カテゴリー: IT

週次サイバーセキュリティ動向（直近7日）

by 塚井海地 / 0件のコメント
日付見出し要点（1行）出典URL
2026/02/13CISA Warns of Exploited SolarWinds, Notepad++, Microsoft VulnerabilitiesCISA KEVにSolarWinds WHDやNotepad++更新機構など複数の“実被害前提”項目が追加され、即時対処が必要。https://www.securityweek.com/cisa-warns-of-exploited-solarwinds-notepad-microsoft-vulnerabilities/
2026/02/13BeyondTrust Vulnerability Targeted by Hackers Within 24 Hours of PoC ReleaseBeyondTrust RS/PRAのCVE-2026-1731（CVSS 9.9）にPoC公開後すぐ攻撃試行が観測され、公開面の棚卸しが最優先。https://www.securityweek.com/beyondtrust-vulnerability-targeted-by-hackers-within-24-hours-of-poc-release/
2026/02/11Microsoft Patches 59 Vulnerabilities Including Six Actively Exploited Zero-DaysMicrosoftが“悪用中”ゼロデイ6件を含む修正を公開、Windows運用は月例より前倒しの緊急適用判断が必要。https://thehackernews.com/2026/02/microsoft-patches-59-vulnerabilities.html
2026/02/10Patch Tuesday, February 2026 EditionMicrosoft月例で50件超＋悪用中ゼロデイ6件、WSUS/Intuneの段階展開でも“先に止血”する優先順位付けが鍵。https://krebsonsecurity.com/2026/02/patch-tuesday-february-2026-edition/
2026/02/12Apple Patches iOS Zero-Day Exploited in ‘Extremely Sophisticated Attack’AppleがdyldのゼロデイCVE-2026-20700を修正、MDM配下端末はOS更新の強制タイミング設計が重要。https://www.securityweek.com/apple-patches-ios-zero-day-exploited-in-extremely-sophisticated-attack/
2026/02/08SolarWinds Web Help Desk Exploited for RCE in Multi-Stage Attacks on Exposed ServersSolarWinds WHDが侵入起点にされ、正規ツール（トンネル/会議/フォレンジック）悪用で居座る“運用者泣かせ”が進行。https://thehackernews.com/2026/02/solarwinds-web-help-desk-exploited-for.html
2026/02/12Uncovering the Sophisticated Phishing Campaign Bypassing M365 MFAOAuth 2.0 Device Authorization Grantを悪用しM365のMFAを迂回するフィッシングが確認され、条件付きアクセスの見直しが必要。https://blog.knowbe4.com/uncovering-the-sophisticated-phishing-campaign-bypassing-m365-mfa
2026/02/09New Zero-Click Flaw in Claude Desktop Extensions (DXT) Could Allow RCE“ゼロクリック”でRCEに至り得る拡張機構の欠陥が報告され、AI/拡張の導入基準（許可制・署名・隔離）が焦点。https://www.infosecurity-magazine.com/news/zeroclick-flaw-claude-dxt/
2026/02/10Warlock Ransomware Breaches SmarterTools Through Unpatched SmarterMail Server未パッチのSmarterMailが侵害起点となりランサムに波及、インターネット公開資産のSLA管理が直撃。https://thehackernews.com/2026/02/warlock-ransomware-breaches.html
2026/02/13Hackers turn bossware against the bosses監視系“業務ソフト”とRMMが攻撃に転用され、正規ツールの棚卸しと実行制御（許可リスト）が有効。https://www.csoonline.com/article/4131789/hackers-turn-bossware-against-the-bosses.html
2026/02/10Chipmaker Patch Tuesday: Over 80 Vulnerabilities Addressed by Intel and AMDCPU/チップセット系の修正が大量に出ており、サーバ更改計画と保守窓の設計（再起動前提）が必要。https://www.securityweek.com/chipmaker-patch-tuesday-over-80-vulnerabilities-addressed-by-intel-and-amd/
2026/02/13Chrome 145 Patches 11 Vulnerabilitiesブラウザは攻撃面の中心であり、安定版更新を“任意”から“必須”に格上げ（期限設定）すべき。https://www.securityweek.com/chrome-145-patches-11-vulnerabilities/
2026/02/05NICTER観測レポート2025の公開国内観測に基づく攻撃関連通信の実態が公開され、境界防御だけでなく探索行動の常態化を前提に設計が必要。https://www.nict.go.jp/press/2026/02/05-1.html
2026/02/04OWASP Vendor Evaluation Criteria for AI Red Teaming Providers & Tooling v1.0AIレッドチーミングの調達基準が整理され、評価軸（範囲・測定・再現性）を契約要件に落とし込める。https://genai.owasp.org/resource/owasp-vendor-evaluation-criteria-for-ai-red-teaming-providers-tooling-v1-0/

