📊 SecuPortal 日次脆弱性ダイジェスト

2026-09-28 11:00:42 生成 · 2026-09-22〜2026-09-28 (7日分)

新規 KEV 2 | 更新ソフト 3 | 対象期間 7日 | 生成 2026-09-28 11:00:42

📦 更新された主要ソフトウェア

製品	新バージョン	リリース日	状態
amazon-corretto (25)	25.0.4.10.1	2026-09-26	✅計画
amazon-corretto (21)	21.0.12.12.1	2026-09-26	✅計画
amazon-corretto (17)	17.0.20.12.1	2026-09-26	✅計画

非主要製品の更新: 0件（OS ディストリ / Alpine 派生など、要対応度は低い）

🔴 ★★★ 要対応 CVE

本日の要対応該当なし

🟠 ★★ 参考 CVE

展開して表示 (2件)

CVE-2026-65660 — Microsoft SharePoint (CVSS 6.5, KEV) : 認証済みユーザによるコード実行の可能性があるとされ KEV 登録済みだが、CVSS は MEDIUM 域で EPSS も約 1.2% と低め。自社で SharePoint をオンプレ運用していなければ直接影響は限定的と考えられる。SharePoint Online / オンプレ資産の有無を資産台帳で確認し、該当時は公式アドバイザリで適用状況を確認することを推奨。

CVE-2026-67279 — MikroTik RouterOS (CVSS 未付与, KEV) : 未認証クライアントがセッションチャネルを開いて exec リクエストを送れる挙動制御不備とされ、CVE-2026-86060 と連鎖して未認証での悪用に至る可能性があるとの記述がある。自社の運用対象はアプリ層 OSS 中心で、MikroTik のネットワーク機器は基本的に使用していないため影響は低いと見られる。ただしラボ/検証環境や拠点ルータに混在していないかは確認しておく価値がある。

📝 AI 全体サマリ

展開して読む

全体トレンド: 今週（2026-09-22〜09-28）は自社の主要運用製品に直撃する高深刻度 CVE は観測されず、比較的静かな週だったと言える。KEV への新規追加は 2 件（Microsoft SharePoint、MikroTik RouterOS）で、いずれも自社の主要運用対象外の製品であり、CVSS も未付与または MEDIUM 域に留まる。一方でソフトウェア更新側は Amazon Corretto の 17 / 21 / 25 系が同日（2026-09-26）に一斉更新されており、これは四半期ごとの OpenJDK 定期アップデートに追随したリリースの可能性がある。

特記事項:

- Corretto 3 系統の更新はいずれも CVE 統計が 0 件で、緊急性は低く通常のメンテナンス窓での計画適用で足りると考えられる。ただし OpenJDK 定期更新にはセキュリティ修正が含まれることが多いため、実際の修正内容は Amazon Corretto の公式リリースノートおよび OpenJDK のアドバイザリで確認することを推奨する。

- Corretto 17 は EOL 2029-10-31、21 は 2030-10-31、25 は 2032-10-31。現在 17 系で稼働している Java アプリがある場合、LTS の残存期間を踏まえて 21 または 25 への移行計画を中期的に検討する余地がある。

- CVE-2026-67279 は単体では CVSS が未付与だが、「CVE-2026-86060 と連鎖して未認証 RCE 相当に至る」という連鎖前提の記述がある点に注意。この種のチェーン型は個別スコアだけ見ると過小評価しやすいため、機器を保有する場合はスコアではなく KEV 登録の事実を判断材料にすべきと考えられる。

- 注意点として、今週の入力データには主要 OSS（nginx / Django / Next.js / PostgreSQL 等）の更新・CVE が 1 件も含まれていない。本当に更新がなかったのか、取得範囲やフィード側の欠落なのかは区別できないため、SecuPortal 側の取得ログを一度確認しておくとよいかもしれない。

PoC 検証の推奨: 今週は★★★該当が 0 件であり、自社影響が明確な検証対象は無いため、優先度の高い PoC 検証は不要と考えられる。強いて挙げるなら CVE-2026-67279 の連鎖挙動だが、該当機器を自社で運用していない前提では検証環境の構築コストに見合わないと判断される。

参考として、Corretto 更新の回帰確認を行う場合の骨子のみ示す（脆弱性検証ではなく互換性確認用）:

```yaml

# docker-compose.yml（骨子）

services:

app-jdk17:

image: amazoncorretto:17.0.20

working_dir: /app

volumes:

- ./:/app

command: ["sh", "-c", "java -version && ./gradlew test"]

app-jdk21:

image: amazoncorretto:21.0.12

working_dir: /app

volumes:

- ./:/app

command: ["sh", "-c", "java -version && ./gradlew test"]

