セキュリティニュース（5ページ目）
CVE・KEVや脅威情報を、影響範囲・確認方法・初動対応まで日本語で整理します。
Latest
新着記事から確認する
公開日が新しい記事を先頭に、公式情報と実務上の初動をすぐ確認できます。
Linux Kernel CVE-2026-31431 ─ Copy Failで最初に確認すること
CISA KEVに追加されたLinux KernelのCVE-2026-31431 Copy Failについて、対象サーバー、Kubernetes、CI/CDランナーで最初に確認すべき影響範囲、パッチ判断、暫定緩和、記録の残し方を整理する。
記事一覧
cPanel/WHM CVE-2026-41940 ─ ホスティング管理画面の認証回避リスクと初動対応
CISA KEVに追加されたcPanel & WHM / WP2のCVE-2026-41940について、公開管理画面、更新状況、ログ確認、顧客影響、初動対応を防御側の観点で整理します。
デバイスコードフィッシング ─ Microsoft 365で狙われるOAuth認証の盲点
デバイスコードフィッシングは、正規のログイン画面を使って攻撃者のセッションを承認させる。Microsoft 365で見るべきログ、初動、条件付きアクセスの考え方を整理する。
PAN-OS CVE-2026-0300 ─ User-ID Authentication Portalを公開している組織の初動確認
CISA KEVに追加されたPAN-OS CVE-2026-0300について、User-ID Authentication Portalの公開状況、信頼ゾーン制限、無効化判断、初動確認を防御側の実務観点で整理します。
SSVCとは ─ 脆弱性対応をTrack/Attend/Actで決める方法
SSVCは、CVSSやEPSSだけでは決めきれない脆弱性対応を、Track・Attend・Actの判断へ落とす考え方。情シスやSOCが使える優先度付けの手順を解説する。
AIエージェント利用ルール ─ 社内導入で先に決める権限・ログ・禁止事項
AIエージェントを社内導入する前に、権限、データ持ち出し、ツール実行、ログ、承認、停止手順をどう決めるか。情シス・CSIRT向けに実務ルールを整理する。
ランサムウェア初動対応 ─ 最初の1時間でやること・やってはいけないこと
ランサムウェア感染が疑われる最初の1時間に、端末隔離、共有領域保護、証跡保全、バックアップ確認、社内報告をどう進めるかを実務目線で整理する。
KEVとは ─ CVSSだけに頼らない脆弱性対応の優先順位
CISA KEV、CVSS、EPSS、インターネット露出、自社資産の重要度を組み合わせ、CVE対応の優先順位を決める実務手順を解説する。
SaaS権限棚卸しの進め方 ─ 退職者・OAuth・外部共有を見落とさない実務手順
SaaS権限棚卸しを、管理者ロール、退職者アカウント、OAuth同意、外部共有、APIトークンの観点で整理。初回30日の進め方と優先順位を解説する。
フィッシングメールの見分け方 2026年版 ─ 迷ったときの確認チェックリスト
フィッシングメールを開く前に確認すべき送信元、URL、添付ファイル、ログイン画面、AI生成文面の違和感を整理。個人と企業で使える実践チェックリストを紹介する。
サイバーセキュリティ勉強方法 2026年版 ─ 初心者が迷わない学習ロードマップ
サイバーセキュリティを何から勉強すればよいか迷う初心者向けに、基礎、用語、攻撃手法、防御、ハンズオンまでの順番を整理。情シス、開発者、SOC志望など目的別の進め方も紹介する。
マネーフォワードGitHub不正アクセス ─ リポジトリコピーから考える開発組織の初動
2026年5月に公表されたマネーフォワードのGitHub不正アクセスを、公式発表をもとに整理。認証情報漏えい、リポジトリコピー、鍵ローテーション、銀行口座連携停止から、開発組織が確認すべき実務対応を解説する。
OAuth同意フィッシング ─ MFAをすり抜けるSaaS権限奪取
OAuth同意フィッシングは、MFAを破らずSaaSアプリ連携の権限を奪う。危険な同意画面、管理者同意、監査ログ、アプリ制御の実務対応を整理する。
パスキー導入の落とし穴 ─ フィッシング耐性MFAを失敗させない移行設計
パスキーはフィッシングに強い認証だが、復旧導線、共有端末、例外運用を誤ると導入後に形骸化する。FIDO2/WebAuthnを組織へ広げる前に決めるべき設計と、段階導入の実務ポイントを整理する。
Marimo RCE CVE-2026-39987 ─ 公開10時間未満で悪用、AIノートブックを守る実務対応
