情シスが更新と設定を確かめる15件を図解 10月10日〜13日の期限と悪用

2026年9月下旬から10月12日にかけて、ネットワーク機器、開発基盤、サーバーのソフト、WordPressのプラグイン、PCで、情シスが更新を確かめる告知が続きました。当サイトの記事から15製品を選び、版・深刻度・悪用の記載を公式のページで照らし直して、3つの図にしました。

前回の10月6〜9日の図解に載せた製品は、状況が変わったものだけ入れています。順位や優劣はつけません。確かめた日は2026年10月13日です。

15製品の版・修正版・悪用の記載

選んだ基準は、使っている会社が多いこと、悪用の報告があること、期限が近いことです。深刻度は各社・機関が付けた値で、CVSSの版や評価した機関が違うと点数どうしは比べられません。

SonicWallは前回の記事から状況が変わりました。修正版の版番号が告知に載り、報道でおとり機器への攻撃の試みが伝えられています。ただし、SonicWallの告知と米国のCISの10月12日付の注意情報は、悪用の証拠はないと書いたままです。

AhsayCBSは、Huntressが10月12日に、ホットフィックスが出たと追記しました。Ahsayの公式のページでは、この版を確かめられていません。GitLabは、19.3.4に不具合があり、19.3.5に差し替わっています。

期限カレンダー 10月から2027年7月

日付は、公式のページで確かめた9件です。日付がない件は、図の下の枠にまとめました。

Deno Deployは、10月9日の発表から6か月は運営を続けて終了します。終了の日付は発表に書かれていません。Pythonは3.10が終わり、3.11以降の確認が次の作業です。

先に手を付ける順の考え方

次の図は、編集部の整理です。公式の順位でも、深刻度の順位でもありません。

1. 外から届く機器とサービス: SonicWall、Cisco、HPE、Atlassian、GitLab、WordPressです
2. 悪用の報告があるもの: Apple、AhsayCBS、Bricksforge、Ninja Forms、Atlassianです
3. サーバーのソフト: Struts、Tomcat、OpenSSL、PHPです
4. PCと端末: Firefox、Docker Desktop、Windows 11 24H2です

影響する会社・しない会社

• 影響する: 表の製品を自社のサーバー、機器、WordPressサイト、社用端末で使っている会社。版が表の対象に入るか、保守会社や制作会社にも聞きます
• 影響する: 委託先がAhsayCBSやStrutsを動かしている会社。バックアップの管理画面や受託開発の業務システムは、台帳に載っていないことがあります
• 影響しない: 該当の製品を使っていない会社。SaaSだけで使い、運用を提供元に任せている部分(GitLab.comなど)は、提供元が対応済みと書いています
• 影響しない: 表の機能を有効にしていない機器。Cisco NX-OSのMPLS OAMやNX-APIなどは、機能が有効なときだけ対象になる件があります

情シスが今日やること

1. 表の製品を台帳と照らし、自社で使っているものに印を付ける。分からないものは、保守会社や委託先に文書で聞く
2. 悪用の報告がある製品(Apple、AhsayCBS、Bricksforge、Ninja Forms、Atlassian)は、版を確かめ、更新する。AhsayCBSとWordPressは、更新の前後にアクセスログと管理者の一覧を見る
3. 外から届く機器(SonicWall、Cisco、HPE)は、管理画面の版を告知の対象と照らす。管理画面を外に出していないかも確かめる
4. Windows 11 24H2のHome・Proの台数を数える。10月13日で更新が終わる
5. Let's Encryptを使う会社は、更新の仕組みが固定の日数で書かれていないかを、2027年2月より前に確かめる

悪用の有無は、告知やCISAのKEVの更新で変わります。