「CVSS」関連の最新 ニュース・レビュー・解説 記事 まとめ

「能動的なサービス停止」の基準を明確化する：
「四半期ごとのパッチ適用」はもう許されない　AWSが「フロンティアAI対策9項目」のポイントを解説
高度な技術を持たない攻撃者であっても、生成AIや公開コードを活用して迅速にサイバー攻撃を実行できる時代に突入している。こうした中AWSは、金融庁と日本銀行が金融機関に求めた9つの短期的対応について、同社のサービス・機能がどう役立つかを整理して解説した。（2026/9/9）

ITニュースピックアップ：
Microsoftが9月セキュリティ更新を発表　クラウドサービス複数でCVSS 10.0を含む脆弱性を修正
Microsoftは、複数のクラウドサービスの脆弱性を公表した。Azure AI Languageなど2件はCVSS3.1の深刻度が10.0で、全件を同社側で緩和正済みとした。（2026/9/8）

「パッチを全部当てる」時代の終焉　Check PointのCTOが語る、AI時代の脆弱性管理
生成AIの進化に伴い脆弱性の発見と悪用が進む中、「全脆弱性にパッチを当てる」従来型の対策は限界を迎えているという。Check PointのCTOらが、継続的な脅威管理「CTEM」とAIを活用したアプローチを語る。（2026/9/7）

認証不要で悪用低難度：
Entra IDにCVSS 10.0の脆弱性　認証不要でコード実行の恐れ、必要な対策は？
認証もユーザー操作も必要ない。Microsoft Entra IDで、ネットワーク経由の攻撃によってコードを実行される恐れのある脆弱性が見つかった。CVSS基本値は10.0だ。Microsoft 365やAzureなどの認証基盤を支えるサービスで何が起きていたのか。（2026/8/25）

調査で見えた変化：
Claude Mythos発表後、CVEが異常増加　7月は発表前の5倍に
「AIが脆弱性を見つける」ことが現実になった2026年。AnthropicのClaude Mythos Preview発表後、重大なCVEの公開件数が異例のペースで増えていることが調査結果で示された。これを踏まえて脆弱性対策を考える。（2026/8/25）

セキュリティニュースアラート：
Microsoft Entra IDにCVSS 10.0の緊急脆弱性　対応不要なのに公表された理由
Microsoftは「Microsoft Entra ID」に存在した深刻度「CVSS 10.0」の脆弱性「CVE-2026-69836」を公表した。Microsoft側で既に緩和が完了しており、利用者側の対応は不要とされている。作業を伴わない脆弱性情報が公表された理由とは。（2026/8/25）

「リスクが低いから後回し」は通用しない：
「パッチパンデミック」で現場が阿鼻叫喚　フロンティアAI時代の脆弱性管理“新常識”
Claude MythosをはじめとしたフロンティアAIの登場で脆弱性管理の常識がひっくり返る未来が来ている。深刻度が高い脆弱性だけに対処する方針が“時代遅れ”になりつつある今、企業が押さえるべき“きほんのき”とは。（2026/8/13）

Tech News：
【急ぎ適用を】Windows 11にゼロデイ攻撃リスク　2026年8月更新プログラム「KB5121003」の内容と注意点
Microsoftは2026年8月11日（米国時間）、Windows 11向けの月例更新プログラム「KB5121003」の提供を開始した。今月は約400件の脆弱性が修正されており、その中には既に悪用が確認されている「AFD.sys」の権限昇格の脆弱性が含まれる。また、ファイルサイズ表示の改善やタッチパッドのジェスチャー設定など、2026年7月のプレビュー更新で先行提供された新機能も正式に展開される。本更新プログラムの内容と注意点を解説する。（2026/8/12）

全件修正を脱し悪用リスク重視の動的防衛へ
CVSS頼みはもう終わり　悪用まで「数時間」のAI時代に情シスが捨てるべき常識
脆弱性の公開から悪用までがわずか数時間に短縮されたAI時代、従来のCVSSスコアに基づく全パッチ適用は限界を迎えている。情シスが今取るべき悪用リスク重視の優先順位付けと動的な防御戦略を解説する。（2026/8/10）

