Oct 15, 2026

10/15 サイバーセキュリティ 3選

 🔴 Palo Alto Networks PAN-OS：CVE-2026-0322

    • 認証済みでネットワークアクセス可能な攻撃者が、firewall上でroot権限の任意コードを実行できる。
      CVSS Score 8.6, 8.5
    • CVE-2026-0322 (Palo Alto Networks)
      PAN-OS Management Interfaceの認証済みRCE脆弱性（CWE-94 Code Injection）
    • Injection / Execution の違いについて
      「CVE.org にある Code Injection は脆弱性の原因・弱点タイプをCWEで分類したもの。Executionは結果。」と捉えると腑に落ちやすい。
    • 「管理IF到達性」＋「認証済み高権限」＋「Code Injection」 → 「root RCE」

🔴 Cisco Secure Email Gateway：CVE-2026-76519

  • 『Advanced Malware Protection (AMP) 機能の脆弱性により、認証されていないリモートの攻撃者が、OS上に任意のファイルを記述できる可能性があります。 この脆弱性は、ファイルレピュテーションサービスが有効になっている際に、電子メールの添付ファイルを不適切に処理したことに起因しています。攻撃者は、影響を受けたデバイスを介して作成された添付ファイルを含むメールを送信することで、この脆弱性を悪用する可能性があります。成功した悪用により、攻撃者は任意のファイルを作成し、基盤となるオペレーティングシステムに対してroot権限でコマンドを実行できる可能性がある。』 機械翻訳から抜粋

🔴 AhsayCBS：CVE-2026-105133 / CVE-2026-105134

  • 前者が Improper Authentication、後者が Command Injection。
  • 両方とも10月14日にCISA KEVへ追加されています。 [cisa.gov]
  • メモ
    AhsayCBS（Ahsay Cloud Backup Suite）は、香港のAhsay Systems社が提供するバックアップ管理サーバーソフトウェアです [1, 2] 
    MSP（マネージドサービスプロバイダー）やシステムインテグレーター、企業が、顧客や社内のデータを効率よくバックアップ・管理するために使用します。 [1, 2]
  • 主な特徴と機能
    • 多様なバックアップ対象: Microsoft 365、Google Workspace、VMware、Hyper-V、各種データベース（SQL Server、Oracle、MySQL等）、NAS、ファイルサーバーなどに対応しています。 
    • 保存先の柔軟性: 自社サーバー（ローカルストレージ）、FTP/SFTPサーバーのほか、Amazon S3、Microsoft Azure、Google Cloud Storage、Wasabiなどのパブリッククラウドにデータを保存できます。 [1, 2, 3]
    • セキュリティ: AES 256ビット暗号化や2要素認証（2FA）、改ざんを防ぐイミュータブル（変更不可）バックアップなどをサポートしています。 [1]
    • 最近の重要なお知らせ（セキュリティ脆弱性）
      • 2026年10月、AhsayCBSに関して認証バイパス（CVE-2026-105133）とOSコマンドインジェクション（CVE-2026-105134）の脆弱性を悪用したサイバー攻撃が確認されています。 [1, 2]
      • 外部から管理コンソールにアクセスできる状態のサーバーが標的となっています。
      • 対策として、アクセス制限（VPNや信頼できるIPアドレスのみに限定）の適用や、最新のパッチ・緊急ホットフィックスへのアップデートが強く推奨されています。 [1, 2, 3]

投稿者 時刻: No comments:

Oct 14, 2026

「ブックオフ」会員管理システムへの不正アクセスで最大643万件の会員情報漏えい

https://internet.watch.impress.co.jp/docs/news/2147026.html (10/09)

この記事を読んで気になったのは、運転免許証の情報の保管有無。
店頭買取時に運転免許証をスキャン（端末で読み取り）しただけの場合、
免許証の画像データは取得・保存されていないため、今回の不正アクセスによる免許証画像の漏洩対象には含まれていません
。 [1, 2] （ブックオフの公式発表およびQ&A）

