セキュリティニュース（6ページ目）
CVE・KEVのニュースから、フィッシング確認や復旧テストの実務解説まで。公式情報と、次に取る行動を日本語で整理します。
新着
新着記事から確認する
公開日が新しい記事を先頭に、公式情報と実務上の初動をすぐ確認できます。
「私はロボットではありません」の罠 ─ ClickFix攻撃が2026年に主流化したワケ
「人間か確認します」と表示される偽のCAPTCHA画面に従うと、知らぬ間にPowerShellでマルウェアが実行される──。2024年から急拡大したClickFix（クリックフィックス）攻撃は、2026年にはフィッシングと並ぶ主要な配送経路になりました。仕組みと、個人・組織の両方でできる対策をやさしく解説します。
記事一覧
Adobe Acrobat CVE-2026-34621：影響版・修正版とPDF受信時の初動対応
Adobe Acrobat・ReaderのCVE-2026-34621を公式APSB26-43で確認。Windows・macOSの影響版、ContinuousとClassicの修正版、悪用確認を整理。個人と情シスが稼働版を確認し、不審なPDFを開いた場合の報告・調査・更新判断へ進むチェックリストを示します。
CPU-Z・HWMonitorに仕込まれたSTX RAT ─ 公式サイト6時間改ざんのウォータリングホール攻撃
2026年4月9〜10日、PC診断ツールメーカーCPUIDの公式サイトが約6時間改ざんされ、CPU-Z・HWMonitorのダウンロードリンクがSTX RAT配布ファイルに差し替えられた。DLLサイドローディングと5段階インメモリ感染チェーンを使う高度な攻撃の全容を解説する。
Ivanti EPMM CVE-2026-1340・1281：KEV登録と初動確認・修正判断
Ivanti EPMMのCVE-2026-1340・1281について、CISA KEVの登録日・期限の違いと、公開管理基盤の初動確認を整理。導入版、暫定修正、稼働状態、侵害兆候、端末管理への影響を照合し、更新だけで対応完了としない判断基準を示します。攻撃手順は扱わず公式情報へ案内します。
Contagious Interviewの悪意パッケージ：Socketの報告と開発環境の初動確認
Socketが報告したContagious Interview関連の悪意パッケージを、確認できる範囲と自社の対応に分けて解説。npm・PyPI・Go・Rust・PHPの依存記録、開発端末、CI/CD、認証情報を点検するチェックリストを示します。採用課題や不審なコードを実行しない判断、保全・報告・再開条件も整理します。
axios npm侵害：影響バージョンの確認とCI/CD・認証情報の初動対応
axiosのnpm供給チェーン侵害について、Google・Microsoft・メンテナーの公開情報をもとに影響版と確認対象を整理。ロックファイル、CI/CDランナー、キャッシュ、認証情報の初動チェックリストを示します。安全な版への更新だけで調査を終えない判断、記録と再開条件も確認できます。
2026年4度目のChromeゼロデイ ─ WebGPUのUAFがサンドボックス脱出チェーンに悪用
CVE-2026-5281はChromeのWebGPU実装「Dawn」に存在するuse-after-free脆弱性で、野生での悪用が確認されCISAのKEVカタログに追加されました。2026年に入り4度目のChromeゼロデイが示すWebGPUという新たな攻撃面の拡大を解説します。
Cisco FMC CVE-2026-20131 ─ KEV追加済みの管理基盤RCEをどう点検するか
Cisco Secure Firewall Management CenterのCVE-2026-20131は、CISA KEVにも追加された重大な管理基盤RCEです。公式情報とAmazonの公開分析をもとに、FMC管理者が確認すべき初動を整理します。
セッションIDが筒抜けに ─ Citrix NetScaler SAML IDPの記憶漏洩脆弱性CVE-2026-3055が野生で悪用
CVSS 9.3のCitrix NetScalerメモリ読み取り脆弱性が2026年3月27日から積極的に悪用されています。SAMLログインに細工したリクエストを送るだけで、認証済み管理者のセッションIDがCookieに乗って返ってくる──この攻撃の仕組みと即時対応を解説します。
