セキュリティ
脆弱性・暗号・プライバシー
Index
count=175- セキュリティtheme: テクノロジー
端末コードフィッシング、37 倍急増と 18 種キット流通
検知件数が前年比 37 倍に急増し、18 種類のキットが野外で観測された端末コード認証フローを狙う攻撃「device code phishing」の 2026 年動向を Push Security が公表。パスワード・MFA・パスキーを回避する PhaaS 化が進む。
- セキュリティtheme: テクノロジー
Ghostcommit：画像で AI コードレビューを突破
AI コードレビュー支援ツールが画像ファイルをレビュー対象から外す運用を突き、PNG に隠したプロンプトでコーディングエージェントに .env を漏出させる新手法「Ghostcommit」が公開された。Cursor / Antigravity が実際に秘密情報を漏らしたと研究者は報告している。
- セキュリティtheme: テクノロジー
Zimbra、Classic Web Client の重大 XSS 修正を緊急告知
Zimbra Collaboration Suite の Classic Web Client に、細工メールを開くだけで任意コード実行につながる保存型 XSS が発見された。10.1.19 への更新が推奨されている。
- セキュリティtheme: テクノロジー
IntelliJ IDEA に CVSS 9.6 の RCE 脆弱性
JetBrains は 7 月 10 日、IntelliJ IDEA でプロジェクト workspace ID のハンドリングにおけるパストラバーサル経由でリモートコード実行が可能な脆弱性 CVE-2026-59792 (CVSS 9.6) を公開した。修正版は 2026.1.4 および 2026.2 で、同社の TeamCity にも同日 CVE-2026-59793 など複数の脆弱性が公表されている。
- セキュリティtheme: テクノロジー
Ill Bloom で暗号ウォレット 500 万ドル以上流出
セキュリティ企業 Coinspect が公開した暗号資産ウォレットの脆弱性「Ill Bloom」を悪用し、リカバリーフレーズの弱い乱数生成を突いた攻撃で 500 万ドル超が既にウォレットから流出した。Bitcoin、Ethereum、Solana など複数チェーンの旧世代ソフトウェアウォレットが対象。
- セキュリティtheme: テクノロジー
Progress、ShareFile 顧客に緊急シャットダウン指示
Progress Software は 7月10日、オンプレミス版 ShareFile Storage Zone Controller を運用する顧客に対して「信頼性の高い外部脅威」を検知したとしてサーバーの即時シャットダウンを指示する緊急通知を送付した。詳細な脆弱性内容や攻撃者は公表されていない。
- セキュリティtheme: テクノロジー
Ubiquiti、UniFi Connect に CVSS 10.0 のコマンドインジェクション脆弱性
Ubiquiti は 7月9日、Security Advisory Bulletin 066 で UniFi Connect アプリに存在する CVSS 10.0 の脆弱性 CVE-2026-50746 を含む 7 件の critical 級バグを公開。ネットワーク到達可能な攻撃者が host へコマンドインジェクションを実行可能で、Censys は約 10 万台の UniFi OS エンドポイントがインターネット公開されていると報告している。
- セキュリティtheme: テクノロジー
出光興産で 36 億円のサイバー詐欺被害 — 香港拠点起点、なりすまし手口が高度化
出光興産の 2020 年以降の被害総額約 36 億円が判明。香港拠点を起点にビジネスメール詐欺 (BEC) 型の「サイバー詐欺」が実行された。日経クロステックが決算開示情報を集計した特集で、ランサム攻撃と並ぶ深刻さを指摘している。
- セキュリティtheme: テクノロジー
Accenture、35GB のソースコード窃取を認める — 888 名義の売り出しで発覚
コンサル大手 Accenture は、脅威アクター「888」がサイバー犯罪フォーラムに 35GB の窃取データを出品した件を「隔離された事象」として公式に認めた。含まれるとされるのは Azure DevOps のソースコード、RSA / SSH 鍵、Azure PAT、.env ファイル群。
- セキュリティtheme: テクノロジー
Adobe ColdFusion CVE-2026-48282 が野生で悪用中 ⇒ 公開 2 時間で攻撃開始、CISA 期限は 7月10日
Adobe が 6月30日に公開した ColdFusion のパストラバーサル脆弱性 CVE-2026-48282 (CVSS 10.0) について、詳細公開から 2 時間以内に実運用環境での悪用が確認されました。CISA は 7月7日 KEV に追加、FCEB 各機関には 7月10日までのパッチ適用を BOD 26-04 で命令しています。認証も操作も不要な RCE です。
- セキュリティtheme: テクノロジー
Gitea Docker で CVE-2026-20896 が野生で悪用中 ⇒ ヘッダ 1 行で管理者権限奪取
Gitea 公式 Docker イメージの重大脆弱性 CVE-2026-20896 (CVSS 9.8) が、公開から 13 日後に実運用環境で活発に悪用されていることを研究者が警告。単一の HTTP ヘッダ `X-WEBAUTH-USER` で認証を回避し、任意のユーザー (管理者を含む) になりすませます。
- セキュリティtheme: テクノロジー
NTT データ・ドコモビジネス、フロンティア AI のサイバー対応サービス 7月末開始 ⇒ 銀行・電力向け
NTT データと NTT ドコモビジネスは 7月7日、フロンティア AI を活用した企業向けサイバーリスク対応サービスを 7月31日に提供開始すると発表しました。銀行・電力など重要インフラ事業者を主対象に、脆弱性発見・影響評価・優先度判断・修復方針策定・修復対応までを一気通貫で支援。AI 提供パートナーは Anthropic・OpenAI などが念頭にあるとみられ、最終判断は NTTDATA-CERT の人的検証を挟む「AI+人」の運用設計となります。
- セキュリティtheme: テクノロジー
「TrojPix」、映像ケーブルを電磁アンテナ化しエアギャップ PC から 208 m 先へデータ流出 ⇒ 従来比 27 倍
山東大学と Quan Cheng Laboratory の研究チームは 7月6日、エアギャップ環境の PC から映像ケーブルを電磁的アンテナとして利用しデータを流出させる新型サイドチャネル「TrojPix」を公表しました。人間の目に不可視な画面ピクセル変調で最大 8.1 Mbps・208 m 先まで復号可能で、従来 EM covert channel の約 27 倍の性能。USENIX Security 2026 (35 回) で発表予定です。
- セキュリティtheme: テクノロジー
北朝鮮系「PolinRider」、npm・Packagist・Go・Chrome に 108 個の悪意パッケージ ⇒ 開発者資格情報を大量窃取
北朝鮮系「Contagious Interview」に紐付く供給網攻撃「PolinRider」が、npm・Packagist・Go・Chrome の 4 レジストリに合計 108 個の悪意パッケージを配布。既存メンテナ口座を乗っ取り、通常のアップデート経由で DEV#POPPER / OmniStealer を落とし込みます。
- セキュリティtheme: テクノロジー
新型モジュラー型マルウェア「Avalon」、CrownX ランサム機能と LLM 経由の C2 を統合
The Hacker News は 7月3日、これまで未報告のモジュラー型マルウェアフレームワーク「Avalon」を報じました。認証情報窃取・横移動・回復妨害・ランサム化 (CrownX) をワンストップで実行し、C2 は攻撃者の自然言語を Groq の公開 LLM API でシェルコマンドに変換する新設計です。
- セキュリティtheme: テクノロジー
Sysdig、LLM が単独で完結させる初の agentic ランサム「JADEPUFFER」を報告 ⇒ Langflow RCE から本番 DB 破壊まで自動化
Sysdig TRT が Langflow の未認証 RCE (CVE-2025-3248) を起点に、初期侵入から MySQL/Nacos 破壊までを完全自動化した AI エージェント運用「JADEPUFFER」を公表。
- セキュリティtheme: テクノロジー
Linux kernel の epoll に use-after-free ⇒ CVE-2026-46242 「Bad Epoll」で一般ユーザーが root 昇格
Google kernelCTF に 0-day として持ち込まれた Linux kernel の use-after-free。カーネル 6.4 以降と Android 一部端末が対象で、上流には修正済み。
- セキュリティtheme: テクノロジー
Linux 6.9 以降、LUKS suspend が暗号鍵をメモリから消去しない回帰 ⇒ サスペンド中の鍵抜き取りリスク
Privacy Guides コミュニティに 7月2日投稿されたスレッドが Hacker News で反響を呼んでいます。Linux 6.9 以降、`cryptsetup luksSuspend` が本来行うべき LUKS 暗号鍵の RAM 消去が抜け落ちており、サスペンド状態のノート PC が奪われた場合の鍵抽出リスクが再浮上しました。
- セキュリティtheme: テクノロジー
米国土安全保障省 (DHS) HSIN 情報共有網に不正侵入 ⇒ 上院情報委員会が国家安全保障リスクを警告
DHS は 7月2日、連邦・州・地方・海外・民間パートナーが機微情報を共有する Homeland Security Information Network (HSIN) が侵害されたと確認しました。侵入は 5月末から 6月初旬に発生したとみられ、上院情報委員会の Warner 議員 (民主) は国家安全保障リスクだと警告しています。
- セキュリティtheme: テクノロジー
SharePoint Server の RCE CVE-2026-45659 が悪用 ⇒ CISA が KEV 追加、7月4日期限
CISA は 7月1日、SharePoint Server の RCE 脆弱性 CVE-2026-45659 (CVSS 8.8) を Known Exploited Vulnerabilities カタログに追加しました。Microsoft は 5月に修正済みで当初「悪用可能性は低い」と評価していましたが、実運用での悪用が確認され、連邦機関には 7月4日までの適用が命じられました。
- セキュリティtheme: テクノロジー
Palo Alto Unit 42 が "phantom squatting" 警告 LLM が創作した架空ドメインを攻撃者が先取り登録
