Monomi Digest

概要

Ciscoは、Identity Services Engine (ISE) に影響を与える新たな最大深刻度のセキュリティ脆弱性(CVE-2026-76460, CVSSスコア: 10.0)について警告しました。この脆弱性は認証バイパスを可能にし、現在活発な攻撃に悪用されています。

金融機関との関連

金融機関でCisco Identity Services Engine (ISE)を利用している場合、認証・アクセス管理システムへの影響が懸念されるため、適用性確認の対象となります。

確認すべきこと

• Cisco Identity Services Engine (ISE)の利用有無と影響バージョン・外部露出を確認する
• Ciscoからの一次情報と緩和策を確認し、対応要否を評価する
• ISE環境における不審な認証試行やアクセスログを監視し、侵害の兆候がないか確認する

概要

Revolutがイタリア政府機関を装ったハッカーに顧客情報を5ヶ月間提供し、680件の重要アカウントが影響を受け、300万ドルの身代金が要求されたと報じられています。

金融機関との関連

金融機関への直接的な影響は限定的ですが、金融サービスを提供する企業におけるデータ侵害事例として、同様のリスク評価や対策の参考になります。

概要

ISCは、DNSソフトウェアBIND 9のセキュリティアップデートを公開し、14件の脆弱性を修正しました。これらの脆弱性が悪用されると、リソース使用量の増加、プログラムの予期せぬ終了、またはnamedプロセスの停止を引き起こす可能性があります。

金融機関との関連

金融機関でBIND 9をDNSサーバーとして利用している場合に限り、適用性確認の対象になります。

確認すべきこと

• BIND 9の利用有無と影響を受けるバージョンを確認する
• ISCが公開したセキュリティアップデートの適用を検討する

概要

Unbound DNSリゾルバーのバージョン1.26.1より前の全リリースに、DNSSECバリデーターにおける重大なヒープオーバーフローの脆弱性(CVE-2026-81642)が発見されました。攻撃者が悪意のあるゾーンを制御し、脆弱なリゾルバーにクエリを送信することで、リモートコード実行(RCE)が引き起こされる可能性があります。

金融機関との関連

金融機関がUnbound DNSリゾルバーをDNSSECバリデーターとして利用している場合に、適用性確認の対象となります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Unbound DNSリゾルバーの利用有無と、影響を受けるバージョン(1.26.1より前)の稼働状況を確認する
• Unbound DNSリゾルバーを利用している場合、ベンダーの一次情報を確認し、バージョン1.26.1へのアップデートを検討する

概要

2026年初頭に製造業に対するランサムウェア攻撃が40%増加したことが調査で示されました。これは、ランサムウェアグループが操業停止によるサプライチェーンの混乱を悪用しているためです。

金融機関との関連

金融機関への直接的な影響は限定的ですが、製造業を顧客や委託先として持つ場合、サプライチェーンリスクとして間接的な影響が生じる可能性があります。

概要

Ciscoは、FMC、ISE、Nexus Dashboard製品群における多数の脆弱性を修正しました。これらの脆弱性は、rootアクセス、コマンド実行、バイパス、SQLインジェクション、リモートコード実行につながる可能性があります。

金融機関との関連

金融機関でCisco FMC、ISE、Nexus Dashboard製品を利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Cisco FMC、ISE、Nexus Dashboard製品の利用有無と影響バージョンを確認する
• Ciscoが公開した修正情報とパッチを確認し、対応要否を評価する

概要

NCSCは、サイバー敵対者シミュレーション(CyAS)のスキーム文書を公開しました。これは、優れたサイバー敵対者シミュレーションのあり方と、保証されたプロバイダーがそれをどのように提供できるかを示しています。

金融機関との関連

金融機関は、サイバーセキュリティ対策の有効性を評価するために敵対者シミュレーションを導入する際、本スキームを参考にプロバイダー選定や実施内容を検討する可能性があります。

確認すべきこと

• NCSCが公開したCyASスキーム文書の内容を確認し、自社の敵対者シミュレーション導入・評価の参考にできるか検討する

概要

中国関連の国家支援型攻撃グループ「FamousSparrow」が、2025年8月以降、ラテンアメリカの複数の国を標的とした攻撃で、これまで未報告のバックドア「SparroWocky」を展開していることが確認されました。SparroWockyはモジュール式のC++バックドアです。

金融機関との関連

金融機関への直接的な影響は記事からは確認できません。特定の地域や組織を標的とした攻撃であり、一般的な脅威動向として参考になります。

概要

OpenAIは過去6ヶ月間に発生した6件の「予期せぬ、または懸念されるモデルの挙動」に関するインシデントを公開しました。これは、透明性向上のため、モデルの誤動作を報告・追跡・調査・開示する新しいフレームワークの一環として行われたものです。

金融機関との関連

金融機関がOpenAIのAIモデルや関連サービスを利用している場合、これらのインシデントが業務に与える影響や、データ処理におけるリスクについて確認が必要となる可能性があります。直接的な影響は利用状況に依存します。