今週のサイバーセキュリティ動向（対象期間：2026/02/01–02/07 JST）

by 塚井海地 / 0件のコメント
日付(JST)見出し要点（1行）出典URL
2026/02/06n8n に6件の深刻な欠陥（最大CVSS 9.4）ワークフロー自動化ツールでRCE/コマンド注入等（CVE-2026-21893,-25049,-25052,-25053,-25051, 2025-61917）；即時アップグレード推奨https://www.csoonline.com/article/4128998/six-more-vulnerabilities-found-in-n8n-automation-platform.html
2026/02/06Google Looker にクロステナントRCE級の欠陥「LookOut」問題でインスタンス完全侵害・データ流出が可能にhttps://www.securityweek.com/vulnerabilities-allowed-full-compromise-of-google-looker-instances/
2026/02/05CISA：KEV（既知悪用）に2件追加連邦機関に是正期限を課す新規KEV追加。国内でも優先パッチ対象の指標https://www.cisa.gov/news-events/alerts/2026/02/05/cisa-adds-two-known-exploited-vulnerabilities-catalog
2026/02/03CISA：KEVに4件追加実攻撃確認済みの脆弱性を追加登録https://www.cisa.gov/news-events/alerts/2026/02/03/cisa-adds-four-known-exploited-vulnerabilities-catalog
2026/02/06Cisco／F5 が高深刻度を修正DoSやコード実行につながる欠陥を各社が同時期に解消https://www.securityweek.com/cisco-f5-patch-high-severity-vulnerabilities/
2026/02/05SmarterMail ゼロデイ（CVE-2026-24423）悪用ランサム攻撃で実際に悪用、CISA KEV入り・期限設定https://thehackernews.com/2026/01/smartermail-auth-bypass-exploited-in.html
2026/02/04Notepad++ 更新配布の非正規化サプライチェーン侵害で悪性ダウンロード誘導の恐れhttps://www.darkreading.com/application-security/chinese-hackers-hijack-notepad-updates-6-months
2026/02/04Microsoft Office の欠陥を数日で武器化国家支援系グループが迅速にエクスプロイト化https://www.darkreading.com/cyberattacks-data-breaches/russian-hackers-weaponize-office-bug-within-days
2026/02/04Dropbox ログイン収集フィッシング偽PDF誘導で企業アカウントを詐取https://www.darkreading.com/cloud-security/attackers-harvest-dropbox-logins-fake-pdf-lures
2026/02/06エンドツーエンド暗号化の既定有効化を要求業界にE2E標準化の圧力https://www.darkreading.com/cloud-security/encrypt-it-already-pushes-big-tech-e2e-encryption
2026/02/07NVD：MediaTek／Samsung等で高スコア CVE最新“recent”にモバイル系の高CVSSが連続登録https://nvd.nist.gov/vuln/search/results?isCpeNameSearch=false&pub_date_start_month=2&pub_date_start_day=7&pub_date_start_year=2026&pub_date_end_month=2&pub_date_end_day=7&pub_date_end_year=2026
2026/02/02SLSH：暴露＋強請の新潮流（Krebs）データ公開と恐喝を組み合わせた“晒し上げ”戦術https://krebsonsecurity.com/2026/02/please-dont-feed-the-scattered-lapsus-shiny-hunters/
2026/02/07NICTER：観測上位ポートにTelnet/HTTP等国内ダークネット観測の直近統計https://www.nicter.jp/top10
2026/02/05週次フィッシング動向（KnowBe4）LinkedIn風誘導や偽請求書パターンに注意https://blog.knowbe4.com/

2026年からの「〇〇年問題」

by 塚井海地

2027年問題

蛍光灯の「2027年末までに製造・輸出入フェーズアウト」（水銀規制）

水銀条約（Minamata Convention）の決定により、一般照明用を含む蛍光灯は**2027年末までに製造・輸出入が段階的に廃止（全面フェーズアウト）**される方向が明確化されています。日本政府（経産省）もCOP5結果として「一般照明用蛍光灯は2027年末までに全面的に段階的廃止」と公表しています。

  • 影響：公共施設・工場・オフィスのLED更新需要集中、在庫枯渇、工事人員の不足、保守部材の調達難
  • 実務対応：照明資産の棚卸し→更新計画（年度分散）→見積り確保→施工体制の先押さえ

続きを読む（一次情報）

2030年問題

人口・労働力制約の「2030」：高齢化の進行と供給制約の顕在化

「2030年問題」は日本では主に、少子高齢化により労働力供給・社会保障・地域サービス維持の制約が目に見える形で強まる、という意味で使われます。政府白書・推計は、2030年前後を含む長期の人口動態変化を明確に示しています。

  • 影響：人材獲得難（介護・物流・建設等）、サービス提供の持続性、自治体財政・運営負荷
  • 実務対応：省人化投資（DX/自動化）、業務標準化、外部人材・リスキリング、拠点再設計

