「CVSS」関連の最新 ニュース・レビュー・解説 記事 まとめ

2024年に既に兆候があった：
PHP脆弱性問題は“また起こる”　事件の裏にあったエンジニアの根深い課題
多くの日本企業を混乱の渦に巻き込んだPHP脆弱性問題。深夜のアップデート対応に追われた担当者もいることだろう。この問題はなぜ起きたのか。その背景には一朝一夕ではいかない開発者全体に関わる根深い課題があった。（2026/10/23）

セキュリティニュースアラート：
Oracle Javaに55件の脆弱性　IPAが「早急に適用を」と促す対象は
IPAはOracle Javaの脆弱性について注意喚起した。修正された55件のうち49件は、認証を必要とせずネットワーク経由で悪用される可能性がある。被害は攻撃者によるPCの制御に及ぶ恐れもあるという。（2026/10/22）

セキュリティニュースアラート：
PHPに深刻な脆弱性　更新だけで対策は終わらない、企業が最初にやるべき2つのこと
PHPの開発チームが、認証不要のリモートコード実行につながる2件の重大脆弱性を修正するセキュリティリリースを公開した。IPAも注意喚起を出し、速やかな適用を促す。だが、全てのシステムを直ちに更新できる企業ばかりではない。何から手を付けるべきか。（2026/10/22）

【一体何が？】21日夜に「緊急メンテナンス」続々　業務ツール、ソシャゲ、通販、自治体Webサイトなど
10月21日夜に「緊急メンテナンス」の実施を発表する企業が相次いでいる。対象サービスは、業種業界を問わない。いったい何が起きているのか。（2026/10/21）

緊急修正パッチが出るほど危険：
PHPの重大脆弱性「php2shell」、パッチ公開まで待てない　GMOが示した暫定策と注意点
PHPに深刻度9.2の重大脆弱性「php2shell」が見つかった。外部から任意のコードを実行される恐れがあり、PHP開発チームは2026年10月21日23時に修正パッチを公開する予定だ。パッチを待つ間、企業は何をすべきか。GMO Flatt Securityは独自分析を基に暫定策と緊急対応の指針を示した。（2026/10/21）

複数サービスに利用制限：
さくらインターネットが新規サーバ受付を停止　クラウド運用を直撃したLinuxの脆弱性とは？
クラウドやVPSの基盤を揺るがしかねないLinuxカーネルの脆弱性が公表された。さくらインターネットは「PwnEscape」と呼ばれるこの脆弱性への対応として、複数サービスで新規プロジェクトの作成や申し込み、一部機能の提供を停止した。一体この脆弱性は、利用者のシステム運用に何をもたらすのか。（2026/10/20）

セキュリティニュースアラート：
Microsoft、10月の月例更新で脆弱性1413件に対応　悪用確認済みの脆弱性は
Microsoftは2026年10月の月例セキュリティ更新プログラムで、1413件の脆弱性に対応した。その中には、既に攻撃への悪用が確認された脆弱性が含まれる。同社は、大量の脆弱性に優先順位を付けるための考え方も紹介した。（2026/10/16）

楽天モバイルのオリジナルAndroid端末にパッチ未提供の脆弱性　対象端末の利用者には機種変更を推奨
楽天モバイルが過去に販売した複数の自社ブランドスマートフォンにおいて、修正プログラムのない脆弱（ぜいじゃく）性が発見された。同社では当該端末の機種変更を推奨している。（2026/10/14）

辻伸弘の「投げます。一石、」（5）：
脆弱性対応は「点数」から「リスク」へ――CVSS、KEV、BOD 26-04を踏まえた優先順位の付け方
脆弱性の発見数が対処のスピードを上回ることが確実になった今、あきらめてしまう以外の方法を考える必要がある。脆弱性を評価する方法を「点数」ではなく「リスクマネジメント」の観点から考えるに当たり、参考になる指標や文書を紹介する。（2026/10/20）

「緊急」の脆弱性が複数：
「パッチを当てても安心できない」　Citrix NetScalerゼロデイ、CISAが異例の対応を要求
CitrixのNetScaler ADC／Gatewayで8件の脆弱性が公開された。そのうち2件は「緊急」（Critical）のゼロデイで、既に世界規模で悪用されているという。CISAが要求した異例の対応とは。（2026/9/29）

