富士通・NEC・Oracleほか日本企業向け重大脆弱性まとめ【2026年】

このページは、日本企業がよく使う製品で2026年に公開された重大な脆弱性の「現在の状態」を横断でまとめたハブです。JVN（日本の脆弱性情報ポータル）に新しい案件が並ぶたびに追記しています。2026年7月23日時点で、実際の攻撃が確認され米CISAのKEV（実際に攻撃へ使われている脆弱性のリスト）に登録されているのは、トレンドマイクロ Apex One（CVE-2026-34926）、Ubiquiti UniFi（CVE-2026-34908/34909/34910）、F5 BIG-IP、Drupal、Microsoft SharePoint／Cisco FMCの各案件です。修正版はログイン基盤Casdoorを除くほぼすべての製品で提供済みなので、該当製品を使っているなら修正版への更新が第一の対処になります。実際に攻撃へ使われている脆弱性の一覧は、CISA KEV 日本語ダッシュボードで全件検索できます。

2026年8月17日の追記として、8月にJVNへ掲載された国内案件7件を最上部の「2026年8月にJVNで新たに公表された脆弱性」にまとめました。国産CRMのF-RevoCRM、LINEのパソコン版インストーラー、総務省のmiCheckerなどが対象です。2026年7月末の追記として、直近でJVNに公表された脆弱性を最上部の「2026年7月末にJVNで新たに公表された脆弱性」にまとめました。今回は、家庭用Wi-Fiルーターを含むエレコムの複数機種、Apache Tomcat、トレンドマイクロのクラウド型セキュリティ基盤 Trend Vision One、国産CMSのbaserCMSと「てがろぐ」、ロボット掃除機のECOVACS DEEBOTなどが対象です。家庭で使う機器も含まれるため、法人の情シスだけでなく一般の利用者にも関係します。

個別の脆弱性は1件ずつ追えば把握できます。ですが、横断で並べて初めて見えてくるものがあります。攻撃者は製品名で標的を選びません。「認証を回避できる入口」「保守が切れて放置された機器」を順番に潰していくだけです。だからこそ、自社や自宅で使っている製品にどれだけ穴が開いたのか、そしてどれが今も塞がっていないのかを一度まとめて確認しておく価値があります。

2026年8月にJVNで新たに公表された脆弱性

2026年8月に入ってからJVNに掲載された国内調整案件をまとめます。8月17日までに7件が公表されました。今回もっとも実務的に厄介なのは、国産CRMの案件です。メーカーの公式ダウンロードページに書かれたとおりに導入すると、脆弱なバージョンを掴んでしまう状態になっています。

国産CRM「F-RevoCRM」に画面を乗っ取られる脆弱性（JVN#58692577／CVE-2026-71368）

F-RevoCRMは、シンキングリード株式会社（東京都中央区、2008年設立）が提供する国産のオープンソースCRMです。CRMは顧客の連絡先や商談の進み具合、問い合わせ対応の記録をまとめて管理するソフトで、F-RevoCRMは海外製のvtiger CRMをもとに日本の商習慣に合わせて開発されています。製造業のアフターサービス部門などで使われています。

JVN#58692577で公表されたのは、クロスサイトスクリプティング（利用者のブラウザ上で、攻撃者が用意した命令を勝手に動かされる欠陥）です。深刻度はCVSS 3.0で6.1、CVSS 4.0で5.1。対象は7.3.0から8.0.3までで、7系・8系のどちらも含まれます。

成立の条件ははっきりしています。F-RevoCRMにログインした状態のまま、攻撃者が用意したリンクを踏んだときだけです。踏むと、そのログイン中の利用者の権限で操作が行われたり、ログイン状態を保つための情報（セッション情報）を盗まれてアカウントを乗っ取られたりする恐れがあります。逆に言えばログアウトしていれば成立しません。攻撃者側にログイン情報は不要ですが、被害者のクリックが必ず要ります。

修正版は8.0.4で、JVNの公表と同じ2026年8月17日に公開されました。開発元の告知も同日付で出ています。サポート契約を結んでいる利用者の環境は対応済みとのことです。

