B
今週中
GitHubの5,500以上のリポジトリを標的とした「巨齿鲨」マルウェアによるサプライチェーン攻撃
📌 一言でいうと
GitHubの5,500以上のリポジトリを標的とした「巨齿鲨」マルウェアによるサプライチェーン攻撃が確認されました。また、CiscoのCVSS 10.0の脆弱性や、Microsoft Defenderの0Day脆弱性、Chromiumの未修正の脆弱性など、複数の深刻なセキュリティリスクが報告されています。CISAはWindows ShellやAdobeなどの脆弱性を既知の悪用可能リストに追加し、迅速な修正を求めています。
🔍該当判定
- GitHubでコードを管理しており、CI/CD（自動化ワークフロー）を利用している
- Cisco Secure Workload を導入しており、バージョンが 3.10.8.3 または 4.0.3.17 未満である
- Windows Defender を利用しており、最新の更新プログラムを適用していない
- Google Chrome または Microsoft Edge を利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. GitHubリポジトリのコミット履歴を確認し、不審なワークフローがあれば回退させ、秘密鍵を更新すること。2. Cisco Secure Workloadを最新バージョン（3.10.8.3 / 4.0.3.17）へアップデートすること。3. Microsoft DefenderおよびAdobe製品を最新版に更新すること。4. Chromiumベースのブラウザの更新を確認し、未修正の場合は不要な機能を制限すること。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】お使いのソフトウェアの更新とセキュリティ確認のお願い
お疲れさまです。情報システム担当です。
現在、多くのソフトウェアで深刻な脆弱性が発見されており、悪意のある攻撃者がPCを操作したり、情報を盗み出したりするリスクが高まっています。
ご協力をお願いしたいこと:
1. Windows UpdateおよびMicrosoft Defenderを最新の状態に更新してください。
2. Adobe製品やGoogle Chrome、Microsoft Edgeなどのブラウザを最新バージョンにアップデートしてください。
3. 不審なメールの添付ファイルやリンクを絶対に開かないでください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
現在、多くのソフトウェアで深刻な脆弱性が発見されており、悪意のある攻撃者がPCを操作したり、情報を盗み出したりするリスクが高まっています。
ご協力をお願いしたいこと:
1. Windows UpdateおよびMicrosoft Defenderを最新の状態に更新してください。
2. Adobe製品やGoogle Chrome、Microsoft Edgeなどのブラウザを最新バージョンにアップデートしてください。
3. 不審なメールの添付ファイルやリンクを絶対に開かないでください。
対応期限: 本日中
Subject: [Urgent] Please Update Your Software and Security Settings
Dear employees,
Critical security vulnerabilities have been discovered in several widely used software applications, which could allow attackers to gain unauthorized access to your device or steal sensitive information.
Requested Actions:
1. Please run Windows Update and ensure Microsoft Defender is up to date.
2. Update your Adobe products and web browsers (Chrome, Edge, etc.) to the latest versions.
3. Be cautious of suspicious emails and avoid clicking unknown links or attachments.
Deadline: End of today
Dear employees,
Critical security vulnerabilities have been discovered in several widely used software applications, which could allow attackers to gain unauthorized access to your device or steal sensitive information.
Requested Actions:
