脆弱性・脅威情報 Apache AlluraにSSRF脆弱性、Webhookが踏み台に
ソフトウェアフォージApache AlluraにSSRF脆弱性CVE-2026-69223が公表。Webhook機能から内部ネットワークへ任意のリクエストを送られる恐れがあり、対策は1.19.1以降への更新です。CVSS6.6の読み方も解説します。
pipi84
脆弱性・脅威情報 
研究・論文 OWASP LLM Top10 2026、専門家と実データの差
OWASPのLLM向けTop10が2026年版に更新され、初めて実インシデント7,714件のデータが順位づけに使われました。作成メンバーによる査読前論文は、専門家投票とデータの一致がκ≈0.20と弱いことを示します。情シスが読むべき点を整理します。
脆弱性・脅威情報 UNIVERGE IX-Rに未認証RCE、1.3系は修正なし
NEC UNIVERGE IX-R/IX-Vシリーズに認証なしで任意コマンドを実行される脆弱性（CVE-2026-16876、CVSS9.4）。対処版はVer1.4.34/1.5.29。1.3系以前に修正版はなく、WebGUI未使用でも該当しうる条件と確認手順を解説します。
脆弱性・脅威情報 NVIDIAスイッチOSに脆弱性3件 未認証のLLDP攻撃も
NVIDIAが2026年8月18日、ネットワークOS「Cumulus Linux」とスイッチOS「NVOS」の脆弱性3件を公表。認証不要・隣接ネットワークからのLLDPバッファオーバーフローを含む。影響判定の手順と対応の優先順位を解説します。
脆弱性・脅威情報 Docker cpに脆弱性、コンテナからホスト改ざん
docker cpの裏で動くライブラリmoby/go-archiveに、展開先の外へ書き込める脆弱性CopyEscape（CVE-2026-17106）が判明。PoCも公開済み。Docker Desktopは4.86.0、Engine/CLIは29.7.2以降へ更新を。
脆弱性・脅威情報 TrueConf Server脆弱性2件が悪用中｜配布版すり替え
ビデオ会議サーバーTrueConf Serverの脆弱性2件（CVSS9.8/9.0）をCISAがKEVに追加。未認証で乗っ取られ、社内配布用の正規インストーラがバックドア入りに差し替えられていました。影響バージョン・確認方法・自社への教訓を解説します。
脆弱性・脅威情報 RDK-B WebUIに脆弱性5件、修正未提供で認証回避
ブロードバンド機器の基盤RDK-BのWebUIに脆弱性5件（CVE-2026-19505ほか）。うち4件は認証不要で、偽造トークンによる管理者ログインが可能です。修正状況は不明で、対策は管理画面の露出遮断に絞られます。
脆弱性・脅威情報 OpenFGAに脆弱性、キャッシュで認可が誤判定
認可エンジンOpenFGAに、キャッシュキーの衝突で別リクエストの判定結果を再利用しうる脆弱性CVE-2026-48096。v1.16.0未満が対象で、条件のキャッシュ設定は既定無効。該当確認の手順を解説します。
研究・論文 YARAルール検証を検体なしで Aray論文を解説
YARAルールにマッチする無害なファイルを自動生成する論文「Aray」を解説。マルウェア検体を保管・配布せずに検知ルールとスキャナを検証する手法と、公開ルール416件中97.6%という評価結果、実務での使いどころと限界を情シス目線で整理します。
インシデント対応 ビールの縁側に不正アクセス、EC停止の判断と初動
クラフトビール通販「ビールの縁側」が不正アクセスでサイト一時閉鎖。漏えいの有無も原因も調査中という第一報から、情シスが読み取るべき初動・ログ保全・個人情報保護委員会への報告期限を整理します。
研究・論文 APT調査を軽くするグラフ蒸留研究TGL-APT
APT調査は証拠が少なすぎるのではなく多すぎて行き詰まります。システムログのグラフを因果を保ったまま削るTGL-APT（査読前）を、情シスのログ設計・製品選定の観点で読み解きます。
研究・論文 OpenAI Privacy Filterの日本語精度と限界
OpenAIが無料公開したPII自動マスキングモデルのモデルカードがarXivに投稿されました。ローカル実行できる点は情シス向きですが、日本語の再現率は0.866で1割強を取りこぼします。使いどころと使ってはいけない用途を整理します。
研究・論文 IDSの取りこぼしを防ぐ動的サンプリング研究XNET
高速回線ではIDSがパケットを取りこぼし、量の少ないC2通信ほど観測から消えます。XDPで価値の高い通信を優先して残す研究XNET（査読前）を解説し、自社の監視が何%落としているかを確認する方法まで整理します。
研究・論文 脅威インテリジェンスは重ならない｜CTI20年研究
公開CTIレポート16,096本・20年分を解析した研究が、ベンダー間の情報の重なりは平均1.5％と報告。1社のフィードでは特定攻撃者の情報を25％も拾えず、被害地域の上位に日本は入りません。査読前研究の要点を情シス向けに解説します。
脆弱性・脅威情報 エプソン製プリンター266機種に失効ルート証明書
セイコーエプソンがプリンター・スキャナー266機種に失効したルート証明書が残存する脆弱性CVE-2026-73542を公表。中間者攻撃で通信が傍受される恐れがあり、対処はWeb Configでの1台ずつの手動更新です。