🔐 Monomi Digest

概要

CISAは2026年7月27日、実悪用が確認されたとして本脆弱性をKEVカタログへ追加しました。Fortinet FortiOSには、認証されていないリモートの攻撃者が細工されたHTTPリクエストを介して、機微な情報を漏えいさせる脆弱性があります。

金融機関との関連

金融機関でFortinet FortiOSを利用している場合に限り、適用性確認の対象になります。悪用には、まず別の脆弱性を介してファイルシステムレベルで製品が侵害されている必要があります。

確認すべきこと

• Fortinet FortiOSの利用有無と影響バージョン・外部露出を確認する
• ベンダーの一次情報と緩和策を確認し、対応要否を評価する
• 侵害兆候が確認された場合は、提供者の指針に基づき対応を検討する

概要

CISAは2026年7月27日、実悪用が確認されたとして本脆弱性をKEVカタログへ追加しました。Arista VeloCloud Orchestrator On-PremにOSコマンドインジェクションの脆弱性があり、リモートの攻撃者が特権的な内部機能にアクセスし、VCOホストに影響を与える可能性があります。

金融機関との関連

金融機関でArista VeloCloud Orchestrator On-Premを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• CVE-2026-16812の影響を受けるArista VeloCloud Orchestrator On-Premの利用有無と影響バージョン・外部露出を確認する
• ベンダーの一次情報（Arista Networks）を確認し、修正版や緩和策の適用要否を評価する
• 侵害兆候が確認された場合は、ベンダーの指針に基づき対応を検討する

概要

Google CloudとMicrosoft Azureにおいて、「Confused Deputy」と呼ばれる種類の脆弱性が依然として存在していることが報告されました。この脆弱性を悪用されると、攻撃者は容易に管理者レベルの権限を取得し、クラウドプロバイダーのアクセス制御を回避できる可能性があります。

金融機関との関連

金融機関がGoogle CloudまたはMicrosoft Azureを利用している場合、これらのクラウド環境におけるアクセス制御のバイパスや管理者権限の不正取得のリスクに関係します。

確認すべきこと

• 自社および委託先におけるGoogle CloudおよびMicrosoft Azureの利用状況を確認する
• クラウド環境のアクセス制御設定と権限管理について再評価し、必要に応じて強化を検討する
• 各クラウドプロバイダーからの公式なガイダンスや緩和策の情報を確認する

概要

FBIは、多国籍法執行機関による「Operation Cronos」が、当時最大のランサムウェアグループであったLockBitの活動を停止させることに成功した要因として、アフィリエイト間の信頼関係を破壊したことを挙げました。

金融機関との関連

金融機関がLockBitによるランサムウェア攻撃の標的となるリスクは依然として存在しますが、今回のテイクダウンは脅威の動向を理解する上で参考になります。

概要

Dysphoria IoTボットネットが、JackSkidインフラに対する法執行機関の摘発後、ブロックチェーンベースの名前サービスと感染デバイスのリレー機能を導入しました。これにより、ボットネットの妨害がより困難になると研究者は指摘しています。

金融機関との関連

金融機関が直接的な標的となる可能性は低いですが、IoTデバイスを広範に利用している場合、サプライチェーンリスクや間接的な脅威として関連する可能性があります。

確認すべきこと

• 自社および委託先におけるIoTデバイスの利用状況とセキュリティ対策状況を確認する
• IoTデバイスのネットワーク分離やアクセス制御の強化を検討する

概要

vBulletinの認証不要でコード実行が可能な脆弱性に対する公開エクスプロイトが7月27日にリリースされました。この脆弱性は、認証なしのリクエストがPHPのeval()関数に到達し、パッチ未適用のフォーラムサーバー上でコードを実行できるものです。

金融機関との関連

金融機関でvBulletinのフォーラムサーバーを利用している場合に限り関係します。利用有無は記事から確認できません。

確認すべきこと

• vBulletinのフォーラムサーバーの利用有無と、影響を受けるバージョン（6.2.1以前、6.1.6以前）の稼働状況を確認する
• vBulletinのベンダーが提供するパッチや緩和策の適用状況を確認する

概要

NVIDIAは36の組織と共同でOpen Secure AI Allianceを結成し、ソフトウェアとAIエージェントのセキュリティを確保するためのオープンな技術、手法、ツールを開発・共有すると発表しました。このアライアンスにはMicrosoft、Cisco、Cloudflare、CrowdStrike、IBMなどが参加しています。

金融機関との関連

金融機関がAI技術の導入や活用を進める上で、AIのセキュリティ確保は重要な課題です。本アライアンスの活動は、将来的に金融機関のAI利用におけるセキュリティガイドラインやツールに影響を与える可能性があります。

概要

Microsoftは、AIの時代に対応するため、AIを活用してリスクを継続的に認識・推論・行動する新しいセキュリティシステム「Project Perception」を発表しました。これは、攻撃者がAIを悪用する脅威に対抗し、防御側もAIの速度で対応できるよう設計されています。

金融機関との関連

金融機関がAI技術の導入を進める中で、AI関連のセキュリティリスクへの対応は重要です。本記事はMicrosoftのAIセキュリティ戦略に関する情報であり、自社のAIセキュリティ戦略を検討する上での参考情報となります。

概要

Microsoftは、AIの安全性とセキュリティテストを強化するため、外部の専門知識を活用する「External Red Team Alliance (EXTRA)」を発表しました。これは、AIレッドチームの活動をグローバルに拡大し、世界中の大学研究室に資金提供することで、AIシステムの高リスクな障害モードや多様な攻撃経路に対応することを目指します。

金融機関との関連

金融機関がAIシステムを導入・利用する際のセキュリティ対策やリスク評価に関する一般的な参考情報となります。直接的な影響や具体的なアクションは記事からは確認できません。

概要

自律型セキュリティツールへの信頼が低下している理由について解説しており、攻撃者がゼロデイ脆弱性ではなく、組織の既存のルールや設定の不備を悪用している現状を指摘しています。

金融機関との関連

金融機関への直接的な影響は限定的です。一般的なセキュリティ対策の考え方に関する情報として参考になります。