KEV 追加まとめ（10/13〜10/23）: 17 件の一覧と、確率が高いものの見方

10 月 13 日〜23 日の 11 日間に、悪用が確認された脆弱性の一覧（KEV）へ 17 件が加わりました。製品ごとの詳しい解説は、各記事にあります。

KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。

追加の一覧

追加日	CVE	ベンダー / 製品	CVSS	EPSS
2026-10-23	CVE-2026-114625	Arista / VeloCloud Orchestrator	9.4（緊急・v4.0）	1.0%（百分位 63.4）
2026-10-23	CVE-2026-110447	Collabora / Collabora Online – Built-in CODE Server	9.2（緊急・v4.0）	11.6%（百分位 96.0）
2026-10-20	CVE-2026-96656	Plex / Media Server	8.6（高・v4.0）	1.8%（百分位 78.2）
2026-10-20	CVE-2026-96655	Plex / Media Server	5.3（中・v4.0）	1.6%（百分位 76.2）
2026-10-20	CVE-2026-96654	Plex / Media Server	6.9（中・v4.0）	1.9%（百分位 80.1）
2026-10-20	CVE-2026-96652	Plex / Media Server	5.3（中・v4.0）	1.8%（百分位 78.6）
2026-10-20	CVE-2026-110936	Siemens / Software Center	8.4（高・v4.0）	1.0%（百分位 61.6）
2026-10-20	CVE-2026-106931	EG Secure Solutions / SiteGuard Server Edition	8.5（高・v4.0）	2.5%（百分位 84.8）
2026-10-16	CVE-2026-102764	BeyondTrust / Remote Support	9.3（緊急・v4.0）	18.9%（百分位 97.3）
2026-10-16	CVE-2025-61624	Fortinet / Multiple Products	6.0（中・v3.1）	1.3%（百分位 71.2）
2026-10-15	CVE-2026-21589	Atlassian / Multiple Products	9.3（緊急・v4.0）	99.5%（百分位 99.9）
2026-10-14	CVE-2026-76519	Cisco / Secure Email Gateway	9.8（緊急・v3.1）	2.2%（百分位 82.1）
2026-10-14	CVE-2026-105134	Ahsay / AhsayCBS	10.0（緊急・v4.0）	81.8%（百分位 99.6）
2026-10-14	CVE-2026-105133	Ahsay / AhsayCBS	6.9（中・v4.0）	79.5%（百分位 99.6）
2026-10-14	CVE-2026-0322	Palo Alto Networks / PAN-OS	8.6（高・v4.0）	1.7%（百分位 77.6）
2026-10-13	CVE-2026-96951	Microsoft / Windows	8.8（高・v3.1）	9.8%（百分位 95.5）
2026-10-13	CVE-2026-104935	Ivanti / Connect Secure	8.6（高・v3.1）	86.8%（百分位 99.7）

見どころ

• 悪用される確率（EPSS）が高い上位 3 件: Atlassian Multiple Products（CVE-2026-21589、99.5%）、Ivanti Connect Secure（CVE-2026-104935、86.8%）、Ahsay AhsayCBS（CVE-2026-105134、81.8%）。
• 17 件のうち 12 件で、KEV の「フォレンジックトリアージ」が Yes です。更新だけでなく、被害の痕跡の確認も求められている、という意味です。
• Plex Media Server の 4 件と、AhsayCBS の 2 件は、それぞれ組み合わせて使える（連鎖）と KEV に書かれています。
• 日付ごとの件数は、10-23 が 2 件、10-20 が 6 件、10-16 が 2 件、10-15 が 1 件、10-14 が 4 件、10-13 が 2 件です。

製品ごとの詳しい記事

• Arista VeloCloud Orchestrator に SQL インジェクションの脆弱性、悪用が確認され米 CISA の一覧に追加（CVE-2026-114625）
• Nextcloud 内で動く Collabora Online の CODE サーバーに、OS 命令を実行される欠陥、悪用が確認され KEV に追加（CVE-2026-110447）
• Plex Media Server の 4 件の脆弱性が組み合わせて使える、まとめて KEV に追加（CVE-2026-96652 ほか）
• Siemens Software Center に偽の DLL を読み込まされる欠陥、悪用が確認され KEV に追加（CVE-2026-110936）
• SiteGuard Server Edition に OS 命令を実行される欠陥、悪用が確認され KEV に追加（CVE-2026-106931）
• BeyondTrust Remote Support の認証回避、悪用が確認され KEV に追加（CVE-2026-102764）
• FortiOS など Fortinet 製品 4 つの欠陥、管理者アカウントから任意のファイルを書き換え・削除、KEV に追加（CVE-2025-61624）
• Atlassian の Data Center 系 8 製品で、ログインなしにファイルを読み取られる欠陥、悪用が確認され KEV に追加（CVE-2026-21589）
• Cisco Secure Email Gateway で、ログインなしに任意のファイルを書き込まれる欠陥、KEV に追加（CVE-2026-76519）
• AhsayCBS の認証回避とコマンド実行の 2 件が組み合わせて使える、KEV に追加（CVE-2026-105133・105134）
• Palo Alto Networks PAN-OS に、管理者権限（root）でプログラムを動かされる欠陥、KEV に追加（CVE-2026-0322）
• Windows Shell のコマンドインジェクション、セキュリティ機能を回避されるおそれ、KEV に追加（CVE-2026-96951）
• Ivanti Connect Secure で、ログインなしに任意の命令を実行される欠陥、KEV に追加（CVE-2026-104935）

今やること

1. 上の表で、自社が使っている製品がないか確認します。
2. 該当する製品は、各記事の出典（ベンダー情報）に従って更新します。
3. 対応期限が過ぎているものから順に進めます。

CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。

KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。

用語メモ

• KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。

出典

• CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）（2026-10-30 確認） — https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• FIRST EPSS API（2026-10-28 確認） — https://api.first.org/data/v1/epss