米当局、脆弱性3件の悪用を警告 - 「Ivanti EPMM」「PAN-OS」は緊急対応を

米当局は、悪用が確認された3件の脆弱性について注意を呼びかけている。特に2件については緊急性が高く、米行政機関では登録から3日以内に対応する必要がある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、現地時間2026年5月1日から7日にかけて「悪用が確認された脆弱性カタログ（KEV）」へ脆弱性3件を追加した。

「Linux Kernel」に判明した別名「Copy Fail」とも呼ばれる権限昇格の脆弱性「CVE-2026-31431」が登録された。ローカルユーザーによってroot権限を取得されるおそれがある。

また5月6日には、Palo Alto Networks製ファイアウォールの「PAN-OS」に判明した脆弱性「CVE-2026-0300」を追加。「User-ID認証ポータル」を有効化している場合、root権限で任意のコードを実行されるおそれがある。

翌日7日には「Ivanti Endpoint Manager Mobile（EPMM）」において入力検証不備の脆弱性「CVE-2026-6973」を追加した。管理者権限が必要だが、リモートよりコードすることが可能となる。

米行政機関では、指定された期間内に脆弱性への対応を実施する必要がある。なかでも「CVE-2026-0300」「CVE-2026-6973」については緊急対応を求めており、それぞれ登録から3日後にあたる5月9日、5月10日までに対応するよう求めている。

（Security NEXT - 2026/05/08 ）ツイート