続きを読む（一次情報）

2036年問題

NTP（時刻同期）のロールオーバー（実装依存）

ネットワーク時刻同期NTPは、仕様上の表現や実装によって2036年のロールオーバーが論点になります（※全てが必ず壊れるわけではなく、機器・OS・実装の条件次第）。

  • 影響：ログ時系列の破綻、認証・期限判定、監査証跡の信頼性低下
  • 実務対応：時刻同期方式、対象機器（特に組込み・古いネットワーク機器）の棚卸し、更新ロードマップ化

続きを読む（一次情報）

2038年問題（Y2038 / Unix time）

32bit time_t のオーバーフロー（標準側も「未解決」を明記）

Unix系の時間表現 time_t を32bit符号付きで実装している環境では、2038年に表現限界が発生します。POSIX（The Open Groupの公開仕様）でも、32bit実装は2038年に失敗し得ること、またPOSIX自体はこの問題を扱っていないことが明記されています。

  • 影響：組込み、古いミドルウェア、長期稼働機器の日時処理、料金計算、予約・期限管理
  • 実務対応：64bit化（OS/ABI/アプリ）、長期保守機器の更改計画、検証環境での未来日付テスト

続きを読む（一次情報）

2040年問題

社会保障・医療介護の需給ギャップ（政府の将来見通し資料）

2040年を見据えた社会保障の将来見通しは、内閣官房・内閣府・財務省・厚労省の素材として整理されています。医療・介護の需要構造と、担い手・費用の見通しが「議論の素材」として提示されています。

  • 影響：介護・医療提供体制の再設計、地域間格差、自治体オペレーション負荷
  • 実務対応：地域包括ケアの実装、データ連携、予防・重症化防止、業務プロセス再構築

続きを読む（一次情報）

2050年問題

2050年カーボンニュートラル（政策目標年）＋長期戦略

2050は気候政策での基準年として扱われ、日本政府は首相官邸で「2050年ネットゼロ」を宣言し、環境省も施策ポータルを整備しています。国際的にはUNFCCC（パリ協定の枠組み）で長期戦略（LT-LEDS）が整理されています。

  • 影響：エネルギー調達、設備投資、サプライチェーン要請、開示・監査対応
  • 実務対応：排出量可視化（Scope整理）、移行計画、設備更新・調達基準の改定

続きを読む（一次情報）

久しぶりにsuno AI 使ったら

by 塚井海地

久しぶりに suno AI に音楽生成してもらったら良い感じの歌が出て来た😆

歌詞をsoraにコピペしてビジュアル化しているうちに…

なんだか女性カメラマン？！がﾀﾋんで会えなくなった男性との記憶を辿るため四季に会いに行く、みたいな雰囲気になって来たのでミュージックビデオ風に編集してみた☀️

—

Music Video by Kaichi Tsukai

Visuals: AI-generated with Sora (OpenAI)
Music: AI-generated with Suno AI (https://suno.com/s/SkzpkOUwGCRKvGzo)
Direction / Edit / Composition: Kaichi Tsukai
Edited in DaVinci Resolve Studio 20 (Blackmagic Design)

© 2026 Kaichi Tsukai

準委任（SES）なのに「現場指揮」が起きる――その瞬間、偽装請負・違法派遣に近づく（公式資料で整理）

by 塚井海地 / 0件のコメント

IT業界の準委任（いわゆるSES）案件で、客先の担当者が常駐エンジニア個人に対して「今日はこれ」「順番はこう」「ここまで今日中」と日々の指揮を出してしまう――この構図は現場で繰り返し起きています。

しかし、行政（厚生労働省等）の整理は一貫しており、契約書の名称が準委任／請負であっても、実態として“発注者（派遣先）が労働者に指揮命令している”なら労働者派遣に該当し得る、という考え方です。

（出典：厚生労働省「労働者派遣・請負を適正に行うためのガイド」https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000077386_00020.html  ）

この記事では、**「どこからがアウトか」**を、厚生労働省・労働局等の一次資料を中心に、現場運用の言葉へ落として整理します。

※本稿は一般的な情報提供で、個別案件の適法性判断や法的助言ではありません。迷った場合は後述の窓口で相談してください。

1. まず結論：境界線は「成果物」ではなく「指揮命令」の有無

準委任・請負（業務委託）は、基本的に 受託側が自らの裁量で業務を遂行します。

対して労働者派遣は、派遣先の指揮命令を受けて労働に従事させるものです。

（出典：厚生労働省「労働者派遣事業について」https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/roudoushahakennjigyou.html  ）

そして、厚生労働省は **「契約形式ではなく実態」**で判断すると明示しています。

（出典：厚生労働省PDF「労働者派遣と請負の区分の必要性」https://www.mhlw.go.jp/bunya/koyou/dl/tekisei_0002.pdf  ）

