CISA Adds Two Known Exploited Vulnerabilities to Catalog

解説

実際に悪用が確認されたセキュリティ脆弱性は、攻撃者にとって非常に魅力的な標的となります。そのため、常にCISAのKnown Exploited Vulnerabilities (KEV) Catalogのような情報を参照することが重要です。

このカタログは、単なる推奨リストではなく、「今すぐ対応が必要」な高リスク脆弱性の通知という側面を持っています。特に「実際に不正利用されている」という事実は、情シス部門にとって最優先で確認すべきアラートになります。

自社環境がパブリックに公開されている資産を多く持つ場合、最新の情報を元に、どのシステムの脆弱性管理から手をつけるか、優先順位を見直すきっかけになるはずです。具体的な対応手順はケースバイケースですが、まず影響範囲となる資産の棚卸しを行うことが大切になります。

ポイント

• CISAが実際に悪用事例に基づき、新たな脆弱性を「Known Exploited Vulnerabilities (KEV) Catalog」に追加しています。
• このカタログは、組織にとって極めて高いリスクを示すものであり、対処の優先度が非常に高いと位置づけられています。
• 法的な要求（米国政府機関向け）があるものの、全ての企業がこれを参考に、リスクに基づいた脆弱性管理を強化すべきです。

情シスへの影響

CISA KEVカタログに掲載された脆弱性が本元環境のソフトウェアやシステムに含まれている場合、直ちにパッチ適用や設定変更が必要です。

特に注目すべきは、「不正利用が確認されている」という事実であり、これは単なる「推奨」ではなく「喫緊のリスク」として捉える必要があります。対処を怠ると、攻撃の標的となる可能性が高いです。

影響範囲

全てのインターネットに公開されている（パブリックエクスポーズド）資産に含まれるソフトウェアやシステム 全般

影響を受ける設定：脆弱性によって制御権が奪われる可能性がある任意の管理機能、認証周りの仕組みなど。

対処範囲は、個別の脆弱性の種類と、それが利用している製品・バージョンに依存するため「要確認」。

重要度

★★★★★

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• ネットワーク管理者
• AD管理者
• Windows管理者

優先度

今すぐ対応

優先度の理由

この記事は「悪用が確認された脆弱性」の取り扱いに関する警告であり、これらの脆弱性はすでに攻撃者に利用されている可能性が高いため、パッチ適用や緩和策の適用を遅らせることは甚大なリスクにつながります。まずは自社資産の棚卸しと、KEVカタログとの照合を実施すべきです。

確認手順

• CISAが公開するKnown Exploited Vulnerabilities (KEV) Catalogの最新情報を定期的に確認する体制を確立する。
• 自社の使用している全てのソフトウェアやシステム構成について、脆弱性管理ツールのログを用いて資産棚卸しとバージョン特定を行う。
• 発見された古いバージョンやパッチ未適用のソフトウェアに対し、緊急性の高いセキュリティパッチ適用計画を策定・実行する。
• 特に公開されているWebサービスや外部接続ポイントを持つ機器/システムの設定を見直し、最小権限の原則に基づいたアクセス制御がなされているか確認する。