※この記事にはプロモーションが含まれます
月が替わったので、いま話題になっている脆弱性を自分用に一回まとめておくことにしました。
CVEのニュースは毎日のように流れてきますが、全部追うのは正直ムリです。なので今回は「2026年11月はじめの時点で、これだけは見ておきたい」というものに絞りました。参考にしたのはCISAのKEV（既知の悪用された脆弱性カタログ）と、国内ベンダーのセキュリティブログです。自分はAWS（EC2やLightsail）とWordPressを触っているので、Linuxカーネル・PHPまわりは少し厚めに書いています。
※情報は2026年11月2日ごろに確認した内容です。状況はすぐ変わるので、対応するときは必ず各ベンダーの一次情報を見てください。
この記事でわかること
- 2026年11月初旬に注目されている主なCVE（Linuxカーネル・PHP・GitLab・Cisco・Chromeなど）
- CISA KEVに最近追加された脆弱性
- 11月のPatch Tuesdayと、サポート終了（EOL）の日程
- 自分の環境向けに優先度を付けるためのPythonスクリプト例
脆弱性リストの見方：CVSSとCISA KEVについて
脆弱性を追うときによく出てくる指標は、だいたい次の2つです。
- CVSS：深刻度のスコア（0.0〜10.0）。9.0以上が「Critical」
- CISA KEV：「実際に攻撃で悪用された」ことが確認された脆弱性のカタログ
個人的には、CVSSよりKEVに載っているかどうかのほうを重く見ています。CVSSが高くても実際の攻撃が観測されていないものもあれば、スコアはそこそこでも普通に悪用されているものもあるので。
ちなみに、CVE番号が「CVE-2026-118305」みたいに6桁になっているのを見て、ちょっとびっくりしました。採番される件数がそれだけ増えているということですよね。
2026年11月初旬に押さえたいCVE
CVE-2026-98432：Linuxカーネルのuse-after-free（CVSS 9.8）
今回いちばん気になっているのがこれです。CVEとしては2026年10月中旬〜下旬あたりに各所で情報が出回り始めたものです。CNAが付けたCVSS v3.1のスコアは9.8（Critical）。
中身は、LinuxカーネルのIPv4 TCP接続処理にあるuse-after-freeです。TCPの子ソケットにSOCK_RCU_FREEが設定されていないため、inet_optがRCUの猶予期間を待たずに普通のkfree()で解放されてしまい、ip_options_build()で解放済みのメモリを触ってしまう……という流れらしいです。修正内容は「RCU grace periodが過ぎてから解放するように変える」というもので、カーネルのコードを読み慣れていない自分でも、何が起きているかはなんとなく想像できました。
外部から細工したIPv4 TCPトラフィックでクラッシュ（DoS）につながる可能性がある、という説明は複数のベンダー情報で見かけます。一方で「任意コード実行」まで行けるかどうかは条件依存が強そうなので、ここは「環境・条件次第では深刻な影響につながる可能性がある」くらいの認識で見ています。
影響範囲についても、「Linux kernel 4.4以降の全バージョン」と断定するのは危険で、実際には”どのブランチに修正が入ったか（バックポート状況）”と”ディストリビューションの提供するカーネルが修正済みか”で決まる、という見方をしたほうが安全だと思います。
EC2やLightsailでLinuxを動かしている人は、まずディストリビューションのセキュリティ情報を確認するのが先かなと思います。
uname -r
# Amazon Linux 2023 の場合
sudo dnf check-update kernel
# Ubuntu の場合
apt list --upgradable 2>/dev/null | grep linux-imageカーネルの更新は再起動するまで反映されないので、そこだけ注意です。アップデートしたから安心と思って再起動を忘れるやつ、やりがちですよね。
CVE-2026-109618 / CVE-2026-109619：PHPの重大なRCE脆弱性
CISAが注目しているPHPの重大な脆弱性として扱われています。2026年10月26日にKEVへ追加されました。OT（産業制御）系のベンダーからも影響を受ける製品が報告されているらしく、Webサーバーだけの話ではないみたいです。
さらに、別のPHPのRCE脆弱性（CVE-2026-115560）についても、2026年10月23日に追加情報が公表された、という注意喚起が出ています。WordPressもPHPで動いているので、自分としては他人事ではありません。PHPのバージョンと、ホスティング側の対応状況はチェックしておきたいところです。
CVE-2026-97229：GitLab CE/EEの未認証RCE（CVSS 10.0）
GitLab CE/EEで、CI/CD設定に細工した正規表現を入れることで問題が起き、条件次第で未認証の任意コード実行につながり得る、という内容です。CVSSは満点の10.0。KEVへの追加は2026年10月29日（米国時間）。セルフホストでGitLabを運用しているチームは最優先レベルの対応が必要そうです。
CVE-2026-76418：Cisco ASA / FTDのDoS脆弱性（CVSS 8.6）
Cisco Secure Firewall ASAとFTDで、未認証のリモート攻撃者が機器を予期せずreloadさせられる（DoS）、という脆弱性です。米国の連邦政府機関向けの対応期限（BODの期限）としては11月1日が示されている、という整理がされています。
CVE-2026-118305：Google Chrome（〜156.0.8078.73）
