米CISA（Cybersecurity and Infrastructure Security Agency）は、既知の悪用（実運用で攻撃に使われている証拠がある）脆弱性をまとめたKEV（Known Exploited Vulnerabilities）に、4件の脆弱性を追加しました。追加日は2026年1月22日（米国時間、日本時間では概ね1月23日）で、いずれも悪用が確認されているという扱いです。
今回の4件は、SD-WAN管理基盤、メール基盤、フロントエンド開発ツール、npmパッケージと幅が広く、情シス・開発・基盤運用それぞれに影響が出ます。
目次
KEV追加が意味すること
KEVは「優先的に潰すべき」根拠として使いやすい指標です。今回の4件はNVD上でもKEV入りが明示され、Date Addedが2026年1月22日、Due Dateが2026年2月12日と整理されています（米政府機関向け期限ですが、民間でも同水準での優先対応が妥当です）。
また、CISAは悪用の詳細を公表しておらず、ランサムウェアでの利用有無も不明扱いです。
追加された4件のポイント
まずは現場でトリアージしやすいように、対象・条件・やられることを要点でまとめます。
CVE-2025-34026：Versa Concertoの認証バイパス
Versa Concerto（SD-WANオーケストレーション）で、Traefikのリバースプロキシ設定に起因する認証バイパスが報告されています。攻撃者はログインを迂回して管理系エンドポイントへ到達し得ます。NVDの記載では、内部のActuatorエンドポイントが悪用されると、ヒープダンプやトレースログにアクセスされ得る点が示されています。
影響範囲として、Concerto 12.1.2〜12.2.0が挙げられ、追加のバージョンも影響する可能性があります。
CVE-2025-68645：Zimbra Collaboration SuiteのLFI
Zimbra Collaboration Suite（ZCS）10.0 / 10.1のWebmail Classic UIに、RestFilter servletのパラメータ処理不備によるLocal File Inclusion（LFI）が報告されています。未認証の攻撃者が/h/restに対するリクエストを細工し、WebRootディレクトリから任意ファイルを包含できる可能性がある、という内容です。
NVDの構成情報では、10.0系は10.0.18未満、10.1系は10.1.13未満が影響範囲として示されています。
メール基盤は侵害後の二次被害が重くなりやすい（なりすまし、社内展開、過去メールの情報漏えい）ため、公開系にZimbraを置いている組織は優先度を上げてください。
CVE-2025-31125：Viteのdev server公開時のファイル露出
Viteの開発用サーバをネットワークに公開している場合（--hostやserver.host設定で外部到達可能にしている場合）、?inline&importや?raw?importのパラメータ悪用で、許可されていないファイルの内容がブラウザへ返される可能性があります。
修正版は 6.2.4 / 6.1.3 / 6.0.13 / 5.4.16 / 4.5.11 です。
CVE-2025-54313：eslint-config-prettierのサプライチェーン混入
eslint-config-prettierの特定バージョン（8.10.1 / 9.1.1 / 10.1.6 / 10.1.7）に悪性コードが混入し、インストール時にinstall.jsが実行され、Windowsでnode-gyp.dllマルウェアを起動する、とNVDで説明されています。
情報システム部門向けの優先順位
同じKEVでも、組織の露出面で優先順位が変わります。
-
最優先（外部公開の可能性が高い）
Zimbra（CVE-2025-68645）、Versa Concerto（CVE-2025-34026） -
優先（開発環境の露出・設定ミス次第）
Vite（CVE-2025-31125） -
優先（開発端末・CIの健全性）
eslint-config-prettier（CVE-2025-54313）
すぐやるチェックリスト
-
資産棚卸し：Versa Concerto / Zimbra / Vite dev server運用有無、CIでeslint-config-prettier利用有無を洗い出し
-
外部到達性の確認：管理UIやwebmail、dev serverがインターネットから到達できないことを確認（到達するなら先に遮断）
-
パッチ適用：各ベンダー・プロジェクトの修正版へ更新（Zimbraは10.0.18以降、10.1.13以降が一つの目安）
-
開発系の安全確認：
package-lock.json/yarn.lock/pnpm-lock.yamlに該当バージョンが混入していないか確認し、混入があれば依存関係をクリーンにして再ビルド（特にWindows実行環境） -
監視：認証回避の試行、/h/restへの不審アクセス、Vite dev serverへの外部アクセス、CIでの不審なpostinstall実行などをログ観点に追加
関連記事
Volt TyphoonがVersa Director のゼロデイ脆弱性を悪用し不正アクセス
Zimbra、チャットプロキシの重大なSSRF脆弱性に緊急パッチ-管理者は直ちに10.1.12へ
主要なLLMに有効なプロンプト インジェクション「Policy Puppetry」-サイバー攻撃への悪用が容易
npmで発生したサプライチェーン攻撃、Prettier系ツールパッケージがマルウェアに汚染
フロントエンドツール Viteで任意ファイルの読み取りが可能な脆弱性(CVE-2025-30208)
Zimbraのゼロデイ脆弱性(CVE-2025-27915)、サイバー攻撃への悪用を確認-ICS経由でWebメール乗っ取り
ロシア人2名がロックビット(Lock Bit)攻撃の実行を認める
北朝鮮系 ハッカーが新型マルウェア「EtherRAT」とReactの脆弱性 React2Shellをサイバー攻撃に悪用
ロックビット（Lock Bit）は米連邦準備銀行(FRB)ではなくエボルブ銀行へハッキングか
