チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「LangflowってAIツールにも脆弱性があるの？うちも使ってるかもしれない……」
「ITの運用管理ツール（RMM）が狙われるとどうなるの？全部やられてしまうんじゃないでしゅか？」
チップスCISAが3つの脆弱性を緊急警告したって聞いたでしゅ。LangflowとかTomcatとか、うちの会社でも使ってるかもしれないんでしゅが……
ボスどれも既に実際の攻撃に使われている。KEV（既知の悪用済み脆弱性）リストに載るということは、「理論上の危険」ではなく「今まさに使われている武器」だということだな
米国の政府機関・企業向けセキュリティ機関CISAが2026年8月4日、Langflow・N-central・Apache Tomcatの3製品に存在する脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加した。
いずれも既に実環境での悪用が確認されており、連邦機関には8月7日までのパッチ適用が義務付けられた。
自社が利用するソフトウェアに対象製品が含まれる場合、今すぐパッチ適用状況を確認してほしい。
3つの脆弱性を正しく理解し、優先度に応じた対応を取ることが重要だ。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
CISAは2026年8月4日、3件のセキュリティ脆弱性を公式の「既知の悪用済み脆弱性（KEV）」カタログに追加した。
米国連邦政府機関は8月7日までのパッチ適用が義務付けられており、民間企業においても優先対応が求められる。
セキュリティの世界には多数の脆弱性が存在するが、そのすべてが攻撃に使われているわけではない。
CISAのKEVカタログは「実際に悪用が確認されている脆弱性」だけを収録した公式リストであり、掲載された脆弱性は最優先でのパッチ適用が求められる。
今回追加された3件の概要は以下のとおりだ。
| CVE番号 | 製品 | CVSSスコア | 脆弱性の種類 |
|---|---|---|---|
| CVE-2026-9198 | IBM Langflow OSS | 9.8（Critical） | 認証不要のリモートコード実行 |
| CVE-2026-18556 | N-able N-central | 8.2 | 認証バイパスによる管理者権限奪取 |
| CVE-2026-34486 | Apache Tomcat | 7.5 | EncryptInterceptorバイパスによるRCE |
LangflowのPoC（概念実証コード）は公開済みで、現在進行形で攻撃に使われている状況だ。
Langflow（IBM）はAIエージェントのワークフローを視覚的に構築するオープンソースツールで、開発チームや研究機関での利用が広がっている。
CVE-2026-9198はCVSSスコア9.8という最高水準の深刻度を持ち、7月17日の公開から約1週間でPoC（概念実証コード）が出回った。
攻撃の仕組みはシンプルで危険だ。攻撃者は2つのAPIエンドポイントを連鎖させる。
/api/v1/auto_login に認証なしでアクセスし、スーパーユーザーのベアラートークンを取得する/api/v1/validate/code に任意のPythonコードを送り込み、サーバー上で実行させる
チップスLangflow使ってるでしゅ！すぐ確認しないといけないでしゅね！
ボスバージョン1.10.1以降に更新しているか、そしてLangflowがインターネットに直接公開されていないかを今すぐ確認しなさい
N-able N-centralはMSP（マネージドサービスプロバイダー）が多数のクライアント企業のシステムを遠隔管理するRMMプラットフォームだ。
CVE-2026-18556（CVSS 8.2）は認証バイパスの脆弱性で、ゼロデイとして悪用が始まった後、最初のパッチを攻撃者が突破するという事態が発生した。
7月末に攻撃が激化したため、N-ableは緊急ホットフィックスを追加発行し、新たにCVE-2026-18577として管理された。
RMMツールが侵害された場合の影響は単一企業にとどまらない。
Apache Tomcatの脆弱性CVE-2026-34486（CVSS 7.5）は4月に修正済みだが悪用が続いている。
EncryptInterceptorの実装不備で、暗号化層が「フェールクローズ」から「フェールオープン」に変わってしまい、暗号化されないデータを使ったリモートコード実行が可能になる仕組みだ。
2026年7月、SOCRadarはCVE-2026-34486を悪用してSnowlightマルウェアを配布する中国系攻撃キャンペーンを報告した。
さらにPalo Alto Networks Unit 42は、別のAI支援型の自律攻撃キャンペーンでも同脆弱性が悪用されたと観測している。
CISAによるKEV追加は、単なる警告にとどまらない。
実際に攻撃者が悪用している脆弱性のリストであり、優先順位の最上位に位置づけるべきインシデントだ。
今すぐ確認すべき対応ポイントは以下のとおりだ。
チップス今すぐ確認しに行くでしゅ！KEVに載ってるってことは「もう攻撃されてるかも」ってことでしゅもんね！
ボスふふふ、正しい理解だな。パッチ適用とともに「すでに侵害されていないか」の確認も忘れるな
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