半径300メートルのIT：
★取得はゴールではなく入口　IPAお助け隊“新類型”で自社の穴を先に見つけよう
SCS評価制度の★3を取ろうとしても、要求事項の理解や自社の状況把握からつまずく中小企業は多いはずです。IPAが2026年10月から実証を始める「サイバーセキュリティお助け隊サービス（新類型）」は、その壁をどこまで下げてくれるのでしょうか。（2026/9/29）

24.6万件の個人情報が漏えいか　デジタル庁GSSへの不正アクセスで見えた「ゼロトラスト」の落とし穴
デジタル庁が運用する「ガバメントソリューションサービス」で、不正アクセスが発生した。ゼロトラストを採用していたにもかかわらず、なぜ侵入を許したのか。AIによって攻撃の前提が変わる現在の、自治体のセキュリティを考える。（2026/9/24）

AIエージェントはもう人間には制御不可？：
「ハッキングコンテストはAIによって終わった」ゼロデイ発見が激変　迫られる“防御の再設計”
ハッキングコンテストはAIに敗れ、脆弱性管理は「パッチパンデミック」に陥り、AIエージェントは暴走して企業インフラに侵入。企業はAIエージェント時代の脆弱性管理をどう再設計すべきでしょうか。（2026/9/20）

診断データで読み解く企業システムのリスク（1）：
脆弱性診断の結果をどう読む？　CVSSだけで改修順を決めてはいけない理由
脆弱性診断の報告書には「緊急」「重大」といったリスクレベルやCVSSスコアが並ぶ。しかし、その数字だけではどの問題をいつまでに誰が直すべきかは決まらない。診断結果を対策につなげるには、報告書の評価をどう読み解けばよいのか。（2026/9/18）

ユーザー対応は必要？：
Windows Defenderの脆弱性　修正からわずか数日で修正回避のPoC登場
Microsoftが修正したWindows Defenderの脆弱性を巡り、修正後のWindowsでも同じ問題につながる攻撃経路が残っていたとするPoCが公開された。わずか数日で登場した新たなPoCに対し、ユーザーができることはあるか。（2026/9/14）

今週の「＠IT」よく読まれた記事“10選”：
「人間の敗北」を告げるCTFの終焉と『徳丸本』第3版――激変するセキュリティと基盤運用のリアル
＠ITで公開された記事の中から、特に注目を集めた10本をランキング形式で紹介します。何が読者の関心を引いたのでしょうか。（2026/9/12）

開発者が“最も効率的な侵入ルート”にされる理由：
攻撃者が狙うのは本番環境より「開発者」　npm installするだけで侵害される時代の守り方
OSSに悪性コードが混入するソフトウェアサプライチェーン攻撃が、開発現場を大きく揺るがしている。開発者を「最も効率的な侵入ルート」と見なす構造的な背景を解説し、OSSを活用したソフトウェア開発プロセスの盲点を明らかにする。（2026/9/10）

「能動的なサービス停止」の基準を明確化する：
「四半期ごとのパッチ適用」はもう許されない　AWSが「フロンティアAI対策9項目」のポイントを解説
高度な技術を持たない攻撃者であっても、生成AIや公開コードを活用して迅速にサイバー攻撃を実行できる時代に突入している。こうした中AWSは、金融庁と日本銀行が金融機関に求めた9つの短期的対応について、同社のサービス・機能がどう役立つかを整理して解説した。（2026/9/9）

ITニュースピックアップ：
Microsoftが9月セキュリティ更新を発表　クラウドサービス複数でCVSS 10.0を含む脆弱性を修正
Microsoftは、複数のクラウドサービスの脆弱性を公表した。Azure AI Languageなど2件はCVSS3.1の深刻度が10.0で、全件を同社側で緩和正済みとした。（2026/9/8）

「パッチを全部当てる」時代の終焉　Check PointのCTOが語る、AI時代の脆弱性管理
生成AIの進化に伴い脆弱性の発見と悪用が進む中、「全脆弱性にパッチを当てる」従来型の対策は限界を迎えているという。Check PointのCTOらが、継続的な脅威管理「CTEM」とAIを活用したアプローチを語る。（2026/9/7）

認証不要で悪用低難度：
Entra IDにCVSS 10.0の脆弱性　認証不要でコード実行の恐れ、必要な対策は？
認証もユーザー操作も必要ない。Microsoft Entra IDで、ネットワーク経由の攻撃によってコードを実行される恐れのある脆弱性が見つかった。CVSS基本値は10.0だ。Microsoft 365やAzureなどの認証基盤を支えるサービスで何が起きていたのか。（2026/8/25）

