Javaをお使いですか？Oracleの緊急アウトオブバンドパッチを適用したとしても、Java自体を無効化またはアンインストールした方が良いかもしれません。このパッチ自体に脆弱性があり、Javaが新たな攻撃に対して脆弱になっていることが判明しました。
セキュリティ専門家によると、OracleのJavaパッチは、現在実環境で攻撃に悪用されている複数の「ゼロデイ」脆弱性を解決します。しかし、今年初めに発見されOracleに報告された脆弱性も残っており、攻撃者がJavaサンドボックスの保護を回避し、標的のシステム上で悪意のあるコードを実行できる可能性があります。
OracleのJavaは、新たな攻撃対象として注目を集めています。かつて攻撃者は、セキュリティチェーンの弱点としてAdobe製品を標的としていましたが、Adobeは製品のセキュリティ向上、そしてさらに重要な点として、パッチとアップデートのスピードと予測可能性の向上に尽力してきました。その結果、攻撃の焦点はOracleに移り、Oracleは対応の準備が整っていないように見えます。
攻撃者が悪用したとされるゼロデイ脆弱性は、真の「ゼロデイ」ではありません。これらの脆弱性は4月に発見され、Oracleに報告されました。Oracleは表向き、これらの脆弱性をいずれ修正する予定であり、できれば今秋に予定されている定期アップデートで修正されることを期待していました。重大な脆弱性を数ヶ月も放置しておくと、攻撃者に時間を与えてしまい、顧客に明らかな不利益をもたらすことは明らかです。
新しいJavaパッチに含まれる脆弱性について警鐘を鳴らしたポーランドのセキュリティ研究者、Security Explorationsによると、Oracleには未修正の脆弱性がまだかなり多く残っているという。今年Oracleに報告された29件の問題のうち、25件はまだ修正されていない。
Windows PC、Mac PC、スマートフォン、タブレットなど、すべてのデバイスに何らかのマルウェア対策ツールまたは一般的なセキュリティツールを導入することをお勧めします。セキュリティツールは、特定の悪意のある動作を特定することで未知の脅威を検出できる場合が多く、セキュリティベンダーは一般的に、影響を受ける製品のパッチリリースを待つ間、新たな脅威の検出とブロックに迅速に対応し、ユーザーを保護します。
セキュリティソフトウェアを導入していても、デバイスを不必要なリスクにさらす必要はありません。Javaを頻繁に使用する場合、または特定のタスクでJavaに依存している場合は、Oracleのパッチを適用し、次の脅威に備えましょう。ただし、Javaを日常的に使用しない場合は、ぜひ無効化または削除してください。
Appleは、Mac OS Xシステムを悩ませているFlashbackマルウェアに対処するため、Javaのパッチをようやくリリースした際、他の企業も参考にすべき積極的な対策も講じました。Javaが使用されていない場合、自動的に無効化するシステムを導入しました。Javaが35日間使用されていない場合、AppleはJavaを単純に無効化し、潜在的な攻撃経路として排除します。
Oracle が行動を改め、既知の脆弱性に対処するためのより合理的かつ効果的な方法を開発しない限り、Apple からヒントを得るのは理にかなっている。
