Monomi Digest

概要

Microsoftは9月のセキュリティ更新プログラムで、過去最多となる974件の脆弱性を修正しました。これには、既に悪用が確認されている2件の権限昇格ゼロデイ脆弱性と、20件のワーム可能な脆弱性が含まれます。

金融機関との関連

多くの金融機関で利用されているMicrosoft製品に影響する可能性があり、特に悪用が確認されたゼロデイ脆弱性は、システムへの不正アクセスや情報漏えいにつながる恐れがあるため、早急な対応が求められます。

確認すべきこと

• 自社で利用しているMicrosoft製品の脆弱性適用状況を確認し、影響を受ける製品を特定する
• Microsoftが公開したセキュリティ更新プログラムを速やかに適用する
• 悪用されたゼロデイ脆弱性に関する詳細情報を確認し、自社環境での侵害兆候の有無を調査する

概要

Adobeは、Commerce製品のゼロデイ脆弱性（CVE-2026-75650）を含む170件以上の脆弱性に対するパッチを公開しました。このゼロデイ脆弱性は、認証されていない攻撃者が任意のコードを実行できるものです。

金融機関との関連

金融機関でAdobe Commerce製品を利用している場合、または委託先が利用している場合に直接関係します。認証不要でコード実行が可能なため、影響は重大となる可能性があります。

確認すべきこと

• Adobe Commerce製品の利用有無と影響バージョンを確認する
• Adobeが公開したパッチおよびセキュリティ情報を確認し、速やかに適用を検討する
• CVE-2026-75650の悪用有無を示すIoC（Indicators of Compromise）を監視する

概要

Adobeは、Adobe CommerceおよびMagento Open Sourceに影響を与える最大深刻度のゼロデイ脆弱性(CVE-2026-75650、CVSSスコア10.0)に対するセキュリティパッチを公開しました。この脆弱性は「S

金融機関との関連

金融機関がAdobe CommerceまたはMagento Open SourceをECサイトや決済システム、サプライチェーン管理などで利用している場合に関係します。特に外部公開されているシステムでの利用は、情報漏えいや業務停止のリスクに直結する可能性があります。

確認すべきこと

• 自社および委託先でAdobe CommerceまたはMagento Open Sourceの利用有無と影響バージョンを確認する
• Adobeが公開したセキュリティパッチを速やかに適用し、緩和策を導入する
• システムログやネットワークトラフィックを監視し、侵害の兆候がないか確認する

概要

Google脅威インテリジェンスグループ(GTIG)は、敵対的AIの進化を報告しました。脅威アクターは基本的なプロンプトから自律的なAIワークフローやAIを活用した自動化へと移行しており、防御側の対応時間が短縮されています。2026年第2四半期には、脅威アクターがクラウド資源を侵害し、6時間以内にAIエージェントを利用した大規模な認証情報窃取キャンペーンを実行した事例が確認されました。

金融機関との関連

金融機関がAI技術を導入・利用している場合、またはクラウド環境を利用している場合に関係します。AIモデルやAPI認証情報の窃取、サプライチェーン攻撃のリスクが高まる可能性があります。

確認すべきこと

• 自社および委託先におけるAI技術の利用状況、特にAIエージェントやLLMの導入状況を棚卸しする
• AI関連資産（モデル、ソースコード、API認証情報など）に対するセキュリティ対策と監視体制を評価する
• クラウド環境におけるAI関連リソースへのアクセス制御とログ監視を強化する

概要

ある金銭目的のハッキンググループが、自律型のマルチエージェント攻撃フレームワークを利用し、6時間以内に数千の認証情報を窃取する大規模なキャンペーンを実行しました。Google Threat Intelligence Group (GTIG)

金融機関との関連

金融機関はAI技術の導入が進む中で、AIを悪用した攻撃手法への対策を検討する必要があります。特に認証情報窃取は、金融サービスへの不正アクセスや詐欺に直結するリスクがあります。

確認すべきこと

• AI技術を導入しているシステムやサービスにおける認証情報の管理体制を再確認する
• AIを悪用した攻撃手法に関する最新の脅威動向を継続的に監視する
• AIシステムのセキュリティ評価と、潜在的な悪用リスクに対する緩和策を検討する

概要

Microsoftは、Windows OSやその他のソフトウェアにおける約1,000件のセキュリティホールを修正する月例パッチを公開しました。これは過去最大のパッチ数であり、AIが脆弱性発見を加速させているとMicrosoftは述べています。

金融機関との関連

多くの金融機関でMicrosoft製品が基盤として利用されているため、本パッチの適用性確認は関係します。ただし、個々の脆弱性の詳細や金融機関への直接的な影響は記事からは確認できません。

確認すべきこと

• 自社で利用しているMicrosoft製品の脆弱性情報を確認し、影響を受ける製品・バージョンの有無を棚卸しする
• Microsoftが公開したパッチ情報に基づき、自社環境への適用要否と計画を評価する

概要

「Slim Spider」と名付けられた、これまで文書化されていなかった金銭目的の脅威アクターが、2026年3月以降、ブラジルの金融機関を標的とした攻撃に関与していることが判明しました。この攻撃者はブラジルの金融インフラに関する深い運用知識を持っているとされています。

金融機関との関連

ブラジルの金融機関が標的とされた事例ですが、同様の手法が他の地域の金融機関にも適用される可能性があり、脅威動向として関係します。

確認すべきこと

• 「Slim Spider」の攻撃手法やTTPsに関する詳細情報を収集し、自社の防御策との比較評価を行う
• 暗号資産管理システムにおけるセキュリティ対策の現状を再確認し、必要に応じて強化を検討する