以下、Geminiに私の疑問をぶつけてみた。
ブックオフの公表内容・仕組み
  • 店頭買取時の処理： ブックオフの店頭買取では、運転免許証を機械（端末）に通して氏名・住所・生年月日などの「文字列情報」のみを読み取っており、顔写真や免許証番号、画像データそのものは記録に残さない仕組みになっています。 [1, 2]
  • 公式Q&Aの案内： ブックオフのよくあるご質問（本人確認書類として提示した運転免許証をスキャンされた場合）によると、画像データは取得していないため漏洩の心配はないと案内されています。 [1]
  • 今回の漏洩対象との違い： 今回の不正アクセスで漏洩の可能性があるとされているのは、子会社の会員管理システムに登録されていた「会員情報（氏名、生年月日、メールアドレス、電話番号、住所、会員番号など）」であり、店頭での買取手続きのみで会員登録をしていない場合のデータや免許証画像は対象外となっています。 [1, 2, 3]
この会社に限らず、あちこち個別に本人確認し、その情報が分散・偏在している現行の仕組みはどうでしょうね？　一定期間経過後（例、会計上求められる期間など）に削除を義務付けるとか、あるいはマイナンバーカードを提示した後に本人認証が正常完了した事だけを証明する仕組みがあれば良さそうだが。
技術的には「本人確認の結果だけを残すこと」が可能な一方で、一般の小売店舗や中小企業への広がりにはハードルが存在します。
①専用端末やシステム導入のコスト
②運用フローの変更コスト
③法制度と業法錠の縛り（業界による）
投稿者 時刻: No comments:

10/14 サイバーセキュリティ 3選

🔴 Ivanti Connect Secure：CVE-2026-104935

Ivantiのリモートアクセス製品「Ivanti Connect Secure（ICS）」に深刻な脆弱性が判明。
CISA KEVに 10/13追加。認証回避により、リモートの未認証攻撃者が任意コマンドを実行できる脆弱性で、CISAは既知の実悪用脆弱性として掲載しています。

🔴 Windows Shell：CVE-2026-96951

Windows Shellのコマンドインジェクション型脆弱性：
Windows Shellのプログラムに欠陥があり、特定の「特殊な文字（コマンド）」や「ファイル構造」がファイル名や内部データに含まれていると、Windowsがパニックを起こし、MOTW（Mark of the Web：ファイルの入手場所の目印）を無視、または消去した状態で処理を継続してしまいます。
Microsoft MSRCに該当CVEページが公開されており、QualysはCISA KEV収載済みの実悪用脆弱性として報告しています。

🟠 Microsoft October Patch Tuesday

10月のMicrosoftセキュリティ更新は非常に大規模。Qualys集計では 1,414件の脆弱性、うちCritical 78件、Important 1,329件を対象としています。
  • 特に上記CVE-2026-96951が実悪用確認済みであるため、単純なCVSS順より KEV該当を優先して見る価値があります。
投稿者 時刻: No comments:

Oct 8, 2026

10/08 ダイジェスト、Citrix NetScaler CVE-2026-88771, 88772、FortiMail CVE-2026-104286

サイバーセキュリティニュース

① Citrix NetScalerゼロデイ攻撃継続

  • CISAはNetScaler ADC/Gatewayの複数ゼロデイ（CVE-2026-88771、88772等）が実際に悪用されているとして警告。 [cisa.gov]

    すでにKEVカタログにも掲出されている。（CVE-2026-88771も88772も、9/27掲出、9/30迄に対応）

    『Citrix NetScalerアプライアンスのアップデートは複雑でダウンタイムが必要になる可能性があるため、CISAは組織がリスクを評価し、緩和の優先順位をつけ、これらの脆弱性をリスク管理活動に反映させるためにこのアラートを発行しています。

