悪用される前に修正を：FrontierStack 2.15 のセキュリティアップデートと侵害の警告

公開 2026-11-03

ほとんどの侵入に新しい手口は要りません。何週間も前に修正された脆弱性を、修正をインストールしていないサーバで使うだけです。FrontierStack 2.15 では セキュリティアップデート ペインが加わります。管理しているすべてのサーバについて、適用待ちのセキュリティ修正、そのうち攻撃者がすでに使っている穴をふさぐもの、修正がもう提供されないシステムを示します。希望すれば、選んだ時間帯の中だけで、セキュリティアップデートをインストールします。

これは FrontierStack にすでにある侵害の警告と並んで動きます。2 つで、自分のコードの外からやってくる問題の主な 2 つの経路を押さえます。頼っている会社が侵害されること、そして動かしているソフトウェアに脆弱性が公表されることです。

各サーバで何が待っているか

FrontierStack は各サーバ自身のパッケージマネージャに尋ねます。実際に何がインストールされているかを知っているのはサーバだけだからです。

• Debian と Ubuntu：-security ポケットのアップデート。
• RHEL・AlmaLinux・Rocky・Fedora・Amazon Linux：dnf または yum のセキュリティアドバイザリと、その CVE 番号。
• openSUSE と SLES：zypper のセキュリティパッチ。
• FreeBSD：pkg audit。
• Alpine：apk はセキュリティ修正を区別しないため、OSV.dev で照合したアップデート。
• macOS：ソフトウェアアップデートと、古くなった Homebrew の formula。Homebrew はどの更新がセキュリティ修正かを示さないため、別に表示します。

確認は読み取るだけです。6 時間ごとに、sudo パスワードを保存したサーバでは root で実行します。唯一変えるのは apt のパッケージリストで、1 日以上古ければ、apt 自身の毎日のジョブと同じように更新します。

待てないのはどれか

適用待ちが 40 件あるサーバでも、今日対応すべきものはたいてい 1、2 件です。FrontierStack は公開されている情報源で順位を付けます。

• CISA の悪用が確認された脆弱性（KEV）リスト。適用待ちのアップデートが、攻撃者に使われていることが分かっている CVE を修正するものなら、そのサーバは赤くなり、ほかの FrontierStack のアラートと同じ経路ですぐに知らせます。
• OSV.dev から、Debian・Ubuntu・Alpine の更新の背後にある CVE 番号を取得します。送るのはパッケージ名とバージョンだけで、ホスト名やアドレスは送りません。
• endoflife.date で、修正が提供されなくなった OS やランタイムを判断します。Ubuntu 20.04、古い PHP や Node.js のブランチ、Apple が修正をやめた macOS などです。Linux ディストリビューションに付属する PHP や Python は対象にしません。ディストリビューションが修正をバックポートするからです。
• Enfour のパッチアドバイザリ。10 月の PHP の重大な修正のように説明が必要な緊急の件では、ブランチごとの修正済みバージョンと取るべき手順をアドバイザリとして公開します。侵害アドバイザリと同じ方式で、専用の鍵で署名しています。

通常のセキュリティアップデートは、設定した日数（既定 7 日）より長く待っているときだけアラートになります。悪用中の脆弱性、アドバイザリ、サポートが終わったリリースはすぐにアラートになります。

自動のセキュリティアップデートは、指定したサーバだけ

手作業のパッチ適用は、サーバが数台を超えると回らなくなります。2.15 では、サーバごとに自動のセキュリティアップデートを有効にし、メンテナンス時間帯（たとえば日曜 3:00〜5:00）を設定できます。時間帯の中で FrontierStack がインストールするのはセキュリティアップデートだけです。

• apt はセキュリティポケットのパッケージだけをインストールし、設定ファイルはそのまま残します。
• dnf と yum は --security のアップグレードを、zypper はセキュリティパッチを実行します。
• FreeBSD は pkg audit が報告したパッケージを、Alpine は OSV が脆弱と示すパッケージをアップグレードします。
• Mac では、Enfour のアドバイザリが名指しした Homebrew の formula だけを、root ではなくあなたのユーザでアップグレードします。

実行前には空き容量が十分か確かめ、実行後は動いているサービスを比べて、止まったものがあれば知らせます。サーバを再起動することはありません。カーネルの更新に再起動が必要なときはそう伝え、タイミングはあなたが選びます。macOS のアップデートはインストールせず、独自のファームウェア更新機能を持つ OPNsense や pfSense には触れません。時間帯の中で何度確認しても、実行は 1 回だけです。

悪用中の脆弱性の修正だけは、時間帯を待たずに見つかり次第インストールすることもできます。Mac では、直近の Time Machine バックアップを条件にすることもできます。

サーバ上で root として動くため、あなた以外のものが有効にするのは意図的に難しくしてあります。自動アップデートの設定を保存するときや 今すぐセキュリティアップデートをインストール を押すときには、Mac の前に実際の人がいることが必要です（人の操作による承認。選んでいれば Touch ID も）。すべての実行は監査ログに残ります。AI 管理者はこの内容をすべて読み、何から直すべきかを伝えられますが、インストールはできません。

そして、利用中のサービスが侵害されたら

もう半分はすでに動いています。API キーを貼り付けて使うサービスが侵害されると、Enfour は多くの場合数時間以内に署名付きのアドバイザリを公開します。最近では STUDIO、Railway、OpenCode、改ざんされた LiteLLM のリリース、セルフマネージドの GitLab の脆弱性を取り上げました。FrontierStack と KeyRotate は 1 日 2 回新しいアドバイザリを確認し、Enfour の署名を検証してから信頼します。

• FrontierStack は、影響を受けるサービスで作られたサイトをページから見分け、そのサービスのペインにベンダのチェックリストを表示し、対応済みにするまでアラートを出し続けます。
• 2.15 から、Web サイトがそのサービスで作られている場合だけでなく、影響を受けるソフトウェアがこの Mac にインストールされているときや、サーバが報告したときにもアラートを出します。
• KeyRotate は、そのサービスに保存したキーを把握しており、置き換えを手伝います。流出ニュース のページでは、同じアドバイザリを Web で読めます。

やらないこと

FrontierStack は Linux サーバのバックアップを確認できないため、そこではバックアップを待てません。時間帯の前にご自身でスナップショットを取ってください。ディストリビューションのパッケージは古いバージョン番号のまま修正を含むことが多いため、それらについてはバージョン番号ではなくディストリビューション自身のセキュリティ情報を信頼します。そして、何かを勝手に再起動することはありません。その判断はあなたに残します。

始め方

FrontierStack 2.15 にアップデートし、「セキュリティツール」の セキュリティアップデート を開きます。最初の確認は起動の 1 分後に、この Mac と連携したすべてのサーバで始まります。まず赤い行から対応してください。サーバがインストールする内容に納得できたら、自動アップデート… を開いて時間帯を設定します。連携したサーバの自動アップデートは Full Fleet に含まれます。