2026年6月第3週・自動車サプライヤー向けPSIRT週報

エグゼクティブサマリ

対象週に一次情報で採用できた重要案件は、Tomcat、Chrome、Linux kernel、LXD、node-pbkdf2 の計6件でした。今週の特徴は、車載ECUへの直接的なゼロデイ公開よりも、OTA管理基盤、診断/サプライヤーポータル、CI/CD、コンテナホスト、開発端末、署名・認証周辺 に波及する基盤更新が中心だった点です。

最も重い判断分岐は Tomcat と Linux kernel Copy Fail です。Tomcat は外部公開の OTA 管理画面、診断ポータル、サプライヤーポータル、品質・保証 Web 基盤に残っていれば P1 が妥当です。Copy Fail は CVSS だけを見ると Tomcat より低く見えますが、KEV 掲載と active exploitation のシグナルがあり、共有 CI/CD やコンテナホストでは P1〜P2 で扱うべきです。

Chrome 149 は端末面の母数が大きく、開発端末・管理端末・Android/IVI 評価端末の踏み台化と認証情報の流出面を重く見ます。LXD と node-pbkdf2 は採用有無に依存しますが、鍵・証明書・SSH/FIDO・署名・認証に絡むため、SBOM とインフラ台帳で未確認のまま放置しないことが重要です。

主要ニュース表

公開日/JST	対象	要約	識別子	技術深刻度	対応優先度	自動車影響	推奨アクション
2026/06/18	Ubuntu / Apache Tomcat	HTTP/2 ヘッダ検証不備、認証ヘッダ漏えい、認可不備など。クラッシュまたは任意コード実行の可能性。	CVE-2026-41284 / 41293 / 42498 / 43515	CVSS 9.8 Critical、SSVC は exploitation:none / automatable:yes / technicalImpact:total	P1：外部公開時 P2：内向き限定	OTA管理、診断ポータル、サプライヤーポータル、品質/保証系Web基盤。	tomcat9/10/11、HTTP/2、リバースプロキシ構成を確認し、即時更新または緩和。
2026/06/16	Google Chrome Stable Desktop / Android	Chrome 149 安定版で33件のセキュリティ修正。Critical は WebShare、WebView、Digital Credentials、File Input、Passwords、Web Authentication。	CVE-2026-12437〜12469	Google公式分類で Critical / High	P2	PLM/ALM/SaaS利用端末、開発端末、Android/IVI 評価端末、WebView検証環境。	Chrome/Chromium/WebView の棚卸し、強制更新、再起動完了率確認。
2026/06/17	Ubuntu / Linux kernel / Copy Fail	algif_aead の in-place 暗号処理不備。権限昇格またはコンテナ脱出の可能性。	CVE-2026-31431	CVSS 7.8 High、KEV 掲載、SSVC active / automatable:no / technicalImpact:total	P1：共有CI/CD・共有ホスト P2：一般サーバ	CI/CD、ビルドサーバ、コンテナホスト、OTA配信基盤、検証クラウド。	対象kernel確認、再起動計画、共有ホスト優先、権限境界レビュー。
2026/06/17	Ubuntu / Linux kernel / Dirty Frag	shared page fragments 処理不備。XFRM ESP-in-TCP と RxRPC に関係し、権限昇格またはコンテナ脱出の可能性。	CVE-2026-43284	CVSS 7.8 High、Ubuntu priority High	P2	コンテナホスト、VPN/暗号化通信を扱う Linux ホスト、開発・検証・配信基盤。	該当kernel確認、再起動を含むパッチ適用、サードパーティ kernel module 再ビルド確認。
2026/06/18	Ubuntu / LXD / Go Cryptography	LXD に埋め込まれた Go Cryptography 更新。SSH、FIDO/U2F、SSH agent、CA revocation に関係。	CVE-2026-39830 / 39833 / 39834 / 42508	代表 CVE-2026-42508 は CVSS 9.1 Critical、Ubuntu priority Medium	P2	コンテナホスト、CI/CD、ビルドノード、署名補助サーバ、管理者ジャンプホスト。	LXD利用有無、snapを含む埋め込みGo crypto、SSH/FIDO/CA運用を点検。
2026/06/18	Ubuntu / node-pbkdf2	特定入力で予測可能な暗号鍵を生成し得る問題。署名スプーフィングにつながる可能性。	CVE-2025-6545	NVD上のCNA CVSS-B 9.1 Critical、SSVC poc / automatable:no / technicalImpact:partial	P2：採用時 P4：非採用時	OTA署名補助、Node.jsベースの認証/鍵導出、CI/CDのnpm依存、社内署名ツール。	SBOM と lockfile で採用確認し、署名・認証用途があれば即修正。

