🔥 この日の重要情報
2026-06-17 更新

📋 本日の目次 (7件)

B
今週中急ぎではないが早めに対応
5件
C
月内に計画的に対応すれば良い
2件
B
今週中

JPCERT/CCが2026年6月17日に発行した週間レポートです

脆弱性🌐 英語ソース
📅 2026-06-17📰 jpcert
📌 一言でいうと
JPCERT/CCが2026年6月17日に発行した週間レポートです。Keras、Microsoft Edge、Oracle PeopleSoft、Splunk、Jenkins、GitLab、OpenSSL、Veeam、Fortinet、SAP、Apache HTTP Server、Google Chrome、VMware、Joomla、Adobe、Microsoftなどの広範な製品における脆弱性が報告されています。特にMicrosoft Edgeでは一部の脆弱性が既に悪用されたとの報告があり、迅速なアップデートが推奨されています。
🔍該当判定
  • 社内でログ管理・分析ツールとして『Splunk』を導入・利用している
  • 社内でAI・深層学習の開発にライブラリ『Keras』を利用している
  • 社内でブラウザ『Microsoft Edge』または『Google Chrome』を利用している
  • 社内でWebサーバー『Apache HTTP Server 2.4』を運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
各ベンダーが提供する最新の修正済みバージョンへのアップデートを適用してください。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】ブラウザおよび利用ソフトの更新のお願い

お疲れさまです。情報システム担当です。
Microsoft EdgeやGoogle Chrome、Adobe製品などの主要なソフトウェアに、セキュリティ上の弱点（脆弱性）が見つかりました。一部のソフトでは既に悪用が確認されているため、早急な対応が必要です。

ご協力をお願いしたいこと:
1. ブラウザ（Edge, Chrome）の更新を確認し、最新版にアップデートしてください。
2. Adobe製品やその他の社内ツールで更新通知が表示された場合は、速やかに適用してください。

対応期限: 本日中
Subject: [Action Required] Please Update Your Browser and Software

Hi everyone,
Security vulnerabilities have been identified in several widely used software applications, including Microsoft Edge, Google Chrome, and Adobe products. Some of these vulnerabilities are already being exploited by attackers.

What we need you to do:
1. Check for updates in your web browsers (Edge, Chrome) and update to the latest version immediately.
2. If you see an update notification for Adobe products or other company tools, please apply it promptly.

Deadline: End of today
🔗 元の記事を読む
B
今週中

ハッカー集団ShinyHuntersが、欧州理事会から約43万件の人事・給与関連データを窃取したと主張しています

脆弱性🌐 英語ソース
📅 2026-06-17📰 ithome_tw
📌 一言でいうと
ハッカー集団ShinyHuntersが、欧州理事会から約43万件の人事・給与関連データを窃取したと主張しています。また、任天堂の従業員フィードバックプラットフォーム「TINYpulse」からのデータ窃取や、教育テック企業Infinite Campusへの攻撃による学生・教職員の個人情報流出も報告されています。さらに、ドイツの医療サービスプロバイダーUnimedへの攻撃によるサプライチェーン攻撃の被害や、ポーランドでの政府官員を装ったCEO向けソーシャルエンジニアリング攻撃への警告も出されています。
🔍該当判定
  • TINYpulse（従業員フィードバック収集ツール）を導入している
  • Salesforceを導入し、外部の教育・人事系サービスと連携させている
  • 給与計算や請求業務を外部の委託業者（BPO）に完全に任せている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
サードパーティ製サービスの権限管理の徹底、特権アカウントの多要素認証(MFA)導入、CEO等の重要人物に対する標的型攻撃（なりすまし）への警戒、サプライチェーンリスクの再評価。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】政府関係者や社内システムを装った不審な連絡への注意について

お疲れさまです。情報システム担当です。
最近、政府高官や社内システムを装い、経営層や社員を狙った巧妙ななりすましメールやメッセージによる攻撃が増加しています。

ご協力をお願いしたいこと:
1. 知り合いや公的機関からの連絡であっても、不自然な要求（パスワードの提示や急ぎの送金、個人情報の入力など）がある場合は、すぐに報告してください。
2. 心当たりのないメールに添付されているファイルやURLは絶対に開かないでください。

対応期限: 本日より継続的に注意してください。
Subject: [Security Alert] Beware of Impersonation and Social Engineering Attacks

Dear employees,
We have observed an increase in sophisticated social engineering attacks where attackers impersonate government officials or internal systems to target executives and staff.

