検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

9/25 の KEV 追加: MikroTik RouterOS・Microsoft SharePoint・WordPress Core

World Security 編集部
目次（6）

CVE-2026-67279

CVE-2026-65660

CVE-2026-87902

2026 年 9 月 25 日に、ルーター用 OS・社内ポータル・Web サイト作成ソフトの欠陥が、そろって KEV に入りました。いずれも悪用が確認されています。

KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。

何が問題か

CVE-2026-67279: MikroTik RouterOS

処理の手順を守らせる仕組みが不十分で、ログインなしのクライアントが、通信の「セッション」を開き、命令の実行要求（exec）を送れます。別の欠陥 CVE-2026-86060 の、ログインなしの悪用に連鎖させられます。

分類（CWE）: CWE-841

CVE-2026-65660: Microsoft SharePoint（コードインジェクション）

ログインしている（権限を与えられた）攻撃者が、ネットワーク越しにプログラムを動かせるおそれがあります。

分類（CWE）: CWE-94

CVE-2026-87902: WordPress Core（ファイルインクルージョン）

ログインなしの攻撃者が、ページの見た目（テンプレート）を探す処理で、有効なテーマのフォルダの外にある読み取り可能な .php ファイルを読み込ませ、リモートコード実行につなげられます。EPSS は約 96% と高い値です。

分類（CWE）: CWE-98

数値で見る

CVEKEV 追加日対応期限CVSSEPSS
CVE-2026-672792026-09-252026-09-286.9（中・v4.0）2.3%（百分位 83.0）
CVE-2026-656602026-09-252026-09-288.8（高・v3.1）8.2%（百分位 94.8）
CVE-2026-879022026-09-252026-09-288.1（高・v3.1）95.8%（百分位 99.9）

ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。

CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。

KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。

誰が気をつけるか

MikroTik RouterOS、SharePoint（自社設置）、WordPress を運用している組織。

今やること

  1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。
  2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。
  3. WordPress は、自動更新が有効かを確認し、手動なら最新版へ更新します。
  4. RouterOS の管理用ポートを、インターネットに公開していないか確認します。
  5. CISA はこの欠陥（CVE-2026-65660・CVE-2026-87902）について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。
  6. 対応期限（2026-09-28）はすでに過ぎています。未対応なら、今日のうちに着手してください。

用語メモ

  • KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。
  • リモートコード実行: 離れた場所から、相手の機器で好きなプログラムを動かせること。
  • ファイルインクルージョン: プログラムに、本来読み込むはずのないファイルを読み込ませる攻撃。
  • 連鎖: 複数の欠陥を組み合わせて使えること。1 件ずつは軽くても、組むと被害が大きくなる。
  • フォレンジックトリアージ: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。

出典

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事