調査で見えた変化：
Claude Mythos発表後、CVEが異常増加　7月は発表前の5倍に
「AIが脆弱性を見つける」ことが現実になった2026年。AnthropicのClaude Mythos Preview発表後、重大なCVEの公開件数が異例のペースで増えていることが調査結果で示された。これを踏まえて脆弱性対策を考える。（2026/8/25）

セキュリティニュースアラート：
Microsoft Entra IDにCVSS 10.0の緊急脆弱性　対応不要なのに公表された理由
Microsoftは「Microsoft Entra ID」に存在した深刻度「CVSS 10.0」の脆弱性「CVE-2026-69836」を公表した。Microsoft側で既に緩和が完了しており、利用者側の対応は不要とされている。作業を伴わない脆弱性情報が公表された理由とは。（2026/8/25）

「リスクが低いから後回し」は通用しない：
「パッチパンデミック」で現場が阿鼻叫喚　フロンティアAI時代の脆弱性管理“新常識”
Claude MythosをはじめとしたフロンティアAIの登場で脆弱性管理の常識がひっくり返る未来が来ている。深刻度が高い脆弱性だけに対処する方針が“時代遅れ”になりつつある今、企業が押さえるべき“きほんのき”とは。（2026/8/13）

Tech News：
【急ぎ適用を】Windows 11にゼロデイ攻撃リスク　2026年8月更新プログラム「KB5121003」の内容と注意点
Microsoftは2026年8月11日（米国時間）、Windows 11向けの月例更新プログラム「KB5121003」の提供を開始した。今月は約400件の脆弱性が修正されており、その中には既に悪用が確認されている「AFD.sys」の権限昇格の脆弱性が含まれる。また、ファイルサイズ表示の改善やタッチパッドのジェスチャー設定など、2026年7月のプレビュー更新で先行提供された新機能も正式に展開される。本更新プログラムの内容と注意点を解説する。（2026/8/12）

全件修正を脱し悪用リスク重視の動的防衛へ
CVSS頼みはもう終わり　悪用まで「数時間」のAI時代に情シスが捨てるべき常識
脆弱性の公開から悪用までがわずか数時間に短縮されたAI時代、従来のCVSSスコアに基づく全パッチ適用は限界を迎えている。情シスが今取るべき悪用リスク重視の優先順位付けと動的な防御戦略を解説する。（2026/8/10）

IT調査ピックアップ：
従来型テストの限界があらわに　3915件のOSSを解析して判明した「99.4％未報告」の実態
Palo Alto Networksが自律型AIシステム「NOVA」による調査結果を発表した。3915件のOSSを解析して1万4090件の脆弱性を検出し、99.4％が未報告と判明。従来のテスト手法では見抜けなかった欠陥が9割超を占める実態が浮き彫りとなった。（2026/8/7）

セキュリティニュースアラート：
VMware製品にCVSS 9.8の脆弱性、回避策なし　速やかなアップデートを推奨
BroadcomはVMware製品群に存在する5件の脆弱性を修正した。vCenterでは最高深刻度CVSS 9.8の認証回避や任意コード実行の欠陥が確認されている。回避策は用意されておらず、速やかなパッチ適用が求められる。（2026/8/5）

半径300メートルのIT：
25ドルで見つかったWordPressの脆弱性　生成AIが変えた攻防の時間軸
脆弱性が公表されてから攻撃が始まるまで、これまでは相応の時間がありました。その前提が、生成AIによって崩れつつあります。では、防御側に残された選択肢には何があるのでしょうか。（2026/8/4）

CVSS 9.8含む5件が見つかる：
VMware管理基盤に“認証突破”の穴　Broadcom「回避策を用意せず」
BroadcomはVMware製品に存在する5件の脆弱性を修正した。vCenterには認証回避や任意コード実行につながる重大な問題が含まれ、全ての脆弱性で回避策は用意されていない。（2026/8/4）

複数バージョンで全試行成功：
RedisのRCE脆弱性、PoC公開で危険度増す　修正済み脆弱性の“抜け穴”が判明
Redisで見つかった任意コード実行（RCE）につながる脆弱性に対し、実際に攻撃を再現するPoCが公開された。公開資料では複数バージョンで全ての検証に成功したと報告されており、実用性の高さがうかがえる。修正の背景や影響範囲、攻撃が成立する条件、取るべき対策を整理する。（2026/8/4）