2. 「偽装請負」とは何か――準委任も含めて起き得る

東京労働局は、偽装請負を次のように説明しています。

書類上は請負（委任・準委任・委託等を含む）でも、実態が労働者派遣であるもので、違法になり得る。

（出典：東京労働局「偽装請負について」https://jsite.mhlw.go.jp/tokyo-roudoukyoku/hourei_seido_tetsuzuki/roudousha_haken/001.html  ）

さらに厚生労働省は、「偽装請負」という言葉の中に

3. 現場で「アウト」に寄りやすい具体例（ITで頻発）

境界線で一番誤解されやすいのが、ここです。

要点は、発注者が“成果”ではなく“人”を動かしているか。

アウト寄り（偽装請負／違法派遣に近づく動き）

次が重なるほど危険度が上がります。

  • 発注者が、常駐者“個人”に直接、タスクの割り振り・順序・優先度・期限（緩急）を指示する
  • 発注者が、勤怠・出退勤・休暇・残業の指示や承認を実質的に行う
  • 受託側の責任者が名ばかりで、発注者の指示を伝言するだけになっている
  • 変更要求が「受託側の窓口」ではなく、作業者へ直投げされる

「発注者から直接、業務の指示や命令をされる」場合は偽装請負の可能性が高い、という趣旨を東京労働局が明確に述べています。

（出典：東京労働局「偽装請負について」https://jsite.mhlw.go.jp/tokyo-roudoukyoku/hourei_seido_tetsuzuki/roudousha_haken/001.html  ）

また、判断は37号告示（区分基準）に基づき、実態で行うとされています。

（出典：厚労省PDF「37号告示（区分に関する基準）」https://www.mhlw.go.jp/bunya/koyou/dl/h241218-01.pdf  ）

4. 「技術的な説明」や「要件の共有」も全部ダメなのか？

ここが“現場が踏み抜く原因”になりがちです。

結論として、要件・成果の説明や情報共有それ自体が直ちにNGとは限りません。

しかし、そこから先で **「個人への作業指示」や「遂行の管理」**に踏み込むと派遣に近づきます。

厚生労働省の疑義応答集は、事例ごとに実態判断であること、そして異なる事例は労働局で個別判断になることも明示しています。

（出典：厚生労働省「37号告示関係疑義応答集」https://www.mhlw.go.jp/bunya/koyou/gigi_outou01.html  ）

現場感としては、次の切り分けが安全です。

  • OK寄り：仕様・要件・受入基準を「受託側の責任者」に伝える／成果物のレビューをする
  • アウト寄り：仕様変更の“作業手順・優先順位・期限”までを発注者が個人へ直接指示する（＝人を動かす）

5. なぜ「法律知識がない発注企業が多い」と感じるのか（構造）

この問題は、単なる知識不足だけでなく、ITの仕事の性質が大きいです。

  • 運用保守・改善・障害対応などは「成果物一発納品」より「一緒に回す運用」になりやすい
  • 「準委任＝人月＝現場の一員」という慣習が残り、指示を出したくなる
  • しかし行政は「契約名」より「実態」を見るため、現場運用がズレた瞬間に危険域へ入る （出典：厚生労働省PDF「区分の必要性」https://www.mhlw.go.jp/bunya/koyou/dl/tekisei_0002.pdf  ）

6. 明日から使える「現場設計」チェックリスト（発注側・受注側）

発注側（客先）が守るべき運用

  • 指示の窓口を 受託側の責任者（PM/リーダー）に一本化する
  • 個人に対して、割付・順序・緩急・期限を直接言わない（必要なら受託側責任者へ）
  • 勤怠や残業の指示・承認に関与しない
  • 変更要求は「成果・要件」として伝え、遂行の組み立ては受託側に委ねる

受注側（SES/委託側）が守るべき運用

  • 現場責任者を“伝言係”にしない（タスク設計・優先度判断・進捗管理の主導権を持つ）
  • 体制図・指揮命令系統・連絡経路を明確化し、運用で徹底する
  • 「指示を出すのは誰か」「勤怠管理は誰か」を現場ルールとして明文化する

※最終的な判断は、37号告示（区分基準）と、その考え方（ガイド）に沿って実態で行われます。

（出典：厚生労働省PDF「37号告示」https://www.mhlw.go.jp/bunya/koyou/dl/h241218-01.pdf ／厚労省ガイドページ https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000077386_00020.html  ）

7. 困ったときの相談先（労基署・労働局・厚労省）

労働基準監督署（全国の所在）

https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/koyou_roudou/roudoukijun/location.html

（出典：厚労省「全国労働基準監督署の所在案内」  ）

都道府県労働局（所在地一覧）

https://www.mhlw.go.jp/kouseiroudoushou/shozaiannai/roudoukyoku/index.html

（出典：厚労省「都道府県労働局所在地一覧」  ）

「労働者性に疑義がある方」の相談窓口（厚労省・報道発表）

フリーランス契約でも実態が労働者に近い可能性がある場合など、相談導線が案内されています。

https://www.mhlw.go.jp/stf/newpage_44487.html

（出典：厚労省報道発表  ）

まとめ：直すべきは契約名ではなく「指示の通し方」

  • 境界線は「成果物がある／ない」より、発注者が個人に指揮命令しているか
  • 厚労省は一貫して、契約形式ではなく実態で判断するとしている
  • IT現場は「一緒に回す」圧が強いからこそ、窓口一本化と受託側主導の遂行管理が鍵になる

