2026年10月に悪用が確認された脆弱性（KEV）36件

10月にKEVへ追加された脆弱性は36件で、1日あたりでは0〜6件でした。追加が無い日も多く、追加は15日に分かれています。最も多かったのは10月20日の6件で、Plex Media Serverの4件、SiteGuard Server Edition、Siemens Software Centerが加わりました。[2]

10月8日には、2015〜2023年に公表された古い脆弱性5件（ProFTPD、ISC BIND、Apache Struts、ONLYOFFICE Docs、Strapi）がまとめて加わりました。KEVに載る条件は、CVE番号があること、悪用の確かな証拠があること、更新などのはっきりした対処があることの3つで、公表から年数がたった脆弱性でも、悪用の証拠が出れば加わります。[1]36件のうち30件は2026年の番号でした。

月ごとに見ると、10月の36件は9月の43件より7件少なく、直近12か月の平均の約26件より多い月でした。[2]

2025年11月から2026年10月までの12か月で、KEVへの追加が最も多かったのは2026年9月の43件、最も少なかったのは2025年11月の11件でした。10月の36件は2番目に多い件数です。[2]

36件を製品の用途で、このメディアの12の区分に当てはめると、VPN・リモートアクセスとメール・共同作業が5件ずつで最も多く、ファイアウォール・UTMと会社のサイト（CMS・EC）が3件ずつでした。区分の外では、PHP・Brotliなどの言語・ライブラリが4件、WindowsとLinuxカーネルが2件、家庭・個人で使われることも多いPlex Media Serverなどその他の製品が7件です。

ベンダー別では、Plexの4件が最も多く、Ivantiの3件はすべてVPN機器のIvanti Connect Secureでした。Cisco・Fortinet・Ahsay・Zammad・PHP Groupが2件ずつで、残りの19社は1件ずつです。[2]入口の機器（VPN・ファイアウォール・遠隔管理など）12件のうち、Ivanti Connect Secure、PAN-OS、Cisco Secure Firewall ASA・FTD、BeyondTrust Remote Supportは当社の解説記事があります。

深刻度（CVSSの点数による区分）は、緊急が16件、高が14件、中が5件、低が1件でした。KEVに載った脆弱性は悪用が確認されているため、深刻度が中・低でも一覧に載っています。たとえばVMware ESXのCVE-2026-41709は深刻度が低ですが、10月28日に加わりました。[2]

種類は題名と要約の語で振り分けています。認証・認可の回避が9件、コード実行とファイルの読み取り・上書きが7件ずつです。Ivanti Connect Secureの3件のように、複数の脆弱性を連鎖させて使われた件もあります。[9]

JPCERT/CCは10月に5件の注意喚起を新たに出しました。このうちSiteGuard Server Edition・PHP・Brotliの3件は、注意喚起の後に米CISAのKEVにも加わっています。[3][2]

10月8日の不正アクセスの注意喚起は、2026年9月前後から国内組織で相次ぐ個人情報などの漏えいについてのものです。既知の脆弱性や設定ファイルの窃取、管理用APIへの不正な操作、MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）などの手口を挙げ、業務上必要のない管理機能の公開の停止などの対策を示しています。[4]また、9月28日に出たNetScaler ADC・Gatewayの注意喚起が10月2日に更新されました。[3]

36件のうち、国内で使われる製品、注意喚起が出た製品、攻撃の手口が公表された製品から4つを、提供元・公的機関の公表で紹介します。対象のバージョンと修正版、侵害の確かめ方は、それぞれの解説記事にあります。

Ivanti Connect Secure（VPN）の3件

Ivanti Connect SecureのCVE-2026-104935が10月13日に、CVE-2026-111357とCVE-2026-118527が10月30日にKEVへ加わりました。[2][8]調査したVolexityは、3件を連鎖させると、認証されていない攻撃者が機器の上でroot権限のコマンドを実行できると報告しています。[9]Ivantiは25.1.1.3・22.8R2.6などの修正版を出しています。[7]詳しくはIvanti Connect Secureの解説記事にあります。

