セキュリティ

WebKitやカーネル、ショートカットなどで確認された脆弱性を修正。

IPAは「情報セキュリティ白書2025」のPDF版を公開した。各種攻撃の活発化や地政学リスク、国の対策など、セキュリティに関する動きをさまざまな視点から取り上げている。

兵庫県尼崎市に本社を置く総合物流企業、関通。2024年9月にランサムウェア感染被害に遭い、約50日間にわたって事業が停止、被害額は17億円にも上ったという。2025年7月末に開かれたセミナーで、関通の代表取締役社長である達城久裕氏が、ランサムウェア攻撃被害に遭った当時の状況を振り返り、被害の教訓を紹介した。

XSSは最新のフレームワークやクラウドネイティブアーキテクチャで構築されたアプリケーションでも発見されている。

日本プルーフポイントは世界16カ国、1600人のCISOを対象とした調査レポート「2025 Voice of the CISO」の日本語版を発表した。日本のCISOの69％が今後1年以内に重大なサイバー攻撃を受けると予想。サイバー攻撃が巧妙化する一方、CISOは内部不正への対応、生成AIのガバナンス対応に直面しており、極度のプレッシャーにさらされている状況が浮き彫りとなっている。

総数は過去最多の1027件に達し、不正アクセスの増加が顕著。

2025年5月、「ITmedia Security Week 2025 春」で、国立研究開発法人 情報通信研究機構（NICT） サイバーセキュリティ研究所 ナショナルサイバートレーニングセンター センター長の園田道夫氏が「いま、そこにある（サイバーの）危機」と題して登壇した。

Microsoftは、2025年9月の月例セキュリティ更新プログラムを公開した。WindowsやOffice、Azureなど広範囲の製品に影響し、認証不要で悪用可能な深刻度「緊急」の脆弱性も含まれる。

フォーティネットジャパンは、セキュリティ運用の課題に関する調査結果を発表した。約3割のセキュリティ担当者が「人に依存した運用」に限界を感じていることが明らかになった。

攻撃者は生成AIを活用して、ごく自然な日本語でフィッシング攻撃を仕掛けてきている。

Node.jsのパッケージマネジャー「npm」を通じて、18種類の人気npmパッケージに悪意のあるコードが埋め込まれ公開されたという。これらのパッケージは合計で、毎週20億回以上ダウンロードされている。

IPAは、「企業における営業秘密管理に関する実態調査2024」の報告書を公開した。それによると「過去5年以内で自社の営業秘密が漏えいしたことを認識している」と回答した企業の割合が急増していた。

フィッシング報告件数は22万6433件。前月比3万3563件（17.4％）。

Microsoftの「Microsoft Office 2016」と「Microsoft Office 2019」のサポート終了が2025年10月に迫っている。セキュリティ更新プログラムが提供されなくなるため、同社は個人利用者や企業管理者に早期の移行を求めている。

継続的デリバリーツール「Argo CD」において、プロジェクト権限を持つAPIトークン経由でリポジトリ認証情報が漏えいする脆弱性（CVE-2025-55190）が報告された。CVSSスコアは9.9（Critical）で、修正版へのアップデートが推奨されている。

米国CISAは、SBOMの概要や重要性をまとめ、各国の共通認識を整理した国際ガイダンスを公開した。日本や米国を含む15カ国が共同署名しており、ソフトウェア開発から運用、調達に関わるステークホルダー、政府機関向けに、SBOMの概要やメリットを明らかにしている。

巧妙化する迷惑メールへの対策として、2024年からGmailに導入され、総務省も対応を要請するDMARC設定。メール配信事業者の導入実態が明らかになった。

ESETは、生成AIを利用して攻撃を実行するランサムウェア「PromptLock」を発見した。リアルタイムで攻撃スクリプトを生成して自律的に対象を判別して攻撃を実行する手法を取っており、サイバー攻撃の転換点を示している。

総務省が「フィッシングメール対策の強化について（要請）」という文書を公開した。さらなる対策を求める背景とは。

Googleの脅威インテリジェンスグループとMandiantは共同で、Salesforceインスタンスからの大規模なデータ窃取キャンペーンを注意喚起するセキュリティアドバイザリーを発表した。Salesforceを含むサードパーティープラットフォームに「Saleloft Drift」を連携していた全ての企業に対して注意を喚起している。

企業のデータ侵害を取り巻く状況はどう変化しているのか。日本IBMは2025年9月2日、年次調査「Cost of a Data Breach Report 2025」の日本語版を発表し、同日開かれた記者説明会で調査結果を解説した。

Cloudflareは、同社のセキュリティ製品「Cloudflare One」に、生成AIの利用を監視したり制御したりする機能を追加した。生成AIの導入に伴うリスクを管理し、安全利用につなげられるという。

EY（Ernst & Young）が2025年8月21日に発表した「EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2025」に見る「CISOの立ち位置」。

GitHubは2025年8月25日、公式ブログで、「Visual Studio Code」の「GitHub Copilot Chat」拡張機能のエージェントモードに見つかったセキュリティ脆弱性について解説した。

パロアルトは、セキュリティプラットフォーム「Cortex Cloud」にASPM（アプリケーションセキュリティ態勢管理）モジュールを追加した。ASPMは企業のアプリケーションセキュリテイ対策に何をもたらすのか。

Microsoftは2025年8月5日、「Project Ire」を発表した。これはソフトウェアを分析し、マルウェアかどうかを判定する自律型AIエージェントのプロトタイプだ。

GitHubは、組織内のリポジトリに含まれるAPIキーやパスワードなどのシークレット情報の漏えい状況を可視化する新機能「シークレットリスクアセスメント」の提供を開始した。

アシュアードは、約4割のSaaSがAIを利用し、2割は預託データをAI学習に活用しているとの調査結果を発表した。データ利用のルールやポリシーが不明確なサービスも散見されるという。

Appleは2025年8月20日にiOS 18.6.2とiPadOS 18.6.2を公開し、ImageIOフレームワークの深刻な脆弱性「CVE-2025-43300」を修正した。

DXを推進しつつセキュリティも確保することは簡単ではない。2つの取り組みを体系的に支援する手引きとして、クラウドエースは「DX推進におけるセキュリティ対策ロードマップ実践ガイド」を無料公開した。

マイクロセグメンテーションはランサムウェア攻撃対策として注目され、急成長している。ITRの予測では2028年度に75億円超に拡大しする見通しだ。