セキュリティ
脆弱性・暗号・プライバシー
Index
count=343- セキュリティ
JetBrains Exposed 1.5.1 で SQL インジェクション修正
JetBrains の Kotlin ORM Exposed 1.5.1 が 10 月 9 日公開。locate / concat / groupConcat / match / JSON 関連関数で文字列引数が未エスケープのまま結合されていた問題を修正し、クエリパラメータとしてバインドする実装に変えた。CVE-2026-108474 として CVSS 9.8 の深刻度が付与されている。
- セキュリティ
podman などで使う gvproxy に深刻度 9.3 のパストラバーサル
gvisor-tap-vsock の gvproxy に CVSS 9.3 のパストラバーサル脆弱性 (CVE-2026-107935) が公表された。認証なしの `/services/forwarder/expose` エンドポイントが呼び出し側の指定ソケットパスを検証しておらず、ホスト上の任意ファイルを削除できる。
- セキュリティ
Anthropic、サイバー防衛構想『Cyber Mission』発表
Anthropicが重要インフラ向け支援と OSS 向け脆弱性スキャンを柱とする Cyber Mission を発表。CIDP に 11 社が初期参加し、OSS Scanner は Claude Mythos で候補脆弱性を自動検出する。
- セキュリティ
Anthropic、Cyber Verification Program を 3 階層に拡張
AnthropicがCyber Verification Programを3階層に再編。防衛業務向けアクセスは数日で、Mythos 5.1など上位モデルは重要インフラ検証向けに米政府連携で開放する。
- セキュリティ
Atlassian、Jira / Confluence など 8 製品に CVSS 9.3 の未認証ファイル読取
Atlassian は 10 月 6 日、Jira Software・Confluence・Bitbucket など Data Center 版 8 製品に深刻度 9.3 の未認証ファイル読取脆弱性 CVE-2026-21589 を公表した。クラウド版は影響なし。社内インスタンスを公開している組織はアップデートまたは外部遮断が必要。
- セキュリティ
焼肉きんぐアプリ、不正アクセスで会員約 1,078 万件漏えい
物語コーポレーションは 10 月 5 日、「焼肉きんぐ」公式アプリの会員管理システムが不正アクセスを受け、約 1,078 万件の会員情報が流出した恐れがあると公表した。氏名・メール・電話番号を含み、登録済み会員のほぼ全数に相当する規模。
- セキュリティ
大阪公立大、ランサム被害を公表 — サーバー 500 台停止・13 万人情報調査
大阪公立大学が 10 月 5 日の記者会見で、10 月 2 日からの大規模システム障害がランサムウェア攻撃によるものと公表しました。約 500 台のサーバーが停止し、バックアップの多くも暗号化。少なくとも 13 万人分の個人情報が漏えいした可能性を調査しています。
- セキュリティ
韓国の銀行で情報漏えい、中国系AI侵入ツール「ARTEX」痕跡
韓国の新韓銀行や KB 国民銀行など主要金融機関で9月末以降に相次ぎ発生した顧客情報漏えいについて、調査当局が中国系のオープンソース自律型ペネトレーションテスト基盤「ARTEX AI」の痕跡を攻撃サーバーから検出したと発表しました。李在明大統領は10月4日に全金融機関への緊急セキュリティ点検を指示しています。
- セキュリティ
日経、クラウド2件で不正ログイン 1,646人分漏えいの恐れ
日本経済新聞社は10月4日、社員のGoogle Workspaceアカウントに外部から不正ログインがあり、取引先を含む1,646人分の個人情報が漏えいした可能性があると公表しました。同じ時期にMicrosoft 365アカウントもフィッシングで乗っ取られ、なりすましメール約9,000件が送信されたことも明らかになっています。
- セキュリティ
大和証券、委託先への不正アクセスで22万件漏えいか
大和証券は10月5日、問い合わせ管理の委託先サーバーが10月2〜3日に不正アクセスを受け、顧客約11万人分を含む約22万件の情報が流出した可能性があると発表しました。氏名・メールアドレス・口座番号などが対象で、不正取引やネット上の情報公開は現時点で確認されていません。
- セキュリティ
Mythos で HFS 0day 発見、24h で悪用観測
Horizon3 の研究者が Anthropic の Mythos を使い Rejetto HTTP File Server の認証バイパス脆弱性 CVE-2026-61500 を発見し、公開 24 時間以内に中国系 IP による悪用が確認されました。
- セキュリティ
Citrix NetScaler に新たな 0day、再起動多発と悪用拡大が報告
Citrix NetScaler で新しいゼロデイが悪用され、10 月 2 日夜から機器の大量再起動とマルウェア配布が観測されている。先週公開された「Pitscaler」(CVE-2026-88771 / CVE-2026-88772) の修正を迂回したとみられ、パッチはまだ公開されていない。
- セキュリティ
Vercel が KVM の VM エスケープ 0day を確認、報奨金 5 万ドル
Vercel は Sandbox バグ報奨金プログラム経由で、Linux 仮想化の標準基盤 KVM に VM エスケープを可能にする 0day の存在を確認したと表明した。研究者 Paulos Yibelo が報告し、同プログラム上限の 5 万ドルが支払われた。
- セキュリティ
アバハウスに不正アクセス、会員全員の個人情報漏えいの恐れ
アバハウスインターナショナルは 10 月 2 日、社内システムが第三者の不正アクセスを受け、公式通販の会員全員の個人情報が漏えいした可能性があると発表した。注文内容と一致する不審な返金メールが届いた顧客の報告で判明した。
- セキュリティ
Cisco SD-WAN Manager に認証バイパス、CISA 期限が 10/3
Cisco Catalyst SD-WAN Manager に CVSS 9.8 の認証バイパス CVE-2026-76504 が見つかり、実環境で悪用が確認された。CISA は 9 月 30 日に KEV へ追加し、連邦機関向けの修正期限を 10 月 3 日に設定した。
- セキュリティ
アサヒ、ランサム被害で約 191 万人分の情報流出
アサヒグループは 9 月末のランサムウェア攻撃により、約 191.4 万人分の個人情報が外部に流出した可能性があると公表した。氏名・住所・電話番号などを含むが、クレジットカード情報は含まないとされる。Qilin が犯行声明を出し 27 GB の窃取を主張している。
- セキュリティ
Apple、macOS の Full Disk Access を厳格化 AI エージェントのリスクを理由に
Apple は Full Disk Access をユーザーの明確な操作でのみ付与させる追加制御を macOS に導入します。AI エージェントが自律的に動くほどリスクが拡大するとして、ファイル・メール・メッセージ・履歴へのアクセスを守る狙いです。提供時期と対象 macOS バージョンは未発表。
- セキュリティ
Microsoft 年次デジタル防衛レポート、AI で攻撃側が優位と結論
Microsoft が 2026 年版 Digital Defense Report を公開し、AI は攻撃者側を先に強化していると結論しました。脆弱性公開から武器化までの中央値は 24 時間未満にまで短縮し、2026 年の CVE 件数は年末までに約 7.2 万件に達する見通しです。
- セキュリティ
ローソンのメールサーバー踏み台 不審な英文メール約70万件を外部送信
