最新記事一覧
Googleは、AndroidおよびPixel向けの2月の月例アップデートを公開した。今月は小規模で、Android共通の脆弱性修正はなく、Pixel向けのVPUドライバに関する脆弱性1件の対処に留まった。Pixel 7a以降のAndroid 16搭載機が対象で、新機能追加はない。
()
エレコムは旧型の法人向け無線LANアクセスポイント2機種に脆弱性が見つかったと公表した。すでにサポートが終了しており修正対応が不可能なため、利用者に即時の使用中止と代替製品への切り替えを求めている。
()
ESETは、生成AIがサイバー攻撃に与える影響に関する分析を公開した。AIにより今後2年間でサイバー脅威の頻度と強度が増すと警告。ランサムウェア構築支援やプロンプトインジェクションなど、AIが悪用される5つの主要な手口を解説している。
()
Fortinet製品のFortiCloud SSOに認証回避の重大な脆弱性が見つかった。CVSSの評価は9.8、深刻度「緊急」（Critical）であり、攻撃者による悪用も確認されている。インターネットに公開されている約328万件の資産が影響を受けるという。
()
TP-Linkは同社製品のArcher MR600 v5にコマンドインジェクションの脆弱性が存在すると公表した。認証済み攻撃者が管理インタフェースからシステムコマンドを実行し、機器を制御する恐れがある。同社は最新版への更新を推奨している。
()
OpenSSLプロジェクトは、OpenSSLにおける複数の脆弱性を発表した。深刻度「High」のCVE-2025-15467はコード実行やサービス停止を招く恐れがあり、特に注意が必要だ。各系統の最新版への更新が強く推奨される。
()
Microsoftは2026年1月26日、Wordに存在するセキュリティ機能のバイパス脆弱性（CVE-2026-21509）に対応するOffice 2016向けの更新プログラム（KB5002713）を公開した。
()
アシュアードは2026年1月8日、弥生による脆弱性管理クラウド「yamory」の活用事例を公開した。弥生は30チーム以上の開発組織で脆弱性やEOLリスクを一元管理し、セキュリティ体制の強化と属人化の解消を実現したという。
()
USBメモリ作成ツール「Rufus」の4.11以前に、競合状態を利用した権限昇格の脆弱性が確認された。悪用されると、一時ファイルを介して管理者権限で任意のコードを実行される恐れがある。
()
Anthropicが公開したAIエージェントのプレビュー版「Claude Cowork」に、ローカルファイル流出の脆弱性が存在することが分かった。巧妙な間接的プロンプトインジェクションを駆使しているという。
()
GCVE initiativeは、公開型の脆弱性助言データベース「db.gcve.eu」の提供を開始した。CVEに強く依存する体制の緩和を目的としている。25以上の公開情報を集約し、識別子を整理した検索可能な情報基盤を整備するという。
()
CloudflareはACME検証ロジックの不備により、WAFをバイパスしてオリジンに到達可能な脆弱性を修正した。特定のパスで制限が評価されず内部情報が露出する恐れがあるという。
()
サイバー攻撃の主戦場は、もはや電子メールでも脆弱性でもない――。攻撃者は“正規ユーザー”を装い、誰にも気付かれず内部に入り込む時代へと移行している。なぜアイデンティティーが狙われるのか。その変化の裏側と、次に起きるリスクの正体に迫る。
()
Depth Securityは、Windows SMBの脆弱性CVE-2025-33073を悪用したNTLMリフレクション攻撃の調査結果を公表した。修正プログラム未適用の環境が多く、SMB署名が有効でも他のプロトコルへのリレー攻撃によって権限昇格を招く恐れがある。
()
Palo Alto Networksは、PAN-OSのGlobalProtect機能におけるDoS脆弱性を発表した。未認証の攻撃によってファイアウォールが停止する恐れがある。回避策や緩和策は存在しないとされている。
()
Googleの簡易ペアリング「Fast Pair」に対応するイヤフォンやヘッドフォンに、第三者が強制ペアリングを行える脆弱性「WhisperPair」が判明した。マイクによる盗聴や大音量での嫌がらせ、さらには「Find Hub」網を悪用した位置追跡の恐れがある。解決にはメーカーが提供するファームウェアの更新が必須だ。
()
Microsoft Copilot Personalにおいて、正規URLをクリックするだけで個人情報を窃取する新手法「Reprompt」が見つかった。URL経由で指示を自動実行させ、安全機構を回避して段階的にデータを送信させるという。
()
Fortinetは「FortiSIEM」や「FortiClientEMS」をはじめとする複数製品に影響する重大な脆弱性を修正した。悪用可能な問題を含んでおり、未認証のコマンド実行やSQL注入の恐れがある。利用者は迅速な更新や回避策の適用が推奨されている。
()
Dockerは1000種類以上の「Docker Hardened Images」をApache 2.0ライセンスで公開すると発表した。脆弱性を大幅に削減した強化版イメージを無償で提供する。
()
Node.jsは、全サポート系統を対象に複数の脆弱性を修正するセキュリティアップデートを公開した。重要度が高いVMモジュールのメモリ初期化不備や権限回避、HTTP/2の停止問題などへの対応が含まれる。利用者は速やかに最新版への更新が求められる。
()
Hikvisionは監視機器やアクセス制御製品の探索機能に2件の脆弱性があると発表した。同一LAN内から細工されたパケットによって機器が誤動作する恐れがある。
()
Microsoftは2026年1月13日（米国時間）、Windows 11（24H2／25H2）向けの月例更新プログラム「KB5074109」をリリースした。緊急8件を含む計114件の脆弱性が修正された他、NPU搭載PCの電力管理不具合やWSLのネットワーク信頼性向上が図られている。セキュリティ保護のため、早急な適用が推奨される。
()
React Routerは、Node.js用パッケージなどに深刻な脆弱性が存在すると報告した。署名なしCookieとの併用時に、指定外のファイルを読み書きされる恐れがある。CVSSスコアは9.1と高く、開発者は最新版への更新が推奨される。