Palo Alto Networks Unit 42 は LLM が幻覚で吐き出す実在しないドメインを攻撃者が先回りで登録しフィッシング拠点化する新手法 "phantom squatting" を報告しました。913 ブランドを対象とした調査で 210万 URL が生成され、うち約 25万件が未登録で狙われうる状態にあります。
- セキュリティtheme: テクノロジー
Cursor IDE に致命的 RCE 2 件 DuneSlide ⇒ ゼロクリック prompt injection でサンドボックス脱出
Cato AI Labs は 7月1日、AI コードエディタ Cursor IDE に CVSS 9.8 の RCE 脆弱性 2 件 (CVE-2026-50548 / 50549、通称 DuneSlide) を開示しました。ゼロクリック prompt injection でサンドボックスを脱出し任意コマンド実行が可能で、Cursor 3.0 未満が影響。
- セキュリティtheme: テクノロジー
Adobe が ColdFusion と Campaign Classic に緊急パッチ 6 件が CVSS 10.0 匿名 RCE
Adobe は 6月30日、ColdFusion 2025 / 2023 と Campaign Classic 向けに緊急セキュリティ速報を公開し、CVSS 10.0 の脆弱性 6 件を含む計 11 件を修正しました。認証不要の RCE を含み、優先度は最高の Priority 1。
- セキュリティtheme: テクノロジー
Progress Kemp LoadMaster に事前認証不要 root RCE watchTowr が CVE-2026-8037 の PoC 公開
Progress Software の負荷分散アプライアンス Kemp LoadMaster にある事前認証不要の root RCE 脆弱性 CVE-2026-8037 (CVSS 9.8) について、watchTowr Labs が 6月29日に技術詳細と exploit chain を公開しました。パッチは 6月4日付ですが、境界に置かれる機器のため未適用環境では即応が必要です。
- セキュリティtheme: テクノロジー
SimpleHelp の OIDC 認証バイパス CVE-2026-48558 が悪用 ⇒ Djinn Stealer を投下
RMM 製品 SimpleHelp の OIDC 認証バイパス (CVSS 10.0) が実環境で悪用され、Node.js 製ローダ TaskWeaver と新型情報窃取マルウェア Djinn Stealer の展開に使われている。CISA は KEV カタログに登録、米連邦機関の対処期限は 7 月 2 日。
- セキュリティtheme: テクノロジー
Apache Tomcat、6月29日に複数脆弱性を一斉公開 GSSAPI 認証回避と DefaultServlet RCE を含む
Apache Tomcat プロジェクトは 6月29日、複数の脆弱性を Tomcat 11/10/9 系の security advisory ページで一斉公開。JNDIRealm の GSSAPI 認証回避、DefaultServlet 経由の RCE、EncryptInterceptor のリプレイ攻撃などが含まれます。利用者は最新パッチへの更新が必要です。
- セキュリティtheme: テクノロジー
匿名 GitHub「bikini」が 130 件超の 0-day PoC を一括公開 libssh2・Gitea 含む
GitHub の匿名アカウント「bikini」が、22 プロジェクトにまたがる 130 件超の未パッチ 0-day PoC をベンダー通報なしで一括公開した「exploitarium」リポジトリが Hacker News 上位入りし議論を呼んでいます。libssh2 と Gitea の致命的な脆弱性が含まれます。
- セキュリティtheme: テクノロジー
Linux「pedit COW」CVE-2026-46331 公開 PoC で setuid バイナリ汚染し root 奪取
Linux カーネルの net/sched 配下にある act_pedit に部分 COW で起きるページキャッシュ破壊の脆弱性 CVE-2026-46331 (通称 pedit COW) について、PoC が公開され setuid バイナリのキャッシュを汚染する形で root 権限を取得できると The Hacker News が報じました。
- セキュリティtheme: テクノロジー
「Gaslight」macOS マルウェア、38 通の偽システムメッセージで AI 解析を欺く
SentinelLABS は 6 月 26 日、Rust 製の macOS バックドア「macOS.Gaslight」を解析公開。3.5KB の Prompt Injection ペイロードに偽システムメッセージを 38 通仕込み、LLM ベースのマルウェア解析を強制的に中断させる挙動を確認したと報告しています。北朝鮮系の関与が示唆されています。
- セキュリティtheme: テクノロジー
Polymarket、第三者ベンダー経由のサプライチェーン攻撃で PUSD 約 300 万ドル流出
予測市場 Polymarket は、第三者ベンダー侵害で同社フロントエンドに悪意ある JavaScript が混入し、ウォレット接続したユーザー 11 人超から PUSD で約 294 万ドル相当が流出したと公表しました。同社は被害分の全額返金を約束。
- セキュリティtheme: テクノロジー
FBI、ロシア情報機関が Signal の Backup Recovery Key を狙うフィッシングと警告
FBI と CISA は 6 月 26 日、ロシア情報機関 (RIS) 系列のフィッシング攻撃が Signal の Backup Recovery Key 窃取に手口を進化させたと警告。鍵を渡すと過去メッセージや復元バックアップが恒久的に閲覧されると注意喚起しました。
- セキュリティtheme: テクノロジー
Shopify の Shop アプリに偽注文を挿入 コールバック型 phishing が拡大
Gen Digital は、Shopify の注文追跡アプリ Shop に Norton や Apple、PayPal を装う偽購入レシートを差し込み、記載の電話番号へ折り返させて遠隔操作ソフトや認証情報を盗む callback phishing キャンペーンを公開しました。北米で 5000 万 DL のアプリへの信頼を悪用する点が特徴です。
- セキュリティtheme: テクノロジー
Cisco SD-WAN ゼロデイ CVE-2026-20245 悪意 CSV で root 奪取と Mandiant
Google 傘下 Mandiant は Cisco Catalyst SD-WAN Manager の高深刻度欠陥 CVE-2026-20245 がパッチ前 2 か月以上にわたりゼロデイ悪用され、攻撃者が evil_tenant.csv を投入して /etc/passwd と /etc/shadow を直接書き換え、root 権限の troot アカウントを作成していたと公表しました。
- セキュリティtheme: テクノロジー
PTC Windchill RCE 脆弱性が実環境で悪用 JSP Web シェル投入を確認
製造業向け PLM プラットフォーム PTC Windchill / FlexPLM の致命的 RCE 脆弱性 CVE-2026-12569 (CVSS 9.3) が実環境で攻撃に使われていることが確認されました。CISA も同 KEV カタログに追加し、米連邦機関に 6 月 28 日までの修正適用を指示しています。
- セキュリティtheme: テクノロジー
@nifty メール不正アクセス、パスワード変更殺到で通知メール一時停止
ニフティは @nifty メールの不正アクセスでメールアドレスとパスワードが漏えいした可能性があると 6月23日に告知し、6月25日にはパスワード変更要請のアクセス集中でログイン通知メールを一時停止しました。
- セキュリティtheme: テクノロジー
Symantec、ステルス バックドア「Mistic」を発見 ランサム前段の足場に
Symantec は 4月以降、保険・教育・IT・専門サービス業を狙う新型バックドア「Mistic」(別名 MLTBackdoor) の活動を確認。インシデント・アクセス・ブローカー KongTuke が展開し、Qilin・Akira・Black Basta などランサム前段の足場として用いられているとされます。
- セキュリティtheme: テクノロジー
Cisco Unified CM の SSRF 欠陥に webshell 投入、自動攻撃を観測
CVSS 8.6 の Cisco Unified CM 脆弱性 CVE-2026-20230 を巡り、Defused のハニーポットが 3 段階構成の JSP webshell を投下する自動攻撃を観測。パッチ適用後も既設の webshell は残存するため、痕跡調査が必要。
- セキュリティtheme: テクノロジー
CISA、Ubiquiti UniFi OS の最大深刻度脆弱性 3 件を KEV に追加
米 CISA は、Ubiquiti UniFi OS の CVE-2026-34908 / 34909 / 34910 (いずれも CVSS 10.0) を KEV カタログへ追加。攻撃者がローグ管理者「John Sim」を作成する実攻撃が観測され、連邦機関は 6月26日までのパッチ適用が求められる。
- セキュリティtheme: テクノロジー
CI/CD脆弱性「Cordyceps」、Microsoft等の300超リポジトリが被害
Novee Security が GitHub Actions のサプライチェーン脆弱性「Cordyceps」を公表。約3万リポジトリをスキャンし、300以上で完全な攻撃チェーンを確認した。
- セキュリティtheme: テクノロジー
LastPass、Klue 経由の OAuth 窃取で顧客 CRM 流出
LastPass が、市場調査 SaaS Klue を起点とするサプライチェーン攻撃で OAuth トークンを奪われ、Salesforce 上の顧客 CRM データが Icarus グループに流出したと発表した。
- セキュリティtheme: テクノロジー
KDDI、ISP 向けメール基盤に不正アクセス 最大 1422 万件流出か
KDDI が ISP 事業者向けに提供するメールシステムへの不正アクセスを 6 月 23 日に公表。@nifty・BIGLOBE・J:COM など 6 社で計 1422 万件のメールアドレスとパスワードが漏洩した恐れ。
- セキュリティtheme: テクノロジー
Squidbleed、29 年前の Squid バグを Claude Mythos が発見
Squid Proxy の FTP パーサにヒープ over-read CVE-2026-47729。Calif.io が Claude Mythos Preview の支援で 1997 年からの欠陥を発掘した。
- セキュリティtheme: テクノロジー