参照した一次資料（URL文字表記）

今週のサイバーセキュリティ動向（2026/01/11〜01/17）

by 塚井海地 / 0件のコメント

今週のハイライト

今週は オープンソース基盤のワークフロー自動化ツールと広範囲の OS/エンタープライズ製品 に関する深刻脆弱性情報が中心となりました。

特に n8n における未認証リモートコード実行（CVE‑2026‑21858, Ni8mare） は最大 CVSS 10.0 と評価され、攻撃可能性が極めて高い欠陥として注目されています。開発者やインフラ担当者は優先して修正を確認する必要があります。出典：https://thehackernews.com/2026/01/critical-n8n-vulnerability-cvss-100.html

また、Microsoft の January 2026 Patch Tuesday では 114件の脆弱性修正が行われ、Desktop Window Manager の情報漏洩脆弱性（CVE‑2026‑20805）が既に実世界で悪用が確認されています。出典：https://thehackernews.com/2026/01/microsoft-fixes-114-windows-flaws-in.html

重大脆弱性とパッチ情報

CVE‑2026‑21858（n8n）

  • 概要：n8n の Webhook/フォーム処理における不適切なパースにより、未認証でリモートコード実行が可能 な欠陥（Ni8mare）。
  • 影響：多数の IoT/自動化インスタンス、企業環境で広く利用。
  • 対策：n8n の最新版 1.121.0 以上へ即時更新。外部公開エンドポイントの制限。
  • 出典：https://thehackernews.com/2026/01/critical-n8n-vulnerability-cvss-100.html

Microsoft Patch Tuesday January 2026

SAP January 2026 Security Patch

Google Vertex AI の権限昇格脆弱性

Palo Alto Networks PAN‑OS DoS 脆弱性

インシデント・データ侵害

今週は特定の広域侵害報告は限定的ですが、Patch Tuesday で修正された欠陥（特に CVE‑2026‑20805） は実際に悪用が確認されており、情報漏洩リスクが高いとされています。

フィッシング・ソーシャルエンジニアリング

AI やワークフロー自動化の脆弱性と併せ、AI を悪用したフィッシング/詐欺手法の増加傾向が海外レポートで指摘されています（企業セキュリティ戦略の一部としても注意が必要）。出典：https://www.csoonline.com/article/4116270/cybersecurity-risk-will-accelerate-this-year-fueled-in-part-by-ai-says-world-economic-forum.html

政策・基準・フレームワーク動向

国内視点の影響

  • n8n は日本企業でも自動化や AI 連携で導入例が増加しており、深刻 RCE は国内インフラでも優先対応が必要です。
  • Microsoft 製品 は日本でも広く利用されており、特に Patch Tuesay でのゼロデイ脆弱性悪用例（CVE‑2026‑20805 ）は国内ユーザーにとっても重要な修正対象です。出典：https://www.ipa.go.jp/security/security-alert/2025/0114-ms.html
  • SAP S/4HANA は国内大企業でも利用が多く、SQL インジェクションなどクリティカル欠陥の修正は優先度が高い対応事項です。

今すぐやるべきこと

  1. n8n の脆弱性修正（CVE‑2026‑21858）を確認し最新版へ更新／公開端点の制限
  2. Microsoft 1月分セキュリティ更新の適用（CVE‑2026‑20805 等）
  3. SAP の 1月セキュリティノート適用（特に CVE‑2026‑0501 等クリティカル項目）
  4. Palo Alto Networks PAN‑OS の DoS 修正パッチ適用
  5. 社内フィッシング対策（AI 利用を含む）と脆弱性管理体制の強化

中長期対策

  • SBOM/依存ライブラリ可視化の仕組み導入
  • AI・ワークフロー自動化のリスク評価と防御強化
  • 侵害後対応計画（IRP）と侵入検知体制の自動化

⚡ CISA KEV & NVD “recent” 実運用影響（重点）

  • CVE‑2026‑21858 (n8n) — 未認証 RCE、最大 CVSS 10.0。
  • CVE‑2026‑20805 (Windows DWM) — アクティブに悪用確認済み。
  • CVE‑2026‑0501 (SAP S/4HANA) — クリティカル SQL インジェクション。
  • Google Vertex AI 権限昇格 — 自動化/クラウド AI 環境で懸念。
  • PAN‑OS DoS — ネットワーク境界デバイスでの可用性リスク。