()
Trend Microはオンプレミス版のApex Centralの脆弱性3件を修正するパッチを公開した。最大深刻度はCVSS 9.8で、SYSTEM権限でのコード実行やDoS攻撃の恐れがある。速やかな最新版への更新が求められる。
()
Akamai Security Intelligence Groupは、2025年12月に情報公開されたNoSQLデータベース「MongoDB」の脆弱性（CVE-2025-14847）について、公式ブログで解説した。
()
富士キメラ総研の調査によると、ネットワークセキュリティ関連の国内市場は、ゼロトラストやWebアプリケーション脆弱性検査、セキュリティ教育・トレーニングなどの分野を中心に高成長する。
()
TRENDnet製のWi-Fi中継機に認証不要のコマンドインジェクション脆弱性が判明した。root権限で任意コマンドが実行可能なため、機器の完全制御や踏み台悪用の恐れがある。
()
MongoDBに未初期化メモリが外部に漏えいする脆弱性が見つかった。特定の圧縮処理に起因し、認証前でも影響が及ぶ。複数の主要バージョンが対象となり、修正版への更新が必要とされている。
()
macOSのVoiceOver内部機構に存在する欠陥が見つかった。特定の権限確認処理の不備によって任意のAppleScript実行が可能となり、結果としてTCCの保護構造が崩れるとう。
()
MITREはソフトウェアにおける危険な脆弱性タイプをまとめた「CWE Top 25 Most Dangerous Software Weaknesses」の2025年版を発表した。Webアプリケーション関連の脆弱性がTop 3を独占する結果となった。
()
MongoDBに潜む脆弱性「MongoBleed」が牙を剥く。認証前に機密データがメモリから盗み出されるという、Heartbleed再来の危機だ。パッチ以外の必須対策とは何か。
()
年1回の形式的なセキュリティ研修では、巧妙化する攻撃から企業を守れない。「義務だから受ける」だけの従業員を、いかにして「自ら守る盾」に変えられるのか。
()
Red Hatは、GNU Wget2の脆弱性情報を公開した。特定条件下で想定外のファイル操作が生じ得る。攻撃者は内容閲覧や改変によって認証回避や停止を招く可能性がある。
()
2025年のMicrosoft製品の脆弱性報告は3500件を超え、依然として高水準で推移している。月例更新プログラムでの対応が続く中、23件のゼロデイ攻撃も確認された。攻撃の巧妙化やOffice 2016／2019のサポート終了によりリスクが増大する一方、IT管理者は更新時の不具合回避と迅速な適用の間で難しい判断を迫られている。2025年のMicrosoft製品に対する脆弱性の動向をまとめてみた。
()
FortinetはLDAP認証設定の差異に起因し特定条件下で2要素認証が回避される悪用が確認されたと発表した。該当する場合には対策や更新の実施が望まれる。
()
RustFSプロジェクトは、「RustFS」に組み込まれていたgRPC通信の認証方式に致命的な設計不備があることを発表した。外部から容易に管理機能に到達可能であり、情報漏えいや破壊的操作が成立する危険性があるという。
()
Net-SNMPの開発者らはsnmptrapdに細工済み通信で異常終了を招く欠陥があることを公表した。全版が影響を受けて深刻度は極めて高い。修正版の導入と通信制御の徹底が必要だ。
()
Fortinetは、過去に公表した認証欠陥が特定条件下で悪用された事例を示し、大小文字の扱いと設定不備により2要素認証が回避され得る点、対策設定と更新の必要性を示した。
()
社内を守るはずのUTMが、攻撃者の踏み台に――。「WatchGuard Firebox」で発覚した深刻な脆弱性は既に攻撃への悪用も確認されている。今、情シスが打つべき手とは。
()
Google Threat Intelligence Groupは、React2Shell脆弱性の悪用事例を観測したと報告し、侵害の検出方法と推奨対策を紹介した。
()
セキュリティ専門家は、さまざまな「Webブラウザの脆弱性」の悪用について警鐘を鳴らしている。具体的にはどのような脆弱性なのか。2つの例を取り上げて説明する。
()
Fortinet製品に深刻な脆弱性が発覚した。SSOを悪用し、攻撃者が管理者として侵入するリスクが現実味を帯びている。攻撃コードも出回る中、今すぐ実施すべき防衛策を説明する。
()
Cisco Talosは、Cisco Secure Email製品を標的とした攻撃キャンペーンを確認した。攻撃者は深刻な脆弱性を悪用し、Python製バックドアで永続化を図った可能性がある。
()
Next.jsとReactの脆弱性を悪用し、短期間で数万台のサーバを侵害した大規模攻撃キャンペーン「PCPcat」が確認されている。攻撃は無差別に公開アプリを探索し、侵入後は認証情報を窃取して踏み台化する危険なキャンペーンだという。
()
Fortinetは複数製品に影響する深刻な脆弱性を公表した。FortiCloud SSOの実装不備により、細工されたSAML応答で管理GUIへ不正アクセスされる恐れがある。影響範囲は広く、早急な更新と設定確認が求められている。
()
再委託先がVPNの脆弱性を突かれてランサムウェアに感染、自社サービスが停止――。そうした自組織の外側から迫る脅威に警戒しなければなりません。特に金融業界を狙った攻撃の手口と、求められる対策を解説します。
()
Fortinet製品に、認証をバイパスされる深刻な脆弱性が発覚した。情シスが今すぐ組織内に発信すべき、実践的な注意喚起の文面とともに、具体的な対策を公開する。
()
自律型AIペンテスター「Shannon」が登場した。ソースコード解析に基づきWebアプリの攻撃経路を特定し、実際のWebブラウザ操作で脆弱性を悪用・検証する。評価の結果、人間のテスターより高い成功率を記録したことが分かっている。
()
Appleが公開した最新のセキュリティアップデートで、WebKitのゼロデイ脆弱性が修正された。Safariを含む複数のOSに影響し、悪用も確認されているため迅速な更新が推奨される。
()
React Teamは、React Server Componentsに関する新たな脆弱性を公表した。DoSやソースコード露出の恐れがあり、影響範囲は複数パッケージに及ぶ。対象環境の確認と迅速な対応が利用者に求められている。
