2026-11-19 Hotfix リリース内容（事前予告版）#

メンテナンス時間を設けずにリリースします

サービスを止めずにリリースするため、リリース中もこれまでどおり FutureVuls をご利用いただけます。

本リリースで、お客様に必要な対応はありません

影響のある内容は、影響の早見表をご覧ください。

本ドキュメントは、2026年11月19日に予定している Hotfix リリースの予告です。内容・日付は変更される可能性があります。

2026-11-19 の Hotfix リリースでは、次の 2 点を変更します。

CPE で登録したソフトウェアについて、VulnCheck のデータとの照合で起きていた過検知を修正します。過検知されていたタスクは、リリース後の次のスキャンで、ステータスにかかわらず自動で PATCH_APPLIED になり、主担当者・副担当者にスキャン通知のメールが届きます。
ロックファイルや SBOM で登録したライブラリについて、新しく公開された脆弱性を、これまでより早くタスクへ反映します。

リリース内容に関して、ご不明点やご質問がございましたら、サポート窓口にお問い合わせください。

影響の早見表#

対象となる方	確認する項目
サーバに、バージョンを指定した CPE（Windows の CPE 自動割当で割り当てられた CPE を含む）を登録している方	過検知のタスクが、自動で `PATCH_APPLIED` になります（`NOT_AFFECTED`・`RISK_ACCEPTED` などにしていたタスクも含みます）
サーバに、ワイルドカードを含むバージョンの CPE（例: `cpe:/a:mozilla:firefox:128.*`）を登録している方	過検知のタスクが、自動で `PATCH_APPLIED` になります。なお、ワイルドカードを含むバージョン（`128.*` など）では検知の精度が落ちるため、具体的なバージョン（`128.5.0` など）での登録を推奨します（今回のリリースによる変更ではない、以前からの注意点です）。手順はCPE の登録方法をご覧ください
サーバに、バージョンを `-` にした CPE を登録している方	一部のタスクが「信頼度: 低」になります。「信頼度: 低」のタスクも重要な未対応に振り分けたい場合は、重要な未対応の条件で「検出方法の信頼性が低い脆弱性」を「対象に含める」にしてください（グループ管理者・グループセット管理者・オーナ・CSIRT 権限のユーザが変更できます）
過検知のタスクの主担当者・副担当者	スキャン通知のメールが、サーバごとに届きます
ロックファイルや SBOM でライブラリを登録している方	新しく公開された脆弱性が、これまでより早くタスクに反映されます
上記以外の方	影響はありません

2026-11-19 リリース内容（予定）#

VulnCheck のデータとの照合による CPE の過検知の修正#

改修の背景#

2026-10-14 のリリースで CPE の脆弱性検知ロジックを見直した際に、VulnCheck NVD++ のデータとの照合で、バージョンの一致を確かめられないものが、信頼度の高い検知方法 VulncheckExactVersionMatch（Confidence: 85）として扱われるようになっていました。それより前は、信頼度の低い検知方法 VulncheckVendorProductMatch（Confidence: 10）として扱っていました。このため、バージョンを指定して CPE を登録したサーバで、本来は検知されない脆弱性が検知されていました。たとえば、次の CPE を登録したサーバでは、表のような過検知がありました。

登録した CPE の例	過検知されていた脆弱性
`cpe:/a:google:chrome:155.0.8059.80`	VulnCheck の条件が `cpe:/a:google:chrome:-`（製品だけで、バージョンが無い）の CVE-2011-2807 など数件
`cpe:/o:redhat:enterprise_linux:6.9`	同じような検知が数百件

変更内容#

登録した CPE のバージョンの書き方によって、次のように変わります。

登録した CPE のバージョン	例	リリース後に起きること
指定	`cpe:/a:google:chrome:155.0.8059.80`	VulnCheck による過検知が無くなります。既存のタスクは自動で `PATCH_APPLIED` になり、担当者にスキャン通知のメールが届きます
ワイルドカードを含む	`cpe:/a:mozilla:firefox:128.*`	VulnCheck による過検知が無くなります。既存のタスクは自動で `PATCH_APPLIED` になり、担当者にスキャン通知のメールが届きます。なお、ワイルドカードを含むバージョンでは検知の精度が落ちるため、具体的なバージョンでの登録を推奨します（今回のリリースによる変更ではない、以前からの注意点です）
`-`	`cpe:/a:google:chrome:-`	VulnCheck で検知している脆弱性の一部が「信頼度: 低」になります。タスクは残ります
省略（`*`）	`cpe:/a:google:chrome`	変わりません

NVD のデータとの照合など、VulnCheck 以外で検知されている脆弱性は変わりません。

「信頼度: 低」になったタスクは、重要な未対応の条件や、自動脆弱性優先度・自動非表示設定・タスク優先度ルールセット（CSIRT / PSIRT プラン）で「検出方法の信頼性が低い脆弱性」を「対象に含めない」としている場合、それらの対象から外れることがあります。

