設備やシステムの保守を委託している会社へ
悪用確認の4件。 自社に関係するのは？
サーバーの遠隔管理、社内の電話、生成AIの運用、取引先とのファイル転送。製品名が分からなければ、この4つの用途から保守担当者に確認してください。製品が一致したら、次に稼働版と接続条件を照合します。
CISA掲載日：2026年11月9日（米国公表日） ／ 記事公開・一次資料確認：
使っている業務から探す
米国CISA（シーサ）が4件を（ケブ、実際の悪用が確認されたの一覧）へ追加しました。国内の被害件数や自社への侵入の有無は、一覧からは分かりません。 CISAの公式一覧（JSON）
OpenSSHで 遠隔管理するサーバー
OpenSSH（オープン・エスエスエイチ）は、を離れた場所から操作するための仕組みです。-2026-123158は、Linuxでmusl（マッスル）という基盤ライブラリーを使い、PAM（パム、処理の仕組み）を使わないOpenSSH 10.6p2未満で、パスワードログインと特定の構成が重なると成立します。該当するアカウントに、パスワードを知らない相手が入れるおそれがあります。
対象を判断する：Alpine Linux（アルパイン・リナックス）では、SSHが動く本体やコンテナを確認します。Alpineの案内では、パスワードが有効で、パスワード欄に「*」が設定された対象と、特定形式のパスワードを持つ別のアカウントが同居する場合が該当します。SSHサーバーを動かさないコンテナは、この経路の対象外です。Ubuntuは標準でmuslを使わず、公式のパッケージ評価は確認時点で継続中です。
直す：上流版は10.6p2。Alpineの修正入りOSは3.21.10、3.22.8、3.23.8、3.24.4です。OSごとの修正版を入れ、SSHサービスを再起動して反映を確かめます。すぐ更新できない場合、Alpineはパスワードの無効化とサービス再起動を案内しています。担当者は先に鍵での接続と別の管理経路を確保し、作業後に別の接続でを試してください。
Ubuntu掲載の（シー・ブイ・エス・エス、深刻度の指標）は8.1（高）。実悪用が確認され、条件に合うでを迂回できるため掲載します。 Alpineの11月5日公表資料・修正版表 ／ OpenSSHの修正案内 ／ Ubuntuの評価
FreeSWITCHを使う 電話システム
FreeSWITCH（フリースイッチ）は、内線や着信の振り分けに使われる通話基盤です。-2026-116779、提供元評価9.8（重大）。1.11.2以下で、SIP（シップ、通話などの接続を扱う規格）のメッセージを受け付ける設定が対象です。提供元の標準設定でも受け付けます。受理された通信から電話上の命令実行、設定や情報の流出、通話の操作につながります。提供元が実悪用を報告しています。
直す：提供元の修正は1.11.3以降です。電話機に表示される製品名と内部の通話基盤が異なる場合は、提供元へ確認してください。更新までの間、外部からのSIPチャットが不要な受け口では、提供元が受信チャットの無効化を案内しています。チャットは届かなくなるため、使っている受け口は代替手段と切替時刻を決めます。設定だけでこの問題が解消したとは判断できません。
更新前に番号・内線・転送設定を保存し、切替後に発着信、内線転送、必要なチャットを試します。OSの対応状況も確認してください。SignalWireの10月28日公表資料 ／ 1.11.3の変更とOSの対応範囲
GPUStackで運用する 生成AI
GPUStack（ジーピーユー・スタック）は、複数の機器でモデルを動かし、利用者へ配信するための基盤です。-2026-102895、提供元評価9.8（重大）。2.2.0未満で、管理用の接続先に届く相手が、通信を中継する構成や接続元情報の扱いによってを通らず管理者として操作できる問題です。管理者用の接続キーの発行やクラウドの情報の取得、処理を行う機器上の命令実行につながります。提供元は2.1.1での悪用を確認しています。
直す：2.2.0にこの問題の修正が入っています。別件の修正もあるので、互換性を確認したうえで対応する現行安定版を選びます。更新を待つ間は、管理画面・管理用（エーピーアイ、システム同士の接続窓口）を外部や信頼できないネットワークから隔離し、中継を経由してもを必須にする構成を担当者に確認します。
更新後は、していない利用者が管理操作を拒否され、正規の利用者はを使えることを確かめます。不審な管理キーや設定変更があれば、記録を保全し、専門担当者と失効・交換の対象を決めます。GPUStackの7月31日公表資料 ／ 2.3.0の変更内容
IBM Aspera Faspexでの ファイル転送
IBM Aspera Faspex（アイビーエム・アスペラ・ファスペックス）は、取引先などと大容量ファイルをやり取りする製品です。-2026-123218、IBM評価9.8（重大）。IBMは5.0.0〜5.0.19を対象とし、利用者が本来の権限を越えて管理権限を得る可能性を説明しています。IBMの本文とスコア欄では、事前に必要な権限の記載が一致しないため、の要否は導入先に照会してください。
直す：Linux向けの修正版は5.0.19 PL1。IBMは更新後に、実行されている中核コンテナの識別値1ce4b13とFix Pack 1の確認を求めています。IBM公表の回避策はありません。すぐ更新できない場合は、外部公開を絞るか、代替のファイル受け渡しへ切り替えるかを保守担当と決めます。再開後は、正規の利用者と取引先の受け渡しができ、利用者の権限が保たれていることを確認します。
保守担当へ渡す確認文
当社が使う4つの製品の有無を、委託先が管理する機器も含めて確認してください。該当する場合は、稼働版と接続範囲、外部から届くか、修正版を適用できる日、停止時間と作業工数、代替業務、確認操作、復旧手順を教えてください。
設定とデータを更新前に退避し、復旧方法まで確認します。不審なや設定変更が見つかった場合は、先に担当者と接続範囲を絞り、（動作の記録）や設定の保全を依頼してください。更新の成功と、既に侵入されていないかの確認は別の作業です。