HAYABUSA — CVE Immediate Assessment
パッチ公開から3分。
自社が該当するかを、実測で判定します。
脆弱性の修正プログラムが公開された瞬間から、攻撃者は修正前後の差分を解析し、 未適用のサーバーを狩り始めます。問題は「パッチが出たこと」ではなく、 「自社が該当するかどうかを、その場で判断できないこと」です。 当サービスは、お客様の環境を実際に検査し、該当・非該当・修正手順・封じ込め手順までを一枚のレポートにします。
なぜ、パッチ公開直後が最も危ないのか
攻撃者が最初にやるのは、修正前後のコードの差分を読むことです。そこには「どこに穴があったか」という正解が書かれています。
パッチ公開前（ゼロデイ） ── 対策コードが存在しない状態。攻撃者は手探りで探す必要があり、成功確率は低い。
パッチ公開後〜自社適用前（1-Day） ── 差分から穴の場所が世界中に公開される。攻撃の正解が配られている状態。ここからが本番です。
自社適用後 ── 不完全なパッチのバイパス、急な適用作業での設定ミス。適用して終わりではありません。
2026年10月21日、PHP の認証不要リモートコード実行（CVSS 9.2）と Node.js の Brotli デコーダ脆弱性が 同じ日に公開され、翌22日には両方の実証コードが出回りました。 修正版の適用が1日遅れただけで、攻撃の対象になります。
2026年10月に起きたこと
| 10月17日 | 攻撃者は php2shell の悪用を開始していた（AWS の証言）。まだ公表されていない段階で、すでに使われていた。 |
| 10月21日 | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 が公開。Cloudflare は公開の約9時間前に WAF を配備。8.1 以前はサポート終了のため修正が出ない。 |
| 10月22日 | 英国で32の政府サービスが停止、4が一部停止（貴族院で公表）。侵害の確認は無し。予防的措置。独・仏・比・芬・蘭、豪の政府サイトも停止。 |
| 10月22日 | Imperva が Node.js 公式ビルド（24.22.0 / Linux arm64）でコード実行を実証。修正版 24.22.1 では同じデータが拒否された。 |
出典: AWS / The Register（英国貴族院 2026-10-22）/ Cloudflare / Imperva / Node.js Security Releases
3分で終わる、4つの工程
推測では判定しません。お客様の環境で実際に動いているランタイムを列挙し、バージョンを実測し、攻撃経路の到達可能性まで確認します。
ランタイムの棚卸し
PATH上、稼働中プロセス、一般的なインストール先の3経路から実行ファイルを列挙します。node --version を1回打つだけでは、コンテナ内や別ディレクトリの古い版を見落とします。
バージョンの実測と照合
各実行ファイルから実際にバージョンを取得し、一次情報の修正版テーブルと照合します。判定はVULNERABLE / PATCHED / EOL / UNKNOWNの4値。曖昧な「たぶん大丈夫」は出しません。
攻撃経路の到達可能性
「脆弱な版を使っている」と「攻撃が実際に届く」は別問題です。該当するAPIの使用箇所、外部URLへの通信、リクエストボディの展開処理を実際に検索し、到達可能かどうかを分けて報告します。
修正手順と封じ込め手順
修正版のバージョン番号、更新コマンド、更新できない場合の暫定回避策、そして侵害された疑いがある場合の封じ込め手順までを記載します。公式に回避策が無い場合は「無い」と明記します。
他社の診断ツールとの違い
一般的な脆弱性スキャナは「指摘」を返します。当サービスが返すのは「判定」と「手順」です。
| 項目 | 一般的なスキャナ | 当サービス |
|---|---|---|
| 判定の粒度 | 検出 / 未検出の2値 | 該当 / 修正済 / EOL / 判定不能の4値 |
| 到達可能性 | 考慮しない | 攻撃経路の有無を別軸で判定 |
| 見落とし対策 | PATH上の1つだけを見る | プロセス・PATH・標準パスの3経路 |
| EOLの扱い | 「更新してください」で終わる | 修正提供が無いことを明示し移行計画を示す |
| 暫定回避策 | 「アップデートしてください」のみ | 公式に無い場合は「無い」と明記 |
