「Apache Struts」「BIND」など悪用脆弱性リストに5件追加 - 米当局
ソフトウェアの脆弱性は日々公表されていますが、そのすべてが実際に攻撃へ使われているわけではありません。だからこそ、「実際に悪用が確認されたもの」のリストは、対応の優先順位を判断するうえで重要な手がかりになります。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年10月8日、「悪用が確認された脆弱性カタログ（KEV）」に5件を追加しました。米行政機関に対しては10月11日を期限として対応を求めています。
KEVは、実際に悪用されていることが確認された脆弱性をまとめたカタログです。掲載されたからといって直ちにすべての環境が危険というわけではありませんが、攻撃者に狙われている可能性が高い脆弱性であることは間違いありません。自組織で利用している製品が含まれていないかを確認する出発点として活用できます。
追加された5件の脆弱性
追加されたのは「ProFTPD」「ONLYOFFICE Docs」「Strapi」「Apache Struts」「BIND」に関する脆弱性です。いずれも2015年から2023年にかけてCVE番号が採番されています。
ここで押さえておきたいのは、CVE番号が採番された時期と、実際に悪用が確認された時期は必ずしも一致しないという点です。古い脆弱性であっても、修正が適用されていない環境が残っていれば攻撃の対象になり得ます。製品名だけを見て「自分には関係ない」と判断せず、利用中のバージョンやサポート状況まで確認することが大切です。
Strapiの脆弱性の内容
ヘッドレスCMSの「Strapi」に関する脆弱性「CVE-2023-22894」は、機密情報が平文で保存される問題に起因します。管理画面へアクセスできる攻撃者がクエリフィルタを通じて機密性の高い利用者情報を取得できるということです。
別の脆弱性「CVE-2023-22621」と組み合わせることで、リモートからコードを実行できるとされています。影響を受ける製品のサポートが終了している可能性もあるとして注意を促しました。
管理画面へのアクセス権限を持つ攻撃者を前提としている点は、運用面での対策を考えるうえで見逃せません。アクセス権限の管理や認証情報の取り扱いが、こうした脆弱性の影響度を左右することになります。また、サポートが終了した製品を使い続ける場合は、修正プログラムが提供されない可能性を前提に、代替製品への移行や緩和策の検討が必要になります。
今回の公表で判明していること
今回の公表では、5件の脆弱性が実際に悪用されているとしてCISAが注意を呼びかけ、米行政機関に期限を区切った対応を求めた点が明らかになっています。一方、悪用の具体的な被害規模や攻撃主体、各製品の影響範囲の詳細については元記事に記載がありません。
こうした情報が不足している場合、過度に不安視する必要はありませんが、自組織の利用状況を確認するきっかけとして捉えるのが現実的です。利用中の製品が該当するかどうかを洗い出し、修正プログラムの適用可否やサポート状況を確認したうえで、対応の要否を判断するとよいでしょう。
まとめ
CISAが「悪用が確認された脆弱性カタログ（KEV）」に5件を追加し、米行政機関に10月11日を期限とした対応を求めたことが明らかになりました。対象は「ProFTPD」「ONLYOFFICE Docs」「Strapi」「Apache Struts」「BIND」で、いずれも2015年から2023年にかけてCVE番号が採番されています。Strapiの脆弱性については、平文での機密情報保存と、別の脆弱性との組み合わせによるリモートコード実行の可能性が示されています。自組織で利用している製品が含まれていないかを確認し、必要に応じて対応を検討することが望まれます。
