#2026-05-15 サイバーセキュリティ関連トピック (3)
はじめに
こんにちは、サイバーの犬です。今日もサイバーセキュリティの最新トピックスを中心に書き留めていきます。
今回取り上げた動向を見ると、サイバーセキュリティの最前線は「AIの二面性」で揺れていますね。政府や金融機関が防御にAIの活用を進める一方、攻撃側も生成AIや自律型エージェントを駆使して標的化を加速させています。特に気になるのは、AI導入がセキュリティガバナンスを置き去りにしている点です。非人間IDの過剰権限化や、レガシーな通信・アプリケーションの脆弱性がゼロデイ攻撃と結びつき、インフラやECサイトへの被害が頻発しています。
一方で、Deepfakeによる身代わり攻撃の台頭は、従来の認証概念を見直す必要性を浮き彫りにしていますね。技術の進化が速い分、脆弱性パッチの適用やアクセス権限の適正化といった基本を徹底しつつ、アイデンティティの信頼性をどう構築するかが鍵になるでしょう。AIを脅威として設計段階から組み込む視点が、これからの防御には不可欠だと痛感します。
記事一覧
🌐 カーインテリア・アクセサリー取扱「ボンフォームオンラインストア」に不正アクセス、 3 , 268 名のカード情報が漏えい
https://scan.netsecurity.ne.jp/article/2026/05/15/55275.html
✔️要約
株式会社ボンフォームが運営するECサイト「ボンフォームオンラインストア」にて、システム脆弱性を突いた不正アクセスにより決済ページのJavaScriptが改ざんされ、顧客のクレジットカード情報およびECサイト認証情報が漏えいした事案を発表しました。影響期間は2021年3月から2024年11月までで、カード情報約3,268件、認証情報約735件の漏えいが確認されています。同社はサイトを停止し外部調査を実施したほか、カード会社と連携して取引モニタリングを継続、個人情報保護委員会へ報告を行っています。今後はセキュリティ対策の強化と再発防止を図ります。
💭サイバーの犬による考察
今回ひっかかるのは、脆弱性そのものよりも決済ページのJavaScript改ざんが三年近く検知されなかった運用の穴です。ECサイトでは決済フローのスクリプト更新をリアルタイムで差分監視しているでしょうか。まず決済ページの改ざん検知ログを確認できます。
🌐 「 PHP 」に複数の「クリティカル」脆弱性 - アップデートで解消
https://www.security-next.com/184498
✔️要約
PHP開発チームは2026年5月7日、11件の脆弱性を修正するセキュリティアップデートを公開した。特にCVE-2026-6722とCVE-2026-7261はSOAP関連機能の「Use After Free」脆弱性でリモートコード実行のリスクがあり、CVE-2025-14179はPDO_FirebirdのSQLインジェクション、CVE-2026-6104はメモリ読み取り不正による情報漏洩の要因となっている。各ブランチで修正内容は分かれるが、クリティカルな影響のため早期のパッチ適用が求められる。
💭サイバーの犬による考察
社内導入の文脈では、PHPのアップデートが単なるバージョン上げではなく、Webサーバーの再起動や依存関係崩壊を伴う話になります。SOAP拡張が有効なレガシーシステムほど、Use After Free経由の実行経路が閉じていない可能性があります。パッチ適用前に、まずSOAP利用アプリのリストと停止許容枠の確認が済んでいるかが分かれ目になります。
🌐 エレコム製ルーターなどに複数脆弱性 - 21 モデルに影響
https://www.security-next.com/184494
✔️要約
エレコム製無線LANルーターおよびアクセスポイント（21モデル）でJVNが7件の脆弱性を公開した。OSコマンドインジェクションや認証欠如など深刻な問題があり、一部はCVSSスコア9.8と高評価。設定ファイルのバックアップで暗号鍵がハードコードされる問題やCSRF、XSS対策の不備も指摘されている。影響製品の対策が求められている。
💭サイバーの犬による考察
全部を一度に見るより、まずバックアップファイルの保管経路です。設定画面からエクスポートされる構成データに暗号鍵がハードコードされる場合、既存のバックアップがそのまま流出すれば内部の通信復号や他システムへの不正アクセスが容易になります。影響21モデルの在庫リストと、実際に保存されている設定ファイルのアクセス権限を確認してください。
🌐 WPS Office で使用される名前付きパイプに対するアクセス制御不備の脆弱性