ここまでは順当なのですが、この案件には自力で気づきにくい落とし穴が2つあります。

1つめ。公式のダウンロードページが、8月17日時点でも「最新バージョンはVersion7.4.2です」と案内したままです。7.4.2は今回の対象範囲に含まれています。つまり公式ページの案内どおりに新規導入すると、脆弱なバージョンが入ります。修正版の8.0.4は、現時点ではGitHubのリリースページからしか入手できません。

2つめ。7系向けの修正版が出ていません。対象は7.3.0からなのに、公開された修正は8.0.4だけです。7系の最終版は2025年8月の7.4.2で、それ以降のリリースはありません。7系を使っている場合、8系へのメジャーアップグレードが必要になりますが、8系はPHP 8.3以上・MySQL 8.4・Node.js v22以上を求めるため、その日のうちに済ませられる作業ではありません。

7系を使っていてすぐに移行できない場合の現実的な手当てとして、開発元は修正の該当箇所だけを取り込む方法を案内しています。変更は2ファイル・8行で、画面のヘッダー部分で値をそのまま埋め込んでいた箇所にエスケープ処理を加えるものです。通常の値の表示は変わらないため、既存の動作への影響はほぼないと開発元は説明しています。

緊急度の見立てとしては、その日のうちの緊急メンテナンスまでは要らないが、次の定期更新まで放置してよいものでもないという水準です。攻撃には被害者のクリックが必須で、影響もそのセッションの範囲にとどまります。CISA KEVにも載っておらず、悪用の報告もありません。一方で、修正の内容は公開されており再現手順もそこから読み取れます。CRMは顧客情報が集まる場所で、営業担当者は業務上リンクを踏む機会が多い職種でもあります。数日から2週間のうちに計画的に適用するのが妥当なところでしょう。当面の回避策として、開発元は「信頼できないサイトを見るときはログアウトしておく」「業務用と閲覧用でブラウザを分ける」ことを挙げています。

2026年8月にJVNで公表されたその他の国内案件

8月1日から17日までにJVNへ掲載された国内調整案件は、F-RevoCRMを含めて7件です。深刻度がもっとも高いのは、一般利用者にも関係するLINEのパソコン版インストーラーの案件でした。

表の1件目、LINEのパソコン版（Windows）インストーラーの案件は、8月のJVN案件のなかで深刻度がもっとも高い7.8です。インストーラーを実行したときに、同じフォルダに置かれた不正なファイルを部品として読み込んでしまう類の問題で、ダウンロードフォルダに他人が置いたファイルが紛れていると影響を受けます。すでに入れ終えている場合は影響しませんが、これから入れ直す予定があるなら最新の配布物を使ってください。

総務省のmiCheckerは、ウェブサイトが視覚や聴覚に障害のある方にも使いやすいかを検査する無償ツールです。深刻度は3.3と低めですが、自治体や公共機関で使われているため、該当する部署は更新の要否を確認しておくとよいでしょう。

2026年7月末にJVNで新たに公表された脆弱性

ここでは、2026年7月末にかけてJVN（Japan Vulnerability Notes）に掲載された新しい脆弱性を、一般の知名度と国内での利用の多い順に並べました。家庭用のWi-Fiルーターやロボット掃除機のように、企業だけでなく個人の生活に直接関わるものも含まれます。各案件の詳細はJVNの該当ページで確認できます。

エレコムの無線LANルーター・アクセスポイント複数機種（JVN#56870912／CVE-2026-59764・CVE-2026-61376・CVE-2026-44387）

今回の追記でもっとも身近なのが、ネットワーク機器大手エレコムの無線LAN製品です。JVN#56870912で、家庭用のWi-Fiルーターと法人向けの業務用アクセスポイント（AP）の両方に、複数の脆弱性が公表されました。最大の深刻度は、機器に任意の命令を送り込めるOSコマンドインジェクションのCVSS 8.6です。

家庭用では、量販店でも売られている人気のWi-Fiルーター「WRC-X3000GS3-B」「WRC-X3000GS3A-B」（いずれもファームウェア v1.06 以前）が対象で、設定画面を通じて機器上で任意のOSコマンドを実行されうる欠陥（CVE-2026-59764、CVSS 8.6）があります。ルーターは自宅ネットワークの入口そのものなので、乗っ取られると家庭内の通信をのぞき見られたり、他の機器への足がかりにされたりする恐れがあります。