（※この記事は指定された信頼性の高い情報源から直近1週間分を総合的に整理したものです。公式アドバイザリの併確認を推奨します。）

WEF年次総会2026：2025から「増えたテーマ／消えたテーマ」を公式情報で照合

by 塚井海地 / 0件のコメント

毎年のダボスは、同じ言葉を繰り返しているようで、実は切り口が少しずつズレる。2026年の看板は「対話の力」。その裏側には、同盟も規範も揺れる“争点化した世界”という前提が透ける。2025と比較して、議題の主語がどこへ移ったのかを整理する。

https://www.weforum.org/stories/2025/10/davos-2026-convenes-under-the-theme-a-spirit-of-dialogue

まず前提：2025と2026で「全体テーマ」と「5本柱」が変わった

2025年は全体テーマが “Collaboration for the Intelligent Age” で、議論の焦点は「成長」「産業」「人」「地球」「信頼」の5領域に整理されている。

https://www.weforum.org/press/2025/01/a-call-for-collaboration-in-the-intelligent-age-world-economic-forum-annual-meeting-2025

2026年は全体テーマが “A Spirit of Dialogue（対話の力）” で、プログラムは「争点化した世界での協力」から始まる5つの主要課題に再編されている。

https://www.weforum.org/stories/2025/10/davos-2026-convenes-under-the-theme-a-spirit-of-dialogue

（日本語版の概要）https://jp.weforum.org/stories/2025/11/davos-2026-convenes-under-the-theme-a-spirit-of-dialogue-ja/ 

結論：2026で「新たに前面化」したこと／「柱としては消えた」こと

2026で新たに前面化した“独立テーマ”

2026は、5本柱の筆頭に 「対立が深まる世界における協力（cooperation in a contested world）」 を置いた。2025にも地政学や分断の文脈はあったが、2026は「対立がある状態でも協力を回す」ことが、最上位の問いとして独立した形だ。

https://www.weforum.org/stories/2025/10/davos-2026-convenes-under-the-theme-a-spirit-of-dialogue

（2026公式ミーティングページ日本語）https://jp.weforum.org/meetings/world-economic-forum-annual-meeting-2026/ 

2025から“柱としては”消えた（ただし中身は吸収された）もの

2025の5本柱のひとつ 「Rebuilding Trust（信頼の再構築）」 は、2026の5本柱の名称としては出てこない。代わりに2026は、会合テーマ自体を「対話の力」とし、信頼を“柱”ではなく“前提条件（対話と協力を成立させる土台）”へ回り込ませた配置に見える。

https://www.weforum.org/press/2025/01/a-call-for-collaboration-in-the-intelligent-age-world-economic-forum-annual-meeting-2025

https://www.weforum.org/stories/2025/10/davos-2026-convenes-under-the-theme-a-spirit-of-dialogue

5本柱の「対応関係」を、人間の体感に落として読む

1) 「信頼」→「争点化した世界での協力」へ（主語が変わった）

2025は“信頼を取り戻す”が柱だった。2026は“信頼がない前提でも協力が回るか”が柱になった。これは、理想論のスローガンから、合意形成・ルール・実装の「設計論」へ議論が寄った、という変化でもある。

2) 「産業の変容」→「責任あるイノベーションの大規模展開」へ（“作る”より“導入する”の責任）

2025の柱には 「Industries in the Intelligent Age」 がある。2026はこの看板が前に出ず、代わりに 「イノベーションを大規模に展開しつつ責任を担保する」 が柱になる。産業構造の話より、AIなどを社会へ入れる時の統治・責任・副作用の扱いが前に来た、と読める。

3) 「地球を守る」→「境界の範囲で繁栄する」へ（守るから、回すへ）

2025は Safeguarding the Planet（地球を守る）。2026は planetary boundaries（プラネタリー・バウンダリー） の“境界内で繁栄する”が柱になる。環境を「守る対象」から「経済設計の制約条件」へ置き換え、循環・再生・自然資本まで含めて“回る形”を問うニュアンスが強い。

4) 「成長の再構築」→「新たな成長源の開拓」へ（成長を“どう作り直すか”より“どこから出すか”）

2025は Reimagining Growth。2026は unlocking new sources of growth。言い回しの差は小さく見えるが、体感としては「成長モデルの議論」から「成長ドライバー（源泉）の発掘」へ寄っている。つまり、制度・技術・人材・投資が噛み合う“成長の出所”を探す方向。

5) 「人材投資」は継続（ただし、重みが増している）

2025も2026も Investing in People（人への投資） が柱として残る。対立・技術実装・環境制約が同時に進むほど、スキル・雇用・生活の土台が崩れやすい。だからここは“毎年あるテーマ”でありながら、毎年少しずつ現実味が増していく領域でもある。

2026の空気を補足する「今年の単語」（テーマ差分を“手触り”にする）

Davos 2026に向けて、WEF公式が「会場で飛び交いそうな用語」をまとめている。ここに出てくる語は、2026の議論が“理想”より“現実の摩擦”へ寄っていることを示す補助線になる（例：minilateralism、resilience economics など）。

https://www.weforum.org/stories/2025/12/some-phrases-you-might-hear-at-davos-wef-2026