| 侵害後の手順 | 対象外 | 封じ込め手順を併記 |
| 記録の完全性 | なし | ハッシュチェーンで改ざん検知 |
実際の出力
整形や誇張はしません。実際に生成されるレポートの一部をそのまま掲載します。
※ 実データから個人情報・ホスト名を伏せた上で掲載しています。判定ロジックそのものは開示していません。
守備範囲
できないことは、できないと書きます。これが当サービスの前提です。
できること
- 稼働中のランタイムのバージョン実測
- 公開済みCVEへの該当判定
- 攻撃経路の到達可能性の確認
- 修正版バージョンと更新手順の提示
- EOLラインの特定と移行計画の提示
- 侵害疑い時の封じ込め手順
- 対応記録の改ざん検知
- パッチ公開時の継続監視（オプション）
できないこと
- 未知の脆弱性（ゼロデイ）の検出
- 「絶対に侵入されない」ことの保証
- アプリケーション固有の論理的な欠陥の判定
- 外部サービス（クラウド・認証基盤）側の脆弱性
- 運用設定の誤りの網羅的な検出
- 検出されなかった脆弱性の不存在の証明
- ペネトレーションテスト（侵入試験）
- インシデント発生時の復旧作業そのもの
料金
1回の判定から始められます。継続監視は、パッチが出るたびに自動で判定します。
Spot
¥49,800/1回
- 1環境の該当判定（全登録CVE）
- 攻撃経路の到達可能性判定
- 修正手順・封じ込め手順
- レポート（PDF + JSON）
- 判定後の再検査 1回
- メールでの質問 2往復
※ 表示価格は税別です。
※ 複数環境の場合、2環境目以降は1環境あたり ¥29,800（Spot）で承ります。
※ 判定は、お客様のご指定のサーバー・リポジトリに対して実行します。認証情報は実行時にのみ使用し、保管しません。
※ 判定ロジックおよび検査規則は非開示です。
よくあるご質問
パッチは当てているつもりですが、判定は必要ですか。
「当てたつもり」が最も危険です。実際に多いのは、PATH上のNode.jsは更新したが、コンテナイメージの中や別ディレクトリの古い版が残っているケース、フォルダ名だけ新しくて中身が古いケース、そしてEOLラインのまま気づかず運用しているケースです。当サービスは、実行ファイルを列挙して1つずつバージョンを実測するため、この種の見落としを発見できます。
判定にかかる時間はどれくらいですか。
1環境あたり3分程度です。ランタイムの列挙、バージョン取得、攻撃経路の検索、レポート生成までを含みます。大規模なリポジトリを対象とする場合は、事前にご相談ください。
ソースコードを渡す必要がありますか。
スポット判定では不要です。サーバー上で検査を実行し、レポートのみをお渡しします。攻撃経路の到達可能性まで確認する場合は、対象リポジトリへの読み取りアクセスをいただくか、お客様の環境で当社の検査ツールを実行していただきます。いずれの場合も、検査ツールは値を外部に送信しません。
「該当なし」と言われれば安全ですか。
いいえ。当サービスが判定するのは、登録済みのCVEに対して該当するかどうかだけです。未知の脆弱性、アプリケーション固有の論理的な欠陥、外部サービス側の問題は対象外です。「該当なし」は「今回調べた範囲では該当しなかった」という意味であり、安全の保証ではありません。
すでに侵害された疑いがある場合は対応できますか。
封じ込め手順の提示までを行います。具体的には、該当サービスの停止、認証情報の一斉変更、セッションの切断、記録の保全、関係事業者への連絡順序などを、優先順位付きでお渡しします。ただし、復旧作業そのもの、および被害範囲の法的な判断は行いません。専門のインシデント対応事業者をご案内します。
記録のハッシュチェーンとは何ですか。
検知・対応の記録を、直前の記録のハッシュを含めて保存する方式です。後から1行だけ削除・改変するとハッシュが合わなくなるため、記録の完全性を検証できます。取引先のセキュリティチェックシートで「対応の記録」を求められた際の証跡として利用できます。
情報処理安全確保支援士の署名はありますか。
ありません。当サービスは登録セキスペによる監査ではなく、実測ツールによる判定と手順の提示です。士業の署名が必要な調達要件がある場合は、提携先をご紹介しますのでご相談ください。
まず、無料の判定から
1環境・主要CVE 3件の該当判定を無料で行います。料金のご案内は、判定結果をお渡しした後です。
無料判定を申し込む件名に「CVE即時判定の無料申込」とご記入ください。3営業日以内に返信します。