法人向けの業務用APでは、「WAB-M1775-PS」「WAB-S1775」（v2.1.9 以前）、「WAB-M2133」「WAB-I1750-PS」「WAB-S1167-PS」（v2.0.5 以前）が対象です。設定のバックアップ復元機能を悪用したOSコマンドインジェクション（CVE-2026-61376、CVSS 8.6）と、設定画面での反射型クロスサイトスクリプティング（CVE-2026-44387、CVSS 5.2。利用者に細工したリンクを踏ませて操作を乗っ取る手口）が公表されています。いずれも悪用には管理画面へのアクセスが前提になりますが、初期パスワードのまま運用している機器では現実的なリスクです。

対処は、エレコムが提供する最新のファームウェアへ更新することです。テレワークの自宅回線や小規模拠点で使っている台数が多いだけに、更新漏れが残りやすい点に注意してください。管理画面のパスワードを初期値から変更し、インターネット側から管理画面に触れられない設定にしておくことも合わせて有効です。

Apache Tomcat のWebSocketチャットサンプルにサービス停止の脆弱性（JVNVU#99139115／CVE-2026-66299）

Javaのアプリを動かすサーバーソフトとして広く使われているApache Tomcatに、サービス停止（DoS）の脆弱性CVE-2026-66299が公表されました（CVSS 7.5）。遠隔から負荷をかけられてサーバーの応答が止められる、という内容です。対象は 11.0.25、10.1.58、9.0.121 より前のバージョンで、これらのバージョンで修正されています。

名前が有名なだけに身構えがちですが、原因になっているのはTomcatに同梱される「WebSocketチャットのサンプル（examples）」で、本番環境では削除しておくべきものです。サンプルを公開したまま運用しているケースを除けば影響は限定的で、過度に慌てる必要はありません。該当バージョンを使っているなら修正版へ更新し、examplesアプリを公開している場合は削除するのが確実です。Tomcatで過去に公表された脆弱性の一覧と対処は、Apache Tomcatの脆弱性まとめにも整理しています。

トレンドマイクロ Trend Vision One Service Gateway（JVNVU#98815601／CVE-2025-71386・CVE-2025-71387）

法人向けのセキュリティ基盤でも新しい脆弱性が出ました。トレンドマイクロのクラウド型セキュリティ運用基盤「Trend Vision One」の中継用機器Service Gatewayに、2件の脆弱性が公表されています。CVE-2025-71386は、遠隔の攻撃者に機微な情報を盗み取られる恐れがある欠陥、CVE-2025-71387は、特定の権限を持つ利用者が自分の権限を不正に引き上げられる権限昇格の欠陥です。

トレンドマイクロによると、いずれもサービス側（バックエンド）で修正済みです。自動更新が有効になっていれば利用者側の操作は不要とされていますが、自動更新をオフにしている環境では手動での更新、または自動更新の有効化が必要です。守るための製品がそのまま侵入口になり得るため、Service Gatewayを運用している組織は更新状況を確認してください。

国産CMS「baserCMS」にCSVインジェクションの脆弱性（JVNVU#94952030／CVE-2026-65875）

国産のコンテンツ管理システム（CMS。Webサイトを作る土台となるソフト）「baserCMS」に、CSVインジェクションの脆弱性CVE-2026-65875が公表されました。CVSSは v3.1 で 7.1、v4.0 で 5.1 です。管理者がサイトから書き出したCSVファイルに攻撃者が仕込んだ数式などが埋め込まれ、そのファイルを表計算ソフトで開いた時に不正な処理が実行される、という手口です。

baserCMSは中小企業や官公庁のサイト構築にも使われる国産CMSです。対象は 5.3.0 より前のバージョンで、5.3.0 以降で修正されています。使っているなら最新版へ更新してください。

