情シス・社内SEに関係する国の機関の発表を、公式情報からまとめました。今回は、2026年10月13日に出た4件です。資産管理ツールの脆弱性や、新しい手口の攻撃への注意喚起など、確認しておきたいものがそろいました。
機関ごとのまとめ
JPCERT/CC・IPA
AssetViewに権限昇格の脆弱性(CVE-2026-101020)。 株式会社ハンモックのIT資産管理ツール「AssetView」に、重要なリソースへの不適切なアクセス権の割り当ての脆弱性が見つかりました。深刻度はCVSS 4.0で基本値8.5です。Windowsシステムにログインできる攻撃者が、最上位のSYSTEM権限を取得する恐れがあります。対象はAssetView Ver 13.2.7Bより前の版などで、開発者の情報をもとに最新版への更新かパッチの適用が必要です。AssetView CLOUDは開発者のサポートグループに問い合わせます。
総務省
「アプリ解析からのサーバ攻撃(A2B攻撃)」への注意喚起。 大量の個人情報を扱う事業者が不正アクセスで情報を盗まれる事案が相次いだことを受け、総務省が注意喚起を出しました。NICT(情報通信研究機構)が、原因の一つとして、一般公開されているAndroidアプリを解析して得た情報(サーバの接続先や通信の仕組みなど)を使い、接続先サーバの脆弱性を狙う手口を確認したとしています。アプリ自体に脆弱性がなくても、サーバ側が狙われて情報漏えいにつながる恐れがあり、iOSやWebサービスでも起こりうるとしています。対策として、アプリ側の制御だけに頼らず、サーバ側で適切な認証・認可や入力値の検証を行うこと、ログ調査による侵害確認や脆弱性の点検、暫定的な緩和策を早急に実施するよう求めています。
デジタル庁
本人確認のデジタルアイデンティティの標準ガイドライン(DS-511)の参考資料を更新。 行政手続などで申請者の本人確認を行う際の、デジタルアイデンティティの取り扱いの枠組みやセキュリティ基準、本人確認の手法の選び方を示す標準ガイドラインです。10月13日に、参考資料として「政府機関における本人確認ガイドラインについて」が新たに掲載されました。本人確認・身元確認・当人認証を扱う組織が、公的な水準や手法選択の考え方を参照できます。
JPKI(公的個人認証サービス)の導入事業者・事例一覧を更新。 JPKIは、マイナンバーカードの電子証明書を使って、オンラインで本人確認を行う仕組みです。口座開設などで、本人確認書類の写しや郵送に代えてスマホで手続きを完結できます。デジタル庁は、JPKIを導入した民間事業者の一覧(2026年9月30日時点で1,431事業者)と、活用の基本情報の資料を更新しました。マイナンバーカードを本人確認に使うことを検討する事業者の参考になります。