()
セキュリティアラートが発せられたとき、社内で情報を共有するにはどうすればいいのか。Adobe製品の具体的な脆弱性を取り上げ、社内通知用のメール文面を作成した。
()
2025年12月初め、JavaScriptライブラリ「React」に脆弱性「React2Shell」が見つかり、現在、攻撃活動が広がりつつある。JPCERT/CCによると、日本でも被害が確認されている。
()
1カ月で2度目となるCloudflareのシステム障害が発生した。原因は攻撃ではなく、深刻な脆弱性を防ぐためのセキュリティ対策だったという。複雑化するシステム運用において、変更管理のリスクをどう最小化すべきか。
()
CISAは2025年版「CWE Top 25」を公表した。攻撃に悪用されやすいソフトウェア弱点を整理し、設計初期からの対策で被害低減と開発コスト抑制を促す狙いと、関係者別の指針を示している。
()
Webブラウザは今や「業務OS」だ。「Google Chrome」「Microsoft Edge」は共に同じエンジンを積むが、選択を誤れば脆弱性対応の遅れや管理の複雑化を招く。4つの決定的な違いを解説する。
()
MicrosoftはWindows PowerShellにリモートコード実行の危険を伴う脆弱性「CVE-2025-54100」を発表した。影響範囲は広く、Microsoftは各環境への更新プログラムを公開し、迅速な適用を呼びかけている。
()
Google Gemini Enterpriseに深刻な脆弱性「GeminiJack」が見つかった。GeminiJackは、外部コンテンツに埋め込まれた指示がAIに誤って命令として解釈され、機密情報が外部に流出し得る脆弱性だという。
()
人の心理的な脆弱性を狙うサイバー攻撃が深刻化する中、「真面目で従順」であることを従業員に求めがちな国内企業の“常識”が、逆にセキュリティの弱点になり得るという。それはなぜなのか。求められる対策とは。
()
Microsoftによる同社製品の脆弱性修正が後を絶たない。2025年、公開されたパッチは1100件を超えた。こんなに脆弱性が多い理由と、今、特に注意が必要な3つの脆弱性を取り上げる。
()
「React」のサーバコンポーネントに深刻な脆弱性が発表された。Reactのバージョン19や「Next.js」などは至急更新する必要がある。
()
Reactの深刻な脆弱性「CVE-2025-55182」により、RSCを利用する公開サービス215万件超が影響を受ける可能性が判明した。国家支援とされる脅威グループによる悪用も観測され、早期対策が求められている。
()
ReactおよびNext.jsにCVSS 10.0の脆弱性が見つかった。悪用されると認証不要でリモートコード実行が可能になる。多数のアプリケーションや公開サーバに影響する可能性があり、速やかなバージョン更新が求められている。
()
Check Point Software Technologiesは、「Microsoft Teams」でメッセージ改ざんや発信者偽装を可能にする4件の脆弱性を発見した。
()
WordPressの人気プラグイン「ACF Extended」に、未認証状態で任意のコードを実行される恐れのある重大な脆弱性が確認された。影響範囲は10万以上のWebサイトに及ぶ可能性があり、早急な更新を呼びかけている。
()
頻繁に出るIT製品の脆弱性情報をどう効率よく管理するかが、セキュリティ担当者にとって悩みどころだ。Excelの「XLOOKUP関数」を使えば、脆弱性管理のスピードを高められる。
()
駿河屋は12月4日、8月に公表したECサイト「駿河屋.JP」の不正アクセス被害により、3万件超のクレジットカード情報が漏えいした可能性があると明らかにした。監視ツールの脆弱性を突いた不正アクセスを受け、決済ページ用のJavaScriptが改ざんされたことが分かったという。
()
インターネット利用詐欺などの「詐欺」の被害が深刻化している。その背景には、攻撃者が人の「心理的な脆弱性」を狙うようになったという変化があると、セキュリティの専門家は指摘する。何が起きているのか。
()
VPNの脆弱性が目立ち始め、ゼロトラストへの移行を検討する企業が増えている。両者の仕組みと思想を整理し、情シスが見落としやすい3つの盲点を解説する。
()
Googleは、12月版のAndroidとPixelの月例アップデートを公開した。Pixelの新機能として、AIによる通知の整理・要約、拡張ダークテーマ、ペアレンタルコントロールの統合、詐欺検知などの新機能が追加された。また、「重大」7件を含む107件のAndroid脆弱性と、Pixel固有の「重大」2件を含む28件の脆弱性に対処した。
()
深刻なランサムウェア被害が相次いでいることを受け、VPNを利用する企業に不安が広がっている実態が明らかになった。リモートアクセスサービスを手掛けるe-Janネットワークスが調査した。
()
Microsoft Outlookに存在する深刻な脆弱性「CVE-2024-21413」（MonikerLink）のPoCコードが公開された。この欠陥は認証情報の漏えいや任意コード実行に至る恐れがあり、早急な対策が求められる。
()
オーストリアのウィーン大学などに所属する研究者らは、 世界最大のインスタントメッセージングサービス「WhatsApp」で深刻なプライバシー脆弱性が明らかになった研究報告を発表した。
()
セキュリティアラートが発されたとき、社内で情報を共有するにはどうすればいいのか。Microsoft製品の具体的な脆弱性を取り上げ、社内通知用のメール文面を作成した。
()
AIが生成するコードの品質は、入力するプロンプト次第で大きく揺らぐ──CrowdStrikeが明らかにしたのは、大規模言語モデル「DeepSeek-R1」に特定の語句を与えるだけで脆弱性の発生率が跳ね上がるという、予想外の“偏り”だった。
()
OTセキュリティ対策への意識が高まるなか、静かに狙われているのが、製造現場に根付くUSBメモリだ。標的となるのはネットワークの脆弱性ではなく、「人の意識」や「セキュリティ運用」の隙間。そのため、技術頼みの対策だけでは限界がある。こうした実情に対し、TXOne Networksは「使わせない」ではなく「安全に使う」ための仕組みを提供する。可搬媒体の検査や管理を担う「Element」シリーズと、端末防御を実現する「Stellar」。それぞれの強みと、実際の導入現場での活用事例を聞いた。