FBI長官のメールを盗んだ集団 ─ イラン系ハクティビストHandalaが仕掛けた報復型サイバー作戦
2026年3月27日、イラン系ハッカー集団HandalaがFBI長官カッシュ・パテル氏の個人メールを侵害し、300通以上のメールと私的写真を公開しました。FBIが同集団のドメインを押収した翌週という「報復」の構図、そして高位職にある人物のデジタルセキュリティが持つ意味を解説します。
「侵入」から「ログイン」へ ─ インフォスティーラーとエージェンティックAIが変えたサイバー犯罪の構造
2025年に世界で1,100万台のマシンに感染したインフォスティーラーが33億件の認証情報を生産し、エージェンティックAIがそれを自動的にテスト・悪用する時代が来ています。「脆弱性を突く」から「正規のIDで入る」へという攻撃パラダイムの転換と、組織が取るべき対策を解説します。
公開から20時間で世界規模の攻撃へ ─ LangflowのRCE脆弱性が示す「アドバイザリー駆動型エクスプロイト」の脅威
AIワークフロー構築ツールLangflowの重大なリモートコード実行脆弱性CVE-2026-33017が、公開からわずか20時間で実際の攻撃に悪用された。概念実証コードがない状態でも攻撃が成立した衝撃の事例から、AI時代のセキュリティ対応の新しい常識を解説します。
国家ぐるみの暗号資産強盗 ─ 北朝鮮Lazarusが仕掛けたBitrefill侵害と累計6,750億円盗難の全貌
北朝鮮のハッカー集団Lazarusが2026年3月にBitrefillを侵害し、18,500件の購入記録と暗号資産を奪いました。2025年だけで2,020億円を盗んだ彼らの最新手口と、個人・企業が今すぐできる防衛策を解説します。
Oracle Cloudの認証情報リスク：2025年のCISA注意喚起と自社影響の確認
Oracleの旧クラウド環境に関する2025年のCISA注意喚起を、確認済み情報と未確定事項に分けて解説。情シス・SaaS管理者向けに、利用環境、認証情報の使い回し、SSO・サービスアカウント、ログ、失効と変更の影響を確認する手順と判断基準を整理します。
AIツールが標的になる時代：LiteLLM汚染事件が示したCI/CDパイプラインの死角
2026年3月、AI開発で広く使われるPythonライブラリ「LiteLLM」のPyPI配布版に悪意あるコードが混入しました。確認済みの事実、影響確認、CI/CDとAPIキーの守り方を整理します。
クレデンシャルの連鎖が1ペタバイトを失わせた：TELUS Digital侵害の解剖
2026年3月、ShinyHuntersがTELUS Digitalから最大1ペタバイトのデータを盗み、6500万ドルで脅迫しました。入口はまったく別の企業の侵害で得た1つの認証情報。「クレデンシャルチェーン」の恐怖を解説します。
多要素認証を破る『工場』が壊滅：Tycoon 2FA摘滅作戦の全貌
2026年3月、Microsoft・Europol・Cloudflareらの国際連携が、MFAを突き破るフィッシングサービス「Tycoon 2FA」の基盤を壊滅させました。64,000件以上の攻撃を可能にしたインフラとその崩壊の全貌を解説します。
CVSS 10.0とは？EPSS・KEVとの違いと脆弱性対応の優先度
CVSS 10.0が示す技術的な深刻度と、自社のリスクとの違いを解説。EPSSの予測、CISA KEVの悪用確認、資産の公開範囲をどう組み合わせるか、情シスと開発者向けの確認チェックリストで整理します。公式情報、初動判断、修正後の検証、報告に残す項目まで確認できます。
英国小売業を震撼させたランサムウェア連合：DragonForceとScattered Spider
M&S、Co-op、Harrods を立て続けに攻撃した DragonForce と Scattered Spider。なぜ彼らは成功したのか？「犯罪カルテル化」が意味するものを解説します。
AI時代のフィッシング対策：見分け方の限界と認証・報告の実務
AIで自然な文面が作られる時代に、フィッシングをどう確認し、組織で防ぐか。文面だけに頼らない別経路確認、SPF・DKIM・DMARCの限界、MFAとパスキーの違い、入力・同意後の初動を解説。個人・情シス・開発者向けのチェックリストと判断基準を示します。
全140件のうち 121〜140件を表示しています。