コンテンツにスキップ

対応環境#

管理対象の概要#

FutureVuls で脆弱性を管理できる対象の OS 種別・バージョン情報などを載せています。 スキャナを利用する際のインターネット要件等については「スキャナの導入要件」のマニュアルも参照してください。

FutureVuls では主に以下の対象機器を管理できます。

  • サーバ利用環境
    • オンプレ
    • クラウド：AWS / GCP / Azure
    • 閉域網（エアギャップ）環境
  • サーバ OS
    • Linux
    • Windows
  • アプリケーション言語ライブラリ
  • ミドルウェア（Apache httpd...）
  • SBOM
  • コンテナ
  • NVD と JVN に登録されているネットワーク機器や商用製品など
  • wpscan.comがサポートする WordPress コア、プラグイン、テーマ

ローカルスキャン#

Linux#

Linuxホストスキャンのサポート対象です。

ディストリビューション サポートバージョン
Red Hat Enterprise Linux 7, 8, 9, 10
Amazon Linux 2, 2022, 2023 ※1
Debian 11, 12, 13 ※2
Ubuntu 18, 20, 22, 24, 26
Oracle Linux 8, 9, 10
Rocky Linux 8, 9, 10
AlmaLinux OS 8, 9, 10
Fedora Linux 43, 44
openSUSE tumbleweed
openSUSE Leap 16
SUSE Enterprise 15, 16

※1 Amazon Linux 2, 2022 は 2026年6月30日に EOL を迎えるため、サポート対象外になります。

※2 Debian 11 は 2026年6月30日に EOL を迎えるため、サポート対象外になります。

  • 延長アップデートサポートの対応ステータスは下記のとおりです
    • Red Hat Enterprise Linux の EUS は現在のところサポート対象外です
    • Ubuntu の ESM は「サポート対象」です

Windows#

Windowsホストスキャンのサポート対象です。

ディストリビューション サポートバージョン
Windows Server 2016, 2019, 2022, 2025
Windows 10, 11

ペーストスキャン#

Linux#

Linuxペーストスキャンのサポート対象です。

ディストリビューション サポートバージョン
Red Hat Enterprise Linux 7, 8, 9, 10
Amazon Linux 2, 2022, 2023 ※1
Debian 11, 12, 13 ※2
Ubuntu 18, 20, 22, 24, 26
Oracle Linux 8, 9, 10
Rocky Linux 8, 9, 10
AlmaLinux OS 8, 9, 10
Fedora Linux 43, 44
openSUSE tumbleweed
openSUSE Leap 16
SUSE Enterprise 15, 16

※1 Amazon Linux 2, 2022 は 2026年6月30日に EOL を迎えるため、サポート対象外になります。

※2 Debian 11 は 2026年6月30日に EOL を迎えるため、サポート対象外になります。

Windows#

Windowsペーストスキャンのサポート対象です。

ディストリビューション サポートバージョン
Windows Server 2016, 2019, 2022, 2025
Windows 10, 11

コンテナイメージスキャン(Trivy)#

Dockerスキャン（Trivy）のサポート対象は、Trivyのドキュメントを参照して下さい。

また、ローカル環境にTrivyをインストールしてスキャンする方法の通常版では、セットアップ可能な環境は次の OS のみです。

  • Red Hat Enterprise Linux
  • Amazon Linux
  • Debian
  • Ubuntu
  • Rocky Linux
  • AlmaLinux OS
  • Fedora Linux
  • openSUSE
  • openSUSE Leap
  • SUSE Enterprise
  • Oracle Linux
  • FreeBSD

Inspectorスキャン#

Amazon Inspector と連携して FutureVuls にスキャン結果を取り込む Inspectorスキャン、ECR 上のコンテナイメージの脆弱性スキャン のサポート対象は、Amazon Inspector のドキュメントを参照してください。

アプリケーション依存ライブラリ#

データソースに情報がないアプリケーションは検知対象外

Trivy が参照しているデータソースに情報がないアプリケーションは検知されません (例: Android OSS など)

アプリケーションのSBOMインポート#

SBOM ツールの使い方やサポート対象のロックファイルは各ツールのドキュメントを参照してください。 各スキャン方式のメリット・デメリットは「スキャン方法の選択肢と特徴>アプリケーションのSBOMをインポート」を参照してください。

LockFileのペーストスキャン / Vuls ScannerでLockFileを指定したスキャン#

LockFileのペーストスキャンおよびVuls ScannerでLockFileを指定したスキャンのサポート対象です。 両方式は内部で同じパーサー（scanner.AnalyzeLibrary）を使用しており、ロックファイルの内容のみを解析します。Dev 区別の挙動は同一です。