深まる先端AIモデルのサイバー攻撃能力への懸念　「恐れるな」とGartnerのアナリストが語る理由
フロンティアAIモデルが1万件以上のソフトウェア脆弱性を発見したり、テスト用の隔離環境を“脱獄”して、他の場所にあるデータを窃取したりといったニュースが相次いでいる。企業のセキュリティ責任者が恐怖にかられるのは当然だ。だが、Gartnerのアナリストは「恐れる必要はない」と語る。その理由を聞いた。（2026/7/30）

深刻度“中”の脆弱性でも放置してはいけない
アサヒGHDも標的に　被害1200％増のランサムウェア集団「Qilin」急拡大の裏側
ランサムウェア集団「Qilin」は、2024年から2025年にかけて急速に活動を拡大させている。トレンドマイクロの調査から見えてきた、企業が放置している致命的な不備とは何か。（2026/7/29）

半径300メートルのIT：
WordPressの脆弱性「wp2shell」　古いバージョンでも自動更新していても安心できない理由
WordPress本体にプラグインなしの標準構成でも遠隔からコードを実行できる脆弱性が見つかりました。運営元は異例の強制自動更新に踏み切りましたが、管理者が把握しない放置サイトはこの網から漏れてしまいます。自動更新だけでは守れない理由を整理します。（2026/7/28）

更新を後回しにしていないか？：
回避策なし、「BIND 9」に高深刻度7件の脆弱性　DNSキャッシュ汚染やDoSの恐れ
DNSサーバソフト「BIND 9」の更新版が公開された。修正されたのは計9件の脆弱性で、このうち7件は深刻度「高」と評価される。DNSキャッシュ汚染やDoSにつながる問題も含まれるが、現時点で有効な回避策は示されていない。（2026/7/27）

自律型AIエージェントの安全な導入ガイド
OpenClawのスキル17％に悪性コード　勝手に使われる前の5つの防衛線
爆発的に普及する自律型AI「OpenClaw」。その高い利便性の裏で、脆弱性や悪意ある拡張機能による漏えいリスクが急浮上している。シャドーIT化を防ぎ組織を守るため、今CISOが講ずべき「5つの防衛線」とは。（2026/7/24）

1年前に騒がれたFeliCaの脆弱性、JVNがようやく公表　深刻度は「高」
当時は正式公開前に報道が先行したことが問題視され、経産省などが脆弱性情報の取り扱いに関する異例の要請を出す事態になっていた。（2026/7/22）

善意の研究者を訴えるな：
脆弱性報告を受け付けない企業は危うい？　CISAら5機関が共同指針
「脆弱性を見つけても報告先がない」「修正されたのかも分からない」。そんな状況を変えるため、CISAやNSA、JPCERT/CCなど5機関が、企業向けの共同指針を公開した。善意の研究者との協力を前提とした新たな脆弱性管理の実務とは何か。（2026/7/21）

開発者には死活問題？：
PHP向けパッケージ管理ツール「Composer」に脆弱性　更新前に確認したい3つのリスク
開発現場で日常的に利用されるPHP向けパッケージ管理ツール「Composer」に、複数の脆弱性が見つかった。中でも深刻な問題では、悪意ある依存パッケージが混入すると、通常のインストールや更新をきっかけにプロジェクト外のファイルを書き換えられる恐れがある。開発者や運用担当者が今すぐ確認すべきポイントを整理する。（2026/7/16）

パスワード変更は逆効果？：
Dell製PCでBIOSパスワードが数ミリ秒で漏れる　明らかになった“設計上の弱点”
Dell製PCの一部で、BIOSパスワードを「数ミリ秒」で復元できる脆弱性が見つかった。総当たり攻撃は不要で、端末内に残るデータだけで解析できるという。さらに、一般的には安全性向上につながるはずの「ある運用」が、逆に攻撃を助ける可能性も指摘された。（2026/7/14）

印刷ジョブが攻撃の入り口に：
RHEL 8、9、10に影響　CVSS 9.8の脆弱性、「修正済み」のはずが再発
CVSS 9.8の重大な脆弱性が「Red Hat Enterprise Linux」に含まれる印刷ソフトウェア「HPLIP」で見つかった。以前の脆弱性への修正が不完全だったことが原因で、細工した印刷ジョブを悪用される恐れがあるという。（2026/7/13）