Requested Actions:
1. Be cautious of any unusual requests (e.g., requests for passwords, urgent payments, or personal information), even if the sender appears to be a known contact or official.
2. Do not click on links or open attachments in emails from unknown or suspicious sources.

Deadline: Please remain vigilant starting today.
🔗 元の記事を読む
B
今週中

ClickFixと呼ばれるソーシャルエンジニアリング手法を用いた、新しいマルウェアローダー（BabaDeda Loader, Lorem Ipsum…

事案🌐 英語ソース
📅 2026-06-17📰 hackernews
📌 一言でいうと
ClickFixと呼ばれるソーシャルエンジニアリング手法を用いた、新しいマルウェアローダー（BabaDeda Loader, Lorem Ipsum Loader, Potemkin）の配布キャンペーンが確認されました。攻撃者はユーザーに偽の更新通知などを表示し、PowerShellコマンドを実行させることで、情報窃取ツールやリモートアクセスツール（RAT）を感染させます。特に教育機関や金融機関が標的となっており、ステルス性と回避能力の高い手法が用いられています。
🔍該当判定
  • Webサイト閲覧中に「ブラウザの更新が必要」などの偽警告が表示され、指示通りにコマンド（PowerShell等）を実行した社員がいる
  • 社内でGoogle ChromeやMicrosoft Edgeなどのブラウザを利用しており、不審なポップアップが表示される環境にある
  • 社内PCでPowerShellなどのコマンド実行権限が一般ユーザーに開放されている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なウェブサイトで表示される「更新が必要」などの警告や、指示されたコマンドのコピー＆ペーストを実行しないよう社員に周知してください。また、PowerShellの実行制限やエンドポイント保護製品（EDR）による不審なプロセスの監視を強化してください。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】偽の更新通知によるウイルス感染について

お疲れさまです。情報システム担当です。
ウェブサイトを閲覧中に「ソフトの更新が必要です」といった警告が表示され、特定の操作（コマンドのコピー＆ペーストなど）を促される攻撃が確認されています。

ご協力をお願いしたいこと:
1. ブラウザ上で「更新が必要」と表示され、指示に従ってコマンドを入力したり実行したりしないでください。
2. 公式の更新ルート（Windows Updateや社内配布ソフト）以外からの更新依頼は無視してください。
3. 万が一、不審な操作を行った場合は、すぐに情報システム担当までご連絡ください。

対応期限: 本日中
Subject: [Security Alert] Beware of Fake Software Update Notifications

Hi everyone,
We have observed attacks where users are tricked into infecting their computers by following fake "software update" prompts on websites.

What we need from you:
1. Do NOT copy and paste any commands or follow instructions from pop-ups claiming your software needs an update.
2. Only use official update channels (e.g., Windows Update or company-approved software centers).
3. If you have already performed any suspicious actions, please contact the IT department immediately.

Deadline: Immediate
🔗 元の記事を読む
B
今週中

Atlassianは、Bamboo、Bitbucket、Confluence、Crowd、Fisheye/Crucible、Jira、Jira Service…

脆弱性🌐 英語ソース
🖥️ 製品Atlassian
📅 2026-06-17📰 cccs
📌 一言でいうと
Atlassianは、Bamboo、Bitbucket、Confluence、Crowd、Fisheye/Crucible、Jira、Jira Service Managementなどの複数の製品における脆弱性を修正するセキュリティアドバイザリを公開しました。一部の脆弱性は「重要（Critical）」に分類されており、迅速な対応が求められています。ユーザーおよび管理者は、公式のセキュリティ速報を確認し、必要なアップデートを適用することが推奨されています。
🔍該当判定
  • Jira, Confluence, Bitbucket, Bamboo などの Atlassian 製品を自社サーバーや専用サーバー(Data Center / Server版)で運用している
  • Crowd, Fisheye, Crucible を自社サーバーや専用サーバーで運用している
  • Atlassian製品をクラウド版(Cloud)ではなく、インストール型のパッケージ版で利用している
上記いずれにも該当しない（クラウド版のみ利用、または Atlassian 製品を一切利用していない） → 静観でOK
✅該当時の対応
Atlassianの公式セキュリティアドバイザリを確認し、利用している製品のバージョンが対象であるかを確認した上で、最新の修正済みバージョンへアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Atlassian製品群の脆弱性対応について