()
TeamsのBtoBゲストアクセス機能に潜む脆弱性をOntinueが指摘した。ゲスト参加時には自組織の防御が適用されず、攻撃者が設定の甘いテナントを悪用して防御を回避する恐れがあるとして、設定見直しを促している。
()
MarkdownからPDFを生成するコマンドラインツール「md-to-pdf」において、CVSSスコア10.0の脆弱性が見つかった。急ぎ対応が求められる。
()
アシュアードが実施した調査で、ランサムウェア侵入口となるVPN機器の脆弱性を多くの企業が即時に把握できておらず、侵入口となり得る場所で深刻なボトルネックが発生していることが分かった。
()
OTデバイスの管理や脆弱性対応は企業にとって悩みの種の一つだ。この解消に向けてTaniumは自社製品のアップデートを公開した。エンドポイント管理を超えたOT・モバイルデバイスへのカバレッジ拡大とAI活用の進化に迫る。
()
NHS Englandは7-Zipの重大脆弱性「CVE-2025-11001」が悪用されていると発表した。ZIPファイル内のシンボリックリンク処理に起因し、任意コード実行につながる恐れがある。早急な更新が推奨される。
()
2025年10月、オランダ政府による異例の決定が、世界的な半導体供給危機を再燃させた。大手NXP Semiconductorsから分離し、中国資本傘下となったNexperiaが製造する半導体の供給が、中国政府の措置により停止したからだ。VWやホンダなどの大手自動車メーカーは、単価は安くとも不可欠な部品の欠品により、生産停止の危機に直面している。本稿では、この小さな部品に起因する世界的危機と、サプライチェーンの脆弱性について解説する。
()
アシュアードは脆弱性管理クラウド「yamory」によるVPN機器のセキュリティ対策実態調査結果を公表した。VPN機器の資産情報不足や人手不足が特定遅延を招き、半数近くが対応遅延を経験している実態が明らかにされている。
()
pgAdmin4のサーバモードにおけるPLAIN形式ダンプのリストア処理に深刻なRCE脆弱性が確認されている。開発側は修正版9.10を公開し、早急な更新が求められる。
()
FortinetはFortiWebに相対パストラバーサル脆弱性が存在し、管理GUI経由で管理権限操作に到達され得ると発表した。既に悪用も確認されており、早急な対応が求められる。
()
MicrosoftはGitHub CopilotとVisual Studioに関する2件の脆弱性を公開した。これらはローカル環境の認証済み利用者による操作を前提とし、セキュリティ機能のバイパスにつながる。ユーザーは速やかに更新プログラムの適用が望まれる。
()
AmazonはCisco ISEとCitrix製品の未公開ゼロデイ脆弱性が高度な攻撃者によって悪用されていた事実を明らかにした。攻撃者は修正前から欠陥を突いていたとされる。重要インフラへの脅威が増大しており、多層防御強化が求められている。
()
Windowsカーネルにゼロデイの脆弱性が発見された。競合処理の乱れを起点とする深刻な特権昇格欠陥で、既に悪用が確認されている。アップデートの適用と管理強化が必要だ。
()
Windows RDSに特権昇格の脆弱性が見つかった。通常権限のユーザーが管理者権限に昇格できる可能性がある。放置は危険であり、監視強化や区画管理を含む多層的対応が求められている。
()
企業のAIツール導入が進む一方で、導入に失敗した事例もある。脆弱性が生じたケースや重大な企業データを消失したケース、業務改善の判断ミスなど、2025年に実際に起こったAI技術の“怖い話”を3つ紹介する。
()
runcに競合状態を突く3件の脆弱性が発見された。/procへの任意書き込みやホストroot奪取に至る可能性が高い。runcの更新およびユーザー名前空間有効化などが推奨されている。
()
SlackやMicrosoft Teams、ChatGPTといったツールに関するセキュリティ事案が発生した。事案の概要と、企業のセキュリティ対策に役立つ記事を紹介する。
()
OpenAIは、同社の「GPT-5」ベースのセキュリティ脆弱性検出AIエージェント「Aardvark」を発表した。
()
中国国家の支援を受けた脅威アクターは、エムオーテックスの「LANSCOPEエンドポイントマネジャー オンプレミス版」のゼロデイ脆弱性（CVE-2025-61932）を悪用し、サイバー攻撃キャンペーンを実行していることが分かった。その手口とは。
()
モダナイズされていないCOBOLを使い続けると、技術革新の停滞や脆弱性につながる。
()
Tenableは大規模言語モデル（LLM）に7件の新たな脆弱性を確認した。これらの脆弱性はGPT-5にも存在するという。間接プロンプトインジェクションやゼロクリック攻撃によって、Webの埋め込み命令から個人情報が漏えいする可能性があるという。
()
2025年10月配信の更新プログラムKB5070881は、WSUSの脆弱性（CVE-2025-59287）に対応する緊急修正だが、一部のWindows Server 2025でHotpatch登録状態を損なう不具合を発生させた。Microsoftは修正版KB5070893を2025年10月24日に提供している。
()
Suicaの暗号領域の情報が読み取れるというビューアがGitHubで公開された。開発者は8月に話題になったSuicaの脆弱性を指摘したセキュリティ企業のCEOだ。
()
サポートが終了した「Windows 10」に脆弱性が見つかり、ユーザー企業は攻撃リスクにさらされている。Microsoftはこの脆弱性に対し、どのような対策を講じたのか。
()
Appleが「iOS 26.1」および「iPadOS 26.1」の配信を開始した。Liquid Glassの色合い調整、Apple Musicの操作性向上、フィットネスアプリでの手動記録などが可能になった。56件の脆弱性も修正された。
()
Docker Composeに、リモートのOCIアーティファクト処理時のパス検証不備による深刻な脆弱性が報告された。攻撃者による任意ファイル上書きが可能であり、CVSS 8.9（High）と評価されている。修正版への更新が推奨されている。
