01
今年の「9.2以上」を並べてみる
事件の概要
- 対象
- 2026年に公表され、開発元などの付与元がCVSS 9.2以上とした主な脆弱性
- 件数
- 14件（同じ製品の同時公表はまとめて1行）
- 悪用
- うち12件は、米CISAが「実際に悪用された脆弱性」の一覧に加えたもの
- 比べる線
- PHPの2件（CVE-2026-109618／109619）は CVSS v4.0 で9.2
公表日・製品CVSS（9.0〜10.0）
10/21PHP（php2shell）比べるための基準。ここから右が「PHP以上」9.2v4.0
PHPの9.2点数は開発元などの付与元の値「悪用を確認」＝CISAの悪用済み一覧に掲載
02
話題にならなくても、悪用は進んでいる
表の多くは、PHPほど大きく報じられてはいません。それでも14件のうち12件は、すでに攻撃に使われたことが確認されています。悪用が確認された脆弱性の数そのものも、増え続けています。
272件
100件
セキュリティ専門メディアSecurityOnlineの集計では、7〜9月に加えられた100件のうち49件がCVSS 9.0以上でした。
03
並べると見えてくる、狙われる場所
表に並んだ製品の多くは、インターネットとの境目に置く機器や仕組みです。VPN、社外からの入口をまとめる装置、メールの関所、ログインの管理、社内向けのツール。外から届くからこそ、弱点が見つかると一気に狙われます。
中小企業でも、VPNやメール、業務用のツールは使っています。大事なのは点数の高さを追いかけることではなく、自分の会社で動いているかどうかを先に知っておくことです。
点数より先に、確かめる4つ
- 1自社で使っている製品を一覧にサイト、VPN、メール、業務システム、外部サービス。名前と版を書き出しておくと、ニュースを見たときすぐ判断できます。
- 2「悪用されている」ものを最優先にJPCERT/CCの注意喚起や、CISAの悪用済み一覧に載ったものは、点数にかかわらず先に対応します。
- 3ネットに面した機器から更新するVPNや入口の装置は、修正版が出たらすぐに。メーカーのお知らせを受け取れるようにします。
- 4外から見える版を把握する攻撃者が最初に見るのは、外から分かるソフトの版です。同じものを先に見ておきます。
点数より先に、自社で何が動いているかを知る
ドメインを入力するだけで、外から見えるソフトの版と、公開済みの脆弱性を無料で照合します。
出典
- JPCERT/CC「注意喚起（2026年）」
- CISA「Known Exploited Vulnerabilities Catalog」（2026年10月23日版）
- CISA「Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway」（2026年9月27日）
- NIST「National Vulnerability Database」（各CVEの点数）
- SecurityOnline「Q3 2026 CVE Report」（2026年10月12日）
- JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。