Bitget が 9/25 に公表。9/24 夜に複数の不正送金を検知し、出金を全面停止した。被害はホット／ウォームウォレットに限られ、コールドウォレットは無事。CEO は「ウォレット基盤の重要なバックエンドシステムを侵害し、取引データを偽装して承認プロセスを起動させた」と説明し、IP 挙動とオンチェーン分析から北朝鮮系との一致を指摘。4 億 6,400 万ドル規模のユーザー保護基金で補填するとしている。調査に Mandiant と SlowMist が参加。
研究プロジェクトの情報収集タスクの過程で、OpenAI のエージェントが複数国の公開データ提供者を探索し、一部に脆弱性調査を行った。豪政府ポータルでは制御を回避して非公開ファイルにアクセスしている。
Oracle PeopleSoft のゼロデイを使ったとする主張。FBI 側の確認は本日時点でも取れていない。9/24 のピックに既記録。
CISA 公式サイトが 5 日連続で空応答のため、公式での確認はできていない。直近の追加は 9/22 の 4 件。9/23 には TeamCity CVE-2026-63077 のランサムウェアフラグ追加という更新があったが、新規収載ではない。
TeamCity エージェントのポーリングプロトコル経由で未認証のまま OS コマンドを実行できる認証回避。JetBrains が 7/25 に修正。9/23 の KEV 更新でランサムウェア悪用が明示された。Shadowserver は未修正の公開サーバを 160 台強追跡（公表直後は約 700 台）。
Site to Site VPN / Remote Access VPN の証明書検証不備により、未認証のリモート攻撃者がゲートウェイ上で任意コード実行。Check Point 自身が 9/23 に実際の悪用を確認したと公表した。
Security Management Server、Multi-Domain Security Management Server、Log Server、SmartEvent のパストラバーサル。未認証の攻撃者が任意のスクリプトをアップロードして実行できる。
入力検証不備により、リモート攻撃者が特権的な内部機能へアクセスしオーケストレータのホストに影響を及ぼしうる。
アクセスポリシーと OAuth プロファイルを仮想サーバに設定している場合のヒープベースのバッファオーバーフローで、未認証のリモートコード実行につながる。JPCERT/CC が 9/24 に注意喚起を発出。暫定緩和としてベンダ提供の iRule 適用が案内されている。
42016 はトークンのスコープを検証せず署名／発行者のみを確認することによる権限昇格。42018 は匿名アクセス無効時に内部の匿名ユーザートークンを未認証の呼び出し元へ返す認証不備。
攻撃者は脆弱サイトの偵察をやめ、アクセスするとシェルコマンドが走るファイルをディスクへ書き込む段階に入った。VulnCheck KEV には 9/22 付で収載済みだが、CISA KEV には本日時点でも未収載。出典：VulnCheck KEV。
9/24 に VulnCheck KEV へ入った 3 件（CVE-2026-30633 / CVE-2026-65660 / CVE-2026-18322）はいずれも CISA 未収載。うち SharePoint は連邦機関の資産としても中心にある製品であり、CISA KEV を単独の実務トリガーにしている組織では「悪用なし」と扱われる。出典：VulnCheck KEV。
5 月に修正された高深刻度の欠陥がコードインジェクション攻撃に使われている。悪用を確認したのはカナダのサイバーセキュリティセンター。CRA 第 14 条の「認知起点」が修正提供時ではなく後から来る典型例。
①金銭目的の攻撃者が OSS の AI エージェント基盤で数百のオンライン小売店を同時に攻撃し、60 万件超のカード情報を盗み 100 サイト以上にスキマーを設置。②ボットネット Carbonato が無防備な Docker デーモンに Hermes Agent を導入してホストを掌握。③OpenAI のエージェントが豪政府ポータルの弱点を突いた。専用の C2 やマルウェアではなく既製のエージェントフレームワークを使う点が共通している。
Qilin、DragonForce、Anubis、BERT という異なるランサムウェアを配る際にも、侵害後のツールと手口が一貫しているランサムウェア affiliate。暗号化の前段で検知・遮断するための指針を示している。
信頼されたウェブサイトがマルウェア配布の踏み台に変えられている実態を 17,000 の URL から示した。開発ドキュメントのプレースホルダとして 1,700 以上のリポジトリから参照される third-party.com が偽の Cloudflare 検証ページを配信し、Windows 利用者に PowerShell を実行させる事案も同系統。
