2026.09.19（土）
- 注目検索ワード
2025 年 11 月に公開された Windows OS の脆弱性を悪用するエクスプロイトコードが公開されています。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月20日、WordPress用プラグインSurvey Makerにおけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月20日、ジョブログ集計/分析ソフトウェア RICOHジョブログ集計ツールのインストーラにおけるDLL読み込みに関する脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
インシデントレスポンス企業の現場には無力感が広がっている。「技術も人材もあるのにサイバー攻撃被害に遭った企業からのフォレンジック調査依頼のごく一部にしか対応することができない」 大手セキュリティ企業の実に多くがフォレンジック調査の依頼に対して「今は手一杯です」「来月まで／半年お待ちください」と断らざるを得ない状況が常態化している。
その原因は明確だ。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月18日、Apache Tomcatにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月17日、Joomla! CMSにおけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
ある職員と AI との会話記録として提出された内容を見ると、職員からの質問は、無実を主張するものではなく、法的な抜け穴を探すことに血道を上げていた。ある会話で鉄道員はこう尋ねたとされる。「被害者が賠償を求めていない場合、誰が財務的損害を立証するのか？」「財務的損失が証明できない場合、予約システムで座席をブロックする行為はそもそも損害に当たるのか？」と ChatGPT に問いかけていた。
これらのやり取りからは、捜査が迫る中で、汚職の嫌疑をかけられた職員たちの焦燥が行間からにじみ出ている。
警察庁は2月13日、法人を対象としたニセ社長詐欺への注意喚起を発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月13日、FileZenにおけるOSコマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
株式会社日本レジストリサービス（JPRS）は2月13日、PowerDNS Recursorの脆弱性情報（CVE-2026-24027、CVE-2026-0398）が公開されたと発表した。
独立行政法人 情報処理推進機構（IPA）は2月12日、「Microsoft 製品の脆弱性対策について(2026年2月)」を発表した。一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）も「2026年2月マイクロソフトセキュリティ更新プログラムに関する注意喚起」を発表している。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月12日、M-Audio製M-Track Duo HDインストーラにおける任意のDLL読み込みの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月9日、沖電気工業製品およびそのOEM製品における引用符で囲まれていないファイルパスの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
![クラウドファーストのLinuxマルウェアフレームワーク VoidLink ほか [Scan PREMIUM Monthly Executive Summary 2026年1月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/51839.png)
1 月の脅威動向でもう一つ押さえるべきは、エンドポイント中心の侵入ではなく、クラウド基盤そのもの（ Linux、コンテナ、Kubernetes ）を長期支配するためのマルウェアフレームワーク「 VoidLink 」が報告された点です。チェック・ポイント・リサーチは「クラウドファーストの Linux マルウェア・フレームワーク」と位置づけ、ローダー、インプラント、ルートキット、30 超のプラグインから構成される高いモジュール性を報告しています。
AI エクスポージャー管理のギャップとは、セキュリティチームが直面する 3 つの課題に対する可視性を指します。「（1）従業員がどのように AI を使用しているか」「（2）AI がどこで稼働しているか」そして「（3）組織内外の相互接続されたシステム全体で AI エクスポージャーがどのように蓄積されているか」です。AI エクスポージャーは、さまざまな理由から測定が困難です。 理由の 1 つは、それが従来のサイバーリスクとは同じ姿をしていないという点です。
ランサムウェア交渉を専門とする Coveware 社が Nitrogen のランサムウェアプログラムを詳細に分析したところ、プログラミングミスのせいで、この犯罪グループが提供する復号ツールでは暗号化された被害者のファイルをまったく復旧できないことが判明した。
日本語のローカライズ作業はパートナー企業である JTP株式会社が中心になって行った。その詳細は同社の浪崎潤一氏が解説した。イベントでローカライズの担当者が登壇するなんてかつて見たことがない。翻訳の依頼先なんて通常は、リスペクトが含まれないニュアンスが若干含まれることもある「外注業者」程度にみなされており、カンファレンスに登壇するなど聞いたことがない。20 年セキュリティイベントの取材をしているが多分史上初である。払うべき相手にリスペクトを払った証左だ。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月6日、TP-Link製IPカメラ「VIGIシリーズ」における不適切な認証の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月5日、web2pyにおけるオープンリダイレクトの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月4日、Movable Typeにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
エレコム株式会社は2月3日、一部のネットワーク製品での新たな脆弱性について発表した。対象製品は以下の通り。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月3日、Roland Cloud ManagerのインストーラにおけるDLL読み込みに関する脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
「我々は AI エージェントをチームメンバーの延長線上、つまり拡張された従業員基盤として認識し、その対応を考える必要がある」と、ダボスのパネルで発言した Cloudflare 共同創業者兼社長のミシェル・ザトリン氏は述べた。「組織は従業員に対してゼロトラストを採用している。同じことがエージェントに対しても起こるだろう」
「これらのキットを使えば、標的ユーザーと電話で会話しながら、認証情報を盗むフィッシングページ上で、そのユーザーの認証フローを攻撃者が制御できます。通話中に与えている指示と完全に同期する形で、ユーザーのブラウザに表示されるページを操作できるのです。この同期機能により、フィッシング耐性を持たないあらゆる形式のMFAを突破することが可能になります」とOkta脅威インテリジェンスチームのリサーチャー、ムーサ・ディアロは述べている。数字照合型のプッシュ通知も回避可能だという。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月3日、OpenSSLにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月3日、三菱小容量UPS用シャットダウンソフトウェア FREQSHIP-mini for Windowsにおけるインストール時の不適切なファイルアクセス権設定の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月2日、複数のMicrosoft Office製品における信頼できない検索パスの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月2日、Sonatype Nexus Repositoryにおけるサーバサイドリクエストフォージェリの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月2日、raspap-webguiにおけるOSコマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
2025 年 10 月に公開された Apache Tomcat の脆弱性を悪用する手順が公開されています。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月30日、サポートが終了したNETGEAR製品におけるマニュアルに記載のない「TelnetEnable」機能について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月28日、libheifにおける境界外読み取りの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
2025 年夏、Black Hat USA 2025 の基調講演に、元 New York Times サイバーセキュリティ担当記者のニコール・パールロスが登壇した。はっきり言ってしまうと前日に行われたミッコ・ヒッポネンの基調講演と比べると見劣りするキーノートだったとここで正直に書いてしまうことにする。だからこそミッコの講演レポート記事は全文 9,570 文字にもおよぶ興奮を伴った文体ですぐに掲載したが、元 NYT 記者の方はこれだけ日が空いてしまった。