お疲れさまです。Atlassian製品の脆弱性に関する情報共有です。

■ 概要
Atlassianの複数の製品（Jira, Confluence, Bitbucket等）において、重要度が高いものを含む複数の脆弱性が報告されました。詳細なCVE番号やCVSSスコアは公式アドバイザリをご確認ください。

■ 影響範囲
- Bamboo Data Center and Server
- Bitbucket Data Center and Server
- Confluence Data Center and Server
- Crowd Data Center and Server
- Fisheye/Crucible (versions 4.9.0 to 4.9.10)
- Jira Data Center and Server
- Jira Service Management Data Center and Server

■ 対応手順
1. 自社で利用しているAtlassian製品のバージョンを確認する
2. Atlassian公式のセキュリティ速報（June 16 2026版）を参照し、修正済みバージョンへのアップデートを計画・実施する

■ 参考情報
- Atlassian Security Advisories and Bulletins

対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Atlassian Product Vulnerabilities Update

Dear IT/Security Team,

This is a notification regarding security vulnerabilities identified in several Atlassian products.

■ Overview
Atlassian has released a security advisory addressing multiple vulnerabilities, some of which are classified as critical, across its product suite.

■ Affected Products
- Bamboo Data Center and Server
- Bitbucket Data Center and Server
- Confluence Data Center and Server
- Crowd Data Center and Server
- Fisheye/Crucible (versions 4.9.0 to 4.9.10)
- Jira Data Center and Server
- Jira Service Management Data Center and Server

■ Action Plan
1. Identify the current versions of Atlassian products deployed in our environment.
2. Review the official Atlassian Security Bulletin (June 16, 2026) and apply the necessary patches/updates immediately.

■ Reference
- Atlassian Security Advisories and Bulletins

Priority: High
Deadline: Immediate
🔗 元の記事を読む
B
今週中

Google Cloud Vertex AI SDK for Pythonに、攻撃者がモデルアップロードをハイジャックできる脆弱性

脆弱性🔄 続報🌐 英語ソース
📅 2026-06-17📰 hackernews
📌 一言でいうと
Google Cloud Vertex AI SDK for Pythonに、攻撃者がモデルアップロードをハイジャックできる脆弱性が発見されました。攻撃者は被害者のプロジェクトIDを利用して予測可能な名前のストレージバケットを事前に作成（バケット・スクワッティング）することで、悪意のあるコードをGoogleのインフラ内で実行させることが可能です。Googleはこの問題を修正済みであり、SDKをバージョン1.148.0以降に更新することが推奨されています。
🔍該当判定
  • Google Cloudの『Vertex AI』を利用して機械学習モデルを運用している
  • Python用の『Vertex AI SDK』を使用してモデルのアップロードを行っている
  • Vertex AI SDKのバージョンが『1.148.0』より古い
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Google Cloud Vertex AI SDK for Python を最新バージョン（1.148.0以降）にアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Google Vertex AI SDK の脆弱性対応について

お疲れさまです。Google Vertex AI SDK に関する脆弱性の情報共有です。

■ 概要
Vertex AI SDK for Python において、ストレージバケットの命名規則の不備を突いた「バケット・スクワッティング」により、モデルアップロード時に攻撃者が用意した悪意のあるコードを実行させられる脆弱性が報告されました（通称：Pickle in the Middle）。

■ 影響範囲
- 対象製品: Google Cloud Vertex AI SDK for Python
- 修正済みバージョン: 1.148.0 以降

■ 対応手順
1. 利用している Python 環境の Vertex AI SDK のバージョンを確認してください。
2. バージョンが 1.148.0 未満である場合は、速やかに最新バージョンへアップデートしてください。

■ 参考情報
- Palo Alto Networks Unit 42 Report

対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Update Google Vertex AI SDK to Prevent Model Hijacking

Dear IT/Security Team,

We are sharing information regarding a vulnerability in the Google Cloud Vertex AI SDK for Python.