IT調査ピックアップ：
従来型テストの限界があらわに　3915件のOSSを解析して判明した「99.4％未報告」の実態
Palo Alto Networksが自律型AIシステム「NOVA」による調査結果を発表した。3915件のOSSを解析して1万4090件の脆弱性を検出し、99.4％が未報告と判明。従来のテスト手法では見抜けなかった欠陥が9割超を占める実態が浮き彫りとなった。（2026/8/7）

セキュリティニュースアラート：
VMware製品にCVSS 9.8の脆弱性、回避策なし　速やかなアップデートを推奨
BroadcomはVMware製品群に存在する5件の脆弱性を修正した。vCenterでは最高深刻度CVSS 9.8の認証回避や任意コード実行の欠陥が確認されている。回避策は用意されておらず、速やかなパッチ適用が求められる。（2026/8/5）

半径300メートルのIT：
25ドルで見つかったWordPressの脆弱性　生成AIが変えた攻防の時間軸
脆弱性が公表されてから攻撃が始まるまで、これまでは相応の時間がありました。その前提が、生成AIによって崩れつつあります。では、防御側に残された選択肢には何があるのでしょうか。（2026/8/4）

CVSS 9.8含む5件が見つかる：
VMware管理基盤に“認証突破”の穴　Broadcom「回避策を用意せず」
BroadcomはVMware製品に存在する5件の脆弱性を修正した。vCenterには認証回避や任意コード実行につながる重大な問題が含まれ、全ての脆弱性で回避策は用意されていない。（2026/8/4）

複数バージョンで全試行成功：
RedisのRCE脆弱性、PoC公開で危険度増す　修正済み脆弱性の“抜け穴”が判明
Redisで見つかった任意コード実行（RCE）につながる脆弱性に対し、実際に攻撃を再現するPoCが公開された。公開資料では複数バージョンで全ての検証に成功したと報告されており、実用性の高さがうかがえる。修正の背景や影響範囲、攻撃が成立する条件、取るべき対策を整理する。（2026/8/4）

深まる先端AIモデルのサイバー攻撃能力への懸念　「恐れるな」とGartnerのアナリストが語る理由
フロンティアAIモデルが1万件以上のソフトウェア脆弱性を発見したり、テスト用の隔離環境を“脱獄”して、他の場所にあるデータを窃取したりといったニュースが相次いでいる。企業のセキュリティ責任者が恐怖にかられるのは当然だ。だが、Gartnerのアナリストは「恐れる必要はない」と語る。その理由を聞いた。（2026/7/30）

深刻度“中”の脆弱性でも放置してはいけない
アサヒGHDも標的に　被害1200％増のランサムウェア集団「Qilin」急拡大の裏側
ランサムウェア集団「Qilin」は、2024年から2025年にかけて急速に活動を拡大させている。トレンドマイクロの調査から見えてきた、企業が放置している致命的な不備とは何か。（2026/7/29）

半径300メートルのIT：
WordPressの脆弱性「wp2shell」　古いバージョンでも自動更新していても安心できない理由
WordPress本体にプラグインなしの標準構成でも遠隔からコードを実行できる脆弱性が見つかりました。運営元は異例の強制自動更新に踏み切りましたが、管理者が把握しない放置サイトはこの網から漏れてしまいます。自動更新だけでは守れない理由を整理します。（2026/7/28）

更新を後回しにしていないか？：
回避策なし、「BIND 9」に高深刻度7件の脆弱性　DNSキャッシュ汚染やDoSの恐れ
DNSサーバソフト「BIND 9」の更新版が公開された。修正されたのは計9件の脆弱性で、このうち7件は深刻度「高」と評価される。DNSキャッシュ汚染やDoSにつながる問題も含まれるが、現時点で有効な回避策は示されていない。（2026/7/27）

自律型AIエージェントの安全な導入ガイド
OpenClawのスキル17％に悪性コード　勝手に使われる前の5つの防衛線
爆発的に普及する自律型AI「OpenClaw」。その高い利便性の裏で、脆弱性や悪意ある拡張機能による漏えいリスクが急浮上している。シャドーIT化を防ぎ組織を守るため、今CISOが講ずべき「5つの防衛線」とは。（2026/7/24）

1年前に騒がれたFeliCaの脆弱性、JVNがようやく公表　深刻度は「高」
当時は正式公開前に報道が先行したことが問題視され、経産省などが脆弱性情報の取り扱いに関する異例の要請を出す事態になっていた。（2026/7/22）

