CVSS 9.8を含むCVE4件、Fluentdメンテナが経験した脆弱性対応の舞台裏

2026年6月、私たちはFluentd v1.19.3でCVSS 9.8のRCEを含む4件の脆弱性を修正し、CVEを公開しました。本セッションはその対応にあたったOSSメンテナの一次体験談です。

始まりは、同じ脆弱性が示し合わせたように複数の報告者から同時期に届いたことでした。修正中にも報告が届き、トリアージはリリース当日まで続きました。GitHubでCVE IDを取得しアドバイザリを公開しても、記録はcve.orgやNVDに3週間反映されませんでした。GitHub Advisory DatabaseとDependabotは即日動くのに、NVDを参照するスキャナやSBOMツールは脆弱性を認識できない。自社の脆弱性管理がどちらを見ているかで、気づく時期が3週間ずれるという現実です。

報告の受付から修正、採番、開示調整、データベース反映まで、実際に直面した課題を紹介します。設定依存の脆弱性に対し、バージョンだけで判定するスキャナを補うため設定診断ツールを新たに開発した判断と設計も共有します。自社への影響と優先順位を判断する観点と、報告者としてメンテナの検証を助ける伝え方を持ち帰れます。