OpenAI「Patch the Planet」公開 OSS の脆弱性発見と修正を AI で支援
OpenAI が Daybreak の一環として Patch the Planet を公開。Trail of Bits や HackerOne と連携し、GPT-5.5-Cyber で OSS の脆弱性発見からパッチ提出までを支援する。
- セキュリティtheme: テクノロジー
Tata、Apple/Tesla 機密含む 630GB の漏洩認める
インドの Tata Electronics がサイバー攻撃を認めた。Apple や Tesla の設計情報を含む 630 GB 超のデータがハッカーフォーラム上に流出している。
- セキュリティtheme: テクノロジー
新ランサム「Prinz Eugen」、新しいファイル優先で暗号化
Go 言語製の新ランサムウェア「Prinz Eugen」が確認された。最新更新ファイルから順に暗号化し、システムに身代金要求文書を残さない。研究者は少なくとも 5 件の被害を把握しており、痕跡を抑える設計が特徴。
- セキュリティtheme: テクノロジー
WordPress Gravity SMTP の認証回避欠陥、1700 万件の悪用試行
10 万サイトに導入されている WordPress プラグイン Gravity SMTP の情報漏洩欠陥 CVE-2026-4020 を狙う攻撃が継続。Wordfence は活動開始以降 1700 万件超の悪用試行をブロックしたと報告した。
- セキュリティtheme: テクノロジー
東北大、4 月の不正アクセス続報を公表 元入院患者に申告呼びかけ
ITmedia NEWS は 6 月 19 日、東北大学が 4 月に確認した教員 PC 経由の不正アクセスについて、漏えい可能性のある一部対象者と連絡が取れていないと発表したと報じました。2003 年以降の元入院患者と治験分担医師に対し、大学側へ申告するよう呼びかけています。
- セキュリティtheme: テクノロジー
CISA、Splunk Enterprise の認証欠陥を KEV 追加 21 日修正命令
CISA は 6 月 18 日、Splunk Enterprise の未認証 RCE につながる CVE-2026-20253 を Known Exploited Vulnerabilities (KEV) カタログに追加し、米連邦政府機関に 6 月 21 日までの修正適用を BOD 26-04 に基づき命令しました。
- セキュリティtheme: テクノロジー
PayPay、「請求リンク」「マイコード」での受け取りに本人確認を必須化
PayPay は 6 月 18 日、「請求リンク作成」と「マイコード表示」を使った残高受け取り機能に本人確認 (eKYC) を必須化したと発表しました。「送る・受け取る」を悪用した詐欺対策の一環です。
- セキュリティtheme: テクノロジー
CISA、Joomla JCE 拡張の CVSS 10 脆弱性を KEV 追加 19 日修正命令
CISA は Widget Factory 製 Joomla Content Editor 拡張の最大深刻度脆弱性 CVE-2026-48907 を KEV カタログに追加し、連邦民間行政機関に 6 月 19 日までのパッチ適用を命じました。
- セキュリティtheme: テクノロジー
CyberAgent ドットマネー、不正アクセスで停止続く 復旧 1 カ月
サイバーエージェントは 6 月 17 日、不正アクセスにより停止しているポイント交換サービス「ドットマネー」と「ドットギフト」の続報を公表しました。6 月 8 日からの全機能停止が続き、復旧には停止開始から約 1 カ月を要する見込みとしています。
- セキュリティtheme: テクノロジー
Fortinet VPN 認証情報 7.4 万件流出「FortiBleed」発覚
セキュリティ研究者 Bob Diachenko 氏らは 6 月 17 日、世界 194 カ国 73,932 台分の Fortinet / FortiGate VPN 認証情報が公開サーバーから漏洩していたと発表しました。FortiBleed と命名されたこの事案では、ユーザー名と平文パスワードが含まれていました。
- セキュリティtheme: テクノロジー
Mastra npm 144 パッケージで大規模供給網攻撃
The Hacker News は 6 月 17 日、AI フレームワーク Mastra の npm スコープが乗っ取られ、144 パッケージに dayjs 偽装ライブラリ「easy-day-js」が依存追加されたと報じました。週次 91 万 DL の @mastra/core を含み、北朝鮮系 APT BlueNoroff との関連も指摘されています。
- セキュリティtheme: テクノロジー
JetBrains の悪性プラグインで AI API 鍵を窃取
BleepingComputer は 6 月 17 日、JetBrains Marketplace 上の少なくとも 15 種の不正プラグインが、ユーザーが設定画面に入力した OpenAI / DeepSeek などの API キーを攻撃者サーバーへ密かに送信していたと報じました。合計約 7 万回インストールされていました。
- セキュリティtheme: テクノロジー
SoftBank、OpenAI 技術でインフラ 3,000 社にサイバー防御パッチ提供
SoftBank と OpenAI は 6 月 16 日の東京イベントで、空港・電力・交通などインフラを支える日本の主要 3,000 社向けに OpenAI 技術を用いた「パッチサービス」を提供すると発表しました。孫正義氏はサイバー攻撃を「黒船」になぞらえ、危機感を訴えています。
- セキュリティtheme: テクノロジー
Cisco Catalyst SD-WAN Manager に新ゼロデイ、限定的攻撃を確認
Cisco は 6 月 16 日、Catalyst SD-WAN Manager (旧 vManage) の任意ファイル書き込み脆弱性 CVE-2026-20262 (CVSS 6.5) を公表しました。限定的な標的型攻撃で悪用が確認されており、CISA も KEV カタログに追加して連邦機関に 6 月 29 日までのパッチ適用を命じています。
- セキュリティtheme: テクノロジー
三菱電機の Wi-Fi 家電に脆弱性、エアコンや冷蔵庫など広範囲が対象
ITmedia は、三菱電機が Wi-Fi 対応の霧ヶ峰や冷蔵庫、給湯機など広範な家電にハードコードされた認証情報の脆弱性が見つかったとしてユーザーに対応を求めていると報じた。
- セキュリティtheme: テクノロジー
CISA、LiteSpeed cPanel プラグインの root 昇格脆弱性に修正命令
BleepingComputer は、CISA が LiteSpeed の cPanel プラグインに存在する権限昇格脆弱性 CVE-2026-54420 を KEV カタログに追加し、連邦機関に 6 月 18 日までの修正を命じたと報じた。
- セキュリティtheme: テクノロジー
NEC と英 BAE、能動的サイバー防御で日本政府向け協業 MOU
NEC と英 BAE Systems が、日本政府への能動的サイバー防御 (ACD) 導入に向けた覚書を締結。日英戦略的サイバーパートナーシップに沿った官民連携の一環。
- セキュリティtheme: テクノロジー
WordPress 主要プラグインの CDN 改ざんで 120 万サイト規模の供給網攻撃
OptinMonster や PushEngage など Awesome Motive 製プラグインの CDN が改ざんされ、管理者ログイン時に偽の管理者アカウントを作成するスクリプトが配信された。
- セキュリティtheme: テクノロジー
イラン 4 大銀行で大規模システム障害 共通通信網への「限定的」サイバー攻撃で ATM 停止
イランの銀行協調評議会は 6 月 13 日夜、Bank Melli、Bank Tejarat、Bank Saderat、Export Development Bank の 4 行が共有する通信インフラに「限定的」サイバー攻撃を受け、モバイル銀行・ネット銀行・ATM・POS 端末がいっせいに停止したと発表しました。顧客データの漏えいや削除はなく、Tejarat と Export Development Bank は 14 日中に復旧しました。
- セキュリティtheme: テクノロジー
Google が中国系スミッシング組織 Outsider Enterprise を提訴 Gemini 悪用認定
Google は 6 月 12 日、中国拠点のサイバー犯罪組織 Outsider Enterprise を米連邦裁に提訴。Gemini AI で偽電話会社・米郵便・E-ZPass を模したフィッシングサイトを大量生成し、5 月の 2 週間だけで 250 万件のスミッシングを米国に送信、累計 387 万件のクレジットカード窃取と 19 億ドル被害に関与したと主張しています。
- セキュリティtheme: テクノロジー
Arch Linux AUR で 400 超パッケージが侵害 eBPF ルートキットを配布
Arch Linux のコミュニティリポジトリ AUR で 6 月 11 日以降、放置されたパッケージ 400 件超が乗っ取られ、悪意ある npm 依存 (atomic-lockfile / js-digest) を経由して Rust 製の認証情報窃取ツールと eBPF ルートキットを配布する大規模サプライチェーン攻撃が発生しました。
- セキュリティtheme: テクノロジー
LangGraph に RCE 連鎖脆弱性 自前ホストの AI エージェントが危険に
LangChain 開発の AI エージェント基盤 LangGraph に 3 件の脆弱性が公表されました。SQL インジェクション (CVE-2025-67644) と msgpack デシリアライズ (CVE-2026-28277) を連鎖させると、自前ホスト環境でリモートコード実行が可能です。
- セキュリティtheme: テクノロジー
メイン州、データ漏えい通知ポータルを一般非公開化 偽の Discord / VRChat 届出受け
メイン州司法長官事務所は、データ漏えい通知ポータルが偽の届出を自動公開していた問題を受け、公開機能を一時停止しました。Discord 1,000 万人・VRChat 240 万人と偽る届出が出回り、両社が否定する事態に発展。
- セキュリティtheme: テクノロジー
ServiceNow、API 認証バイパスで顧客データ流出 6 月 5 日に修正済み
ServiceNow は 6 月 9 日、未認証で REST API エンドポイントを叩ける構成不備により顧客インスタンスのテーブルが照会された事象を公表しました。修正パッチは 6 月 5 日適用済みで、6 月 2 日から数日間の悪用が確認されています。
- セキュリティtheme: テクノロジー
Ivanti Sentry CVSS 10.0 脆弱性、PoC 公開直後に実攻撃 CVE-2026-10520