善意の研究者を訴えるな：
脆弱性報告を受け付けない企業は危うい？　CISAら5機関が共同指針
「脆弱性を見つけても報告先がない」「修正されたのかも分からない」。そんな状況を変えるため、CISAやNSA、JPCERT/CCなど5機関が、企業向けの共同指針を公開した。善意の研究者との協力を前提とした新たな脆弱性管理の実務とは何か。（2026/7/21）

開発者には死活問題？：
PHP向けパッケージ管理ツール「Composer」に脆弱性　更新前に確認したい3つのリスク
開発現場で日常的に利用されるPHP向けパッケージ管理ツール「Composer」に、複数の脆弱性が見つかった。中でも深刻な問題では、悪意ある依存パッケージが混入すると、通常のインストールや更新をきっかけにプロジェクト外のファイルを書き換えられる恐れがある。開発者や運用担当者が今すぐ確認すべきポイントを整理する。（2026/7/16）

パスワード変更は逆効果？：
Dell製PCでBIOSパスワードが数ミリ秒で漏れる　明らかになった“設計上の弱点”
Dell製PCの一部で、BIOSパスワードを「数ミリ秒」で復元できる脆弱性が見つかった。総当たり攻撃は不要で、端末内に残るデータだけで解析できるという。さらに、一般的には安全性向上につながるはずの「ある運用」が、逆に攻撃を助ける可能性も指摘された。（2026/7/14）

印刷ジョブが攻撃の入り口に：
RHEL 8、9、10に影響　CVSS 9.8の脆弱性、「修正済み」のはずが再発
CVSS 9.8の重大な脆弱性が「Red Hat Enterprise Linux」に含まれる印刷ソフトウェア「HPLIP」で見つかった。以前の脆弱性への修正が不完全だったことが原因で、細工した印刷ジョブを悪用される恐れがあるという。（2026/7/13）

パッチを当てるだけでは終わらない：
32万台超のFortiGateが狙われた　相次ぐ「大規模侵害」に備えるには何が必要？
FortiGateを狙った「FortiBleed」では、32万台超の機器が標的になりました。攻撃はネットワーク機器だけでなく、開発者や正規サービスにも広がっています。大規模攻撃に備えるには、何から見直すべきでしょうか。（2026/7/12）

即更新を推奨：
PHP利用者は見逃し厳禁　TLS通信でサービス停止を招くHigh脆弱性を修正
PHPに高危険度の脆弱性が見つかり、修正版が公開された。問題はTLS接続時のエラー処理にあり、特定の環境ではHTTPS通信の失敗をきっかけにサービス停止に発展する恐れがあるという。（2026/7/9）

提供再開より重要な動き？：
公開3日で停止した「Claude Fable 5」が復活　AI脱獄の採点ルールも稼働
公開からわずか3日で利用停止となったAnthropicの最新AIモデル「Claude Fable 5」が再提供される。その裏で同社は、AmazonやMicrosoft、GoogleとともにAIのジェイルブレーク（脱獄）の深刻度を共通基準で評価する新たな枠組みづくりに着手した。AIセキュリティは新たな転換点を迎えようとしている。（2026/7/6）

CVE新運用は本当に回り始めたか：
NISTのCVSSは本当に正しい？　「全件分析断念」2カ月後に見えた意外な実態
2026年4月「全てのCVEを分析する」という長年の方針を転換したNIST。約2カ月後、その運用実態を調査したところ、分析対象の絞り込みだけでなく、脆弱性評価そのものを巡る新たな課題が浮かび上がったという。（2026/7/2）

OSS修正と開示も担う「Akrites」
OpenAI、Anthropic、NVIDIAも参加　Linux foundationが発足した「Akrites」とは
The Linux Foundationは2026年6月25日、重要OSSの脆弱性を修正し、責任ある形で開示する共同取り組み「Akrites」を発表した。情シスにとっては何が関係あるのか。（2026/7/1）

Microsoft MVP胡田のWindowsダイアリー（5）：
“WSUS廃止”って、本当はどういうこと？　「もう使えない」の誤解を正す
2024年9月、MicrosoftはWindows Server Update Services（WSUS）の非推奨化（廃止）を発表しました。「非推奨」と聞いて「もう使えなくなるのでは」と不安を抱いた人もいるのではないでしょうか。実際には、その後もWSUSを巡る状況は変化を続けています。ドライバー同期廃止の無期限延期、Windows Server 2025向けのセキュリティ強化、そして緊急パッチを要する重大脆弱性の判明――。調査では、WSUS非推奨化について内容まで把握しているIT担当者は、3割にとどまりました。WSUSを取り巻く主な出来事を振り返りながら、WSUS非推奨化の本当の意味を整理します。（2026/6/30）