にししふぁくとりー「てがろぐ」に管理画面を操作される脆弱性（JVN#99975039／CVE-2026-64940）

個人サイトやファンサイトで人気の国産ツール、にししふぁくとりー製の「てがろぐ」（Web上に短いメモやつぶやきを投稿・記録できるソフト）に、脆弱性CVE-2026-64940が公表されました。正規表現による入力チェックの不備が原因で、製品にアクセスできる第三者が本来は入れないはずの管理画面にログインし、不正な操作を行える恐れがあります。CVSSは v3.1 で 8.6、v4.0 で 8.8 と高めです。

対象は Ver 4.8.4 以前で、開発者が提供する最新版で修正されています。個人が運営するサイトで使われることが多く、更新が後回しになりやすいので、心当たりがあれば早めに最新版へ差し替えてください。

ECOVACS ロボット掃除機 DEEBOT などに複数の脆弱性（JVNVU#92804348／CVE-2026-66403 ほか）

家庭で使うIoT機器からも1件です。ロボット掃除機メーカーECOVACSの「DEEBOT」シリーズと専用アプリに、複数の脆弱性が公表されました。対象は、DEEBOT PRO M1（M1-1.7.27 より前）、DEEBOT PRO K1VAC（V1.7.821 より前）、および ECOVACS PRO アプリ（Android／iOS、1.3.82 より前）です。

内容は、デバッグ用のWebサーバーが有効になっている（CVE-2026-66403、最大のCVSS 8.7）、Telnetサーバーが有効になっている（CVE-2026-66405、CVSS 8.6）、通信の暗号化や証明書の検証が不十分（CVE-2026-66404・66406・66407・66410）、rootアカウントやWi-Fiホットスポットのパスワードが弱い（CVE-2026-66408・66409）など、機器を乗っ取られたり通信を盗み見られたりしうる欠陥が並びます。掃除機はカメラやマップ情報を持つため、乗っ取られると家庭内の様子が漏れる恐れもあります。

ECOVACSによると、これらはすでに更新（修正）が完了しており、利用者側の追加操作は不要とされています。念のため、アプリと本体のファームウェアが最新になっているかを確認しておくと安心です。

今回追記した6件を一覧にまとめました。横スクロールで全体を確認できます（管理番号・CVSSは各JVNページ掲載の値です）。

各案件の正確な対象バージョン・CVSS値・修正版は、上記の各JVNページと各メーカーの公式情報を必ず確認してください。

日本の脆弱性情報はどこで分かるのか（JVNとは）

日本の脆弱性情報を確認する起点になるのが、JVN（Japan Vulnerability Notes）です。これは、IPA（情報処理推進機構）とJPCERT/CC（JPCERTコーディネーションセンター、国内のセキュリティ事故対応を調整する組織）が共同で運営している、日本語の脆弱性情報ポータルです。国内ベンダーが届け出た脆弱性や、海外で公開された脆弱性のうち日本に関係するものが、日本語の解説付きで掲載されます。掲載元はJVN（jvn.jp）と、より網羅的なJVN iPedia（jvndb.jvn.jp）の2つに分かれています。JPCERT/CCは緊急性の高いものについて注意喚起も出すため、まずこのあたりを購読しておくのが基本です。

IPAの集計では、2026年第1四半期にJVN iPediaへ登録された脆弱性のうち、最も深刻な「緊急」が全体の約16%を占めました（2026年7月23日の本記事更新時点で確認できている最新の四半期統計です）。件数自体が増え続けているため、すべてを追うのは現実的ではありません。自社が使っている製品に絞って拾う仕組みが要ります。

日本のJVNとよく対比されるのが、米国政府機関CISAが公開している「実際に攻撃へ使われている脆弱性のリスト（KEV、Known Exploited Vulnerabilities）」です。JVNが「危ない欠陥が見つかった」という発見ベースの情報なのに対し、KEVは「すでに攻撃に悪用されている」という実害ベースで、米政府機関には修正期限が課されます。つまり優先度の付け方が違います。両方を突き合わせると、「危なくて、かつ実際に攻撃されている」最優先の案件が浮かび上がります。KEVについては、全件を日本語で検索できるダッシュボードを別途用意しています。

• → CISA KEV 日本語ダッシュボード｜攻撃中の脆弱性カタログを全件検索

国産大手製品で見つかった重大な脆弱性

まずは国内のメーカーが作っている、社内に必ずと言っていいほど入っている製品からです。サーバー管理ソフトや業務用Wi-Fiルーター、社内PCを守るウイルス対策ソフトといった、止まると業務全体に響くものが並びました。