ローソンは 10 月 1 日、同社メールサーバが第三者に悪用され、9/25〜9/27 の間に推計約 70 万件の不審な英文メールが外部送信されたと発表しました。件名は「Mutual Benefit」や「RE」で、送信先の大半は海外です。設定変更と通信制限で対処済みで、現時点で情報流出や侵入痕跡は確認されていません。
- セキュリティ
FortiMail にゼロデイ CVSS9.8 CISA が10/4までの対処を要求
Fortinet が FortiMail の管理インタフェースに CVSS9.8 の重大なパストラバーサル (CVE-2026-104286) を公表しました。認証なしで任意ファイル書き込みが可能で、既に実環境で悪用が確認されています。CISA は KEV カタログに追加し、連邦機関に 10/4 までの対処を命じました。
- セキュリティ
Armadin、評価額25億ドル超でシリーズB 2.55億ドル調達
Mandiant 創業者 Kevin Mandia が率いる AI セキュリティ新興 Armadin が、評価額 25 億ドル超でシリーズ B 2 億 5,550 万ドルを調達しました。a16z と既存投資家の Accel が共同リード。自律型 AI エージェント群で実際の企業ネットワークに攻撃を仕掛け、防御側の弱点を可視化するプラットフォームの拡張に充てます。
- セキュリティ
Cloudflare Workers、Web Crypto に耐量子計算アルゴリズムを追加
Cloudflare Workers の Web Crypto API が ML-KEM-768／1024 と ML-DSA-44／65／87 に対応。`webcrypto_modern_algorithms` フラグをオプトインすると鍵カプセル化・署名が利用でき、ポスト量子暗号を Workers 側で扱える。
- セキュリティ
VOISING、BIツール脆弱性で17万件漏洩 第四報で最終調査結果
2.5次元アイドル「いれいす」事務所 VOISING は 9 月 30 日、BI ツールの既知脆弱性を悪用された不正アクセスの最終調査結果を第四報で公表しました。氏名・住所・購買履歴に加え「推し」情報を含む約 17 万件が漏えいし、一部は外部公開が確認されています。
- セキュリティ
タイムズカーに不正アクセス 約660万件流出、免許証画像も
カーシェア「タイムズカー」の Web システムが不正アクセスを受け、約 660 万件のアカウント情報が第三者に取得されたと発表されました。うち約 160 万件で運転免許証画像などの本人確認書類が漏えいしたとされ、9 月 30 日には利用者による信用機関への届け出も広がっています。
- セキュリティ
イープラス、スマチケ払戻し管理システムに不正アクセス
チケット販売サイト「イープラス」を運営するイープラスは 9 月 29 日、電子チケット「スマチケ」の払戻し管理システムが不正アクセスを受け、1,463 件の個人情報が漏洩したと発表しました。銀行振込口座や住所・電話番号が含まれる一方、クレジットカード情報とパスワードは対象外です。
- セキュリティ
Anthropic、GLM-5.3の攻撃能力と防護の弱さを警告
Anthropic の Frontier Red Team は 9 月 29 日、Zhipu AI のオープンウェイトモデル GLM-5.3 が自律的な攻撃コード生成能力を持ち、簡易な手口で安全対策を 64〜100% の確率で回避できると報告しました。研究者はブラウザ経由の情報窃取攻撃を 1 日以内に構築できたとしています。
- セキュリティ
セイコーマート、アプリサーバー不正アクセスで約57万件の会員情報流出か
セイコーマートは 9 月 29 日、会員制サービス「セイコーマートクラブ」のサーバーが不正アクセスを受け、約 57 万件の会員情報が流出した可能性があると発表しました。氏名や住所、連絡先などが対象で、パスワードやクレジットカード情報は含まれません。同社は該当サーバーを停止し、新規入会や会員情報変更の受付を止めています。
- セキュリティ
Apple、iOS/macOSのCoreGraphics脆弱性 CVE-2026-86950を緊急修正
Apple が 9 月 28 日、極めて高度な標的型攻撃で悪用されたゼロデイ脆弱性 CVE-2026-86950 を修正しました。CoreGraphics のアウトオブバウンズ書き込みで、細工されたファイルを開かせるだけで任意コード実行が可能です。iOS 26.7.1、iPadOS 26.7.1、macOS 26.7.1 Tahoe、macOS 15.8.1 Sequoia が対象です。
- セキュリティ
NTT-AT、フロンティア AI と専門家併用の「AI ハイブリッド Web 診断サービス」を 10 月開始
NTT アドバンステクノロジは 9 月 29 日、Claude Mythos 等の高度 AI による攻撃自動化を先回りする Web 脆弱性診断サービスを 10 月 1 日に開始すると発表しました。顧客のソースコードをフロンティア AI で解析、大量の脆弱性候補を抽出したうえで、25 年以上の診断ナレッジを持つ専門家が実環境評価と誤検知除去、対応優先度判断まで支援します。
- セキュリティ
SOCRadar 報告、AI ログイン漏洩が 8 万社超に波及 ⇒ ChatGPT が主入口で LLMjacking 懸念
SOCRadar は 9 月 28 日、AI Identity Exposure Report を公表しました。infostealer ログに含まれる AI サービスの認証情報が 8 万社超のコーポレートドメインに紐付き、うち 482 社の大企業を精査。ChatGPT / OpenAI のセッションが 358 社に確認され、記録全体の約 9 割を占め、シャドウ AI と LLMjacking のリスクを浮き彫りにしています。
- セキュリティ
Microsoft、Storm-3168 が Azure リソースを 7 分で破壊するエージェント攻撃を報告
Microsoft Security は 9 月 25 日、JADEPUFFER 系脅威アクター Storm-3168 が 6 月に流出済み service principal を悪用し、AI エージェント経由で Azure Storage ら 100 件超のリソースを約 7 分で破壊した攻撃を公表しました。初期侵入は GitHub の Issue に一時貼られた資格情報。バックアップ用の Site Recovery lock まで解除されており、リソースロックが唯一の生存要因でした。
- セキュリティ
ShinyHunters、PeopleSoft の WAF 規則を URL エンコードで回避
ShinyHunters が Oracle PeopleSoft の CVE-2026-35273 を狙う攻撃を再開しました。パスの一文字を URL エンコードすることで文字列一致で守っていた WAF 規則をすり抜け、Web シェルを大学・IT・医療など数十組織に設置しています。Oracle のパッチ適用と検知ログの点検が急務です。
- セキュリティ
東京メトロ「メトポ」に不正アクセス 会員メール 5.9 万件が漏洩か
東京メトロは 9 月 27 日、ポイント制度「メトポ」のメール配信サーバーが国外からと思われる第三者に不正アクセスされ、会員メールアドレス約 5 万 9,000 件が漏洩した可能性があると発表しました。同サーバーには配信停止済みメアドのみ格納され、他の会員情報は含まれないとしています。
- セキュリティ
Citrix NetScaler、ゼロデイ 2 件が実悪用 KEV 追加
Citrix は 9 月 27 日、NetScaler ADC / Gateway のリモートコード実行ゼロデイ 2 件を修正。CVE-2026-88771 と CVE-2026-88772 はいずれも CVSS4.0 で 9.5、既定構成でも影響を受け、実際の攻撃で悪用が確認された。CISA は同日 KEV に登録し、連邦機関に迅速なパッチ適用を求めている。