https://www.lac.co.jp/lacwatch/alert/20260515_004726.html
✔️要約
LAC Advisory No.144において、WPS Officeに権限昇格脆弱性（CVE-2018-6400）が報告されました。WPS OfficeがDLLファイルを不正に読み込む際、適切な権限チェックを行わないため、攻撃者が任意のコードをSYSTEM権限で実行できる可能性があります。影響を受けるのはWPS Office2（2020/2025版）、WPS Cloud、KINGSOFT PDF Proの一部バージョンです。対策として、該当製品を最新バージョンに更新することが推奨されます。
💭サイバーの犬による考察
実害が大きいのは、名前付きパイプの権限設定がファイル保存先によって動的に変わる点です。攻撃者が共有フォルダに偽DLLを配置すれば、WPS Office起動時に無条件でSYSTEM権限が奪われます。一括更新の手間より、まず共有フォルダの書き込み権限管理を確認してください。
🌐 スマホ向け「 Microsoft Authenticator 」、トークン漏洩のおそれ
https://www.security-next.com/184490
✔️要約
マイクロソフトはスマートデバイス向け認証アプリ「Microsoft Authenticator」に、アクセストークンが漏洩する脆弱性（CVE-2026-41615）を確認した。CVSSv3.1スコア9.6のクリティカルな本脆弱性は、悪意あるリクエストにユーザーが誤って承認することで業務アカウントのトークンが外部に送信されるリスクがある。現時点で悪用は確認されていないが、マイクロソフトはiOSとAndroid向けに修正版をリリースし、自動更新やアプリストアからのアップデートを呼びかけている。
💭サイバーの犬による考察
全端末の更新状況を見るより、まずMicrosoft AuthenticatorのMDM適用ポリシーです。CVE-2026-41615のクリティカルなトークン漏洩は、ユーザーが誤って承認ボタンを押すだけで成立します。社内規定で自動更新が有効か、承認画面が業務連絡と混同されないか、管理画面の適用リストだけを確認してください。
🌐 Linux カーネルにローカル権限昇格の脆弱性「 Fragnesia 」
https://www.security-next.com/184481
✔️要約
Linuxカーネルにローカルユーザーがroot権限を取得できる権限昇格脆弱性「記事で言及された権限昇格脆弱性」（CVE-2026-46300）が明らかとなった。ソケットバッファのフラグ管理ミスにより、IPsec ESP処理時にページキャッシュが不正書き換えられることが原因。Zellicの研究者が報告し、既に修正パッチが公開されている。概念実証コード（PoC）も公開されており、回避策としてesp4/esp6/rxrpcモジュールの無効化が推奨されている。主要ディストリビューションも対応を急いでいる。
💭サイバーの犬による考察
Fragnesia（CVE-2026-46300）の回避策としてesp4やrxrpcモジュールの無効化が提示されていますが、これを社内環境に置き換えると、ネットワーク通信の強制停止を伴う運用判断の話になります。まず確認すべきは、自環境のIPsecやRPCサービスが実際にこれらのモジュールを動的に読み込んでいるかどうかです。影響範囲を特定せずに適用すれば、想定外の通信断を招く可能性があります。
🌐 アップルの最新セキュリティ技術で保護されていたマック OS で、人工知能( AI )を活用した新しいハッキング迂回技法が発見された。 最近急速に発展した生成 AI がサイバーセキュリティ領域でも実際の攻撃水準の .. - 매일경제
https://www.mk.co.kr/jp/it/12049372
✔️要約
パロアルトネットワークスの研究チームは、Anthropic製AIモデルを活用したmacOSテスト中に、メモリ完全性保護技術を迂回する権限昇格脆弱性を発見した。2つのバグと攻撃技法を組み合わせ、一般ユーザーから管理者権限へ昇格する攻撃をわずか5日間で実証し、Appleに報告書を提出した。macOSの堅牢なセキュリティをAIが短期間で突破した事例として業界で注目されている。
💭サイバーの犬による考察
懸念されるのは、メモリ保護を迂回する脆弱性そのものよりも、AI支援による検証期間がわずか5日に圧縮されている点です。まず確認すべきは、自社環境でこの手法が現実化した際に、どのmacOSビルドが該当権限昇格経路に晒されているかです。既存の脆弱性管理フローでは、この速度で流入する検証結果をどう扱っているかが分かれ目になります。