■ Overview
A flaw in how the SDK handles temporary Cloud Storage buckets allows an attacker to perform 'bucket squatting'. By predicting the bucket name based on a project ID, an attacker can hijack model uploads and execute arbitrary code within Google's infrastructure (referred to as 'Pickle in the Middle').

■ Scope
- Affected Product: Google Cloud Vertex AI SDK for Python
- Fixed Version: 1.148.0 or later

■ Action Required
1. Verify the version of the Vertex AI SDK used in your development and production environments.
2. Update the SDK to version 1.148.0 or later immediately if you are using an older version.

■ Reference
- Palo Alto Networks Unit 42

Priority: High
Deadline: Immediate
🔗 元の記事を読む
C
月内に

2026年6月9日以降のWindows更新プログラムを適用した環境において、サードパーティ製アプリからMicrosoft Officeアプリ（Word,…

事案🌐 英語ソース
🖥️ 製品Office
📅 2026-06-17📰 bleeping
📌 一言でいうと
2026年6月9日以降のWindows更新プログラムを適用した環境において、サードパーティ製アプリからMicrosoft Officeアプリ（Word, Excel, PowerPoint等）を起動または文書を開くことができない問題が確認されています。この問題はOLEオートメーションを利用してOfficeと連携する特定のアプリケーションに影響し、エラーメッセージが表示されずに起動に失敗する場合があります。Microsoftは現在調査中であり、修正策はまだ提供されていません。
🔍該当判定
  • 2026年6月9日以降のWindowsアップデートを適用したPCがある
  • Word, Excel, PowerPointなどのOfficeアプリを、別のソフト（外部アプリ）から起動して利用している
  • CCH Engagement, Zotero, Workpaper Manager, Dentrix, Softdentなどのソフトを利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
影響を受けているサードパーティ製アプリの利用状況を確認し、Microsoftからの修正パッチまたは回避策の発表を待機してください。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】一部のソフトからOffice製品（Word/Excel等）が開けない不具合について

お疲れさまです。情報システム担当です。
最新のWindows更新プログラムを適用した環境において、一部の外部ソフトからWordやExcelなどのOffice製品を起動しようとすると、正常に開かない不具合が発生していることが報告されています。

ご協力をお願いしたいこと:
1. 業務で利用している外部ソフトからOfficeファイルを開けない現象が発生していないか確認してください。
2. 万が一不具合が発生した場合は、直接Officeアプリを起動してファイルを開くか、情報システム担当までご連絡ください。

対応期限: 本日中
Subject: [Alert] Issue launching Office apps from third-party software

Hi everyone,
We have been notified of an issue where some third-party applications may fail to launch Microsoft Office apps (such as Word or Excel) after recent Windows updates.

What we need from you:
1. Please check if you are experiencing any issues opening Office documents via third-party software.
2. If you encounter this problem, please try opening the Office application first and then opening the file directly, or report the issue to the IT helpdesk.

Deadline: Immediate
🔗 元の記事を読む
C
月内に

Google Threat Intelligenceにより、医療研究機関やヘルスケア施設を標的としたサイバースパイ活動「INFINITERED」

事案🌐 英語ソース
📅 2026-06-17📰 csirt_it
📌 一言でいうと
Google Threat Intelligenceにより、医療研究機関やヘルスケア施設を標的としたサイバースパイ活動「INFINITERED」が確認されました。攻撃者は、インターネットに公開されているREDCap（Research Electronic Data Capture）サーバーの脆弱性を悪用してマルウェアを配布しています。主に北米で確認されていますが、欧州やイタリア国内でも同様の露出インスタンスが存在することが報告されています。
🔍該当判定
  • 自社で「REDCap (Research Electronic Data Capture)」というソフトを導入している
  • 医療研究や臨床試験などのデータ収集に「REDCap」を利用している
  • 「REDCap」をインストールしたサーバーを、外部（インターネット）からアクセス可能な状態で公開している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
REDCapサーバーの公開設定を見直し、不要なインターネット露出を制限すること。最新のセキュリティパッチを適用し、アクセス制御（VPN経由のみなど）を導入することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】REDCapサーバーを標的とした攻撃キャンペーン（INFINITERED）について

