Monomi Digest

概要

Check Pointは、同社のSecurity Management Serverにおける以前は未知の脆弱性(CVE-2026-93616)が、7月23日に少数の標的型攻撃で悪用されたと発表しました。この脆弱性は、サーバーのWebサービス

金融機関との関連

Check Point Security Management Serverを導入し、ファイアウォールポリシー管理に利用している金融機関に関係します。悪用されると、ファイアウォール設定の改ざんなどによりネットワークセキュリティが侵害される可能性があります。

確認すべきこと

• Check Point Security Management Serverの利用有無と影響バージョンを確認する
• Check Pointが提供する修正パッチを適用し、緩和策を評価する
• 過去のログを確認し、不審なアクセスや侵害の痕跡がないか調査する

概要

WordPressは、アカウントを持たない攻撃者がテーマフォルダ外からPHPファイルをロードさせ、一部のサーバーでは任意のコード実行を可能にするコアソフトウェアの重大な脆弱性を修正しました。この修正はWordPress 7.1.2で9月22日にリリースされ、バージョン4.7以降のすべてのサポート対象ブランチに適用されます。

金融機関との関連

金融機関がWordPressをウェブサイトや情報発信基盤として利用している場合、本脆弱性の影響を受ける可能性があります。特に外部公開されているWordPressサイトは、悪用のリスクが高まります。

確認すべきこと

• 自社および委託先でWordPressの利用有無と影響を受けるバージョンを確認する
• WordPressのバージョンを7.1.2以降、または利用中のブランチの最新版へ速やかにアップデートする
• アップデートが困難な場合は、ベンダーが提供する緩和策の適用を検討する

概要

9月19日、Microsoft Defenderがプラットフォームおよびシグネチャの更新をインストールできないように、利用可能なディスクスペースをすべて埋めるゼロデイの概念実証ツール「BigDiskBuster」がGitHubで公開されました。このツールにはパッチもCVEもMicrosoftのアドバイザリもありません。

金融機関との関連

金融機関でMicrosoft Defenderを利用している場合、更新がブロックされることでセキュリティ対策が機能しなくなる可能性があります。これにより、マルウェア感染や攻撃に対する防御能力が低下するリスクがあります。

確認すべきこと

• Microsoft Defenderの更新状況を監視し、ディスク容量が意図せず消費されていないか確認する
• Microsoftからの公式アドバイザリやパッチ情報を継続的に確認する
• Microsoft Defenderの代替または補完的なエンドポイントセキュリティソリューションの導入を検討する

概要

セキュリティ研究者らは、悪意あるnpmパッケージ「tw-pkgprobe-7731」の詳細を公開しました。これはTwilioをアプリケーションに統合する開発者を標的としたセキュリティツールを装い、機密データを密かに窃取しようとします。

金融機関との関連

金融機関がTwilioを利用し、かつ開発プロセスで当該npmパッケージを誤って導入した場合に関係します。直接的な影響は限定的である可能性があります。

確認すべきこと

• 自社および委託先における開発環境で「tw-pkgprobe-7731」パッケージの利用有無を確認する
• 開発プロセスにおけるnpmパッケージの導入・利用に関するセキュリティガイドラインを再確認する

概要

Ribon Appsが保有していたBigCommerceのアプリケーションキーが侵害され、攻撃者がBigCommerceの顧客データにアクセスし窃取しました。

金融機関との関連

BigCommerceをECプラットフォームとして利用している金融機関、またはBigCommerceを利用する委託先を持つ金融機関に関係します。直接的な金融機関への影響は記事からは確認できません。

確認すべきこと

• BigCommerceの利用有無、および委託先での利用有無を確認する
• BigCommerceまたはRibon Appsからの公式発表や追加情報を確認し、自社への影響を評価する

概要

Microsoftは、AIを攻撃チェーンのあらゆる段階で利用していた「EvilTokens」デバイスコードフィッシングサービスを停止したと発表しました。このサービスは12,000件の受信トレイ侵害に関連しているとされています。

金融機関との関連

金融機関の従業員が標的となるフィッシング攻撃は、認証情報の窃取やシステムへの不正アクセスにつながる可能性があります。AIを活用した高度なフィッシング手法は、従来の対策をすり抜けるリスクがあるため、動向を把握しておく必要があります。

確認すべきこと

• AIを活用したフィッシング攻撃の手法について、社内での注意喚起や教育コンテンツへの反映を検討する
• デバイスコードフィッシングに対する認証・アクセス管理の強化策を評価する

概要

オープンソースのAIゲートウェイ「Bifrost」に、認証されていない攻撃者が単一のHTTPリクエストでゲートウェイサーバー上で任意のコマンドを実行できる重大な脆弱性(CVE-2026-90898、CVSS 9.8)が発見されました。この脆弱性は、管理認証が有効な場合のBifrost HTTPトランスポートのバージョン2.1.0より前の全バージョンに影響します。

