🔐 Monomi Digest

概要

セキュリティ研究者がMicrosoft Patch Tuesdayの数時間後に「LegacyHive」と呼ばれるWindows User Profile Serviceの権限昇格ゼロデイ脆弱性のPoCエクスプロイトを公開しました。

金融機関との関連

Windows User Profile ServiceはWindows OSのコアコンポーネントであり、多くの金融機関で利用されているWindows環境に影響する可能性があります。

確認すべきこと

• 自社環境におけるWindows User Profile Serviceの利用状況と影響範囲を確認する
• Microsoftからの公式なガイダンスやパッチ情報を継続的に監視する
• 公開されたPoCの悪用可能性について評価し、必要に応じて緩和策を検討する

概要

CISAは2026年7月14日、実悪用が確認されたとして本脆弱性CVE-2026-56155をKEVカタログへ追加しました。Microsoftが2026年7月の月例セキュリティ更新プログラムで公開した622件の脆弱性のうちの1つで、57件は「緊急」と評価されています。

金融機関との関連

Microsoft製品は多くの金融機関で基盤システムや業務システムとして広く利用されているため、本脆弱性の影響を受ける可能性があります。

確認すべきこと

• CVE-2026-56155の影響を受けるMicrosoft製品の利用有無と影響バージョンを確認する
• Microsoftのセキュリティ更新プログラムを適用し、緩和策の要否を評価する
• 実悪用の有無について、関連するログやシステムを監視・確認する

概要

開発環境を標的とした、2クリックで悪用可能なカーソル関連の脆弱性が報告されました。これにより、攻撃者は開発者の機密情報やソースコードにアクセスできる可能性があります。

金融機関との関連

金融機関の開発環境や、開発プロセスで利用されるツールに影響する可能性があります。直接的な関係は記事からは確認できません。

確認すべきこと

• 自社の開発環境や開発プロセスで利用しているツールに、本記事で言及されているようなカーソル関連の脆弱性が存在しないか確認する
• 開発環境における機密情報やソースコードへのアクセス制御について、改めて評価する

概要

JPCERT/CCは、2026年7月のマイクロソフトセキュリティ更新プログラムに関する注意喚起を公開しました。この更新プログラムには複数の脆弱性に対する修正が含まれています。

金融機関との関連

多くの金融機関でマイクロソフト製品が利用されているため、適用性確認の対象になります。具体的な影響は、各脆弱性の内容と利用状況によって異なります。

確認すべきこと

• 自社および委託先で利用しているマイクロソフト製品の棚卸しを行い、影響を受ける可能性のある製品を特定する
• マイクロソフトが公開するセキュリティ更新プログラムの詳細を確認し、対応計画を策定する

概要

Microsoftは、Windowsオペレーティングシステムやその他のソフトウェアにおける過去最多となる570件のセキュリティ脆弱性に対するソフトウェアアップデートをリリースしました。この脆弱性発見数の増加は、AIによる支援が要因であるとMicrosoftは説明しています。

金融機関との関連

多くの金融機関でMicrosoft製品が利用されているため、これらの脆弱性の適用性確認は重要です。ただし、個々の脆弱性の詳細が不明なため、影響は利用状況に依存します。

確認すべきこと

• 自社で利用しているMicrosoft製品の脆弱性情報を確認し、影響を受ける製品・バージョンを特定する
• Microsoftが公開するパッチ適用ガイドラインに基づき、対応計画を策定・実施する

概要

IPAは、Microsoftが公開した複数の製品に関する脆弱性対策情報を発表しました。これには、悪用されると情報漏えいや権限昇格などの影響を及ぼす可能性のある脆弱性が含まれています。

金融機関との関連

金融機関でMicrosoft製品を広く利用している場合、これらの脆弱性が業務システムや情報資産に影響を及ぼす可能性があります。利用製品の適用性確認が必要です。

確認すべきこと

• 自社および委託先で利用しているMicrosoft製品の脆弱性有無と影響バージョンを確認する
• Microsoftが提供するセキュリティ更新プログラムや緩和策の適用を検討する

概要

SASE（Secure Access Service Edge）のセキュリティモデルが、SaaSアプリケーション、ブラウザ、生成AIツール、未承認のブラウザ拡張機能、自律型エージェントといった現代の企業ワークフローに対応しきれていないと指摘されています。従来のクラウドプロキシによるパケット検査だけでは、AIを活用した新しい脅威やデータ漏洩のリスクを検出できない可能性があります。

金融機関との関連

金融機関がSASEソリューションを導入している場合、または今後導入を検討している場合に、AI利用に伴う新たなセキュリティリスク評価の参考になります。特に、機密情報がAIツールやブラウザ拡張機能を通じて外部に漏洩するリスクは考慮すべきです。

概要

本ウェビナーは、承認された単一のマーケティングタグが、セキュリティチームが認識していない第四者コードを密かにロードし、フォーム、顧客データ、チェックアウトページへの完全なアクセスを許可する「承認ギャップ」について解説します。

金融機関との関連

金融機関が広告技術（Ad Tech）を利用し、顧客データや決済情報を取り扱う場合に関係します。特に、AIを活用した広告技術の導入を検討している場合は、潜在的なリスク評価の参考になります。

概要

ナイジェリアがサイバー攻撃の開示を組織に義務付ける規則を強化し、透明性を義務付ける他国の動きに追随しています。これはサイバー犯罪の収益増加に対応するための取り組みの一環です。

金融機関との関連

ナイジェリア国内に拠点を持つ、またはナイジェリアの規制対象となる金融機関に関係します。それ以外の金融機関への直接的な影響は限定的です。

概要

NCSCのサイバーアドバイザーが、中小企業向けにサイバーセキュリティ対策の導入を支援するため、30分間の無料コンサルティングを提供しています。

金融機関との関連

金融機関への直接的な影響は限定的です。中小企業のサイバーセキュリティ強化はサプライチェーンリスク低減に間接的に寄与する可能性があります。

概要

CriblはCardinalOpsを買収し、その技術をCribl製品に統合することで、顧客がMITRE ATT&CKフレームワークに検知ルールとセキュリティ制御をマッピングし、カバレッジギャップを特定し、脅威インテリジェンスを運用できるようにします。

金融機関との関連

金融機関への直接的な影響は限定的です。CriblまたはCardinalOps製品を利用している場合に限り、機能強化の参考情報となります。