タグ: GPT-5 Thinking

今週のサイバーセキュリティ最新動向（2025-10-24〜2025-10-30 JST）

by 塚井海地 / 0件のコメント
要約テーブル（JST）

日付（JST） 見出し 要点（1行） 出典URL
2025-10-30 CISAがXWiki RCE（CVE-2025-24893）とDELMIA Apriso RCE（CVE-2025-6204/6205）をKEVに追加 実運用での悪用を確認、優先パッチ適用を勧告。 https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
2025-10-30 XWikiの悪用活発化（追加詳報） 暗号通貨マイニング作戦での悪用も観測。 https://www.securityweek.com/xwiki-vulnerability-exploited-in-cryptocurrency-mining-operation/
2025-10-30 DELMIA AprisoのRCEが実際に悪用（詳報） OT/製造ラインに直結、ハンティング手順の提示あり。 https://www.securityweek.com/cisa-warns-of-exploited-delmia-factory-software-vulnerabilities/
2025-10-28 Google Chromeゼロデイ（CVE-2025-2783）悪用 スパイウェア絡みの悪用連動、即時アップデート推奨。 https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/
2025-10-30 Windowsの“ネイティブAIスタック”を悪用するLotL手法 ONNXモデル内に悪性ペイロードを潜ませEDRを回避するPoC。 https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack
2025-10-29 npm「PhantomRaven」：不可視依存関係による供給網攻撃 126の悪性パッケージ／86,000超ダウンロード、静的解析の盲点を突く。 https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies
2025-10-29 MITRE ATT&CK v18 公開（10月リリース） テクニック／検知／緩和の更新、マッピング刷新推奨。 https://attack.mitre.org/resources/updates/updates-october-2025/
2025-10-28 QNAP NetBak PC AgentがASP.NET Coreの重大欠陥の影響を受ける バックアップ基盤での間接露出、フレームワーク更新を喚起。 https://www.securityweek.com/qnap-netbak-pc-agent-affected-by-recent-asp-net-core-vulnerability/
2025-10-29 X（旧Twitter）Grok濫用のフィッシング誘導 動画カード経由でリンク制限を回避し被害誘導。 https://blog.knowbe4.com/cyberheistnews-vol-15-43-heads-up-block-attackers-who-abuse-grok-to-spread-phishing-links
2025-10-24 Google Careersなりすましフィッシング 採用志望者を標的に認証情報窃取、差出人検証の徹底を。 https://blog.knowbe4.com/phishing-campaign-impersonates-google-careers-recruiters

今週のハイライト

① CISAがKEVに2件追加（XWiki RCE / DELMIA Apriso RCE）。XWikiは社内Wikiや開発ポータル等の一般ITに、DELMIA Aprisoは製造業のOT領域に波及するため、両面で優先度「最上」。KEV追加＝実運用悪用の確証あり。出典：
https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog ／
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

② Chromeゼロデイ（CVE-2025-2783）悪用中。エスピオナージ系キャンペーンとの連動報告あり。企業は段階的強制更新＋未更新端末の隔離を運用化。出典：
https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/ ／
https://nvd.nist.gov/vuln/detail/CVE-2025-2783

③ npmサプライチェーン：PhantomRaven。不可視依存（Remote/Dynamic Dependencies）を悪用し検知回避、CIの外向き通信制御とインストール時の動的解析が鍵。出典：
https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies

④ AIモデル悪用のLotL手法（WindowsネイティブAI/ONNX）。モデルを“信頼済みデータ”扱いする盲点を突く。モデル署名・ハッシュ配布とローダAPI監視を。出典：
https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack

重大脆弱性とパッチ情報

XWiki（CVE-2025-24893）：テンプレート評価起点のRCEで積極的悪用。バージョン確認・更新、WAFで危険なテンプレート関数を暫定ブロック。CVE記録も参照。出典：
https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog ／
https://www.cisa.gov/known-exploited-vulnerabilities-catalog ／
https://www.cve.org/CVERecord?id=CVE-2025-24893

DELMIA Apriso（CVE-2025-6204/6205）：OT/製造のMOM/MESに影響。資産棚卸とセグメント隔離、パッチ適用の計画停止を前倒し。出典：
https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog ／
https://thehackernews.com/2025/10/active-exploits-hit-dassault-and-xwiki.html ／
https://www.securityweek.com/cisa-warns-of-exploited-delmia-factory-software-vulnerabilities/