お疲れさまです。REDCapサーバーを標的としたサイバースパイ活動に関する情報共有です。

■ 概要
Google Threat Intelligenceにより、医療・研究機関が利用するREDCapサーバーの公開設定を悪用し、マルウェアを配布する「INFINITERED」キャンペーンが確認されました。攻撃者はインターネットから直接アクセス可能なサーバーを標的にしています。

■ 影響範囲
- インターネットに公開されているREDCap (Research Electronic Data Capture) サーバー

■ 対応手順
1. 自社環境においてREDCapサーバーがインターネットに直接公開されていないか確認してください。
2. 不要な公開を停止し、VPNやIP制限などのアクセス制御を導入してください。
3. サーバーのログを確認し、不審なアクセスやファイル変更がないか調査してください。

■ 参考情報
- Google Threat Intelligence / CSIRT-ITA

対応優先度: 高
対応期限: 速やかに確認
Subject: [Security Alert] Malware Campaign Targeting REDCap Servers (INFINITERED)

Dear IT/Security Team,

We are sharing information regarding a cyber-espionage campaign known as 'INFINITERED' targeting REDCap servers.

■ Overview
Google Threat Intelligence has identified a campaign where attackers exploit publicly exposed REDCap (Research Electronic Data Capture) web application servers to distribute malware, specifically targeting medical and healthcare research institutions.

■ Scope
- REDCap servers exposed to the public internet.

■ Recommended Actions
1. Audit your environment to identify any REDCap instances exposed to the public internet.
2. Restrict access to these servers using VPNs, IP whitelisting, or other access control mechanisms.
3. Review server logs for signs of unauthorized access or suspicious file modifications.

■ Reference
- Google Threat Intelligence / CSIRT-ITA

Priority: High
Deadline: Immediate review
🔗 元の記事を読む
C
月内に

SpyCloudの2026年フィッシング・パルス・レポートによると、AIとPhishing-as-a-Service (PhaaS) の普及により…

事案🌐 英語ソース
📅 2026-06-17📰 latestnews
📌 一言でいうと
SpyCloudの2026年フィッシング・パルス・レポートによると、AIとPhishing-as-a-Service (PhaaS) の普及により、企業を標的としたフィッシング攻撃の量と巧妙さが増加しています。Fortune 100企業の86%で従業員データが流出しており、多くの組織がAI生成の攻撃への対策に苦慮しています。特に、AIによる自動化が攻撃のスケールアップを可能にしている点が強調されています。
🔍該当判定
  • 社員が会社支給のメールアドレスを、外部のWebサービス（SNSや通販サイト等）の登録に利用している
  • 社内でAI（ChatGPT等）を導入しており、社員がAIを使ってメール作成や業務効率化を行っている
  • 1,000名以上の従業員を抱える規模の組織である、または大企業と密接な取引がある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
AIによる巧妙なフィッシングメールへの警戒を強めること。多要素認証 (MFA) の徹底と、従業員への最新のフィッシング傾向に関する教育を実施することを推奨します。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】巧妙なフィッシングメールへの警戒について

お疲れさまです。情報システム担当です。
最近、AI（人工知能）を悪用して、本物と見分けがつかないほど巧妙な偽メール（フィッシングメール）を送りつける攻撃が増加しています。

ご協力をお願いしたいこと:
1. 送信者が不明なメールや、不自然な依頼（パスワード変更や至急の確認など）があるメールのリンクを安易にクリックしない
2. 少しでも不審に感じた場合は、開封せずに速やかに情報システム担当まで報告する

対応期限: 本日より継続的に注意してください
Subject: [Security Alert] Beware of Sophisticated Phishing Emails

Hi everyone,

We would like to alert you to a rise in highly sophisticated phishing emails that use AI to mimic legitimate communications, making them harder to detect.

