CISAは、活発な攻撃の証拠に基づいて、既知の脆弱性カタログ（KEVカタログ）に新たに2つの脆弱性を追加しました。

CVE-2026-41709: Broadcom VMWare ESXにおけるロギング機能の不備
CVE-2026-46300: Linux Kernelにおける変数の初期化の欠如

これらの種類の脆弱性は、悪意のあるサイバー攻撃者にとって頻繁に利用される攻撃経路であり、連邦政府機関にとって重大なリスクをもたらします。

運用指示（BOD）26-04「リスクに基づいたセキュリティアップデートの優先順位付け」は、連邦政府の民間機関（FCEB機関）に対する脆弱性管理の要件を定めています。BOD 26-04は、KEVカタログの重要性を強調し、連邦政府機関に対して、CISAのKEVカタログに記載されている、パブリックに公開されている資産において、攻撃後に完全な制御を許容するような高リスクの脆弱性に対して、迅速な対応を優先することを求めています。一方、リスクの低い脆弱性については、対応を後回しとすることができます。BOD 26-04はまた、パッチが適用される前に、脅威アクターがシステムを侵害したかどうかを機関が確認する必要がある基本的な要件を定めています。

BOD 26-04はFCEB機関にのみ適用されますが、CISAはすべての組織に対して、リスクベースの脆弱性管理を採用し、KEVカタログに記載されている脆弱性への対応を優先することを推奨しています。CISAは、指定された基準を満たす脆弱性を引き続きKEVカタログに追加していきます。

現在KEVカタログに掲載されていないが、攻撃を受けている脆弱性の情報を把握していますか？ CISAのKEV候補追加フォームを通じて、追加の可能性についてご提案ください。KEVに追加される可能性のある脆弱性は、CVE ID、攻撃の証拠、および明確な対策に関する情報が必要です。