富士通系のサーバー管理ソフト「ServerView」には、一般の利用者権限しか持たない人がサーバーの管理者権限を奪える穴があります（CVE-2026-27788・CVE-2026-32325）。サーバーの監視・管理に使うソフトだけに、ここを取られると土台ごと持っていかれます。2026年7月23日時点で実際の攻撃（KEV登録）は確認されていませんが、対象バージョンを使っているなら富士通の公式アドバイザリで修正状況を確認してください。

NECの家庭・小規模オフィス向けWi-Fiルーター「Aterm」は、人気の9機種に機器を乗っ取られうる穴があります（管理識別子 NV26-002／NV26-003。画面改ざんとOSコマンド注入）。修正版のファームウェアはすでに提供されており（例: MR51FNはVer.3.4.0、CM51FDはVer.1.2.0）、更新済みなら対処不要です。テレワークの自宅回線や支店の小規模拠点で使っている例も多く、台数が多いだけに更新漏れが残りやすい点が厄介です。

トレンドマイクロの法人向けウイルス対策ソフト「Apex One」は、この中で特に注意が要る1件です。管理サーバーの脆弱性CVE-2026-34926は、修正が出る前から実際の攻撃に使われていたことが確認され、2026年5月21日に米CISAのKEVへ登録されました。対象はサーバー・エージェントのビルド17079未満で、同日に公開されたパッチで塞がれています。ビルド17079以降に更新済みなら対処不要、未更新なら守るための製品がそのまま侵入口になります。

それぞれの詳しい内容、対象機種、修正版や対処は個別の記事にまとめています。

• → 富士通系サーバ管理ソフトServerViewに権限奪取の脆弱性 CVE-2026-27788
• → NEC Atermの人気Wi-Fiルーター9機種に新たな脆弱性
• → Apex Oneの重大脆弱性 CVE-2026-34926、悪用確認済みでビルド17079以降へ更新を

基幹システム（IBM・Oracle）で見つかった重大な脆弱性

次に、大企業の基幹業務を支えているIBMとOracleの製品です。会計や受発注、放送・金融のファイル転送など、止められない処理が動いている領域です。

Oracleは2026年に月次パッチ配信へ移行し、その初回でCVE-2026-46840という最悪級（深刻度を表すCVSSが最大の10.0）の乗っ取り欠陥を含む35件を公開しました。Oracle製品は基幹システムに深く入っているため、適用計画そのものが大仕事になります。なお、7月には過去最大規模の四半期パッチが出ており、こちらは後述の「上半期まとめ後の動き」で扱います。

IBMは5月に複数製品の脆弱性をまとめて公開し、中でも企業システムの土台となるアプリ実行基盤「WebSphere」のCVE-2026-8633は、サーバーを乗っ取られる重大な欠陥でした。さらに、放送局や大企業が大容量ファイルの転送に使う「Aspera」でも、CVE-2026-8175とCVE-2026-8179という2件のメモリ破壊（バッファオーバーフロー）の脆弱性が公開されています。

• → Oracleに最悪級の乗っ取り欠陥 CVE-2026-46840、月次パッチ初回で35件公開
• → CVE-2026-8633、IBM WebSphereが乗っ取られる重大欠陥、今すぐ更新を
• → IBM Asperaに2件のBOF脆弱性 CVE-2026-8175/8179、放送・大企業のファイル転送基盤に

ネットワーク機器・社内基盤で見つかった重大な脆弱性

社外と社内の境目に置かれるネットワーク機器は、攻撃者が最初に狙う入口です。インターネットに面しているうえ、一度抜かれると社内全体に手が届くため、ここの脆弱性は特に重く扱う必要があります。

負荷分散やVPNで使われるF5の「BIG-IP」のCVE-2025-53521は、当初は通信妨害（サービス停止）の扱いだったものが、3月に得られた新情報で遠隔からコードを実行されうる乗っ取りに再分類され、KEVにも追加されました。米政府機関に課された修正期限（3月30日）はすでに過ぎており、未修正のまま公開している機器は「攻撃されている前提」で扱うべき段階です。