🌐 北朝鮮ハッカーによる暗号資産の損害額、 2025 年に前年比 51 ％増── AI で欺瞞工作を産業化：報告書（ NADA NEWS ） - Yahoo !ニュース
https://news.yahoo.co.jp/articles/2d4a2e38eb820840e62694711f7443b290d71699
✔️要約
CrowdStrikeが5月14日に発表した「2026年金融サービス脅威レポート」によると、北朝鮮関連ハッカー集団は2025年に暗号資産分野で過去最大の窃盗（20億2000万ドル）を記録し、前年比51％増となった。特に「PRESSURE CHOLLIMA」によるサプライチェーン侵害で14億6000万ドルの被害が生じた。また、北朝鮮勢力はAIを活用した偽装身元や合成ビデオ会議による潜入・リクルートを急速に拡大させ、サイバー犯罪の「産業化」を推進している。同時に中国系攻撃グループも金融機関へのスパイ活動を全球規模で広げており、AI技術の濫用が業界全体のセキュリティ圧力を高めている。
💭サイバーの犬による考察
この手口で嫌なのは、AI合成映像が単なる詐欺ではなく「組織内での信頼獲得」まで自動化されている点です。偽装身元で調達窓口や開発パートナーに入り込めば、既存の対面確認は機能不全に陥ります。まずはサプライチェーン経由で権限を付与するパートナー企業の、AI生成プロフィールやリモート面接の検証記録を確認する段階へ移行する必要がある。
🌐 チェック・ポイント・リサーチ、 2026 年 4 月の主要なサイバー脅威を発表 〜日本への攻撃は前年同月比で 73 %増加し、週平均 2048 件を記録
https://security-insight.jp/2026/05/15/4414/
✔️要約
チェック・ポイント・リサーチは2026年4月のグローバル脅威インテリジェンスレポートを発表。世界では組織当たり週平均2201件のサイバー攻撃が確認され増加傾向にあり、日本も前年比73%増の2048件と急増した。教育研究分野が最多標的となり、観光業界も業務拡大で攻撃対象が拡大。生成AI利用ではプロンプトから機密データ漏えいリスクが顕在化し、定期利用者の90%に影響が及ぶ可能性が高い。また、56グループが活発なランサムウェア攻撃により業務混乱リスクが高まっており、組織全体のセキュリティ強化が急務である。
💭サイバーの犬による考察
全部の攻撃傾向を把握するより、まずAI利用時のデータ流出経路です。業務で利用するAIサービスへプロンプトを送信する際、機微情報が外部モデルへそのまま蓄積されないよう、契約時のデータ利用ポリシーを確認するだけで社内データが外部へ流出する実態が見えてきます。
🌐 日本政府とメガバンクが Anthropic の「 Claude Mythos 」導入へ、サイバー防御網構築（ビジネス＋ IT ） - Yahoo !ニュース
https://news.yahoo.co.jp/articles/216cdfaf8443e491f2341090370e2fdb90d14ac0
✔️要約
日本政府と三菱UFJ、三井住友、みずほの3大メガバンクは、サイバー攻撃への防御強化を目的に、米Anthropicの最新AI「AnthropicのAIモデル」のアクセス権を取得する方向で調整を進めている。同AIはシステム脆弱性の発見能力に優れ、金融庁主導の官民タスクフォース設置やG7での国際議論と併せて、インフラの能動的サイバー防御体制構築を目指す。
🌐 ウェスト・ファーマシューティカルへのサイバー攻撃、複数の拠点で製造停止
（Cyberattack on West Pharmaceutical halts manufacturing across multiple sites）
https://informationsecuritybuzz.com/cyberattack-on-west-pharmaceutical-halts-manufacturing/
✔️要約
医薬品包装メーカーのWest Pharmaceutical Servicesは5月4日、ランサムウェア攻撃によりネットワークに侵入され、データ窃取とシステム暗号化を受けたと発表。被害拡大を防ぐため製造・物流拠点の一部を自主的に停止し、Palo Alto Networks Unit 42の支援を受けて復旧作業を進めている。一部施設で生産・出荷が再開されるも、完全復旧には至っていない。専門家は、同社がグローバル製薬サプライチェーンの要衝を占めることを指摘し、ランサムウェア対策としてOTとITの分離、不変型バックアップ、クリーンルーム復旧環境の構築が不可欠だと警告している。