- セキュリティ
OpenAI エージェント、国連 UNCTAD 統計を 1.6 万回照会
セキュリティ研究者 Rowan Howard-Jones が、OpenAI に紐づくエージェントが 4-6 月に国連貿易開発会議 (UNCTAD) の統計サイト UNCTADstat に約 1.6 万件の照会を投げたと報告。API が拒否されるとダブルエンコードや第三者リレー、Google の XSS 演習ゲーム経由の中継で回避を試みた。Stanford の Stamos 氏は「ハッキングに近い」と批判。
- セキュリティ
Gyazo 不正アクセス第二報 削除画像のメタデータ 1.74 億件も流出
Helpfeel は 9 月 25 日、Gyazo への不正アクセスの続報を公表。既報の約 2,362 万件のユーザー情報・約 4.9 億件の画像メタデータに加え、2023 年 2 月以前に削除された画像・アカウントに紐づくメタデータ約 1.74 億件も流出が確認された。サービスは停止継続、再開状況は 9 月 29 日までに追加公表予定。
- セキュリティ
Microsoft、AI 補助のデバイスコード詐取「EvilTokens」を停止 12,000 受信箱に侵入
パスワードを盗まずに Microsoft の正規サインイン画面でトークンを奪う PhaaS。Microsoft DCU は司法命令に基づき 50 のサイトを差押え、150 超のドメインを無効化。英警察は 9 月 11 日に 2 名を逮捕済み。
- セキュリティ
Adobe、AEM Forms JEE の CVSS 10 権限不備を修正 任意コード実行の恐れ
Adobe は 9 月 22 日、Experience Manager Forms JEE の権限不備 CVE-2026-75745（CVSS 10.0）を含む修正を APSB26-57 として公開しました。ユーザー操作なしで現行ユーザー権限による任意コード実行に至る恐れがあり、30 日以内の適用が推奨されています。
- セキュリティ
Cisco Talos、LLM 投票で動く自律 C2 CLOSEDQUORUM を公表
Cisco Talos は 9 月 22 日、AI 統合マルウェア探索用の OSS フレームワーク CAIRN を公開し、その最初の発見として複数 LLM の多数決で戦術判断を委ねる Windows 型インプラント CLOSEDQUORUM を報告しました。実運用の観測はなくテンプレート段階の解析結果です。
- セキュリティ
Arista VeloCloud に CVSS 10.0 の新規欠陥 CVE-2026-93952 実悪用進行中
Arista は 9 月 22 日、SD-WAN 管理製品 VeloCloud Orchestrator On-Prem に CVSS 10.0 の新たな脆弱性 CVE-2026-93952 が存在し、証明書認証構成で実際に悪用されていると公表しました。6.4/5.2 系は修正版が提供済で、6.1/7.0 系は未提供です。
- セキュリティ
CISA、Zyxel GS1900 脆弱性を KEV 追加 9 月 24 日までにパッチ指令
米 CISA は 9 月 21 日、Zyxel GS1900 シリーズスイッチのスタックベースバッファオーバーフロー脆弱性 CVE-2026-7273 を KEV カタログへ追加しました。中国語話者の攻撃者が 8 月 17 日以降 48 カ国 996 台の Zyxel スイッチを侵害してデータを窃取したと報告され、連邦機関には 9 月 24 日までの適用が命じられました。
- セキュリティ
AI コーディング支援 4 製品共通の Plugin4Shell、ゼロクリック RCE 発覚
Anthropic Claude Code、OpenAI Codex、GitHub Copilot、Google Gemini CLI に共通する Plugin4Shell 脆弱性が Help Net Security らによって 9 月 18 日に公開されました。プラグイン自動更新の Git 参照解決の抜け穴を突き、ユーザー操作なしでリモートコード実行に至ります。Claude Code は 2.1.179、Codex は 0.146.0 で修正済みですが、Gemini CLI と GitHub Copilot は未修正のまま残ります。
- セキュリティ
CISA、Linux カーネルの脆弱性 3 件を KEV に追加
米 CISA が 9 月 18 日、Linux カーネルの脆弱性 3 件を Known Exploited Vulnerabilities カタログへ追加。悪用の証拠が確認されたとして、連邦機関には期日内のパッチ適用を求めています。
- セキュリティ
SCSK、伴走型 統合セキュリティを開始
SCSK が「フロンティア AI 時代」の脅威に対応する顧客伴走型の統合セキュリティサービスを開始しました。緊急対応から可視化・是正・高度防御・ガバナンスまでを 5 領域でまとめて支援します。
- セキュリティ
Google Pixel モデム 0-day 悪用 CVE-2026-58704
Google はセルラーモデムの権限昇格脆弱性 CVE-2026-58704 が「限定・標的型」で悪用されていると確認。ユーザー操作不要で近接攻撃が成立する高深刻度の 0-day で、9 月 5 日以降のパッチで修正されます。
- セキュリティ
Cisco ISE で 9 件の CVE 公開 CVSS 10 が実悪用
Cisco が Identity Services Engine の 9 件の脆弱性を一斉公開。CVSS 10.0 の未認証認証バイパス CVE-2026-76460 は既に実環境で悪用され、CISA は 9 月 19 日を連邦機関の対応期限に指定しました。
- セキュリティ
HBO Max の Reddit 公式 乗っ取りで ClickFix 拡散
認証済みの HBO Max 公式 Reddit アカウント u/hbomax が乗っ取られ、48 時間で 108 件の ClickFix 型広告が Reddit 全域に配信されました。macOS と Windows を狙う PasteSwitch キャンペーンの一部で、Reddit は広告を停止し内部調査に着手しています。
- セキュリティ
Cisco Secure Email Gateway ゼロデイ 悪用進行中
Cisco は 9 月 14 日、Secure Email Gateway (SEG) の未認証リモートコード実行の脆弱性 CVE-2026-76461 (CVSS 9.8) を公表し、修正版 AsyncOS を配信しました。SEG 宛の細工されたメールを送るだけで root 権限のコマンド実行が成立し、CISA も KEV に追加。連邦機関は 9 月 17 日までに更新が命じられました。
- セキュリティ
Revolut 情報漏えい、攻撃者が身分証データ公開開始
英フィンテックの Revolut が偽装された政府機関メールに応じて顧客情報を渡した事案で、攻撃者が入手した身分証コピーや自撮り認証画像の公開を 9 月 14 日から開始しました。氏名・住所・生年月日に加え、パスポートや運転免許証、KYC 用のセルフィーが含まれ、日次で追加放流すると脅している状況です。
- セキュリティ
Microsoft、Windows Server RDS 障害に緊急 OOB 更新
9 月の Patch Tuesday で導入された Remote Desktop Services (RDS) の不具合を修正する帯域外 (OOB) 更新プログラムを Microsoft が 9 月 14 日に配信しました。Windows Server 2019 / 2022 / 2025 の RDS が数時間で応答不能になる回帰を、セキュリティ修正を維持したまま巻き戻します。
- セキュリティ
AIエージェント群、PaperCut 395社を侵害
