Monomi Digest

概要

GoogleのBrotliデコーダーにメモリ破損の脆弱性(CVE-2026-111497)が発見されました。この欠陥はBrotli圧縮データを解凍する多くのプログラムに存在し、Node.jsのRCE脆弱性の原因ともなり、Bun、PythonのBrotliパッケージ、Envoyプロキシなどに影響を与えます。

金融機関との関連

金融機関がNode.js、Bun、PythonのBrotli関連パッケージ、またはBrotli解凍を設定したEnvoyプロキシを業務システムで利用している場合に、適用性確認の対象となります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• CVE-2026-111497に関連するBrotliデコーダーを使用しているソフトウェア（Node.js、Bun、Python Brotliパッケージ、Envoyプロキシなど）の利用有無と影響バージョンを確認する
• 各ベンダーからの修正パッチや緩和策の情報を確認し、対応要否を評価する

概要

LiteLLMは、2026年5月下旬に公開GitHubリポジトリに誤って公開されたAgent Platformマスターキーにより、攻撃者がGitHubトークンを窃取し、人気Pythonパッケージの悪意あるバージョンを公開したことを明らかにしました。

金融機関との関連

金融機関がLiteLLMまたはその影響を受けるPythonパッケージを開発・利用している場合、サプライチェーンリスクとして関係します。直接的な影響は限定的ですが、開発環境における類似のキー管理リスクの教訓となります。

確認すべきこと

• 自社および委託先でLiteLLMまたは関連するPythonパッケージの利用有無を確認する
• 開発環境におけるAPIキーやマスターキーの管理体制、特に公開リポジトリへの誤公開防止策を再確認する
• GitHubなどコードリポジトリへのアクセス権限とトークン管理状況を評価する

概要

CISAは、Collabora Online Built-in CODE ServerとArista VeloCloud Orchestrator (VCO)に影響を与える2つの深刻な脆弱性（CVE-2026-110447、CVSSスコア9.2）を、実悪用が確認されたとしてKEVカタログに追加しました。

金融機関との関連

金融機関でCollabora Online Built-in CODE ServerまたはArista VeloCloud Orchestrator (VCO)を利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できません。

確認すべきこと

• CVE-2026-110447の対象製品（Collabora Online Built-in CODE Server、Arista VeloCloud Orchestrator (VCO)）の利用有無と影響バージョンを確認する
• ベンダーの一次情報を確認し、修正パッチや緩和策の適用要否を評価する

概要

Googleはプライバシーポリシーを更新し、パーソナライズされたAI検索機能やGeminiアプリを利用する際、他のGoogleサービスからのデータ（Gmailや写真など）にアクセスすることを許可した場合、そのデータがターゲティング広告に利用される可能性があると明記しました。

金融機関との関連

金融機関がGoogleのAI検索機能やGeminiアプリを業務で利用し、かつ他のGoogleサービスとのデータ連携を許可している場合、機密情報や顧客データが意図せず広告利用されるリスクについて検討が必要です。個人情報保護やデータガバナンスの観点から、利用方針の見直しが求められる可能性があります。

確認すべきこと

• GoogleのAI検索機能やGeminiアプリの利用状況、および他のGoogleサービスとのデータ連携設定について棚卸しする
• データ連携を許可している場合、そのデータが広告利用される可能性についてリスク評価を実施し、必要に応じて利用方針や設定を見直す