【インシデント関連】
Polyfill.ioを放置したサイトで不審なダイアログが表示されている件 #Security - Qiita
2024年6月25日、polyfill.ioの新しい中国系のオーナーがソースコードを変更し、polyfill.ioを読み込んでいるWebサイトを通じて世界中のモバイル端末にマルウェアを注入しました。
日本時間2026年5月22日に当該ドメインが登録日を保ったままNamecheapからGoDaddyへ移管されており、polyfill.ioが復活した可能性があります。
【脆弱性情報】
Cisco SD-WAN Security Flaw Actively Exploited for Root-Level Command Execution
Ciscoのセキュリティアドバイザリ（cisco-sa-sdwan-privesc-4uxFrdzx）によると、この脆弱性により、netadmin権限を持つ認証済みの攻撃者は、細工されたファイルをアップロードして任意のコマンドを実行し、最終的に基盤となるシステムを完全に制御できるようになる。
家庭用PCでも数秒でサーバを“落とせる”、HTTP/2の脆弱性をCodexが発見 さくらインターネットも対策 - ITmedia NEWS
100Mbps程度の回線があれば、家庭用PCでも脆弱なサーバを数秒で停止に追い込めるという。標的になるのは「nginx」「Apache httpd」「Microsoft IIS」「Envoy」「Cloudflare Pingora」といったWebサーバソフトやロードバランサーだ。中でもApache httpdとEnvoyを標的とした場合、単一のクライアントからでも約20秒あれば32GBのサーバメモリを消費・占有させられるとしている。
Califは対策として、修正版ソフトに更新するほか、更新できない場合はHTTP/2を無効化するよう呼び掛けている。
【政府機関・公的機関】
「ゼロトラストの前に既定パスワード変更を」 IPA、重要インフラを守る「最低限のセキュリティ」を刷新：コスト・インパクト・容易性を見て自分で決める - ＠IT
米CISA発行 Cross-Sector Cybersecurity Performance Goals Ver.2.0 (2025-12)の翻訳 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
CPGは包括的なサイバーセキュリティプログラムではなく、組織が実装すべき最低限のプラクティスとして位置付けられている。重要インフラ事業者、特に中小規模組織が、強固なサイバーセキュリティ態勢構築への第一歩を踏み出すための支援を目的としている。サイバーセキュリティ対策のレベル分け（成熟度モデル）は行わず、「コスト」「インパクト」「実装の容易性」を見て、組織が自分で投資優先順位を決めて実施するものだ。
【調査結果・ベンダーレポート】
「開発者はおいしい脆弱性になった」 AIコーディング、採用、OSS、CI/CD“4つの包囲網”と生存戦略：それでも対策が進まない理由 - ＠IT
攻撃者の狙いは、単なる端末侵害ではありません。開発者の端末には、GitHubへの認証情報、APIキー、シークレット、本番インフラへのアクセス権などが保存されているケースがあります。そのため、開発者1人を侵害できれば、組織全体やサプライチェーンへの横展開が可能になります。
Microsoftが指摘するように、開発者の端末や開発基盤には極めて価値の高い情報資産が集中しています。「開発者1人を侵害できれば、組織全体やサプライチェーン全体に横展開できる」。攻撃者はそう考えているのです。
ソフトウェア開発が企業のビジネスに深く関わる現在、開発者の負担が激増している上に負荷を減らすツールとして有力視されたAIコーディング自体にも課題が露呈しています。理解負債や認知負債など負担が増す一方な現状は、開発者の判断力を低下させ、サイバー攻撃が成功してしまう一因と言えるでしょう。
「脆弱性報告数が別次元に」 Mythos一般公開を恐れる前に、推奨される7つの優先対策：Mythos未満レベルのAIモデルでも脆弱性は見つかる - ＠IT
CISA（米国国土安全保障省サイバーセキュリティインフラストラクチャセキュリティ庁）の「KEV Catalog」（Known Exploited Vulnerabilities Catalog：悪用が確認された脆弱性カタログ）に掲載された脆弱性については、直ちにパッチを適用する
