Microsoftはセキュリティ脆弱性として報告されたバグをセキュリティ脆弱性ではないなどの理由で修正しないこともあるが、AppleやGoogleが3月に修正したのに対し、Microsoftだけが修正しなかったという脆弱性をCiscoのTalosグループが公表した(Talosのブログ記事、 TALOS-2017-0306、 The Registerの記事、 Softpediaの記事)。

脆弱性はApple SafariやGoogle Chrome、Microsoft Edgeでコンテンツセキュリティポリシー(CSP)のバイパスが可能になるというもの。攻撃の流れとしてはContent-Security-Policy HTTPヘッダーで「'unsafe-inline'」を有効にし、「window.open()」で空のドキュメント(about:blank)を開く。新しいドキュメントは元のドキュメントと同一生成元だが、CSPが無効化されるため、「document.write」関数でコードを書き込めば同一生成元ポリシーを無視して他のWebサイトからデータを読み取ることができる。

Talosでは脆弱性を発見後、2016年11月29日にMicrosoftに通知したが、Microsoftは今年3月に仕様であり、脆弱性ではないと回答。Talosは再考を促したものの、修正の予定はないとの回答を受けて9月6日に脆弱性を公表した。一方、AppleはiOS 10.3およびSafari 10.1で修正済み(CVE-2017-2419)、GoogleもChrome 57.0.2987.98で修正済み(CVE-2017-5033)だ。なお、Mozilla Firefoxでは新しいドキュメントが元のドキュメントからCSPを継承するため、同様の問題は発生しなかったとのことだ。

企業が従業員や職員に対して、攻撃メールの脅威を疑似的に体験させて対応を訓練する「標的型攻撃メール訓練サービス」。この標的型攻撃メール訓練サービスに情報処理推進機構（IPA）が注意を促しているという。IPAによると、「IPAをかたる不審なメールを受信した」という相談が寄せられ、その多くはIPAの組織名を用いた訓練メールだったという。IPAは、訓練でリアリティを追求する観点から、訓練に用いるメールの文面に実在組織名が使用されているとみているという。

しかし、IPAは訓練で実在組織の名称やドメインを使うと、その組織の業務に影響を与える恐れがあるとしている。例えば、受信者が実在組織に問い合わせることで、組織が事実確認に追われたり、受信者が注意喚起などの善意からSNSへ投稿してしまうことで、実在組織の風評被害が拡散したり、状況によっては訴訟問題に発展しかねないとしている。