脆弱性ウォッチ：影響判断から修正確認まで
重要な脆弱性の公式勧告を、実務の対応につなげる連載。影響する版・利用条件・修正版・暫定対策を確認し、LLMを使った棚卸しと修正後の検証まで解説します。
脆弱性ウォッチを始める：CVEを見つけてから、修正を確認するまで
重大という見出しだけで一斉更新を決める前に、何を確認すべきか。製品・版・機能・接続先・修正版をひとつの台帳で結び、LLMを根拠付きの影響判定に使う手順を整理します。
curlの重大脆弱性CVE-2026-92392：HTTP/2アップロードの影響版と修正手順
2026年10月14日、curlはHTTP/2アップロード中のUse-After-Freeを公表しました。8.23.0だけでなく修正済み保守版も確認し、CLIと組み込みlibcurlを分けて点検する手順を解説します。
PHPの重大RCE2件と追加告知：修正版・アップロード進捗の点検手順
10月23日の追加告知CVE-2026-115560を追記。重大な2件の修正版への更新に加え、セッションの保存形式とアップロード進捗の設定を点検します。PHP-FPMやバックポートの確認手順も整理。
Tomcatの脆弱性8件を点検する：認証回避・応答混在の条件と修正版
Tomcatの10月20日公表分を、JNDIRealm・HTTP/2・AJPなどの利用条件で整理。9／10.1／11の修正版、組み込みTomcatの探し方、更新後の確認まで説明します。
BIND 9の脆弱性4件：DNS停止・コード実行の条件と9.20.30への更新
10月21日のBIND修正を、GSS-TSIG、再帰問い合わせ、RPZなどの設定から点検。9.18の保守終了、開発版との違い、DNSを止めずに確認する順序を整理します。
LIFF SDKのXSS脆弱性：LINEミニアプリの更新と11月の旧版制限に備える
LIFF SDK 2.20.0〜2.31.0に影響するCVE-2026-112148を解説。CDN・npm・自己配信で異なる対処と、更新しても古いコードが残る場所を点検します。
Oracleの10月CPUとJava追加勧告：定例更新済みでもJSSEを再確認する
Oracleの1,295件はパッチ数です。Javaの定例更新と翌日のCVE-2026-91403を分け、影響版・更新先・アプリ内蔵JREの棚卸しと未確認事項を整理します。
Chrome 156のセキュリティ更新：353件の修正と、再起動まで終える確認手順
Chrome 156には353件のセキュリティ修正が含まれます。Critical 6件の意味、OS別の公開版、管理端末で更新が止まる理由、証明書失効情報との違いを解説します。
Firefox・Thunderbirdの緊急点検：証明書ブロックとメール認証の修正
FirefoxとThunderbirdの10月20〜21日の修正をまとめます。OneCRLの配信とアプリ更新の違い、Android・ESRの版、Exchange設定やNTLM認証の点検を説明します。
Xerj Console APIの認証回避：元のAPIトークンを失効しても残るアクセスを点検する
AIエージェント向け検索基盤XerjのCVE-2026-97406を解説。パスキーの確認不足、後継トークンの独立性、修正版未確認時の封じ込めと棚卸しを整理します。
産業制御の脆弱性5勧告：PCAN・Moxa・Hitachi Energyの更新を安全に計画する
10月20日にCISAが公表・更新した産業制御向け5勧告を整理。4つの製品群の対象版、修正だけでは足りない条件、設備を止める前に確認すべきことを解説します。
Brotliが悪用確認済みのKEVに追加：Node.js・PHP Windowsの更新と点検
BrotliのCVE-2026-111497が10月27日付でCISA KEVに追加。実悪用の確認を受けた優先順位、Node.js・同梱製品・PHP Windows再配布版の更新、稼働確認と過去の侵害調査の分け方を解説します。
プリザンターのLDAP認証回避：CVE-2026-113438の対象構成と1.5.9.1への更新
10月23日公表のプリザンター認証回避。Linux・Docker・WindowsのDsProviderとLDAP接続先の組み合わせを表で確認。1.5.9.0は未修正です。更新後の確認、暫定策の限界、LLMへの防御点検指示をまとめます。
AIを使う攻撃試行をJPCERTが追記：公開Web・APIと過去ログの点検手順
10月23日の注意喚起更新を受け、Web・管理APIの公開範囲、認証と認可、IoCの読み方、ログ保全と暫定対策を整理。AI利用と個別事案の原因を混同せず、LLMへの防御点検指示も用意します。
Nextcloud内蔵CODE Serverの脆弱性がKEV入り：無効化だけでは防げないCVE-2026-110447
Collabora Onlineの内蔵CODE Serverに認証不要のOSコマンド実行。10月23日のCISA既知悪用リスト追加を受け、対象アプリと独立構成の違い、修正版26.4.303、更新後も必要な侵害確認を整理します。
VeloCloud Orchestratorの悪用確認済み脆弱性：読み取り専用アカウントでも管理権限へ
CVE-2026-114625がCISA KEVへ追加。VCOの影響版と修正版、Hostedと自社運用の区別、更新と侵害確認を分ける手順を整理します。匿名化した棚卸しをLLMへ依頼する指示文付き。
GROWIの脆弱性3件：閲覧制限の回避・下書き改変を防ぐ8.0.7への更新と点検
10月27日公表のGROWI認可不備3件を解説。CVE別の影響版、ゲスト拒否でも残る条件、下書き保存前の確認、稼働版の検証とLLM向け点検プロンプトをまとめます。
ヤマハNWR100の脆弱性2件：未認証のコマンド実行とCONFIG読み取りを防ぐ更新・点検
10月28日公表のNWR100脆弱性2件を解説。対象はRev.26.00.07以前、対策版は7月配布の26.00.08。Web GUIの公開範囲、再起動を伴う更新、過去の侵害調査を分け、LLM点検用の教材を用意しました。
