政府共通の業務実施環境「GSS」に不正アクセス - VPN機器の脆弱性を悪用

同庁は、悪用された脆弱性の共通脆弱性評価システム「CVSS」における評価は、重要度「中（Medium）」程度であると説明。「重大とされる脆弱性などと比べても、短期間で対応した」としているが、修正プログラムやパッチの適用前に悪用されたという。

内部ネットワークへ侵入後、保守運用に用いていたアカウント情報が取得され、悪用されたが、侵害に至った経緯や原因については調査中としている。

問題の発覚を受けて、同庁では7月15日に個人情報保護委員会へ報告。警察庁に相談し、情報共有を進めている。2026年9月11日の時点で個人情報の悪用など二次被害は確認されていないが、対象となる関係者を特定して、個別に連絡を取る方針。

同庁では脆弱性管理や外部接続環境の見直しのほか、ゼロトラスト対策の徹底を図り、侵入対策だけでなく、侵入を受けた場合も被害を最小限に抑えるための対策を推進し、再発の防止を図るとしている。

「GSS」は、各府省庁がそれぞれ構築してきた庁内LAN、業務用PC、ネットワーク環境などを統合するための政府共通の標準的な業務実施環境。独立行政法人なども含め、23機関が利用している。設計にあたっては従来型の境界防御にくわえて、端末や通信を継続的に確認する「ゼロトラスト」の考え方なども導入したとしていた。

（Security NEXT - 2026/09/11 ） ツイート

PR

関連記事

Dellのシンクライアント向けOSに複数の深刻な脆弱性
ホスティング管理ツール「cPanel」に深刻なSQLi脆弱性
米CISA、MikroTik「RouterOS」の脆弱性悪用で注意喚起
「Citrix Workspace app for Windows」に2件の脆弱性
Cisco、9月16日にセキュリティアドバイザリを公開予定
Check PointのVPN機能に深刻なRCE脆弱性 - ライブパッチや更新を提供
「Adobe Acrobat/Reader」にセキュリティ更新 - 脆弱性32件を解消
「FortiOS」や「NetScaler」など脆弱性4件の悪用を警告 - 米当局
米CISA、悪用脆弱性リストに4件を追加
「Ivanti Neurons for ITSM」に複数脆弱性 - 6件が「クリティカル」