Google Chrome（CVE-2025-2783）：ブラウザ配信の強制・未更新端末のネット分離・高リスクSaaSへのアクセス制御を実施。出典：
https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/ ／
https://nvd.nist.gov/vuln/detail/CVE-2025-2783

QNAP NetBak PC Agent：ASP.NET Coreの重大欠陥（CVE-2025-55315）に間接影響、フレームワーク更新を明確化。出典：
https://www.securityweek.com/qnap-netbak-pc-agent-affected-by-recent-asp-net-core-vulnerability/ ／
https://www.securityweek.com/highest-ever-severity-score-assigned-by-microsoft-to-asp-net-core-vulnerability/

インシデント・データ侵害

今週は新規の大型漏えい公表よりも、悪用中のCVE（XWiki／Apriso／Chrome）と供給網（npm）のリスクが主。既存資産の緊急パッチとサプライチェーン監視の優先度が上昇。出典：
https://www.cisa.gov/known-exploited-vulnerabilities-catalog ／
https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies

フィッシング・ソーシャルエンジニアリング

X（Grok）悪用：動画カードでリンク制限を回避する手口。社内教育で「動画カード＝安全」の思い込み排除を周知。出典：
https://blog.knowbe4.com/cyberheistnews-vol-15-43-heads-up-block-attackers-who-abuse-grok-to-spread-phishing-links

Google Careersなりすまし：採用担当者偽装で認証情報を詐取。差出人ドメイン検証・応募受付基盤（ATS）側での照合を標準化。出典：
https://blog.knowbe4.com/phishing-campaign-impersonates-google-careers-recruiters

政策・基準・フレームワーク動向

MITRE ATT&CK v18（2025年10月）：検知戦略・ロギング・分析の整理が進化。SOCユースケースのマトリクス更新を推奨。出典：
https://attack.mitre.org/resources/updates/updates-october-2025/ ／
https://attack.mitre.org/resources/versions/

国内視点の影響

XWiki：社内ナレッジ／開発Wikiとしての採用例が多く、外向き公開やVPN越し公開のケースは露出が高い。管理者UIの到達性制御・テンプレート機能の監査を強化。出典：
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

DELMIA Apriso（OT）：自動車・電子部品の製造現場で採用実績。資産インベントリの鮮度とネットワーク分離、保守停止枠でのパッチ計画が鍵。出典：
https://www.securityweek.com/cisa-warns-of-exploited-delmia-factory-software-vulnerabilities/

Chrome：自治体・教育機関・SaaS業務で標準ブラウザの比率が高い。MDM（Intune/Jamf/GPO）で強制更新し、未再起動端末の検知と通知もセットで実施。出典：
https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/

npmサプライチェーン：国内のSaaS/スタートアップでOSS依存の可視化不足がボトルネック。外向き通信（egress）制御とnpm実行時の動的解析をCIに実装。出典：
https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies

今すぐやるべきこと（優先度順）

  1. Chrome（CVE-2025-2783）を緊急更新：自動更新の強制／未更新端末のネット分離／高リスクSaaSのアクセス制御。出典：
    https://www.securityweek.com/chrome-zero-day-exploitation-linked-to-hacking-team-spyware/ ／
    https://nvd.nist.gov/vuln/detail/CVE-2025-2783
  2. XWiki / DELMIA Apriso 影響資産の特定とパッチ：CMDB・SBOMで範囲特定、権限最小化・WAFルールで暫定緩和。出典：
    https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
  3. npm供給網対策：一時的に npm ci --ignore-scripts を適用、インストール時の外部URL遮断、サンドボックスでの動的解析をCIに。出典：
    https://www.darkreading.com/application-security/malicious-npm-packages-invisible-dependencies
  4. AIモデル取扱いの強化：モデル署名・ハッシュ配布、ONNXローダAPIの呼び出し監視（Sysmon/EDR/AppLocker）。出典：
    https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack
  5. フィッシング訓練の即時更新：Grok悪用／求人型なりすましを模したシナリオで来週演習。出典：
    https://blog.knowbe4.com/cyberheistnews-vol-15-43-heads-up-block-attackers-who-abuse-grok-to-spread-phishing-links ／
    https://blog.knowbe4.com/phishing-campaign-impersonates-google-careers-recruiters