Ivanti が 6 月 9 日に公表した Sentry の未認証 OS コマンドインジェクション脆弱性 CVE-2026-10520 (CVSS 10.0) について、watchTowr が PoC を公開した翌日には実攻撃が観測された。Shadowserver は公開済み 19 台のうち 2 台でバックドア設置を確認している。
- セキュリティtheme: テクノロジー
ShinyHunters、Oracle PeopleSoft ゼロデイで 100 組織超を侵害 CVE-2026-35273
Oracle は 6 月 10 日、PeopleSoft Enterprise PeopleTools の未認証 RCE 脆弱性 CVE-2026-35273 (CVSS 9.8) に out-of-band パッチを公開。Mandiant は ShinyHunters が 5 月末から 100 組織超 (約 7 割が米国の大学) をゼロデイで侵害したと報告した。
- セキュリティtheme: テクノロジー
データセンターの UPS / HVAC に CVSS 9.8 脆弱性 Claroty が連鎖攻撃を実証
Claroty Team82 は 6 月 10 日、Vertiv 製 UPS ネットワークカードと Trane 製 HVAC コントローラに CVSS 9.8 級の脆弱性を発見したと公表した。認証バイパスとスタックオーバーフローを連鎖させると、データセンターの空調・電源を遠隔から停止可能となる。
- セキュリティtheme: テクノロジー
Microsoft Defender の新ゼロデイ「RoguePlanet」公開、Patch Tuesday 直後に SYSTEM 権限奪取の PoC
研究者 Nightmare Eclipse が 6 月 10 日、6 月パッチ適用後の Windows 10 / 11 でも有効な Defender のゼロデイ「RoguePlanet」の PoC を公開。Defender 内部の競合状態を突いて非特権ユーザーから SYSTEM シェルを取れるローカル特権昇格 (LPE) 脆弱性。
- セキュリティtheme: テクノロジー
Microsoft 6 月パッチ、過去最多 208 件の脆弱性を修正 Defender ゼロデイ悪用中
Microsoft は 6 月の月例セキュリティ更新で 208 件の脆弱性を修正しました。2017 年以降で最大規模で、Defender の権限昇格脆弱性 CVE-2026-41091 が実際に悪用中。CVSS 9.8 の Windows カーネル RCE など重大度クリティカルが複数含まれます。
- セキュリティtheme: テクノロジー
Veeam Backup & Replication にドメインユーザーから RCE 可能な CVE-2026-44963 (CVSS 9.4)
Veeam は Backup & Replication v12 に存在する重大 RCE 脆弱性 CVE-2026-44963 (CVSS v4 9.4) を修正しました。Active Directory 参加環境では認証済みドメインユーザーが任意コードを実行可能で、バックアップサーバーの完全乗っ取りに繋がります。
- セキュリティtheme: テクノロジー
警察庁と JC3、企業 PC を遠隔操作する「ボイスフィッシング」新手口に注意喚起
警察庁と日本サイバー犯罪対策センター (JC3) は、企業の PC を遠隔操作するボイスフィッシング起点の新手口に注意喚起しました。法人口座を狙った 2025 年の被害は 143 件・約 45 億円に達し、不正送金被害額の約 4 割を占めています。
- セキュリティtheme: テクノロジー
Check Point VPN 重大脆弱性 CVE-2026-50751、Qilin ランサムウェアが悪用
Check Point VPN の認証バイパス脆弱性 CVE-2026-50751 (CVSS 9.3) が 5 月 7 日からゼロデイ攻撃に悪用され、Qilin ランサムウェア affiliate による侵害が確認されました。CISA は 6 月 8 日に KEV カタログ追加、連邦機関に 6 月 11 日までのパッチ適用を命じています。
- セキュリティtheme: テクノロジー
近大入試で AI 合成写真の替え玉受験、元塾講師起訴 生体認証導入論議へ
近畿大学の推薦入試で、生徒の顔と自分の顔を AI で合成した写真を使って身分確認をすり抜けた元学習塾講師が 2026 年 6 月 8 日に起訴されました。視認による本人確認では AI 合成画像を見破れず、大学入試での生体認証導入を求める議論が広がっています。
- セキュリティtheme: テクノロジー
九州電力送配電、最大 1090 万件分の顧客情報入り記憶媒体が紛失
九州電力の子会社・九州電力送配電は 2026 年 6 月 8 日、最大 1090 万件の顧客情報を保存した外部記憶媒体がサーバ室から行方不明になったと発表しました。データは暗号化もパスワード設定もされておらず、福岡県警に窃盗の疑いで被害届を提出しています。
- セキュリティtheme: テクノロジー
Linux カーネル nf_tables の UAF、ローカル root 取得の PoC が公開
Exodus Intelligence が CVE-2026-23111 の技術解説と動作 PoC を公開しました。nf_tables の use-after-free を悪用し、Debian / Ubuntu 上で非特権ユーザーから root への昇格が 99% 以上の信頼性で再現できると報告されています。
- セキュリティtheme: テクノロジー
りそな HD、AI セキュリティ専門チームを発足
りそなホールディングスの南昌宏社長が、Anthropic Claude Mythos など脆弱性発見に長けた高性能 AI に備える社内専門チームを発足したと表明。IT セキュリティと経営企画から横断メンバーを集める。
- セキュリティtheme: テクノロジー
Android 6 月パッチ、悪用中のゼロデイ含む 124 件を修正
Google が Android 6 月セキュリティ速報を公開。Framework の整数オーバーフロー CVE-2025-48595 が限定的・標的型攻撃で悪用中とされ、Android 14・15・16・16 QPR2 が影響を受ける。
- セキュリティtheme: テクノロジー
IBM WebSphere に重大 3 件、認証回避と RCE が連鎖可能
IBM が WebSphere Application Server 8.5/9.0 で CVSS 9 級の脆弱性 3 件を一斉公開。なりすまし 1 件 + RCE 2 件が連鎖し完全な制御権奪取につながる。
- セキュリティtheme: テクノロジー
Windows Netlogon の RCE 脆弱性、実環境で悪用開始
5 月 Patch Tuesday で修正された Netlogon の RCE 脆弱性 CVE-2026-41089 (CVSS 9.8) について、ベルギーの CCB が実環境での悪用を確認したと警告。ドメインコントローラに認証不要で到達可能な深刻度。
- セキュリティtheme: テクノロジー
Red Hat の npm パッケージに Miasma ワーム侵入
@redhat-cloud-services スコープの npm パッケージが供給網攻撃で改竄され、32 パッケージ・96 バージョンに認証情報窃取ワーム「Miasma」が混入。週間ダウンロード約 11.7 万件の規模で開発機 / CI 環境を狙う。
- セキュリティtheme: テクノロジー
悪意ある Codex UI npm、週 2.7 万 DL で OpenAI トークン窃取
Aikido Security が、OpenAI Codex 向け人気 npm パッケージ codexui-android が refresh トークンを Sentry 通信を装って外部送信していたと公表しました。
- セキュリティtheme: テクノロジー
Charterで490万件流出 ShinyHuntersが暴露
米通信大手 Charter Communications がデータ侵害を確認。ShinyHunters が 4 月の vishing で侵入し、4 月以降に窃取した 490 万件分の顧客情報を恐喝の決裂後に公開した。
- セキュリティtheme: テクノロジー
Palo Alto の GlobalProtect 認証バイパス、攻撃に悪用 CISA 緊急対応
Palo Alto Networks の PAN-OS GlobalProtect 認証バイパス (CVE-2026-0257) が実環境で悪用され、CISA は KEV カタログに追加し連邦機関に 6 月 1 日までの対処を指示した。
- セキュリティtheme: テクノロジー
ChatGPT 要約機能から QR フィッシング、Permiso が公開
Permiso Security は ChatGPT の Web 要約レスポンスに Markdown 経由で攻撃者のリンク・画像・QR を埋め込む「ChatGPhish」手法を公開。被害者の IP / UA / Referer 漏洩や、モバイルへのピボットも可能となる。
- セキュリティtheme: テクノロジー
邦銀 3 メガ、Anthropic Mythos 利用へ
片山財務相は日本政府と 3 メガバンクが Anthropic の脆弱性発見モデル Claude Mythos へ早期アクセスを得る見通しと発表。Project Glasswing 連合に邦銀として初参画する。
- セキュリティtheme: テクノロジー
marimo 侵害、LLM 主導で内部 DB 流出
Sysdig は CVE-2026-39987 経由で marimo を侵害した攻撃者が、LLM エージェントを主役に 4 段ピボットを 1 時間で完走させ、内部 PostgreSQL を盗み出した事例を初公表した。
- セキュリティtheme: テクノロジー
CISA、サプライチェーン攻撃3件をKEVに追加
CISA は DAEMON Tools・TanStack・Nx Console を狙ったサプライチェーン攻撃 3 件を Known Exploited Vulnerabilities に追加。FCEB 機関に対処を求めた。
- セキュリティtheme: テクノロジー
Claude 狙う悪性 npm、自身の GitHub トークン流出
Anthropic の Claude が利用するアップロード領域を狙う悪性 npm パッケージが発見された。攻撃者が自身の GitHub トークンを誤って同梱し、追跡可能になった。
- セキュリティtheme: テクノロジー
Windows 11 カーネル、ブラウザ脱出 PoC 公開
Windows 11 24H2/25H2 のカーネル脆弱性 CVE-2026-40369 が公開。ブラウザのレンダラサンドボックスからでも SYSTEM 権限を取得できる PoC が GitHub で公表された。
- セキュリティtheme: テクノロジー
Gitea 脆弱性、未認証で private コンテナ取得可能
Gitea の脆弱性 CVE-2026-27771 が公表。private 指定のコンテナイメージを未認証のまま pull できる状態が約 4 年間放置されていた。
