今週（10/12〜10/16）はNVDで合計1013件のCVEが公開・更新され、うちCriticalが85件、Highが326件でした。単純な件数では水曜・木曜にCriticalが多く見えますが、実際に悪用が確認されている脆弱性はむしろ少数に絞られます。ワークフロー自動化ツールn8nの認証済みRCE（マルウェア観測あり）、SolarWinds Web Help DeskのCISA KEV登録済みRCE、国産WAF「SiteGuard Server Edition」のOSコマンドインジェクション（開発元が悪用を確認）が今週の実質的な優先対応事項です。週後半はzlib・glibc・OpenSSH・curlといった基盤ライブラリのCVSS再評価分がCritical件数を押し上げましたが、これらは新規の脅威というよりレガシー環境の点検機会として捉えるとよいでしょう。
週間サマリーテーブル
| 指標 | 月(10/12) | 火(10/13) | 水(10/14) | 木(10/15) | 金(10/16) | 週合計 |
|---|---|---|---|---|---|---|
| 新規・更新CVE | 200 | 200 | 200 | 213 | 200 | 1,013件 |
| Critical | 34 | 4 | 20 | 19 | 8 | 85件 |
| High | 67 | 43 | 75 | 92 | 49 | 326件 |
| Medium | 87 | 144 | 55 | 57 | 58 | 401件 |
| Low | 6 | 4 | 12 | 5 | 3 | 30件 |
注: 各日報でCVSS未評価（NONE）として集計から除外されている件数があるため、週合計のCVE件数とCritical/High/Medium/Lowの合計は一致しません。
注目脆弱性 TOP5
n8nのワークフロー式評価におけるRCE脆弱性（CVSS9.9・マルウェア観測あり）
- CVSS: 9.9（Critical）
- 影響: オープンソースワークフロー自動化基盤 n8n（0.211.0以降〜1.120.4・1.121.1・1.122.0の各直前バージョン）
- 掲載日: 10/14（水）
- 概要: ワークフローの式（expression）評価システムが実行環境から十分に分離されておらず、認証済みユーザーが細工した式でn8nプロセス権限の任意コード実行につながります。Akamaiのブログでは本脆弱性を狙うマルウェア（ZeroBot）の観測が報告されており、実環境での悪用が確認されています。
- 対策状況: 1.120.4 / 1.121.1 / 1.122.0 以降で修正済み。該当バージョンを利用している場合は最優先でアップデートを推奨します。
SolarWinds Web Help Deskの既存パッチ二重回避RCE（CISA KEV登録・積極的悪用確認）
- CVSS: 9.8（Critical）
- 影響: SolarWinds Web Help Desk
- 掲載日: 10/13（火）
- 概要: AjaxProxy機能が信頼できないデータをそのままデシリアライズしてしまう不備で、過去に修正されたCVE-2024-28986・CVE-2024-28988をいずれも回避する形で見つかりました。CISAのKnown Exploited Vulnerabilities（KEV）カタログに登録され、Microsoftのセキュリティブログでも実際の悪用が確認されています。
- 対策状況: ベンダーの最新ホットフィックス（WHD 12.8.7 Hotfix 1以降）へのアップデートが必要です。
電力系統監視ソフトopenPDC/openHistorianの未認証RCE・固定管理者認証情報（いずれもCVSS9.8）
- CVSS: いずれも9.8（Critical）
- 影響: openPDC、openHistorian（Grid Protection Alliance）
- 掲載日: 10/12（月）
- 概要: サービスコンソールが受信データをそのままデシリアライズする不備で、Windows認証を使わない構成では未認証の攻撃者からも到達可能なリモートコード実行につながります。同じCISA ICS Advisoryで公開された別の脆弱性では、公開Dockerイメージに初回変更なしの固定管理者認証情報が含まれていることも判明しました。
- 対策状況: CISA ICS Advisory（ICSA-26-281-02）を確認し、ベンダーの最新情報に従う必要があります。Dockerイメージ利用者は認証情報の変更が急務です。
SiteGuard Server EditionのOSコマンドインジェクション（悪用確認済み）
- CVSS: 7.8（High）
- 影響: EGセキュアソリューションズ社提供のWAF「SiteGuard Server Edition」
- 掲載日: 10/15（木）・10/16（金）に継続言及
- 概要: 統計機能にOSコマンドインジェクションの不備があり、開発元によれば本脆弱性を悪用した攻撃が既に確認されています。情報セキュリティ早期警戒パートナーシップに基づきIPAへ報告され、JPCERT/CCが開発者との調整を行いました。
