Monomi Digest

概要

セキュリティ企業Hacktronの研究者3名が、AnthropicのClaude Opus 5を利用して2つの脆弱性を連鎖させ、複数のOpenAI従業員のChatGPTおよびCodexアカウントを乗っ取り、OpenAIの内部コードリポジトリに到達しました。

金融機関との関連

金融機関がAIモデルを業務に利用している場合、AIモデルが悪用されるリスクの一例として参考になります。直接的な影響は確認できません。

確認すべきこと

• AIモデルを業務に利用している場合、AIモデルが悪用される可能性のある攻撃手法について情報収集を行う
• 自社システムにおける認証システムや公開フォーラムの脆弱性管理状況を確認する

概要

SolarWindsは、Access Rights Manager (ARM) の高深刻度脆弱性(CVE-2026-28326)に対するセキュリティアップデートをリリースしました。この脆弱性は、認証なしでリモートコード実行を可能にするもので、CVSSスコアは8.8です。

金融機関との関連

金融機関でSolarWinds Access Rights Managerを利用している場合に限り、適用性確認の対象になります。

確認すべきこと

• SolarWinds Access Rights Managerの利用有無と影響バージョン(2026.2以前)を確認する
• SolarWindsが公開したセキュリティアップデートを適用し、緩和策を確認する

概要

Fortinetによると、Orkes Conductorワークフロープラットフォームに存在する認証前のリモートコード実行（RCE）の重大な脆弱性（CVE-2026-58138、CVSSv3.1: 9.8/CVSSv4: 9.3）が実悪用されています。影響を受けるのはOrkes Conductor 3.21.21から3.30.2までのバージョンです。

金融機関との関連

金融機関でOrkes Conductorワークフロープラットフォームを利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Orkes Conductorワークフロープラットフォームの利用有無と影響バージョン（3.21.21から3.30.2）を確認する
• ベンダーの一次情報を確認し、修正パッチや緩和策の適用を検討する

概要

GoogleのAIモデル「Gemini」が、2026年5月にイスラエルのIrregular社が実施したサイバーセキュリティ評価テスト中に、ドメインの誤認により実企業のシステムに侵入していたことが判明しました。

金融機関との関連

金融機関がAIモデルを業務に利用している場合、同様の誤設定や意図しないアクセスによるリスク評価の参考になります。直接的な影響は記事からは確認できません。

確認すべきこと

• AIモデルを業務に利用している場合、テスト環境と本番環境の分離が適切に行われているか、またAIのアクセス権限設定に不備がないかを確認する
• AIモデルの利用におけるセキュリティ評価プロセスと、テスト中のインシデント対応計画を評価する

概要

セキュリティ企業CrowdSecは、退職した従業員のアカウントがTanStack npmサプライチェーン攻撃で侵害され、その結果、約170件のプライベートGitHubリポジトリがコピーされたと発表しました。

金融機関との関連

金融機関がTanStack npmパッケージを利用している場合、または同様のサプライチェーン攻撃や退職者アカウント管理の不備がある場合に、情報漏えいのリスクとして関係します。

確認すべきこと

• 自社および委託先におけるTanStack npmパッケージの利用状況を確認する
• 退職者のアカウント管理プロセス、特にGitHub等の開発リポジトリへのアクセス権限について棚卸しと見直しを行う
• 開発環境におけるサプライチェーン攻撃への対策状況を評価する

概要

CISAは、実悪用が確認されたLinuxカーネルのセキュリティ脆弱性3件をKEVカタログに追加しました。これには、TLS受信パスにおける不適切な条件チェックの脆弱性CVE-2025-39682（CVSSスコア9.8）などが含まれます。

金融機関との関連

金融機関でLinuxカーネルを利用している場合に限り、適用性確認の対象になります。記事からは具体的な利用状況や影響範囲は確認できません。

確認すべきこと

• CISAがKEVに追加したLinuxカーネルの脆弱性3件（CVE-2025-39682など）について、自社および委託先でのLinux利用有無と影響バージョンを確認する
• ベンダーの一次情報を確認し、該当する場合はパッチ適用や緩和策の実施を検討する

概要

本記事は、データ侵害の初期アクセスベクトルとして盗用・悪用された認証情報が頻繁に報告される現状を踏まえ、現代のアイデンティティセキュリティにおける「アイデンティティ可視性」の重要性を解説しています。クラウドやマルチクラウド環境がこれを複雑にする理由や、IAMにおける主要な機能についても説明しています。

金融機関との関連

金融機関は多くの顧客情報や機密情報を扱い、認証情報が悪用された場合の被害は甚大です。アイデンティティ可視性の確保は、不正アクセスやデータ侵害のリスクを低減するために重要です。

概要

サイバーセキュリティ企業TigerByte Cyberが300万ドルの資金調達を確保し、ステルスモードから脱却しました。同社はすでに米国宇宙軍、米国海軍、DARPAを含む米国政府機関と700万ドル以上の契約を結んでいます。

金融機関との関連

本記事はサイバーセキュリティ企業の資金調達に関するものであり、金融機関への直接的な影響は確認できません。

概要

新しいCVEが公開された際、スキャナーで検出されても、それが自社環境で実際に悪用可能かどうかを判断する難しさについて解説するウェビナーの告知です。AIの進化により、脆弱性公開から悪用までの時間が短縮されている現状が指摘されています。

金融機関との関連

金融機関への直接的な影響は限定的です。一般的なセキュリティ課題に関する情報であり、特定の製品や脅威に関するものではありません。