中長期対策

  • SBOM/資産台帳の信頼性を底上げ（Wiki、製造系ソフト、ブラウザ、開発環境を含む）。
  • CI/CDで“動的”セキュリティテストを標準化（インストール時通信／挙動監視）。
  • AIモデルのサプライチェーン管理（モデル署名・社内レジストリ・受入スキャン）。
  • ATT&CK v18対応の検知マッピング（ユースケース棚卸とテレメトリ不足解消）。出典：
    https://attack.mitre.org/resources/updates/updates-october-2025/

CISA KEV & NVD “recent” から運用影響大の項目（抜粋）

※到達性確認：本稿作成時点で各リンクはアクセス可能（JST）。

事実・記憶・制度の三層で読む『戦後日本』 —— GPT-5 Thinkingの歴史認識

by 塚井海地 / 0件のコメント

占領から現在まで：情景×一次資料リンク×制度設計

執筆：GPT-5 Thinking

版：2025年10月14日

目次（クリックで移動）

  1. 第1回（1945–1952）占領と講和
  2. 第2回（1952–1972）高度成長と「基地」の時代
  3. 第3回（1973–1995）オイルショックから冷戦終幕へ
  4. 第4回（1996–2011）グローバル化・リーマン・3.11
  5. 第5回（2012–2025）復興・アベノミクス・政策転換
  6. 第6回（比較編）記憶政策の比較
  7. 第7回（総括）編集術と実装ガイド

第1回（1945–1952）占領と講和――瓦礫の上の約束と黒市の影

なぜ重要か：戦後の合意と分断は、条文だけでなく、闇市の匂い・法廷の静寂・港のざわめきという“当時の手触り”の上に築かれたから。

本記事で得られる3つのポイント

  • 占領下の制度設計（検閲・教育・労働・農地）と、闇市・引揚の生活実感が同時進行で絡む構図を情景で理解。
  • ドッジ・ライン→朝鮮戦争特需→講和・安保という経済・外交の因果を、現場の手触りで把握。
  • 「主権回復」と「沖縄の例外状態」が生んだ二重構造を、公式文書の読み筋とともに掴む。

0. 舞台装置：占領の窓辺と情報の回路

情景：日比谷・第一生命館の廊下。英語の指令書と和訳案が束になって往来する。ここがGHQ/SCAPの中枢となり、日本の“再設計”が回り始めた。

情景：編集局の机に一枚の紙――Press Code。原爆の惨禍、占領軍批判、闇市実態の扱いが制約され、戦後の公共圏は検閲という補助線を通って形成された。

1. 路地経済の胎動：アメヤ横丁という黒市

砂糖統制下、さつまいも飴の壺の匂い。復員兵の露店に放出品やガム。正規流通の外側で生活は“もう一つの回路”を発明し、闇市は合法商店街へ変貌する。

2. 「帰る」という国家事業：引揚・復員の港

冬の舞鶴港、白い湯気の立つ船、幟の林。数百万規模の引揚・復員が、人口・雇用・住宅・教育を連鎖的に再編した。

3. 教室・職場・田畑：占領改革の三点セット

  • 教育：1947年、教育基本法と学校教育法で6–3–3–4制が全国実装。民主主義は教室の作法から浸透した。
  • 労働：労働三法で団結・交渉・争議が言語化。企業社会の作法が更新。
  • 農地：不在地主制から自作農へ。農村の政治意識まで一変。

4. 裁く言葉と語れない事：東京裁判と占領下の沈黙

市ヶ谷法廷の長い朗読。IMTFE判決の受諾は後の講和条約第11条に組み込まれ、国家としての戦争責任の扱いに国際的枠を与えた。

5. 物価を止め、港を動かす：ドッジ・ラインと特需

1949年の超均衡財政と1ドル＝360円。物価は沈むが街は冷え込む。1950年、朝鮮戦争の米軍調達で港と工場は再稼働し、輸出志向の歯車が噛み合う。

6. 講和と二重の戦後：主権回復と沖縄

1951年調印・1952年発効の講和条約で主権回復。同時に日米安保が発効し、基地駐留と同盟が安全保障の骨格に。沖縄はUSCAR体制下で「別の戦後」が継続した。

参考リンク

第2回（1952–1972）高度成長と「基地」の時代

なぜ重要か：豊かさを設計する力と、代償を制度化する力が同時に成熟した時代。

本記事で得られる3つのポイント

  • 1955年体制と1960年安保：政治の安定と街頭の異議を同時に理解。
  • 所得倍増・首都高・新幹線・五輪という“成長エンジン”と、公害—制度化の流れ。
  • 非核三原則・沖縄返還・通貨体制の転換（ニクソン・ショック／スミソニアン）。

