脆弱性DB 2026｜重要な脆弱性一覧（2026年1〜10月・163件）

163件のうち135件（83%）で悪用を確認。入口は「外に公開された機器・サーバー」に集中

データから読み取れること

CVSSだけで決めない：対応の優先度を4段階で付けた

CVSS（共通脆弱性評価システム）は「最悪の場合にどれだけ重いか」の点数で、「いま狙われているか」は表しません。このDBでは、悪用が確認されているかとインターネットから届く場所に置かれているかを先に見て、4段階の目安を付けました。使っていて、修正版を当てていない場合の目安です。

優先度は、その製品を使っていて修正版を当てていない場合の目安です。自社の使い方（その機能を使っているか、外に公開しているか）で前後します。クラウドサービス（SaaS）の事故は、利用者が直せないので「事業者に確認」としています。

原因の型ごとに、何が起き、どう防ぐか

脆弱性は製品ごとに無数にありますが、原因はいくつかの型に収まります。型が分かると、作る側は同じ種類の穴を作らない工夫ができ、使う側は「自社のどこを見ればよいか」が分かります。

脆弱性から事故へ：国内の情報漏えいとのつながり

セキュリティ事故DB 2026（584件）のうち、原因が「脆弱性の悪用」と公表された事故は216件。そのうち186件（86%）は、自社ではなく委託先やクラウドサービスの脆弱性から連鎖したものでした。製品名や脆弱性まで公表された主な例です。

事故DBの件数は2026年6月3日〜10月21日公表分。事故の公表で製品名・脆弱性の番号まで書かれることは少なく、ここに挙げたのは公表や報道で結びつきを確かめられたものだけです。

脆弱性一覧を検索・絞り込み

行を押すと、概要・対象の版・修正版・やること・応急処置・国内の動き・関連する事故・出典が開きます。深刻度はCVSSの点数による区分（緊急 9.0〜／重要 7.0〜／警告 4.0〜）です。確度は「高」＝CVE公式記録・開発元・公的機関の発表で確認、「中」＝信頼できる報道・セキュリティ企業の複数で確認、「低」＝1つの二次情報のみ、です。

このDBの作り方と、読むときの注意

• 集め方：分野ごとに、開発元の勧告、CISA の悪用確認リスト（KEV）、JPCERT/CC の注意喚起、IPA の重要なセキュリティ情報、報道・セキュリティ企業の解説から候補を集め、2026年にKEVへ追加された272件のうち日本の企業・自治体で使われる製品のものを加えました。
• 確かめ方：CVSS・公表日・KEV追加日・悪用の有無は、CVE Program の公式記録（cvelistV5）と CISA KEV（2026年10月23日版）を正としました。CVSS は CVE を採番した組織（開発元など）の点数を優先し、無ければ CISA の追加評価を使っています。npm のパッケージは npm の脆弱性データベース、Node.js は Node.js の公式発表でも確かめました。
• まとめ方：同じ製品で同じ時期に出た複数の CVE は1行にまとめたものがあります（例：Windows の月例、Cisco の SD-WAN）。まとめた行の CVSS は最も高いもの、公表日は最も早いものです。
• 原因の型：CVE の説明と CWE（脆弱性の種類の分類）から12種類に分け、対策が同じになるように6つの型にまとめました。脆弱性の種類が公表されていないもの（クラウドサービスの事故など）は「種類は非公表」です。
• 対応の優先度：悪用確認かつインターネットに公開される製品は「今日中」、それ以外の悪用確認・公開製品の CVSS 9.0以上・ログイン不要で乗っ取りやコード実行ができるものは「今週中」、残りは「定例で」、クラウドサービスの事故は「事業者に確認」としました。
• 調査には生成AI（Claude）を使い、公式記録との突き合わせは機械的に行いました。分類と文章は人が確認しています。掲載内容の誤りや更新のご連絡は、お問い合わせフォームからお寄せください。