💭サイバーの犬による考察
社内インフラの文脈では、ITの侵入がOTの製造を止める経路の話になります。まず確認すべきは、制御系と情報系を跨ぐ通信許可リストの範囲です。運用上必要と緩められていた接続設定ほど、復旧時に内部へ再び侵入される分かれ目になります。
🌐 台湾鉄道インシデントが浮き彫りにするサイバーセキュリティ上の脆弱性 - Dark Reading
（Taiwan Incident Highlights Cybersecurity Gaps in Rail Systems - Dark Reading）
https://www.darkreading.com/ics-ot-security/taiwan-incident-highlights-cybersecurity-gaps
✔️要約
台湾の学生がソフトウェア定義無線（SDR）を用いて鉄道用緊急通信プロトコル「TETRA」を不正にspoofし、高速鉄道3本を約48分停止させた事象が明らかになった。これは趣味人の行為だが、レガシーな通信システムの設定不備や認証欠如といった鉄道インフラのサイバーセキュリティ上の脆弱性を浮き彫りにした。専門家は、プロトコルが適切に構成・運用されなければ危険であり、暗号化認証やキー管理の強化、レガシーシステムからの移行が必要だと警告している。鉄道攻撃が高度化すれば国家経済に甚大な影響を与えかねない。
💭サイバーの犬による考察
無線信号の改ざんが現場で厄介なのは、保守作業や電波環境の変化と区別がつかない点です。鉄道インフラのように物理制御と通信が直結する環境では、認証を欠くレガシー経路を運用し続ける妥協が事故の温床になります。まずは対象の制御系通信路にピア認証や暗号化が実装されているか、あるいは実装可能な代替路の検討状況を確認すべきです。
🌐 研究者が「YellowKey」と「GreenPlasma」と名付けられたWindowsのゼロデイ脆弱性を発見
（Researchers uncover YellowKey and GreenPlasma Windows Zero-Days）
✔️要約
セキュリティ研究者「記事で言及された研究者」は、Windows 11およびServer 2022/2025/2026のゼロデイ脆弱性「記事で言及された脆弱名1」と「記事で言及された脆弱名2」を公表した。同氏は過去にMicrosoft Defenderの脆弱性「記事で言及された脆弱名3」「記事で言及された脆弱名4」「記事で言及された脆弱名5」も発見しており、Huntress社はこれらが2026年4月に実環境で悪用されていることを確認。MicrosoftはCVE-2026-33825のみをパッチ済みで、他の修正は未実施の状態にある。
💭サイバーの犬による考察
網羅的に探すより、まず未修正ベクターへの監視範囲です。MicrosoftがCVE-2026-33825のみを修正し他を放置する状況では、攻撃経路の切り分けが運用の分かれ目になります。実環境でYellowKeyやGreenPlasmaがどう使われているか、まずログのフィルタリング範囲を特定しましょう。
🌐 オンプレミス版 Microsoft Exchange Server の脆弱性 CVE-2026-42897 が偽造メールにより悪用されている
（On-Prem Microsoft Exchange Server CVE-2026-42897 Exploited via Crafted Email）
https://thehackernews.com/2026/05/on-prem-microsoft-exchange-server-cve.html
✔️要約
Microsoftはオンプレミス版Exchange Serverの脆弱性CVE-2026-42897（CVSS 8.1）について、実環境での悪用が確認されていると警告した。XSSが起因する偽装バグにより、攻撃者はOutlook Web Access経由で任意のJavaScriptコードを実行可能。Exchange Onlineは影響なし。MicrosoftはExchange Emergency Mitigation ServiceやEOMTツールによる一時回避策を公開し、恒久パッチを準備中。影響対象は2016、2019、Subscription Edition版。
💭サイバーの犬による考察
