最新記事一覧
脆弱性の公開から悪用までがわずか数時間に短縮されたAI時代、従来のCVSSスコアに基づく全パッチ適用は限界を迎えている。情シスが今取るべき悪用リスク重視の優先順位付けと動的な防御戦略を解説する。
()
BroadcomはVMware製品群に存在する5件の脆弱性を修正した。vCenterでは最高深刻度CVSS 9.8の認証回避や任意コード実行の欠陥が確認されている。回避策は用意されておらず、速やかなパッチ適用が求められる。
()
Microsoftは、Windows 11（25H2/24H2）向けに緊急更新プログラム「KB5121767」を公開した。Intel IPF搭載のDell製PCなどで生じていた性能低下や更新制限を解消する。自動配信やオプション更新から入手可能だ。
()
従来の「セキュリティ部門がスキャンし、IT運用部門がパッチを当てる」という分断されたプロセスでは、急速に進化するサイバー脅威のスピードに追いつかない。NinjaOneのイーゴン・リンデラー氏は、「脆弱性評価からパッチ適用までをIT運用チームが自律的に行うべきだ」と語る。
()
AIが脆弱性を発見し、数時間で攻撃コードを生成する「脆弱性の嵐」が到来した。従来のパッチサイクルが通用しない中、情シスが生き残る鍵は防御側へのAI導入だ。人手による判断を脱し、自律防御へかじを切る手法を解説する。
()
2024年9月、MicrosoftはWindows Server Update Services（WSUS）の非推奨化（廃止）を発表しました。「非推奨」と聞いて「もう使えなくなるのでは」と不安を抱いた人もいるのではないでしょうか。実際には、その後もWSUSを巡る状況は変化を続けています。ドライバー同期廃止の無期限延期、Windows Server 2025向けのセキュリティ強化、そして緊急パッチを要する重大脆弱性の判明――。調査では、WSUS非推奨化について内容まで把握しているIT担当者は、3割にとどまりました。WSUSを取り巻く主な出来事を振り返りながら、WSUS非推奨化の本当の意味を整理します。
()
攻撃者が生成AIを悪用して仮想化製品の脆弱性を見つけ出せるようになったことで、これまでの常識が通用しなくなりつつある。迅速なパッチ適用を心掛けるだけでは攻撃を防ぎきれなくなった今、求められるリスク対策の新たな発想とは。
()
NTTドコモは、9月下旬以降に高耐久スマホ「DuraForce EX2 KC-S704」を発売。最新OSへの3回のバージョンアップ、4年間のセキュリティパッチに対応し、電源を切らずにバッテリー交換が行える。
()
Microsoftはマルチモデルエージェント型セキュリティシステム「MDASH」の取り組みについて解説した。Microsoftのセキュリティエンジニアリングチームが活用しており、Windowsの未知の重大な脆弱性発見に貢献しているという。
()
7万台超のFortiGateに関する認証情報流出疑惑で注目を集めた「FortiBleed」。これに対してFortinetは、新たな脆弱性や製品侵害ではないとの見解を示した。その一方で、影響を受けた可能性がある組織には複数の緊急対応を要請している。なぜパッチ適用後もリスクが残るのか。
()
生成AIの進化によって「脆弱性対策」の難易度が急上昇しています。従来は数カ月ごとの定期メンテナンスでパッチを当てるのが主流でしたが、現在はどうでしょうか。これまでの対策が通用しなくなった原因と、CISAやIPAが示す防御戦略を解説します。
()
生成AIの悪用が進む中、防御側の運用モデルも転換点を迎えている。こうした変化を踏まえて、タニウムはイベント「Converge Tokyo 2026」で、自律的なIT運用を目指す新構想とAI基盤を発表した。NECの事例とともに、AI時代のIT資産管理の勘所を探る。
()
FortiGateを狙った大規模な認証情報収集キャンペーンの存在が明らかになった。対象となった機器は32万台超。その中には比較的新しい更新プログラムが適用された装置も含まれていたという。攻撃者は何を狙い、どのように侵入経路を確保していたのか。
()
生成AIが攻撃者の武器になった今、ソフトバンクグループとOpenAIは新たな一手を打った。単なる脆弱性診断ではなく、その先の「修復」まで踏み込むという構想だ。AIは企業のパッチ運用をどこまで変えられるのか。
()
セキュリティ対策の在り方が根本から変わり、メガインフラの引力が強まる中、日本の企業・組織が取り戻すべき「主権」とは何なのか。トラストの基点を決定論的な静的管理から、動的な「IDと実行時コンテキスト」に移すことは可能なのか。
()