Chrome/Chromiumの脆弱性で、影響範囲としては156.0.8078.73より前のバージョンが対象とされています。Chromeは自動更新されることが多いものの、再起動しないと適用されないことがあるので、タブを開きっぱなしの人は一度再起動しておくと安心です。
その他、10月末にKEV入りした脆弱性
- CVE-2026-41709：Broadcom VMware ESX（ログ記録が不十分な脆弱性）
- CVE-2026-46300：Linuxカーネル（変数が初期化されていない脆弱性）
- CVE-2026-63350〜63357：Siemens SIMATIC S7-1500などのWebサーバーにある複数の脆弱性
上のLinuxカーネル脆弱性は、CVE-2026-98432（IPv4 TCP）とは別のものなので、番号を取り違えないように気をつけたいです。
11月の重要なスケジュール：Patch TuesdayとEOL
脆弱性リストとあわせて、11月は「サポートが終わるもの」も多い月です。
- 11月10日（火）：Microsoftの月例パッチ（Patch Tuesday）
- 11月10日：.NET 8と.NET 9のサポート終了。移行先として推奨されているのは.NET 10（LTS、2028年11月14日までサポート）
- 11月10日：Windows 11 23H2（Enterprise / Education）のサポート終了（End of updates）。つまり10日のパッチが最後の更新になりやすいです
- すでに終了：Windows 11 24H2（Home / Pro など）は10月13日にサポート終了しています
.NET 8はLTSなので、まだ使っているプロジェクトも多そうです。サポート終了後は、Patch Tuesdayで公開された脆弱性情報が未対応バージョンにとっては「攻撃の手がかり」になってしまうという指摘もあって、なるほどなと思いました。EOLが近いものは、修正版が出ないぶん、普通の脆弱性より怖いかもしれません。
自分の環境向けに優先度を付けるPythonスクリプト
リストを眺めているだけだとどれから手をつければいいかわからなくなるので、雑にソートするスクリプトを書いてみました。「KEVに載っている」かつ「自分の環境に関係ある」ものを一番上に、そのあとはCVSS順に並べるだけのものです。
from dataclasses import dataclass
@dataclass
class Vuln:
cve: str
product: str
cvss: float | None
kev: bool
mine: bool
vulns = [
Vuln("CVE-2026-98432", "Linux kernel (IPv4 TCP)", 9.8, False, True),
Vuln("CVE-2026-109618", "PHP (PHP2Shell)", None, True, True),
Vuln("CVE-2026-109619", "PHP (PHP2Shell)", None, True, True),
Vuln("CVE-2026-97229", "GitLab CE/EE", 10.0, True, False),
Vuln("CVE-2026-76418", "Cisco ASA / FTD", 8.6, True, False),
Vuln("CVE-2026-118305", "Google Chrome", 9.6, False, False),
Vuln("CVE-2026-46300", "Linux kernel", None, True, True),
Vuln("CVE-2026-41709", "VMware ESX", None, True, False),
]
def score(v: Vuln) -> tuple:
# CVSS未確定はとりあえず0扱い（ここ注意：低いという意味ではない）
return (v.kev and v.mine, v.kev, v.mine, v.cvss or 0)
for i, v in enumerate(sorted(vulns, key=score, reverse=True), 1):
cvss = f"{v.cvss:.1f}" if v.cvss is not None else " -- "
flags = ("KEV " if v.kev else " ") + ("自分に関係" if v.mine else "")
print(f"{i}. {v.cve:<16} {cvss:>4} {v.product:<24} {flags}")CVSSが「–」になっているのは、自分が調べた範囲でスコアを確認できなかったものです。kevのフラグも、執筆時点で自分が見つけられた情報をもとに手で入れているだけなので、正確さは保証できません。
本当はCISAのKEVフィードやNVDのAPIから自動で取ってきて、Lambda＋EventBridgeで毎朝回すのが理想だと思っています。……と書きつつ、AWSの日次コスト集計するLambdaを作ったときも、表示部分を3か月放置しているので、これも同じ道をたどりそうな予感がします。
まとめ
2026年11月はじめの時点で、自分が優先して見ておきたいのは、LinuxカーネルのCVE-2026-98432（CVSS 9.8、影響範囲が広い可能性がある）と、KEV入りしたPHP2Shell（CVE-2026-109618 / 109619）の2つです。GitLabやCisco機器を運用している人は、CVE-2026-97229とCVE-2026-76418も急いだほうがよさそうです。あわせて、11月10日のPatch Tuesdayと.NET 8 / 9のサポート終了もカレンダーに入れておこうと思います。