- セキュリティtheme: テクノロジー
Ghost CMSの脆弱性悪用、700超サイト改ざん
Ghost CMS の SQL インジェクション脆弱性 CVE-2026-26980 を悪用した改ざんキャンペーンが進行中。Harvard 大学や DuckDuckGo を含む 700 超のサイトが被害を受けています。
- セキュリティtheme: テクノロジー
公開APIキーがGemini悪用の標的に、高額請求が続出
Google Maps 向けに公開していた API キーがスコープ拡大で Gemini を呼び出せる状態になり、悪用されて開発者が高額請求を受ける被害が相次いでいると TechCrunch が報じました。キー失効の反映が遅い問題も指摘されています。
- セキュリティtheme: テクノロジー
LiteSpeed cPanel プラグインに CVSS 10、root 奪取に悪用
Web ホスティング向け LiteSpeed cPanel プラグインに CVSS 10.0 の権限昇格脆弱性 CVE-2026-48172 が見つかり、実環境で悪用されています。一般 cPanel ユーザーが root 権限で任意コードを実行でき、サーバー乗っ取りにつながります（初報は 5 月 23 日）。
- セキュリティtheme: テクノロジー
DDoS ボットネット「KimWolf」運営の 23 歳カナダ人を逮捕 — 200 万デバイス感染、30 Tbps の記録的攻撃
米司法省は 5 月 22 日、約 200 万台の IoT 機器を支配し最大 30 Tbps の記録的 DDoS を組織したボットネット「KimWolf」運営者として、オタワ在住の 23 歳 Jacob Butler 容疑者 (通称 Dort) をカナダ当局が逮捕したと公表。米加で起訴され、米国では計算機侵入の幇助罪 (最大 10 年) に問われる。
- セキュリティtheme: テクノロジー
「Megalodon」攻撃、6 時間で GitHub 5,561 リポジトリに悪性 CI ワークフロー注入 — 5,718 件の偽コミット
セキュリティ研究者は 5 月 22 日、GitHub 上で 5,561 のリポジトリに合計 5,718 件の悪性コミットが約 6 時間で投下された自動キャンペーン「Megalodon」を公開した。攻撃は 5 月 18 日 UTC 11:36〜17:48 に集中し、Base64 化された GitHub Actions ワークフローが CI シークレット・クラウド認証情報・OIDC トークンを 216.126.225.129:8443 の C2 へ送出する。
- セキュリティtheme: テクノロジー
Laravel-Lang composer パッケージで大規模サプライチェーン攻撃 — 700+ タグ書き換えで認証情報窃取
Laravel-Lang 組織配下の 4 つの Composer パッケージで、既存の git タグ計 700 以上が攻撃者支配下のフォークコミットに書き換えられるサプライチェーン攻撃が発生。autoload.files に注入された helpers.php が CI 環境変数を外部に送信する。5 月 22 日 22:32 UTC から開始され、5 月 23 日にかけて拡大した。
- セキュリティtheme: テクノロジー
Cisco Secure Workload に CVSS 10.0 — 無認証 REST API で Site Admin 権限奪取
Cisco は 5 月 20-21 日、マイクロセグメンテーション製品 Secure Workload に CVSS 10.0 の脆弱性 CVE-2026-20223 を公表。REST API エンドポイントの認証不備により、未認証のリモート攻撃者がテナント境界を越えて Site Admin 権限で機密情報読み取り・設定変更が可能となる。SaaS 版は対処済み、オンプレ版は 3.10.8.3 / 4.0.3.17 へ更新が必要。
- セキュリティtheme: テクノロジー
NTT ドコモビジネス、AI エージェント運用の「AI SOC」提供開始 — 調査稼働 95% 削減
NTT ドコモビジネスが 5 月 20 日、独自開発の AI エージェントによるログ相関分析とマネージド SOAR を組み合わせたセキュリティ運用サービス「AI SOC」を提供開始。社内導入実績ではアラート調査稼働を 95% 削減し、熟練アナリストで 1-2 時間を要していた相関分析を約 10 分に短縮。
- セキュリティtheme: テクノロジー
GitHub、社内 3,800 リポジトリ流出を確認 — 侵害 Nx Console 拡張が侵入起点
GitHub が CISO 名義で内部リポジトリ侵害を公式認定。初報は 5 月 18 日の Nx Console 拡張サプライチェーン攻撃で、社員端末を経由して 3,800 件の社内リポジトリが攻撃グループ TeamPCP に窃取された。顧客 GitHub データ自体への影響は否定。
- セキュリティtheme: テクノロジー
Ubiquiti UniFi OS、CVSS 10.0 重大脆弱性を 3 件同時公開 — UDM / UNVR 直撃
Ubiquiti が 5 月 22 日、UniFi OS 系の脆弱性 5 件を含む Security Advisory Bulletin 056 を公開。うち 3 件 (CVE-2026-34908 / 34909 / 34910) は CVSS 10.0 で未認証リモート侵害を許容。UCG / UDM / UNVR / UNAS など主要機器が広範囲に影響を受ける。
- セキュリティtheme: テクノロジー
Socket、$60M Series C で $1B 評価到達 — AI 加速時代の OSS サプライチェーン攻撃を毎週 1000+ ブロック
Thrive Capital 主導の Series C で評価額 $1B に到達。Anthropic / xAI / Cursor 等の AI ネイティブ企業を顧客に、悪性 npm / PyPI パッケージのダウンロード前ブロックを売りにする。
- セキュリティtheme: テクノロジー
NGINX 1.31.0 に未修正 RCE 0-day「nginx-poolslip」公開 — ASLR 回避で Web 全体の 30-40% に影響
セキュリティ研究チーム NebSec が 5 月 21 日に NGINX の最新安定版を狙う未認証 RCE を公表。CVE 未採番・F5 公式パッチ未提供のまま 30 日責任開示の途中段階。
- セキュリティtheme: テクノロジー
Microsoft Defender、悪用中の 0-day 2 件を緊急修正 — CVE-2026-41091 / 45498 が CISA KEV 入り
Microsoft は 5 月 19 日 に Defender の脆弱性 CVE-2026-41091 (CVSS 7.8 / SYSTEM 権限昇格) と CVE-2026-45498 (CVSS 4.0 / DoS) を公開し、いずれも実環境で悪用されていることを明示した。CISA は 5 月 21 日に両 CVE を KEV カタログへ追加し、連邦機関に 6 月 3 日までの対応を義務付けた。
- セキュリティtheme: テクノロジー
Verizon DBIR 2026 公開 — 脆弱性悪用が認証情報盗用を初めて逆転、shadow AI 利用は 45% に倍増
Verizon は 5 月 19 日、19 年目となる Data Breach Investigations Report 2026 を公開した。初期侵入経路として脆弱性悪用 (31%) が認証情報盗用を 19 年で初めて上回り、社員による未承認 shadow AI 利用は 45% へ約 3 倍に拡大。サードパーティ起因の侵害も 60% 増。
- セキュリティtheme: テクノロジー
Microsoft、マルウェア署名サービス Fox Tempest を解体 — 1000 超の不正証明書を失効、OpFauxSign
Microsoft Digital Crimes Unit は 5 月 19 日、ランサムウェアを正規ソフトに偽装させる malware-signing-as-a-service (MSaaS) Fox Tempest を法的措置で解体したと発表した。同社の Artifact Signing 経由で取得された 1000 を超える証明書を失効し、signspace[.]cloud などの基幹インフラを差し押さえた。
- セキュリティtheme: テクノロジー
Drupal、PostgreSQL サイトを直撃する SQL injection を緊急修正 (SA-CORE-2026-004 / CVE-2026-9082)
Drupal は 5 月 20 日、未認証でも悪用可能な PostgreSQL バックエンド向け SQL injection 脆弱性 SA-CORE-2026-004 (CVE-2026-9082) を「Highly Critical」(20/25) として緊急公開。情報漏えい・権限昇格・RCE につながり得るとし、対応版へのアップデートを強く呼び掛けている。
- セキュリティtheme: テクノロジー
Nx Console VS Code 拡張に侵害版 — 開発者の認証情報やClaude設定まで窃取
Nx Console (nrwl.angular-console) v18.95.0 が侵害版として VS Code Marketplace に公開。GitHub / npm / AWS / 1Password / Vault のトークンに加え、~/.claude/settings.json まで狙う 498KB のペイロードを配信していた。
- セキュリティtheme: テクノロジー
TeamPCP が Shai-Hulud ソースを GitHub 公開 ⇒ 5 日後に模倣攻撃が npm 出現 — chalk-tempalte など 4 パッケージ
BleepingComputer は 5 月 18 日、漏洩した Shai-Hulud ワームのソースコードを使った npm 模倣攻撃 4 件を確認したと報じた。TeamPCP が 5 月 12 日に GitHub でソースを公開してから 5 日、難読化すらしない素のクローン chalk-tempalte などが既に流通している。
- セキュリティtheme: テクノロジー
Tycoon2FA、OAuth『端末コード』経由で Microsoft 365 を乗っ取り — Trustifi の追跡 URL も悪用
PhaaS『Tycoon2FA』が OAuth Device Authorization Grant を悪用する攻撃を新装備。被害者は本物の microsoft.com/devicelogin で MFA を完了させられ、攻撃者デバイスにアクセストークンが渡る。誘導 URL には Trustifi のクリック追跡ドメインを利用し評判をロンダリング。
- セキュリティtheme: テクノロジー
NGINX Rift (CVE-2026-42945) 野放しで悪用観測 ⇒ worker クラッシュ続発、RCE も成立条件付き