「Windows」主要機能の脆弱性が、事前通告なしに一般公開される事件が起きた。Microsoftが激しく非難する一方で、一部の専門家は「ベンダーの怠慢」を指摘する。企業はどう身を守るべきか。
()
Microsoftが2026年6月の月例セキュリティ更新プログラムを公開した。WindowsやOffice、Azureなど広範囲な製品が対象で、悪用確認済みのゼロデイ脆弱性などが修正された。同社は早急な適用を呼びかけている。
()
脆弱性修正の猶予は14日から3日へ。米CISAの新指令は、全企業にパッチ管理の抜本的見直しを迫っている。リソースが限られる情シスがいかにして「がむしゃらな対応」を捨て、リスクに基づいた優先順位付けと自動化を実現すべきか。
()
Microsoftが過去最多となる約200件の脆弱性修正を公開した。サードパーティー製を含め月間600件に迫る「パッチアポカリプス」が到来している。情シスは従来の手法では対処しきれないパッチ管理の限界と、修正品質のリスクに直面している。
()
Microsoftは2026年6月9日（米国時間）にWindows 11 24H2／25H2向け更新プログラム「KB5094126」を公開した。本更新プログラムを適用すると、204件に及ぶ脆弱性の修正情報やセキュアブート証明書の有効期限切れ対策に加え、複数アプリによるカメラの同時利用など、段階的に導入される新機能が追加される。
()
セキュリティ投資を却下しながら有事の責任のみを現場に求める経営層や、パッチ適用を拒む事業部門との対立など、組織や人間関係に潜むジレンマを現役CISOが解説。AI時代に求められるマインド変革とは。
()
Googleは、AIを駆使した高速なサイバー攻撃に対抗する自律型システム「Google AI Threat Defense」を発表した。GeminiやWiz、Mandiantの技術を統合し、脆弱性調査から修正パッチ生成までを数分に短縮。属人的な管理の限界を突破し、攻撃者のスピードを上回る「マシンスピード」の防御体制を構築する。
()
MicrosoftはExchangeのOWAに影響する重要脆弱性を公表、CISAも悪用を確認した。自動配信される緩和策の確認方法や閉域網向け手順を解説する。また、適用後にカレンダー印刷や画像表示が不全になる既知の不具合の回避策、恒久パッチの配信条件をまとめる。
()
Microsoftは2026年5月12日（米国時間）にWindows 11 24H2／25H2向け更新プログラム「KB5089549」を公開した。本更新は137件もの脆弱性修正に加え、特定のタスクでCPUクロックを引き上げる新機能や低遅延プロファイルの導入など、パフォーマンス面での大幅な改善を含んでいる。2026年6月に迫るセキュアブート証明書の期限切れ対策としても重要な更新が含まれている。
()
主要Linuxディストリビューションでroot権限を奪取可能なゼロデイ脆弱性「Dirty Frag」が見つかった。情報漏えいによってパッチ提供前の緊急公開となっている。
()
高度化するサイバー攻撃から自社を守るにはセキュリティ更新が不可欠だが、適用時のシステム停止や作業の遅延という課題もある。「Windows 11」はこのジレンマをどう解決し、安全性を保つ手段を提供しているのか。
()
高性能AIの登場により、脆弱性発見のスピードが劇的に加速している。英NCSCは、蓄積された「技術的負債」がAIによって一気に暴かれ、かつてないパッチ適用サイクルが到来すると警告。情シス部門が考えるべきことは？
()
DB管理において、定期的なパッチ適用やハードウェア更改は費用と運用負荷を強いる。みずほ銀行はいかにして既存システムを変えずに、「ライセンス数約66％削減」の道筋を見いだしたのか。
()
Microsoftは、ASP.NET Coreの暗号署名検証に起因する権限昇格の脆弱性（CVE-2026-40372）を公表した。未認証の攻撃者がSYSTEM権限を取得する恐れがある。修正版への更新が推奨される。
()
「VMware vSphere」を運用する担当者にとって、パッチ適用のための計画停止は頭を悩ませる重い負担だ。多大な手間と費用を削減し、VMを止めずにシステムを更新できる「VCF 9.0」の仕組みと運用方法とは。
()
Anthropicは、AIによる脆弱性悪用の高速化を受け、企業の防御指針を発表した。パッチ適用の迅速化やAIによる開発・運用体制の強化、侵入前提の設計、資産削減などの対策を推奨した。
()
Windowsの未修正ゼロデイ脆弱性「BlueHammer」のPoCが公開された。Defender更新処理の仕組みを悪用することで、一般権限からSYSTEM権限へ昇格できる恐れがある。パッチ未提供であるため、既存の検知を回避する可能性があるため注意が必要だ。
()
