2026-10-27 Hotfix リリース内容#

2026-10-27 の Hotfix リリースでは、KEV（実際に悪用されている脆弱性のカタログ）に新しく載った脆弱性を、スキャンを待たずに、目安 1 時間以内にタスクへ反映するようにしました。対象のサーバが多い場合は、時間帯によって翌朝までかかることがあります。通知の設定（宛先と既定値）は今回のリリースで変わっていないため、プランによっては、設定を ON にしないと通知が届きません（下の注意をご覧ください）。リリース内容に関して、ご不明点やご質問がございましたら、サポート窓口にお問い合わせください。

CSIRT / Standard プランでは、悪用されている脆弱性の通知を ON にしないと届きません

PSIRT プラン以外では、ユーザ宛てのメール・Slack アプリ・Teams Webhook へのこの通知が、既定で OFF です。今回のリリース後も、OFF のままの通知先には届きません。すでに ON にしている通知先には、これまでどおり届きます。

CSIRT プラン：使いたい通知先ごとに有効にしてください。ユーザ宛てのメールは、グループ設定の通知範囲を「グループ全員」または「タスク担当者」に変えます。Slack アプリ・Teams Webhook は、それぞれの設定でこの通知を ON にします。
Standard プラン：ユーザ宛てのメールは、まだ受け取れません。Slack アプリ・Teams Webhook の設定でこの通知を ON にしてください。

通知用メールアドレスは、新しく追加するときの初期設定でこの通知が ON です。「Slack Webhook (Deprecated)」は、登録していれば届きます。手順は悪用されている脆弱性の通知、プランごとの既定値は通知の宛先と既定値をご覧ください。今後のリリース予定のとおり、すべてのプランで既定で ON にする変更を予定しています。

2026-10-27 リリース内容#

KEV に新しく載った脆弱性を、スキャンを待たずに目安 1 時間以内に反映#

改修の背景#

月次のパッチ適用や、次のスキャンを待つ運用では、悪用が始まった脆弱性への対応が遅れるおそれがあります。お客様からも、今すぐ対応すべき脆弱性をすぐに知りたいというご要望をいただいていました。

脆弱性が公開されてから攻撃に悪用されるまでの期間は、短くなり続けています。 IPA の「情報セキュリティ白書 2026」は、VulnCheck の年次報告を引いて、2025 年に初めて悪用が確認され KEV に登録された脆弱性の約 3 割が、CVE の公開日の当日以前に悪用されていたと紹介しています。そのうえで、KEV への登録を優先の基準にした脆弱性管理が有効だとしています。 AI によって脆弱性がより速く、より多く発見・修正されることを前提に、対策を強化する必要があることも指摘されています。

これまで#

KEV の情報は、数時間ごとに更新される脆弱性データベースを通して取り込んでいました。すでに検知している脆弱性が KEV に載っても、タスクに反映されるのは、データベースの更新の後にそのサーバを次にスキャンしたときでした。

これから#

KEV に新しく載った脆弱性は、目安として 1 時間以内に、タスク・SSVC・通知へ反映されます。対象のサーバが多い場合は、時間帯によって翌朝までかかることがあります。前回のスキャン結果を、最新の KEV の情報で照合し直します。サーバを新たにスキャンすることはなく、お客様の操作も不要です。

反映されるもの：

タスク：実際に悪用されている脆弱性として扱われます。
SSVC：SSVC をご利用の場合は、SSVC Priority と対応期限が更新されます。SSVC による自動トリアージを設定しているときは、そのアクションも実行されます。
通知：悪用されている脆弱性の通知を有効にしているグループに、照合し直した時点で届きます。誰に届くかと、プランごとの既定値は通知の宛先と既定値をご覧ください。
Immediate タスクの通知：SSVC Priority が Immediate になったタスクは、Immediate タスクの通知でもお知らせします。

スキャンを待たずに反映されるサーバ#

スキャンを待たずに反映されるのは、次のサーバです。サーバ種別とプランで決まります。

サーバ種別	対象のオーガニゼーション
スキャナ・ペースト・SBOM 以外（擬似サーバ・コンテナイメージなど）	すべてのプラン
スキャナ・ペースト・SBOM	CSIRT / PSIRT プランをご契約のオーガニゼーション