What we need from you:
1. Do not click on links or download attachments from unknown senders or emails requesting urgent actions (e.g., password resets).
2. If you encounter any suspicious emails, please report them to the IT security team immediately without opening them.

Deadline: Ongoing vigilance is required.
🔗 元の記事を読む
C
月内に

F5は、NGINX製品群（DoS, WAF, Instance Manager, Gateway Fabric, Ingress Controller,…

脆弱性🌐 英語ソース
🖥️ 製品F5
📅 2026-06-17📰 cccs
📌 一言でいうと
F5は、NGINX製品群（DoS, WAF, Instance Manager, Gateway Fabric, Ingress Controller, Plus等）における複数の脆弱性を修正するセキュリティアドバイザリを公開しました。影響を受けるバージョンは多岐にわたり、管理者は速やかにアップデートを適用することが推奨されています。詳細な修正内容はMyF5の通知（K000161614）で確認可能です。
🔍該当判定
  • F5社の製品（NGINX Plus, NGINX App Protect, NGINX Gateway Fabricなど）を導入している
  • オープンソース版のNGINX（バージョン 1.30.0〜1.30.2 または 1.31.0〜1.31.1）を利用している
  • NGINX Ingress Controller や NGINX Instance Manager を運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
MyF5のセキュリティ通知（K000161614）を確認し、利用している製品のバージョンが対象であるかを確認の上、最新バージョンへのアップデートを適用してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】F5 NGINX製品群の脆弱性対応について

お疲れさまです。F5 NGINX製品に関するセキュリティアドバイザリの情報共有です。

■ 概要
F5より、NGINX製品群における脆弱性を修正するアップデートが公開されました。詳細な脆弱性内容はMyF5の通知にて提供されています。

■ 影響範囲
- F5 DoS for NGINX (v4.9.0)
- F5 WAF for NGINX Instance Manager (v5.9.0 - 5.13.1)
- NGINX App Protect DoS (v4.3.0 - 4.7.0)
- NGINX App Protect WAF (v5.2.0 - 5.8.0, v4.10.0 - 4.16.0)
- NGINX Open Source (v1.30.0 - 1.30.2, v1.31.0 - 1.31.1)
- NGINX Instance Manager (v2.17.0 - 2.22.0)
- NGINX Gateway Fabric / Ingress Controller (複数バージョン)
- NGINX Plus (v37.0.0 R33 - 37.01 R36)

■ 対応手順
1. 自社環境で利用しているNGINX製品のバージョンを確認してください。
2. MyF5ポータルにアクセスし、アドバイザリ K000161614 を参照してください。
3. 該当する場合、最新の修正済みバージョンへアップデートを適用してください。

■ 参考情報
- F5 Security Advisory (K000161614)

対応優先度: 高
対応期限: 速やかに
Subject: [Security] Vulnerability Remediation for F5 NGINX Products

Dear Team,

F5 has released a security advisory addressing vulnerabilities in several NGINX products.

■ Overview
Updates have been released to fix vulnerabilities across the NGINX product suite. Please refer to the MyF5 notification for specific technical details.

■ Affected Scope
- F5 DoS for NGINX (v4.9.0)
- F5 WAF for NGINX Instance Manager (v5.9.0 - 5.13.1)
- NGINX App Protect DoS (v4.3.0 - 4.7.0)
- NGINX App Protect WAF (v5.2.0 - 5.8.0, v4.10.0 - 4.16.0)
- NGINX Open Source (v1.30.0 - 1.30.2, v1.31.0 - 1.31.1)
- NGINX Instance Manager (v2.17.0 - 2.22.0)
- NGINX Gateway Fabric / Ingress Controller (Multiple versions)
- NGINX Plus (v37.0.0 R33 - 37.01 R36)

■ Action Plan
1. Verify the versions of NGINX products currently deployed in our environment.
2. Review the security notification K000161614 via the MyF5 portal.
3. Apply the necessary updates to the latest patched versions.

■ Reference
- F5 Security Advisory (K000161614)

Priority: High
Deadline: Immediate
🔗 元の記事を読む