対応優先度の運用目安：P1=即時ないし48時間以内、P2=今週中、P3=通常パッチサイクル、P4=監視または非採用確認。

個別解説

Tomcat

Tomcat は、対象週の中で最も 外部露出時の危険度 と 自動車業務への波及 が同時に高い案件です。HTTP/2 header fields の検証不備により、リモート攻撃者がクラッシュまたは任意コード実行を引き起こす可能性があります。自動車サプライヤーでは、ECUに直接入っているより、OTA運用、診断ログ可視化、サプライヤーポータル、保証/品質ワークフロー、社外接続API基盤に入りやすい部品です。

優先度は、CVSSだけではなく 外部公開であるか、HTTP/2を有効にしているか、認証ヘッダを扱う経路か で決めます。外部公開の運用基盤に該当する場合は P1、内向き限定であっても速やかな更新計画が必要です。

Chrome 149

Chrome 149 の安定版更新は、サーバ侵害ではなく 端末面の母数の大きさ が脅威です。Critical に分類された領域には、WebShare、WebView、Digital Credentials、File Input、Passwords、Web Authentication が含まれます。開発端末、管理端末、サプライヤーポータル利用端末、Android/IVI 評価端末が現実的な波及先です。

ここは「更新が配布された」だけでは不十分です。再起動が未完了の端末が残りやすいため、特権端末、開発者端末、外部Web閲覧端末を優先して、バージョン分布と再起動完了率を確認します。

Linux kernel

Linux kernel は Copy Fail と Dirty Frag の二本立てで見るべきです。Copy Fail は KEV 掲載と active exploitation が確認できるため、共有CI/CDやマルチユーザ開発基盤、コンテナホストでは P1〜P2 で扱います。リモートから即侵入されるタイプではない一方、侵害後の root 化やコンテナ脱出に直結します。

Dirty Frag も、コンテナ境界崩しと VPN/ネットワーク基盤への影響が重い案件です。標準更新後の再起動に加えて、ABI変更によりサードパーティ kernel module の再コンパイル/再インストールが必要になる場合があります。パッチ適用だけで完了扱いにせず、再起動とモジュール確認まで含めて管理します。

LXD

LXD の更新は、見た目にはLXDの脆弱性ですが、実態としては埋め込まれた Go Cryptography の更新をコンテナ基盤側へ反映する案件です。SSH global request responses、FIDO/U2F、SSH agent、CA revocation checks など、鍵・証明書・SSH/FIDO の信頼境界に寄っています。

本番車載機能に直接入っていなくても、開発/検証環境、CI/CD補助基盤、管理者ジャンプホスト、署名周辺の補助サーバに残っている可能性があります。採用有無をインフラ台帳とSBOMで確認します。

node-pbkdf2

node-pbkdf2 は、使っていなければ監視で済みますが、使っていれば急に重くなる典型です。特定入力で予測可能な暗号鍵を生成し得る問題で、署名スプーフィングに直結する可能性があります。

評価ポイントは、OTA署名、アーティファクト署名、鍵導出、Node.jsベースの認証処理、CI/CDのnpm依存に pbkdf2 がいるかどうかです。採用が確認されれば P2、非採用なら P4 まで落とせます。今週やるべきことは、まず 使っているかどうかを未確認のまま放置しないこと です。

優先度Top5

Tomcat 脆弱性群
外部公開の OTA/診断/サプライヤーポータルに Tomcat が存在するなら、CVSS 9.8 と automatable:yes に加えて、ポータル権限・認証情報・業務データへの横展開経路が大きいため P1 が妥当です。
Linux kernel Copy Fail
KEV 掲載と active exploitation が確認できるため、共有CI/CDやコンテナホストでは極めて重く見ます。非インターネット公開でも多ユーザな開発基盤では、侵害後 root 化の被害が大きくなります。
Chrome 149 安定版更新
影響範囲の広さから優先度は高いです。設計・品質・購買・サプライヤー接続を含む端末全体に及ぶため、更新配布よりも再起動完了率を追うべき案件です。
Linux kernel Dirty Frag
Copy Fail と合わせて Linux ホスト境界の強度低下として扱います。VPN/ネットワーク系サブシステムに近く、コンテナ脱出の文脈もあるため、クラウド/検証基盤では無視できません。
LXD / Go Cryptography と node-pbkdf2
どちらも採用していれば重い案件です。LXD は SSH/FIDO/証明書、node-pbkdf2 は署名・鍵導出・認証に効くため、SBOM とインフラ台帳の突合が必要です。

