「CVSS」関連の最新 ニュース・レビュー・解説 記事 まとめ

セキュリティニュースアラート：
Palo Alto Networks製品にDoS脆弱性　再起動やサービス停止の恐れ
Palo Alto Networksは、PAN-OSのADNS機能に未認証で再起動を誘発可能なDoS脆弱性を公表した。特定バージョンが影響を受け、速やかな修正版への更新が求められている。（2026/2/16）

セキュリティニュースアラート：
Claude拡張機能にCVSS10.0の脆弱性　現在も未修正のため注意
Claudeの拡張機能にカレンダーの予定から任意のコードを実行されるゼロクリック脆弱性が判明した。サンドボックスを介さない特権動作やコネクター間の信頼設計に構造的欠陥があり、現在も未修正のため注意を要する。（2026/2/13）

セキュリティニュースアラート：
Fortinet、管理サーバ製品の重大欠陥を公表　直ちにアップデートを
FortinetはFortiClientEMSにSQLインジェクションの脆弱性が存在すると発表した。CVSSスコアは9.8と高く、未認証でリモートコード実行の恐れがある。影響を受けるユーザーは速やかな更新が求められる。（2026/2/11）

セキュリティニュースアラート：
Fortinet製品にCVSS 9.8の脆弱性　約328万件のインターネット上の資産に影響
Fortinet製品のFortiCloud SSOに認証回避の重大な脆弱性が見つかった。CVSSの評価は9.8、深刻度「緊急」（Critical）であり、攻撃者による悪用も確認されている。インターネットに公開されている約328万件の資産が影響を受けるという。（2026/2/3）

セキュリティニュースアラート：
TP-Link製ルーターに重要度の高い脆弱性　早急な更新を推奨
TP-Linkは同社製品のArcher MR600 v5にコマンドインジェクションの脆弱性が存在すると公表した。認証済み攻撃者が管理インタフェースからシステムコマンドを実行し、機器を制御する恐れがある。同社は最新版への更新を推奨している。（2026/1/31）

セキュリティニュースアラート：
USB作成ツール「Rufus」に重大な脆弱性　ローカルで管理者権限を実行可能に
USBメモリ作成ツール「Rufus」の4.11以前に、競合状態を利用した権限昇格の脆弱性が確認された。悪用されると、一時ファイルを介して管理者権限で任意のコードを実行される恐れがある。（2026/1/28）

セキュリティニュースアラート：
VMware ESXiを狙う高度なエスケープ攻撃を解明　中国系脅威アクターの関与が浮上
HuntressはVMware ESXiへの高度なエスケープ攻撃を分析した。VPN認証情報の侵害からドメインを掌握後、公表1年前から準備されたゼロデイ攻撃でバックドアを設置する手法が判明した。パッチ適用とホスト監視の重要性を強調している。（2026/1/20）

新時代の産業サイバーセキュリティ（2）：
CRAで変わる産業サイバー対策：実務対応ポイントと最新動向
EUで成立したサイバーレジリエンス法（CRA）は、デジタル要素を持つ製品に対し、設計から市場投入後まで一貫したサイバーセキュリティ対策を義務付けている。EU市場に製品を供給する場合、EU域外の日本企業もCRA対応が必要となる。本稿では、CRA対応の要点を解説する。（2026/1/20）

セキュリティニュースアラート：
PAN-OSにDoS攻撃を可能とする脆弱性　回避策や緩和策はなし
Palo Alto Networksは、PAN-OSのGlobalProtect機能におけるDoS脆弱性を発表した。未認証の攻撃によってファイアウォールが停止する恐れがある。回避策や緩和策は存在しないとされている。（2026/1/17）

セキュリティニュースアラート：
FortiSIEMなどFortinetの複数製品に重大な脆弱性　急ぎアップデート推奨
Fortinetは「FortiSIEM」や「FortiClientEMS」をはじめとする複数製品に影響する重大な脆弱性を修正した。悪用可能な問題を含んでおり、未認証のコマンド実行やSQL注入の恐れがある。利用者は迅速な更新や回避策の適用が推奨されている。（2026/1/16）

セキュリティニュースアラート：
Hikvisionアクセス制御製品に重要な脆弱性　悪用ハードルが低いため注意
Hikvisionは監視機器やアクセス制御製品の探索機能に2件の脆弱性があると発表した。同一LAN内から細工されたパケットによって機器が誤動作する恐れがある。（2026/1/15）

セキュリティニュースアラート：
React Routerに「緊急」の脆弱性　悪用の難易度も低いため要注意
React Routerは、Node.js用パッケージなどに深刻な脆弱性が存在すると報告した。署名なしCookieとの併用時に、指定外のファイルを読み書きされる恐れがある。CVSSスコアは9.1と高く、開発者は最新版への更新が推奨される。（2026/1/14）