0. 序章の情景：洗濯機の音と国会前の叫び（1960）

脱水モーターの唸りと「アンポ反対」のコールが同時刻に街を満たす。政治の騒擾と台所の夢が、同じ家庭に共存していた。

1. 政治の地形：1955年体制と1960年安保

保守合同で自民党が成立。新安保条約の批准過程では全国規模の抗議が沸騰し、議会・メディア・街頭の相互作用が戦後民主主義の作法を更新。

2. 所得倍増計画：台所からマクロへ

「10年で国民所得倍増」は実際には年率10％超の高成長に乗り7年足らずで達成。家庭は「三種の神器」から「3C」へ。

3. 都市の動脈：首都高・新幹線・東京五輪

羽田と都心を結ぶ高速道路、世界初の高速鉄道、国土改造のショーケースとしての五輪が、時間密度と国家ブランドを更新。

4. 公害の顕在化と制度化

水俣・新潟水俣・イタイイタイ・四日市――沿岸や工業地帯の健康被害が噴出。1970年「公害国会」で一括法整備、1971年環境庁創設へ。

5. 外需と通貨：ベトナム特需から体制転換へ

対米軍需の民間調達が外貨・雇用を下支え。1971年はニクソン・ショック、スミソニアン合意で360円固定相場に幕。

6. 非核三原則と沖縄返還、近隣外交

非核三原則の表明と国会決議、1972年の沖縄返還。1965年の日韓基本条約、1972年の日中共同声明で近隣外交の座標が再設定。

参考リンク

第3回（1973–1995）オイルショックから冷戦終幕へ

なぜ重要か：外圧→内需転換→過熱→破裂→制度改修という“現代日本の設計図”が描かれた。

本記事で得られる3つのポイント

  • オイルショックが省エネ大国の設計思想を生んだ過程。
  • プラザ合意→金融緩和→バブル形成・崩壊のメカニズム。
  • 湾岸危機とPKO、1993年政権交代、1995年震災とサリン事件の制度的帰結。

1. 省エネ大国の出発点（1973・1979）

ガソリンスタンドの列、店頭の紙製品の欠品。省エネ法（1979）で工場・運輸・建築物・機器の合理化が制度化され、エネルギー効率の国際優位が形成。

2. プラザ合意と資産価格バブル

1985年の合意後の円高局面に、金融緩和と内需振興が重なり、資金が株と不動産へ集中。担保価値上昇→融資拡大の自己強化ループが形成され、90年代初頭に崩壊。

3. 公共部門改革と情報・輸送の再編

電電・専売・国鉄の民営化でプラットフォーム効率が向上し、金融と物流の潤滑油となった。

4. 冷戦終幕と新しい国際貢献

湾岸戦争を契機にPKO法が成立、人的貢献の枠が開く。1993年には55年体制が崩壊し、選挙制度は小選挙区比例代表並立制へ。

5. 1995年の二つの衝撃

阪神・淡路大震災と地下鉄サリン事件。ボランティア元年と危機管理の強化、CBRN対処の制度整備が進む。

参考リンク

第4回（1996–2011）グローバル化・構造改革・リーマン、そして3.11へ

なぜ重要か：金融・IT・通貨・エネルギー・防災が一本の鎖でつながった時代。

本記事で得られる3つのポイント

  • 1997–98金融危機→日本版ビッグバン→監督一元化の制度連鎖。
  • iモードに象徴される“手のひらのインターネット”の勃興と構造改革。
  • リーマン・ショック→政権交代→3.11複合災害と復興法制。

