Monomi Digest

概要

CISAは2026年8月25日、実悪用が確認されたとして本脆弱性をKEVカタログへ追加しました。Giteaにコードインジェクションの脆弱性があり、リポジトリへの書き込み権限を持つ攻撃者が悪意のあるパッチを送信することで、Giteaサービスアカウントとしてシェルコマンドを実行できる可能性があります。

金融機関との関連

金融機関でGiteaをコードリポジトリとして利用している場合に、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Giteaの利用有無と影響バージョン・外部露出を確認する
• ベンダー一次情報と修正版・緩和策を確認し対応要否を評価する
• 侵害兆候が確認された場合は提供者の指針に基づき対応を検討する

概要

2024年から2026年にかけて、Mirage2FAキャンペーンが数千社の企業に影響を与えています。この商用フィッシング・アズ・ア・サービスツールキットは、Microsoft 365アカウントを標的とし、正規のログインフローを悪用して多要素認証を回避します。ANY.RUNの調査によると、標的となったメールアドレスの48%が侵害された可能性があります。

金融機関との関連

多くの金融機関で利用されているMicrosoft 365アカウントが標的となっており、認証情報の窃取や多要素認証の回避により、不正アクセスや情報漏えいにつながる可能性があります。

確認すべきこと

• Microsoft 365環境におけるフィッシング対策と多要素認証の回避策について確認する
• ユーザーへのフィッシング攻撃に関する注意喚起と教育を強化する
• Microsoft 365の監査ログを監視し、不審なログインや認証フローの悪用がないか確認する

概要

米国財務省は、イランとその支援者に対する「前例のない、政府全体での経済的キャンペーン」の一環として、イランのサイバー攻撃者に対し新たな制裁を発表しました。これは、イランの金融ネットワークを遮断し、政権を維持する経済的生命線を断つことを目的と

金融機関との関連

金融機関が直接的な制裁対象となるわけではありませんが、制裁対象となったイラン関連組織との取引や金融サービス提供において、規制遵守の観点から注意が必要です。また、イラン関連のサイバー攻撃動向を把握する上で参考になります。

確認すべきこと

• 制裁対象リスト（SDNリスト等）を確認し、イラン関連組織との取引の有無を照合する
• イラン関連のサイバー脅威動向に関する情報を継続的に収集し、自社の脅威インテリジェンスを更新する

概要

Oasis Securityは、NVIDIA NemoClawに脆弱性を発見しました。これにより、攻撃者が制御するウェブページが、AIエージェントを提供するローカルのOllamaインスタンスを認証なしで乗っ取り、モデル内に隠された指示を埋め込む可能性があります。

金融機関との関連

金融機関がNVIDIA NemoClawやOllamaを利用してAIエージェントを運用している場合に、モデルの信頼性やデータセキュリティに影響を及ぼす可能性があります。利用状況は記事からは確認できません。

確認すべきこと

• NVIDIA NemoClawおよびOllamaの利用有無と、影響を受ける可能性のあるバージョンを確認する
• NVIDIAおよびOllamaのベンダーから公開される公式情報や修正パッチ、緩和策を確認する

概要

WordPressサイトが、MiniOrange SAML 2.0 SSOプラグインの認証バイパス脆弱性（CVE-2026-61979およびCVE-2026-15981）により標的にされていることが確認されました。

金融機関との関連

金融機関がWordPressサイトでMiniOrange SAML 2.0 SSOプラグインを利用している場合に限り、適用性確認の対象になります。

確認すべきこと

• 自社および委託先でMiniOrange SAML 2.0 SSOプラグインの利用有無と影響バージョンを確認する
• ベンダーの一次情報を確認し、修正パッチや緩和策の適用を検討する

概要

Marimoのノートブックソフトウェアに高 severity のセキュリティ脆弱性が発見され、編集モードで特別に細工されたノートブックを開くと、攻撃者が提供したModel Context Protocol (MCP)コマンドがローカルサブプロセスとして実行される可能性がありました。この脆弱性は既に修正されています。

金融機関との関連

金融機関でMarimo Notebookを利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Marimo Notebookの利用有無と影響バージョンを確認する
• ベンダーの一次情報を確認し、修正版へのアップデートまたは緩和策の適用を検討する

概要

サイバーセキュリティ研究者が、24個のnpmパッケージをフィッシングインフラとして悪用し、ClickFix風の偽CAPTHAページへリダイレクトさせる新たなキャンペーンの詳細を公開しました。攻撃者はnpmパッケージを開発者感染目的ではなく、無料のホスティングとして利用しています。

