Monomi Digest

概要

Oracle E-Business Suite (EBS) のOracle Application Object Libraryにおける認証不備の脆弱性(CVE-2026-101767、CVSSスコア9.8)が、パッチ公開後すぐに攻撃者によって探索されていることが確認されました。

金融機関との関連

Oracle E-Business Suiteを基幹システムや業務システムとして利用している金融機関は、本脆弱性の影響を受ける可能性があります。特に外部に公開している場合は、早急な対応が求められます。

確認すべきこと

• Oracle E-Business Suiteの利用有無と、影響を受けるバージョンおよび外部公開状況を確認する
• Oracleが公開したパッチの適用状況を確認し、未適用であれば速やかに適用を検討する
• システムログやネットワークトラフィックを監視し、不審なアクセスや悪用の兆候がないか確認する

概要

中国関連のサイバースパイグループVolt Typhoonが、Silent Trainと呼ばれる隠蔽されたアクセスネットワークをゼロデイ攻撃や戦略的アクセスに利用していたことが判明しました。このネットワークは、侵害されたSOHO、IoT、エンタープライズインフラストラクチャのローテーションチェーンを使用しています。

金融機関との関連

金融機関への直接的な影響は記事からは確認できませんが、国家支援型攻撃グループによるゼロデイ攻撃は、広く利用されるSOHO、IoT、エンタープライズインフラストラクチャを標的とする可能性があり、サプライチェーンリスクとして関係する可能性があります。

確認すべきこと

• 自社および委託先におけるSOHO、IoT、エンタープライズインフラストラクチャの利用状況とセキュリティ対策状況を確認する
• Volt Typhoonの攻撃手法や関連するIOCに関する最新の脅威情報を継続的に監視する

概要

セキュリティ研究者が、メモリ破損を伴わない論理バグの連鎖によって、悪意のあるウェブページがMicrosoft Edgeのサンドボックス外でコードを実行できることを示しました。この手法はPwn2Own Berlinで17万5千ドルを獲得し、Microsoftはコンテストの翌日にバグを修正済みです。

金融機関との関連

金融機関でMicrosoft Edgeを業務利用している場合に関係します。ただし、脆弱性は既に修正済みであり、最新版への更新が適用されていれば影響は限定的です。

確認すべきこと

• Microsoft Edgeの利用状況とバージョンを確認し、最新版への更新状況を評価する

概要

サイバーセキュリティ研究者が、中国関連の脅威アクターによるAI支援型攻撃の詳細を公開しました。この攻撃はPHP2Shellの脆弱性を悪用し、露出したシステムを侵害しており、米国政府関連ネットワークも標的となりました。

金融機関との関連

金融機関がPHP2Shellの脆弱性を持つシステムを運用している場合、攻撃の標的となる可能性があります。記事からは金融機関への直接的な影響は確認できません。

確認すべきこと

• 自社および委託先においてPHP2Shellの脆弱性を持つシステムが稼働していないか確認する
• 関連するシステムで不審な活動や侵害の兆候がないかログを調査する

概要

Chrome 156のアップデートで52件、Firefox 159のアップデートで167件のセキュリティバグが修正されました。合計200件以上の脆弱性に対応しています。

金融機関との関連

金融機関で従業員がChromeやFirefoxを利用している場合に関係します。これらのブラウザは広く利用されており、脆弱性が修正された場合は速やかなアップデートが推奨されます。

確認すべきこと

• 自社で利用しているChromeおよびFirefoxのバージョンを確認する
• ベンダーのリリースノートを参照し、修正された脆弱性の内容と影響を評価する
• 該当するブラウザの最新バージョンへのアップデートを検討する

概要

FoxIOは、GoAhead Webサーバーにおける3つのTLS脆弱性を開示しました。これらの脆弱性により、失効した証明書が通過したり、一部の暗号化されたセッションが盗聴者に露呈する可能性があります。

金融機関との関連

GoAhead Webサーバーは組み込みシステムやIoTデバイスで広く利用されており、金融機関が直接利用するケースは限定的と考えられます。ただし、サプライチェーンを通じて間接的に影響を受ける可能性があります。

確認すべきこと

• GoAhead Webサーバーの利用有無を棚卸しし、影響を受ける可能性のあるデバイスを特定する
• ベンダーからの修正パッチや緩和策の情報を確認し、対応要否を評価する

概要

中国に関連するハッカーグループが、PHP2ShellとFragnesiaの脆弱性を連鎖的に悪用し、米国政府関連組織の2つのサーバーに侵入しました。

金融機関との関連

金融機関でPHP2ShellやFragnesiaの脆弱性を持つファイアウォール製品を利用している場合、同様の攻撃を受ける可能性があります。利用有無は記事から確認できません。

