米サイバーセキュリティ・インフラ安全保障庁（CISA）は8月5日、実際に攻撃で悪用されている3件の脆弱性を「悪用既知脆弱性（KEV）カタログ」に追加しました。対象はAI開発ツールやWebサーバー、IT管理ソフトで、いずれも早急な修正が求められています。連邦政府機関には期限内の対応が義務づけられました。
悪用が確認された脆弱性を公表
CISAは、実際に攻撃者が悪用していることが確認された脆弱性を「KEV（Known Exploited Vulnerabilities）カタログ」として公表しています。脆弱性とは、ソフトウェアに潜む欠陥のことで、放置すれば不正侵入やデータ盗難の入り口となります。今回新たに3件が追加され、危険度の高さが改めて示されました。
AIツールからWebサーバーまで3件
1件目は、AIアプリ開発ツール「Langflow」のコード実行の脆弱性（CVE-2026-9198）です。攻撃者が任意のプログラムを実行できる恐れがあります。2件目は、広く使われるWebサーバー「Apache Tomcat」で暗号化が欠けている脆弱性（CVE-2026-34486）で、通信内容が盗み見られる危険があります。3件目は、IT運用管理ソフト「N-able N-central」の認証回避の脆弱性（CVE-2026-18556）です。本来必要な認証を通さずにシステムへ侵入されかねません。CISAはこれら3件について、すでに悪用の証拠があるとして警戒を呼びかけています。
連邦機関に期限内の修正を義務化
KEVカタログに載った脆弱性は、米連邦政府機関に対して期限内の修正が義務づけられます。民間企業にとっても、攻撃者が現に狙っている欠陥を優先的にふさぐ指針となります。管理者は自社が使うソフトに該当がないかを確認し、速やかに更新プログラムを適用することが重要です。
日本への影響
これらの脆弱性は米国の話にとどまらず、日本の企業や組織にも直接関わります。Apache Tomcatは世界中のWebサーバーで使われる定番ソフトで、日本国内でも多くの企業システムに組み込まれています。N-able N-centralはIT管理を請け負う事業者が利用するツールで、悪用されれば管理下にある多数の顧客企業へ被害が連鎖する恐れがあります。攻撃に国境はなく、日本のシステムも同様に標的となり得ます。
企業のセキュリティ担当者は、CISAのKEVカタログを日々の対策の優先順位付けに活用できます。すべての脆弱性に一度に対応するのは難しいため、現に悪用されているものから手を打つのが効果的です。日本のJPCERT/CCやIPA（情報処理推進機構）も同様の注意喚起を出しており、こうした情報をこまめに確認し、更新プログラムを迅速に適用する習慣が被害の防止につながります。
まとめ：現に狙われている脆弱性への対応は待ったなしです。自社のシステムを点検し、更新を先送りにしないよう心がけましょう。
出典:
The Hacker News – CISA Adds Flaws to Known Exploited Vulnerabilities Catalog
Kaseya – The Week in Breach News: August 05, 2026
Cybernews – Cyber Security News Today
Photo: Valentin Lacoste / Unsplash