セキュリティニュースアラート：
Trend Micro Apex Centralに重大な脆弱性　修正パッチを公開のため急ぎ適用を
Trend Microはオンプレミス版のApex Centralの脆弱性3件を修正するパッチを公開した。最大深刻度はCVSS 9.8で、SYSTEM権限でのコード実行やDoS攻撃の恐れがある。速やかな最新版への更新が求められる。（2026/1/14）

CVSSスコアは8.7：
MongoDBに機密情報漏えいの脆弱性「MongoBleed」　すぐに可能な対策は？
Akamai Security Intelligence Groupは、2025年12月に情報公開されたNoSQLデータベース「MongoDB」の脆弱性（CVE-2025-14847）について、公式ブログで解説した。（2026/1/14）

セキュリティニュースアラート：
家庭用Wi-Fi中継機に深刻な脆弱性　CVSS 9.8だがパッチなし
TRENDnet製のWi-Fi中継機に認証不要のコマンドインジェクション脆弱性が判明した。root権限で任意コマンドが実行可能なため、機器の完全制御や踏み台悪用の恐れがある。（2026/1/10）

2025年版のリスト　警戒すべき変化とは：
「認可の欠落」が4位に急浮上　「最も危険な脆弱性Top 25」MITREが公開
MITREはソフトウェアにおける危険な脆弱性タイプをまとめた「CWE Top 25 Most Dangerous Software Weaknesses」の2025年版を発表した。Webアプリケーション関連の脆弱性がTop 3を独占する結果となった。（2026/1/8）

辻伸弘の「投げます。一石、」（1）：
「ペネトレーションテストは死んだ？」
セキュリティリサーチャー辻伸弘氏が、サイバーセキュリティの世界におけるさまざまな“常識”や思い込みに、次々と一石を投じる新連載。第1回は、辻氏のキャリアの原点でもあるペネトレーションテストにつき、身を切る思いで問題を提起する。（2026/1/15）

2025年のインシデントを総括し、2026年を展望：
ビールが消えた“アサヒのランサムウェア”だけじゃない――国内外30件のサイバー攻撃を総覧
2025年、アサヒグループホールディングスへのランサムウェア攻撃など、企業や社会インフラを直撃するサイバー攻撃が相次いだ。国内外で多発したランサムウェアや不正アクセスの事例を振り返りながら、2025年に見えた攻撃トレンドを整理し、2026年の脅威を展望する。（2025/12/29）

セキュリティニュースアラート：
Net-SNMPに判明した重大欠陥　snmptrapd停止を招く脆弱性の影響
Net-SNMPの開発者らはsnmptrapdに細工済み通信で異常終了を招く欠陥があることを公表した。全版が影響を受けて深刻度は極めて高い。修正版の導入と通信制御の徹底が必要だ。（2025/12/27）

脅威アクターは「中国関連」「暗号通貨マイニング目的」の2タイプ：
Reactの深刻な脆弱性「React2Shell」の悪用事例　Google脅威インテリジェンス部門が報告
Google Threat Intelligence Groupは、React2Shell脆弱性の悪用事例を観測したと報告し、侵害の検出方法と推奨対策を紹介した。（2025/12/23）

セキュリティニュースアラート：
Cisco Secure Email製品にCVSS 10.0の重大な脆弱性　中国系APTによる攻撃か
Cisco Talosは、Cisco Secure Email製品を標的とした攻撃キャンペーンを確認した。攻撃者は深刻な脆弱性を悪用し、Python製バックドアで永続化を図った可能性がある。（2025/12/20）

セキュリティニュースアラート：
複数のFortinet製品に深刻な脆弱性　ログイン認証をバイパスされるリスク
Fortinetは複数製品に影響する深刻な脆弱性を公表した。FortiCloud SSOの実装不備により、細工されたSAML応答で管理GUIへ不正アクセスされる恐れがある。影響範囲は広く、早急な更新と設定確認が求められている。（2025/12/18）

「安全なSaaS」は幻想か？　アシュアードが暴くベンダー5割が抱える“回復力”の欠落
アシュアードは、2025年のセキュリティ動向の総括と2026年の脅威予測に関するメディアラウンドテーブルを開催した。独自のデータを基にSaaS事業者のセキュリティ状況を明らかにし、企業が目指すべき方向性を示した。（2025/12/18）

セキュリティニュースアラート：
React Server Componentsに新たな脆弱性　DoSとソースコード露出の危険
React Teamは、React Server Componentsに関する新たな脆弱性を公表した。DoSやソースコード露出の恐れがあり、影響範囲は複数パッケージに及ぶ。対象環境の確認と迅速な対応が利用者に求められている。（2025/12/16）