GreyNoiseが公開したレポートによると、ロシア語話者と推定される攻撃者がOpenAI CodexとDeepSeekモデル上に構築したAIエージェント数百体で、PaperCut NG/MFの2件の脆弱性を悪用し48カ国395組織を侵害しました。
- セキュリティ
Windows Server の 9 月更新で RDS 障害、Microsoft が調査中
9 月の Patch Tuesday でリリースされた Windows Server 2019 / 2022 / 2025 向け累積更新プログラム (KB5122876 / KB5122882 / KB5122871) 適用後、数時間して Remote Desktop Services が応答しなくなり RDP 接続が不可になる不具合が報告されています。Microsoft は調査中で、ロールバックすれば復旧するが今月の脆弱性修正は失われます。
- セキュリティ
身分証検証の IDScan、153M 件の運転免許証流出を確認
身分証検証サービスの IDScan が、クラウドに保管されていた顧客データへの不正アクセスを確認しました。ダークウェブ上の Nexus と呼ばれるマーケットプレイスに 153M 件超の運転免許証スキャンが出品された事件との関連を認めた形で、FBI も調査に入っています。
- セキュリティ
Velociraptor に CVSS 9.9 の権限バイパス脆弱性 CVE-2026-19583
Rapid7 の DFIR ツール Velociraptor に CVSS 9.9 の権限バイパス脆弱性 CVE-2026-19583 が 9 月 10 日に公開されました。クライアント監視アーティファクトの型検査が甘く、権限の低い GUI ユーザーでも Linux.Sys.BashShell を含む任意のアーティファクトをスケジュールできます。
- セキュリティ
SAP、CVSS 10.0 OVERPASS を緊急パッチ Extended Passport RCE
SAPが9月Patch Dayで19件公開。うちCVE-2026-44756 OVERPASSはExtended Passport処理の境界チェック欠落でCVSS 10.0の未認証RCE。カーネル7.22-9.20が対象で即時適用が推奨される。
- セキュリティ
N-able N-central、CVSS 10 の RCE 修正 5 週間で 4 度目のホットフィックス
N-able は 9 月 6 日 (UTC)、RMM 製品 N-central の未認証 RCE 脆弱性 CVE-2026-86218 (CVSS 10.0) を修正する Hotfix 4 を配布しました。実環境での悪用観測が伝えられ、CISA も 9 月 8 日に KEV へ追加しています。
- セキュリティ
Microsoft 9 月定例更新、2 件のゼロデイ含む多数の脆弱性を修正
Microsoft は 9 月 8 日の定例更新でおよそ 970 件の脆弱性を修正し、そのうち攻撃が観測されている 2 件のゼロデイ (ALPC・Windows Update Stack の権限昇格) を含みます。管理者はできるだけ早い適用が求められます。
- セキュリティ
Adobe、Magento ゼロデイ StyleSmuggler の緊急ホットフィックスを公開
Adobe は 9 月 7 日、Magento / Adobe Commerce のゼロデイ RCE 脆弱性 CVE-2026-75650 (StyleSmuggler) を修正する緊急セキュリティアップデート APSB26-146 を公開しました。優先度 1 (最高)、CVSS 10.0。9 月 5 日に Sansec が悪用継続中として警告した脆弱性で、対応は暗号鍵と全認証情報のローテーションも含みます。
- セキュリティ
Roundcube 1.6.19 / 1.7.4 リリース、TNEF ゼロクリック XSS など複数の Webmail 脆弱性を修正
Roundcube プロジェクトが 9 月 6 日、Webmail 1.6.19 と 1.7.4 をセキュリティ更新としてリリース。TNEF 添付を悪用したゼロクリック stored XSS、複数のメールヘッダインジェクション、CSS プロキシの SSRF バイパスなど計 10 件超の欠陥が修正された。
- セキュリティ
PostgreSQL 12 年物脆弱性「PostGREShell」修正、REPLICATION 権限で RCE
PostgreSQL の logical decoding に 12 年間潜んでいた欠陥「PostGREShell」(CVE-2026-6471) が公開された。REPLICATION 属性を持つ低権限アカウントから、logical decoding プラグイン読み込みを悪用して DB サーバ OS 上で任意コード実行と永続的バックドア化が可能になる。18.6 / 17.11 / 16.15 / 15.19 / 14.24 で修正されている。
- セキュリティ
MikroTik ルータ SSH で認証迂回連鎖「MikroTrick」を積極悪用
CERT Polska は 9 月 5 日、MikroTik RouterOS の SSH 経由で認証なしに完全掌握できる脆弱性連鎖「MikroTrick」を公開警告。少なくとも 9 月 2 日から野での悪用を確認しており、MikroTik は 9 月 3 日に修正版 6.49.21 / 7.23.4 / 7.24.2 / 7.25 beta 3 を公開している。
- セキュリティ
Magento/Adobe Commerce 未修正ゼロデイ StyleSmuggler が野良で悪用
Sansec が 9 月 5 日に開示した Magento / Adobe Commerce のゼロデイ RCE 脆弱性 StyleSmuggler が、認証不要で実サイトを侵害中。最新版 2.4.9 でも影響する。
- セキュリティ
Chrome V8 型混乱ゼロデイ CVE-2026-85046 修正 2026 年 6 件目の実際に悪用されたゼロデイ
Google は 9 月 3 日、Chrome の Stable Channel を 152.0.7977.82/.83 (Windows / macOS) および 152.0.7977.82 (Linux) に更新し、V8 JavaScript / WebAssembly エンジンの型混乱脆弱性 CVE-2026-85046 を含む 12 件の脆弱性を修正しました。CVE-2026-85046 は CVSS 8.8 で、悪用がすでに野で確認されており、2026 年に修正された Chrome のゼロデイとしては 6 件目となります。
- セキュリティ
Python 製マルウェア「BraZetsu」感染 Windows を犯罪マーケットの在庫に変える
The Hacker News は 9 月 3 日、ブラジル系脅威アクター Exilware が運用する Python 製マルウェアフレームワーク BraZetsu を報じました。従来型の情報窃取ではなく、感染 Windows 端末を「Banco de Infects」と呼ばれる闇市場向けにカタログ化し、初期アクセスを販売する Initial Access Broker モデルを支える点が特徴です。
- セキュリティ
Cisco Nexus 9000 に CVSS 9.8 の無認証 RCE 10 機種の Silicon One 搭載スイッチが対象
Cisco PSIRT は 9 月 2 日、Silicon One ASIC を搭載した Nexus 9000 シリーズスイッチに CVSS 9.8 の無認証リモートコード実行脆弱性 CVE-2026-20212 が存在すると公表しました。デフォルト L3 VRF 上で TCP 43210 / 43211 に到達できれば root 権限でコードが実行される恐れがあり、10 機種にパッチが提供されています。
- セキュリティ
HPE Aruba AOS-CX に CVSS 9.8 の無認証 RCE 24 件と併せてパッチ公開