SiteGuard Server Edition（国産のWAF）

EGセキュアソリューションズは10月14日、SiteGuard Server Editionの統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）があり、悪用を確認していると公表しました。JPCERT/CCも同じ日に注意喚起を出し、米CISAは10月20日にKEVへ加えています。[6][5][2]対象はVer8.00 Update5（FreeBSD版はVer7.00 Update6）より前で、更新が難しい場合のパッチと、統計機能を無効にする回避策も示されています。[5]詳しくはSiteGuard Server Editionの解説記事にあります。

BeyondTrust Remote Support（遠隔管理）

米CISAは10月16日、BeyondTrust Remote SupportのCVE-2026-102764をKEVへ加え、攻撃者が最初の侵入に使い、居座り・権限の昇格・横への広がりにつなげていると注意を促しました。対象は26.2.3以前で、自社で設置した機器へのBT26-05-RSパッチの適用、管理画面を信頼できるネットワークからだけ使えるようにすることなどを挙げています。[11][10]詳しくはBeyondTrust Remote Supportの解説記事にあります。

Cisco Secure Firewall ASA・FTD（ファイアウォール）

Ciscoは10月28日（米国時間）、Secure Firewall ASA・FTDのリモートアクセスSSL VPNに、認証されていない攻撃者に機器を再起動させられる脆弱性（CVE-2026-76418）があり、悪用を確認したと公表しました。米CISAは10月29日にKEVへ加えています。[12][2]回避策は無く、系列ごとの修正版に上げます。[12]詳しくはCisco ASA・FTDの解説記事にあります。

10月にKEVへ加わった36件のうち14件は、当社の解説記事で対象のバージョン・修正版・侵害の確かめ方を書いています。10月に公表された件で、KEVへの追加が11月になったものも含めて並べています。

• Cisco ASAの脆弱性CVE-2026-76418｜FTDも対象、悪用確認、VPN経由の再起動と修正版公表 2026-10-29・10月にKEVへ追加
• WordPressの脆弱性CVE-2026-119977｜更新中にコード実行、悪用確認と修正版7.1.4公表 2026-10-28
• Cisco SEGの脆弱性CVE-2026-76519｜悪用確認、対象と修正版公表 2026-10-15・10月にKEVへ追加
• PAN-OSの脆弱性CVE-2026-0322｜悪用確認、管理画面の対象と修正版・侵害の確認公表 2026-10-15・10月にKEVへ追加
• BeyondTrustの脆弱性CVE-2026-102764｜Remote Supportで悪用確認、パッチと侵害の確認公表 2026-10-15・10月にKEVへ追加
• SiteGuardの脆弱性CVE-2026-106931｜Server Editionで悪用確認・修正版と回避策公表 2026-10-14・10月にKEVへ追加
• GitLabの脆弱性CVE-2026-97229｜悪用確認、コード実行のおそれと修正版・確認方法公表 2026-10-13・10月にKEVへ追加
• Ivanti VPNの脆弱性CVE-2026-111357ほか｜Connect Secureで悪用確認、対象と修正版公表 2026-10-13・10月にKEVへ追加
• VMware ESXiの脆弱性CVE-2026-41709｜悪用確認、操作が記録されない問題の対象と修正版公表 2026-07-29・10月にKEVへ追加

米CISAが10月にKEVへ加えた36件を、追加日の新しい順に並べています。社内の機器・ソフトの一覧とベンダー名・製品名で照らし、当てはまる行があれば提供元の告知で対象のバージョンと修正版を確かめます。番号を押すと米CISAの一覧の該当の行へ移ります。日付は米国の日付です。[2]

件数は、米CISAのKEVに追加日（米国の日付）が2026年10月の36件で、2026年11月11日時点の一覧で数えています。[2]製品の区分は、製品の用途でこのメディアの12の区分に当てはめたもので、当てはまらないものはOS・パソコン、言語・ライブラリ、その他の製品に分けています。深刻度はCVSSの点数による区分、種類は題名と要約の語で振り分けています。

10月にKEVへ加わった件と、JPCERT/CCの注意喚起に関係する対策を、公的機関の資料に書かれた項目だけ、自社で確かめる形で並べました。各項目の後ろに出典を示しています。区分ごとに開いて確かめてください。