのサーバー、Veeamの12.3、Cisco ISEを使う会社には、修正待ちの行が残ります。逆に、赤い箱と修正待ちの製品をどれも使っていなければ、今週の作業は社員の端末と国産のソフトの更新で済みます。

WebSAM WinShareだけは別に考えます。CVSS 9.8の2件は、細工したパケットで遠隔操作される側のPCにSYSTEM権限で実行されるおそれがあり、悪用の報告がなくても重い内容です。社外からそのPCに届く構成なら、今日の側に移します。SS1の位置づけは、IT資産管理ツールの地図でほかの製品と並べて見られます。

金曜までの段取り

1. 赤い箱の8件が台帳にあるかを見ます。研究や開発の部署で立てたGPUStackのように、台帳に載らないものもあるので、部署にも一言聞いておきます。
2. 外から届くものは、設定とログを控えてから、つなぎの策を入れて上げます。SAMLを使うSonicWall、Alpineのsshd、GPUStack、FreeSWITCH、IBM Aspera Faspexが先です。
3. NASのPlexとcPGuardは、外から届いていたか、対象の版を入れたかで分けます。当たれば、資格情報と鍵を替えるところまでを今週の作業にします。
4. 修正待ちの4件は、つなぎの策と次に見る日を台帳に書き、「対応済み」にしません。ISEは、BrotliとeMudhraの2行に分けて残します。
5. 今週のうちに、更新で済む13件を片づけます。Appleの9本の版、Chromeの157.0.8103.50/.51、ペイントの11.2609.401.0を、MDMや資産管理ツールで確認し、Sophosは再起動の時間を決めます。

次の回には、日本時間11月11日に出るMicrosoftの11月の月例の更新が入ります。Node.jsも、26.x、24.x、22.xの修正版を米国時間11日ごろに出すと予告しました。今週の改訂の多さを思えば、月例の前に、閉じた行の履歴を一度見直しておくと楽なはずです。