金融機関との関連

金融機関の開発者がnpmパッケージを利用している場合、開発環境やサプライチェーンに影響を及ぼす可能性があります。直接的な顧客への影響は限定的です。

確認すべきこと

• 開発環境で利用しているnpmパッケージに不審なものがないか確認する
• npmパッケージの利用状況を棚卸しし、信頼できるソースからの導入を徹底する

概要

サイバーセキュリティ研究者が、FTPバナーをデッドドロップリゾルバーとして利用し、E4delとPINHOLEという2つの未報告のRATを配信する新しいキャンペーンについて注意を喚起しています。

金融機関との関連

金融機関への直接的な影響は記事からは確認できませんが、FTPサービスを運用している場合、同様の攻撃手法に悪用される可能性について確認が必要です。

確認すべきこと

• 自社および委託先でFTPサービスを運用しているか確認する
• FTPバナーの利用状況と、不審な通信がないかネットワークトラフィックを監視する

概要

AMD、Intel、Microsoft、OPAQUE、TIIが開発したAIランタイム認証のオープン標準「TRACE」が、Linux Foundationの管理下に入ることが発表されました。

金融機関との関連

金融機関がAI技術を導入・活用する際に、そのセキュリティや信頼性を評価する上での参考情報となります。直接的な影響は現時点では限定的です。

概要

MetaはWhatsAppアカウントのセキュリティ機能として、iOSとAndroidデバイスの両方でフィッシング耐性のあるサインインを可能にする複数のパスキーサポートを発表しました。すでに10億人以上がパスキーを利用してWhatsAppにログインしているとのことです。

金融機関との関連

WhatsAppは個人間のコミュニケーションツールであり、金融機関の業務システムや顧客サービスに直接利用されることは稀です。そのため、金融機関への直接的な影響は限定的です。

概要

本記事は、サイバーセキュリティの黎明期から脆弱性管理がセキュリティプログラムの主要な要素であり、脆弱性管理チームとパッチ管理チームの共生関係が長年存在してきたことを述べています。

金融機関との関連

金融機関への直接的な影響は限定的です。AI技術が脆弱性管理に与える影響について、中長期的な視点での情報収集として参考になります。

概要

台湾当局は、NvidiaとSuper Microの従業員を含む9名を、中国へのAIサーバーの違法輸出に関与したとして起訴しました。AIインフラは米中間の主要な競争点となっています。

金融機関との関連

金融機関への直接的な影響は限定的です。AI関連技術の輸出規制に関する動向として、サプライチェーンリスクや地政学的リスクの観点から参考情報となり得ます。

概要

ActiveFenceとして知られていた企業Aliceが、AIモデルの防御と企業向けガードレールを拡張するために1億4000万ドルを調達しました。これにより、同社の総調達額は2億8000万ドルに達しました。

金融機関との関連

AIモデルの防御に関する技術開発のニュースであり、金融機関への直接的な影響は限定的です。

概要

WhatsAppがアカウントセキュリティを強化し、複数のパスキーのサポートとより強力な2段階認証（2SV）機能を追加しました。これにより、ユーザーはより安全にアカウントを保護できるようになります。

金融機関との関連

金融機関への直接的な影響は限定的です。WhatsAppは一般消費者向けメッセージングアプリであり、金融機関の業務システムや顧客サービスに直接関連するものではありません。

概要

SecurityWeekが主催するICSサイバーセキュリティカンファレンスで、サイバーフィジカルシステムへの攻撃手法に関する実践トレーニングが2026年10月6日から8日にかけて開催されます。

金融機関との関連

金融機関への直接的な影響は限定的です。産業制御システム（ICS）に関するトレーニングであり、金融機関の主要業務システムとは直接関係が薄いため、参考情報にとどまります。

概要

Kasperskyの研究者らは、自動車のヘッドユニット向けに特別に構築された初のマルウェアが、数百万台のデバイスを巻き込んだBadBoxボットネットに関連していることを発見しました。

金融機関との関連

金融機関の直接的な業務システムや顧客情報への影響は確認できません。自動車関連事業を持つ金融機関にとっては、サプライチェーンリスクやIoTデバイスのセキュリティ動向として参考になる可能性があります。

概要

サイレントパッチ（ベンダーが脆弱性情報を公開せずにパッチをリリースすること）は、攻撃者にとって悪用可能な情報源となり、一方で防御側はリスクを優先順位付けするために必要なコンテキストを欠くことになります。

金融機関との関連

金融機関への直接的な影響は限定的です。ベンダーのパッチ公開方法に関する一般的な問題提起であり、具体的な製品や脆弱性に関する情報ではありません。