MarimoのCVE-2026-39987は、未認証でターミナルWebSocketからシェルに到達できる重大なRCE脆弱性だ。CISA KEV追加、公開後9時間41分での悪用観測、影響環境、更新・露出遮断・資格情報ローテーションまで実務対応を整理する。
FortiClient EMS ゼロデイ CVE-2026-35616 ─ 管理APIバイパスがKEV入り、露出確認と封じ込めを急ぐべき理由
Fortinet FortiClient EMS の管理API認証・認可バイパス脆弱性 CVE-2026-35616 がCISA KEVへ追加された。影響バージョン、ホットフィックス、管理プレーン露出の危険性、侵害確認と封じ込めの実務手順を整理する。
Apache ActiveMQ Classic のRCEが実戦投入 ─ CVE-2026-34197 と管理API露出の危険
Apache ActiveMQ Classic のコード実行脆弱性 CVE-2026-34197 が2026年4月16日にCISA KEVへ追加され、実際の悪用が確認された。影響バージョン、Jolokia管理APIが危険な理由、6.0.0〜6.1.1でさらに深刻になる背景、管理者が直ちに取るべき対策を整理する。
「私はロボットではありません」の罠 ─ ClickFix攻撃が2026年に主流化したワケ
「人間か確認します」と表示される偽のCAPTCHA画面に従うと、知らぬ間にPowerShellでマルウェアが実行される──。2024年から急拡大したClickFix（クリックフィックス）攻撃は、2026年にはフィッシングと並ぶ主要な配送経路になりました。仕組みと、個人・組織の両方でできる対策をやさしく解説します。
Adobe Acrobat Reader ゼロデイ CVE-2026-34621 ─ PDFを開くだけでローカルファイル窃取・任意コード実行
2026年4月12日、Adobe Acrobat Readerに2025年11月から悪用されていたゼロデイCVE-2026-34621（CVSS 8.6）の緊急パッチが公開された。プロトタイプ汚染を利用した手法で悪意あるPDFを開くだけでローカルファイル窃取や任意コード実行が可能。初期VirusTotal検出率は13/64と極めて低く、パッチ未適用環境への警戒が求められる。
CPU-Z・HWMonitorに仕込まれたSTX RAT ─ 公式サイト6時間改ざんのウォータリングホール攻撃
2026年4月9〜10日、PC診断ツールメーカーCPUIDの公式サイトが約6時間改ざんされ、CPU-Z・HWMonitorのダウンロードリンクがSTX RAT配布ファイルに差し替えられた。DLLサイドローディングと5段階インメモリ感染チェーンを使う高度な攻撃の全容を解説する。
Ivanti EPMM CVE-2026-1340/1281 ─ CVSS 9.8、4,400超インスタンスが危険、CISAが4/11までのパッチを命令
IvantiのMDMソリューション「EPMM」に深刻な脆弱性CVE-2026-1340/1281（CVSS 9.8）が見つかり、4,400超のインスタンスが危険にさらされています。CISAはKEVカタログに登録し連邦機関へ4/11までのパッチを命令。実際の攻撃手法と緊急対策を解説します。
北朝鮮「Contagious Interview」— npm・PyPI・Go・Rust・PHPに1,700本超の偽パッケージを展開
北朝鮮連動のAPTグループ「Contagious Interview（UNC1069）」が5つのパッケージエコシステムに1,700本以上の悪意あるパッケージを展開。開発者のクレデンシャルや暗号資産ウォレットを狙うクロスエコシステム・サプライチェーン攻撃の全貌を解説します。
週1億DLのaxiosに北朝鮮バックドア ─ UNC1069による3時間のサプライチェーン汚染
2026年3月31日、北朝鮮系のUNC1069が人気JavaScriptライブラリaxiosのnpmアカウントを侵害し、WAVESHAPER.V2バックドアを仕込んだ悪意あるバージョンを公開しました。80%のクラウド環境が影響を受け得るこのサプライチェーン攻撃の全貌を解説します。
2026年4度目のChromeゼロデイ ─ WebGPUのUAFがサンドボックス脱出チェーンに悪用
CVE-2026-5281はChromeのWebGPU実装「Dawn」に存在するuse-after-free脆弱性で、野生での悪用が確認されCISAのKEVカタログに追加されました。2026年に入り4度目のChromeゼロデイが示すWebGPUという新たな攻撃面の拡大を解説します。
全133件のうち 97〜120件を表示しています。