- 対策状況: 開発元の発表を確認し、提供される修正・回避策の適用が必要です。CVSSスコアは7点台ですが実害が出ているため優先度は高く設定してください。
Ivanti Connect Secureのなりすましによる認証回避
- CVSS: 8.6（High）
- 影響: VPN/リモートアクセス製品 Ivanti Connect Secure（22.7R2.14より新しいバージョン〜25.1.3.0未満）
- 掲載日: 10/15（木）
- 概要: なりすましを利用した認証バイパスがあり、リモートの未認証攻撃者が任意のコマンドを実行できる可能性があります。広く使われるVPN製品であるため影響範囲は大きいと考えられます。
- 対策状況: 25.1.3.0以降へのアップデートが必要です。
週間トレンド分析
- WordPress関連の集中: 週前半（月・火）はWordPressプラグイン・テーマの認証バイパス・未認証RCE・オブジェクトインジェクションが多数公開されました。Advanced IP Blocker、Extensions For CF7、3D Product configurator for WooCommerce、WPCasaなど、いずれもCVSS9点台のCritical評価です。ECサイトやブログ基盤でWordPressを利用している場合、プラグイン・テーマの更新確認を習慣化する価値があります。
- AI/LLM関連ツールへの脆弱性公開が週半ばに集中: n8n・Ollama・Dify・Flowiseといった、開発者やデータ基盤で急速に普及しているAI関連OSSに水曜日前後でCVSS9点台の脆弱性がまとまって公開されました。n8nは実際にマルウェアの標的となっている点が特に注意を要します。
- 週後半はレガシーライブラリのCVSS再評価が中心: 木・金はzlib、glibc、OpenSSH、curl、Nettle、Perl、Keccak（SHA-3参照実装）など基盤ソフトウェアのCVSS再評価・再分析分がCritical件数の大半を占めました。いずれも数年前に修正済みのバージョンが存在するため、新規脅威というよりコンテナのベースイメージやレガシー環境の点検機会として活用するのが実務的です。
- 国内製品への継続的な注意喚起: SiteGuard Server Edition（悪用確認済み）、AssetView、Ivanti Connect Secureが週後半のJVN情報で繰り返し言及されました。国内企業は製品カタログの確認を優先してください。
- npm/PyPIエコシステム: npmでは週を通してNext.jsの既知アドバイザリ群（Draft Modeコンテンツ混入、キャッシュポイズニング、Image OptimizationのSSRF等、10/7公開・10/9既報）が継続言及されるのみで新規の追加はありませんでした。PyPIではDjango（GeoDjango）のGEOMETRYCOLLECTION処理に起因するDoS脆弱性が複数回報告されています（5.2.17 / 6.0.8 / 6.1.1で修正済み）。
日別ダイジェスト
- 10/12（月）: CVE 200件 — 電力監視ソフトopenPDCの未認証RCE（CVSS9.8）が最重要、WordPress関連のCritical多数
- 10/13（火）: CVE 200件 — SolarWinds Web Help DeskのRCE（CISA KEV登録・悪用確認済み）に注意
- 10/14（水）: CVE 200件 — n8nの認証済みRCE（CVSS9.9）、マルウェア（ZeroBot）の観測を報告
- 10/15（木）: CVE 213件 — SiteGuard Server Edition（悪用確認済み）とIvanti Connect Secureの認証回避
- 10/16（金）: CVE 200件 — zlib・glibc・OpenSSH等レガシーライブラリのCVSS再評価分が中心
まとめ・来週の注目ポイント
今週はCVE件数・Critical件数こそ日によって大きく変動しましたが、実質的に優先対応が必要なのは、実際の悪用や悪用確認が報告されているn8n、SolarWinds Web Help Desk、SiteGuard Server Editionの3件に絞られます。いずれも該当システムを運用している場合は、最新バージョンへのアップデートを最優先で確認してください。WordPressプラグイン・テーマのCVEが週前半に集中したこと、AI/LLM関連OSS（n8n・Ollama・Dify・Flowise）への脆弱性公開が相次いだことも今週の特徴的なトレンドです。
来週は、週後半に目立ったレガシーライブラリのCVSS再評価の流れが続くか、またSiteGuard Server EditionやIvanti Connect Secureなど悪用確認済みの脆弱性に関する追加情報（修正パッチ提供状況など）が公開されるかに注目してください。AI/LLM関連ツールは利用が急速に拡大している分野であり、今後も継続的な脆弱性公開が予想されるため、導入環境のバージョン管理を習慣化しておくことを推奨します。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。