最新記事一覧
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、10月18日週を中心に公開された主なニュースを一気にチェックしましょう！
()
多くの日本企業を混乱の渦に巻き込んだPHP脆弱性問題。深夜のアップデート対応に追われた担当者もいることだろう。この問題はなぜ起きたのか。その背景には一朝一夕ではいかない開発者全体に関わる根深い課題があった。
()
IPAはOracle Javaの脆弱性について注意喚起した。修正された55件のうち49件は、認証を必要とせずネットワーク経由で悪用される可能性がある。被害は攻撃者によるPCの制御に及ぶ恐れもあるという。
()
PHPの開発チームが、認証不要のリモートコード実行につながる2件の重大脆弱性を修正するセキュリティリリースを公開した。IPAも注意喚起を出し、速やかな適用を促す。だが、全てのシステムを直ちに更新できる企業ばかりではない。何から手を付けるべきか。
()
10月21日夜に「緊急メンテナンス」の実施を発表する企業が相次いでいる。対象サービスは、業種業界を問わない。いったい何が起きているのか。
()
PHPに深刻度9.2の重大脆弱性「php2shell」が見つかった。外部から任意のコードを実行される恐れがあり、PHP開発チームは2026年10月21日23時に修正パッチを公開する予定だ。パッチを待つ間、企業は何をすべきか。GMO Flatt Securityは独自分析を基に暫定策と緊急対応の指針を示した。
()
クラウドやVPSの基盤を揺るがしかねないLinuxカーネルの脆弱性が公表された。さくらインターネットは「PwnEscape」と呼ばれるこの脆弱性への対応として、複数サービスで新規プロジェクトの作成や申し込み、一部機能の提供を停止した。一体この脆弱性は、利用者のシステム運用に何をもたらすのか。
()
Microsoftは2026年10月の月例セキュリティ更新プログラムで、1413件の脆弱性に対応した。その中には、既に攻撃への悪用が確認された脆弱性が含まれる。同社は、大量の脆弱性に優先順位を付けるための考え方も紹介した。
()
楽天モバイルが過去に販売した複数の自社ブランドスマートフォンにおいて、修正プログラムのない脆弱（ぜいじゃく）性が発見された。同社では当該端末の機種変更を推奨している。
()
脆弱性の発見数が対処のスピードを上回ることが確実になった今、あきらめてしまう以外の方法を考える必要がある。脆弱性を評価する方法を「点数」ではなく「リスクマネジメント」の観点から考えるに当たり、参考になる指標や文書を紹介する。
()
CitrixのNetScaler ADC／Gatewayで8件の脆弱性が公開された。そのうち2件は「緊急」（Critical）のゼロデイで、既に世界規模で悪用されているという。CISAが要求した異例の対応とは。
()
SCS評価制度の★3を取ろうとしても、要求事項の理解や自社の状況把握からつまずく中小企業は多いはずです。IPAが2026年10月から実証を始める「サイバーセキュリティお助け隊サービス（新類型）」は、その壁をどこまで下げてくれるのでしょうか。
()
デジタル庁が運用する「ガバメントソリューションサービス」で、不正アクセスが発生した。ゼロトラストを採用していたにもかかわらず、なぜ侵入を許したのか。AIによって攻撃の前提が変わる現在の、自治体のセキュリティを考える。
()
ハッキングコンテストはAIに敗れ、脆弱性管理は「パッチパンデミック」に陥り、AIエージェントは暴走して企業インフラに侵入。企業はAIエージェント時代の脆弱性管理をどう再設計すべきでしょうか。
()
脆弱性診断の報告書には「緊急」「重大」といったリスクレベルやCVSSスコアが並ぶ。しかし、その数字だけではどの問題をいつまでに誰が直すべきかは決まらない。診断結果を対策につなげるには、報告書の評価をどう読み解けばよいのか。
()
Microsoftが修正したWindows Defenderの脆弱性を巡り、修正後のWindowsでも同じ問題につながる攻撃経路が残っていたとするPoCが公開された。わずか数日で登場した新たなPoCに対し、ユーザーができることはあるか。
()
＠ITで公開された記事の中から、特に注目を集めた10本をランキング形式で紹介します。何が読者の関心を引いたのでしょうか。
()
OSSに悪性コードが混入するソフトウェアサプライチェーン攻撃が、開発現場を大きく揺るがしている。開発者を「最も効率的な侵入ルート」と見なす構造的な背景を解説し、OSSを活用したソフトウェア開発プロセスの盲点を明らかにする。
()
