Monomi Digest

概要

Googleは、活発な悪用が確認されているV8エンジンのタイプ混同のゼロデイ脆弱性（CVE-2026-85046）を含む12件の脆弱性に対応するChromeのセキュリティアップデートを公開しました。

金融機関との関連

金融機関の業務でGoogle Chromeをブラウザとして利用している場合、本脆弱性の影響を受ける可能性があります。特に、外部に公開されたシステムや機密情報を扱う環境での利用状況を確認する必要があります。

確認すべきこと

• 自社で利用しているGoogle Chromeのバージョンが影響を受けるか確認する
• Google Chromeを最新バージョン（152.0.7977.82以降）へ速やかにアップデートする
• アップデートが困難な環境では、代替ブラウザの利用やV8エンジンの無効化など緩和策の適用を検討する

概要

GoogleはChrome 152のセキュリティアップデートで、V8エンジンの型混乱の欠陥を含む12件の脆弱性を修正しました。これは2026年に入って6件目のChromeのゼロデイ脆弱性となります。

金融機関との関連

金融機関の業務でGoogle Chromeをブラウザとして利用している場合、本脆弱性の影響を受ける可能性があります。特にゼロデイ脆弱性は注意が必要です。

確認すべきこと

• 自社で利用しているGoogle Chromeのバージョンを確認し、最新版への更新状況を評価する
• Googleのセキュリティアドバイザリを確認し、修正された脆弱性の詳細と影響範囲を把握する

概要

HPEは、AOS-CX製品における約20件の脆弱性群（総称してCVE-2026-73749、CVSSスコア9.8）に対し、パッチを適用しました。これらの脆弱性はリモートコード実行（RCE）の可能性があります。

金融機関との関連

金融機関でHPE AOS-CX製品を利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• HPE AOS-CX製品の利用有無と影響バージョンを確認する
• HPEが提供するパッチおよび関連情報を確認し、対応要否を評価する

概要

Microsoftは、不可視のUnicodeタグ文字を使用してメールフィルターを回避する大規模なフィッシングキャンペーンについて警告しています。攻撃者はこれらの文字を「funding」のような金融関連のキーワードを分割するために使用し、メールフィルターによる解析を防いでいます。

金融機関との関連

金融機関の顧客や従業員が標的となる可能性があり、フィッシング詐欺による情報漏えいや不正送金のリスクに繋がる可能性があります。特に金融関連のキーワードが巧妙に回避されているため、注意が必要です。

確認すべきこと

• 自社のメールセキュリティシステムが不可視Unicode文字を利用したフィッシングメールを検出できるか確認する
• 従業員に対し、フィッシングメールの手口に関する注意喚起と教育を強化する

概要

PostgreSQLは、REPLICATION属性を持つアカウントがデータベースサーバーを実行しているOSユーザーとして任意のコードを実行できるセキュリティ上の欠陥を修正するアップデートをリリースしました。この欠陥はCVE-2026-6471（CVSSスコア: 7.2）として追跡されており、2014年にPostgreSQL 9.4で論理デコードが導入されて以来存在していました。

金融機関との関連

金融機関でPostgreSQLをデータベースとして利用している場合に限り、適用性確認の対象になります。特にレプリケーション機能を使用している場合は影響を受ける可能性があります。

確認すべきこと

• 自社および委託先におけるPostgreSQLの利用有無と影響バージョン（18.6、17.11、16.15、15.19、14.24より前のバージョン）を確認する
• PostgreSQLのベンダー一次情報を確認し、修正版へのアップデートまたは緩和策の適用を検討する

概要

HAProxyロードバランサーに直接コンパイルされた、これまで文書化されていないLinuxツールキット「Ted」が、韓国の2つの組織で発見されました。このバックドアはウェブトラフィックを傍受し、特定の訪問者に対して改ざんされたページを提供していました。

金融機関との関連

HAProxyを利用している金融機関において、同様の攻撃手法が適用される可能性を考慮する必要があります。HAProxyの脆弱性ではなく、ホスト上でのコード実行が必要なため、直接的な影響は限定的である可能性があります。

確認すべきこと

• HAProxyの利用状況と、ホストへの不正なコード実行の可能性について棚卸しする
• HAProxyのビルドプロセスおよびデプロイ環境のセキュリティ設定を確認する
• HAProxyのログを監視し、不審なトラフィックや改ざんの兆候がないか確認する

