パッチ管理
このタグの記事 9 件
DIVDへの不正アクセス（Zammadの未知の脆弱性2件）：漏れた情報と、Zammadを運用する組織がやること
オランダの非営利団体DIVD（Dutch Institute for Vulnerability Disclosure）は2026年9月24日に侵入されたことを公表した。その後のケースページでは、問い合わせ管理ソフトZammadの未知の脆弱性2件（CVE-2026-102489、CVE-2026-102490）が悪用されたと説明している。DIVDは侵入後の操作を、次の手を自分で決めて動くAIエージェントによるものと分析している。ボランティアのDIVDメールアドレスの持ち出しは確定し、連絡先も持ち出された可能性がある。CSIRTの問い合わせ管理システムからは一部の情報が持ち出され、脆弱なシステムのIPアドレスを含むやり取りが含まれ得る。米CISAは10月2日に2件をKEVに追加した。当サイトの結論：Zammadを自社運用する組織は開発元が10月15日に勧めた7.2.2への更新を進める。6.5から直ちに移行できない場合の6.5.5はCVE-2026-102489への緊急修正で、保守期間の延長ではない。DIVDとやり取りした組織は、指摘された脆弱性の修正を急ぎ、DIVDを装う連絡に注意する。
つるぎ町立半田病院 ランサムウェア事件（2021）— VPNの未パッチCVEと、本番と一緒に暗号化されたバックアップ
侵入口は、外部公開のVPN装置の既知脆弱性（CVE-2018-13379）を未パッチで放置し、流出済みの認証情報が使えた点だと有識者会議報告書は指摘している。加えて、短いパスワード・アカウントロックなし・利用者が管理者権限という内部の弱さで、院内の他の端末へ被害を広げる（横展開）のが容易だった。決定的だったのは、本番とバックアップが同一ネットワークにあり両方が暗号化されたこと。バックアップが『隔離・オフライン』でなければ、いざというとき復旧の頼りにならない。電子カルテ復旧まで約2か月。あなたの環境では、外部公開VPNの迅速な更新、流出認証情報の失効と使い回し廃止、そして3-2-1＋オフラインのバックアップで守る。
カプコン ランサムウェア事件（2020）— 旧型VPN装置はなぜ突かれたか、二重恐喝への防御
侵入口は、新型に置き換えたのに廃止されず北米子会社に残っていた『旧型の予備VPN装置』。そこから社内ネットに侵入され、データを窃取された後にランサムウェアで暗号化された（二重恐喝）。最大約39万人分の個人情報が漏洩の可能性（カード情報は含まず）。カプコンは支払いを拒否し、バックアップから復旧、透明に開示した。あなたの環境では、使わない機器を廃止し、境界機器をパッチし、窃取と暗号化の両面（セグメント化・検知・バックアップ）で備える。
WordPressのセキュリティ対策 — 本番ハードニング実務リファレンス
WordPressは世界最大シェアのため最も狙われるが、侵入経路はほぼ決まっている（プラグイン/テーマの脆弱性・放置更新・弱い管理者・露出した管理画面）。本ページは実務リファレンス：(1)優先度つきハードニング・チェックリスト(P0〜P2) (2)領域別の具体対策＝更新の自動化・プラグイン/テーマ最小化・強い管理者＋2FA・管理画面の露出削減(xmlrpc/REST列挙/ファイル編集)・wp-configと秘密・ファイル権限・HTTPS/バックアップ・PHP/依存の更新 (3)自己検証チェック。攻撃手順は扱わず防御と点検に限定。
マルウェアとは：種類・感染経路・基本の防御
マルウェア（Malicious Software）は、端末やデータに害を与える目的で作られた不正なソフトの総称。ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア・ボットはすべてこの一部。種類ごとに見た目は違っても、守り方は共通で3つ。侵入を防ぐ（更新・不審な添付/マクロを開かない・MFA）／検知する（EDR・アンチウイルス）／戻せるようにする（バックアップ）。種類の暗記より、この共通の守り方を固めることが大切。
ランサムウェアとは：仕組み・侵入経路・身代金を払わずに済むための防御
ランサムウェアは、ファイルを暗号化して『戻したければ身代金を払え』と要求するマルウェア。今は暗号化に加えてデータを盗み『払わなければ暴露する』と脅す二重恐喝が主流で、復号できても情報漏えいは止まらない。主な侵入口はフィッシング・弱い/MFAなしのVPN/RDP・未修正の公開脆弱性。最重要の防御は『オフライン/改ざん不能なバックアップ＋復元テスト』で、払わずに戻せる状態を作ること。侵入対策（MFA・パッチ）と被害範囲（最小権限・分離）も併せて固める。
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
Windows 10をまだ使っている人へ：サポート終了後のセキュリティリスク
通常のWindows 10 Home/Pro系22H2のサポートは2025年10月14日に終了。2026年10月16日確認の公式案内では、個人向けESUは2027年10月12日までで、登録済みの場合は自動継続されます。端末の登録・更新状態と地域別条件を確認し、更新が続くOSへの移行を優先してください。LTSC/IoTや企業向けESUは別制度です。
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 9.8）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。