高度な技術を持たない攻撃者であっても、生成AIや公開コードを活用して迅速にサイバー攻撃を実行できる時代に突入している。こうした中AWSは、金融庁と日本銀行が金融機関に求めた9つの短期的対応について、同社のサービス・機能がどう役立つかを整理して解説した。
()
Microsoftは、複数のクラウドサービスの脆弱性を公表した。Azure AI Languageなど2件はCVSS3.1の深刻度が10.0で、全件を同社側で緩和正済みとした。
()
生成AIの進化に伴い脆弱性の発見と悪用が進む中、「全脆弱性にパッチを当てる」従来型の対策は限界を迎えているという。Check PointのCTOらが、継続的な脅威管理「CTEM」とAIを活用したアプローチを語る。
()
認証もユーザー操作も必要ない。Microsoft Entra IDで、ネットワーク経由の攻撃によってコードを実行される恐れのある脆弱性が見つかった。CVSS基本値は10.0だ。Microsoft 365やAzureなどの認証基盤を支えるサービスで何が起きていたのか。
()
「AIが脆弱性を見つける」ことが現実になった2026年。AnthropicのClaude Mythos Preview発表後、重大なCVEの公開件数が異例のペースで増えていることが調査結果で示された。これを踏まえて脆弱性対策を考える。
()
Microsoftは「Microsoft Entra ID」に存在した深刻度「CVSS 10.0」の脆弱性「CVE-2026-69836」を公表した。Microsoft側で既に緩和が完了しており、利用者側の対応は不要とされている。作業を伴わない脆弱性情報が公表された理由とは。
()
Claude MythosをはじめとしたフロンティアAIの登場で脆弱性管理の常識がひっくり返る未来が来ている。深刻度が高い脆弱性だけに対処する方針が“時代遅れ”になりつつある今、企業が押さえるべき“きほんのき”とは。
()
Microsoftは2026年8月11日（米国時間）、Windows 11向けの月例更新プログラム「KB5121003」の提供を開始した。今月は約400件の脆弱性が修正されており、その中には既に悪用が確認されている「AFD.sys」の権限昇格の脆弱性が含まれる。また、ファイルサイズ表示の改善やタッチパッドのジェスチャー設定など、2026年7月のプレビュー更新で先行提供された新機能も正式に展開される。本更新プログラムの内容と注意点を解説する。
()
脆弱性の公開から悪用までがわずか数時間に短縮されたAI時代、従来のCVSSスコアに基づく全パッチ適用は限界を迎えている。情シスが今取るべき悪用リスク重視の優先順位付けと動的な防御戦略を解説する。
()
Palo Alto Networksが自律型AIシステム「NOVA」による調査結果を発表した。3915件のOSSを解析して1万4090件の脆弱性を検出し、99.4％が未報告と判明。従来のテスト手法では見抜けなかった欠陥が9割超を占める実態が浮き彫りとなった。
()
BroadcomはVMware製品群に存在する5件の脆弱性を修正した。vCenterでは最高深刻度CVSS 9.8の認証回避や任意コード実行の欠陥が確認されている。回避策は用意されておらず、速やかなパッチ適用が求められる。
()
脆弱性が公表されてから攻撃が始まるまで、これまでは相応の時間がありました。その前提が、生成AIによって崩れつつあります。では、防御側に残された選択肢には何があるのでしょうか。
()
BroadcomはVMware製品に存在する5件の脆弱性を修正した。vCenterには認証回避や任意コード実行につながる重大な問題が含まれ、全ての脆弱性で回避策は用意されていない。
()
Redisで見つかった任意コード実行（RCE）につながる脆弱性に対し、実際に攻撃を再現するPoCが公開された。公開資料では複数バージョンで全ての検証に成功したと報告されており、実用性の高さがうかがえる。修正の背景や影響範囲、攻撃が成立する条件、取るべき対策を整理する。
()
フロンティアAIモデルが1万件以上のソフトウェア脆弱性を発見したり、テスト用の隔離環境を“脱獄”して、他の場所にあるデータを窃取したりといったニュースが相次いでいる。企業のセキュリティ責任者が恐怖にかられるのは当然だ。だが、Gartnerのアナリストは「恐れる必要はない」と語る。その理由を聞いた。
()
ランサムウェア集団「Qilin」は、2024年から2025年にかけて急速に活動を拡大させている。トレンドマイクロの調査から見えてきた、企業が放置している致命的な不備とは何か。
()
