検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

10/8、古い 5 件（BIND・Struts・Strapi・ONLYOFFICE・ProFTPD）が KEV に追加

World Security 編集部
目次（7）

CVE-2015-5477

CVE-2016-3081

CVE-2023-22894

CVE-2021-3199

CVE-2015-3306

番号は 2015〜2023 年のものですが、2026 年になってから悪用が確認され、KEV に追加されました。古い欠陥を放置したソフトが、いまも狙われているということです。

KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。

何が問題か

CVE-2015-5477: ISC BIND（DNS サーバー）

データの処理に誤りがあり、リモートの攻撃者が TKEY という種類の問い合わせでサービスを止められます（サービス拒否）。

分類（CWE）: CWE-19

CVE-2016-3081: Apache Struts（コマンドインジェクション）

Dynamic Method Invocation という機能を有効にしているとき、リモートの攻撃者が method: という接頭辞を通じて任意のコードを実行できます。

分類（CWE）: CWE-77

CVE-2023-22894: Strapi（機密情報の平文保存）

管理画面に入れる攻撃者が、検索条件（クエリフィルター）を通じて、利用者の機密情報を見つけ出せます。CVE-2023-22621 と組み合わせるとリモートコード実行も可能です。影響を受ける版はサポート終了（EoL / EoS）の可能性があり、利用をやめるか、サポート対象の版へ移ることが勧められています。

分類（CWE）: CWE-312

CVE-2021-3199: ONLYOFFICE Docs（パストラバーサル）

JWT を使う設定のとき、画像アップロードの値に /.. を入れることでフォルダの範囲を越えられ、リモートコード実行につながりえます。

分類（CWE）: CWE-22

CVE-2015-3306: ProFTPD（アクセス制御の不備）

リモートの攻撃者が、site cpfr・site cpto というコマンドを使って、サーバー上の任意のファイルを読み書きできます。CVSS は 10.0（最大）、EPSS は約 99% です。

分類（CWE）: CWE-284

数値で見る

CVEKEV 追加日対応期限CVSSEPSS
CVE-2015-54772026-10-082026-10-117.5（高・v3.1）99.6%（百分位 99.9）
CVE-2016-30812026-10-082026-10-118.1（高・v3.1）96.5%（百分位 99.9）
CVE-2023-228942026-10-082026-10-114.9（中・v3.1）4.1%（百分位 90.7）
CVE-2021-31992026-10-082026-10-119.8（緊急・v3.1）30.2%（百分位 98.2）
CVE-2015-33062026-10-082026-10-1110.0（緊急・v3.1）99.5%（百分位 99.9）

ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。

CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。

KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。

誰が気をつけるか

BIND、Struts、Strapi、ONLYOFFICE Docs、ProFTPD を、更新せずに使い続けている組織。

今やること

  1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。
  2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。
  3. 資産の一覧で、これらのソフトの古い版が残っていないか確認します。
  4. サポートが終わった製品（Strapi など）は、更新ではなく移行を計画します。
  5. CISA はこの欠陥（CVE-2016-3081・CVE-2023-22894・CVE-2021-3199・CVE-2015-3306）について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。
  6. 対応期限（2026-10-11）はすでに過ぎています。未対応なら、今日のうちに着手してください。

用語メモ

  • KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。
  • サービス拒否（DoS）: 細工した通信などで、サービスを止めてしまう攻撃。
  • コマンドインジェクション: 入力された値を通じて、OS に出す命令を攻撃者に差し込まれ、実行されてしまう欠陥。
  • パストラバーサル: 「../」などを使って、本来アクセスできないフォルダのファイルを読み書きする攻撃。
  • リモートコード実行: 離れた場所から、相手の機器で好きなプログラムを動かせること。
  • EoL / EoS: サポート終了。新しい欠陥が見つかっても修正が出ない。
  • 連鎖: 複数の欠陥を組み合わせて使えること。1 件ずつは軽くても、組むと被害が大きくなる。
  • フォレンジックトリアージ: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。

読み方

番号の年が古くても、KEV に載ったということは、悪用が確認されたということです。長く放置されたソフトや、サポートが終わった製品が社内に残っていないかを点検する材料になります。

出典

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事