PSIRT向けTo-Do

期限目安	To-Do	目的
即日	外部公開 Tomcat の有無を棚卸しし、HTTP/2 と WebSocket の有効化状況を確認	Tomcat を P1/P2 に切り分けるため。
即日	Chrome / Chromium / Android WebView 相当のバージョン分布と再起動完了率を取得	端末側の未完了更新を可視化するため。
即日〜翌営業日	Copy Fail 該当 kernel のホスト群を抽出し、共有 CI/CD・コンテナホストを優先列挙	KEV・active exploitation の影響を先に潰すため。
今週中	Dirty Frag 該当ホストに対する再起動計画と、サードパーティ kernel module 再ビルド要否を確認	パッチ適用だけで止まらない運用差分を吸収するため。
今週中	LXD 利用有無、snap ベース運用、SSH agent / FIDO / CA revocation を用いる管理経路を確認	鍵・証明書境界への波及を把握するため。
今週中	npm lockfile と SBOM を横断検索し、node-pbkdf2 の採用有無と用途を特定	P2 と P4 を分けるため。
今週中	OTA 署名、アーティファクト署名、認証基盤、サプライヤーポータルに対する「鍵・認証・権限」依存地図を更新	基盤更新を車載サプライチェーン影響へ接続するため。
今週中	OEM 向け説明が必要な案件を整理	外部公開 Tomcat、署名/認証経路、OTA 運用境界に波及する案件だけを抽出するため。

別紙C 候補と採否ログ

候補ID	対象	採否	判断ログ	対応優先度	情報の確度
C-001	Ubuntu / Apache Tomcat	採用	対象期間内のUSN公開。外部公開TomcatがあればOTA/診断/サプライヤーポータルへ直接波及し得る。	P1（外部公開時）/ P2（内向き限定）	高
C-002	Google Chrome Stable Desktop / Android	採用	対象期間内の公式公開。開発端末・管理端末・Android/IVI評価端末への母数影響が大きい。	P2	高
C-003	Ubuntu / Linux kernel / Copy Fail	採用	対象期間内のUSN公開。CI/CD・コンテナホスト・配信基盤に強く波及。	P1（共有CI/CD・共有ホスト）/ P2（一般サーバ）	高
C-004	Ubuntu / Linux kernel / Dirty Frag	採用	対象期間内のUSN公開。コンテナ脱出・権限昇格として基盤影響が大きい。	P2	高
C-005	Ubuntu / LXD / Go Cryptography	採用	対象期間内のUSN公開。鍵・証明書・SSH/FIDO・コンテナ基盤の信頼境界に影響。	P2	高
C-006	Ubuntu / node-pbkdf2	採用	対象期間内のUSN公開。署名・鍵生成・認証に採用されていれば自動車影響が具体化する。	P2（採用時）/ P4（非採用時）	高
C-007	Google ChromeOS Stable Channel	除外	対象期間内だが、取得できた一次情報本文ではセキュリティ修正の具体列挙がなく、本編の優先度はChrome Stable Desktop/Androidより低い。	P4	中
C-008	Ubuntu / ldns	除外	対象期間内だが、DNSスタブリゾルバ影響はある一方で、自動車影響の具体性が弱い。	P3	高
C-009	Ubuntu / libheif	除外	画像処理系製品に入っていれば別途検討だが、OTA/CI/CD/署名境界との距離が遠い。	P3	高
C-010	Ubuntu / Vim	除外	開発端末の衛生要件として重要だが、自動車供給網への直接波及は相対的に小さい。	P3	高
C-011	Ubuntu / kitty	除外	端末リスクとしては認識するが、サーバ/署名/OTA境界より優先順位は下。	P3	高
C-012	Ubuntu / Net::CIDR::Lite	除外	OSS依存としては監視対象だが、採用有無を除くと自動車影響を具体化しにくい。	P4	高
C-013	Jenkins Security Advisory 2026-06-10	除外	CI/CD観点では重要だが、公開日が対象期間外。	P4	高
C-014	OpenSSL 2026 vulnerabilities	除外	TLS/署名基盤として重要だが、公開日が対象期間外。	P4	高
C-015	curl / libcurl CVEs	除外	OTA・バックエンド通信では重要だが、直近公開日が対象期間外。	P4	高

2026年6月第3週・自動車サプライヤー向けPSIRT週報
2026年6月15日から6月21日