()
ShelltrailはMicrosoftのガイドラインに従って設定したドメイン参加アカウントが依然として過剰権限を保持し、LAPS情報漏えいやRBCD攻撃などの脆弱性を招く危険があると指摘した。権限委譲と所有権設定の見直しが不可欠としている。
()
WSUSに存在する脆弱性が悪用され、リモートコード実行が可能となる攻撃が発生している。PoC公開後に攻撃が拡大している中、多数のサーバが未修正のまま稼働しており、早急なパッチ適用とアクセス制御が求められている。
()
CensysはBIND 9リゾルバにキャッシュポイズニング攻撃の脆弱性があると公表した。偽応答を注入し、キャッシュを汚染することでユーザーを不正なWebサイトに誘導できる。影響を受ける脆弱なBIND 9リゾルバは世界で70万6477件確認されている。
()
米空売り調査会社のレポートで株価が急落したデータセクション。しかし、大手不動産との提携発表で反発。AI株相場の脆弱性と企業戦略の攻防が鮮明になった。
()
エムオーテックスはLANSCOPEエンドポイントマネジャーオンプレミス版における深刻な脆弱性CVE-2025-61932を公表した。修正版を公開し、全クライアントPCの更新を推奨している。
()
アークティックウルフジャパンは年次セキュリティレポートの2025年版を公開した。同調査では、多くの企業がNISTの定める強力なパスワードポリシーと逆行している実態や、日本企業特有のセキュリティホールの存在が明らかになった。
()
M365 CopilotのMermaid描画機能に情報漏えいの脆弱性が存在し、間接的プロンプトインジェクションを通じて機密データが外部送信される恐れがあった。Microsoftは修正を実施し、動的要素を排除している。
()
Oracleは同社製品のセキュリティアップデート「Critical Patch Update - October 2025」を発表した。攻撃者が公開済みの脆弱性を悪用しようとする動きがあり、同社は「速やかにパッチを適用してほしい」と警告する。
()
同じ「脆弱性通知」でも経営と事業、セキュリティの三者が受け取る意味は全く異なる。なぜ同じ事実を前にして、部門ごとに認識や対応がずれてしまうのか。意思決定をゆがめる“無意識のバイアス”をどう乗り越えるか――構造から整理してみよう。
()
HawkTrace Securityは、WSUSの「GetCookie」処理に存在する脆弱性CVE-2025-59287を解析し、PoCを公開した。この脆弱性はRCEが可能でCVSS 9.8の重大欠陥とされている。
()
既に悪用が確認されている脆弱性やCVSS基本値9.8以上の高リスクな脆弱性の更新が含まれており、企業ユーザーには早急な適用が推奨される。
()
Microsoft Defender for Endpointに認証回避やデータ偽装が可能な複数の脆弱性が見つかった。無認証で構成情報や除外設定を取得でき、Azure Blobに任意データを送信できる。
()
ファイル圧縮ソフト「7-Zip」で、ZIPファイル中のシンボリックリンク処理の不備に起因する2件の深刻な脆弱性が報告された。任意コードの実行につながる恐れがあり、迅速なアップデートが推奨されている。
()
「Apache Log4j」の脆弱性など、ソフトウェアサプライチェーンのリスクは多くの企業が知るところだ。しかし注意すべきはそれだけではない。AI時代に本格化の兆しが見える新たなサプライチェーンリスクについて解説する。
()
2025年9月にAppleがリリースした「iOS 26」に脆弱性が見つかり、同社はセキュリティアップデートを公開した。エンドユーザーが気付かないうちにメモリが破壊される恐れがある脆弱性だという。その仕組みとは。
()
CrowdStrikeはWindows版Falcon Sensorの2件の脆弱性を修正した。いずれも攻撃者がコード実行権限を持つ場合に任意のファイル削除が可能となる。急ぎ修正版への更新が推奨されている。
()
Google DeepMindは、ソフトウェアの脆弱性の根本原因を特定し、コードを修正するAIエージェント「CodeMender」を公式ブログで紹介した。全てのソフトウェア開発者がコードベースをセキュアに保つために使用できるツールとして公開を目指すという。
()
2036年および2038年に発生する時刻ロールオーバー問題は、単なる技術的バグではなく深刻な脆弱性だ。時刻改ざん攻撃によって現時点でも悪用可能で、通信や認証などの基盤を揺るがす。対策の遅れが大きな混乱を招く恐れがある。
()
情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第53列車は「脆弱性を発見したときの対処法 続編」です。※このマンガはフィクションです。
()
AIコーディングツールの普及が進む一方で、AIコーディングツールが生成するコードには脆弱（ぜいじゃく）性が含まれる傾向にある。どのように対処すればいいのか。
()
NCC Groupは、VMware Workstationに存在する複数の脆弱性を組み合わせることで、ゲストOSからホストOSへの脱出を可能にする手法を公開した。脆弱性は主にBluetoothとSDP処理に関係し、PoCエクスプロイトも含まれている。
()
米Unity Technologiesがゲームエンジン「Unity」に重大な脆弱性（CVE-2025-59489）を確認したと発表した。「Unity 2017.1」以降のバージョンでビルドされたWindows、Android、macOS、Linux向けの全ゲームとアプリケーションに影響するといい、PCゲーム配信プラットフォーム「Steam」を手掛ける米Valveといった国内外のゲーム・アプリ関連事業者が対応に動いている。
()
日立ソリューションズは、生成AIを利用した「脆弱性調査支援サービス」の提供を開始した。EUのサイバーレジリエンス法で求められる迅速な報告に対応し、セキュリティ人財が不足する現場の負担軽減に寄与する。
()
野村総合研究所（NRI）は2025年10月、脆弱性の特定を自動化するツール「Senju Family 2025」を発売した。セキュリティ担当者を脆弱性管理の煩雑な作業から解放するという。
()