```

イメージタグの実在有無は Docker Hub の amazoncorretto タグ一覧で確認が必要。

原本データ (JSON) — 表示するにはクリック

{
  "range": {
    "from": "2026-09-22",
    "to": "2026-09-28",
    "days": 7
  },
  "summary": {
    "total_kev_new": 2,
    "total_software_update": 3,
    "by_date": {
      "2026-09-27": {
        "kev_new": 0,
        "software_update": 3
      },
      "2026-09-26": {
        "kev_new": 2,
        "software_update": 0
      }
    }
  },
  "kev_new": [
    {
      "digest_date": "2026-09-26",
      "key": "CVE-2026-65660",
      "cve_id": "CVE-2026-65660",
      "vendor_project": "Microsoft",
      "product": "SharePoint",
      "vulnerability_name": "Microsoft SharePoint Code Injection Vulnerability",
      "date_added": "2026-09-25",
      "short_description": "Microsoft SharePoint contains a code injection vulnerability which could allow an authorized attacker to execute code over a network.",
      "required_action": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.",
      "due_date": "2026-09-28",
      "known_ransomware": "Unknown",
      "cvss_score": 6.5,
      "cvss_severity": "MEDIUM",
      "cvss_vector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N",
      "attack_vector": "N",
      "is_remote": true,
      "is_major_product": false,
      "matched_product": null,
      "title_en": "Improper control of generation of code ('code injection') in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.",
      "epss_score": 0.01221
    },
    {
      "digest_date": "2026-09-26",
      "key": "CVE-2026-67279",
      "cve_id": "CVE-2026-67279",
      "vendor_project": "MikroTik",
      "product": "RouterOS",
      "vulnerability_name": "Mikrotik RouterOS Improper Enforcement of Behavioral Workflow Vulnerability",
      "date_added": "2026-09-25",
      "short_description": "Mikrotik RouterOS contains an improper enforcement of behavioral workflow vulnerability that could allow an unauthenticated client to open a session channel and send an exec request. This vulnerability can be chained to achieve unauthenticated exploitation of CVE-2026-86060.",
      "required_action": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.",
      "due_date": "2026-09-28",
      "known_ransomware": "Unknown",
      "cvss_score": null,
      "cvss_severity": null,
      "cvss_vector": null,
      "attack_vector": null,
      "is_remote": null,
      "is_major_product": false,
      "matched_product": null,
      "title_en": "RouterOS SSH enters the connection protocol after a client-requested rekey even though user authentication was never attempted, allowing an unauthenticated client to open a session channel and send an exec request. On affected builds the server dispatches the command, enabling unauthenticated creation, overwrite, and reconstruction of files in the RouterOS managed file namespace, including support files containing configuration and diagnostic data.This issue was fixed in versions: 6.49.21 (Long-",
      "epss_score": 0.0071
    }
  ],
  "software_update": [
    {
      "digest_date": "2026-09-27",
      "key": "amazon-corretto:17",
      "product": "amazon-corretto",
      "category": "programming",
      "cycle": "17",
      "latest": "17.0.20.12.1",
      "release_date": "2021-08-24",
      "latest_release_date": "2026-09-26",
      "eol_date": "2029-10-31",
      "support_date": null,
      "is_major_product": true,
      "cve_stats": {
        "total": 0,
        "critical": 0,
        "high": 0,
        "medium": 0,
        "low": 0,
        "kev": 0,
        "top_cves": [],
        "still_vulnerable": 0
      }
    },
    {
      "digest_date": "2026-09-27",
      "key": "amazon-corretto:21",
      "product": "amazon-corretto",
      "category": "programming",
      "cycle": "21",
      "latest": "21.0.12.12.1",
      "release_date": "2023-08-21",
      "latest_release_date": "2026-09-26",
      "eol_date": "2030-10-31",
      "support_date": null,
      "is_major_product": true,
      "cve_stats": {
        "total": 0,
        "critical": 0,
        "high": 0,
        "medium": 0,
        "low": 0,
        "kev": 0,
        "top_cves": [],
        "still_vulnerable": 0
      }
    },
    {
      "digest_date": "2026-09-27",
      "key": "amazon-corretto:25",
      "product": "amazon-corretto",
      "category": "programming",
      "cycle": "25",
      "latest": "25.0.4.10.1",
      "release_date": "2025-09-17",
      "latest_release_date": "2026-09-26",
      "eol_date": "2032-10-31",
      "support_date": null,
      "is_major_product": true,
      "cve_stats": {
        "total": 0,
        "critical": 0,
        "high": 0,
        "medium": 0,
        "low": 0,
        "kev": 0,
        "top_cves": [],
        "still_vulnerable": 0
      }
    }
  ]
}