2026.09.05（土）
- 注目検索ワード
田丸氏は冒頭、オンプレミス環境とクラウド環境の間にある非対称性を指摘した。オンプレミスであれば、災害発生後に現地にたどり着いて、電源さえ確保できれば、限定的とはいえ復旧の見込みが残る。一方でクラウドの場合、データセンター自体がどれほど堅牢であっても、そこへ至る通信経路が途絶えれば手も足も出ない。
2026 年 4 月に公開された Linux カーネルの脆弱性を悪用するエクスプロイトコードが公開されています。脆弱性は、AI により検出された脆弱性の先駆けとして話題になり、その影響度の高さから「Copy Fail」と呼ばれ、世界的に注目されています。悪用手順が容易であり幅広い幅広い OS に影響があるため、Linux OS への侵入に成功した攻撃者が悪用を試行する可能性が高いです。
英国情報コミッショナー事務所（ ICO ）は、2022年に発生した、2 段階にわたって行われたデータ侵害事件により最大 160 万人の英国ユーザー情報が漏洩したとして、LastPass に対し 120 万ポンド（約 2 億 4,000 万円）の罰金支払いを命じた。
横山氏によれば、企業によっては「業務部門からの変更依頼」「要件調整」「 RFP 策定」「社内承認」「発注」という 5 つのステップを回すだけで数ヶ月、長ければ 1 年以上を費やしてしまうという。「外注をなくせばこのプロセスは削減されるが、社内の“スタンプラリー”が残っている限り開発スピードは変わらない」と同氏は述べ、ビジネスと IT を最短距離で結ぶ、全く新しい意思決定の方法が必要だとした。
2026 年 4 月に公開された、Microsoft Defender の脆弱性を悪用するエクスプロイトコードが公開されています。
ニューファンドランド・ラブラドール州の看護師組合会長のイヴェット・コフィーは「サイバーセキュリティ教育は重要です。しかし、それは分別と敬意を持って行われなければなりません。医療従事者が経験している過酷なストレス、疲労、そして不満につけ込まなくても、フィッシング耐性をテストする方法はいくらでもあるのではないでしょうか」
「対策を要求される委託先側の視点から見ると、複数の取引先からあれやれこれやれと言われて、なかなか対応しきれない」実際、複数の発注企業と取引する受注企業は、各社がそれぞれ独自の様式で数十から数百項目に及ぶセキュリティチェックリストを送付してくるケースが多く、フォーマットもバラバラで、内容を理解した上での個別対応を強いられているのが実情だという。こうした状況を放置すれば、サプライチェーン全体のセキュリティレジリエンスは向上しない。
英国王立防衛安全保障研究所（ RUSI：Royal United Services Institute for Defence and Security Studies ）のサイバー・技術研究フェローであるギャレス・モットは、当時報じられていた内容を引用しつつ、米国のコンピュータ詐欺および濫用防止法（ CFAA：Computer Fraud and Abuse Act ）を改正しない限り、米企業がこうしたサービスを合法的に提供できない可能性があるとの見解を示した。
エージェントが人間の処理能力をはるかに超えてバグを吐き出す時代に、研究者は、そして人間は何をすべきなのか。この問いに対するヤンの答えは、意外にもまったく悲観的なものではなかった。むしろヤンは「人間にとって、いまこそサイバーセキュリティに飛び込む最高のタイミングだ（ This is the best time to get into cybersecurity as a human.）」とまで言い切った。
2026 年 3 月に公開された、Langflow の脆弱性を悪用するエクスプロイトコードが公開されています。
事業やサービスが終われば Web サイトで使っていたドメイン名は不要になる。維持費を払い続けるのは無用のコストだから契約更新をやめて手放す。ごく自然な経済的合理性に基づいた判断だ。ところが企業によっては一度使ったドメインを手放さず「永年保有」するというポリシーを定めている場合がある。なぜ、不要コストを払い続けるのか。
