情シスが更新と設定を確かめる15件を図解 10月14日〜17日の悪用と期限

10月13日から17日にかけて、VPN装置やファイアウォール、ファイル転送、開発の基盤、M365のバックアップで、情シスが更新や設定を確かめる告知が続きました。当サイトの記事から15製品を選び、版・深刻度・悪用の記載を公式のページで照らし直して、2つの図にしました。

前回の10月10日〜13日の図解に載せた製品は、状況が変わったものだけ本文で触れます。順位や優劣はつけません。表の公表日は、各社・機関の現地の日付です。確かめた日は2026年10月17日です。

15製品の版・修正版・悪用の記載

選んだ基準は、使っている会社が多いこと、悪用の報告があること、修正版がないことです。深刻度は各社・機関が付けた値で、CVSSの版や評価した機関が違うと、点数どうしは比べられません。

今週の特徴は、修正版の「ない」件が目立ったことです。pfSenseは、最新のCE 2.9.0までを対象とする20件に修正版がなく、9月の助言SA-26_22もCE 2.9.0・Plus 26.07が対象です。Ivantiは、連鎖する3件のうち権限昇格の1件がまだ直っていません。ConnectWiseの件は、そもそも利用企業が当てる修正版がなく、M365でアプリを止めるのが対処です。

前回の図解に載せたAhsayCBSは、10月14日にCISAのKEVに加わりました(米連邦機関の期限は10月17日)。ほかに今週は、kin-openapiやBouncy Castle、AdobeのC2PA関連製品など、開発の部品の告知も続きました。

期限カレンダー 10月13日から11月10日

日付は、公式のページで確かめた8件です。日付がない件は、図の下の枠にまとめました。

KEVの期限は、米国の連邦機関への要件です。日本の会社への法的な期限ではありません。ただし、悪用が確かめられた件なので、自社で使っていれば先に手を付ける目安になります。

先に手を付ける順の考え方

次の順は、編集部の整理です。公式の順位でも、深刻度の順位でもありません。

1. 悪用の報告があるもの: Ivanti、PAN-OS、Cisco、MikroTik、ConnectWiseのM365バックアップです
2. 外から届く機器: Juniper、pfSenseです。pfSenseは修正版がないので、入口と権限を絞ります
3. 業務サーバーとファイル転送: MOVEit、SharePoint、Apache HTTP Serverです
4. 開発の基盤と端末: TeamCity、Nexus、Mattermost、Camel、Firefoxです

影響する会社・しない会社

• 影響する: 表の製品を、自社の機器、サーバー、開発の基盤、社用端末で使っている会社。版が表の対象に入るかを、保守会社や委託先にも聞きます
• 影響する: M365の運用を外部に任せている会社。MSPや保守会社が、ConnectWise Cloud Backupなどのアプリを入れていることがあります
• 影響しない: 該当の製品を使っていない会社。SaaSで使い、運用を提供元に任せている部分は、提供元の告知で対応の状況を確かめます
• 影響しない: 告知の前提の機能を使っていない機器。JuniperのJ-WebやCiscoのAMPなどは、機能を有効にしているときだけ対象になる件があります

情シスが今日やること

1. 表の製品を台帳と照らし、自社で使っているものに印を付ける。分からないものは、保守会社や委託先に文書で聞く
2. 悪用の報告がある製品(Ivanti、PAN-OS、Cisco、MikroTik)は、版を確かめて更新する。Ivantiは、更新に加えて痕跡とログを確かめる
3. M365の「エンタープライズ アプリケーション」で、ConnectWise・SkyKickのアプリがないかを探す。あれば削除せずに無効にする
4. pfSenseを使っていれば、管理画面の公開範囲と、画面ごとに任せた権限を見直す。修正版の公開を待つ間のつなぎになります
5. 11月10日に終わる.NET 8・9とWindows 11 23H2の台数を数え、移行の段取りを決める

悪用の有無や修正版の状況は、告知やCISAのKEVの更新で変わります。今週は「修正版がない」件が続いたため、更新だけでなく、入口と権限を絞る対処を、普段から手順にしておくと慌てずに済みます。