［脆弱性］
■Node.JS向けライブラリ「systeminformation」に脆弱性
https://www.security-next.com/149697
ハードウェアやOSに関する情報を取得するためのNode.JS向けライブラリ「systeminformation」に深刻な脆弱性が明らかとなった。
■「BIND 9」に重要な脆弱性、修正版がリリース
https://thinkit.co.jp/news/bn/22423
■「Drupal」にキャッシュ汚染の脆弱性 – 権限昇格のおそれ
https://www.security-next.com/149652
「Drupal」にキャッシュポイズニングの脆弱性が明らかとなった。セキュリティアップデートが提供されている。
■WP向けeコマースプラグイン「Welcart e-Commerce」に複数の脆弱性
https://www.security-next.com/149699
コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「Welcart
e-Commerce」に8件の脆弱性が明らかとなった。アップデートにて修正されている。
［インシデント・情報漏洩］
■シェアオフィスサイトが改ざん、顧客情報流出なし – 南海電鉄
https://www.security-next.com/149612
南海電気鉄道は、同社が運営するシェアオフィスのウェブサイトがサイバー攻撃を受けた問題で、顧客情報の流出はなかったとする調査結果を取りまとめた。
■【デジ庁行政指導】欠いた個人情報への意識
https://www.kochinews.co.jp/article/detail/683411
■マイナ問題、対応遅い デジ庁に異例の行政指導
https://ascii.jp/limit/group/ida/elem/000/004/158/4158494/
デジタル庁が、個人情報保護委員会から行政指導を受けた。2023年9月20日、公金を受け取る口座の情報が別人のマイナンバーに誤って登録されるミスが相次いだ問題で、個人情報保護委員会がデジタル庁に改善を求めた。
［脅威］
■新ステルス型ユニバーサルルートキットローダの追跡
https://www.trendmicro.com/ja_jp/research/23/i/hunting-for-a-new-stealthy-universal-rootkit-loader.html
本稿では、署名されたルートキットの一部に関する調査結果について解説します。署名されたルートキットのメインバイナリは、ユニバーサルローダとして機能し、攻撃者が第二段階の署名されていないカーネルモジュールを直接ロードすることを可能とします。
■Snatchランサムウェア、セーフモードでセキュリティ対策を回避
https://www.security-next.com/149608
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-263a
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）と米連邦捜査局（FBI）は、ランサムウェア「Snatch」に関するセキュリティアドバイザリを公開し、注意喚起を行った。
■日本語SEOスパムを見つけて修正する10の手順
https://news.mynavi.jp/techplus/article/20230925-2776599/
Sucuriはこのほど、「How to Find & Fix Japanese SEO Spam in 10 Steps｜Sucuri Blog」において、Webサイトから日本語のSEOスパムを見つける方法とこれを修正する10の手順について伝えた。
■National Student Clearinghouse data breach impacts 890 schools
https://www.bleepingcomputer.com/news/security/national-student-clearinghouse-data-breach-impacts-890-schools/
U.S. educational nonprofit National Student Clearinghouse has disclosed a data breach affecting 890 schools using its services across the United States.
［セキュリティ関連］
■Microsoft、Windows10用の古い更新プログラムを大量削除。Microsoft Updateカタログからダウンロードできなくなる
https://www.nichepcgamer.com/archives/microsoft-has-removed-a-lot-of-old-security-updates-for-windows10.html
Microsoftは、Windows10用の古いセキュリティ更新プログラムを大量に削除しました。古いセキュリティ更新プログラムのKBページには「2023年9月12日時点で、このKBは、Windows Update、Microsoft Updateカタログ、その他のリリースチャネルからは入手できなくなりました」といった注意書きが追加されて、ステータスが『No longer available』(使用できなくなりました)へと変更されました。
■米カジノ運営元が「ランサムウェア」被害 20億円の身代金を支払って“しまった”理由
https://news.nicovideo.jp/watch/nw13452609
■GitHubがパスキーの正式対応を発表、すべてのユーザーが利用可能
https://news.mynavi.jp/techplus/article/20230924-2777045/
GitHubは9月21日(米国時間)、「Passkeys are generally available – The GitHub Blog」において、すべてのGitHubユーザーはパスワードなしでサインインするためのパスキー(Passkeys)を登録できるようになったと伝えた。
■A Guide to Understanding the Three CMMC Levels
https://securityboulevard.com/2023/09/a-guide-to-understanding-the-three-cmmc-levels/
■今週の気になるセキュリティニュース – Issue #137
https://negi.hatenablog.com/entry/2023/09/24/222201
■iOS 17アップデートで一部ユーザーの「プライバシー設定」が勝手に変更
https://forbesjapan.com/articles/detail/66225
一部のiPhoneユーザーが、iOS 17にアップデートした後、通知も同意を得ることもなく、プライバシー設定が変更されていたことを発見した。以下に詳細を述べる。
■令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について 警察庁
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R05_kami_cyber_jousei.pdf
［セミナー/研修/製品紹介等］
■EDRで検知できないID脅威にITDRで対抗 ログイン時等の認証のふるまい監視が対応の鍵に
https://it.impress.co.jp/articles/-/25333
The Department of Defense created the Cybersecurity Maturity Model Certification (CMMC) framework to standardize cybersecurity practices throughout the Defense Industrial Base (DIB). CMMC is designed to increase defense contractors’ accountability and compliance with existing DoD regulations.
■SCSK、Google Cloudが提供するSIEMを活用したセキュリティサービス提供
https://news.mynavi.jp/techplus/article/20230922-2776863/
SCSKは9月22日、膨大なイベントやアラートを超高速で分析することにより、多様化、高度化、巧妙化するサイバー攻撃を検知する「Chronicle SIEM（Google Cloud が提供するセキュリティ情報イベント管理サービス）」を活用したセキュリティサービスの提供を開始することを発表した。