金融機関との関連

金融機関がBifrost AI Gatewayを利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Bifrost AI Gatewayの利用有無と影響を受けるバージョン(2.1.0未満)の稼働状況を確認する
• ベンダーの一次情報を確認し、修正パッチの適用または緩和策の実施を検討する

概要

元Microsoftドイツの従業員であるAbdelhamid Naceri氏が、Nightmare Eclipse（別名Chaotic Eclipse）として身元を明かし、Microsoft Defenderの新たなエクスプロイト情報を公開しました。

金融機関との関連

Microsoft Defenderは多くの金融機関で利用されている可能性がありますが、記事からは具体的な脆弱性の詳細や悪用状況が不明なため、直接的な影響は現時点では限定的です。

確認すべきこと

• Microsoft Defenderの利用状況と、本件に関するMicrosoftからの公式情報を確認する

概要

Aristaによると、オンプレミス版VeloCloud Orchestrator (VCO) に新たな脆弱性(CVE-2026-93952)が確認され、証明書ベースでEdgeデバイスを認証するVCO環境で積極的に悪用されています。この脆弱性は、ログインアクセスを持たないリモート攻撃者が内部機能を昇格させ、VCOホストに影響を与える可能性があります。

金融機関との関連

金融機関でVeloCloud Orchestratorをオンプレミス環境で利用し、かつEdgeデバイスの認証に証明書を使用している場合に限り、適用性確認の対象となります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• VeloCloud Orchestratorの利用有無、特にオンプレミス環境で証明書ベースの認証を使用しているかを確認する
• ベンダーであるAristaからの一次情報を確認し、修正パッチや緩和策の有無を評価する
• VeloCloud Orchestratorのログや設定を確認し、不審な活動や侵害の兆候がないか調査する

概要

中国の脅威アクターが、最近発見されたZyXEL製スイッチの脆弱性を悪用し、約1,000台のスイッチから機密情報を窃取しました。

金融機関との関連

金融機関で当該ZyXEL製スイッチを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• 該当するZyXEL製スイッチの利用有無と影響バージョンを確認する
• ベンダーの一次情報やパッチ、緩和策を確認し、対応要否を評価する

概要

正規のsorted-btreeパッケージを装った悪意のあるNPMパッケージ「indexed-btree」が、プロトタイプメソッド内にマルウェアのトリガーを隠し、数百万回ダウンロードされたことが判明しました。

金融機関との関連

金融機関がNPMパッケージを利用した開発を行っている場合、サプライチェーンリスクとして関係します。特に、当該パッケージが開発環境や本番環境に導入されている場合は影響を受ける可能性があります。

確認すべきこと

• 自社および委託先におけるNPMパッケージ「indexed-btree」の利用有無を確認する
• 利用が確認された場合、当該パッケージの削除および影響範囲の調査を検討する

概要

WordPressに「Click2Shell」と呼ばれる脆弱性が発見され、修正されました。この脆弱性は、攻撃者がテーマを自動的にインストールおよびプレビューすることを可能にし、リモートコード実行につながる可能性があります。

金融機関との関連

金融機関でWordPressをウェブサイトやブログ基盤として利用している場合に限り、適用性確認の対象になります。

確認すべきこと

• 自社および委託先でWordPressの利用有無と影響バージョンを確認する
• WordPressのベンダー情報を確認し、修正パッチの適用を検討する

概要

日米独豪は共同レポートを公開し、北朝鮮の「WaterPlum」作戦の全容と、日本で初めて解体された北朝鮮のラップトップファームについて詳述しました。

金融機関との関連

金融機関への直接的な影響は記事からは確認できませんが、国家支援型攻撃グループの動向は脅威インテリジェンスとして参考になります。

概要

AIエージェントは、従来のアプリケーションとは異なり、タスク達成のために自律的に複数の経路を探索するため、セキュリティチームは、AIエージェントが持つアクセス権限からどのような経路を発見し得るかを判断するという、より困難な課題に直面しています。

金融機関との関連

金融機関がAIエージェントを業務に導入・利用する場合、その自律的な動作特性が既存のアクセス管理やセキュリティ監視のルールに新たな課題をもたらす可能性があります。

概要

データセキュリティ企業Cyeraが、Goldman Sachs Alternativesから4億ドルの新規投資を受け、シリーズG資金調達ラウンドを拡大しました。これにより同社の評価額は120億ドルを超えました。

金融機関との関連

金融機関への直接的な影響は限定的です。データセキュリティ分野の動向として参考情報にとどまります。

概要

Forescoutの新たなネットワークセグメンテーション調査によると、OTデバイスや医療機器が他のエンタープライズ資産とネットワークセグメントを共有しているケースが多く、OTネットワークセグメントの完全分離はわずか13%に留まっていることが明らかになりました。

金融機関との関連

金融機関がOT（Operational Technology）システムを保有している場合、そのネットワークセグメンテーションの状況を確認する上での参考情報となります。直接的な影響は限定的です。