データの爆発的増加に伴い、従来の物理的な機器管理に限界が近づいている。バックアップの不備やパッチ適用の遅れは、災害による取り返しのつかないデータ消失を招きかねない。今見直すべきストレージ運用の盲点は。
()
Anthropicが新機能「Claude Code Security」の限定プレビュー版の提供を開始した。人間のセキュリティ研究者と同じ手法でコードの脆弱性を解析し、人間によるレビュー用の修正パッチを提案するという。
()
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、3月15日週を中心に公開された主なニュースを一気にチェックしましょう！
()
東京大学らは、新型コロナウイルス感染症のワクチンをマイクロニードルに組み込んだ「ワクチン接種デバイス」を開発した。製造プロセスを改良することで、ワクチン充填率の向上、ウイルス力価の安定化に成功した。
()
Microsoftは、Windowsの「セキュアブート」証明書が2026年後半に期限切れとなるため、更新を開始した。2月の月例アップデートを通じて新証明書が配布される。古いPCでは更新が必要で、放置するとセキュリティ低下や互換性の問題が生じる恐れがある。Windows 10はESU登録ユーザーのみが更新対象となる。
()
HuntressはVMware ESXiへの高度なエスケープ攻撃を分析した。VPN認証情報の侵害からドメインを掌握後、公表1年前から準備されたゼロデイ攻撃でバックドアを設置する手法が判明した。パッチ適用とホスト監視の重要性を強調している。
()
「止まらない前提」で運用されてきたERPが、今や攻撃者にとって“最悪の人質”になっています。「インターネット非接続だから安全」「簡単にパッチは当てられない」――その常識が、決算や事業継続を一瞬で止める引き金になるとしたらどうでしょう。見過ごされがちな基幹領域のリスクに迫ります。
()
Trend Microはオンプレミス版のApex Centralの脆弱性3件を修正するパッチを公開した。最大深刻度はCVSS 9.8で、SYSTEM権限でのコード実行やDoS攻撃の恐れがある。速やかな最新版への更新が求められる。
()
TRENDnet製のWi-Fi中継機に認証不要のコマンドインジェクション脆弱性が判明した。root権限で任意コマンドが実行可能なため、機器の完全制御や踏み台悪用の恐れがある。
()
修正パッチは手動でのインストールが必要。Windowsユーザーには影響はない。
()
MongoDBに潜む脆弱性「MongoBleed」が牙を剥く。認証前に機密データがメモリから盗み出されるという、Heartbleed再来の危機だ。パッチ以外の必須対策とは何か。
()
2025年のMicrosoft製品の脆弱性報告は3500件を超え、依然として高水準で推移している。月例更新プログラムでの対応が続く中、23件のゼロデイ攻撃も確認された。攻撃の巧妙化やOffice 2016／2019のサポート終了によりリスクが増大する一方、IT管理者は更新時の不具合回避と迅速な適用の間で難しい判断を迫られている。2025年のMicrosoft製品に対する脆弱性の動向をまとめてみた。
()
FortinetはLDAP認証設定の差異に起因し特定条件下で2要素認証が回避される悪用が確認されたと発表した。該当する場合には対策や更新の実施が望まれる。
()
Microsoftによる同社製品の脆弱性修正が後を絶たない。2025年、公開されたパッチは1100件を超えた。こんなに脆弱性が多い理由と、今、特に注意が必要な3つの脆弱性を取り上げる。
()
Windows 10（バージョン 22H2）の「延長セキュリティプログラム（ESU）」を巡って、今度は法人向けのプログラムを適用している一部のデバイスで11月のセキュリティ更新を適用できない問題が発生した。ただし、問題が発生する条件は非常に限られている。
()
2025年10月以降のWindows更新を適用後、Intel搭載かつConnected Standby有効な一部端末で起動時にBitLocker回復キーが一時要求される事象が発生した。恒常的な侵害ではないとされ、調査は継続中となっている。
()
2025年10月配信の更新プログラムKB5070881は、WSUSの脆弱性（CVE-2025-59287）に対応する緊急修正だが、一部のWindows Server 2025でHotpatch登録状態を損なう不具合を発生させた。Microsoftは修正版KB5070893を2025年10月24日に提供している。
()
サポートが終了した「Windows 10」に脆弱性が見つかり、ユーザー企業は攻撃リスクにさらされている。Microsoftはこの脆弱性に対し、どのような対策を講じたのか。
()