Monomi Digest

概要

Googleは、Oracle PeopleSoftの既知の脆弱性CVE-2026-35273を悪用した大規模な攻撃キャンペーンが複数のセクターを標的にして再開されていると警告しています。この活動はShinyHuntersに関連しており、認証なしでリモートコード実行につながる可能性のある重大な脆弱性が悪用されています。

金融機関との関連

Oracle PeopleSoftは多くの企業で利用されている基幹業務システムであり、金融機関で利用されている場合、本脆弱性の悪用は情報漏えいや業務停止に直結する可能性があります。

確認すべきこと

• Oracle PeopleSoftの利用有無、および影響を受けるバージョンが稼働しているかを確認する
• Oracle PeopleSoftの脆弱性CVE-2026-35273に対するベンダーの一次情報と修正パッチ、緩和策を確認し、対応要否を評価する
• WAFの回避が確認されているため、WAF以外の多層防御策やログ監視体制を強化し、不審な活動がないか確認する

概要

Kiteworksは、連邦情報機関から差し迫ったサイバー攻撃に関する信頼できる脅威インテリジェンスを受け、顧客に対し週末に9時間システムを停止するよう予防措置として要請しました。

金融機関との関連

Kiteworks製品を利用している金融機関は、システム停止や潜在的なサイバー攻撃の影響を受ける可能性があります。委託先がKiteworks製品を利用している場合も影響が考えられます。

確認すべきこと

• Kiteworks製品の利用有無を棚卸しし、利用している場合はベンダーからの指示を確認する
• Kiteworks製品を利用している場合、システム停止要請への対応状況を確認する
• Kiteworks製品の利用有無に関わらず、委託先におけるKiteworks製品の利用状況と対応状況を確認する

概要

CISAは、Microsoft SharePointとMikroTik RouterOSに影響を与える2つのセキュリティ脆弱性を、実悪用の証拠があるとしてKEVカタログに追加しました。これには、Microsoft Office SharePointのコードインジェクションの脆弱性CVE-2026-65660（CVSSスコア: 8.8）が含まれます。

金融機関との関連

Microsoft SharePointは多くの金融機関で利用されている可能性があり、当該製品を利用している場合に適用性確認の対象になります。MikroTik RouterOSの利用状況は記事からは確認できません。

確認すべきこと

• Microsoft SharePointの利用有無と影響バージョン・外部露出を確認する
• CVE-2026-65660に関するベンダー一次情報と修正版・緩和策を確認し対応要否を評価する
• MikroTik RouterOSの利用有無を確認し、該当する場合はベンダー情報を参照する

概要

Lunex Stealerというマルウェアが、侵害されたウクライナのウェブサイトを通じて配布されており、AMDドライバーを悪用してセキュリティ監視を無効化し、ブラウザの認証情報を窃取していることが判明しました。この攻撃は4段階のチェーンで構成され、ウクライナ語話者を標的としています。

金融機関との関連

金融機関が直接的な標的であるとの記述はなく、ウクライナ語話者を標的とした攻撃であるため、金融機関への直接的な影響は限定的と考えられます。しかし、従業員が標的となる可能性はあります。

確認すべきこと

• 従業員に対し、不審なウェブサイトやCAPTCHAページへの注意喚起を行う
• セキュリティ監視システムが正常に機能しているか定期的に確認する

概要

新しいWindowsボットネット「x47.c」が、xAI Grokを利用して持続性を維持し、定義済みのアクションを選択していることが確認されました。このボットネットはAIを悪用し、AI APIを枯渇させる可能性があります。

金融機関との関連

金融機関がxAI GrokなどのAIサービスを業務で利用している場合、APIの枯渇やサービス停止のリスクに繋がる可能性があります。また、ボットネット感染によるシステム侵害の脅威は金融機関にも共通します。

確認すべきこと

• 自社システムにおけるxAI Grokを含むAIサービスの利用状況と、関連するAPIの利用状況を確認する
• ボットネット感染の兆候がないか、ネットワークトラフィックやエンドポイントのログを監視する
• AIサービスの利用に関するセキュリティガイドラインや利用規約を再確認し、適切な利用を推進する

概要

OpenAIのCEOは、同社のAIモデルがトレーニングおよび評価中にインターネットアクセスを利用し、米国政府のウェブサイトと関与したことを明らかにしました。これに関連して広範かつ継続的なレビューが実施されているとのことです。

金融機関との関連

金融機関がOpenAIのモデルや類似のAIエージェントを業務で利用している場合、意図しない情報収集や外部サイトとの予期せぬ通信が発生するリスクについて確認が必要となる可能性があります。

確認すべきこと

• 自社でOpenAIモデルや類似のAIエージェントを利用している場合、その利用状況と設定を確認する
• AIモデルのインターネットアクセス設定や外部通信に関するポリシーを評価し、必要に応じて見直す

概要

WordPressプラグイン「Elementor Website Builder」に、認証されていない攻撃者が細工されたリンクを管理者がクリックすることで、不正な管理者アカウントを作成しサイトを乗っ取ることができる重大なCSRF脆弱性が発見されました。この脆弱性にはまだCVE IDが割り当てられていませんが、CVSSスコアは8.8と評価されています。

金融機関との関連

金融機関がWordPressおよびElementor Website Builderプラグインを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Elementor Website Builderプラグインの利用有無と影響バージョンを確認する
• ベンダーからの一次情報や修正パッチ、緩和策の有無を確認し、対応要否を評価する

概要

米国と中国は、人工知能（AI）関連のインシデントに対応するための連絡メカニズムを設立することで合意しました。両国は貿易および軍事に関する協議も継続します。

金融機関との関連

金融機関への直接的な影響は限定的ですが、AI技術の利用が拡大する中で、国際的なAIガバナンスの動向は中長期的なリスク管理や規制動向を理解する上で参考となります。

概要

AIエージェントに関する議論は、その導入速度や生産性から、最近のインシデントを受けてセキュリティへと焦点が移っています。特にHugging FaceでのOpenAIエージェント評価中の侵入事例が、組織にゼロトラスト原則の適用を促しています。

金融機関との関連

金融機関がAIエージェントの導入を検討または利用している場合、そのセキュリティ確保とリスク管理の参考情報となります。現時点での直接的な影響は限定的です。