Linux「Fragnesia」がKEV入り：PHPとの攻撃連鎖と稼働カーネルの点検
CVE-2026-46300が10月28日付でCISA KEVに追加。PHPの重大脆弱性との連鎖が記載されました。Ubuntu・Debianの修正版、AWSの対象外条件、再起動後の確認、侵害調査を分けて整理します。
Struts 2 RESTの入力制限に抜け道：7.4.0への更新とany-setter設定を確認
10月29日公表のJVN#82782759を解説。Struts 2のRESTプラグインで@JsonAnySetterへの入力が認可チェックを通らない問題です。対象条件、更新後に必要な設定、回帰テスト、LLMによる棚卸しを整理します。
GitLabの未認証RCEがKEV入り：修正版とRuby・Runnerを分けて点検する
悪用確認済みとなったGitLab CVE-2026-97229の影響版と更新を解説。関連RCE、10月29日の証明書対応、同梱Ruby・Runner・AI Gatewayの違い、ログ調査とLLM用点検指示を整理します。
Cisco ASA／FTDのVPN停止脆弱性が悪用：対象設定と修正版、認証を外す暫定策の注意
CVE-2026-76418の実悪用をCiscoが確認。SSL VPNと追加認証の影響条件、ASA／FTDの修正版、既定トンネルグループの落とし穴、更新後の確認とLLM用点検指示をまとめます。
LinuxのTCP脆弱性CVE-2026-98432：修正待ちの確認と、更新後に見落とせない稼働カーネル
LinuxカーネルのIPv4 TCP処理に重大な脆弱性。10月30日のRed Hat緊急情報を踏まえ、上流修正版とUbuntu・RHELの提供状況、暫定策の限界、再起動後の確認とLLM用点検指示を解説します。
Ivanti Connect Secureに追加修正：10月13日に更新したVPNも、版と侵害の再確認を
CVE-2026-111357とCVE-2026-118527がCISA KEVへ追加。22.8R2.5・25.1.1.2と追加修正版の違い、機種別の更新条件、侵害調査を更新完了と分ける理由、LLM用の棚卸し指示を整理します。
Core Tempの脆弱性CVE-2026-109836：1.21への更新と旧コピーの点検
11月2日公表のCore Tempドライバの脆弱性を解説。対象は1.21より前、対処版は10月3日提供済み。ローカル・高権限という条件、CVSSの版の違い、旧コピーを含む更新確認、LLMを使う読み取り専用の棚卸し手順を整理します。
WordPress更新中の脆弱性が悪用確認済みに：CVE-2026-119977の対象版と対処
CISAが11月3日にKEVへ追加。WordPress本体の更新中に成立するコード実行の脆弱性について、7.1.4と旧系列の修正版、公開制御を含む更新手順、侵害確認、LLMでの棚卸しを解説します。
Airbyteのコード実行脆弱性が悪用確認済み：Reader権限と旧Helm構成、更新前の注意
JVNが11月10日に対象版を「2.2.0未満」へ修正。悪用確認済みのAirbyte脆弱性について、旧版の再棚卸し、2.xと旧Helmの1.xの条件、DB移行とEnterpriseの注意点を整理します。
Hinemosの管理者パスワード変更に脆弱性：修正版のリリース番号とALL_USERSを確認
CVE-2026-109849の修正が11月4日に公開。一般ユーザーの権限条件、7.2・7.1・7.0の修正資材、通常保守終了版の軽減策、既存環境の権限が自動で変わらない理由を整理します。
SHIRASAGIに2件の脆弱性：v1.21.1への更新と広告・ハーベスト権限の点検
11月5日公表のXSSとOSコマンドインジェクションを解説。対象版の違い、管理権限の前提、10月30日公開の修正版、古い版からの非互換と更新後の確認を整理します。
AppleのWebKit脆弱性が悪用確認済みに。iPhone・Mac・共用端末の更新をどう確かめるか
CISAがCVE-2024-27834を実悪用リストに追加。2024年の修正版を製品別に整理し、古いiPad、MacのSafari、会議室のApple TVを含む端末台帳で更新の取りこぼしを確認する手順を解説します。
SonicOSのSAML認証回避が実悪用リスト入り。Gen 7・Gen 8の修正版と点検手順
CVE-2026-19868がCISA KEVに追加。SAMLを使うSSL-VPNの対象条件、7.3.4-7013／8.2.3-8015以降への更新、CVSSの違い、同時修正6件を整理。管理者向け棚卸しプロンプト付き。
Webtop Media Transcoderの脆弱性が実悪用確認済みに：対象版と修正・侵害確認の進め方
JVNがCVE-2026-111793の悪用確認を案内。対象は1.1.22.0未満です。CVSS 4.3だけで後回しにしない理由、過去の修正版と現在の更新推奨の違い、メール基盤の点検・LLMへの指示を整理します。
OpenSSHの認証回避が悪用確認済みに：Alpineの対象条件・修正版・再起動を点検
CVE-2026-123158が11月9日CISA KEVに追加。Alpine Linuxなどの特定条件で発生する認証回避について、鍵ログインでも点検が必要な理由、系列別修正版、sshd再起動と侵害確認を解説します。
GPUStackの認証回避が実悪用：ローカルLLM基盤の対象版・更新・APIキー点検
GPUStackのCVE-2026-102895は2.2.0未満が対象で、2.1.1環境での実悪用が報告されています。11月9日のCISA KEV追加を受け、同一ホストのプロキシが生む認証回避、修正版への更新、残存する不正APIキーの点検を整理します。
まずは、現状を聞かせてください。
要件が固まっていなくて大丈夫です。現状診断と方針提案までを無料でお手伝いします。