今回ひっかかるのは、脆弱性そのものよりもOWA経由で実行される任意のJavaScriptが、社内メールの信頼性を直撃する点です。攻撃者が偽装バグでセッションを乗っ取れば、内部の機密メールや認証情報がそのまま外部へ流出します。まずはExchange Serverの公開アドレス一覧と、EOMTツール適用時のメールフロー停止リスクが把握しにくい点です。
🌐 管理者アクセスの悪用を確認後、CISAがCisco SD-WANのCVE-2026-20182をKEVリストに追加
（CISA Adds Cisco SD-WAN CVE-2026-20182 to KEV After Admin Access Exploits）
https://thehackernews.com/2026/05/cisa-adds-cisco-sd-wan-cve-2026-20182.html
✔️要約
CISAはCisco Catalyst SD-WAN Controllerの重大な認証バイパス脆弱性（CVE-2026-20182、CVSS 10.0）を既知の悪用脆弱性カタログに追加し、連邦機関に対し2026年5月17日までの対策を義務付けた。攻撃グループ「記事で言及された攻撃グループ」らが実際に悪用しており、他の脆弱性と組み合わせて未認証の远程攻撃者に管理者権限を与えている。少なくとも10の攻撃クラスタが「記事で言及されたツール」などのWebシェルをデプロイし、認証情報の窃取や不正アクセスを実施。Ciscoは速やかなパッチ適用を推奨している。
💭サイバーの犬による考察
全対応に手を出すより、まず管理インターフェースの公開範囲と未適用パッチのリストアップです。認証バイパスが成立すれば拠点間の通信経路制御を乗っ取られ、既存のネットワーク監視では異常検知が困難になります。CISAのKEV追加は既に実被害が確認された合図であり、対象機器の所在と接続状態を先に特定すべきです。
🌐 シスコ、ゼロデイ攻撃で悪用される新たな重大なSD-WAN脆弱性を警告
（Cisco warns of new critical SD-WAN flaw exploited in zero-day attacks）
✔️要約
Ciscoは、Catalyst SD-WAN ControllerおよびManagerのピアリング認証機構に起因する重大な認証回避脆弱性（CVE-2026-20182）がゼロデイ攻撃で悪用されていると警告しました。重大度10.0のこの脆弱性により、攻撃者は管理者権限を取得しNETCONFを通じてネットワーク設定を不正操作したり、偽のピアデバイスを登録して内部侵入を可能にします。Ciscoは対応パッチを公開しましたが完全な回避策がないため、アクセス制限とログ監視を推奨。CISAも既知の悪用脆弱性に指定し、連邦機関に対し2026年5月17日までのパッチ適用を命令しています。
💭サイバーの犬による考察
全部を一度に見るより、まずピア認証の監視設定を確認すべきです。CVE-2026-20182が対象とするCatalyst SD-WAN Controllerは拠点間接続の基盤です。認証回避による不正なピア登録を防ぐための通信経路の分離状態が、現場が最初に確認すべき点になります。
🌐 ディープフェイクを超えて：AIによるなりすましへのアイデンティティ耐性構築
（Beyond deepfakes : Building identity resilience against AI impersonation）
https://informationsecuritybuzz.com/building-identity-resilience-against-ai-impersonation/
✔️要約
生成AIによる音声偽造や顔アニメーションが身代わり攻撃を容易にする中、従来の遠隔生体認証や視覚確認の信頼性が低下している。本記事では、単なる身元確認から「アイデンティティレジリエンス」への移行を提言。検証可能な資格情報（Verifiable Credentials）や暗号化アイデンティティ、デバイス内ローカル生体認証、零知識証明などを組み合わせることで、深偽技術への耐性を持つ強靭な信頼基盤を構築する必要がある。集中型生体データベースの削減や高リスク行動時のローカル暗号証明必須化など、3つのアーキテクチャシフトが鍵となる。
💭サイバーの犬による考察
これを既存の認証基盤に当てはめると、エンドポイントの生体データ保管場所が分かれ目になります。高リスク行動時のローカル暗号証明を論じる前に、まず社内端末が零知識証明や生体情報のローカル処理に対応しているかの実態把握が必要です。クラウド認証が主流の環境では、端末側の機能不足がそのまま認証基盤の脆弱性になります。