Lang LockFile ペースト Vuls Scanner Dev区別 Dev判定条件
Node.js package-lock.json ✓ ✓ あり "dev": true フィールド
Node.js pnpm-lock.yaml ✓ ✓ あり devDependencies セクション
Node.js bun.lock ✓ ✓ あり devDependencies セクション
Node.js yarn.lock ✓ ✓ なし ー
Python poetry.lock ✓ ✓ あり category = "dev" または groups に "main" を含まない
Python uv.lock ✓ ✓ あり dev-dependencies セクション
Python Pipfile.lock ✓ ✓ なし "develop" セクションの依存は完全除外
Python requirements.txt ✓ ✓ なし ー
PHP composer.lock ✓ ✓ あり "packages-dev" セクション
Java gradle.lockfile ✓ ✓ あり classpath がすべて test で始まる
Java pom.xml ✓ ✓ なし <scope>test</scope> の依存は完全除外
Java JAR, WAR, EAR, PAR - ✓ なし ー
.NET packages.lock.json ✓ ✓ なし ー
Go go.mod ✓ ✓ なし ー
Go go.sum - ✓ なし ー
Go Go バイナリ - ✓ なし ー
Rust Cargo.lock ✓ ✓ なし ー
Rust Rust バイナリ - ✓ なし ランタイム以外の依存は完全除外
Ruby Gemfile.lock ✓ ✓ なし ー
Ruby .gemspec - ✓ なし ー
C / C++ conan.lock ✓ ✓ なし ー
Elixir mix.lock ✓ ✓ なし ー
Dart pubspec.lock ✓ ✓ なし ー
Swift Package.resolved ✓ ✓ なし ー
Swift Podfile.lock (CocoaPods) ✓ ✓ なし ー

Dev 区別列の意味

  • あり: ロックファイルの形式上、開発用依存と本番用依存を区別できます。デフォルトでは devDependencies はスキャン結果から除外されます。Lockfile 追加時に「開発用依存関係を含める」オプションを有効にすると、[DevDependency] バッジ付きでスキャン結果に含まれます。
  • なし: ロックファイルの形式上、開発用依存と本番用依存を区別できないため、すべての依存がスキャン結果に含まれます。

pnpm-lock.yaml のバージョンによる違い

pnpm-lock.yaml は lockfileVersion によって Dev 判定の挙動が異なります。

  • v9 以降: importers セクションの devDependencies から Dev 判定を行い、[DevDependency] バッジ付きでスキャン結果に含めることができます（Trivy ドキュメント: "Trivy supports Dev field for pnpm-lock.yaml v9 or later"）。
  • v5〜v8: Dev 依存は Trivy のパーサーにより完全に除外されます。「開発用依存関係を含める」オプションに関わらず、常にスキャン結果から削除されます。

Pipfile.lock の特殊ケース

Pipfile.lock の "develop" セクションに含まれる依存関係は、Trivy のパーサーにより完全に除外されます。パーサーは "default" セクションのみを読み取るため、"develop" セクションのパッケージは「開発用依存関係を含める」オプションに関わらず、常にスキャン結果から削除されます（Trivy v0.69.1 時点）。

pom.xml の特殊ケース

Maven の <scope>test</scope> が指定された依存関係は、Trivy により完全に除外されます。Trivy は import、compile、runtime および空のスコープのみをスキャン対象とし、test スコープは常にスキャン結果から削除されます（Trivy ドキュメント）。

Trivyでファイルシステム上のパスを指定したスキャン#

Trivyでファイルシステム上のパスを指定したスキャン のサポート対象は、「Trivyドキュメント」の「Filesystem 列」を参照してください。

Trivy はファイルシステムにアクセスできるため、ロックファイル単体の解析に加え、周辺ファイルを自動的に読み取ることで Dev 判定の精度が向上します。以下のロックファイルは、ペーストスキャン / Vuls Scanner では得られない Dev 区別が可能です。

Lang LockFile 周辺ファイル Dev判定条件
Node.js yarn.lock package.json devDependencies セクション
Python poetry.lock pyproject.toml [tool.poetry.group.dev.dependencies] セクション
PHP composer.lock composer.json require-dev セクション
Rust Cargo.lock Cargo.toml [dev-dependencies] の依存は完全除外

上記以外のロックファイルの Dev 区別は、ペーストスキャン / Vuls Scanner と同じです。 詳細は Trivy ドキュメントの各言語ページ（Node.js、Python、Java など）の「Dev」列を参照してください。

また、ローカル環境にTrivyをインストールしてスキャンする方法の通常版では、セットアップ可能な環境は次の OS のみです。

  • Red Hat Enterprise Linux
  • Amazon Linux
  • Debian
  • Ubuntu
  • Rocky Linux
  • AlmaLinux OS
  • Fedora Linux
  • openSUSE
  • openSUSE Leap
  • SUSE Enterprise
  • Oracle Linux
  • FreeBSD

CPEスキャン#

FutureVulsの画面上でCPEを登録する方法は、NVD と JVN に登録されている製品が検知対象です。

WordPressスキャン#

WordPressスキャンは、wpscan.comがサポートする WordPress コア、プラグイン、テーマが対象です。

SSM連携#

「SSM連携スキャン」は、FutureVuls 上で EC2インスタンスを選択し、オンデマンドでスキャンできる機能です。

「SSM連携パッケージアップデート」は、FutureVuls 上でタスクを選択し、関連する EC2インスタンスに含まれるパッケージをアップデートできる機能です。

ディストリビューション SSM連携スキャン SSM連携パッケージアップデート
Red Hat Enterprise Linux ✓ ✓
Amazon Linux ✓ ✓
Debian ✓ ✓
Ubuntu ✓ ✓
Oracle Linux ✓ -
Rocky Linux ✓ -
AlmaLinux8 ✓ -
SUSE Enterprise ✓ -