Monomi Digest

概要

Googleは、ChromeのJavaScriptおよびWebAssemblyエンジンであるV8における境界外書き込みのゼロデイ脆弱性(CVE-2026-87491)を修正するアップデートを公開しました。この脆弱性は実悪用が確認されています。

金融機関との関連

金融機関でGoogle Chromeを業務利用している場合、この脆弱性の影響を受ける可能性があります。特に、インターネットに接続された端末や、機密情報を扱う環境での利用状況を確認する必要があります。

確認すべきこと

• 自社および委託先におけるGoogle Chromeの利用状況とバージョンを確認する
• Google Chromeを最新バージョンにアップデートする
• 実悪用の有無を示すログや挙動がないか確認する

概要

金融庁は、インターネット取引サービスにおける不正アクセスや不正取引に関する注意喚起ページを更新しました。これは、金融機関の顧客が被害に遭うリスクに対する継続的な警戒を促すものです。

金融機関との関連

金融庁からの直接的な注意喚起であり、金融機関は顧客保護の観点から、不正アクセス・不正取引対策の状況を確認し、必要に応じて顧客への注意喚起を強化することが求められます。

確認すべきこと

• 金融庁の更新された注意喚起内容を確認し、自社のインターネット取引サービスにおける不正アクセス・不正取引対策の状況を評価する
• 顧客への注意喚起や情報提供の内容が最新の情報に基づいているかを確認し、必要に応じて更新を検討する

概要

複数のスパイグループが、Microsoft WindowsとGoogle Chromeの複数の脆弱性を組み合わせた「BlueMoon」と呼ばれる未確認のエクスプロイトキットを展開していることが判明しました。このキットの最初の実使用は、中国関連の国家支援グループAPT31に起因するとされています。

金融機関との関連

金融機関への直接的な影響は記事からは確認できません。一般的なOSおよびブラウザの脆弱性を悪用する攻撃であり、金融機関でも利用されている製品が標的となる可能性はありますが、具体的な製品名や影響範囲は不明です。

概要

Androidの2026年9月セキュリティアップデートにより、Framework、System、Kernelコンポーネントにおける180件の脆弱性が修正されました。これには複数の重大な欠陥が含まれています。

金融機関との関連

金融機関でAndroidデバイスを業務利用している場合や、顧客向けサービスでAndroidアプリを提供している場合に関係します。直接的な影響は利用状況に依存します。

確認すべきこと

• 自社および委託先で利用しているAndroidデバイスの棚卸しを行い、影響を受けるバージョンがないか確認する
• ベンダーの公開情報を確認し、最新のセキュリティアップデート適用計画を評価する

概要

主要チップメーカーであるNvidia、AMD、Armが、自社製品で最近発見された脆弱性に対するパッチに関するセキュリティアドバイザリを公開しました。

金融機関との関連

金融機関がNvidia、AMD、Armの製品を直接的または間接的に利用している場合に、適用性確認の対象となります。利用状況は記事からは確認できません。

確認すべきこと

• 自社および委託先におけるNvidia、AMD、Arm製品の利用有無と影響バージョンを確認する
• 各ベンダーのセキュリティアドバイザリを参照し、パッチ適用や緩和策の要否を評価する

概要

Fortinetは、FortiMonitorOnSightおよびChrome拡張機能における認証不要で認証をバイパスし、ユーザーのブラウザトラフィックをプロキシできる重大な脆弱性を修正しました。

金融機関との関連

金融機関でFortiMonitorOnSightまたは関連するChrome拡張機能を利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• FortiMonitorOnSightおよび関連するChrome拡張機能の利用有無と影響バージョンを確認する
• Fortinetの一次情報を確認し、修正パッチの適用または緩和策の実施を検討する

概要

情報窃取マルウェアがAIユーザーアカウントを乗っ取り、GoogleやAnthropicなどのモデルプロバイダーのツールへの不正アクセスを可能にする「盗まれたキー」を作成していることが判明しました。Lumma StealerやVidarなどの情報窃取マルウェアは、侵害されたシステムから認証情報、セッショントークン、APIキーなど広範なデータを収集できます。

金融機関との関連

金融機関がAIサービスを業務で利用している場合、従業員のアカウントが情報窃取マルウェアによって侵害されると、AIサービスへの不正アクセスや機密情報の漏洩につながる可能性があります。

確認すべきこと

• 従業員が利用するAIサービスの認証情報やセッショントークンが情報窃取マルウェアによって窃取されていないか、ログやセキュリティツールで確認する
• 情報窃取マルウェアへの対策状況（エンドポイントセキュリティ、メールセキュリティなど）を再確認し、必要に応じて強化を検討する

概要

DeepSeekのオープンソースAIコーディングエージェントツール「DeepSeek Harness」に脆弱性が発見されました。これにより、サンドボックス内で動作するエージェントが、単一のコマンドで自身のサンドボックス機能を無効化できる状態でした。

金融機関との関連

金融機関がDeepSeek HarnessをAIコーディングエージェントとして利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• DeepSeek Harnessの利用有無と影響バージョンを確認する
• ベンダーから提供される修正パッチや緩和策の情報を確認し、対応要否を評価する

概要

Schneider ElectricとSiemensが、産業用制御システム(ICS)製品における重大な脆弱性に対するパッチを公開しました。AVEVAとRockwell Automationも同様に脆弱性修正のためのパッチをリリースしています。

