10/30 サイバーセキュリティ 3選、 Ivanti CVE-2026-111357, GitLab CVE-2026-97229, VMware CVE-2026-41709 他

今日は新規KEVに重要案件があり、Copilotにまとめてもらった。

1. Ivanti Connect Secure：CVE-2026-111357

• CISAが10/29新規KEV掲載、実悪用確認済み。Critical Functionの認証欠落です。対処期限11/1。 [cisa.gov]
• VPN/境界機器という今回の判定基準に直接合致するため、今朝の最優先とします。
• CISA・10/29新規KEV [cisa.gov]

2. GitLab CE/EE：CVE-2026-97229

• 10/29新規KEV、実悪用確認済み、期限11/1。認証なしで任意コード実行につながるInteger Overflow/Wraparoundで、CISAはForensic triage requiredとしています。 [cisa.gov], [cisa.gov]
• CI/CDという企業IT基盤への影響を考慮して2位としました。

3. VMware ESX：CVE-2026-41709

• 昨日まで二次確認に留めましたが、CISA公式が10/28新規KEV掲載・実悪用確認済みと正式確認できました。 [cisa.gov]
• VMware仮想基盤という影響範囲を今回の選定条件で重視し、3位にします。
• CISA・10/28新規KEV [cisa.gov]

特記事項

上位3件と対応優先度が近いものがあります。

• Cisco Secure Firewall ASA / FTD：CVE-2026-76418。
  10/29新規KEV。未認証リモート攻撃者によるデバイス再起動、DoS。Firewall/VPN境界という性質から重要。期限11/1。 [cisa.gov]

• Linux Kernel：CVE-2026-46300。
  10/28新規KEV、実悪用確認済み。利用範囲の広さから確認対象。 [cisa.gov]

• PHP：CVE-2026-109618 / 109619。
  KEV掲載済みの未認証RCEで、CISA期限は10/29。期限到来案件として依然重要です。 [cisa.gov]

• Adobe Commerce / Magento：CVE-2026-48356、Google Brotli：CVE-2026-111497
  10/27に実悪用確認でKEV入り済み。Internet-facing ECや依存ライブラリの該当有無を確認する位置付けです。 [cisa.gov]