概要

SAPは、SAPカーネルコードに存在する重大な脆弱性に対するパッチを公開しました。この脆弱性は、認証されていないリモート攻撃者が任意コマンドの実行、機密情報の窃取、データ改ざんを可能にするものです。

金融機関との関連

金融機関でSAP製品を利用している場合に限り、適用性確認の対象になります。記事からは具体的な製品名や利用状況は確認できません。

確認すべきこと

• SAP製品の利用有無と影響を受けるSAPカーネルのバージョンを確認する
• SAPが提供するパッチおよび関連情報を確認し、対応要否を評価する

概要

Liquid Networkから約4,000ビットコインが盗まれたインシデントで、ハッカーは翌日3,400ビットコインを返還しましたが、依然として約598.5ビットコイン（4,700万ドル相当）を保有しています。Liquid Networkは現在も停止しており、L-BTCトークンをビットコインに戻すことはできません。

金融機関との関連

金融機関がLiquid Networkや関連するビットコインサイドチェーンを利用している場合、または暗号資産関連サービスを提供している場合に、インシデント対応やリスク評価の参考情報となります。

概要

Check Point Researchの報告によると、ChatGPTの会話に埋め込まれた単一の指示により、ChatGPTがユーザーの質問に通常通り回答しながら、攻撃者のために密かに動作する可能性があることが判明しました。概念実証では、ユーザーのGmailアカウントからデータを読み取り、隠れたチャネルを通じて別のアカウントへ送信しました。

金融機関との関連

金融機関がChatGPTをGmailアカウントと連携させて利用している場合、情報漏えいのリスクに関係します。利用状況によっては、機密情報が外部に送信される可能性があります。

確認すべきこと

• ChatGPTとGmail等の外部サービスとの連携状況を確認し、機密情報へのアクセス権限を評価する
• ChatGPTの利用ガイドラインやセキュリティ設定を見直し、不審なプロンプトの検出・防止策を検討する

概要

セキュリティ企業Califの研究者が、着信通話を通じてWeChatアカウントを乗っ取るワームを開発し、3台のテスト電話間で拡散する様子を実証しました。この攻撃は、着信を受けた側が電話に応答したり操作したりする必要がなく、発信者がWeChatの連絡先に登録されている場合に機能します。Califは7月にこの脆弱性をTencentに報告済みです。

金融機関との関連

金融機関がWeChatを業務で利用している場合、または従業員が業務端末でWeChatを利用している場合に、アカウント乗っ取りのリスクに関係します。

確認すべきこと

• 自社および委託先におけるWeChatの業務利用状況と、業務端末での利用状況を確認する
• WeChatのベンダーであるTencentからの公式発表やセキュリティアップデート情報を確認する

概要

FreeIPAの脆弱性連鎖により、未ログインのクライアントが任意のKerberos IDを作成し、管理者グループに追加される可能性があるとRed Hatが報告しました。この攻撃には、389 Directory Serverデータベースソフトウェアの別の脆弱性も必要です。

金融機関との関連

FreeIPAはLinuxドメインのログイン管理システムであり、金融機関で当該システムを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• FreeIPAおよび389 Directory Serverの利用有無と影響バージョンを確認する
• Red Hatからの一次情報や修正パッチ、緩和策を確認し対応要否を評価する

概要

MikroTikは、「MikroTrick」と名付けられた一連の重大な脆弱性に対するパッチを公開しました。これらの脆弱性は、攻撃者が認証をバイパスし、設定ファイルを上書きしてデバイスを乗っ取ることを可能にします。

金融機関との関連

金融機関でMikroTikルーターを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• MikroTikルーターの利用有無と影響を受けるバージョンを確認する
• MikroTikが提供するパッチや緩和策の情報を確認し、対応要否を評価する

概要

文書、メタデータ、メール、画像、コードなどに隠された悪意のあるプロンプトが、自律型AIエージェントを危険な行動に操作する可能性があると報じられています。

金融機関との関連

金融機関がAIエージェントを業務に導入している場合、悪意のある隠された指示による不正操作のリスクを評価する必要があるため関係します。現時点での直接的な影響は不明です。

概要

「ホワイトハット」を自称するハッカーが、Liquid Networkのフェデレーションウォレットから3億2,000万ドルを流出させましたが、そのうち2億6,300万ドルが返還されました。ハッカーはバグ修正を要求していました。

金融機関との関連

金融機関への直接的な影響は限定的です。暗号資産関連サービスを提供する金融機関にとっては、類似のインシデント発生時の対応やセキュリティ対策の参考情報となり得ます。

概要

2億4,000万ドル相当のビットコインを盗んだ仮想通貨詐欺師たちが、盗んだ資金でスポーツカーやプライベートジェット、豪邸などを購入し豪遊していたが、その活動が終焉を迎えたと報じられています。

金融機関との関連

金融機関への直接的な影響は限定的です。仮想通貨関連の詐欺事例として、脅威動向の参考情報となります。

概要

Palo Alto NetworksのNir Zuk氏が設立したスタートアップCylakeが、パブリッククラウドに依存できない高度に規制された組織向けにAIネイティブのセキュリティプラットフォームを構築するため、2億9000万ドルを調達しました。

金融機関との関連

金融機関への直接的な影響は限定的です。新しいセキュリティプラットフォームの資金調達に関する情報であり、現時点での具体的な脅威や対応は発生していません。

概要

Chainguardは過去6ヶ月間でコンテナビルドマニフェストの出力が5億から10億以上に倍増し、3,000以上のユニークなコンテナイメージと675,000のイメージバージョンをカタログに登録したと発表しました。

金融機関との関連

本記事はChainguardの技術的な成果に関するものであり、金融機関への直接的な影響は確認できません。