CISAがMicrosoft・VMware・Appleの4脆弱性をKEVに追加──いずれも野放し悪用が確認済み、即時パッチ適用を

「CISAがMicrosoft・VMware・Appleの脆弱性に緊急対応を求めているって聞いたんでしゅが、どれほど深刻でしゅか？」
「KEVカタログって何でしゅか？なぜ追加されるとそんなに大問題なんでしゅか？」

チップス

CVSSが9.8って最大に近い数字でしゅよね……しかも4件同時ってどういうことでしゅか？

ボス

KEVは「実際に攻撃者が悪用した」脆弱性だけを収録するCISAのカタログだ。理論上のリスクではなく、現実に攻撃が起きている。米連邦機関は8月21日までの適用が義務付けられた。日本企業も即時対応が必要だ。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が、Microsoft・VMware・Appleの製品に存在する4件の脆弱性を「既知悪用脆弱性（KEV）」カタログに追加した。
4件すべてで実際の攻撃が確認されており、米連邦機関には2026年8月21日までのパッチ適用が義務付けられた。

KEVカタログへの追加は「実際に攻撃が発生している」証明であり、単なる脆弱性情報より深刻に扱う必要がある。

事件の概要──4件すべてで野放し攻撃を確認

CISAのKEVカタログは「実際に攻撃者が悪用した」脆弱性だけを収録する特別なリストだ。CVSSスコアが高くても「理論的にリスクがある」だけでは掲載されない。今回追加された4件は、それぞれ実際の攻撃事例が確認されている。

4件の脆弱性概要

追加された脆弱性の概要は以下の通りだ。

米連邦機関に8月21日までの適用義務

CISAはKEVに追加された脆弱性について、米連邦行政機関に対して期日内のパッチ適用を義務付けている。今回の4件の期限は2026年8月21日だ。
日本の民間企業への法的義務はないが、実際に攻撃が発生している脆弱性として同水準の緊急対応が求められる。

脆弱性の仕組みと影響──攻撃者はすでに動いている

4件のうち最もCVSSスコアが高いのは、Microsoft WindowsとVMware vCenterの各9.8だ。いずれも認証なしで任意のコードを実行できる深刻な脆弱性だ。

各脆弱性と確認された攻撃内容

チップス

パッチが出ているのに攻撃されているって、パッチを当てていない企業が多いってことでしゅか？

ボス

そうだな。パッチ適用には社内テストや承認フローが必要で、どうしても時間がかかる。攻撃者はそのタイムラグを狙っている。特にSharePointはPoC公開直後に悪用が急増した。

各脆弱性で確認された攻撃内容は以下の通りだ。

今すぐ確認すべき対応優先順位

4件のパッチはすべて提供済みだ。使用環境を確認し、以下の優先順位で対応してほしい。

まとめ

チップス

パッチが出ているなら、当てればそれで終わりでしゅよね？

ボス

パッチ適用は必須だが、すでに侵害されている可能性も確認してほしい。特にVMware vCenterやWindows環境は、パッチ前に侵害されていないか、不審なプロセスや接続がないかを確認してから適用することが重要だな。

CISAのKEVへの追加は「実際に攻撃が発生している」ことの証明だ。今回の4件はすべてパッチが提供済みであり、適用することで脅威を遮断できる。
対象製品を使用している組織は、8月21日を目安に優先的な対応を実施してほしい。