2026.10.15（木）
- 注目検索ワード
セキュリティ業界でも、AIを取り入れたソリューションが一般化しつつある。未知のマルウェア検出やトラフィック・ログの異常検出に効果を発揮している。だが、AIの機能はどの程度信頼できるのだろうか。
Microsoft Windows OS において、ユーザアカウント制御 (UAC) による制限を回避することが可能となる新たな手法が公開されています。
シングルサインオン（SSO）は、複数のアカウントの認証を集中管理し、ユーザーはひとつのアカウント（ID・パスワード）で、各システムに安全にログインできるというもの。Blackhat USA 2018のあるセッションをもとにSSOの脆弱性について考えてみたい。
今秋 9 月 21 日、実際の車両を用いて CAN ネットワークに介入し、疑似的なサイバー攻撃を再現・体験するセキュリティセミナーが開催された。講師を務めたのは、広島市立大学の井上 博之 教授だ。
Adobe Flash Player に遠隔から任意のコードが実行可能となる脆弱性が報告されています。
あらゆる専門家がIT業界の未来を予測し、的中させようと躍起になっていました。今度は私に順番が回ってきました。そこで思いつくままにたわごとを書き連ねてみようと思います。
毎月第一営業日前後をめどに、前月に起こったセキュリティ重要事象のふり返りを行う際に、参考資料として活用いただくことを目的に「 Scan PREMIUM Monthly Executive Summary 」を2019 年 1 月から新たにお届けします。
選定基準と言っても、個人的にインパクトがあって、突っ込みを入れておかねばならんと思った奴を挙げていきます。特に、言葉から受ける印象に対して注意が必要な奴は、そこんとこ厳しくいかせてもらいます！
ICANN CTOでありChief Security, Stability & Resiliency Offcerであるジョン・L・クライン氏が、JPNIC主催のセミナーに登壇するため来日した。国内でもよく問題になるDNSの悪用について語っていただいた。
実は、筆者の10年以上の長いペネトレーションテスターキャリアにおいて、これが初めての負け試合だった。そして、まだこの時点ではさらに半年後にまさか2つ目が待っていようとは筆者自身知る由もなかったのである。
Linux/Unix 系の OS の制御に用いられているソフトウェアである PolicyKit に、権限昇格につながる脆弱性が報告されています。
実験の結果は、ある部分においては、大方の読者の予想と一致している。理系の学生は文系の学生に比べてクリック率が低い（ 工学・情報技術学部では 65 ％ 、自然科学・数学学部では 70 ％ ）。文系の教養・人文科学・社会科学学部ではクリック率は 80 ％ だった。
大阪大学CSIRTの柏崎礼生氏（大阪大学情報推進本部）が、Security Days Fall 2018において、自身や同大のインシデント事例をもとにCSIRTに重要なものはなにかを問うセッションを行った。
2018 年師走、あの男が帰ってきました。白いタキシードが似合う筋肉系ペネトレーションテスター、株式会社キーコネクト 代表取締役 利根川 義英 氏です。
PHP において、IMAP によりメールを操作するために使用する imap_open 関数に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
11月20日「LastPass」のクラウドサービスが 5 時間停止したため、パスワードマネージャを使ってアカウントにログインできない事態が発生した。
Web サーバにファイルアップロード機能を実装するためのライブラリである jQuery-File-Upload のサンプルアプリケーションに、認証を回避して任意のファイルがアップロード可能となる脆弱性が報告されています。
メディアでは、サイバー攻撃とマフィアの関係を報じることはあるが、その詳細をなかなか表にでてこない。マフィア研究では、シェリング、ガンベッタ、ヴァレーゼらの論文が有名だが、新たな論文がジョナサン・ラスタウス氏によって発表された。
ガートナーのリサーチャー ロブ・マクミラン氏によれば、2020年までにすべての大企業が、CIO、CISOに対して最低年1回の取締役会での報告を求めるようになるという。セキュリティ担当者はどんな報告をすればいいのだろうか。
SSH ライブラリソフトウェアである libssh に、認証機能の実装の不備に起因する、遠隔コード実行の脆弱性が報告されています。
2016 年アメリカ大統領選におけるロシアの介入が民主主義にもたらした影響はニューヨークのテロ攻撃に匹敵するものであるかもしれない、と示唆した。
近年、選挙でも問題になるのがサイバー攻撃だ。投票結果の改ざん、議員スキャンダルを狙ったもの、関連した諜報活動や選挙妨害。これらはいまやサイバー攻撃でも行われる。米大統領の中間選挙が迫るなか、あらためて投票とサイバー攻撃について考えたい。
直訳すれば「Sysmon破り：公式セキュリティアプリケーションの回避方法」といったところだ。
動画再生ソフトウェアとして世界的なシェアを誇る VLC Media Player に、遠隔から任意のコードを実行させることが可能となる脆弱性が報告されています。
中国による世界の電子サプライチェーンへの介入に対する不安を煽ろうとしている情報関係者がおり、ブルームバーグは情報分野における誤情報キャンペーンがもたらした誤った情報を正確に伝えたのかもしれない、というわけである。
編集部蔵出しの一品として、「サイバーミステリ作家 一田 和樹 vs. セキュリティダークナイト 辻 伸弘の対談取材」を行った際に、一田先生と辻氏両名のサイン入りの「原発サイバートラップ」(単行本) も抽選で 1 名様にプレゼントいたします。