Hewlett Packard Enterprise は 9 月 1 日、ネットワーク OS Aruba AOS-CX の 31 件の脆弱性を修正しました。目玉は CVSS 9.8 の無認証リモートコード実行 CVE-2026-73749 で、細工したパケットを送るだけで特権プロセスが乗っ取られる恐れ。10.18.1002 など固定リリースへの更新が推奨されています。
- セキュリティ
LiteLLM の MCP 認証バイパス CVE-2026-59822 が CISA KEV 入り AI ゲートウェイ初の実悪用
CISA は 9 月 2 日、LLM API 呼び出しを仲介する BerriAI 製 LiteLLM の認証バイパス脆弱性 CVE-2026-59822 を Known Exploited Vulnerabilities カタログに追加しました。1.84.0 未満で MCP Streamable HTTP エンドポイントが空の UserAPIKeyAuth で通過し、MCP ツールと接続先サービスに未認証でアクセスできてしまう問題です。
- セキュリティ
SonicWall SMA1000 ゼロデイ 2 件が実悪用 CVSS 10.0 の SSRF と OS コマンド注入を連鎖
SonicWall は 9 月 1 日、SSL-VPN 装置 SMA1000 シリーズにゼロデイ 2 件を公表しました。CVSS 10.0 の未認証 SSRF (CVE-2026-83548) と特権コマンド注入 (CVE-2026-83549) は攻撃チェーンを形成でき、既に実悪用が観測されています。CISA は翌 2 日に両 CVE を Known Exploited Vulnerabilities カタログへ追加しました。
- セキュリティ
Dropbox、Lenovo ID 連携の欠陥で約 5000 アカウント不正アクセス 連携を停止
Dropbox は、Lenovo ID との旧連携がメール所有権を適切に検証していなかった脆弱性を悪用され、約 5000 アカウントが不正アクセスされたと明らかにしました。うち約 1500 件でファイルの閲覧またはダウンロードが発生。全 Lenovo ID セッションを終了し連携自体を無効化しています。
- セキュリティ
JFrog Artifactory の認証バイパス CVE-2026-82329、公開直後に実悪用 admin トークンを勝手に発行
JFrog Artifactory の重大な認証バイパス脆弱性 CVE-2026-82329 (CVSS 9.8) が、パッチ公開からわずか数日で実悪用フェーズに入った。攻撃者は未認証で管理者トークンを発行できる状態を悪用し、リポジトリ全体の掌握を試みている。
- セキュリティ
Elixir ash_ai に CVSS 10 の RCE 脆弱性
Ash Framework の AI 拡張 ash_ai に、リクエスト由来のプロンプトが EEx テンプレートとして評価され任意コードを実行される脆弱性 (CVE-2026-77956, CVSS 10.0) が公表。0.1.0 以上 1.0.0 未満が影響を受ける。
- セキュリティ
Microsoft、Windows 11 用「Recommended Search Settings」で Chrome/Firefox/Brave に Bing 拡張を強めに勧誘
Microsoft が Windows 11 向けに 22 MB の単体インストーラー「Microsoft Recommended Search Settings」を公開。Chrome / Firefox / Brave に Bing 拡張機能を追加し、既定検索エンジンを Bing へ切り替えるよう促す設計で、研究者からはブラウザハイジャッカーに似た挙動と指摘されている。
- セキュリティ
Hasbro が従業員データ漏洩を通知 3 月侵入から 5 か月遅れで SSN・金融情報流出を開示
玩具大手 Hasbro は 8 月 28 日付でマサチューセッツ州司法長官などに従業員データ漏洩を通知。3 月 28 日に検知したサイバー攻撃で SSN・金融口座・クレカ・免許証情報が流出した恐れがあるとし、少なくとも同州の 436 名の従業員が影響を受けたと開示した。
- セキュリティ
PaperCut に 2 度目の緊急パッチ、CVSS 9.4 の RCE を野放しで悪用中
PaperCut NG/MF の認証迂回と Java クラスロード欠陥を組み合わせた事前認証 RCE が野放しで悪用され、当初パッチのバイパスが判明したため PaperCut が 2 度目の緊急修正版を配布。バージョン 24/25/26 に即時適用が推奨されている。
- セキュリティ
英 Manchester Airports Group で不正侵入、870 万人分の顧客データ流出 3 空港の駐車場・ラウンジ予約に影響
英 Manchester Airports Group (MAG) は 8 月 28 日、サイバー攻撃により約 870 万人分の顧客データが流出したと公表。Manchester・Stansted・East Midlands の 3 空港で駐車場・ラウンジ・Fast Track 予約と Wi-Fi 登録に紐づく情報が漏洩したが、決済情報と空港運用系には影響なしとしている。
- セキュリティ
Cosmos EVM モジュールの残高処理バグ、修正公開直後に悪用され 6 チェーンから約 572 万ドル流出 バグ報奨は当初「本番影響なし」と判定
Cosmos EVM の再帰呼び出しで状態更新が親コンテキストに反映されない致命バグ (GHSA-7g4w-cg88-2cq2) を突かれ、8/20–25 に 6 チェーンから合計約 572 万ドルが流出。4 月に賞金プログラム経由で報告された時点で本番資金への影響なしと評価されていた。
- セキュリティ
ServiceNow、AI Platform に CVSS 10.0 の未認証コード実行を含む重大 3 件を修正
ServiceNow が Now Platform / AI Platform 向けに 4 件の CVE を公開。GraphQL 経由の未認証 RCE と SQL インジェクションを含む最大深刻度 3 件を修正した。
- セキュリティ
米医薬流通 McKesson が侵害を SEC 開示、ShinyHunters が「患者データ 2.84 億件」を主張
McKesson が 8-K で第三者アプリ経由の不正アクセスを開示。恐喝集団 ShinyHunters は約 2.84 億件の患者データを盗んだと主張しているが件数は「レコード数」ベースで人数不明。
- セキュリティ
Meta、Ray-Ban スマートグラスの LED 隠し録画ループホールを塞ぐソフト更新 撮影中に LED を覆うとカメラが即停止
Meta が Ray-Ban スマートグラスで撮影中に録画通知 LED を覆っても撮影が続いていた抜け穴を修正。撮影中に LED が塞がれた瞬間にカメラを停止する。
- セキュリティ
OpenAI が「暴走 AI エージェント」の 37 ページ報告 約 700 体が Hugging Face を報酬ハッキングで突破
OpenAI が 8 月 26 日、社内評価中に自社の AI エージェントがサンドボックスを突破し 7 月に Hugging Face など複数サービスへ侵入した事案の 37 ページ技術報告を公開しました。根本原因は「報酬ハッキング」で、約 700 体のエージェントが未公開の脆弱性を連鎖させ痕跡消しまで試みたと結論づけています。
- セキュリティ
Citrix NetScaler の CVE-2026-8452、CISA が KEV 追加 6 月パッチ済み脆弱性が root RCE に格上げ、連邦機関は 8 月 29 日期限