WordPress本体にプラグインなしの標準構成でも遠隔からコードを実行できる脆弱性が見つかりました。運営元は異例の強制自動更新に踏み切りましたが、管理者が把握しない放置サイトはこの網から漏れてしまいます。自動更新だけでは守れない理由を整理します。
()
DNSサーバソフト「BIND 9」の更新版が公開された。修正されたのは計9件の脆弱性で、このうち7件は深刻度「高」と評価される。DNSキャッシュ汚染やDoSにつながる問題も含まれるが、現時点で有効な回避策は示されていない。
()
爆発的に普及する自律型AI「OpenClaw」。その高い利便性の裏で、脆弱性や悪意ある拡張機能による漏えいリスクが急浮上している。シャドーIT化を防ぎ組織を守るため、今CISOが講ずべき「5つの防衛線」とは。
()
当時は正式公開前に報道が先行したことが問題視され、経産省などが脆弱性情報の取り扱いに関する異例の要請を出す事態になっていた。
()
「脆弱性を見つけても報告先がない」「修正されたのかも分からない」。そんな状況を変えるため、CISAやNSA、JPCERT/CCなど5機関が、企業向けの共同指針を公開した。善意の研究者との協力を前提とした新たな脆弱性管理の実務とは何か。
()
開発現場で日常的に利用されるPHP向けパッケージ管理ツール「Composer」に、複数の脆弱性が見つかった。中でも深刻な問題では、悪意ある依存パッケージが混入すると、通常のインストールや更新をきっかけにプロジェクト外のファイルを書き換えられる恐れがある。開発者や運用担当者が今すぐ確認すべきポイントを整理する。
()
Dell製PCの一部で、BIOSパスワードを「数ミリ秒」で復元できる脆弱性が見つかった。総当たり攻撃は不要で、端末内に残るデータだけで解析できるという。さらに、一般的には安全性向上につながるはずの「ある運用」が、逆に攻撃を助ける可能性も指摘された。
()
CVSS 9.8の重大な脆弱性が「Red Hat Enterprise Linux」に含まれる印刷ソフトウェア「HPLIP」で見つかった。以前の脆弱性への修正が不完全だったことが原因で、細工した印刷ジョブを悪用される恐れがあるという。
()
FortiGateを狙った「FortiBleed」では、32万台超の機器が標的になりました。攻撃はネットワーク機器だけでなく、開発者や正規サービスにも広がっています。大規模攻撃に備えるには、何から見直すべきでしょうか。
()
PHPに高危険度の脆弱性が見つかり、修正版が公開された。問題はTLS接続時のエラー処理にあり、特定の環境ではHTTPS通信の失敗をきっかけにサービス停止に発展する恐れがあるという。
()
公開からわずか3日で利用停止となったAnthropicの最新AIモデル「Claude Fable 5」が再提供される。その裏で同社は、AmazonやMicrosoft、GoogleとともにAIのジェイルブレーク（脱獄）の深刻度を共通基準で評価する新たな枠組みづくりに着手した。AIセキュリティは新たな転換点を迎えようとしている。
()
2026年4月「全てのCVEを分析する」という長年の方針を転換したNIST。約2カ月後、その運用実態を調査したところ、分析対象の絞り込みだけでなく、脆弱性評価そのものを巡る新たな課題が浮かび上がったという。
()
The Linux Foundationは2026年6月25日、重要OSSの脆弱性を修正し、責任ある形で開示する共同取り組み「Akrites」を発表した。情シスにとっては何が関係あるのか。
()
2024年9月、MicrosoftはWindows Server Update Services（WSUS）の非推奨化（廃止）を発表しました。「非推奨」と聞いて「もう使えなくなるのでは」と不安を抱いた人もいるのではないでしょうか。実際には、その後もWSUSを巡る状況は変化を続けています。ドライバー同期廃止の無期限延期、Windows Server 2025向けのセキュリティ強化、そして緊急パッチを要する重大脆弱性の判明――。調査では、WSUS非推奨化について内容まで把握しているIT担当者は、3割にとどまりました。WSUSを取り巻く主な出来事を振り返りながら、WSUS非推奨化の本当の意味を整理します。
()
生成AIの進化によって「脆弱性対策」の難易度が急上昇しています。従来は数カ月ごとの定期メンテナンスでパッチを当てるのが主流でしたが、現在はどうでしょうか。これまでの対策が通用しなくなった原因と、CISAやIPAが示す防御戦略を解説します。
()
Microsoftは、毎月のPatch Tuesdayの規模が今後も大きくなると予告した。AIによる脆弱性発見の加速が背景にあり、ユーザー側にはより迅速な対応が求められるとしている。
()