VulnCheck が NGINX に 18 年潜伏した CVE-2026-42945 の悪用観測を公表。GitHub 上の PoC 公開後、未認証 HTTP リクエスト 3 発で worker プロセスが連続クラッシュし、ASLR 無効環境では RCE まで到達することが確認されている。
- セキュリティtheme: テクノロジー
Windows 0-day『MiniPlasma』PoC 公開 — フル更新環境でも SYSTEM 権限奪取
研究者 Chaotic Eclipse が cldflt.sys の未修整バグを悪用する Windows 権限昇格 0-day『MiniPlasma』の PoC を公開。最新 May 2026 Patch Tuesday 適用済みの Windows 11 でも標準ユーザーから SYSTEM 権限のコマンドプロンプトを起動できる。
- セキュリティtheme: テクノロジー
WordPress Funnel Builder の脆弱性悪用 — WooCommerce 決済 4 万店にスキマー注入
WordPress プラグイン Funnel Builder (FunnelKit) の未認証脆弱性が悪用され、WooCommerce 4 万店超の決済ページに偽 GTM スクリプト経由のクレジットカード・スキマーが注入されていると Sansec が報告した。
- セキュリティtheme: テクノロジー
Grafana、GitHub トークン窃取で社内コード流出 — CoinbaseCartel の恐喝は拒否
Grafana Labs が 5 月 16 日に GitHub 環境への不正アクセスを公表。攻撃者は Fork → 悪性 workflow で特権トークンを窃取し非公開リポジトリ 5 件を取得、CoinbaseCartel として恐喝を試みたが同社は支払いを拒否した。
- セキュリティtheme: テクノロジー
OpenClaw に 4 連鎖脆弱性『Claw Chain』⇒ 公開 AI エージェント 24.5 万台が露出
Cyera が自律 AI エージェント基盤 OpenClaw に未公開の 4 脆弱性『Claw Chain』を公表。サンドボックス回避から認証情報漏洩・権限昇格まで連鎖可能で、インターネットに露出する公開インスタンス約 24.5 万台が影響対象となる。
- セキュリティtheme: テクノロジー
Pwn2Own Berlin 2026、2 日間で 39 件のゼロデイ・90 万ドル賞金 — Exchange RCE が単発最高 20 万ドル
Pwn2Own Berlin 2026 が Day 2 を終え、累計 39 件のゼロデイ・90 万 8,750 ドルを支払い。Orange Tsai が完全パッチ済み Exchange の SYSTEM 権限 RCE を 3 バグ連鎖で達成、単発最高 20 万ドルを獲得。
- セキュリティtheme: テクノロジー
PraisonAI に認証バイパス CVE-2026-44338 — 公開 4 時間で攻撃を観測
オープンソースのマルチエージェント基盤 PraisonAI で認証不要のエンドポイントが露出する CVE-2026-44338 が公表され、公開からわずか 3 時間 44 分後にスキャンと攻撃が観測された。
- セキュリティtheme: テクノロジー
Microsoft、Turla の Kazuar が P2P 型ボットネット化と分析
Microsoft Security は 5 月 14 日、ロシア FSB 関連の APT グループ Turla が運用する Kazuar バックドアが、モジュール式の P2P ボットネット型へ進化していると詳細解析を公開した。
- セキュリティtheme: テクノロジー
Microsoft、オンプレ Exchange の OWA XSS『CVE-2026-42897』を緊急開示 — 悪用確認、恒久パッチは作成中
OWA で動く XSS 経由のなりすまし脆弱性が Subscription Edition / 2019 / 2016 に影響。Microsoft は EM Service による緩和 M2 を即時適用するよう要請。
- セキュリティtheme: テクノロジー
Cisco Catalyst SD-WAN に CVSS 10.0 の認証バイパス — 既に悪用、CISA KEV 入り
Cisco Catalyst SD-WAN Controller/Manager の peering 認証に最大深刻度の認証バイパス。UAT-8616 によるゼロデイ悪用が確認され、CISA KEV にも追加された。
- セキュリティtheme: テクノロジー
NGINX に 18 年潜伏の未認証 RCE『NGINX Rift』判明 ⇒ AI 解析で CVE-2026-42945 発見
F5 と depthfirst が NGINX の rewrite モジュールに 2008 年から潜む heap overflow を公表。単発の HTTP リクエストで未認証 RCE/DoS が可能で、自律 AI コード監査により発見された。
- セキュリティtheme: テクノロジー
Foxconn 北米工場が Nitrogen ランサム被害 ⇒ Apple/Nvidia の機密 8TB を窃取と犯行声明
Foxconn が 5/1 から続く北米工場のサイバー攻撃を確認。二重恐喝型 Nitrogen が Apple、Nvidia、Dell、Intel、Google の機密 11M ファイル (8TB) 窃取を主張している。
- セキュリティtheme: テクノロジー
Microsoft、エージェント AI『MDASH』で Windows の RCE 4 件含む 16 脆弱性を発見 ⇒ 5 月パッチで修正
100 超の AI エージェントを束ねるスキャナ MDASH が、Patch Tuesday 1 回分に Critical RCE 4 件を含む 16 件の新規 CVE を流し込んだ。
- セキュリティtheme: テクノロジー
TanStack の npm 42 パッケージが改竄、Mini Shai-Hulud ワーム再燃 ⇒ GitHub Actions の OIDC を窃取
TanStack は 5 月 11 日 19:20 UTC ごろから 6 分間にわたり @tanstack/* 42 パッケージ 84 版が改竄され配布されたと公表しました。攻撃者は pull_request_target 経由で Actions キャッシュを汚染し、ランナー上の Worker プロセスから OIDC トークンをメモリ抽出して正規の SLSA 出所付きでマルウェアを公開。週ダウンロード 1,200 万を超える @tanstack/react-router を含む広範な依存に影響します。
- セキュリティtheme: テクノロジー
Ollama に重大 OOB read 脆弱性 CVE-2026-7482『Bleeding Llama』⇒ 約 30 万台のサーバにメモリ漏えいリスク
Cyera が 5 月初旬に公表したローカル LLM 実行基盤 Ollama の脆弱性 CVE-2026-7482『Bleeding Llama』が、5 月 10 日に The Hacker News などで本格的に報じられました。GGUF テンソル解析処理のヒープ OOB read で、未認証リモート攻撃者がプロセスメモリを丸ごと漏えいさせることが可能。インターネット公開中の約 30 万台が影響を受けると見られ、修正版は 0.17.1。
- セキュリティtheme: テクノロジー
JDownloader 公式サイトが侵害 ⇒ Windows / Linux インストーラに Python RAT が混入、5/6-7 DL 分が対象
BleepingComputer は 5 月 9 日、ダウンロードマネージャ JDownloader の公式サイトが侵害され、5 月 6 日 0:01 UTC から 5 月 7 日にかけて配布された Windows「Alternative Installer」と Linux シェルインストーラが Python ベースの RAT に置き換えられていたと報じました。配布チャネルのうち macOS / Flatpak / Snap / Winget / 主要 JAR は影響を受けていません。
- セキュリティtheme: テクノロジー
Microsoft Semantic Kernel に CVSS 9.8 の RCE ⇒ プロンプトがシェルになる AI エージェント脆弱性 2 件を修正
Microsoft が Semantic Kernel エージェント フレームワークの 2 件の RCE 脆弱性を 5 月 7 日に開示。Python 版 InMemoryVectorStore に CVSS 9.8 の致命的欠陥があり、プロンプト経由で任意コード実行や任意ファイル書き込みが可能だった。
- セキュリティtheme: テクノロジー
RansomHouse、Trellix のソースコード侵入を犯行声明 ⇒ VMware・Rubrik 管理画面のスクショも公開
Trellix が 5 月 1 日に開示した『ソースコードリポジトリの一部への不正アクセス』について、ランサムウェアグループ RansomHouse が 5 月 7 日にリークサイトで犯行声明を出しました。同グループは Trellix 社内の VMware・Rubrik・Dell EMC 管理ダッシュボードを写したとされる 7 枚のスクリーンショットを根拠として公開し、被害がソースコードの範囲を越えてインフラ全体に及ぶ可能性が指摘されています。Trellix は『ソースコードの配布や流用の痕跡はない』と説明しています。
- セキュリティtheme: テクノロジー
Linux カーネルに『Dirty Frag』2 件の root 取得 LPE、PoC 公開 ⇒ 主要ディストリが緊急 mitigation
5 月 7 日に oss-security へ公開された『Dirty Frag』は、Linux カーネルの xfrm-ESP (CVE-2026-43284) と RxRPC (CVE-2026-43500) に存在する 2 つのページキャッシュ書き込み欠陥で、ローカルから root 権限への昇格を許します。レースに依存しない決定論的な悪用が可能で、Ubuntu / Red Hat / AlmaLinux / CloudLinux などが順次パッチや mitigation を 5 月 8 日付けで公開しました。
- セキュリティtheme: テクノロジー
ShinyHunters、Instructure に再侵入 ⇒ 大学 Canvas が一斉ダウンし 275M 件で恐喝段階へ
犯罪集団 ShinyHunters は 5 月 7 日、学習管理システム Canvas を提供する米 Instructure を再び侵害したと主張し、複数大学のログイン画面を改ざんしました。グループは合計 8,809 校・275M 件の利用者データを掌握したとし、5 月 12 日までに身代金を支払わなければデータを公開すると通告しています。Pennsylvania 大学などで学期末の重要な時期に Canvas が一時利用不能となりました。
- セキュリティtheme: テクノロジー