影響はVMware Cloud FoundationやTelco Cloudにも。
()
Intruderは脆弱性検知の自動化にAIを活用する研究結果を発表した。エージェントAIの導入によって一貫性と品質の向上が期待できるが、人間の補助は依然不可欠だとしている。
()
IEEEが「AIの進化と脅威：人工知能が地政学を変える時代のサイバーセキュリティ」をテーマにオンラインセミナーを開催。近年のハッカーらはAIを駆使してフィッシングメールの文面作成や脆弱性スキャンを自動化し、低コストで一斉攻撃する態勢を整えているという。
()
FeliCaに関連した脆弱性を巡る報道は、脆弱性情報公開のプロセスやメディアの在り方など多くの問いを投げかけた。果たしてセキュリティ担当者は脆弱性とどう向き合うべきか。既存の公表プロセスの現状と課題、技術者の倫理を有識者が語った。
()
ベーススコア9.9の「CVE-2025-20333」は認証後に任意のコードを実行できる脆弱性。
()
CISAは、Cisco ASAおよびFirepower製品に存在するゼロデイ脆弱性への対応として緊急指令ED 25-03を発出した。連邦機関に対し即時対応と報告を義務付け、民間含む全組織にも注意喚起している。
()
GoogleはChromeの安定版を更新し、V8エンジンに関する3件の重大な脆弱性を修正した。情報漏えいや任意コード実行の恐れがあり、ユーザーには早期の更新適用が推奨されている。
()
Cybersecurity Newsは2025年に報告された主要なゼロデイ脆弱性の悪用状況を分析した。GoogleやMicrosoft製品、Citrix NetScalerといったインフラ製品などに悪用が進む脆弱性が見つかっている。
()
EGセキュアソリューションズは、大規模言語モデルの脆弱性を診断できるサービスを発表した。
()
Entra IDの認証欠陥により、Actorトークンを悪用した攻撃で任意テナントのGlobal Admin権限を取得できることが分かった。監査不備や署名欠如の問題が指摘されており、Microsoftはこの脆弱性に対しCVEを割り当てて修正している。
()
AIセーフティ・インスティテュート（AISI）は、AIの安全性評価を支援するオープンソースツールを公開した。評価はAISIのガイドに基づき、事業者は脆弱性の検出や改善を容易に実施できる。
()
WebKitやカーネル、ショートカットなどで確認された脆弱性を修正。
()
『攻撃者の目』は、ホワイトハッカーと共に、攻撃の一連の流れとセキュリティ対策の勘所を楽しく学ぶ番組です。今回はいよいよ攻撃段階。Webの脆弱性を突いたSQLインジェクションについて、そのリスクや目的、対処法などを詳細に解説します。
()
XSSは最新のフレームワークやクラウドネイティブアーキテクチャで構築されたアプリケーションでも発見されている。
()
Felicaに関する脆弱性が大きな話題になりました。ただ今回は脆弱性そのものというよりはその情報が明らかになったプロセスが議論を呼んでいます。これは非常に悩ましい問題ですので、筆者としても見解を述べてみようと思います。
()
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、9月7日週を中心に公開された主なニュースを一気にチェックしましょう！
()
サイバー攻撃そのものへの脆弱性だけでなく、社員になりすましてオフィスに入り、社内の機器を通じてネットワークにも侵入するという「物理的」な手口にも対応したのが特徴だ。模擬的なサイバー攻撃やオフィスへの侵入を通して、安全性の“弱点”を可視化する。
()
Microsoftは、2025年9月の月例セキュリティ更新プログラムを公開した。WindowsやOffice、Azureなど広範囲の製品に影響し、認証不要で悪用可能な深刻度「緊急」の脆弱性も含まれる。
()
生成AIは非常に有用なツールである一方、入力したプロンプトによっては自身の偏見を色濃く反映した“都合のいい結果”を返します。ではこれを回避するにはどうすればいいのでしょうか。認知バイアスを回避するプロンプト術を伝授します。
()
経済産業省は9日、報道におけるソフトウェアなどの脆弱性情報の取り扱いについて、改めて「情報セキュリティ早期警戒パートナーシップガイドライン」に即した対応を求める声明を出した。
()
バーガーキングなどのドライブスルーシステムにおける脆弱性が研究者のブログによって発覚した。顧客の音声ログや従業員の情報に不正アクセスできる状態だったという。
()
KnowBe4は金融業界を対象とした脅威レポートを発表し、AIを利用したフィッシングや認証情報窃取、サプライチェーンの脆弱性など、金融機関が多面的なサイバー脅威にさらされている実態を明らかにしている。
()
継続的デリバリーツール「Argo CD」において、プロジェクト権限を持つAPIトークン経由でリポジトリ認証情報が漏えいする脆弱性（CVE-2025-55190）が報告された。CVSSスコアは9.9（Critical）で、修正版へのアップデートが推奨されている。
()
Googleは9月の月例アップデートを公開し、AndroidとPixelの多数の脆弱性を修正した。限定的な悪用の可能性がある脆弱性も含まれる。Pixelシリーズでは、指紋認証の改善やシステム安定性の向上など、モデルごとに多岐にわたるバグ修正とパフォーマンス改善が行われた。
()
中国のロボット企業Pudu Roboticsの全製品に、第三者による遠隔操作が可能な重大な脆弱性が存在していた。製品の中でも猫型給仕ロボット「BellaBot」は、すかいらーくホールディングスで導入されている。
()
Braveブラウザを手掛ける米Brave Softwareは他社のエージェント型ブラウザの脆弱性を見つけたと発表した。脆弱性が見つかったのは、米Perplexityが提供する「Comet」だ。
()
共同通信が8月28日夕方に配信した「FeliCa」の脆弱性に関する記事が話題になっている。報道後に、ソニーをはじめとした各社がプレスリリースを出しているが、詳細についてはコメントできないと一様に述べている。これは「脆弱性」による被害を最小限に抑えることを目的とした、とあるガイドラインにのっとった行動である。
()
