Monomi Digest

概要

CISAは2026年8月4日、実悪用が確認されたとしてApache Tomcatの機微情報暗号化欠陥(CVE-2026-34486)をKEVカタログへ追加しました。この脆弱性はEncryptInterceptorのバイパスを可能にします。

金融機関との関連

金融機関で広く利用されているApache Tomcat製品に影響する可能性があり、利用している場合は適用性確認の対象になります。

確認すべきこと

• CVE-2026-34486の影響を受けるApache Tomcatのバージョンと利用有無を棚卸しする
• ベンダーの一次情報やパッチ、緩和策を確認し、対応要否を評価する
• 侵害の兆候がないかログ等を監視し、必要に応じて対応を検討する

概要

CISAは2026年8月4日、実悪用が確認されたとして本脆弱性をKEVカタログへ追加しました。IBM Langflowに認証されていない攻撃者がリモートコード実行を可能にするコードインジェクションの脆弱性「CVE-2026-9198」が存在します。

金融機関との関連

Langflowをデフォルト設定で利用している金融機関は、本脆弱性の影響を受ける可能性があります。利用有無を確認し、必要な対応を検討する必要があります。

確認すべきこと

• 自社および委託先におけるIBM Langflowの利用有無と影響バージョンを確認する
• IBM Langflowのベンダー情報を確認し、パッチ適用や緩和策の実施を検討する
• Langflow環境における不審な活動や侵害の兆候がないか監視する

概要

CISAは2026年8月4日、実悪用が確認されたとして本脆弱性をKEVカタログへ追加しました。N-able N-centralには認証バイパスの脆弱性(CVE-2026-18556)が存在し、認証を回避される可能性があります。

金融機関との関連

N-able N-centralを導入している金融機関において、本脆弱性の影響を受ける可能性があります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• N-able N-centralの利用有無と影響バージョンを確認する
• ベンダーの一次情報と修正版・緩和策を確認し、対応要否を評価する

概要

商用フィッシング・アズ・ア・サービス（PhaaS）ツールキット「Greatness」が、OAuth 2.0デバイス認証フローを悪用して多要素認証（MFA）を回避し、ユーザーアカウントを乗っ取る「デバイスコードフィッシング」のサポートを追加しました。

金融機関との関連

金融機関がOAuth 2.0デバイス認証フローを利用している場合、従業員や顧客がデバイスコードフィッシングの標的となる可能性があります。これにより、アカウント乗っ取りや情報漏えいのリスクが生じます。

確認すべきこと

• OAuth 2.0デバイス認証フローの利用状況と、関連するMFA設定および監視体制を確認する
• デバイスコードフィッシングの手法について従業員への注意喚起と教育を検討する

概要

Keyv@6.0.0で初めて確認されたnpmワームが、2026年8月4日にKeyvおよびCacheable以外の数百のパッケージに拡散しました。SafeDepはnpmレジストリで79パッケージ名にわたる353の汚染バージョンを確認し、Aikidoは少なくとも868パッケージが影響を受けたと報告しています。

金融機関との関連

金融機関がnpmパッケージを利用してソフトウェア開発を行っている場合、サプライチェーンリスクとして関係します。特に、汚染されたパッケージが内部システムや顧客向けサービスに組み込まれると、情報漏えいや業務停止につながる可能性があります。

確認すべきこと

• 自社で利用しているnpmパッケージの中に、記事で言及されている汚染されたバージョンが含まれていないか確認する
• 開発環境におけるnpmパッケージのサプライチェーンセキュリティ対策を見直し、信頼できるソースからの導入を徹底する
• 開発環境やCI/CDパイプラインにおける不審な挙動やファイル変更がないか監視を強化する

概要

サイバーセキュリティ研究者が、AdobeやZoomのソフトウェアアップデート、ビジネス文書レビュー、システムメンテナンスユーティリティを装ったソーシャルエンジニアリング攻撃キャンペーンの詳細を公開しました。この攻撃は、ConnectWise ScreenConnectのようなリモート監視・管理（RMM）プログラムを密かに展開するものです。

金融機関との関連

金融機関でAdobeやZoomなどの一般的なソフトウェアを利用している場合、従業員が攻撃の標的となる可能性があります。RMMツールが導入されると、内部システムへの永続的なアクセスを許してしまうリスクがあります。

確認すべきこと

• 従業員に対し、ソフトウェアアップデートの正規の入手経路（ベンダー公式サイトなど）を再確認するよう注意喚起する
• 不審なソフトウェアインストールやRMMツールの導入がないか、システムログやネットワーク通信を監視する

概要

NCSCの最高技術責任者であるOllie Whitehouse氏が、最近のインシデントを受けてAIセキュリティに関する声明を発表しました。

金融機関との関連

金融機関が最先端AI技術の評価や導入を検討している場合、そのセキュリティリスクを理解する上で参考となる情報です。直接的な影響は限定的です。