1. Please run Windows Update and ensure Microsoft Defender is up to date.
2. Update your Adobe products and web browsers (Chrome, Edge, etc.) to the latest versions.
3. Be cautious of suspicious emails and avoid clicking unknown links or attachments.
Deadline: End of today
件名: 【共有】Cisco, Microsoft, Chromium 等の重要脆弱性への対応について
お疲れさまです。複数の重要脆弱性に関する情報共有です。
■ 概要
- Cisco Secure Workload: CVE-2026-20223 (CVSS 10.0) 管理者権限奪取およびデータ漏洩の恐れ。
- Microsoft Defender: CVE-2026-41091, CVE-2026-45498 (0Day) 権限昇格および保護機能の無効化。
- Chromium: 未修正の脆弱性により、ゾンビネットワークへの組み込みリスクあり。
- GitHub: 「巨齿鲨」マルウェアによるCI/CDパイプライン経由の秘密情報窃取。
■ 影響範囲
- Cisco Secure Workload (v3.10.8.3 / 4.0.3.17 未満)
- Microsoft Defender / Windows Shell
- Adobe製品
- Chromiumベースのブラウザ
- GitHubリポジトリ (CI/CDワークフロー利用環境)
■ 対応手順
1. Cisco Secure Workloadを最新バージョンへアップグレードする。
2. Microsoft DefenderおよびWindows OSの最新パッチを適用する。
3. CISAのKEVカタログに基づき、AdobeおよびWindows Shellの脆弱性を修正する。
4. GitHubリポジトリの不審なワークフローを確認し、必要に応じて秘密鍵のローテーションを実施する。
■ 参考情報
- CISA Known Exploited Vulnerabilities (KEV) Catalog
- 各ベンダー公式アドバイザリ
対応優先度: 高
対応期限: 2026年6月3日まで（CISA指定）
お疲れさまです。複数の重要脆弱性に関する情報共有です。
■ 概要
- Cisco Secure Workload: CVE-2026-20223 (CVSS 10.0) 管理者権限奪取およびデータ漏洩の恐れ。
- Microsoft Defender: CVE-2026-41091, CVE-2026-45498 (0Day) 権限昇格および保護機能の無効化。
- Chromium: 未修正の脆弱性により、ゾンビネットワークへの組み込みリスクあり。
- GitHub: 「巨齿鲨」マルウェアによるCI/CDパイプライン経由の秘密情報窃取。
■ 影響範囲
- Cisco Secure Workload (v3.10.8.3 / 4.0.3.17 未満)
- Microsoft Defender / Windows Shell
- Adobe製品
- Chromiumベースのブラウザ
- GitHubリポジトリ (CI/CDワークフロー利用環境)
■ 対応手順
1. Cisco Secure Workloadを最新バージョンへアップグレードする。
2. Microsoft DefenderおよびWindows OSの最新パッチを適用する。
3. CISAのKEVカタログに基づき、AdobeおよびWindows Shellの脆弱性を修正する。
4. GitHubリポジトリの不審なワークフローを確認し、必要に応じて秘密鍵のローテーションを実施する。
■ 参考情報
- CISA Known Exploited Vulnerabilities (KEV) Catalog
- 各ベンダー公式アドバイザリ
対応優先度: 高
対応期限: 2026年6月3日まで（CISA指定）
Subject: [Technical Alert] Critical Vulnerabilities in Cisco, Microsoft, and Chromium
Dear Security Team,
This is a technical briefing regarding several critical vulnerabilities currently being exploited.
■ Overview
- Cisco Secure Workload: CVE-2026-20223 (CVSS 10.0) allows remote admin access and cross-tenant data access.
- Microsoft Defender: CVE-2026-41091 & CVE-2026-45498 (0-days) enable privilege escalation or disabling of protection.
- Chromium: Unpatched high-risk vulnerability allowing devices to be recruited into botnets.
- GitHub: 'Megalodon' malware targeting CI accounts to steal cloud credentials via malicious workflows.
■ Scope
- Cisco Secure Workload (versions prior to 3.10.8.3 / 4.0.3.17)
- Microsoft Defender / Windows Shell
- Adobe products
- Chromium-based browsers
- GitHub repositories utilizing CI/CD workflows
■ Mitigation Steps
1. Upgrade Cisco Secure Workload to the latest patched versions.
2. Deploy latest security updates for Microsoft Defender and Windows OS.
3. Remediate Adobe and Windows Shell vulnerabilities as per CISA KEV guidelines.
4. Audit GitHub workflows for unauthorized commits and rotate compromised secrets/keys.
■ Reference
- CISA KEV Catalog
- Vendor Security Advisories
Priority: High
Deadline: June 3, 2026 (per CISA)
Dear Security Team,
This is a technical briefing regarding several critical vulnerabilities currently being exploited.
■ Overview
- Cisco Secure Workload: CVE-2026-20223 (CVSS 10.0) allows remote admin access and cross-tenant data access.
- Microsoft Defender: CVE-2026-41091 & CVE-2026-45498 (0-days) enable privilege escalation or disabling of protection.
- Chromium: Unpatched high-risk vulnerability allowing devices to be recruited into botnets.
- GitHub: 'Megalodon' malware targeting CI accounts to steal cloud credentials via malicious workflows.
■ Scope
- Cisco Secure Workload (versions prior to 3.10.8.3 / 4.0.3.17)
- Microsoft Defender / Windows Shell
- Adobe products
- Chromium-based browsers
- GitHub repositories utilizing CI/CD workflows
■ Mitigation Steps
1. Upgrade Cisco Secure Workload to the latest patched versions.
2. Deploy latest security updates for Microsoft Defender and Windows OS.
3. Remediate Adobe and Windows Shell vulnerabilities as per CISA KEV guidelines.
4. Audit GitHub workflows for unauthorized commits and rotate compromised secrets/keys.
■ Reference
- CISA KEV Catalog
- Vendor Security Advisories
Priority: High
Deadline: June 3, 2026 (per CISA)