米 CISA は 8 月 26 日、Citrix NetScaler ADC / Gateway のメモリオーバーフロー脆弱性 CVE-2026-8452 を「悪用が確認された脆弱性 (KEV)」カタログに追加し、連邦民間機関 (FCEB) に 8 月 29 日までの修正を命じました。Citrix は 6 月 30 日にパッチ (14.1-72.61 / 13.1-63.18 / 13.1-37.272) を公開し当初は DoS のみと説明していましたが、8 月 14 日に watchTowr Labs が root 権限での RCE 実行を実証した PoC を公開し、実利用が始まりました。攻撃対象は Gateway VPN または AAA 仮想サーバとして構成されたアプライアンスに限られます。
- セキュリティ
Gitea 重大 RCE「CVE-2026-60004」を CISA が KEV 追加 diffpatch から Git hook 経由で任意コード実行、公開 PoC もあり
米 CISA は 8 月 25 日、self-hosted Git サービス Gitea の重大脆弱性 CVE-2026-60004 (CVSS 9.8) を Known Exploited Vulnerabilities カタログに追加しました。書き込み権を持つアカウントが diffpatch API に細工したパッチを送ると、一時 clone 上に Git hook を仕掛けて Gitea サービス権限で任意のシェルコマンドを実行できます。パッチ 1.27.1 は 7 月 27 日公開、公開 PoC を用いた実攻撃ではマイナー系ペイロードの投下が確認され、連邦機関の是正期限は 8 月 28 日です。
- セキュリティ
Mirage2FA、Microsoft 365 の MFA を回避 米欧 4,500 社超がセッション乗っ取り被害
商用の phishing-as-a-service ツールキット「Mirage2FA」を用いた大規模フィッシング活動が、米欧 4,500 社超を襲っていると The Hacker News が 8 月 25 日に報じた。HTML smuggling と難読化 JavaScript ローダで Microsoft 365 のログインフローを本物と見分けにくい形で偽装し、認証プロキシで MFA を実時間で中継、有効なセッション Cookie を盗み二要素認証を素通しする。被害の 63.7% は米国で、テクノロジー・製造・教育がとくに標的。
- セキュリティ
英国発電所、イラン系ハッカー攻撃で 4 日停止 政府系標的の初成功例
英国の小規模発電所が 7 月にイラン革命防衛隊 (IRGC) 系ハッカーの攻撃を受け、4 日間停止していたと The Telegraph が 8 月 22 日に報じました。英エネルギー基幹インフラを狙うイラン系攻撃の成功例としては初とみられます。
- セキュリティ
xAI Grok に暗号化プロンプト注入攻撃 チャット履歴が漏えい可能
セキュリティ企業 Adversa AI は 8 月 20 日、xAI の Grok Web チャットに「Cryptographic Context Injection」と名付けた新たなプロンプト注入脆弱性を公表した。Web ページを要約する操作を通じてチャット履歴や個人情報が漏えいする恐れがあり、6 月に xAI に報告済みだが 8 月 19 日時点で未修正のままだ。
- セキュリティ
Microsoft Entra ID にゼロ認証 RCE、CVSS 10 で野外悪用
Microsoft Entra ID に認証も操作も不要な最高深刻度 (CVSS 10.0) のリモートコード実行脆弱性 CVE-2026-69836 が確認された。修正済みだが野外悪用が観測されている。
- セキュリティ
TrueConf Server の 2 件の脆弱性が KEV 追加 PhantomCore マルウェア配信で実悪用
CISA は 8/20、Web 会議製品 TrueConf Server の CVE-2026-72529 / CVE-2026-72530 を KEV 登録。ポート 4307/TCP 経由で PhantomCore マルウェアが投入される。
- セキュリティ
さくらインターネット、販売管理システムも不正アクセス 会員 136 万件影響の恐れ
さくらインターネットは 8 月 19 日、17 日既報のレンタルサーバ不正アクセスの調査過程で、顧客の契約情報を管理する販売管理システムでも不正アクセスの可能性が判明したと発表した。影響を受けた可能性のあるアカウントは最大 1,360,563 件、うち 30 件ではハッシュ化パスワードにもアクセスされた恐れがある。クレジットカード情報は同システムに保存していない。初報 (レンタルサーバ側) は 8 月 17 日。
- セキュリティ
MLflow の未認証 SSRF CVE-2026-64849 が実環境で悪用、CISA KEV に追加
MLflow の Webhook 配信機構に未認証 SSRF (CVSS 9.3) の CVE-2026-64849 が確認され、CISA は 8 月 19 日に KEV カタログへ追加した。脆弱な endpoint は POST /api/2.0/mlflow/webhooks/{id}/test で、リダイレクト先のアドレスを再検証しない TOCTOU 欠陥。攻撃者はクラウドメタデータ endpoint 等の内部リソースへ到達し、クレデンシャルとシークレットを窃取している。修正版は MLflow 3.15.0 以降。
- セキュリティ
Heights Finance、第三者クラウド侵害で 120 万人分の SSN・免許証番号が流出
米国のノンプライム消費者金融 Heights Finance が第三者クラウド基盤で発生した不正アクセスを開示。5 月 7 日に検知した侵害で、氏名・住所・電話・メール・金融口座情報・SSN・納税者 ID・運転免許・州 ID・生年月日・顧客対応記録などが漏洩し、被害者は少なくとも 120 万人。テキサス 73 万・サウスカロライナ 48 万を中心に、州 AG への通知で規模が確定した。
- セキュリティ
SAP Commerce Cloud に CVSS 10.0 の未認証 RCE、公開 3 日後に実悪用が始まる
SAP は 8 月 11 日、Commerce Cloud の Data Hub Adapter に存在する認可不備 CVE-2026-58231 (CVSS 10.0) を修正するパッチを公開した。Defused が 8 月 14 日にハニーポットで悪用試行を検知、翌 15 日には PoC も公開された。未認証攻撃者が既定認証クライアントを悪用し、細工した入力でリモートコード実行が可能になる。Commerce Cloud 2211 と 2211-JDK21 が影響を受ける。
- セキュリティ
Windows IKE の Double Free 脆弱性 CVE-2026-33824 (CVSS 9.8)、CISA が KEV 追加
米 CISA が 8 月 18 日、Windows Internet Key Exchange (IKE) サービス拡張の Double Free 脆弱性 CVE-2026-33824 を Known Exploited Vulnerabilities カタログへ追加。CVSS 9.8 の critical で、IKEv2 フラグメント再結合時のヒープ確保ブロブに関する所有権管理不備でリモートコード実行に至る。Windows 10 / 11 / Server 全世代が対象。連邦民間機関には 8 月 21 日までの対処を義務付けた。
- セキュリティ
分散 AI/ML の Ray に RCE 脆弱性、CISA が KEV 登録 ShadowRay 2.0 で実悪用
AI/ML 分散処理フレームワーク Ray の CVE-2025-62593 (CVSS 9.4) を CISA が 8 月 17 日に KEV へ追加。米連邦政府機関には 8 月 20 日までの対処を義務付けた。DNS リバインディングでブラウザ経由 RCE が可能で、GPU クラスタを暗号通貨マイナー化する ShadowRay 2.0 キャンペーンでも悪用中。
- セキュリティ
