CISA KEV追加9件、過半が旧CVEの悪用

米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が2026年8月26日と27日の2日間で、実際に悪用が確認された脆弱性9件をKEV（Known Exploited Vulnerabilities）カタログに追加しました。注目すべきは、9件のうち6件が2015年〜2023年に公表された「古いCVE」だという点です。

対象にはCitrix NetScalerやMicrosoft SQL Serverだけでなく、Red Hat Enterprise Linux 6/7世代に標準で入っているコンポーネントや、すでに開発が終了したASP.NET向けライブラリまで含まれます。まず確認すべきは、自社にRHEL 6/7世代のLinuxサーバ、オンプレのownCloud、社内Webアプリに残ったAjaxProがないかです。KEV入りは「理論上危ない」ではなく「現に攻撃で使われている」を意味します。

この記事でわかること

  • KEVへ追加された9件の内訳（CVE番号・製品・深刻度・是正期限）
  • 聞き慣れない製品名（libuser / ABRT / AjaxPro）が「どこに組み込まれて動いているか」
  • なぜ2015年のCVEが2026年に悪用されるのか
  • 9件のうち特に急ぐべきものと、その判断根拠
  • 日本企業がKEVをどう使うべきか（拘束力の違いを踏まえて）

何が起きたのか

CISAは悪用が確認された脆弱性をKEVカタログに登録し、米国連邦政府機関に是正期限を課しています。8月26日に6件、翌27日に3件が追加されました。

追加日 CVE 製品 種別 CVSS v3.1 是正期限
8/26 CVE-2015-3246 Red Hat libuser 競合状態（/etc/passwd破壊） 5.1 9/9
8/26 CVE-2015-5287 Red Hat ABRT 権限昇格（シンボリックリンク攻撃） 7.8 9/9
8/26 CVE-2019-1068 Microsoft SQL Server リモートコード実行 8.8 8/29
8/26 CVE-2021-23758 Ajax.NET Professional 安全でないデシリアライズ 8.1 9/9
8/26 CVE-2022-0995 Linux Kernel（watch_queue） 境界外書き込み 7.8 9/9
8/26 CVE-2026-8452 Citrix NetScaler ADC / Gateway メモリ境界処理の不備 — 8/29
8/27 CVE-2023-49105 ownCloud 認証不備（認証なしでファイル操作） 9.8 8/30
8/27 CVE-2026-53362 Linux Kernel（IPv6） 権限昇格 7.8 8/30
8/27 CVE-2026-66384 JFrog Artifactory パストラバーサル 5.3 9/10

2026年のものは3件だけで、残る6件は2015年（2件）・2019年・2021年・2022年・2023年の公表です。CISAは全件について、パッチ適用に加えてBOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）と「フォレンジック・トリアージ要件」への準拠を求めています。すでに侵害されていないかを先に確認せよという指示であり、従来のKEV対応より一段重い運用が前提です。

それは何者か — 聞き慣れない4つの名前

NetScalerやSQL Serverは説明不要でしょう。問題は残りです。「うちは使っていない」と読み飛ばされやすいものほど、知らないうちに標準で入っているためです。

libuser（CVE-2015-3246）

libuserとは、Linuxのユーザーアカウント・グループ情報を読み書きするための共有ライブラリです。アカウント管理コマンドや、一般ユーザーがパスワード等を変更する userhelper（usermodeパッケージ）が内部で利用します。単体で導入するものではなく、Red Hat Enterprise Linux系に標準で入っています。Red Hatが公開する影響パッケージは libuser-0:0.56.13-8.el6_7（RHEL 6系）と libuser-0:0.60-7.ael7b_1（RHEL 7系）で、深刻度は「Important」。該当判定は rpm -q libuser で行えます。

ABRT（CVE-2015-5287）

ABRT（Automatic Bug Reporting Tool）とは、アプリケーションやカーネルのクラッシュ情報を自動で収集・報告する仕組みです。Red Hat系・Fedora系に同梱され、運用担当者が意識せず動いていることが多いコンポーネントです。脆弱性は abrt-hook-ccpp にあり、/var/spool/abrt/ 配下の予測可能なファイル名を狙ったシンボリックリンク攻撃で権限昇格が可能になります。影響パッケージは abrt-0:2.1.11-35.el7・libreport-0:2.1.11-31.el7 とRHEL 7系。該当判定は rpm -q abrt です。

Ajax.NET Professional / AjaxPro（CVE-2021-23758）

AjaxProとは、ASP.NETのサーバ側メソッドをJavaScriptから直接呼び出せるようにする、古典的なAjaxライブラリです。情シス部門が自分で導入することはまずありませんが、社内の業務Webアプリや、ベンダーに委託開発した古いASP.NETシステムに組み込まれたまま動いていることがあります。CISAはこの製品を「サポート終了（EoL/EoS）の可能性があり、利用停止またはサポート対象版への移行を推奨」と明記しました。更新ではなく、使うのをやめる判断が要る項目です。該当判定は、Webアプリ配置先の bin フォルダに AjaxPro.2.dll があるかで確認できます。

ownCloud（CVE-2023-49105）

ownCloudとは、自社サーバ上で運用するファイル共有・同期システムです。クラウドストレージを社外に置きたくない組織がオンプレの代替として導入します。CVSS 9.8と今回で最も深刻で、ファイル所有者に署名鍵（signing-key）が未設定の場合、利用者名さえ分かれば認証なしに任意のファイルを閲覧・改ざん・削除できます。事前署名URLが署名鍵なしでも受け付けられることが原因でした。影響は10.6.0以降、10.13.1で修正済みです。