Ubiquitiの社内ネットワーク機器「UniFi」の脆弱性（bulletin 064の5件）は、公開後に評価が大きく変わった案件です。うち3件（CVE-2026-34908/34909/34910、いずれもCVSS 10.0）は連鎖させると認証なしで管理者権限（root）を奪う遠隔コード実行が成立し、悪用の実証を受けて2026年6月23日にKEVへ登録されました。当初「通信ののぞき見」と受け止められた案件が、実際には機器の乗っ取りまで届く欠陥だったことになります。修正版が出ているので、未更新のUniFi機器は台数を数えてでも塞いでください。文書共有では、企業向けファイル共有製品「Gladinet Triofox」に、認証なしで遠隔からコードを実行できる重大な穴が3件あります（CVE-2026-8362/8363/8364。KEV登録は2026年7月23日時点でなし）。

また、官公庁や大企業のサイト構築に多く使われるCMS「Drupal」のCVE-2026-9082は、SQLインジェクション（不正な命令文を送り込んでデータベースを操作する攻撃）の脆弱性で、すでに攻撃へ悪用されているとしてKEVに追加されました。米政府機関の修正期限（5月27日）も過ぎています。Microsoftの社内ポータル「SharePoint」とCiscoのファイアウォール管理ソフト「FMC」でも、認証不要で乗っ取り可能な緊急の脆弱性が上半期に公開されました。SharePointはその後も狙われ続けており、7月だけで新たに4件がKEV入りしています（後述）。

• → F5 BIG-IPの乗っ取り脆弱性、期限後の攻撃事例と恒久対策【CVE-2025-53521】
• → UniFi機器に最高クラスの脆弱性、悪用確認で無認証乗っ取りの恐れ
• → Gladinet Triofoxに3件の重大脆弱性、企業ファイル共有が危機
• → Drupalに認証不要の乗っ取り脆弱性 CVE-2026-9082、悪用確認でKEV登録
• → SharePointとCisco FMCの緊急脆弱性まとめ、認証不要で乗っ取りの恐れ

業務Webアプリ（採用・ヘルプデスク・ログイン基盤）で見つかった重大な脆弱性

最後に、人事や情シスが日常的に使う業務Webアプリです。表に出にくい裏方のシステムですが、求職者の個人情報や社員のログイン情報といった、漏れると影響の大きいデータを扱っています。

問い合わせ管理（ヘルプデスク）の「OTRS」では、特定の設定だと認証なしで侵入されうるSQLインジェクションの脆弱性CVE-2026-48188が公開されました。採用管理の「OpenCATS」では、CVE-2026-49489により求職者データが流出する恐れが指摘されています。応募者の個人情報を大量に抱えるシステムだけに、漏えい時の影響は小さくありません。

社内の各種サービスへのログインをまとめるシングルサインオン（一度のログインで複数サービスを使える仕組み）の基盤「Casdoor」には、認証回避の穴が9件あります（CVE-2026-9090ほか）。ログインの土台が抜かれると、つながっている業務システム全体に影響が及びます。厄介なのは、2026年7月23日時点でも修正版が出ていないことです（GitHubのアドバイザリは7月2日更新分まで確認）。使い続けるなら、管理画面を外部に公開しない・手前に別の認証を挟むといった回避策で守るしかありません。

• → 問い合わせ管理OTRSに侵入の脆弱性 CVE-2026-48188、特定設定なら無認証
• → 採用管理ソフトOpenCATSに脆弱性、求職者データ流出の恐れ CVE-2026-49489
• → ログイン基盤Casdoorに認証回避の穴9件 CVE-2026-9090ほか修正版なし

製造業の設計・生産基盤（CATIA・DELMIA）で見つかった重大な脆弱性

自動車・航空・防衛などの製造業が設計と生産に使う基盤ソフトでも、上半期の終わりに重大な脆弱性が公開されました。海外製ですが、国内の製造現場に深く入っているため、影響は小さくありません。