    悪用が成功した場合の潜在的な影響や、悪意のあるアクターがこれらの脆弱性の一部を悪用していることを踏まえ、CISAはユーザーと管理者に対し、Citrixの勧告をよく確認するよう促しています。可能であれば、パッチ適用前に侵害の兆候がないか確認することを推奨します。CitrixはNetScaler Consoleを通じて侵害の指標を公開し、最近の出版物"Security Bulletin for CVE-2026-88771からCVE-2026-88778"で組織が潜在的な侵害を評価できるよう追加ガイダンスを公開しています。組織が侵害を疑う場合、更新を適用する前にフォレンジックエビデンスを保存することが重要です。』とのこと（KEVカタログを機械翻訳しマイナーチェンジした）

② FortiMail重大ゼロデイ

  • FortinetはFortiMailの認証不要の重大脆弱性（CVE-2026-104286）が攻撃に利用されていると公表。 ※非監査用＋一部CISA KEV掲載報道あり [cybersecur...hunter.com], [innovatecy...curity.com]

    すでにKEVカタログにも掲出されている。（CVE-2026-104286）

    『Fortinet FortiMail には、パストラバーサルと、NULLバイトまたはNULL文字脆弱性の不適切な中和が含まれており、認証されていない攻撃者が作成されたHTTPまたはHTTPSリクエストを通じて、基盤システム上で任意のファイルを記述できる可能性があります。

    関連するCWE: CWE-22 | CWE-158

        ランサムウェアキャンペーンで使用されていることは知られていますか? 不明
        BOD26-04 あたりの法医学的トリアージが必要:　はい
      
        日付追加: 2026-10-01
        期限: 2026年10月4日

    Action:対応:ベンダーの指示に従って緩和策を適用し、リスクに基づくセキュリティ更新の優先順位付け(郵便番号26-04)および「フォレンジック・トリアッジ要件」(注記のURLを参照)をCISAのBOD 26-04に確実に準拠させます。変更点がない場合は、クラウドサービスに関する対応可能なBOD 26-04のガイドラインに従うか、製品の使用を中止してください。ステークホルダーは、各資産のインターネットへの曝露を評価し、BOD 26-04パッチ適用ガイドラインの遵守を確実にする責任を負っています。』とのこと。（KEVカタログを機械翻訳し抜粋した）　

③ KillSecランサムウェア摘発

  • 欧州・米国等の合同捜査でKillSec関連インフラを押収。約1,000件の攻撃が捜査対象。  [cybersecur...hunter.com]

情報源


投稿者 時刻: No comments:

Oct 5, 2026

CVE-2026-5430 WSO2社のAPI管理製品で認証バイパスの脆弱性

以下 Geminiによる概要説明　↓


セキュリティアドバイザリ WSO2-2026-5328に記載されているCVE-2026-5430は、WSO2社のAPI管理製品において、サポートされていないアルゴリズムによる不適切なJWT（JSON Web Token）検証が原因で発生する、極めて深刻な認証バイパスの脆弱性です。 [1, 2]
また、本脆弱性は実環境での悪用が確認されたため、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の「既知の悪用された脆弱性（KEV）カタログ」に急遽追加されました（2026年9月24日追加）。影響を受けるシステムを運用している組織は、最優先での対処が求められています。 [3, 4, 5]

概要

  • 深刻度: クリティカル（CVSS スコア: 9.8 〜 10.0）
  • 脆弱性のタイプ: 認証バイパス / JWT検証不備 (CWE-347)
  • 攻撃元区分 (攻撃ベクトル): ネットワーク経由。認証不要で、ユーザーの操作なしにリモートから悪用が可能。
  • 影響: 管理者アカウントの完全な乗っ取り、バックエンドAPIへの不正アクセス、およびコンシューマーキーやシークレット（秘密情報）の漏洩リスク。 [1, 2, 6]

影響を受ける製品とバージョン

  • WSO2 API Manager: 4.1.0 から 4.6.0 まで
  • WSO2 API Control Plane / Traffic Manager / Universal Gateway: 4.5.0 および 4.6.0