確認すべきこと

• 自社および委託先でPHP2ShellおよびFragnesiaに関連する製品やサービスを利用しているか確認する
• 利用している場合は、関連する脆弱性情報とベンダーのガイダンスを確認し、必要な対策を検討する

概要

UEFIファームウェアの構築に広く使われるオープンソースコードEDK IIに、16年前から存在する重大な脆弱性が発見されました。この脆弱性は、マシンがネットワーク経由で起動する際に限り、OSがロードされる前に攻撃者がコードを実行することを可能にします。

金融機関との関連

金融機関でネットワークブートを利用するサーバーやクライアントPCにおいて、当該UEFIファームウェアが使用されている場合に影響する可能性があります。ただし、攻撃成立には物理的またはネットワーク的なアクセスが必要であり、影響は限定的と考えられます。

確認すべきこと

• 自社および委託先でEDK IIベースのUEFIファームウェアを使用している機器の有無を確認する
• 当該機器がネットワークブートを利用しているか、またその際のセキュリティ対策状況を確認する
• ベンダーからのパッチや緩和策の情報を確認し、適用要否を評価する

概要

Adobeは、Campaign Classicにおける複数の重大なセキュリティ脆弱性に対処するパッチを公開しました。これらの脆弱性が悪用されると、任意のコード実行、セキュリティ機能のバイパス、権限昇格につながる可能性があります。

金融機関との関連

Adobe Campaign Classicを利用している金融機関は、適用性確認の対象となります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Adobe Campaign Classicの利用有無と影響バージョンを確認する
• Adobeが公開したパッチおよびベンダーの一次情報を確認し、対応要否を評価する

概要

ウクライナ人のArtem Stryzhakが、Nefilimランサムウェアを用いた攻撃に関与した罪を認め、米国で70ヶ月の懲役刑を言い渡されました。

金融機関との関連

金融機関への直接的な影響は限定的です。ランサムウェア攻撃者への法執行機関による対応事例として、脅威動向を把握する上での参考情報となります。

概要

AIは、反復作業の自動化、大規模データセット内のパターン発見、意思決定の迅速化を可能にする技術として、サイバーセキュリティ分野でも活用が進んでいます。WazuhはAIを活用し、セキュリティ運用センター(SOC)のワークフローを強化する可能性について解説しています。

金融機関との関連

金融機関のセキュリティ運用においてAI活用を検討する際の参考情報となります。直接的なインシデントや脆弱性に関する情報ではありません。

概要

B2B取引において広く利用されているセキュリティ質問票は、送信者も受信者も信頼していないにもかかわらず、依然として依存されている現状が指摘されています。記事は、企業間の信頼を築くためのより良い基盤の必要性を訴えています。

金融機関との関連

金融機関は多くのB2B取引において、委託先管理やサプライチェーンリスク評価のためにセキュリティ質問票を利用しています。その信頼性の問題は、評価の有効性に影響を与える可能性があります。

概要

Googleは、米国以外の地域で、承認されたサードパーティのAndroidアプリストアからのワンタップインストールとバックグラウンド更新を許可する方針を発表しました。対象となるストアは、身元確認と継続的なマルウェアスキャンのため、アプリカタログ全体をGoogleに提出する必要があります。

金融機関との関連

金融機関が従業員や顧客に提供するモバイルアプリの配布方法やセキュリティ管理に間接的に影響する可能性がありますが、直接的な関係は限定的です。

概要

セキュリティ企業Upwind Securityが4億ドルの資金調達ラウンドを完了し、評価額が38億ドルに達しました。この大規模な資金調達は、Datadogを含む複数企業からの買収関心が報じられた直後に行われました。

金融機関との関連

金融機関への直接的な影響は限定的です。セキュリティ業界の資金調達動向に関する参考情報となります。

概要

自律システムによってEPICS Baseソフトウェアに4つの脆弱性が発見され、修正されました。これらの脆弱性は、粒子加速器や核融合研究所のプロセスをクラッシュさせる可能性があります。

金融機関との関連

EPICS Baseソフトウェアは主に研究施設で使用される制御ソフトウェアであり、金融機関での直接的な利用は想定されません。金融機関への直接的な影響は限定的です。

概要

シークレット管理企業InfisicalがシリーズBで4000万ドルを調達し、評価額が6億ドルに達しました。同社はこの資金を、AIエージェントの機密システムへのアクセスを保護するためのプラットフォーム拡張に利用する予定です。

金融機関との関連

金融機関への直接的な影響は限定的です。AIエージェントのセキュリティに関する動向として、中長期的な参考情報となります。