3次元設計ソフト「CATIA」で知られるフランスのダッソー・システムズは、6月に2件を公表しました。最も深刻なのは、設計データを複数の技術者で共有・版管理するサーバー「Teamwork Cloud（Magic Collaboration Studio）」のCVE-2026-7858で、ログインなしでサーバーを乗っ取られる最悪級（深刻度を表すCVSSが9.8）の欠陥です。設計図や開発中の製品仕様が丸ごと抜かれる恐れがあります。あわせて、製造現場の作業手順を扱う「DELMIA Service Process Engineer」でも、画面を改ざんされる脆弱性CVE-2026-9024（CVSS 8.7）が公開されています。

ダッソー製品では、同じ型（信頼できないデータの復元）の欠陥が2025年に実際に攻撃へ悪用され、米CISAのKEVに追加された前例があります。本2件は公開から1ヶ月半ほど経った2026年7月23日時点でもKEVには載っていませんが、対象バージョンを使う組織は、攻撃が広がる前に塞ぐことが肝心です。

• → CATIAの設計データ共有サーバーに無認証侵入の脆弱性 CVE-2026-7858

2026年上半期 重要案件の早見表

「攻撃悪用」の列は、米CISAの実際に攻撃へ使われている脆弱性のリスト（KEV）に載っているかどうかで、2026年7月23日時点の状態です。横スクロールで全体を確認できます。

各案件の正確なCVSS値・対象バージョン・修正版番号は、上の個別記事および各ベンダーの公式アドバイザリ、JVNを必ず確認してください。

上半期まとめ後の動き（2026年7月23日時点）

このページの初版は2026年6月1日に公開しました。その後の約2ヶ月で、上半期の案件そのものの状況が動きました。前述のとおり、UniFiの3件が6月23日にKEVへ登録されたほか、Apex OneのCVE-2026-34926は5月21日からKEVに載っていたことを今回の見直しで反映しています（旧版の早見表では「確認なし」としていました。お詫びして訂正します）。

1つ目はOracleです。7月21日頃に公開された四半期パッチ（7月CPU）は、1,449件のパッチ・約1,235件のCVEを含む過去最大規模で、最も深刻な「Critical」だけで261件に上ります。基幹ミドルウェアのFusion MiddlewareにはCVSS 10.0の欠陥が10件、Database Server（19.3〜23.26.2）には9.9の欠陥が含まれ、人事・会計パッケージPeopleSoftへの実際の攻撃（100件超の侵害が報告）に対する修正も入っています。Oracle系ではこのほか、WebLogic（CVE-2024-21182、6月1日）、PeopleSoft PeopleTools（CVE-2026-35273、6月12日）、E-Business Suite（CVE-2026-46817、7月15日）が相次いでKEVに追加されており、「Oracleは四半期パッチを待てばいい」という前提が崩れつつあります。

2つ目はSharePointです。上半期の緊急案件を塞いで終わりではなく、7月だけで新たに4件がKEVに追加されました（CVE-2026-45659・CVE-2026-56164・CVE-2026-58644・CVE-2026-50522）。あわせて、Windowsのログイン連携基盤ADFSのCVE-2026-56155も7月14日にKEV入りしています。自社でSharePointサーバーを運用している組織は、上半期のパッチを当てて安心せず、7月分の更新まで適用できているかを確認してください。

2026年上半期に共通して見えた傾向（筆者の見解）

ここからは事実の整理ではなく、上半期の案件を並べて筆者が感じたことを書きます。あくまで持論として読んでください。

筆者の見解では、今期もっとも目立ったのは「認証を回避できる」「そもそも認証が要らない」タイプの脆弱性の多さです。F5 BIG-IP、Drupal、SharePoint、Cisco FMC、Gladinet Triofox、Casdoor、OTRS。ジャンルはバラバラなのに、入口で食い止めるはずの認証が機能しないという点で共通していました。攻撃者から見れば、IDもパスワードもいらずに最初の一歩を踏める入口が、それだけ多く転がっていたということです。

次に感じたのは、国産か海外製かは関係なく、基幹に近いものほど狙われているという点です。富士通のサーバー管理、IBMのアプリ基盤やファイル転送、Oracleの基幹システム、ログインをまとめるCasdoor。いずれも「そこを取れば横に広げやすい」場所です。守りを固めるなら、まずこうした土台部分から優先順位を付けるべきだと考えています。