1. 金融危機と制度化（1997–2001）

拓銀破綻・山一廃業を経て、金融再生法・早期健全化法、公的資本注入、監督の一元化（金融庁）へ。市場型金融とディスクロージャー整備のビッグバンで「壊して作る」工程。

2. モバイル・インターネットの勃興

iモードが“都心の可処分5分”を掌に取り戻す。公式サイト課金とパケット網の設計は、スマホ以前の日本独自エコシステムを形成。

3. 構造改革と郵政民営化（2001–2006）

「官から民へ」。郵政民営化を中核に、通信・物流・金融のプラットフォーム効率が底上げされる一方、地域・雇用に痛みも走る。

4. 世界金融危機と政権交代（2008–2009）

輸出急減で実体経済が冷え込む。2009年の選挙で政権交代、行政刷新や分配の作法を見直す試みが始動。

5. 2011年：地震・津波・原発事故

東日本大震災は複合災害となり、INESレベル7。復興基本法と復興庁、長期の廃炉・賠償・除染・復興が国家課題に。

参考リンク

第5回（2012–2025）復興、アベノミクス、コロナ、政策転換

なぜ重要か：金融・財政・構造×公衆衛生×安保・災害を同時に回す“複合設計”の時代。

本記事で得られる3つのポイント

  • アベノミクスと日銀の政策フレーム（QQE→NIRP→YCC→2024正常化）。
  • パンデミック対応と五輪の運営、税（消費税8→10％）。
  • 安保法制・安保三文書改定、ALPS処理水、能登半島地震。

1. 金融政策の長いトンネル

QQE→マイナス金利→YCC→2024年の正常化。操作点を量から金利に移し、インフレと賃金・生産性の三位一体を模索。

2. 税・需要・家計

消費税は2014年に8％、2019年に10％（軽減税率）。可処分への影響は景気と政策のタイミングに強く依存。

3. 公衆衛生と大規模イベント

2020年春の緊急事態宣言、2021年の東京五輪（多くが無観客）。運営と感染対策の現場力が試された。

4. 安全保障・エネルギー・災害対応

2015年の平和安全法制、2022年の安保三文書改定。2023年のALPS処理水海洋放出はIAEAレビューの枠内で進行。2024年の能登半島地震では初動KPIの再検証が続く。

参考リンク

第6回（比較編）ドイツ・中国・韓国の「記憶政策」と日本の現在地

なぜ重要か：比較によって日本の“初期設定”と可動域が明確になる。

本記事で得られる3つのポイント

  • ドイツ：中国：韓国の記憶政策を「場×法×教育×手続」で比較。
  • 生活動線に記憶を埋め込む設計（独）／国家ナラティブの統合（中）／被害者中心の公共空間（韓）。
  • 日本への実務KPI：中央記念＋ローカル記憶／法と対話の二段構え／当事者参加の手続化。

1. ドイツ：公共空間に責任を刻む作法

ベルリンの抽象モニュメントと地下資料館、街角の真鍮片（躓きの石）。匿名化と実名化の往復で忘却を止める。

2. 中国：被害記憶を国家ナラティブに統合

南京の記念館、国家公祭日の制度化、国外巡回展。外交と内政と教育の一体運用。

3. 韓国：被害者中心の公共空間と政治の往復

少女像と水曜集会、2015合意と2018再検討。合意の持続性は手続の正統性に依存。

日本への示唆：四つの設計指針

  1. 中央記念碑＋ローカル記憶の分散配置（KPI：対話プログラム参加率）。
  2. 法的線引きと対話型学習の二段構え。
  3. 語りの更新権限の分散（政府×研究×市民）。
  4. 近隣との粒度合わせ（当事者参加を設計段階から）。

参考リンク

第7回（総括）史実・記憶・制度をつなぐ編集術と実装ガイド

歴史叙述は、資料で裏打ちされた想像力を社会に接続する編集作業である。

本記事で得られる3つのポイント

  • 争点の「起点→現在地」を一望する“起点マップ”。
  • 情景×事実×制度×比較×現在地×判断の6ビート・手順書。
  • 用語ガイド／リンク運用テンプレ／運用KPI。

1. 争点の起点マップ

安全保障：占領～講和→安保改定→2015法制→2022安保三文書。
経済・通貨：ドッジ→プラザ→バブル→ビッグバン→QQE/NIRP/YCC→正常化（2024）。
環境・公衆衛生：四大公害→公害国会→2011複合災害→ALPS・レジリエンス。
記憶政策：東京裁判・講和→靖国・慰安婦・南京→比較編の四点セット。

2. 書き方テンプレ（6ビート）

  1. 情景（触覚導入）
  2. 事実（日時・数量・固有名詞）
  3. 制度（操作点と権限）
  4. 比較（前後・近隣）
  5. 現在地（直近改定と残課題）
  6. 判断（可搬な示唆）

3. 用語ミニガイド／リンク運用テンプレ／運用KPI

リンクは基本URL表記＋target="_blank" rel="noopener noreferrer"。一次資料比率60％以上、検証可能性80％以上、制度改定の反映T＋72h以内を目安に。

参考リンク