ところが数カ月前、例の米国企業からロジャーに連絡が入った。サポートを終了したソフトウェアを使っていたドイツの顧客が、紙のアーカイブを紛失した。だがデジタルアーカイブは手元に残っている。そんな内容だった。米国企業はロジャーに書類の復元を依頼した。一日当たりの報酬は、ロジャーが受け取る年金およそ 1 カ月分にも相当する金額だった。
7 月に最も件数換算の被害規模が大きかったのは、KDDI株式会社による「KDDI の ISP 事業者向けメールシステムに不正アクセス、ゼロデイ脆弱性を悪用」であった。先月のKDDIの続報で、本来なら除外するのだが件数が最大 1,422 万件から、12,233,087 名に下方修正されたので、記録のために入れておいた。
![官民連携の米 AI × 脆弱性対策の国家戦略「GOLD EAGLE」ほか [Scan PREMIUM Monthly Executive Summary 2026年7月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/54169.png)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
「エクスプロイトを書くのがめちゃくちゃ爆速になっているので、パッチが出た瞬間に適用しないと間に合わないという状況になります」背景にあるのは「パッチリバーシング」という技術だ。パッチ適用前後のバイナリを比較することで、どこが修正されたのかを推測し、そこから脆弱性の内容と exploit を組み立てる手法である。技術自体は以前から存在したが、解析に時間がかかるため、その間に企業側は検証を経てパッチを当てることができた。しかし AI によってこの解析と攻撃コード生成が高速化すると、様相は一変する。
電子フロンティア財団（EFF）のサイバーセキュリティディレクター、Eva Galperin はこの決定を歓迎し、「 DEF CONで『変態メガネ禁止（no pervert glasses）』ポリシーが導入されるのは素晴らしい」とコメントした。Meta のスマートグラスは覗き見や盗撮といった変態行為の道具になった。「Meta メガネ プライバシー侵害」で検索すればすぐに、メガネ着用者による不適切な撮影行為の例が無数に見つかる。しかも、女性や子供が標的にされているケースがほとんどである。
証明書を失効させるには「証明書に含まれる全ドメインの所有権検証を通す」か「秘密鍵を保持している」ことが必要となる。攻撃者が自ドメインと被害者ドメインを同居させた共有証明書を発行した場合、被害者は自分のドメインしか支配できないため、そのどちらの条件も満たせない。つまり、自分のドメインを完全に支配していてもなお、そのドメインを含む不正証明書を無効にできない。
デッカー氏は実際の LLM サブスクリプション提案を例示した。1,000 ユーザーで月額 30 ドル/人、各ユーザーに月 200 トークン付与という内容だ。一見シンプルだが、詳細を見ると次々とリスクが現れたという。ベンダーは「標準契約だから交渉はできない」と主張するが、デッカー氏は「事前に情報収集をしていれば、それが事実ではないとわかる。交渉は十分可能だ」と述べた。
2026 年 3 月に公開された、Microsoft Windows OS での管理者権限の奪取につながる脆弱性を悪用するコードが公開されています。
複数の命名体系が存在するせいで、研究者たちは同じ集団を 10 種類もの異なる名前で呼んでいる。たとえば「ロシア軍事情報部 第 74455 部隊」という同一の組織が「Seashell Blizzard」「IRIDIUM」「VOODOO BEAR」「BE2」「UAC-0113」「Blue Echidna」「PHANTOM」「BlackEnergy Lite」「APT44」と呼ばれるといった具合だ。
「生命保険が発明されるまで、このような動機による殺人は人類社会に存在しなかった。保険制度の創設が、意図せず新たな犯罪の動機を生み出した」と登壇者は語った。生命保険は人々の生活を守るために生まれたが、同時に「保険金のために人を殺す」という、設計者が想定しなかった動機も生み出した。善意で作られた制度が、意図とは正反対の結果を招くことがある。そしてサイバー保険も、同じ構造の上にあるのではないか。