もう一つ気になったのは、修正版が公開時点で用意されていない、あるいは保守が手薄になった製品が放置されやすいことです。Casdoorのように2ヶ月経っても修正版が出ない案件もありますし、Atermのように台数が多くて更新が行き渡らない例もあります。7月末に追記したエレコムの家庭用ルーターやECOVACSのロボット掃除機のように、一般家庭に置かれた機器も同じ弱点を抱えます。困ったことに、攻撃者はこの「直したくても直せない」「直し忘れている」隙間を正確に突いてきます。

そして、このページを更新して痛感したのが、「悪用の確認なし」という記述は書いた瞬間から古くなり始めることです。UniFiは公開から1ヶ月ほどでKEVに入り、Apex Oneに至っては筆者自身が登録済みのKEVを見落としていました。悪用状況は変わり続ける前提で、KEVを定期的に見直す運用が要ります。

今期の脅威は派手な新手口というより、「入口の認証」「基幹の土台」「直されない放置機器」という昔からの弱点に集中していた、というのが筆者の見立てです。裏を返せば、対策の方向もそこに絞れます。

情シスがいま確認すべきこと

上半期の傾向を踏まえると、網羅的に身構えるより、効くところから手を付けるのが現実的です。

1つ目は、資産の棚卸しです。早見表に並べた製品のうち、自社で使っているものはどれか。特にインターネットに面した機器（VPN、ファイル共有、CMS、社内ポータル）と、ログインをまとめる基盤がどこにあるかを把握しておくことが先決です。何があるか分からなければ、どれを直せばいいかも分かりません。

2つ目は、情報源の購読です。JVNとJPCERT/CCの注意喚起を購読し、自社製品に関係するものが流れてきたら拾える仕組みを作っておきます。あわせて、すでに攻撃へ使われているものはCISAのKEVで確認すると、優先度が付けやすくなります。

3つ目は、保守が終わった製品の洗い出しです。サポートが切れた機器やソフトは、新しい脆弱性が出ても修正版が出ません。今期の案件でも、放置されやすい製品が狙われる傾向が見えました。使い続けるなら、ネットワークから隔離するなどの追加対策が要ります。

4つ目は、優先度の付け方です。すべてを同時には直せません。「インターネットから直接届くか」「認証なしで悪用できるか」「すでに攻撃されているか（KEV該当か）」の3点が揃うものから手を付けるのが基本です。2026年7月23日時点でKEVに載っているのは、Apex One、UniFi、F5 BIG-IP、Drupal、SharePoint／Cisco FMCの各案件で、これらが最優先になります。

日々の確認を仕組み化するための補助ツールも用意しています。社内で使っているOSS（オープンソースソフトウェア）の依存関係を貼るだけで脆弱性を確認できるスキャナーです。

• → 【無料】OSS脆弱性スキャナー｜npm/Pythonの依存を貼るだけ即チェック
• → CISA KEV 日本語ダッシュボードで攻撃中の脆弱性を確認する

よくある質問

参照元

• ・JVN（Japan Vulnerability Notes）
• ・JVN iPedia（脆弱性対策情報データベース）
• ・JPCERT/CC 注意喚起
• ・JVN#56870912 - エレコム製無線LANルーター等における複数の脆弱性
• ・JVNVU#99139115 - Apache Tomcat のサービス運用妨害（CVE-2026-66299）
• ・JVNVU#98815601 - Trend Vision One Service Gateway の脆弱性（CVE-2025-71386/71387）
• ・JVNVU#94952030 - baserCMS における CSV インジェクション（CVE-2026-65875）
• ・JVN#99975039 - てがろぐ における脆弱性（CVE-2026-64940）
• ・JVNVU#92804348 - ECOVACS 製ロボット掃除機等における複数の脆弱性
• ・CISA Known Exploited Vulnerabilities Catalog（KEV）
• ・NVD（米国の脆弱性データベース、各CVEの詳細）
• ・Help Net Security - Actively exploited Trend Micro Apex One flaw（CVE-2026-34926）
• ・Oracle Critical Patch Update Advisory - July 2026