パッチを当てるだけでは終わらない：
32万台超のFortiGateが狙われた　相次ぐ「大規模侵害」に備えるには何が必要？
FortiGateを狙った「FortiBleed」では、32万台超の機器が標的になりました。攻撃はネットワーク機器だけでなく、開発者や正規サービスにも広がっています。大規模攻撃に備えるには、何から見直すべきでしょうか。（2026/7/12）

即更新を推奨：
PHP利用者は見逃し厳禁　TLS通信でサービス停止を招くHigh脆弱性を修正
PHPに高危険度の脆弱性が見つかり、修正版が公開された。問題はTLS接続時のエラー処理にあり、特定の環境ではHTTPS通信の失敗をきっかけにサービス停止に発展する恐れがあるという。（2026/7/9）

提供再開より重要な動き？：
公開3日で停止した「Claude Fable 5」が復活　AI脱獄の採点ルールも稼働
公開からわずか3日で利用停止となったAnthropicの最新AIモデル「Claude Fable 5」が再提供される。その裏で同社は、AmazonやMicrosoft、GoogleとともにAIのジェイルブレーク（脱獄）の深刻度を共通基準で評価する新たな枠組みづくりに着手した。AIセキュリティは新たな転換点を迎えようとしている。（2026/7/6）

CVE新運用は本当に回り始めたか：
NISTのCVSSは本当に正しい？　「全件分析断念」2カ月後に見えた意外な実態
2026年4月「全てのCVEを分析する」という長年の方針を転換したNIST。約2カ月後、その運用実態を調査したところ、分析対象の絞り込みだけでなく、脆弱性評価そのものを巡る新たな課題が浮かび上がったという。（2026/7/2）

OSS修正と開示も担う「Akrites」
OpenAI、Anthropic、NVIDIAも参加　Linux foundationが発足した「Akrites」とは
The Linux Foundationは2026年6月25日、重要OSSの脆弱性を修正し、責任ある形で開示する共同取り組み「Akrites」を発表した。情シスにとっては何が関係あるのか。（2026/7/1）

Microsoft MVP胡田のWindowsダイアリー（5）：
“WSUS廃止”って、本当はどういうこと？　「もう使えない」の誤解を正す
2024年9月、MicrosoftはWindows Server Update Services（WSUS）の非推奨化（廃止）を発表しました。「非推奨」と聞いて「もう使えなくなるのでは」と不安を抱いた人もいるのではないでしょうか。実際には、その後もWSUSを巡る状況は変化を続けています。ドライバー同期廃止の無期限延期、Windows Server 2025向けのセキュリティ強化、そして緊急パッチを要する重大脆弱性の判明――。調査では、WSUS非推奨化について内容まで把握しているIT担当者は、3割にとどまりました。WSUSを取り巻く主な出来事を振り返りながら、WSUS非推奨化の本当の意味を整理します。（2026/6/30）

半径300メートルのIT：
生成AIの進化で変わる脆弱性対策　CISA新指針と「SCS評価制度」から探るパッチ適用方針
生成AIの進化によって「脆弱性対策」の難易度が急上昇しています。従来は数カ月ごとの定期メンテナンスでパッチを当てるのが主流でしたが、現在はどうでしょうか。これまでの対策が通用しなくなった原因と、CISAやIPAが示す防御戦略を解説します。（2026/6/23）

「Microsoftユーザーは基本対策の徹底を」：
Microsoft、AI活用拡大で「Patch Tuesday」の大規模化が続くと予告
Microsoftは、毎月のPatch Tuesdayの規模が今後も大きくなると予告した。AIによる脆弱性発見の加速が背景にあり、ユーザー側にはより迅速な対応が求められるとしている。（2026/6/22）

フロンティアAI時代の資産管理の勘所：
AIに「パッチを当てろ」と命じる時代へ　Taniumが描く“自律型IT”の正体
生成AIの悪用が進む中、防御側の運用モデルも転換点を迎えている。こうした変化を踏まえて、タニウムはイベント「Converge Tokyo 2026」で、自律的なIT運用を目指す新構想とAI基盤を発表した。NECの事例とともに、AI時代のIT資産管理の勘所を探る。（2026/6/22）