Ivanti EPMM に管理者権限 RCE の CVE-2026-6973、限定的に実環境悪用 ⇒ CISA は 5/10 期限
Ivanti は 5 月 7 日、Endpoint Manager Mobile (EPMM) に認証済み管理者によるリモートコード実行を許す入力値検証不備 CVE-2026-6973 (CVSS 7.2) が存在し、ごく一部の顧客で実環境悪用が観測されたと公表しました。CISA は同日 KEV カタログに追加し、米連邦民間機関に 5 月 10 日までのパッチ適用を義務付けています。
- セキュリティtheme: テクノロジー
Iran 系 MuddyWater、Chaos ランサムウェアを『偽旗』として展開 ⇒ Teams 経由で MFA 突破
Rapid7 は 5 月 5 日付の調査レポートで、当初 Chaos RaaS による暴露型攻撃に見えたインシデントが、イラン国家支援型 APT『MuddyWater (Seedworm)』による偽旗作戦だったと公表しました。攻撃者は Microsoft Teams での画面共有を起点にソーシャルエンジニアリングで認証情報と多要素認証 (MFA) を奪取しており、ランサムウェアは諜報目的の隠蔽手段として使われていました。
- セキュリティtheme: テクノロジー
Palo Alto PAN-OS 認証ポータルに RCE 脆弱性 CVE-2026-0300、実環境で悪用中
Palo Alto Networks は 5 月 6 日、PAN-OS の User-ID 認証ポータル (Captive Portal) に未認証で root 権限の任意コード実行が可能なバッファオーバーフロー脆弱性 CVE-2026-0300 が存在し、実環境で悪用が観測されていると公表しました。PA シリーズ・VM シリーズの両ファイアウォールが対象で、修正版は 5 月中下旬予定、現時点では緩和策の適用が呼びかけられています。
- セキュリティtheme: テクノロジー
Apache HTTP Server に HTTP/2 二重解放の重大脆弱性 CVE-2026-23918、2.4.67 で修正
Apache 財団は 5 月 4 日、HTTP/2 の早期リセット時に二重解放を起こす CVE-2026-23918 (CVSS 8.8) を公表し、修正版 2.4.67 を配布。デフォルトで mod_http2 を有効にする多数のサイトが DoS と RCE 双方の影響を受け得る。Debian 系の APR mmap アロケータでは scoreboard を用いた RCE 経路が現実的に成立する。
- セキュリティtheme: テクノロジー
Amazon WorkSpaces for Windows に TOCTOU 競合の LPE 脆弱性 CVE-2026-7791
AWS が 5 月 4 日、Amazon WorkSpaces for Windows のバックグラウンドサービス Skylight Workspace Config Service にローカル権限昇格の脆弱性 CVE-2026-7791 を公表。ログローテーション処理の TOCTOU 競合で SYSTEM 権限を奪取される恐れがあり、修正版へのアップデートを推奨。
- セキュリティtheme: テクノロジー
cPanel CVE-2026-41940、複数の脅威アクターが悪用拡大 政府機関・MSP に標的型攻撃と『.sorry』ランサム
4 月末に CVE-2026-41940 として正式採番された cPanel/WHM の認証バイパス脆弱性 (CVSS 9.8) について、5 月 4 日時点で複数の脅威アクターによる現用攻撃が確認されたと Help Net Security が報じた。東南アジアの政府・軍ドメインへの標的型侵入と、『.sorry』拡張子を使う Linux ランサムへ展開している。
- セキュリティtheme: テクノロジー
米英豪加 NZ、エージェンティック AI 導入の共通指針を公表 監視できない権限拡大に警鐘
米国 CISA・NSA や英 NCSC など 5 か国の 6 機関が、エージェンティック AI 導入時のセキュリティ共通ガイダンスを公表。重要インフラ内のエージェントが組織の監視能力を超える権限を握りつつあると警告した。
- セキュリティtheme: テクノロジー
Microsoft Defender、DigiCert ルート証明書を Trojan と誤検知 修正版を緊急配布
BleepingComputer が 5 月 3 日報道。Defender のシグネチャ更新が DigiCert Assured ID Root CA など信頼ルート証明書を Trojan:Win32/Cerdigent.A!dha として検知。Microsoft は定義 1.449.430.0 で誤検知を解消した。
- セキュリティtheme: テクノロジー
サイバーセキュリティ大手 Trellix、ソースコード一部に不正アクセスを公表
Trellix が 5 月 2 日に開示。社内のコードリポジトリの一部に第三者が不正アクセスし、製品開発コードへの侵入を確認した。配布物や顧客環境への影響は現時点で確認されていないと説明している。
- セキュリティtheme: テクノロジー
中国春節期に日本向けフィッシング 7 割減 ⇒ プルーフポイントが分析
米プルーフポイントの分析で、2 月 15 〜 23 日の中国春節休暇中、Amazon や Microsoft、PayPay を装い日本向けに送られたフィッシングメールが平日 130 万通から 35 万通へ約 7 割減ったことが共同通信の取材で判明した。
- セキュリティtheme: テクノロジー
Canonical、Ubuntu インフラに大規模 DDoS 親イラン 313 Team が犯行声明
Canonical は 5 月 1 日、Ubuntu や Launchpad、Snap Store など同社 Web インフラが越境型 DDoS 攻撃を受けていると認めた。親イラン系ハクティビスト『313 Team』が犯行声明を出し、攻撃は恐喝へと変質しつつある。
- セキュリティtheme: テクノロジー
西日本シティ銀行、行員の BeReal 投稿で顧客 7 名の氏名流出 博多どんたく参加自粛
西日本シティ銀行は 5 月 1 日、行員が SNS アプリ BeReal に下関支店の執務室を撮影・投稿したことで顧客 7 名の氏名・業務目標・PC 画面が外部に拡散した問題を受け、5 月 3 日からの「博多どんたく港まつり」への参加を自粛すると発表した。初報は 4 月 30 日。私物スマホからの不適切投稿による情報漏えいで、株価は前日比 2.86% 下落した。
- セキュリティtheme: テクノロジー
Canvas LMS の Instructure、サイバー攻撃で利用者の氏名・メール流出
学習管理システム Canvas を提供する Instructure は 5 月 1 日、外部の攻撃者によるサイバーインシデントを公表した。流出したのは利用機関の氏名・メールアドレス・学生 ID および利用者間のメッセージで、パスワードや生年月日・政府発行 ID・金融情報は対象外と説明している。同日から Canvas Data 2 と Canvas Beta が一部停止している。
- セキュリティtheme: テクノロジー
cPanel/WHM に深刻な認証バイパス CVE-2026-41940、約 2 か月間ゼロデイ攻撃に悪用 PoC も公開
ホスティング管理ツール cPanel & WHM に未認証の遠隔攻撃で管理権限を奪える致命的な認証バイパス脆弱性 CVE-2026-41940（CVSS 9.8）が判明。2 月 23 日頃から実環境で悪用されており、4 月 28 日に緊急パッチが公開されるまで約 2 か月間ゼロデイ状態が続いた。watchTowr は技術詳細と PoC を公開、CISA は KEV カタログに登録し連邦機関に 5 月 3 日までの修正を命じた。
- セキュリティtheme: テクノロジー
イエローハット子会社で最大 345 万人分の個人情報漏えいか 2 りんかんアプリで持ち出し痕跡
イエローハットは 5 月 1 日、二輪用品店『2 りんかん』を運営する子会社・2 りんかんイエローハット (埼玉県和光市) で発生した不正アクセスを巡り、最大 345 万 5,754 人分の個人情報が外部に持ち出された痕跡を確認したと発表した。対象はポイントサービスとアプリ会員の氏名・住所・電話番号・生年月日・性別・メールアドレス、アプリ ID/パスワード。クレジットカード情報は別系で管理されており漏えい対象外という。同社は 4 月 20 日に検知し、アプリの一部サービスを停止していた。
- セキュリティtheme: テクノロジー
PyTorch Lightning 2.6.2/2.6.3 が PyPI で改ざん 認証情報窃取マルウェアが混入、42 分で隔離
機械学習ライブラリ PyTorch Lightning の悪意あるバージョン 2.6.2 / 2.6.3 が 4 月 30 日に PyPI へ公開された。インポート時に自動実行される難読化 JavaScript ペイロードが SSH キー、シェル履歴、クラウド認証情報、GitHub と npm のトークン、暗号資産ウォレットなどを窃取する。PyPI は約 42 分で同パッケージを隔離。SAP 系 npm を狙った『Mini Shai-Hulud』キャンペーンの一環と見られ、TeamPCP に帰属される。
- セキュリティtheme: テクノロジー
Microsoft、AI エージェント実行時保護『Agent 365 Runtime Protection』を Preview 公開
Microsoft は 4 月 30 日、Copilot 上で動作する AI エージェントを実行時に監視・遮断する『Agent 365 Runtime Protection』のパブリックプレビューを公開した。Defender for Cloud の AI Security Posture Management、GitHub Advanced Security の AI コードスキャン、Purview の AI Data Security Investigations と合わせ、エージェント時代向けの一連の防御機能を投入。一般提供は 2026 Q3 を予定する。
- セキュリティtheme: テクノロジー
Linux カーネルの『Copy Fail』脆弱性 CVE-2026-31431 公開、ローカル権限昇格の PoC も
4 月 29 日に公開された CVE-2026-31431 は、Linux カーネルの algif_aead / authencesn 経路に存在するページキャッシュ書き込みのバグで、無権限ユーザーが任意のページキャッシュを破壊できる。/etc/passwd のキャッシュページを直接書き換えて root を取得する PoC が GitHub で公開され、Ubuntu 24.04 / RHEL 14.3 / Amazon Linux 2023 / SUSE 16 などが影響を受けるとされる。
- セキュリティtheme: テクノロジー
CISA、Windows Shell ゼロクリック脆弱性 CVE-2026-32202 を KEV に追加
