テーマ： vulnerability-management

• 製造者のCRA脆弱性対応フローを整備する：受付、証拠、報告期限の管理

  脆弱性の受付と構成要素の記録をCRAの報告判断につなげる準備手順案である。2026年にすでに適用されている報告義務と、2027年12月に適用される、より広範な脆弱性対応要件を区別する。

  methodology · ja · reviewed · 知識の基準日 2026-10-25

• 2026年9月からのCRA報告義務：報告要件、期限、Single Reporting Platform

  CRAは製造者に対し、実際に悪用されている製品の脆弱性と、製品のセキュリティに影響する重大なインシデントの報告を求めている。どちらにも24時間と72時間の段階があるが、最終報告の期限は異なる事象を起点に計算する。

  article · ja · reviewed · 知識の基準日 2026-10-25

• Confirming a security patch actually landed: matching installed versions against vendor advisories across OS families

  An update job reporting success is not proof a specific vulnerability is fixed; matching the installed package or build version against the vendor's own advisory — Ubuntu USN, a RHEL-family advisory (RHSA on RHEL) via dnf updateinfo --security, Debian DSA via debsecan, Windows Get-HotFix, or a macOS build number against Apple's own security-release page — is what closes the loop, and a pending restart can leave the old, vulnerable binary still running even after that check passes.

  article · en · reviewed · 知識の基準日 2026-09-24

• スイスのサイバー攻撃報告とCRA：運用者と製品の製造者で異なる義務

  スイスの重要インフラに関する報告は、対象となる運用者への、要件を満たすサイバー攻撃を扱う。CRAは、スイスの製造者を含め、EU市場に製品を供給する製造者を対象としており、初期の期限が似ていても、報告先や報告要件を相互に置き換えることはできない。

  article · ja · reviewed · 知識の基準日 2026-10-25

• CRAとオープンソース：コントリビューター、製造者、スチュワードの区別

  オープンソースライセンスだけではCRA上の義務は決まらない。規則は、製品の商業的な供給、自らの責任範囲外にあるソフトウェアへの貢献、オープンソースソフトウェア・スチュワードによる継続的な支援を区別しており、スチュワードの第24条上の義務は2027年12月に始まる。

  article · ja · reviewed · 知識の基準日 2026-10-25

機械可読： JSON