【まとめ】シェミハザと振り返るネット安全（8/30〜9/5）見破りクイズ4問付き

こんにちは！守護者（センチネル）、シェミハザです。8月30日から9月5日までの1週間を振り返ります。
この1週間に並んだ記事を通して見ると、ひとつの共通点がありました。どれも「相手の説明」ではなく「確かめられる事実」で判断する話だったのです。振込先が個人名義かどうか。緊急パッチを当てたかどうか。管理画面のバージョン番号がいくつか。いずれも、相手が何を言っているかとは無関係に、自分で見て確かめられます。

この1週間の「ネット安全」

【見分け方】SNSで著名人が「もうかる方法」を教える｜振込先が個人名義なら詐欺です

国民生活センターが2026年9月1日に公表した注意喚起をもとにした記事です。SNSや動画サイトで著名人が「もうかる方法」を教えると持ちかけ、メッセージアプリのグループへ誘導する手口で、公表された相談事例の被害額は約1,000万円規模になっています。
見分ける決め手はひとつです。国民生活センターははっきりこう書いています。「通常の株やFX等の取引で個人名義の銀行口座に振り込みさせることはありません。指定された口座が個人名義の場合は詐欺です。絶対に振り込まないでください」

この手口が厄介なのは、最初は本当に出金できてしまうことです。相談事例のひとつでは、2銘柄を各50万円で買って売却し、約30万円を実際に出金できたところで信用し、その後に約400万円を送金して連絡が取れなくなっています。
少額の出金は、相手にとっては信用を買うための費用です。「一度お金が戻ってきたから本物だ」という判断は成り立ちません。

エンジニア向け：この1週間のセキュリティアラート

5件を扱いました。このうち2件は、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）が実際に悪用を確認してKEV（悪用が確認された脆弱性カタログ）へ追加したものです。
並べてみると、CVSSスコアの高さと、今すぐ手を動かすべきかは別の話だとよく分かります。スコア10.0でも悪用の報告が無いものがあり、スコア8.8でも実際に攻撃が起きているものがあります。

【緊急】MapLibre GL JS CVE-2026-85061（CVSS v3.1: 10.0 CRITICAL）

地図ライブラリ MapLibre GL JS の6.4.0以前が対象です。サニタイズ処理が危険な属性をひとつ通してしまい、地図の帰属表示を描画した時点でスクリプトが動きます。
npm の maplibre-gl を6.4.1以降へ更新してください。地図を表示しているだけのページも対象になります。

【緊急】LiteLLM CVE-2026-59822（CVSS v3.1: 8.2 HIGH）— 悪用確認済み

CISAが2026年9月2日、LiteLLMのMCP認証バイパスと、Starlette のHostヘッダ検証不備をKEVへ追加しました。LiteLLMは1.84.0、Starletteは1.0.1へ更新してください。
Starlette側はCVSS 6.5と中程度ですが、こちらも悪用確認済みに含まれています。

【緊急】Amelia（WordPress予約プラグイン）CVE-2026-9055（CVSS v3.1: 9.8 CRITICAL）

予約プラグイン Amelia の Premium版 8.0〜9.6.2 に、ログインしていない攻撃者が管理者のパスワードを書き換えて乗っ取れる脆弱性です。修正は9.6.3、最新版は9.8.1です。
注意すべきなのは、無料版とPremium版で版数の体系が違うことです。「たしか最新だったはず」ではなく、管理画面でバージョン番号を確認してください。

【緊急】PaperCut NG/MF CVE-2026-81578（CVSS v4.0: 8.8 HIGH）— 悪用確認済み

認証回避からリモートコード実行へ連鎖させる攻撃が実際に発生し、2026年8月31日にCISAのKEVへ追加されました。
この件の要点は、バージョン番号だけでは安全か判断できないことです。緊急パッチ Release 3 を適用したかどうかで判断します。あわせて、管理画面へインターネットから到達できない状態にしてください。

【注意】Nodemailer CVE-2026-82854（CVSS v4.0: 2.3 LOW）

Node.jsのメール送信ライブラリで、envelope.size を経由してSMTPコマンドを注入されるものです。既定の設定では発生せず、評価もLOWとCRITICALに割れています。
こういうCVEは、スコアを見て慌てるのでも無視するのでもなく、自分の設定が条件に当てはまるかを確認するのが正解です。当てはまるなら8.0.4以降へ更新してください。

AI活用の記事もあります

LINEヤフーのAIエージェント基盤「Agent i」を扱いました。当初のマルチエージェント構想をいったん外し、「1体を確実に作れる基盤」を先に内製したという判断が興味深いところです。公式の技術ブログとプレスリリースで確認できる範囲だけを整理しています。

今回の見破りクイズ — 力試し4問

この1週間の記事を読んでいれば見破れるはずです。前半2問はご家族と、後半2問は仕事仲間と一緒にどうぞ。

この1週間の記事一覧

家族に送るならこの3行

• ▸SNSで著名人が「もうかる方法」を教える広告やDMは、本人ではありません。画像を無断で使っているだけです。
• ▸投資のお金を「個人名義の口座」へ振り込ませたら、詐欺です。会社名ではなく個人の名前なら、絶対に振り込まないでください。
• ▸「出金には税金や手数料が必要」と言われても払わないでください。迷ったら消費者ホットライン188、または警察相談専用電話#9110へ。

困ったときは

「しまった！」と思ったら、状況別の緊急対応ガイドへ。落ち着いて順番に対処すれば大丈夫です。恥ずかしいことではありません。
消費者ホットライン：188（局番なし。「いやや！」と覚えます。最寄りの市区町村や都道府県の消費生活センター等につながる全国共通の3桁番号です）
警察相談専用電話：#9110（最寄りの警察の相談窓口につながる全国共通の番号です）