なぜ2015年のCVEが今ごろ悪用されるのか

答えは単純です。攻撃者にとって重要なのは脆弱性の新しさではなく、それが残っている機器がまだ動いているかどうかだからです。今回の旧CVEには明確な傾向があります。

  • libuser・ABRT・Linuxカーネル（watch_queue）はいずれもローカルからの権限昇格で、単体では侵入口になりません。裏を返せば、すでに一般ユーザー権限を奪った攻撃者がroot権限を取る「二段目」として使われているということです。
  • 影響を受けるのはRHEL 6/7世代です。RHEL 6は2020年11月、RHEL 7は2024年6月に通常のサポート期間が終了しています。これらが今も残る環境とは、更新が止まったまま業務で使われ続けているサーバにほかなりません。
  • AjaxProはサポート終了製品です。パッチが出ない以上、残っている限り穴は開いたままです。

攻撃者から見れば、こうした資産は「パッチが当たらないことが見込める標的」です。新しいCVEの検知体制は整えたが、10年前に構築して誰も触らなくなったサーバは台帳から抜け落ちている——この非対称性を突かれています。

9件のうち、何から手を付けるべきか

優先度の判断材料になるのが、CISAが設定した是正期限の長さです。期限は一律ではなく、切迫度に応じて調整されています。

  • 期限3日以内（8/29〜8/30）＝最優先：CVE-2026-8452（NetScaler）、CVE-2019-1068（SQL Server）、CVE-2023-49105（ownCloud）、CVE-2026-53362（Linuxカーネル・IPv6）。特にNetScalerとownCloudはインターネットに公開されているケースが多く、攻撃者から最も見つけやすい入口になります。
  • 期限2週間程度（9/9〜9/10）＝計画的に対応：libuser、ABRT、AjaxPro、Linuxカーネル（watch_queue）、JFrog Artifactory。ローカル権限昇格が中心で単独の緊急度は相対的に低いものの、棚卸しの起点として扱うべき項目です。

ただしこの期限は米国連邦政府機関に課された義務であり、日本の民間企業に法的拘束力はありません。日本企業にとっての価値は期限ではなく、「実際に攻撃で使われている」という事実を公的機関の名前で確認できる点にあります。経営層に緊急パッチの必要性を説明するとき、CVSSスコアより「現に悪用されている」の一言のほうが通りやすい、というのが実務の感覚ではないでしょうか。

現場目線の課題 — 台帳に載っていないものは守れない

率直にきついと感じるのはlibuserとABRTの2件です。NetScalerやSQL Serverなら台帳に製品名が載っていて、担当者もパッチ手順もあります。ところがlibuserやABRTは「OSに最初から入っていたもの」で、誰かが導入を決裁したわけでも、台帳に行が立っているわけでもありません。「うちのサーバでABRTは動いていますか」と聞かれて即答できる情シスは、そう多くないはずです。

さらに厄介なのは、古いLinuxサーバが残る理由の大半が技術的な問題ではないことです。「載っている業務アプリがRHEL 7でしか動かない」「作ったベンダーがもういない」「止めると誰が困るか分からない」——移行の判断が情シスの一存では下せないのが実態でしょう。脆弱性は見つけられても、直す権限がない。この構造がある限り、旧CVEのKEV入りは繰り返されると考えたほうが現実的です。

だからこそ今回のニュースは、塩漬け資産の移行予算を通す材料として使う価値があります。抽象的な「古いサーバは危険です」ではなく、「CISAが2026年8月26日に、このOSに入っているコンポーネントを悪用確認済みとして登録した」と具体的に示せるからです。

情シスはどうすべきか

個別のパッチ手順は各ベンダーの案内に従うとして、体制面は公的機関の指針を土台にするのが確実です。自前で対策リストを作り込むより、既にある枠組みに自社の実情を当てはめるほうが早く、抜けも生じにくくなります。

あわせて、地道ではありますが「攻撃者に最初の一歩を踏ませない」ための利用者教育の比重も上がっています。今回の旧CVE群はローカル権限昇格が中心で、足がかりを与えなければ発動しません。フィッシング対策など基本の啓発が、結果的に権限昇格の連鎖を止めます。

まとめ

  1. CISAは2026年8月26日・27日にKEVへ9件を追加し、うち6件は2015〜2023年公表の旧CVEでした。悪用されているのは新しい脆弱性だけではありません。
  2. RHEL 6/7世代に標準搭載のlibuser・ABRTや、サポート終了のAjaxProが含まれます。導入した覚えがなくても動いているため、rpm -q libuser・rpm -q abrt・AjaxPro.2.dll の有無で該当判定してください。
  3. 最優先は是正期限が3日以内の4件、特に外部公開されがちなNetScalerとownCloudです。今回はパッチ適用に加えて侵害有無の事前確認が求められています。

関連記事

出典

タイトルとURLをコピーしました