GitHubは2025年8月25日、公式ブログで、「Visual Studio Code」の「GitHub Copilot Chat」拡張機能のエージェントモードに見つかったセキュリティ脆弱性について解説した。
()
ソニーの非接触ICカード技術「FeliCa」のICチップの一部に脆弱性が見つかったことを受けて8月28日、FeliCaを利用した電子マネーサービス運営各社がそれぞれ、「サービスは安全に利用し続けられる」とのコメントを発表した。
()
CitrixはCitrix NetScaler ADCおよびGatewayで3件の深刻な脆弱性を公表した。これらの中でもCVE-2025-7775は悪用事例が確認され、更新が急務となっている。
()
ソニーは8月28日、交通系ICカードやスマートフォンなどに搭載されるFeliCaのICチップの一部に脆弱性が見つかったと発表した。対象は2017年以前に出荷された一部のICチップ。外部からの指摘によれば、特定の操作を行うことで、データの読み取りや改ざんが実行される可能性があるという。
()
交通系ICカードなどに使われる非接触型IC技術「FeliCa（フェリカ）」のICチップに脆弱性があると指摘された件でソニーやNTTドコモ、JR東日本が相次いで声明を出した。
()
Appleは2025年8月20日にiOS 18.6.2とiPadOS 18.6.2を公開し、ImageIOフレームワークの深刻な脆弱性「CVE-2025-43300」を修正した。
()
「アプリに関するセキュリティの取り組みが十分に成熟している」と回答したのは、10人中わずか3人だった。にもかかわらず大半の企業は脆弱性のあるコードだと分かっていながら、時々あるいは頻繁にソフトウェアをリリースしているという。
()
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、8月17日週を中心に公開された主なニュースを一気にチェックしましょう！
()
Exchange Serverに見つかった脆弱性「CVE-2025-53786」を悪用すると、オンプレミス版で管理者権限を持つ攻撃者が、脆弱な状態にあるハイブリッド参加の設定を悪用することで権限をさらに昇格できるという。
()
AppleはImageIOに存在する境界外書き込み脆弱性「CVE-2025-43300」への対策としてiOSやiPadOS、macOSにセキュリティアップデートを公開した。多数のApple製品が対象となっており、ユーザーは速やかに更新することが望まれている。
()
Zenity Labsの専門家は、広く使われている生成AIを攻撃者が悪用し、データを窃取したり改ざんしたりできると証明した。研究において、各社のAIエージェントが露呈した脆弱性について確認しよう。
()
AppleがiOS 18.6.2などを配信開始した。悪意のある画像によってメモリを破壊されるImageIOの脆弱性を修正するもので、「非常に高度な攻撃に悪用された可能性がある」としている。
()
製品の脆弱性情報を管理している共通脆弱性識別子（CVE）は、MITREと政府の間の契約に問題が発生し、2025年4月には閉鎖寸前にまで追い込まれた。この問題から有識者たちはCVEには構造的な欠陥があり、その解消が必要だと主張している。
()
Citizen Labらは7億超ダウンロードのVPNアプリを調査し、複数事業者間の隠れた関係と暗号鍵共有による深刻な脆弱性を指摘した。透明性確保が課題と指摘されている。
()
PostgreSQLプロジェクトは「PostgreSQL」の全サポートバージョンに影響を及ぼす複数の深刻な脆弱性を公開した。これらを悪用されると、悪質なプログラムが実行されたり、SQLインジェクション攻撃を実行されたりするリスクがある。
()
研究者たちによると、特定されていないハッカーがMicrosoft SharePointのゼロデイ脆弱性を悪用してランサムウェア攻撃を実行していることが分かった。既に全世界で300件の侵害を確認しているという。
()
GitHub CopilotにプロンプトインジェクションによるRCE脆弱性「CVE-2025-53773」が発見された。開発者端末を完全に制御可能にするこの脆弱性は、Copilotが自動で設定を変更する「YOLOモード」を悪用する。
()
Microsoftは2025年8月の月例セキュリティ更新プログラムを公開した。CVSS基本値が9.8の脆弱性対応が含まれているため早急な対応が必要だ。
()
オンプレミス版の社内ポータルサイト構築ツール「SharePoint Server」の脆弱性を悪用したランサムウェア攻撃が拡大している。パッチを適用しただけでは防ぎ切れなかった、その実態とは。
()
MicrosoftはBlack Hat USA 2025で、WinREの設計変更を悪用し、BitLockerを回避する4件のゼロデイ脆弱性を公開した。物理アクセスで認証不要の攻撃が可能とされている。
()
SafeBreachは、Windowsに存在する認証不要のDoS／DDoSの脆弱性4件と、これを悪用した新手法「Win-DoS」「Win-DDoS」を公表した。攻撃者は内部／外部ネットワークからリソースを枯渇させ、サーバをクラッシュさせることが可能になる。
()
GoogleのWebブラウザ「Chrome」で、すでに攻撃が確認されている深刻な脆弱性が見つった。今回の脆弱性は「型混乱」と呼ばれる。その危険性と、想定される被害とは何か。
()
AmberWolfはDEF CON 33で複数のZTNA製品の重大脆弱性を公表した。ZscalerやNetskope、Check Point Perimeter 81に認証回避や権限昇格の危険があると報告している。英NCSC指針に基づき、組織は契約や体制の安全性検証を求められている。
()
セキュリティ研究者がActive DirectoryとEntra IDのハイブリッド環境における新たな横展開手法を発表した。MFA回避や検知困難な権限奪取を可能にする設計上の脆弱性と、その対策の必要性を示している。
()
Cisco TalosはDell製ノートPCに搭載されているファームウェアおよびAPIに5件の深刻な脆弱性があると発表した。これらの脆弱性は「ReVault」と名付けられており、100機種以上に影響を与えるとされており注意が必要だ。
()
HPが実施したセキュリティに関する調査で、企業におけるプリンタの脆弱性が明るみに出た。導入から廃棄まで、各段階で企業が見落としがちなプリンタのセキュリティリスクとは。