まとめ：「テーマが変わった」のではなく、「言葉の置き場所が変わった」

2026から「信頼」が消えたように見えるのは、信頼が不要になったからではない。むしろ逆で、信頼は“柱”として掲げる段階から、対話と協力を成立させる“前提”として全体に溶け込む段階へ移った。だから2026は、理想の合言葉よりも、対立がある状態でどう回すか――設計の議論が増える。

https://www.weforum.org/stories/2025/10/davos-2026-convenes-under-the-theme-a-spirit-of-dialogue

参照URL（公式）

今週のサイバーセキュリティ最新動向（2025-10-24〜2025-10-30 JST）

by 塚井海地 / 0件のコメント
要約テーブル（JST）

日付（JST） 見出し 要点（1行） 出典URL
2025-10-30 CISAがXWiki RCE（CVE-2025-24893）とDELMIA Apriso RCE（CVE-2025-6204/6205）をKEVに追加 実運用での悪用を確認、優先パッチ適用を勧告。 https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
2025-10-30 XWikiの悪用活発化（追加詳報） 暗号通貨マイニング作戦での悪用も観測。 https://www.securityweek.com/xwiki-vulnerability-exploited-in-cryptocurrency-mining-operation/
2025-10-30 DELMIA AprisoのRCEが実際に悪用（詳報） OT/製造ラインに直結、ハンティング手順の提示あり。 https://www.securityweek.com/cisa-warns-of-exploited-delmia-factory-software-vulnerabilities/
2025-10-28 Google Chromeゼロデイ（CVE-2025-2783）悪用 スパイウェア絡みの悪用連動、即時アップデート推奨。 https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/
2025-10-30 Windowsの“ネイティブAIスタック”を悪用するLotL手法 ONNXモデル内に悪性ペイロードを潜ませEDRを回避するPoC。 https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack
2025-10-29 npm「PhantomRaven」：不可視依存関係による供給網攻撃 126の悪性パッケージ／86,000超ダウンロード、静的解析の盲点を突く。 https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies
2025-10-29 MITRE ATT&CK v18 公開（10月リリース） テクニック／検知／緩和の更新、マッピング刷新推奨。 https://attack.mitre.org/resources/updates/updates-october-2025/
2025-10-28 QNAP NetBak PC AgentがASP.NET Coreの重大欠陥の影響を受ける バックアップ基盤での間接露出、フレームワーク更新を喚起。 https://www.securityweek.com/qnap-netbak-pc-agent-affected-by-recent-asp-net-core-vulnerability/
2025-10-29 X（旧Twitter）Grok濫用のフィッシング誘導 動画カード経由でリンク制限を回避し被害誘導。 https://blog.knowbe4.com/cyberheistnews-vol-15-43-heads-up-block-attackers-who-abuse-grok-to-spread-phishing-links
2025-10-24 Google Careersなりすましフィッシング 採用志望者を標的に認証情報窃取、差出人検証の徹底を。 https://blog.knowbe4.com/phishing-campaign-impersonates-google-careers-recruiters

今週のハイライト

① CISAがKEVに2件追加（XWiki RCE / DELMIA Apriso RCE）。XWikiは社内Wikiや開発ポータル等の一般ITに、DELMIA Aprisoは製造業のOT領域に波及するため、両面で優先度「最上」。KEV追加＝実運用悪用の確証あり。出典：
https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog ／
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

② Chromeゼロデイ（CVE-2025-2783）悪用中。エスピオナージ系キャンペーンとの連動報告あり。企業は段階的強制更新＋未更新端末の隔離を運用化。出典：
https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/ ／
https://nvd.nist.gov/vuln/detail/CVE-2025-2783

③ npmサプライチェーン：PhantomRaven。不可視依存（Remote/Dynamic Dependencies）を悪用し検知回避、CIの外向き通信制御とインストール時の動的解析が鍵。出典：
https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies

④ AIモデル悪用のLotL手法（WindowsネイティブAI/ONNX）。モデルを“信頼済みデータ”扱いする盲点を突く。モデル署名・ハッシュ配布とローダAPI監視を。出典：
https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack

重大脆弱性とパッチ情報

XWiki（CVE-2025-24893）：テンプレート評価起点のRCEで積極的悪用。バージョン確認・更新、WAFで危険なテンプレート関数を暫定ブロック。CVE記録も参照。出典：
https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog ／
https://www.cisa.gov/known-exploited-vulnerabilities-catalog ／
https://www.cve.org/CVERecord?id=CVE-2025-24893

DELMIA Apriso（CVE-2025-6204/6205）：OT/製造のMOM/MESに影響。資産棚卸とセグメント隔離、パッチ適用の計画停止を前倒し。出典：
https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog ／
https://thehackernews.com/2025/10/active-exploits-hit-dassault-and-xwiki.html ／
https://www.securityweek.com/cisa-warns-of-exploited-delmia-factory-software-vulnerabilities/