概要

Sangoma Switchvoxの認証不要なSQLインジェクションの脆弱性(CVE-2026-9586)が実悪用されていることが確認されました。この脆弱性はリモートからの任意コード実行に悪用される可能性があります。

金融機関との関連

金融機関でSangoma Switchvox製品を利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Sangoma Switchvox製品の利用有無と影響バージョンを確認する
• ベンダーからの一次情報や修正パッチ、緩和策を確認し、対応要否を評価する

概要

「PostGREShell」と名付けられたCVE-2026-6471は、PostgreSQLの12年前の脆弱性で、低レベルのレプリケーションアクセスをコード実行、永続的なスーパーユーザー権限、および永続的なデータベースバックドアに変換する可能性があります。

金融機関との関連

金融機関でPostgreSQLデータベースを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• CVE-2026-6471の影響を受けるPostgreSQLのバージョンと、自社および委託先での利用有無を確認する
• PostgreSQLのベンダー一次情報を確認し、修正版や緩和策の有無を評価する

概要

VMware WorkstationおよびFusionのアップデートが、仮想マシンへの管理者アクセスを持つ攻撃者がホストシステム上でコードを実行できる脆弱性を修正しました。

金融機関との関連

金融機関でVMware WorkstationまたはFusionを仮想化基盤として利用している場合に、本脆弱性の影響を受ける可能性があります。

確認すべきこと

• VMware WorkstationおよびFusionの利用有無と影響バージョンを確認する
• VMwareが提供するアップデート情報を確認し、パッチ適用計画を検討する

概要

Wordfenceの調査によると、脅威アクターがWordPressプラグイン「Super Forms」と「Elementor Pro」の2つの重大なセキュリティ脆弱性を悪用しています。特に「Super Forms」のCVE-2026-14894（CVSSスコア: 9.8）は、認証されていない攻撃者が任意のファイルをアップロードできるファイルタイプ検証の欠陥です。

金融機関との関連

金融機関でWordPressサイトを運用しており、かつ当該プラグインを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• 自社および委託先でWordPressサイトを運用しているか確認する
• WordPressサイトで「Super Forms」および「Elementor Pro」プラグインの利用有無とバージョンを確認する
• ベンダーの一次情報を確認し、修正パッチの適用または緩和策の実施を検討する

概要

Plexは、複数のセキュリティ欠陥を修正するアップデートをリリースし、ユーザーに対しPlex Media Server 1.43.3およびPlex Desktop 1.115.0への即時更新を促しています。具体的な欠陥の内容は未公開で、CVE識別子が申請中とのことです。

金融機関との関連

金融機関でPlex Media ServerやPlex Desktopを業務利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Plex Media ServerおよびPlex Desktopの利用有無と影響バージョンを確認する
• Plexからの公式情報を確認し、修正内容や緩和策について詳細を把握する

概要

OpenAIは「Daybreak」イニシアチブを通じて、重要インフラの防衛者に対し、補助金付きのAIサイバーセキュリティ機能、トレーニング、技術支援を提供するために10億ドルを拠出すると発表しました。

金融機関との関連

金融機関は重要インフラの一部であり、将来的にこのイニシアチブの対象となる可能性があります。現時点では詳細が不明なため、直接的な影響は限定的です。

概要

OpenAIは、世界で最もインテリジェントで整合性の取れたモデルと称する「GPT-6 Astra」を正式に発表しました。このモデルは、OpenAIのPreparedness Frameworkにおける「Critical」サイバーセキュリティ能力の閾値に達したとされています。

金融機関との関連

金融機関がAIモデルを業務に利用する際のセキュリティリスク評価や、AIガバナンスの検討において参考となる情報です。直接的な影響は確認できません。

概要

Microsoftがクラウドサービス向けにパッチを公開し、5,000件のDropboxアカウントが侵害され、セキュリティ企業Guardioの評価額が11億ドルに達したという、見過ごされがちな注目すべきニュースが報じられました。

金融機関との関連

記事は複数の異なる話題をまとめたものであり、金融機関への直接的な影響は限定的です。Dropboxアカウント侵害については、当該サービスを利用している場合に情報漏えいの可能性を検討する参考情報となります。

概要

Catch社が、アクセス可能なデータやシステムを制御するガードレール機能を内蔵したAIエグゼクティブアシスタントの開発で500万ドルの資金調達を実施しました。

金融機関との関連

金融機関への直接的な影響は限定的です。AIエグゼクティブアシスタントの導入を検討する際の参考情報となります。