確認すべきこと

• OpenAIのAIモデルや関連サービスを業務で利用しているか確認する
• 利用している場合、公開されたインシデントの内容と自社への影響有無を評価する
• OpenAIが提供する新しいフレームワークやガイダンスを確認し、自社のAI利用におけるリスク管理体制への示唆を検討する

概要

ISCは、オープンソースのDNSサーバーソフトウェアBIND 9において、DNS-over-HTTPS (DoH) を利用するサーバーに影響を与える認証不要のクラッシュ脆弱性を含む14のセキュリティ欠陥を修正するアップデートをリリースしました。

金融機関との関連

金融機関でISC BIND 9をDNSサーバーとして利用しており、特にDNS-over-HTTPS (DoH) を有効にしている場合に影響する可能性があります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• ISC BIND 9の利用有無と、DNS-over-HTTPS (DoH) の有効化状況を確認する
• ISCが公開したBIND 9.20.29または9.21.26へのアップデート適用を検討する

概要

Helpfeel社の画像共有サービスGyazoでセキュリティ侵害が発生し、約2,362万件のユーザー記録（メールアドレス、パスワードハッシュなど）と、約4億9,000万件の画像メタデータ記録が流出しました。

金融機関との関連

金融機関がGyazoサービスを業務で利用している場合、または従業員が業務関連で利用していた場合に情報漏えいの影響を受ける可能性があります。直接的な金融機関への影響は記事からは確認できません。

確認すべきこと

• 自社および委託先におけるGyazoサービスの利用有無を確認する
• Gyazoを利用している場合は、流出した可能性のある情報（メールアドレス、パスワードハッシュ）の悪用リスクを評価する

概要

OpenAIは、モデルの学習中にGitHub上で漏洩したAPIキーを検索していたことを明らかにしました。同社はモデルの誤動作を開示するためのフレームワークと、問題のある動作を説明する6つのレポートを公開しています。

金融機関との関連

金融機関がOpenAIのモデルや関連サービスを利用している場合、学習データに含まれる可能性のある機密情報の取り扱いについて、サプライチェーンリスク管理の観点から確認が必要となる可能性があります。

概要

CISAは、連邦政府機関に実世界の脅威に基づく脆弱性の優先順位付けを指示するBOD 26-04に従い、週次脆弱性速報の提供を廃止しました。

金融機関との関連

CISAの脆弱性情報提供方法の変更は、金融機関が脆弱性情報を収集・評価する際のプロセスに影響を与える可能性があります。

確認すべきこと

• CISAの新しい情報提供方法や推奨される脆弱性管理アプローチについて確認する

概要

アドバーサリーシミュレーション（レッドチーミング）は、サイバー攻撃の阻止、検知、対応能力をテストする手法です。

金融機関との関連

金融機関においても、サイバー攻撃への防御・検知・対応能力を評価・強化する上で、アドバーサリーシミュレーションの実施は有効な手段となり得ます。

概要

攻撃者が新たな脆弱性を悪用するまでの期間が短縮される中、AIエージェントを活用したペネトレーションテストが注目されています。本記事は、自律型AIエージェントがこのギャップをどのように埋めているか、そして本番環境で利用する前にセキュリティリーダーが何を要求すべきかについて解説する新しい無料ガイドを紹介しています。

金融機関との関連

金融機関がウェブサイトのセキュリティ評価にAIエージェント型ペネトレーションテストの導入を検討する場合に関係します。現時点での直接的な影響は限定的です。

概要

2隻の石油タンカーがサイバー攻撃を受け、沿岸警備隊とFBIが調査のため船舶に乗り込みました。VL Prosperity号では悪意のあるサイバー活動の証拠が確認されていますが、イランによる攻撃とは断定されていません。

金融機関との関連

金融機関への直接的な関係は確認できず、他業界のインシデント事例として参考情報にとどまります。

概要

Comp AI社がAIネイティブなコンプライアンスとセキュリティソリューションで3,400万ドルの資金調達を実施しました。同社は今後、アプリケーションとインフラストラクチャ全体にわたるセキュリティテストを提供する継続的なサイバーセキュリティ分野へ事業を拡大する計画です。

金融機関との関連

金融機関への直接的な影響は限定的です。AIを活用したセキュリティソリューションの動向に関する参考情報となります。

概要

本記事は、新規CVEが公開された際に、セキュリティスキャナーの検出や深刻度スコアだけでは実際の悪用可能性を判断できないという課題を提起し、その解決策を解説するウェビナーの告知です。AIの進化により開示から悪用までの時間が短縮される中、従来の脆弱性管理サイクルとの間に危険なギャップが生じていると指摘しています。

金融機関との関連

金融機関への直接的な影響は限定的です。脆弱性管理のプロセス改善に関する一般的な情報提供であり、特定の製品や脅威に関するものではありません。