次の場合は、これまでどおり次回のスキャン（取り込み）で反映されます。

CSIRT / PSIRT プラン以外のオーガニゼーションの、スキャナ・ペースト・SBOM のサーバ
前回のスキャン結果が残っていないサーバ
まだ検知していない脆弱性が KEV に載った場合
Amazon Inspector SBOM のインポートを有効にしているグループの、Amazon Inspector が検知した脆弱性

反映の仕組み#

CISA KEV / VulnCheck KEV / ENISA KEV を 15 分ごとに確認します。
新しく載った脆弱性を検知しているサーバを、前回のスキャン結果を使って照合し直します。照合し直した記録は、定期自動スキャンと同じく、スキャン履歴にスキャン種別「脆弱性スキャン」・スキャナ名「FutureVulsAuto」として残ります。
脆弱性一覧・脆弱性詳細の警戒情報と、攻撃コードの表示・絞り込みは、KEV を確認した時点で変わります。タスク・SSVC・通知が変わるのは、照合し直した時点です。そのため、その間は警戒情報だけが先に変わっていることがあります。

通知の宛先と既定値#

悪用されている脆弱性の通知が誰に届くかは、脆弱性を検知したサーバが属するグループの通知設定で決まります。

通知先	届く相手
ユーザ宛てのメール（通知範囲が「グループ全員」）	グループに所属するユーザ全員（閲覧権限のユーザを除く）。脆弱性が見つかったソフトウェアをそのユーザが使っているかどうかは問いません。グループに所属していないユーザには、オーガニゼーションの CSIRT 権限を持っていても届きません。
ユーザ宛てのメール（通知範囲が「タスク担当者」）	該当タスクの主担当者・副担当者。グループに所属していないオーナ・CSIRT・グループセットのユーザでも、担当者になっていれば届きます（担当者にできるユーザは主担当者/副担当者に表示される候補を参照）。
通知用メールアドレス（FutureVuls のユーザとして登録していないアドレスへの転送先）・Slack アプリ・Teams Webhook	グループで登録した宛先のうち、この通知を ON にしている宛先
Slack Webhook (Deprecated)	グループで登録した宛先すべて。通知の種別ごとの ON / OFF がないため、この通知だけを止めることはできません。

ユーザ宛てのメールは、メールアドレスの確認が済んでいないユーザには届きません。

既定値は、プランによって次のように異なります。

通知先	PSIRT プラン	CSIRT プラン	Standard プラン
ユーザ宛てのメール（通知範囲）	「グループ全員」	「通知しない」	受け取れません（※）
Slack アプリ・Teams Webhook	ON	OFF	OFF（ON にすれば受け取れます）

通知用メールアドレスは、どのプランでも、新しく追加したアドレスではこの通知が ON です。PSIRT プラン以外では、この通知の導入時に登録済みだったアドレスを OFF にしました。

※ Standard プランでは、この通知をユーザ宛てのメールでは、まだ受け取れません。現時点では、Slack アプリ・Teams Webhook を ON にすれば受け取れます。今後のリリース予定のとおり、ユーザ宛てのメールも受け取れるようにする変更を予定しています。

通知が続けて届くことがあります

悪用されている脆弱性の通知は、現在はサーバごとに届きます。 1つの脆弱性が多くのサーバで見つかった場合は、サーバの台数分の通知が短い時間に続けて届くことがあります。不要な場合は、グループ設定の通知範囲を「通知しない」にするか、Slack アプリ・Teams Webhook の設定で OFF にできます。「Slack Webhook (Deprecated)」には、種別ごとの OFF の設定がありません。通知をグループごとにまとめる変更を予定しています（今後のリリース予定を参照）。

KEV 以外の情報で「悪用あり」になった脆弱性も、スキャンを待たずに照合し直す#

Microsoft（MSRC）や CISA Vulnrichment など、KEV 以外の情報から SSVC の Exploitation が active（悪用あり）に変わった脆弱性も、同じ仕組みで照合し直します。照合し直すのは、その情報が脆弱性データベースに反映された後、数時間以内です。

