脆弱性・脅威情報 OpenFGAに脆弱性、キャッシュで認可が誤判定
認可エンジンOpenFGAに、キャッシュキーの衝突で別リクエストの判定結果を再利用しうる脆弱性CVE-2026-48096。v1.16.0未満が対象で、条件のキャッシュ設定は既定無効。該当確認の手順を解説します。
アクセス制御
脆弱性・脅威情報 
インシデント対応 晴れる屋2で2.8万件が閲覧可能 設定不備の7時間
ポケモンカード専門店「晴れる屋2」で、抽選販売の応募者情報2万8490件が約7時間、外部から閲覧可能な状態にありました。原因は「設定の不備」。情シスの台帳に載らない現場発の応募フォームがなぜ穴になるのか、報告義務と再発防止の要点を整理します。
脆弱性・脅威情報 VSee Clinicに脆弱性2件、未認証でSFTP情報露出
遠隔医療プラットフォームVSee Clinicに深刻な脆弱性2件。認証不要でSFTP接続情報が平文露出（CVE-2026-13380、CVSS9.0）と、他人のファイルを取得・削除できるIDOR（CVE-2026-13381）。修正版と自社影響の確認手順を解説します。
研究・論文 AWS IoTポリシーの盲点 個別確認では不十分
AWS IoT Coreの権限は1台ずつ確認しても安全とは限りません。デバイス間に生まれる意図しない情報の流れを形式手法で検証する査読前の研究を、情シスの権限レビュー実務の視点で読み解きます。
インシデント対応 生保協会3.7万件閲覧可能、外部指摘で発覚の教訓
生命保険協会は2026年7月29日、契約照会システムの利用者情報約3.7万件が外部から閲覧可能だったと公表。外部指摘での発覚、Web申請停止の判断、業界共通システム利用のリスクを情シス視点で整理します。
インシデント対応 情報処理学会で会員544件が閲覧可能に、権限残置の教訓
情報処理学会が、傘下「情報科学若手の会」の個人情報544件を対象外の関係者が閲覧できる状態だったと公表。退任者の権限残置と共有リンクの無効化漏れという、どの組織でも起きうる運用の穴を情シス目線で解説します。
研究・論文 AIエージェントの「停止」は効くのか 承認ゲートの穴を検証
AIエージェント基盤の「承認ゲート」「キャンセル」「タイムアウト」は、止めたはずでも副作用が実行されることがある——査読前研究が6つの主要フレームワークで実効性の欠落を測定。情シスが押さえるべき論点を解説します。
研究・論文 AIエージェント型クローラーへの対抗策を探る研究
LLMエージェント型クローラーは従来のアクセス制御を素通りします。人間には読めるまま、AIが要約すると情報が壊れる保護手法を提案した査読前の研究を、情シスの視点で読み解きます。
用語解説 最小権限の原則とは？情シスが押さえる基本と実務
最小権限の原則とは、利用者やプログラムに業務遂行上必要な最小限の権限だけを与える考え方です。定義・背景・RBACやPAMによる実装、情シスが運用で陥りやすい落とし穴までを実務目線で解説します。