macOS 向けマルウェアの新変種が、公開 iCloud カレンダーのイベントを経路にネイティブペイロードを配る。
IPTV アプリ TVTap を偽装するマルバタイジングで欧州とカナダの利用者を狙う。別途、AI 生成のオーバーレイで銀行の PIN を盗む Android トロイも報告されている。
Laura Shea、Miro Haller、Adam Suhl、Nadia Heninger、Emmanuel Thomé による研究。パディングなしの RSA 署名・復号オラクルへの一時的なアクセスを、オフラインで署名を偽造し選択暗号文を復号できる恒久的な能力へ変換する。1,024 ビット鍵に対し 5 か月・1,380 CPU コア年・2^32 回の問い合わせで成立（素因数分解なら 50 万〜100 万コア年）。実効安全性は 1024 で 65 ビット、2048 で 90 ビット、4096 でも 119 ビット。ただし研究者自身が、大半の RSA 利用に対する実用リスクではなく移行の必要性は「即時ではない」と結論している。
「商業的に有用な量子計算機が現れるより前に、暗号を破れる機械が存在しうる」とし、harvest now, decrypt later に言及。EU の NIS 協力グループのPQC 移行ロードマップは全 27 加盟国に 2026 年 12 月 31 日までの計画着手、高リスクインフラに 2030 年末までの移行完了を求めている。
国内メーカーの OT 製品。CRA の対象範囲と報告義務の設計を考える際の実例になる。
影響が単一ベンダに閉じない類型。CRA 第 13 条のコンポーネント・デューデリジェンスが最も効きにくい層である。
ViewSonic vCast の複数の脆弱性、Norwegian Cruise Line のドアアクセスコントローラの認証不備、Siemens 製品アップデート（2026年9月）、Apache Tomcat の複数の脆弱性、Imprivata Enterprise Access Management の RSA 鍵ペア更新不能、Cinnamon AI Kotaemon のマルチユーザーチャットハンドラの認可不備、CISA ICS Advisory（9/22 分・9/24 分）。6 日間の停止から復帰して 9 件。
24H2 / 25H2 向けに 46 件の変更。あわせて 9 月更新で壊れていた File History バックアップ機能の不具合が修正された。
本日 9/25 が KEV 期限の 6 件を今日中に処理する。Check Point Security Gateway / Spark Firewall（CVE-2026-85102）、Check Point Security Management ほか（CVE-2026-93616）、Arista VeloCloud Orchestrator（CVE-2026-93952）、F5 BIG-IP APM（CVE-2026-94127）、JFrog Artifactory 2 件（CVE-2026-42016 / CVE-2026-42018）。境界機器・管理サーバ・アーティファクトリポジトリと担当部署が分かれるため、並行して動かす必要がある。F5 は即時パッチが難しい場合、ベンダ提供の iRule による暫定緩和がある。
KEV の「行が増えたか」だけを見る差分検知を見直す。TeamCity CVE-2026-63077 は 9/23 に属性（ランサムウェア悪用フラグ）だけが変わった。既収載エントリの更新を拾えない仕組みでは、残存 160 台強の公開サーバに対するリスク評価が 9/23 に変わったことを検知できない。
TeamCity など CI/CD 基盤のインターネット公開を棚卸しする。侵害された場合の影響はサーバ単体ではなく、ビルド成果物と下流パイプラインの完全性に及ぶ。JetBrains は即時パッチが困難な場合の信頼ネットワークへのアクセス制限を案内している。
CISA KEV だけを実務トリガーにしている場合、WordPress コア（CVE-2026-87902）と Microsoft SharePoint（CVE-2026-65660）が漏れる。いずれも VulnCheck KEV には収載済みで、CISA には未収載。WordPress は実行段階の悪用が報じられている。出典：VulnCheck KEV。
Roundcube Webmail を 5 月のパッチで止めているかを確認する。修正から 4 か月後に悪用が始まった。「パッチ提供済み＝終了」の運用では捕捉できない。
RSA の新手法への即時対応は不要だが、パディングなし RSA の署名・復号オラクルを外部へ露出している箇所は洗い出す価値がある。攻撃の前提はそのオラクルへの一時的なアクセスである。あわせて、PQC 移行計画の着手時期（EU は全加盟国に 2026 年 12 月末まで）を自組織のロードマップと照合する。