SSVC をご利用の場合は、SSVC Priority と対応期限が更新され、自動トリアージのアクションも実行されます。
対象のサーバは、上の KEV の場合と同じです。
SSVC の Exploitation が active になっても、FutureVuls で「実際に悪用されている脆弱性」として扱うのは、これまでどおり KEV に載った脆弱性だけです。

CPE を登録した擬似サーバで、新しく追加された検知条件をすぐに照合#

CPE の検知条件とは、登録した CPE にどの脆弱性が当たるかを判定する条件です。これまでは、新しい検知条件が脆弱性データベースに追加されても、翌日の自動スキャンまで反映されませんでした。これからは、検知条件が追加されたときに、該当する CPE を登録した擬似サーバを自動で照合し直します。

対象は、CVSS が 7.0 以上の脆弱性と、KEV に載っている脆弱性です。
照合し直すのは、前回の脆弱性データベースになかった検知条件が追加された場合だけです。既存の検知条件が変わった場合や、CVSS が後から 7.0 以上に上がった場合は、これまでどおり次回のスキャンで反映されます。

今後のリリース予定#

悪用されている脆弱性の通知の変更予定#

今回のリリースで、KEV に新しく載った脆弱性が目安 1 時間以内にタスクへ反映されるようになりました。これにあわせて、近日中に悪用されている脆弱性の通知を次のように変更する予定です。

通知をグループごとにまとめます#

KEV に新しく載った脆弱性の通知を、サーバごとではなく、グループごとにまとめます。 1つの脆弱性が多くのサーバで見つかっても、サーバの台数分の通知は届きません。この変更は、PSIRT プランを含むすべてのプランが対象です。

まとめた通知の形：

メール・Teams はグループごとに 1 通、Slack はグループごとに 1 投稿です。Slack では、脆弱性が 2 件以上のとき、脆弱性ごとの詳細をその投稿のスレッドに付けます。
脆弱性ごとに、グループ内で該当するサーバの数と、5 台までのサーバ名を載せます。
メールと Slack には、サーバごとのパッケージも載せます。Teams は、脆弱性が 1 件のときだけ載せます。
1 回の通知に載せる脆弱性は 20 件までです。すべてのサーバやパッケージは、脆弱性詳細のタスク×サーバでご確認ください。

すでに KEV に載っている脆弱性を後から検知した場合は、検知したときのスキャンによって、通知のまとめ方が変わります。

検知したスキャン	通知のまとめ方
スキャン結果の取り込み（スキャナ・ペースト・SBOM・Amazon Inspector など）、1 台ずつの手動スキャン、100 台以下の一括スキャン	これまでどおりサーバごとに通知します。
定期自動スキャン（擬似サーバなど）	グループごとにまとめて通知します。毎晩の定期自動スキャンの分は、一晩に 1 回お送りします。
100 台を超えるサーバをまとめてスキャン・照合し直したとき（グループの全サーバスキャンを含む）	グループごとにまとめて通知します。日中に行った分は、15 分ごとにまとめてお送りします。

通知の形式は、今後も変わることがあります。通知の内容を自動で処理している場合は、FutureVuls API のタスク一覧（filterIsActivelyExploited=true）をお使いください。

すべてのプランで通知を受け取れるようにし、既定で有効にします#

この通知を、すべてのプランで受け取れるようにします。

Standard / CSIRT プランのオーガニゼーションでは、この通知が「通知しない」・OFF になっているグループの設定を、次の値に一括で変更します。これまでにお客様が OFF にした設定も、変更の対象です。新しく作るグループの既定値も同じ値にします。
- メール通知：グループ全員
- Slack / Teams 通知：ON
この一括変更では、通知用メールアドレスの設定は変更しません。
PSIRT プランのオーガニゼーションは、2026-06-03 のリリースから既定で有効にしているため、既定値は変更しません。
通知が不要なグループは、変更後にグループ設定や、Slack アプリ・Teams Webhook の設定から OFF にできます。