Monomi Digest

概要

CISAは2026年8月3日、実悪用が確認されたとしてN-able N-centralの認証バイパス脆弱性(CVE-2026-18577)をKEVカタログへ追加しました。この脆弱性は、CVE-2026-18556に対するパッチが不完全であったために生じ、認証バイパスとアカウント乗っ取りを許す可能性があります。

金融機関との関連

金融機関でN-able N-centralをIT運用管理ツールとして利用している場合に、本脆弱性の影響を受ける可能性があります。利用有無は記事からは確認できません。

確認すべきこと

• N-able N-centralの利用有無と影響バージョンを確認する
• ベンダーからの一次情報や修正パッチ、緩和策を確認し、対応要否を評価する

概要

サイバーセキュリティ研究者が、Alibaba開発ツール利用者を標的とした悪意あるnpmパッケージ18種類を発見しました。これらはクロスプラットフォームのRATを配布し、中国語圏を狙った巧妙なソフトウェアサプライチェーン攻撃の一部です。

金融機関との関連

金融機関がAlibaba開発ツールを利用し、かつ当該npmパッケージを導入している場合に影響を受ける可能性があります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• 自社および委託先でAlibaba開発ツールと関連するnpmパッケージの利用有無を確認する
• 記事に記載された悪意あるnpmパッケージ名（例: "lib-mtop"）と自社環境のnpmパッケージを照合し、導入されていないか確認する

概要

Windowsマシン上で動作するマルウェアが、指紋認証やPINなしで、被害者のパスキー保護アカウントにサインインできることが判明しました。Unit 42は、ChromeのGoogleパスワードマネージャーのクラウド認証器に対する3つの攻撃経路を詳細に解説しています。

金融機関との関連

金融機関でGoogleパスワードマネージャーを従業員が利用している場合、または顧客がパスキー保護アカウントで金融サービスを利用している場合に、アカウント乗っ取りのリスクに関係します。

確認すべきこと

• Googleパスワードマネージャーおよびパスキーの利用状況について、従業員への注意喚起と利用ガイドラインの確認を検討する
• パスキー保護アカウントのセキュリティ対策について、多要素認証の利用状況や復旧オプションの堅牢性を確認する