彼らの調査報道は、関係者や当事者への取材から得た情報だけでなく、ときには自ら積極的に情報をとっていくスタイルのように見える。
新たに発見されたスパイグループは、テーラーメードの攻撃ツール利用を避け、代わりにパッチの適用されていないシステムを狙って、ネットに公開されている、ありふれたエクスプロイトツールを使用している。
PHP の開発フレームワークである Laravel に、遠隔から任意のコードが実行可能となる脆弱性が公開されています。
IoT 機器に感染し、それらをボットネット部隊に強制入隊させる Mirai マルウェアを操っていた主犯者 3 人が禁錮刑を免れた。
ハッカーがデジタルな認証手段を盗み出すのではなく、コードサイニング証明書に金を払うケースは増えている。認証手段を盗むとなると、手順が煩雑になることもあるからだ。
Web アプリケーションの開発フレームワークとして、世界的に利用されているApache Struts 2 に、遠隔から任意のコードが実行可能となる脆弱性が公開されています。
いくつかのインテリジェンスサービスの取材をもとに、提供される情報の内容や活用方法、提供価格についてレポートする。
昔のことを調べたり考えたりして、新たな道理や知識を見い出し自分のものとすること、これが温故知新だ。今回のテーマだ。知らないことを知るんじゃない、知っていることから考えるんだ。
38 万枚ものペイメントカードがハッカーに開示されたことになる。
過去事例あり。新しい話じゃない。しかも、もっと昔は被害のスケールが大きかった。
世界的シェアを誇る、PDF や画像を処理するソフトである GhostScript に、遠隔コード実行につながる脆弱性が報告されています。
航空会社のエア・カナダはネットワーク侵入の可能性を検知したことを受け、顧客に対してモバイルアプリのパスワードをリセットするよう呼びかけている。
SSH サーバソフトウェアとして、世界随一のシェアを誇るソフトウェアである OpenSSH のサーバソフトウェアに、ユーザ列挙が可能となる脆弱性が報告されています。
ブロックチェーン技術は、新しい台帳技術として仮想通貨以外にアカウント認証やデータ証跡への応用が期待されている。セキュリティ業界でも注目しているところは少なくないが、実際のところ、これらの応用や発展の見込みはあるのだろうか。
>>（4）帰還
>>（3）ボクらは馬鹿正直過ぎた
AI・機械学習を使っていく場合、まず「認知バイアス」に気をつけないといけませんよと。
開発用ソフトウェアである Oracle WebLogic Server に、遠隔から任意のファイルがアップロード可能となる脆弱性が報告されています。
>>（2）Microsoft：これは理論上の脆弱性にすぎない
より技術的な話に入る前に、このテクニックが世界の終わりを引き起こすわけではないことを強調しておきたい。
>>（1）発端
phpMyAdmin 4.8 系に、Local File Inclusion により遠隔から任意のコードが実行可能となる脆弱性が報告されています
今から20年前、ボストンを拠点としたハッカー集団 L0pht がインターネットはどうしようもなく安全性を欠いているとアメリカ上院で証言し、話題となった。
日本の仮想通貨市場は今後どうなっていくのだろうか。
Foxit Reader および Foxit Phantom Reader において、メモリ関連の脆弱性を悪用して、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
![[学術研究] 主要セキュリティ対策の費用対効果ランキング 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/24902.jpg)
2016 年暮れに経済産業省から出された「サイバーセキュリティ経営ガイドライン Ver 1.0」の最初のページに載っていた、ある言葉を忘れられない人は少なくないかもしれません。
廃止は将来的な見通しではなく即座に行われるものだと述べている。
6月1日、AWS Summit Tokyo 2018において、アマゾン General Manager、AWS Perimeter ProtectionのAndrew Thomas氏が、AWSで利用できるセキュリティ機能に関する講演を行った。
Windows 8 以後の OS で悪用可能な UAC 回避の手法が公開されています。
前回のInfosecで三菱自動車のOutlanderと電気ケトルのハッキングの仕方を説明したばかりのこのチームは、今回衛星通信やその他の航海システムに目を向けた。
11月30日には「CYBERTECH Tokyo」が開催され、イスラエル経済産業大臣、エリ・コーヘン氏、イスラエル国家サイバー本部（INCD）CEO イガル・ウナ氏、イスラエル電力公社（IEC）会長 イフタフ・ロン・タル元少将らによる講演が行われた。
少しだけ良い知らせとしては、パスワードにはソルトを使ったハッシュ化が施されていた。
git コマンドに値検証不備に起因する遠隔コード実行の脆弱性が報告されています。
GDPRが先週末施行され、混乱が生じる中、最も基本的な技術でつまずき、他の人の送信先を隠さずユーザにメールを送信してしまった企業があるようだ。
王立国際問題研究所（チャタムハウス）でサイバースペースの国際法について語った際、勅選弁護士で国会議員でもあるジェレミー・ライト氏は以下のように述べた。
ネットワーク管理用ソフトウェアである Nagios XI に、管理者権限での遠隔からの任意のコード実行につながる、複数の脆弱性が報告されています。
最新のプロセッサにデータ漏えいにつながるセキュリティ欠陥であるMeltdown-Spectreの第4亜種（Variant 4）が、マイクロソフトとグーグルの研究者によって発見された。