Google Chrome（CVE-2025-2783）：ブラウザ配信の強制・未更新端末のネット分離・高リスクSaaSへのアクセス制御を実施。出典：
https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/ ／
https://nvd.nist.gov/vuln/detail/CVE-2025-2783

QNAP NetBak PC Agent：ASP.NET Coreの重大欠陥（CVE-2025-55315）に間接影響、フレームワーク更新を明確化。出典：
https://www.securityweek.com/qnap-netbak-pc-agent-affected-by-recent-asp-net-core-vulnerability/ ／
https://www.securityweek.com/highest-ever-severity-score-assigned-by-microsoft-to-asp-net-core-vulnerability/

インシデント・データ侵害

今週は新規の大型漏えい公表よりも、悪用中のCVE（XWiki／Apriso／Chrome）と供給網（npm）のリスクが主。既存資産の緊急パッチとサプライチェーン監視の優先度が上昇。出典：
https://www.cisa.gov/known-exploited-vulnerabilities-catalog ／
https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies

フィッシング・ソーシャルエンジニアリング

X（Grok）悪用：動画カードでリンク制限を回避する手口。社内教育で「動画カード＝安全」の思い込み排除を周知。出典：
https://blog.knowbe4.com/cyberheistnews-vol-15-43-heads-up-block-attackers-who-abuse-grok-to-spread-phishing-links

Google Careersなりすまし：採用担当者偽装で認証情報を詐取。差出人ドメイン検証・応募受付基盤（ATS）側での照合を標準化。出典：
https://blog.knowbe4.com/phishing-campaign-impersonates-google-careers-recruiters

政策・基準・フレームワーク動向

MITRE ATT&CK v18（2025年10月）：検知戦略・ロギング・分析の整理が進化。SOCユースケースのマトリクス更新を推奨。出典：
https://attack.mitre.org/resources/updates/updates-october-2025/ ／
https://attack.mitre.org/resources/versions/

国内視点の影響

XWiki：社内ナレッジ／開発Wikiとしての採用例が多く、外向き公開やVPN越し公開のケースは露出が高い。管理者UIの到達性制御・テンプレート機能の監査を強化。出典：
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

DELMIA Apriso（OT）：自動車・電子部品の製造現場で採用実績。資産インベントリの鮮度とネットワーク分離、保守停止枠でのパッチ計画が鍵。出典：
https://www.securityweek.com/cisa-warns-of-exploited-delmia-factory-software-vulnerabilities/

Chrome：自治体・教育機関・SaaS業務で標準ブラウザの比率が高い。MDM（Intune/Jamf/GPO）で強制更新し、未再起動端末の検知と通知もセットで実施。出典：
https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/

npmサプライチェーン：国内のSaaS/スタートアップでOSS依存の可視化不足がボトルネック。外向き通信（egress）制御とnpm実行時の動的解析をCIに実装。出典：
https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies

今すぐやるべきこと（優先度順）

  1. Chrome（CVE-2025-2783）を緊急更新：自動更新の強制／未更新端末のネット分離／高リスクSaaSのアクセス制御。出典：
    https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/ ／
    https://nvd.nist.gov/vuln/detail/CVE-2025-2783
  2. XWiki / DELMIA Apriso 影響資産の特定とパッチ：CMDB・SBOMで範囲特定、権限最小化・WAFルールで暫定緩和。出典：
    https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
  3. npm供給網対策：一時的に npm ci --ignore-scripts を適用、インストール時の外部URL遮断、サンドボックスでの動的解析をCIに。出典：
    https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies
  4. AIモデル取扱いの強化：モデル署名・ハッシュ配布、ONNXローダAPIの呼び出し監視（Sysmon/EDR/AppLocker）。出典：
    https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack
  5. フィッシング訓練の即時更新：Grok悪用／求人型なりすましを模したシナリオで来週演習。出典：
    https://blog.knowbe4.com/cyberheistnews-vol-15-43-heads-up-block-attackers-who-abuse-grok-to-spread-phishing-links ／
    https://blog.knowbe4.com/phishing-campaign-impersonates-google-careers-recruiters

中長期対策

  • SBOM/資産台帳の信頼性を底上げ（Wiki、製造系ソフト、ブラウザ、開発環境を含む）。
  • CI/CDで“動的”セキュリティテストを標準化（インストール時通信／挙動監視）。
  • AIモデルのサプライチェーン管理（モデル署名・社内レジストリ・受入スキャン）。
  • ATT&CK v18対応の検知マッピング（ユースケース棚卸とテレメトリ不足解消）。出典：
    https://attack.mitre.org/resources/updates/updates-october-2025/

CISA KEV & NVD “recent” から運用影響大の項目（抜粋）

※到達性確認：本稿作成時点で各リンクはアクセス可能（JST）。