政府共通の業務実施環境「GSS」に不正アクセス - VPN機器の脆弱性を悪用

同庁は、悪用された脆弱性の共通脆弱性評価システム「CVSS」における評価は、重要度「中（Medium）」程度であると説明。「重大とされる脆弱性などと比べても、短期間で対応した」としているが、修正プログラムやパッチの適用前に悪用されたという。

内部ネットワークへ侵入後、保守運用に用いていたアカウント情報が取得され、悪用されたが、侵害に至った経緯や原因については調査中としている。

問題の発覚を受けて、同庁では7月15日に個人情報保護委員会へ報告。警察庁に相談し、情報共有を進めている。2026年9月11日の時点で個人情報の悪用など二次被害は確認されていないが、対象となる関係者を特定して、個別に連絡を取る方針。

同庁では脆弱性管理や外部接続環境の見直しのほか、ゼロトラスト対策の徹底を図り、侵入対策だけでなく、侵入を受けた場合も被害を最小限に抑えるための対策を推進し、再発の防止を図るとしている。

「GSS」は、各府省庁がそれぞれ構築してきた庁内LAN、業務用PC、ネットワーク環境などを統合するための政府共通の標準的な業務実施環境。独立行政法人なども含め、23機関が利用している。設計にあたっては従来型の境界防御にくわえて、端末や通信を継続的に確認する「ゼロトラスト」の考え方なども導入したとしていた。

（Security NEXT - 2026/09/11 ） ツイート

PR

関連記事

MSが定例外パッチ、「.NET」脆弱性を修正 - Brotli問題などに対応
「Nextcloud」組込ツールや「Arista VCO」の脆弱性などに注意喚起 - 米当局
ネットワーク統合管理製品「Arista VCO」に深刻な脆弱性 - すでに悪用も
「Apache Tomcat」に脆弱性8件 - 「クリティカル」評価の脆弱性も
Android版「Firefox」に暗号関連の脆弱性 - 修正版が公開
「Splunk Enterprise」に複数の脆弱性 - 修正版が公開
「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱
「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開
「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ
HPEの無線LAN向けOSに多数の脆弱性 - クリティカルが33件