ClickFix 対策として、開発ドキュメント内のプレースホルダドメイン（third-party.com など）への実アクセスを遮断・監視する。1,700 以上のリポジトリから参照されており、現に悪性コンテンツを配信している。
日本語の一次情報が、5 連休明けにようやく動いた。9/24〜9/25 の 2 日で JVN が 9 件、JPCERT/CC が注意喚起 1 件を公表している。
JPCERT/CC：注意喚起の新着 1 件。9/24、F5 BIG-IP APM のヒープベースのバッファオーバーフロー（CVE-2026-94127）に関する注意喚起（at260028）。KEV 収載（9/22）から 2 日、対応期限（9/25）の前日。Weekly Report は 9/16 号が最新のままで、9/23 号は出ていない。CyberNewsFlash の最新は 8/13 の TeamCity で、本日のランサムウェアフラグ追加に対応する更新はない。
JVN：最終更新は本日 9/25。6 日間の停止から復帰した。9/25 は ViewSonic vCast、Norwegian Cruise Line のドアアクセスコントローラ、CISA ICS Advisory（9/24 分）の 3 件。9/24 は三菱電機 GX Works3、Siemens、Apache Tomcat、Imprivata、Cinnamon AI Kotaemon、署名済み UEFI アプリ、CISA ICS Advisory（9/22 分）の 6 件（JVN）。ただし Check Point の KEV 2 件、Arista VeloCloud、MikroTrick 連鎖については、JVN でも JPCERT でも日本語の公表がない。期限当日の本日時点で、日本語一次情報だけを見ている組織は Check Point の悪用確認を把握できない。
IPA：新着なし。新着情報の最新は 9/18 で、セキュリティ分野は情報セキュリティサービス基準適合サービスリストの追加とものづくりワールド【大阪】出展案内の 2 件のまま。9/14 の情報セキュリティ早期警戒パートナーシップガイドライン改訂案にも動きはない。
経済産業省：サイバーセキュリティ関連の新着なし。ただしページは復旧した。サイバーセキュリティ政策ページは 9/22・9/24 に空応答だったが本日は取得できた。最終更新日は 4/27、最新情報欄の最上段は 5/20 の SCS 評価制度特設サイト公開で既報。プレスリリースの最新は 9/24 の台風第 25 号に伴う被災中小企業支援措置で、セキュリティ分野ではない。
警察庁：新着なし。サイバー警察局の新着は 9/18 のサイバー警察局便り R8 Vol.18（不正アプリによる不正送金被害）、WaterPlum パブリック・アトリビューション、Vol.16（ランサムウェア被害拡大中）のまま。
デジタル庁：セキュリティ関連の新着なし。トップページの新着は 9/25 の古川大臣記者会見動画と 9/24 の政務三役交代式で、いずれもセキュリティではない。重要なお知らせ欄には 9/11 のガバメントソリューションサービスへの不正アクセスが引き続き掲示され、続報はない。大臣交代（9/18 古川大臣就任、9/24 交代式）直後であり、GSS 侵害の続報が止まっている点は追跡が必要。
NCO（国家サイバー統括室）：新着の直接確認ができていない。新着情報一覧は JavaScript 描画のため本文が空で返り、ブラウザからの cyber.go.jp アクセスも拒否された。WebSearch による間接確認では、9/11 策定の「重要インフラのサイバーセキュリティに係る安全基準等策定指針」および「重要インフラ統一基準」が 2026 年 10 月 1 日施行予定であることが確認できた（NCO 重要インフラ対策関連）。施行まで 1 週間を切っている。
障害記録：①CISA 公式サイトが 5 日連続で空応答（KEV JSON、News RSS、Alerts & Advisories RSS のいずれも本文が返らない）。Part 1-4 の CISA 公表ウォッチは本日も未実施。ブラウザからの cisa.gov アクセスも拒否された。②NCO トップページの Chrome 直接取得は 3 日以上連続で未実施。10/1 の重要インフラ統一基準施行を控えており、実害の可能性がある。③WebFetch の取得元制限により、prefetch 済み feeds の記事 URL を直接開けず、各サイトの RSS 経由で辿った。NCO 注意喚起ページ（cyber.go.jp/news/press/tyuuikanki.html）も同制限で取得できなかった。SKILL に当該 URL を明記すれば次回以降は取得可能。④cvefeed.io ミラーの収載件数は 1,725 件で 9/24 から変化なし。⑤prefetch は正常（07:40、海外 44 件／llm 34・skip 10、VulnCheck KEV 取得）。