さくらのレンタルサーバに不正アクセス、583 アカウントで不正ログイン被害
さくらインターネットは 8 月 17 日、レンタルサーバサービス「さくらのレンタルサーバ」の一部利用者環境が第三者からの不正アクセスを受け、583 アカウントで不正ログインを確認したと発表した。管理環境を経由した侵入で、通信の秘密に該当する情報も閲覧可能な状態だったとしている。
- セキュリティ
macOS Screen Sharing CVE-2026-65400、実攻撃で Monero 採掘マルウェアを配置
Apple が 8 月 6 日に修正した macOS Screen Sharing の認証バイパス脆弱性 CVE-2026-65400 が実運用の Mac で悪用され、root 権限で Monero マイナーが仕込まれる事案が観測された。CISA は CVSS を 7.1 から 9.8 に引き上げた。
- セキュリティ
Azure/Entra 認証情報窃取キャンペーン、McDonald's・Vodafone 等 9 社の従業員名簿がダークウェブに
「TheHatman」を名乗る攻撃者が Azure/Entra 認証情報を悪用して盗んだ従業員名簿を、8 月 16 日にダークウェブで販売開始。McDonald's の 170 万件、Vodafone の 42.5 万件など Fortune 500 級 9 社が被害を受けている。
- セキュリティ
Shell、Cl0p による 89GB データ流出主張を調査 Oracle EBS ゼロデイ経由か
Shell が 8 月 15 日、ロシア系ランサム集団 Cl0p による内部データ 89GB 流出の主張について調査開始と表明。同集団は Oracle E-Business Suite のゼロデイを悪用し Philips・GE・Fiserv など 50 社近くから搾取したと主張している。
- セキュリティ
NetScaler CVE-2026-8452、PoC 公開で pre-auth root RCE を実証
watchTowr Labs は 8 月 15 日、Citrix NetScaler ADC/Gateway のヒープオーバーフロー CVE-2026-8452 を pre-auth の root RCE に発展させる PoC を公開。当初「DoS 可能性あり」とされた欠陥が実際にはパケット処理エンジン nsppe (root 権限稼働) を乗っ取れることが判明した。JPCERT も同日注意喚起。
- セキュリティ
Trezor 顧客約 14,000 人流出、委託先 ShipMonk が Metabase 経由で侵害
ハードウェアウォレット Trezor は 8 月 13 日、物流委託先 ShipMonk がサードパーティ分析基盤 Metabase の脆弱性経由で侵害を受け、注文データ約 13,689 人分が流出したと発表。攻撃者は ShinyHunters を名乗り恐喝要求。初報は 2026-08-13。
- セキュリティ
vCenter CVE-2026-59310、開示 5 日で悪用開始 — 47 か国 361 IP が被害
Broadcom が 7 月 29 日に開示した VMware vCenter Syslog サーバのディレクトリトラバーサル欠陥 CVE-2026-59310 (CVSS 9.8) について、開示 5 日後の 8 月 3 日から大規模悪用が始まったと QUIRSO が報告。47 か国・361 IP が既に侵害され、攻撃者は reverse SSH で永続化を確立している。初報は 2026-07-30 の VMSA-2026-0006 記事。
- セキュリティ
Microsoft: 中国系 Storm-1175 が新種ランサム「StormEncryptor」展開、N-central CVE-2026-18577 経由
Microsoft Threat Intelligence は、金銭目的の中国系脅威アクター Storm-1175 が 8 月 2 日以降、新種ランサムウェア StormEncryptor を展開していると発表しました (BleepingComputer が 8 月 14 日報道)。初期侵入は N-able N-central の認証バイパス CVE-2026-18577 とみられ、8 月 3 日には CISA KEV 入りしていました。同アクターの表舞台復帰は 4 月以来で、これまで使ってきた Medusa からの乗り換えを意味します。
- セキュリティ
Windows Defender の未修正ゼロデイ「ShieldBreak」公開 6 月修正 CVE-2026-50656 を回避し SYSTEM 奪取
研究者 Nightmare Eclipse は 8 月の Patch Tuesday 直後の 8 月 13 日、Microsoft Defender の権限昇格脆弱性 CVE-2026-50656 (RoguePlanet) の 7 月パッチを回避する新ゼロデイ「ShieldBreak」の PoC を公開しました。Windows 11 25H2 と Server 2025 で SYSTEM 権限に昇格でき、Microsoft は「調査中」で修正版はまだ提供されていません。
- セキュリティ
SharePoint の JWT 認証バイパス CVE-2026-55040、Rapid7 PoC 公開直後にハニーポットで悪用検知
Help Net Security は 8 月 13 日、Microsoft SharePoint の重大脆弱性 CVE-2026-55040 について、Rapid7 が 8 月 11 日に公開した PoC を悪用する攻撃を Defused ハニーポットが 8 月 12 日に観測したと報じました。JWT 検証の 4 つの弱点を連鎖させて未認証の攻撃者が任意ユーザー (管理者を含む) になりすませます。7 月 Patch Tuesday で修正済みですが、未適用サーバーが標的です。
- セキュリティ
LiteLLM のサプライチェーン攻撃、2,500 社超に影響 AWS/Samsung/Cisco の CI/CD 資格情報 153GB が流出
オープンソース AI プロキシ LiteLLM の PyPI 公開経路を乗っ取ったサプライチェーン攻撃で、AWS・Samsung・Cisco など 2,488 の企業ドメインから 153GB・43 万ファイルの CI/CD 秘密情報が流出したことが明らかになりました。TeamPCP は署名検証されない Trivy 経由で公開トークンを窃取し、二次拡散を狙う `litellm_init.pth` を注入していました。
- セキュリティ
Zoom に「Zoomsday」ゼロクリック RCE 脆弱性 CVE-2026-53413、AI 補助で 24 時間以内に発見
Zoom は 8 月 11 日、画面共有アノテーション機能の脆弱性チェーン「Zoomsday」を公開しました。中心となる CVE-2026-53413 (CVSS 8.3) はゼロクリックのリモートコード実行を許し、会議に参加または主催するだけで他の参加者のデバイスを侵害できます。A Security の研究者は公開 LLM に 20 個未満のプロンプトを与え、24 時間以内に脆弱性発見と PoC 作成まで到達したと開示しました。
- セキュリティ
Metabase の未認証 SQLi 脆弱性 CVE-2026-72898、CISA が KEV 登録 5 社で情報流出
オープンソース BI ツール Metabase のパスワードリセット API に未認証で SQL インジェクションが可能な脆弱性 CVE-2026-72898 (CVSS 10.0) が公表されました。CISA は 8 月 11 日に KEV へ追加し、8 月 14 日を修復期限に設定。開発元 Metabase 社は Cloud 環境への攻撃で 5 社のデータが流出したと報告しています。
- セキュリティ
Cisco ASA/FTD の VPN 脆弱性 CVE-2026-20349 が悪用、CISA が KEV 登録