🌐 クラウド曝露リスクが急増する中、テナブルが「AI導入がガバナンス整備を追い越している」と警告
（Tenable warns AI adoption is outpacing governance as cloud exposure risks surge）
https://informationsecuritybuzz.com/tenable-warns-ai-adoption-cloud-exposure-risks/
✔️要約
Tenableが発表した「Cloud and AI Security Risk Report 2026」によると、企業はAIやクラウドの導入をセキュリティガバナンスより優先し、「AI暴露ギャップ」が拡大している。非人間ID（NHI）の過剰権限化や90日以上未使用の休眠権限が攻撃表面を拡大させており、18%の企業がAWS AIサービスが即時想定可能な過剰権限IAMロールを保有。サプライチェーンリスクも深刻で、82%の企業が既知かつ悪用される重大CVEを含むワークロードを実行。次回の主要インシデントはゼロデイではなく、管理不足のクラウド認証情報や依存関係に起因すると警鐘を鳴らす。
💭サイバーの犬による考察
網羅的に確認するより、まず非人間IDの権限範囲です。AIやクラウド基盤の導入が速いほど、サービスアカウントの過剰権限や休眠状態は目に見えにくくなります。インシデントが管理不足の認証情報に起因するとされるなら、社内環境で実際に稼働している自動化ツールの権限棚卸しを先に整理する判断が分かれ目になります。
🌐 研究、エージェント型AIを主要なサイバー脅威と位置付ける - Cybersecurity Insiders
（Research terms Agentic AI as a major Cyber Threat - Cybersecurity Insiders）
https://www.cybersecurity-insiders.com/research-terms-agentic-ai-as-a-major-cyber-threat/
✔️要約
Veeamの調査によると、企業は業務効率化のため自律型AI（Agentic AI）の導入を急速に進めていますが、多くの組織がAIに人間や管理者を上回る過度なアクセス権限を付与していることが明らかになりました。これにより、機密データやインフラへの不正アクセス、攻撃の悪用リスクが高まっています。AIの高速処理により正常と不正の区別が困難になる課題もあり、セキュリティチームの対応が追いつかない可能性があります。専門家は、最小権限の原則の適用、継続的モニタリング、監査証跡の維持など、強化されたガバナンス枠組みの構築を緊急に求めています。
💭サイバーの犬による考察
監視範囲を広く取るより、まず社内エージェントが実際にアクセスしているリソースの境界線です。業務効率化の名目でAIに過度な権限を渡す運用が、かえって侵入経路の自動化を招いています。正常業務と悪用操作の区別が追いつかない前に、権限範囲の切り分けが判断の分かれ目になります。
🌐 OpenAIの「信頼アクセスイニシアチブ」が欧州サイバーセキュリティを刷新 - VoIPレビュー
（OpenAI ’ s Trusted Access Initiative Revolutionizes European Cybersecurity - VoIP Review）
✔️要約
オープンAIは欧州向けに「Trusted Access」プログラムを開始し、Deutsche Telekomなど信頼できる企業に対し、高度なサイバーセキュリティAIモデル（OpenAI関連のAIモデル等）への制御されたアクセスを供与する。目的は脆弱性の検知・修正を加速させ、防御の効率化と回復力向上を図ること。欧州の厳格な規制やデータ主権の課題を背景に、外部AIモデルへの依存による集中リスクやガバナンスの重要性が指摘されている。本取り組みは、欧州における最先端AIの活用が「厳格な管理下での検証アクセス」という新たな標準を確立する兆しを示している。
💭サイバーの犬による考察
全社展開を考えるより、まずデータ保管域の境界線です。信頼企業向けと謳われても、AIモデルへの入力データが欧州圏内で完結するか、モデル更新に利用されるかは契約条項次第です。外部モデルに依存する以上、ガバナンスの起点はデータがどこに蓄積されるかの可視化になります。
おわりに
以上が今回のサイバーセキュリティ関連トピックスのまとめです。 気になる記事がありましたら「スキ」やフォローで応援いただけると嬉しいです！