過検知されていたタスクの扱い#

過検知のタスクは、リリース後の次のスキャンで、自動で PATCH_APPLIED になります。NOT_AFFECTED や RISK_ACCEPTED などにしていたタスクも、PATCH_APPLIED になります。
今回 PATCH_APPLIED になるタスクは、パッチを適用したのではなく、過検知が検知されなくなったことによるものです。タスクには、通常の解消と同じく 全ての検知ツールで脆弱性が解消されたため、タスクのステータスをPATCH APPLIEDに変更しました というシステムコメントが残ります。
PATCH_APPLIED になったタスクは削除しません。これまでどおり、タスクタブなどで確認できます。
FutureVuls API で取得するタスクのステータスも PATCH_APPLIED になります。ステータスをもとにチケットを自動で閉じるなどの連携をしている場合は、ご注意ください。

PATCH_APPLIED になるタイミングは、サーバによって次のように違います。

サーバ	`PATCH_APPLIED` になるタイミング
定期自動スキャンの対象のサーバ（CSIRT / PSIRT プランはすべてのサーバ、Standard プランは擬似サーバなど。スキップ条件に当てはまるサーバを除く）	リリース後の最初の定期自動スキャン（日本時間 AM00:00〜AM08:00 頃）
上記以外のサーバ（24 時間以内にスキャナで構成情報を同期したサーバなど）	次にスキャンしたとき

担当者に届くスキャン通知のメール#

過検知のタスクに主担当者・副担当者が設定されている場合、PATCH_APPLIED になったとき、スキャン通知のメール（件名 [タスク] スキャン更新通知 - グループ名: グループ名）が届きます。受信するユーザの言語が英語の場合、件名は [Task] Update Scan Notification - Group Name: グループ名 です。
スキャン通知はサーバごとに届きます。過検知のタスクがあるサーバが多い場合は、リリース後の最初のスキャンの後に、多くのメールが届くことがあります。
スキャン通知はメールだけで、Slack・Teams には届きません。

判定の詳細#

VulnCheck の脆弱性の条件にバージョンが無い（-）場合（登録した CPE のバージョンを省略した場合を除く）と、条件がバージョンの範囲や一覧で、登録した CPE のバージョンが - の場合は、バージョンが一致するかを確かめられません。今回のリリースで、2026-10-14 のリリースより前と同じく、VulncheckVendorProductMatch（Confidence: 10）として扱うように戻します。信頼度が低いとされる検知方法の NvdVendorProductMatch と同じ扱いです。この種類の検知は、データソースにバージョンの情報が足りないことで起きるため、FutureVuls では、登録した CPE にバージョンを指定している場合は検知しません。そのため、バージョンを指定した CPE では検知が無くなり、バージョンが - の CPE では「信頼度: 低」で検知が残ります。

VulnCheck との照合でバージョンの一致を確かめられない検知は、CPE のバージョンが「-」なら「信頼度: 低」で検知を続け、バージョンを指定していれば検知しなくなる

VulnCheck の条件のバージョン	登録した CPE のバージョン	これまで	リリース後
`-`（例: CVE-2011-2807 の `cpe:/a:google:chrome:-`）	指定（例: `cpe:/a:google:chrome:155.0.8059.80`）	「信頼度: 高」で検知	検知しません。既存のタスクは自動で `PATCH_APPLIED` になります
`-`	ワイルドカードを含む（例: `cpe:/a:mozilla:firefox:128.*`）	「信頼度: 高」で検知	検知しません。既存のタスクは自動で `PATCH_APPLIED` になります
`-`	`-`（例: `cpe:/a:google:chrome:-`）	「信頼度: 高」で検知	「信頼度: 低」で検知を続けます
バージョンの範囲や一覧	`-`	「信頼度: 高」で検知	「信頼度: 低」で検知を続けます

次の組み合わせは変わりません。

VulnCheck の条件がすべてのバージョン（*）で範囲や一覧が無い場合、または登録した CPE のバージョンを省略（*）した場合: もう一方のバージョンの書き方によらず、一致すれば「信頼度: 高」
バージョンの範囲・一覧や具体的なバージョンの条件と、バージョンを指定した CPE: 一致すれば「信頼度: 高」
バージョンの範囲・一覧や具体的なバージョンの条件と、ワイルドカードを含むバージョンの CPE: 照合しません（具体的なバージョンでの登録を推奨します）
1つの具体的なバージョンの条件と、バージョンが - の CPE: 照合しません

ライブラリの脆弱性データを、より早く反映#

ロックファイルや SBOM で登録したライブラリの脆弱性データベース（Trivy DB）が公開元で更新されたら、更新された後のスキャンから新しいデータで照合します。
新しく公開された脆弱性が、これまでより早くタスクへ反映されます。

今後のリリース予定#

CPE の照合の改善#

今後のリリースで、次の CPE の照合を改善する予定です。詳細は、そのリリースの予告でお知らせします。

登録した CPE のバージョン	例	予定している変更
`-`	`cpe:/o:microsoft:windows_server_2019:-`	脆弱性の条件のバージョンも `-`（製品そのもの）の場合は、確かな一致として扱います。「信頼度: 低」から「信頼度: 高」に変わるタスクがあります。また、1つの具体的なバージョンの条件とも「信頼度: 低」で照合するようになり、新しく検知されるタスクがあります
ワイルドカードを含むバージョン	`cpe:/a:postgresql:postgresql:12.*`	NVD の脆弱性の一部が、新しく検知されるようになります。引き続き、具体的なバージョンでの登録を推奨します

バージョンを - にした CPE では、今回の Hotfix リリースで「信頼度: 低」になったタスクの一部が、そのリリースで再び「信頼度: 高」になります。