セキュリティニュースアラート：
PowerShellにリモートコード実行の脆弱性　Windows広範囲に影響
MicrosoftはWindows PowerShellにリモートコード実行の危険を伴う脆弱性「CVE-2025-54100」を発表した。影響範囲は広く、Microsoftは各環境への更新プログラムを公開し、迅速な適用を呼びかけている。（2025/12/12）

すぐに更新を：
ReactにCVSSスコア最大値10の深刻な脆弱性　どんな影響があるのか？
「React」のサーバコンポーネントに深刻な脆弱性が発表された。Reactのバージョン19や「Next.js」などは至急更新する必要がある。（2025/12/9）

セキュリティニュースアラート：
Reactの重大脆弱性「React2Shell」悪用拡大　215万件に影響の可能性
Reactの深刻な脆弱性「CVE-2025-55182」により、RSCを利用する公開サービス215万件超が影響を受ける可能性が判明した。国家支援とされる脅威グループによる悪用も観測され、早期対策が求められている。（2025/12/9）

セキュリティニュースアラート：
CVSSは「10.0」　ReactとNext.jsにリモートコード実行の脆弱性
ReactおよびNext.jsにCVSS 10.0の脆弱性が見つかった。悪用されると認証不要でリモートコード実行が可能になる。多数のアプリケーションや公開サーバに影響する可能性があり、速やかなバージョン更新が求められている。（2025/12/6）

セキュリティニュースアラート：
10万超のWebサイトに影響　WordPress人気プラグインに深刻なRCE脆弱性
WordPressの人気プラグイン「ACF Extended」に、未認証状態で任意のコードを実行される恐れのある重大な脆弱性が確認された。影響範囲は10万以上のWebサイトに及ぶ可能性があり、早急な更新を呼びかけている。（2025/12/5）

脆弱性リストとIT資産リストの突合を高速化
Excelの「XLOOKUP」で脆弱性管理をラクにする手順
頻繁に出るIT製品の脆弱性情報をどう効率よく管理するかが、セキュリティ担当者にとって悩みどころだ。Excelの「XLOOKUP関数」を使えば、脆弱性管理のスピードを高められる。（2025/12/5）

セキュリティニュースアラート：
Outlookに「保護されたビュー」を回避する重大欠陥　PoC公開済み
Microsoft Outlookに存在する深刻な脆弱性「CVE-2024-21413」（MonikerLink）のPoCコードが公開された。この欠陥は認証情報の漏えいや任意コード実行に至る恐れがあり、早急な対策が求められる。（2025/12/3）

セキュリティニュースアラート：
md-to-pdfにCVSSスコア10.0の脆弱性　急ぎアップデートを
MarkdownからPDFを生成するコマンドラインツール「md-to-pdf」において、CVSSスコア10.0の脆弱性が見つかった。急ぎ対応が求められる。（2025/11/26）

「ソフトウェアサプライチェーンの不具合」は3位に上昇：
Webアプリの10大リスク2025年版　3ランク上昇の「設定ミス」を抑えた1位は？
4年ぶりの「OWASP Top 10 2025」が公開された。できる限り「症状」ではなく「根本原因」に焦点を当てるように刷新したという。（2025/11/25）

セキュリティニュースアラート：
pgAdmin4にCVSS9.1のRCE脆弱性　緊急更新を推奨
pgAdmin4のサーバモードにおけるPLAIN形式ダンプのリストア処理に深刻なRCE脆弱性が確認されている。開発側は修正版9.10を公開し、早急な更新が求められる。（2025/11/18）

セキュリティニュースアラート：
FortiWebに「管理コマンド実行」の重大脆弱性　緊急対応を
FortinetはFortiWebに相対パストラバーサル脆弱性が存在し、管理GUI経由で管理権限操作に到達され得ると発表した。既に悪用も確認されており、早急な対応が求められる。（2025/11/18）

セキュリティニュースアラート：
GitHub CopilotとVS Codeに脆弱性　速やかなアップデートを
MicrosoftはGitHub CopilotとVisual Studioに関する2件の脆弱性を公開した。これらはローカル環境の認証済み利用者による操作を前提とし、セキュリティ機能のバイパスにつながる。ユーザーは速やかに更新プログラムの適用が望まれる。（2025/11/15）

セキュリティニュースアラート：
Cisco ISEとCitrix製品に未公開のゼロデイ脆弱性　攻撃者が既に悪用
AmazonはCisco ISEとCitrix製品の未公開ゼロデイ脆弱性が高度な攻撃者によって悪用されていた事実を明らかにした。攻撃者は修正前から欠陥を突いていたとされる。重要インフラへの脅威が増大しており、多層防御強化が求められている。（2025/11/15）