半径300メートルのIT：
生成AIの進化で変わる脆弱性対策　CISA新指針と「SCS評価制度」から探るパッチ適用方針
生成AIの進化によって「脆弱性対策」の難易度が急上昇しています。従来は数カ月ごとの定期メンテナンスでパッチを当てるのが主流でしたが、現在はどうでしょうか。これまでの対策が通用しなくなった原因と、CISAやIPAが示す防御戦略を解説します。（2026/6/23）

「Microsoftユーザーは基本対策の徹底を」：
Microsoft、AI活用拡大で「Patch Tuesday」の大規模化が続くと予告
Microsoftは、毎月のPatch Tuesdayの規模が今後も大きくなると予告した。AIによる脆弱性発見の加速が背景にあり、ユーザー側にはより迅速な対応が求められるとしている。（2026/6/22）

フロンティアAI時代の資産管理の勘所：
AIに「パッチを当てろ」と命じる時代へ　Taniumが描く“自律型IT”の正体
生成AIの悪用が進む中、防御側の運用モデルも転換点を迎えている。こうした変化を踏まえて、タニウムはイベント「Converge Tokyo 2026」で、自律的なIT運用を目指す新構想とAI基盤を発表した。NECの事例とともに、AI時代のIT資産管理の勘所を探る。（2026/6/22）

攻撃難易度は「低」：
OutlookとWordにリモートコード実行脆弱性　深刻度は「緊急」
Microsoftは、OutlookとWordの脆弱性CVE-2026-45456を公開した。Officeの型混同により、未認証の攻撃者がローカルでコード実行可能となる。脆弱性を悪用した攻撃の難易度も低いため、注意してほしい。（2026/6/16）

セキュリティニュースアラート：
Microsoftが6月の月例パッチを公開　BitLockerやExchangeにゼロデイ脆弱性
Microsoftが2026年6月の月例セキュリティ更新プログラムを公開した。WindowsやOffice、Azureなど広範囲な製品が対象で、悪用確認済みのゼロデイ脆弱性などが修正された。同社は早急な適用を呼びかけている。（2026/6/16）

「パッチアポカリプス」現実に
Microsoftが過去最多200件超の脆弱性修正　パッチ管理の「手作業」はもう限界か？
Microsoftが過去最多となる約200件の脆弱性修正を公開した。サードパーティー製を含め月間600件に迫る「パッチアポカリプス」が到来している。情シスは従来の手法では対処しきれないパッチ管理の限界と、修正品質のリスクに直面している。（2026/6/11）

「テスト環境だから安全」は幻想：
週5300万回使われるテストツールに複数の脆弱性　開発環境乗っ取りのリスク
開発者が日常的に利用するJavaScriptテストフレームワーク「Vitest」に複数の深刻な脆弱性が見つかった。細工されたURLや特定の通信経路を悪用されると、開発環境そのものが攻撃者の足場になる可能性があるという。（2026/6/9）

週末の「気になるニュース」一気読み！：
Appleが新しい画像圧縮技術「PICO」をGitHubで発表／「Googlebook」はArmベースのSoCを採用
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、5月24日週を中心に公開された主なニュースを一気にチェックしましょう！（2026/5/31）

Windows 11／Server 2025に影響：
Windowsカーネルの脆弱性を悪用するPoC公開　Chromeなどブラウザの隔離機能も突破
Windowsカーネルの脆弱性を足掛かりにSYSTEM権限に迫るPoCが公開された。この手法は、ChromeやEdge、FirefoxといったWebブラウザの隔離機能を突破できることも分かっている。PoC公開で一気に現実味を帯びた“悪用シナリオ”の中身とは。（2026/5/29）

人気ファイル圧縮・解凍ソフトに穴：
7-Zipにヒープ破壊を引き起こす深刻な脆弱性　急ぎ対処を
GitHub Security Labは、7-Zip 26.00にヒープバッファーオーバーフロー脆弱性「CVE-2026-48095」が存在すると公表した。NTFS処理の不正なシフト演算で1バイト領域へ最大256MBを書き込み、任意コード実行やクラッシュを招く恐れがある。（2026/5/28）

