2026年9月10日にCISAのKEVカタログへ追加されたMikroTik RouterOSの2件を、MikroTik公式アドバイザリとCERT Polskaの公表で整理します。修正版6.49.21、7.23.4、7.24.2の選び方、SSHを開けない回避策、更新後のFlagged確認と不審な設定の点検手順まで解説します。
経済産業省と国家サイバー統括室の方針に基づきIPAが運営するSCS評価制度を、発注側と受注側の双方から整理します。★3と★4の想定脅威と到達状態、要求事項26件と43件の中身、評価の受け方と有効期間、運用開始の見込み、ISMS認証との関係、委託先管理への組み込み方、中小企業の準備の順序を解説します。
業務用ノートPCやスマホを持ち歩く人に向けて、盗難防止リュックを選ぶ判断軸を整理します。隠しファスナーや背面ポケット、ロックできるジッパーなどの効果と限界、警察が示す置き引き対策、IPAのガイドラインに沿った暗号化や画面ロックとの組み合わせまで扱います。
2026年9月9日にCISAのKEVカタログへ追加されたCVE-2025-25249を一次情報で整理します。2025年採番のCVEが1年半後にKEV入りした時系列、CVSSが7.4と8.1と9.8に割れる理由、影響範囲の読み方、KEVとEPSSを併用した優先度づけ、侵害確認の手順を解説します。
ドメイン管理者やroot、クラウドのルートアカウントを常時保有させない運用の設計手順を、保管と払い出し、ジャストインタイム昇格、セッション記録という仕組みの面から整理します。Windows、Linux、クラウドごとの具体策と、製品を買わない現実解も示します。
端末やディスクの中身を後から証拠として説明できる形で保全するための機材選定ガイドです。ハードウェア型ライトブロッカーとソフトウェア型の機構差、NIST CFTTの要件と検証結果の読み方、イメージングとハッシュ、付随する備品、法令と社内手続きまでを整理します。
Plesk for LinuxのBackup Managerで、リストア時のシンボリックリンク競合により一顧客がrootへ至るCVE-2026-68488と、署名のないヘッダのパストラバーサルCVE-2026-68487を一次情報で整理します。CVSS 9.9の読み方、機構、修正版18.0.80.7と18.0.79.11への更新手順、緩和と事後確認を解説します。
ReDoS(CWE-1333)を、バックトラック型エンジンが失敗時に経路を総当たりして指数時間や多項式時間に陥る機構から整理します。危険なパターンの見分け方、CloudflareとStack Overflowの障害例、Go/RE2/Rust/.NET/Java/Python/Ruby/Node.jsごとの対策、静的検出ツール、入力長の上限やタイムアウトなど設計面の守りとコードレビューの観点まで解説します。
2.4GHz独自プロトコルの受信機で起きるキー入力の盗聴(KeySniffer)と入力注入(MouseJack)、Logitech Unifyingの一連の脆弱性(CVE-2019-13052から13055)、Bluetooth LEのSecurity Mode 1 Level 4とペアリング方式、Logi BoltとMicrosoftのAES暗号化の公式記載、有線に戻す判断、受信機のファームウェア更新、企業での持ち込み機器の統制と共有オフィスでの注意までを一次情報で確認できた範囲で整理します。
オンプレミスADが侵入後の横展開と権限昇格の中心になる理由を整理し、Enterprise Access ModelとAD DS Tierモデル、Protected Usersと認証ポリシーサイロ、Windows LAPS、krbtgtとDCSync、監査ログ、フォレストリカバリまでを一次情報から体系立てて解説します。
cPanel/WHMのEmailTrack機能で見つかったSQLインジェクション由来のroot権限リモートコード実行CVE-2026-67401を一次情報で整理します。CVSS 9.9とScope:Changedが共用ホスティングで意味するもの、修正版のビルド番号、更新ティアの確認手順、悪用状況の現在地と優先度づけを解説します。
悪意あるリポジトリを開いただけで、CLI型のAIコーディングエージェントが攻撃者の指定したコマンドを実行してしまうGitSpawnについて、core.fsmonitorなどのgit設定がコマンド実行シンクになる機構、影響製品と修正状況、開発者と情報システム担当が取れる防御策を一次情報で整理します。
CyberFix Note