金融機関との関連

金融機関が産業用制御システム製品を直接利用している場合、またはサプライチェーンを通じて間接的に影響を受ける場合に限り関係します。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• 自社および委託先において、Schneider Electric、Siemens、AVEVA、Rockwell AutomationのICS製品の利用有無と影響バージョンを確認する
• 該当製品を利用している場合、各ベンダーの公開情報を参照し、速やかにパッチ適用または緩和策の実施を検討する

概要

Bitcoinウォレット企業Albyは、Alby Hubの重大な脆弱性について警告しました。この脆弱性は、ウォレットがインターネットからアクセス可能な状態にある場合に限り、攻撃者がウォレットを乗っ取り、資金を送金できる可能性がありました。影響を受けるのはバージョンv1.7.0以降です。

金融機関との関連

金融機関がAlby Hubを直接利用している場合、または顧客が利用している場合に間接的な影響が生じる可能性があります。ただし、Alby Hubは自己ホスト型であり、インターネットに公開されている場合に限定されるため、影響は限定的であると考えられます。

確認すべきこと

• Alby Hubの利用有無と、インターネット公開状態にあるかを確認する
• Alby Hubを利用している場合、ベンダーの公開情報を確認し、推奨される緩和策やアップデートを適用する

概要

JPCERT/CCがAdobe AcrobatおよびReaderの脆弱性（APSB26-141）に関する注意喚起を公開しました。この脆弱性の詳細や影響については記事に具体的な記述がありません。

金融機関との関連

金融機関でAdobe AcrobatおよびReaderを利用している場合に限り、適用性確認の対象になります。記事からは脆弱性の詳細や影響範囲が不明なため、具体的な関係性は確認できません。

確認すべきこと

• Adobe AcrobatおよびReaderの利用有無と影響バージョンを確認する
• Adobeからの一次情報（APSB26-141）を確認し、脆弱性の詳細と対応策を評価する

概要

JPCERT/CCが2026年9月のマイクロソフトセキュリティ更新プログラムに関する注意喚起を公開しました。この更新プログラムには複数の脆弱性に対する修正が含まれています。

金融機関との関連

多くの金融機関でマイクロソフト製品が利用されているため、これらの製品に影響する脆弱性が含まれる可能性があります。自社で利用している製品の適用性確認が必要です。

確認すべきこと

• 自社で利用しているマイクロソフト製品の棚卸しを行い、影響を受ける可能性のある製品を特定する
• マイクロソフトが公開しているセキュリティ更新プログラムの詳細を確認し、対応要否を評価する

概要

米国司法省は、詐欺サービスを提供する違法なオンラインマーケットプレイス「Xinbi Guarantee」に対する協調行動を発表しました。この作戦では、サービス運営に使用されていたTelegramチャンネルの押収、2つの仮想通貨ウォレットの没収、およびマダガスカルでの中国系組織犯罪が運営する13の詐欺拠点の摘発支援が含まれます。

金融機関との関連

金融機関への直接的な影響は限定的ですが、仮想通貨を利用した詐欺の手口や国際的な法執行機関の対応動向を把握する上で参考になります。

概要

Googleの脅威情報グループ(GTIG)によると、犯罪者や国家支援型攻撃者がAIを悪用し、攻撃の自動化と規模拡大を進めており、リソースの少ない攻撃者でも国家レベルの攻撃能力を持つようになっていると警告しています。

金融機関との関連

AIの悪用による攻撃能力の向上は、金融機関を含むあらゆる組織に対するサイバー攻撃のリスクを高める可能性があります。具体的な攻撃手法や対象は記事からは確認できません。

概要

米国政府機関は、中国が「蒸留（Distillation）」と呼ばれる手法を用いて、最先端のAIモデルから出力や推論プロセスを抽出し、別のモデルのトレーニングに利用していると警告しました。

金融機関との関連

金融機関がAIモデルを導入・利用している場合、AIモデルへの攻撃手法に関する情報として関係します。直接的な影響は記事からは確認できません。

概要

米国サイバーセキュリティ・情報機関は、中国を拠点とするAI企業が、蒸留攻撃を通じて米国の最先端AIモデル（Claude、GPT、Gemini、Grokなど）の独自の機能や能力を「体系的に抽出」していると非難しました。これは産業規模で行われ、中国のAI開発戦略の「核」をなしているとされています。

金融機関との関連

金融機関がAIモデルを開発・利用する際に、知的財産権侵害やモデルのセキュリティに関するリスクを考慮する必要があるため、中長期的な参考情報となります。直接的なシステム侵害や情報漏えいの報告はありません。

概要

HelmGuard社がAgentic GRCおよびセキュリティ分野で730万ドルの資金調達を実施しました。同社はこの資金を米国市場でのプレゼンス拡大、エンジニアリングおよび市場開拓チームの強化に充てる予定です。

金融機関との関連

金融機関への直接的な影響は限定的です。セキュリティ企業の資金調達に関する情報であり、自社のセキュリティ対策に直接関係するものではありません。

概要

Metaが個人向けAIエージェント「Muse」を発表しました。Museは専用のセキュアな仮想マシン上で動作し、エージェントとユーザーデータを保護すると強調されています。

金融機関との関連

金融機関への直接的な影響は限定的です。AIエージェントの一般的な動向として、将来的なリスクや機会を検討する上での参考情報となります。

概要

本記事は、新たなCVEが公開された際に、セキュリティチームが自社のシステムが影響を受けるかどうかを迅速に判断するための課題と、その解決策を提示するウェビナーの告知です。AIによる脆弱性発見の加速により、この判断の遅れがより重要になると述べています。

金融機関との関連

金融機関への直接的な影響は限定的です。セキュリティ運用に関する一般的な情報であり、特定の脅威や規制に関するものではありません。