米 CISA は 4 月 28 日、Windows Shell の認証保護メカニズム不備を突くゼロクリック脆弱性 CVE-2026-32202 を Known Exploited Vulnerabilities (KEV) カタログに追加した。攻撃者が悪意ある .lnk ショートカットを置いたフォルダを閲覧させるだけで NTLMv2 ハッシュを窃取できるとされ、連邦政府機関に対し 5 月 12 日までのパッチ適用を命じている。
- セキュリティtheme: テクノロジー
cPanel/WHM に認証バイパスの重大脆弱性、各社ホスティング事業者が緊急遮断
cPanel/WHM のログイン認証に重大な脆弱性が確認され、Namecheap・InMotion Hosting・hosting.com など主要ホスティング事業者が一斉に管理画面ポートを遮断。サポート対象の全バージョンが影響を受け、cPanel は段階的にパッチ済みリリースを配信している。
- セキュリティtheme: テクノロジー
GMOサイバーセキュリティ、AIエージェント向けペネトレーションテストを開始
GMOサイバーセキュリティ byイエラエが、企業内で稼働する AI エージェント / チャットボット / RAG を対象に、ホワイトハッカーが実攻撃手法でリスクを検証する『AIエージェントペネトレーションテスト』の提供を開始。情報漏えい・不正操作・権限逸脱を業務フロー単位で可視化する。
- セキュリティtheme: テクノロジー
Entra ID『Agent ID Administrator』の権限逸脱、Service Principal を全面乗っ取り可能
Silverfort が発見した Microsoft Entra ID の脆弱性。AI エージェント管理用に追加された『Agent ID Administrator』ロールが本来のスコープを越え、テナント内の任意の Service Principal の所有者となり権限を奪取できた。Microsoft は 4 月 9 日に全クラウドへ修正を展開済みで、追加の利用者対応は不要とされる。
- セキュリティtheme: テクノロジー
Robinhood、自社メールに偽サイト挿入される脆弱性
投資アプリ Robinhood の口座作成画面の脆弱性が悪用され、Robinhood 公式メールサーバから利用者へフィッシングメールが届く事案が 4 月 26-27 日にかけて発生。SPF / DKIM / DMARC を通過する『正規メール』として配信され、暗号資産の窃取を狙ったとみられる。Robinhood は問題のフィールドを削除して対応した。
- セキュリティtheme: テクノロジー
村田製作所、不正アクセスで 8.8 万件流出の恐れ
電子部品大手の村田製作所が 4 月 27 日、2 月に検知した社内システムへの不正アクセスについて第三報を公表。顧客・取引先約 1.5 万件と従業員約 7.3 万件、合計約 8.8 万件の情報が流出した可能性があると明らかにした。生産・販売活動への影響はないとしている。
- セキュリティtheme: テクノロジー
スマートメータ大手 Itron、内部 IT 網への侵入を公表
電力・ガス・水道向けスマートメータを 1 億 1,000 万拠点超に納入する米 Itron が、内部 IT 網への不正アクセスを 8-K 開示。4 月 13 日に検知し、顧客ホスト環境への波及はないとしている。重要インフラ事業者への攻撃が続く流れの最新事例。
- セキュリティtheme: テクノロジー
Bitwarden CLI npm 改ざん ⇒ Checkmarx 関連サプライチェーン攻撃の続報
Bitwarden の CLI 用 npm パッケージ @bitwarden/cli@2026.4.0 が約 1.5 時間にわたり改ざん配布され、開発者環境の認証情報を窃取するコードが含まれていた。先行する Checkmarx サプライチェーン攻撃の派生事例で、攻撃者は同一の TeamPCP と見られる。初報は 2026-04-22。
- セキュリティtheme: テクノロジー
10 カ国 15 機関、中国関連の秘匿型攻撃基盤を共同警戒 ⇒ 侵害ルータの可視化を要請
英 NCSC を主導機関に、CISA・NSA・独・蘭・西・スウェーデン・豪・NZ など 10 カ国 15 機関が共同アドバイザリを公表。中国関連グループが侵害ルータで構築した秘匿性の高いネットワークを悪用しているとして対策を呼びかけた。
- セキュリティtheme: テクノロジー
はてな、最大 11 億円の資金流出 ⇒ 虚偽の送金指示によるビジネスメール詐欺か
京都市中京区のはてなが 4 月 24 日、従業員アカウント経由で外部口座に最大約 11 億円が送金されたと公表。第三者からの虚偽指示に従った疑いで、捜査機関や関係金融機関と被害回復の措置を進めている。
- セキュリティtheme: テクノロジー
LLM 推論基盤 LMDeploy に SSRF 脆弱性 ⇒ 公開 13 時間で実環境悪用
OpenMMLab の LLM 推論サーバ LMDeploy に Server-Side Request Forgery 脆弱性 CVE-2026-33626 が公開された。Sysdig のハニーポットには 13 時間以内に攻撃が到達。
- セキュリティtheme: テクノロジー
市立奈良病院、通常診療を再開 ⇒ サイバー攻撃疑いも初動遮断で漏えいなし
電子カルテに障害が発生していた市立奈良病院は 4 月 24 日 8 時 30 分から通常診療を再開。ネットワーク監視装置による検知・遮断が奏功し、個人情報の漏えいや感染は確認されていない。
- セキュリティtheme: テクノロジー
CISA、KEV に 4 件追加 ⇒ SimpleHelp と Samsung MagicINFO / D-Link が悪用観測
米 CISA は KEV カタログに新たに 4 件の脆弱性を追加。SimpleHelp の 2 件、Samsung MagicINFO 9 Server、D-Link DIR-823X が対象で、連邦機関は 5 月 15 日までの修正が義務付けられた。
- セキュリティtheme: テクノロジー
CAMPFIRE、最大 22.5 万人の個人情報漏えいか ⇒ GitHub 不正アクセス
クラファン運営 CAMPFIRE が 4 月 24 日に第 4 報を公表。プロジェクト実行者と支援者を中心に最大 22 万 5846 人分の情報が漏えいした可能性。
- セキュリティtheme: テクノロジー
Checkmarx KICS の公式 Docker が改ざん、開発者情報を窃取
Checkmarx の IaC スキャンツール KICS の公式 Docker Hub イメージと VSCode 拡張が 4 月 22 日に改ざんされ、悪意あるバイナリが開発環境から機密情報を収集していたと 4 月 23 日に開示された。攻撃者は TeamPCP と見られる。
- セキュリティtheme: テクノロジー
Ollama の量子化エンジンに未認証メモリ漏洩、CVE-2026-5757 で公表
CERT/CC が Ollama の量子化エンジンにある未認証のリモート情報漏洩脆弱性 CVE-2026-5757 を公表。GGUF ヘッダの改竄でヒープメモリを読み出し、レジストリ API で外部に送出できる。
- セキュリティtheme: テクノロジー
Apple、iOS 26.4.2 で削除済み通知から過去メッセージが復元できる不具合を修正
iPhone で一度消えたはずの通知が内部に残り、Signal 等で削除したチャットの履歴を法執行機関に復元されていた問題を Apple が iOS 26.4.2 / iPadOS 26.4.2 で修正しました。
- セキュリティtheme: テクノロジー
NGate の新亜種、NFC 決済アプリ HandyPay に偽装してブラジルで拡散
ESET は正規 NFC 決済アプリ HandyPay に偽装した Android マルウェア NGate の新亜種を確認。ブラジルのユーザーを狙いカード情報と PIN を窃取している。
- セキュリティtheme: テクノロジー
Cohere の Python サンドボックス Terrarium に CVSS 9.3 の脱出脆弱性
Cohere AI が公開する Python サンドボックス Terrarium に、ホスト上での root 権限コード実行を許す重大な脱出脆弱性 CVE-2026-5752 が報告された。
- セキュリティtheme: テクノロジー
Mozilla、Firefox 150 で 271 件の脆弱性を修正 Claude Mythos で発見
Mozilla が Anthropic の未公開モデル Claude Mythos Preview を自社コードベースに適用し、Firefox 150 で 271 件の脆弱性を修正したと発表した。
- セキュリティtheme: テクノロジー
Oracle、4 月の Critical Patch Update 公開 483 件の脆弱性を修正
Oracle が 4 月 21 日に四半期の Critical Patch Update を公開。Database / MySQL / WebLogic など全製品群で計 483 件の脆弱性を修正した。MySQL では最大 CVSS 9.8 の未認証 RCE を含む。
- セキュリティtheme: テクノロジー
CISA、悪用確認済み脆弱性 8 件を追加 PaperCut と Zimbra も対象に
米 CISA が 4 月 20 日に Known Exploited Vulnerabilities (KEV) カタログへ 8 件を追加。PaperCut NG/MF の認証バイパス (CVE-2023-27351) と Synacor Zimbra Collaboration Suite の XSS (CVE-2025-48700) を含む。
- セキュリティtheme: テクノロジー
ドコモ、dポイントに専用番号導入 7 月から不正対策強化
NTT ドコモが dポイントクラブアプリ等に 7 月 1 日から「アプリ専用番号」と「ポイント利用活性化方式」を導入。5 分間限定の利用で、バーコード窃取による不正利用を抑止する。
- セキュリティtheme: テクノロジー
Vercel、Context.ai 経由の侵害で顧客情報漏えい
Next.js を開発する Vercel が 4 月 20 日に侵害を公表。AI オフィスツール Context.ai から従業員の Google Workspace 経由で侵入され、環境変数や認証情報が流出した。
- セキュリティtheme: テクノロジー
LINEヤフー、韓国 NAVER とのシステム分離を完了
LINEヤフーが韓国 NAVER とのシステム分離を 3 月末までに完了。2023 年の情報漏えい事案を受けた総務省の行政指導に基づく再発防止策の一環。
- セキュリティtheme: テクノロジー
Microsoft 4月の月例更新、168件の脆弱性修正 SharePoint 0-day 含む
Microsoft が 4 月の Patch Tuesday で 168 件の脆弱性を修正。活発に悪用されている SharePoint の 0-day を含み、過去 2 番目の規模となった。