対策・アップデート

設定変更などによる回避策（ワークアラウンド）はありません。管理者はベンダーが提供する公式アップデートを直ちに適用する必要があります。各コンポーネントごとの詳細な修正パッチレベル（例: API Manager 4.6.0のUpdate Level 21以上など）は、AhnLabによるアドバイザリまとめや公式ドキュメントで確認可能です。 [7, 8]

推奨される対応

  • 管理コンソールやAPIゲートウェイのインターネットへの直接公開を制限し、万が一不正アクセスの兆候や懸念がある場合は、速やかに認証情報をローテーションしてください。
  • システムアクセスログ（./repository/logs/http_access_*.log）を監査し、管理エンドポイントに対する不審なアクティビティや、異常な応答パターンが記録されていないか確認してください。
投稿者 時刻: No comments:

Oct 1, 2026

戦争ではデータセンターが標的に　ロシア軍がキーウの施設を相次いで攻撃

デジタルインフラの防御策は？ #エキスパートトピ（佐々木正明） - エキスパート - Yahoo!ニュース (09/30)

https://news.yahoo.co.jp/expert/articles/78fea5f60546856c688c3d6a220c5d727a80f682 
『攻撃により、10万世帯がネットにアクセスできなくなったことや、派生した通信障害でテレビ局などの配信が停止（中略）
ネット遮断に伴う情報網の麻痺は、市民がスマホの空襲警報アプリが受けられなくなったり、金融・経済システムに大打撃』

それにしても非道な仕打ちと感じる。

例えば、韓国の陸揚げ局｛釜山、最近では新万金（セマングム）地域も｝を空爆というシナリオは古いとまでは言わないが、他の攻撃目標に選択肢が広がった感があるなぁ。

投稿者 時刻: No comments:

Sep 17, 2026

09/17版 ダイジェスト

◆ IT系ニュース（セキュリティ除く）

① AI投資競争がさらに加速
② OpenAIが「モデル行動異常」の公開報告制度を開始
  • モデルの誤動作や自己隠蔽行動などを定期開示
  • AIガバナンスの新しい業界標準になりそう [blog.build...withai.com]
③ AI専用チップの内製化競争
  • Metaの次世代AIチップ量産が進展
  • NVIDIA依存低減を狙う巨大クラウド事業者が増加
  • 半導体業界の勢力図変化が継続 [semiconreport.org], [mckinsey.com]

◆ サイバーセキュリティ主要ニュース

① Cisco製品の重大ゼロデイ悪用
  • Cisco ISEにCVSS 10.0の脆弱性
  • CISAが「実際に悪用中」と警告
  • 認証回避による不正アクセスリスク [infosecnexus.com]
② VMware vCenter がランサムウェア標的に
  • CVE-2026-59310（CVSS 9.8）
  • CISA確認済み
  • 仮想基盤の管理サーバ乗っ取りリスク [tech-insider.org]
③ Microsoft史上最大級のPatch Tuesday

◆ 市場サマリー

米国10年債利回り
原油先物
  • Brent：概ね 100ドル/バレル前後
  • WTI：概ね 95～97ドル/バレル
  • 中東情勢を背景に高止まり [reuters.com], [reuters.com]

◆ 世界ニュース（地政学・経済のみ）

① 中東・ホルムズ海峡リスク継続
  • イラン関連情勢が依然として市場最大の地政学リスク
  • 原油・LNG供給への影響懸念が続く
  • エネルギー価格上昇が世界的インフレ圧力となっている [reuters.com], [reuters.com]
② 米FRB・日銀とも金融引締め姿勢が焦点
  • FRBのウォーシュ議長によるタカ派姿勢が市場注目点
  • 日銀も追加利上げ観測が継続
  • 世界的に長期金利上昇圧力が残る [reuters.com], [tradingeconomics.com]
③ 世界貿易の再編が進行
  • 米国の対中依存低下が継続
  • ASEAN・インドへの製造拠点シフトが拡大
  • AI関連インフラ投資が国際貿易の主要成長要因に [mckinsey.com], [mckinsey.com]
投稿者 時刻: No comments:
Subscribe to: Posts (Atom)