()
Googleは、AndroidとPixelの8月月例アップデートを公開した。リモートコード実行（RCE）の重大な脆弱性などを修正。Pixelシリーズ（7以降）では、システムの安定性向上やナビゲーションに関するバグ修正も行われる。
()
MicrosoftのAI機能「Recall」はPC画面の自動キャプチャーを通じて履歴検索を可能にするが、フィルター機能の不完全さや認証の脆弱性、VBSのリスクなど多くのセキュリティ・プライバシー課題を抱えていることが検証で明らかとなった。
()
セキュリティと開発・運用を一体化する「DevSecOps」の実践が急務となる中、DatadogがDevSecOpsに関する2025年版レポートを発表。同社の分析から見えた実態と、脆弱性対応を見直す鍵とは何か。
()
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、7月27日週を中心に公開された主なニュースを一気にチェックしましょう！
()
GreyNoiseは、CVEが公表される前に攻撃者の行動に顕著な前兆が現れる傾向を報告した。2024年以降の観測により、多くのスパイクが新たな脆弱性公開と連動していた事実が明らかにされている。
()
アシュアードは「取引先企業のセキュリティ評価」に関する実態調査の結果を発表した。調査対象企業の半数以上で取引先企業を起因とした深刻なセキュリティ被害が発生していることが分かった。
()
「Microsoft SharePoint Server」に見つかった脆弱性が波紋を呼んでいる。特に注意が必要なのは、同製品が広く採用されている医療機関だ。この脆弱性はなぜ非常に危険なのか。
()
Datadogは「2025年版DevSecOps調査レポート」を発表した。本レポートによると、緊急対応が本当に必要な脆弱性はごく一部に限られることや、他のプログラミング言語と比較してJavaアプリケーションに脆弱性が多いことなどが明らかになった。
()
「Microsoft SharePoint Server」に脆弱性が見つかり、攻撃への悪用も確認されている。被害組織は全世界にある。パッチは出たが、その適用だけでは不十分だという。なぜなのか。
()
Citrix Systemsのネットワーク機器に危険な脆弱性が見つかった。セキュリティ専門家によると、Boeingも被害を受けた脆弱性「Citrix Bleed」と同等の危険性を持つ。その脅威の正体とは。
()
AWSはWindows版Client VPNクライアントに任意コード実行の恐れがある脆弱性CVE-2025-8069を公表した。特定ディレクトリが非管理者にも書き込み可能であり、細工されている設定ファイルにより意図しないコードが実行できたとしている。
()
TP-LinkのNVRおよびルーターに深刻な脆弱性が確認された。NVRはOSコマンドインジェクションによって不正に制御される恐れがあり、ルーターにはクリックジャッキングの脆弱性が存在する。後者はサポート終了により使用中止が推奨されている。
()
Active Directoryの脆弱性対策と認証の問題に関し、新たな複数フェーズを持つ脆弱性対策が見つかりました。そこで今回は、本件に関連した「複数フェーズを持つ脆弱性対策」と「認証におけるDESの廃止」「コンピュータアカウントのパスワード交換がうまくいかない事象」の3つのトピックを解説します。
()
今回見つかったブレーキシステムにおける重大な脆弱性を悪用すれば、ハッカーは無線信号を不正に操作できる。これによって列車が突然停止したり、脱線したりなど大事故につながる可能性がある。この脆弱性は13年間放置されていた。
()
Wing FTP Serverに見つかった深刻な脆弱性をサイバー攻撃者たちが積極的に悪用していることが判明した。これを悪用されると、最終的には管理者権限でのリモートコードの実行を引き起こすことが可能だという。
()
SharePointの脆弱性CVE-2025-53770に関するPoCツールが公開され、不安全なデシリアライズによりリモートコード実行が可能となる。組織は早急なパッチ適用が推奨される。
()
Citrix NetScalerに2025年6月に見つかった重大な脆弱性は、2023年に登場した大規模なインシデントを引き起こした脆弱性「CitrixBleed」と同様の危機が懸念されている。
()
Eye SecurityはMicrosoft SharePointにおけるゼロデイ脆弱性が悪用されていることを確認した。攻撃はSharePointから暗号鍵などを抽出し、リモートコード実行に至るという。既にグローバルにおいて被害が発生している模様だ。
()
Microsoftのオンプレミス版「SharePoint Server」に、リモートでコードが実行されるゼロデイ脆弱性（CVE-2025-53770）が発見され、攻撃に悪用されている。同社は警告を発し、すでに対策パッチを公開済み。セキュリティ企業は多数のサーバで被害を確認している。
()
Windows 10／11にプリインストールされているセキュリティソフト「Windows Defender」が、「Winring0ドライバ」を利用するアプリを“検出”してアラートを発する事象が報告されている。これは誤検出ではなく、≪特定バージョンのWinring0ドライバにおいて脆弱（ぜいじゃく）性が報告された≫ことに伴うものだ。
()
WordPressの「Malcure Malware Scanner」プラグインに任意のファイルを削除する脆弱性が見つかった。認証済みの低権限ユーザーでもファイル削除が可能となり、リモートコード実行などのリスクがある。現時点で修正パッチは提供されていない。
()
中国製のIPカメラに、デフォルトで無効化不能なTelnetサービスが存在し、rootアクセスが可能となる重大な脆弱性が見つかった。CVSS 10.0の脆弱性とされているが、ベンダーへの連絡手段は存在せず、修正方法も公開されていないという。
()
0DIN.aiは、Google Geminiの要約機能がHTMLメールに埋め込まれた不可視の指示に反応し、偽情報を出力する脆弱性を報告した。攻撃は視覚表示を伴わず実行される。要約機能の信頼性と生成AIの攻撃対象化を警告している。
()