セキュリティニュースアラート：
Webアプリケーションで最も高いリスクとは？　OWASP Top 10に新項目がランクイン
OWASPはWebアプリケーションのセキュリティリスクのうち重大なものをリスト化した「OWASP Top 10 2025」を公開した。2025年版のリストでは、幾つかの新たな項目がランクインしている。（2025/11/13）

セキュリティニュースアラート：
WSUS脆弱性対応パッチが「再起動不要」のHotpatch機能を無効化
2025年10月配信の更新プログラムKB5070881は、WSUSの脆弱性（CVE-2025-59287）に対応する緊急修正だが、一部のWindows Server 2025でHotpatch登録状態を損なう不具合を発生させた。Microsoftは修正版KB5070893を2025年10月24日に提供している。（2025/11/6）

セキュリティニュースアラート：
Docker ComposeにCVSS 8.9の高リスク　更新を
Docker Composeに、リモートのOCIアーティファクト処理時のパス検証不備による深刻な脆弱性が報告された。攻撃者による任意ファイル上書きが可能であり、CVSS 8.9（High）と評価されている。修正版への更新が推奨されている。（2025/10/31）

セキュリティニュースアラート：
WSUSの深刻な脆弱性を悪用した攻撃が急拡大　2800超のサーバが危険に
WSUSに存在する脆弱性が悪用され、リモートコード実行が可能となる攻撃が発生している。PoC公開後に攻撃が拡大している中、多数のサーバが未修正のまま稼働しており、早急なパッチ適用とアクセス制御が求められている。（2025/10/29）

セキュリティニュースアラート：
BIND 9リゾルバに深刻なキャッシュポイズニングの脆弱性　70万件超が影響
CensysはBIND 9リゾルバにキャッシュポイズニング攻撃の脆弱性があると公表した。偽応答を注入し、キャッシュを汚染することでユーザーを不正なWebサイトに誘導できる。影響を受ける脆弱なBIND 9リゾルバは世界で70万6477件確認されている。（2025/10/28）

セキュリティニュースアラート：
LANSCOPEエンドポイントマネージャーオンプレミス版に脆弱性　悪用も確認
エムオーテックスはLANSCOPEエンドポイントマネジャーオンプレミス版における深刻な脆弱性CVE-2025-61932を公表した。修正版を公開し、全クライアントPCの更新を推奨している。（2025/10/25）

通信系アプリに46件の“認証不要攻撃”リスク
「MySQL」も対象　Oracleが374件の脆弱性を修正するセキュリティパッチを配布
Oracleは同社製品のセキュリティアップデート「Critical Patch Update - October 2025」を発表した。攻撃者が公開済みの脆弱性を悪用しようとする動きがあり、同社は「速やかにパッチを適用してほしい」と警告する。（2025/10/23）

セキュリティニュースアラート：
WSUSにCVSS 9.8の脆弱性　PoCコード公開済みのため要注意
HawkTrace Securityは、WSUSの「GetCookie」処理に存在する脆弱性CVE-2025-59287を解析し、PoCを公開した。この脆弱性はRCEが可能でCVSS 9.8の重大欠陥とされている。（2025/10/22）

週末の「気になるニュース」一気読み！：
ChatGPTの機能を大幅に緩和する方針を明らかに／Microsoftが月例のセキュリティ更新プログラムをリリース
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、10月12日週を中心に公開された主なニュースを一気にチェックしましょう！（2025/10/19）

IPAも更新を呼び掛け：
Microsoft、2025年10月の月例セキュリティ更新プログラムを公開　Windows 10サポート終了も発表
既に悪用が確認されている脆弱性やCVSS基本値9.8以上の高リスクな脆弱性の更新が含まれており、企業ユーザーには早急な適用が推奨される。（2025/10/16）

セキュリティニュースアラート：
7-Zipにリモートコード実行可能な2件の脆弱性　早急なアップデートを
ファイル圧縮ソフト「7-Zip」で、ZIPファイル中のシンボリックリンク処理の不備に起因する2件の深刻な脆弱性が報告された。任意コードの実行につながる恐れがあり、迅速なアップデートが推奨されている。（2025/10/15）

セキュリティニュースアラート：
CrowdStrike Falcon Sensorに複数の脆弱性　急ぎアップデートを
CrowdStrikeはWindows版Falcon Sensorの2件の脆弱性を修正した。いずれも攻撃者がコード実行権限を持つ場合に任意のファイル削除が可能となる。急ぎ修正版への更新が推奨されている。（2025/10/11）

こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（53）：
脆弱性を速やかに公表しない輩は、わたくしが成敗いたしますわ！
情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第53列車は「脆弱性を発見したときの対処法 続編」です。※このマンガはフィクションです。（2025/10/9）