それ以外については、FIRST.orgが管理するオープンな「EPSS」（Exploit Prediction Scoring System：脆弱性の悪用予測スコアリングシステム）を使って優先順位を決める
インターネットに面したアプリケーションについては、攻撃コードが出回ってから24時間以内にパッチを当てる
停止リスクが許容できる範囲でパッチ適用を自動化する
長期間稼働している既存コードでも、最新のAIモデルを用いたスキャンと解析を受ければ、未知の脆弱性が発見される可能性がある。以下のコードをスキャンと解析の重点的な対象とすべきだ。
サイバーセキュリティレポート 2026年04月 | セキュリティナレッジ | NTTセキュリティ・ジャパン株式会社
オペレーティングシステムLinuxの中核部分であり、ハードウェアを管理する「Linuxカーネル」内でも、Mythosは複数の脆弱性を発見した。驚愕すべきは、それらの脆弱性をMythosが自律的に組み合わせ、権限奪取をするための攻撃手段として利用したことである。Mythosが複数の脆弱性から作り出したエクスプロイトは、通常のユーザーアクセスからマシンの完全な制御を奪い特権奪取するというものであった。
Akamai、脅威レポート「AIを活用したボットネットとAPI可視性のギャップ：金融サービス業界の攻撃トレンドに関するインターネットセキュリティの現状」を公開 - SecurityInsight | セキュリティインサイト
2025年に金融サービスに対する全世界のレイヤー7DDoS攻撃のうち、APACが52%を占めており、4年連続で最もアプリケーションレイヤー攻撃の標的にされた地域となっている。このことは、拡大するデジタル環境のセキュリティ確保が組織にとって急務であることを示している。
DDoS攻撃は、APACの金融業では銀行とフィンテック企業が最も被害を受けており、レイヤー7 DDoS攻撃のそれぞれ44%と38%を占めた。一方で、レイヤー3/4 DDoSでは銀行が同地域の92%を占めた。
【セキュリティ対策機器、ツールの紹介記事】
「TPM＋BitLockerなら安心」は本当か？──Windows 11時代のPCセキュリティ再考 (1/3)|EnterpriseZine（エンタープライズジン）
「かつては高度な専門知識が必要だった物理攻撃が、今や安価な機材と短時間で実行可能となっている」と警鐘を鳴らす。わずか20ドル程度で購入できる市販の機材を用いることで、PCの電源を入れてから1分足らず、あるデモではわずか43秒でBitLockerの復号鍵を物理的に抜き取る、「TPMバス攻撃（TPMバススニッフィング攻撃）」が実行可能だ。
つまり、PCさえ盗んでくれば、20ドルでハードディスクが丸見えになる。頼りにしてきたTPM＋BitLockerというセキュリティ基盤には、実は物理的なアクセスを許した瞬間に顕在化する“思わぬ穴”があった。
TPM仕様の“隙間”として狙われているのが、TPM-CPU間のバス通信を盗み取る「TPMバス攻撃」だ。
TPMに保管されている鍵そのものは強固に守られており、チップから直接取り出すことは困難だ。しかし、PCが起動する際、TPMからメインメモリやCPUへと鍵が転送される瞬間がある。このとき、マザーボード上の配線（ハードウェアバス）を流れるデータは、従来の実装では“平文”のままだ。
Entra ID 初学者向けシリーズ第 5 弾 - Microsoft Entra Private Access 入門 | Japan Azure Identity Support Blog
【コラム系】
【脆弱性】脆弱性が発見されてから攻撃されるまでの平均時間が5年前の1/188になってる #AI - Qiita
Zero Day Clockというサイトで、CVEが公開されてから実際に悪用が確認されるまでの期間を表したグラフを見ることができます。
この『悪用が確認』は『3500件以上の攻撃が確認された』という基準だそうです。
【その他】
RHELはそのまま、サポートだけSUSEへ──みずほ銀行が移行ゼロで断ち切った、レガシー運用のベンダーロックイン (1/3)|EnterpriseZine（エンタープライズジン）