中長期的視点では「脆弱性対応の自動化」も必須？：
「技術負債は解消して」　金融庁・日銀が9つの「最先端AI対策」を要請
金融庁と日銀は、「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」を公開した。フロンティアAIの進化に伴う未知の脆弱性の急増や、AI時代のサイバー攻撃に焦点を当て、技術負債の解消や経営トップの関与など、組織に求められる9つの取り組み（応急的措置）を提示したものだ。（2026/5/27）

「猶予ゼロ」時代を生き抜くには
なぜ金融庁と日銀は全金融機関に緊急対応を要請したのか　フロンティアAIが根本から変えるサイバー攻撃
フロンティアAIが脆弱性を大量に発見し、攻撃までの猶予が消滅する──金融庁と日銀はこの近未来を前提に、全金融機関へ9項目の緊急対応を要請した。経営トップの直接関与、ベンダー契約の見直し、システム停止の判断基準策定まで踏み込んだ要請の全容を読み解く。（2026/5/26）

金融庁・日銀、金融機関にAIサイバー攻撃の対策要請　対応の優先度決定など9項目
金融庁と日本銀行は5月22日、ChatGPTやClaudeなど「フロンティアAI」が脆弱性を短期間で大量発見できる脅威を受け、金融機関に9項目の短期的対応を要請した。（2026/5/25）

前回の修正では不十分：
NGINX Riftの次は“poolslip”　NGINX最新版に未修正のゼロデイ
直近で話題になったNGINXの脆弱性「NGINX Rift」の修正を反映した最新版1.31.0に新たなゼロデイ脆弱性「nginx-poolslip」が見つかった。前回の深刻な脆弱性対応に追われた運用現場に、再び重い警戒が突き付けられている。（2026/5/25）

Microsoftは更新適用を強く推奨：
Windows DNSにCVSS 9.8の“操作不要RCE”が発覚
MicrosoftはWindows DNS Clientに深刻なRCE脆弱性「CVE-2026-41096」が存在すると公表した。細工されたDNS応答によってメモリ破損が発生し、条件次第で認証不要の遠隔コード実行に至る恐れがある。（2026/5/18）

「HTTPリクエスト1発」で悪用可能：
NGINXのrewrite機能に「緊急」の脆弱性　“見落とし設定”がRCEの入り口に
「NGINX」に、認証不要で悪用可能な“危険すぎる欠陥”が見つかった。たった一つのHTTPリクエストが、サーバ停止や遠隔コード実行（RCE）につながる可能性もあるという。問題は標準構成にも潜み、影響範囲は想像以上に広い。運用担当者が今すぐ確認すべきポイントとは。（2026/5/15）

セキュリティニュースアラート：
Microsoft、5月のセキュリティ更新を公開　認証不要の深刻な脆弱性4件に警戒
Microsoftは、WindowsやOffice、Azure関連の5月分の修正を発表した。CVSS9.8以上の重大欠陥4件を含み、DNSクライアントやNetlogonなどで遠隔攻撃の恐れがあるとして、迅速な適用を呼びかけた。（2026/5/14）

トレンドマイクロが警告
やっぱり危険な「MCPサーバ」　ずさん運用したらこうなる
MCPサーバはAIツールの活用に欠かせない存在だ。しかし利便性を重視するあまり、クラウドサービスの完全な掌握を攻撃者に許す恐れがあるとトレンドマイクロは指摘する。深刻なリスクの実態とは。（2026/5/14）

バズったOSSに潜む死角：
「OpenAI公式」だと思ったら……　24万DLを突破した“人気AIコード”の正体
OpenAI風の人気AIリポジトリに、なぜ開発者は群がってしまったのか――。18時間足らずで約24万4000件のダウンロードを記録したコードの裏に仕込まれたわなの中身とは。（2026/5/13）

悪用確認済みのため要注意：
PAN-OSに深刻な脆弱性「CVE-2026-0300」発覚　root権限奪取の恐れ
Palo Alto NetworksはPAN-OSに深刻な脆弱性が存在することを発表した。認証不要でroot権限のコード実行が可能だという。CISAが同脆弱性をKEVカタログに追加していることから悪用が懸念されるため注意してほしい。（2026/5/13）