脆弱性・脅威情報 Cisco 8月19日に修正版公開、ASA/FTDも対象
Ciscoが2026年8月19日にセキュリティアドバイザリを公開すると事前通知しました。対象は9製品群で、KEV登録済みゼロデイの対応直後のASA/FTD/FMCも含まれます。5日間で情シスが準備すべきことを整理します。
脆弱性・脅威情報 脆弱性・脅威情報 Ivanti EPMに脆弱性3件 2024 SU7へ更新を
Ivantiが2026年8月11日、Endpoint Manager（EPM）の脆弱性3件を公表。最大CVSS 8.1で、外部SQL接続の認証情報が中間者に漏れる恐れがあります。修正版は2024 SU7。旧LANDESKからの継続利用組が見落としやすい点を整理します。
脆弱性・脅威情報 GitLab 19.2.2公開、XSSなど脆弱性13件
GitLabが2026年8月12日にセキュリティパッチ19.2.2/19.1.4/19.0.6を公開し、脆弱性13件を修正しました。深刻度「高」6件の内訳、CVSS 8.7のXSSが重い理由、自社のGitLabを洗い出す確認手順を情シス向けに整理します。
脆弱性・脅威情報 WordPress 7.0.4公開、PNGを装うRCEに対処
WordPress 7.0.4がCVE-2026-65640（CVSS 8.8）を修正。ImagickとGhostscriptを併用するサイトで、投稿者権限の利用者がPNGを装ったPostScriptを投げると任意コードが実行されます。該当判定の手順まで解説。
脆弱性・脅威情報 TPM 2.0参照実装に2件の脆弱性、AMDとIntelが影響
TPM 2.0の参照実装にCVE-2026-6726とCVE-2026-6727が公表されました。AMDとIntelが影響ありと表明。TPMによる構成証明が偽造されうる問題で、情シスが確認すべき点と更新時の落とし穴を整理します。
脆弱性・脅威情報 Metabaseに緊急脆弱性、認証不要で管理者奪取
BIツール「Metabase」に認証不要のSQLインジェクション（CVE-2026-72898、CVSS 10.0）。すでに悪用され複数企業が侵害を公表、CISAは期限3日でKEV登録。接続先DBの認証情報まで奪われる連鎖と、資産台帳に載らない盲点を整理します。
脆弱性・脅威情報 Cisco ASA/FTDにゼロデイ、VPNが落ちるDoS
Cisco ASA/FTDのリモートアクセスSSL VPNに、認証不要で機器を再起動させられる脆弱性CVE-2026-20349（CVSS 8.6）が判明。すでに悪用が確認され、CISAは期限3日でKEVに登録しました。回避策はありません。
研究・論文 プロンプトインジェクションはSSRFに化ける｜研究解説
LLMを組み込んだWebアプリでは、プロンプトインジェクションがSSRFやSQLiなど古典的脆弱性への新しい侵入経路になる。そう整理した査読前の研究を、7モデル×5シナリオの実験結果と情シスが押さえるべき防御の優先順位とあわせて解説します。
脆弱性・脅威情報 SonicWall GMSに脆弱性6件 EOL直前の更新
SonicWallのファイアウォール管理製品GMSに6件の脆弱性。最大CVSS 9.4で認証不要のRCEを含みます。GMSは2026年9月30日にサポート終了予定で、残された時間は約7週間です。
研究・論文 AIの確信度は信用できない 監視の穴を示す研究
AIは文脈の異常に内部では気づいているのに、最終的な誤答は予測できない――2026年7月公開の査読前論文がそう示しました。検知AUROC0.98超に対し失敗予測は偶然水準。自己申告の確信度を監視に使う危うさを整理します。
脆弱性・脅威情報 LoadMaster脆弱性が悪用中、KEV登録は39日後
ロードバランサ製品Progress LoadMasterの未認証RCE（CVE-2026-8037）が悪用され、CISAがKEVに登録。ただし攻撃試行はPoC公開当日の6月29日から観測されており、KEV登録はその39日後でした。該当判定と対応の勘所を解説します。
脆弱性・脅威情報 LINE PC版インストーラに脆弱性 任意コード実行の恐れ
LINE PC版（Windows版）のインストーラにDLL読み込みの脆弱性（CVE-2026-13133、CVSS v3 7.8）。26.4.0より前が対象です。厄介なのは「本体を更新すれば終わり」ではない点。端末に残った古いインストーラ自体がリスクとして残ります。
脆弱性・脅威情報 ORB化とは 境界機器が攻撃の中継拠点にされる脅威
ORB化とは、乗っ取られた機器が攻撃の中継拠点にされることです。VPN機器やルータが狙われ、自社が被害者かつ加害者になります。IPAの注意喚起をもとに、仕組み・気づけない理由・情シスの備えを解説します。
インシデント対応 デジタル庁150人分漏えい 作業手順書の曖昧さが原因
デジタル庁が2026年8月7日、他省庁へ送ったログイン履歴ファイルに職員150人分の個人情報が混入していたと公表しました。原因は作業手順書の曖昧な記載。宛先は正しいのに漏れる「出力データ側」の事故を、情シスはどう防ぐかを整理します。
脆弱性・脅威情報 Microsoft月例パッチ751件、実質420件の見極め方
2026年8月のMicrosoft月例更新は751件。ただし329件はAzure Linux専用で、一般的なWindows環境に関わるのは約420件です。悪用中のゼロデイ1件、公開済み2件（LegacyHive含む）と、盆休み直前の絞り込み方を実データで整理します。