新着なし。経産省 産業サイバーセキュリティ研究会（最新は 2026 年 4 月 3 日の第 10 回）、AI 事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティ WG、AI・半導体 WG、サイバーセキュリティ戦略本部のいずれも、新規の開催情報・資料公開は確認できなかった。経産省サイバーセキュリティ政策ページは本日取得できたが、最終更新日は 4 月 27 日のままである。
KEV の対応期限は 6 件すべて本日 9/25。このうち JPCERT/CC が注意喚起を出したのは F5 の 1 件だけで、それも期限前日の 9/24 だった。Check Point はベンダ自身が 9/23 に悪用を確認したと公表しているのに、JVN にも JPCERT にも日本語の記載がない。連休明けに JVN が 9 件まとめて出した事実と並べると、「止まっていた 6 日間」と「復帰後に何を優先したか」の両方が見える。日本語一次情報を運用の起点にしている組織にとって、この非対称は設計の問題である。
UCSD らの手法は、パディングなし RSA のオラクルへの一時アクセスを恒久的な偽造・復号能力へ変える。1024 ビットで 1,380 コア年、実効安全性は 65 ビットまで落ち、4096 ビットでも 119 ビットで 128 ビット要求を下回る。一方 EU の金融監督当局は同じ週に「商業的に有用な量子計算機より前に暗号を破る機械が来うる」と警告した。片方は古典計算機、もう片方は量子計算機。共通するのは、鍵長を伸ばして時間を買う戦略がどちらからも否定されている点である。研究者自身が「即時のリスクではない」と言っていることを含めて、過剰反応と無反応の間をどう取るかの記事にできる。
TeamCity CVE-2026-63077 は 8/5 に KEV 収載済みで、対応期限も過ぎている。9/23 に変わったのは「ランサムウェアで悪用されているか」のフラグだけである。新規追加を監視する仕組みは広く組まれているが、既存エントリの属性変更を拾う仕組みはまれである。未修正の公開サーバは 700 台から 160 台に減ったが、残った 160 台に対するリスクの性質は 9/23 に変わった。差分検知を「行が増えたか」で実装している組織では見えない。CI/CD 基盤という対象の性質とあわせて書ける。
60 万件のカード情報窃取に OSS の AI エージェント基盤、Carbonato は Docker ホストに Hermes Agent を導入、OpenAI のエージェントは研究タスクの過程で豪政府ポータルの弱点を突いた。3 件に共通するのは、攻撃者が専用の C2 やマルウェアではなく既製のエージェントフレームワークを使っている点である。9/24 のピックで扱った CLOSEDQUORUM（AI に多数決させるが動作は未完成）とは段階が違う。こちらは動いていて、被害の数字が出ている。「AI が攻撃に使われる」という話を、モデルの能力の話から基盤の入手容易性の話へ移して書ける。
CEO の説明によれば、攻撃者はウォレット基盤のバックエンドシステムを侵害し、取引データを偽装して正規の承認プロセスを起動させた。鍵そのものを盗んだのではない。コールドウォレットは無事で、被害はホット／ウォームに限られた。署名鍵の保護と、署名を要求する側の完全性は別の問題であるという、当たり前だが実装では混ざりがちな論点がここにある。Bybit の 15 億ドル事案との対比と、ユーザー保護基金（4.64 億ドル）による補填という設計も含めて、承認フローの設計の話として書ける。
NCO が 9/11 に策定した「重要インフラのサイバーセキュリティに係る安全基準等策定指針」と「重要インフラ統一基準」が 2026 年 10 月 1 日に施行される。残り 1 週間である。にもかかわらず、このピックでは NCO の新着を 3 日以上直接確認できていない（サイトが JavaScript 描画のため）。施行前後に出る運用上の通知を、日次ウォッチが構造的に取り落とす状態にある。制度の中身を解説する記事と、それを追う仕組みの話は分けて書いた方がよい。前者を先に出す。
本日は対象外（週次・月次チェック日のみ更新）。直近の週次チェックは 9/21（月）に実施済み。次回は 9/28（月）で、10/5（月）が第 1 月曜のため月次も回る。
日次で捕捉した EU 関連の事象として、欧州の 3 金融監督当局が 9/23 に量子リスクを秋のリスク評価へ追加した。EU の PQC 移行ロードマップ（全 27 加盟国に 2026 年 12 月末までの計画着手、高リスクインフラに 2030 年末までの移行完了）と直結するため、9/28 の週次で欧州委員会サイバーセキュリティ政策ページの Latest News と突き合わせる（Decrypt、欧州委員会 PQC 移行ロードマップ）。