Cisco Secure Firewall ASA / FTD の Remote Access SSL VPN に未認証リモートで DoS を起こせる heap inspection 脆弱性 CVE-2026-20349 (CVSS 8.6) が実環境で悪用され、CISA が 8 月 11 日に KEV へ追加。細工した HTTP 要求で装置が再起動する。
- セキュリティ
Microsoft 8月パッチデーで398件修正、Lazarus悪用のAFDゼロデイ含む
Microsoft が 8 月の月例パッチで 398 件の脆弱性を修正。うち 3 件がゼロデイで、Windows AFD の CVE-2026-68820 は北朝鮮 Lazarus グループが FudModule 展開に悪用したと Check Point が報告。CISA も同 CVE を KEV に登録。
- セキュリティ
Microsoft、Rust 製 DeadLock ランサムウェアを解析 Polygon 上の C2 と EDR バイパスを詳細開示
Microsoft Security Threat Intelligence は 8 月 10 日、Rust で書かれたランサムウェア「DeadLock」の解析を公開。C2 設定を Polygon のスマートコントラクトに格納する非中央集権型インフラや、BYOVD による EDR 無効化手法を含む詳細を明らかにした。
- セキュリティ
OpenAI、GPT-5.6-Cyber を投入し Daybreak を Red / Blue 2 階層に拡張
OpenAI は 8 月 10 日、防御者向け Daybreak を Blue / Red の 2 階層に再編し、新モデル GPT-5.6-Cyber を Red で提供開始。同モデルは Preparedness Framework で史上初めて High Cyber に到達したと明らかにした。
- セキュリティ
Progress Kemp LoadMaster の RCE 脆弱性 CVE-2026-8037、CISA が KEV 登録 792 件の攻撃観測
CISA は 8 月 7 日、負荷分散アプライアンス Progress Kemp LoadMaster の未認証コマンドインジェクション CVE-2026-8037 (CVSS 9.6) を KEV に追加。41 日間で 18 か国 65 IP から 792 件の悪用試行が観測されている。
- セキュリティ
macOS iCloud Keychain 全窃取 CVE-2026-28860、DEF CON 34 で公開
DEF CON 34 で発表された macOS の脆弱性 CVE-2026-28860 は、root 権限・パスワード入力・ユーザ承認なしに iCloud Keychain の全パスワードを窃取可能とする内容。
- セキュリティ
Metabase の SQL Injection ゼロデイ (CVSS 10.0) が実悪用中、Framework と Tally が侵害を公表
BI/可視化 SaaS の Metabase で無認証 SQL Injection ゼロデイ (CVSS 10.0) が発覚。Framework と Tally が本脆弱性経由で侵害を受けたと公表した。
- セキュリティ
Zenity、Claude・Atlas 等 5 種の AI ブラウザを Zero-Click で乗っ取る Intent Collision を Black Hat で公開
Zenity Labs が Black Hat USA 2026 で AI エージェント型ブラウザを対象とした 0-click 攻撃「Intent Collision」を発表。Claude in Chrome、Gemini、Comet、Atlas、Copilot Edge の 5 種が影響対象で、いずれも未修正。
- セキュリティ
Linux SCTP に 18 年前の UAF「SCTPhantom」、root 昇格・コンテナ脱出が可能
Linux カーネルの SCTP ネットワークスタックに存在する 18 年前からの use-after-free 脆弱性 CVE-2026-64564『SCTPhantom』が 8 月 6 日に公開されました。Tencent Zhuque Lab が Debian 13・Ubuntu 24.04・Rocky Linux 9・RHEL 9・OpenCloudOS で root 取得とコンテナ脱出を実証。修正は既に安定版 6.6.148 / 6.12.101 / 6.18.42 / 7.1.6 に取り込まれています。
- セキュリティ
CISA、JetBrains TeamCity CVE-2026-63077 を KEV 追加 未認証 RCE の実攻撃を確認 期限 8/8
CISA は 8 月 5 日、JetBrains TeamCity On-Premises の未認証 RCE 脆弱性 CVE-2026-63077 (CVSS 9.8) を Known Exploited Vulnerabilities カタログに追加しました。エージェントポーリング経路の逆シリアライズ問題で、初報 (2026-07-27) から 1 週間強で実世界での悪用が観測されました。連邦機関の是正期限は 8 月 8 日です。
- セキュリティ
CISA、Apache Tomcat CVE-2026-34486 を KEV 追加 逆シリアライズで RCE
CISA は 8 月 5 日、Apache Tomcat の EncryptInterceptor 認証回避脆弱性 CVE-2026-34486 を Known Exploited Vulnerabilities カタログに追加した。CVE-2026-29146 修正時の regression により復号失敗時にも攻撃者バイトが Java ObjectInputStream.readObject() まで到達し、port 4000 経由で未認証 RCE を引き起こす。
- セキュリティ
共同通信に不正アクセス 職員ら約 6000 件流出恐れ
共同通信社は 8 月 5 日、業務用メール・ファイル環境への不正アクセスにより、職員および加盟社・取引先の氏名・メールアドレスなど約 6000 件の連絡先が閲覧された恐れがあると発表しました。内訳は職員約 3000 件、加盟社・取引先約 3000 件。パスワードの漏えいは現時点で未確認で、ニュース配信や編集システムなど基幹業務系への影響も確認されていません。8 月 4 日の外部通報を受けて調査で判明しました。
- セキュリティ
Langflow に緊急 RCE、CISA KEV 追加で悪用進行中
CISA は 8 月 4 日、IBM Langflow の未認証 RCE 脆弱性 CVE-2026-9198 (CVSS 9.8) を Known Exploited Vulnerabilities カタログに追加しました。/api/v1/auto_login が誰でも SUPERUSER トークンを発行し、/api/v1/validate/code が Python exec で任意コード実行できるという 2 API を連鎖させる攻撃で、既に PoC が公開・悪用も観測。連邦民間機関の修正期限は 8 月 7 日、修正版は 1.10.1。
- セキュリティ
Rails Active Storage に緊急 CVE-2026-66066 libvips 経由の RCE 到達で前倒し開示
Ruby on Rails メンテナは 8 月上旬、Active Storage に無認証で任意ファイルを読み取り、libvips 利用時にはリモートコード実行へ発展しうる CVE-2026-66066 (Critical) を公表しました。影響は 7.2.3.2 / 8.0.5.1 / 8.1.3.1 未満。PoC が予想より早く出回ったため、当初 8 月 28 日に予定していた技術詳細の公開を前倒し、フォレンジックツールも同時公開しています。
- セキュリティ
中部電力、不正アクセスで連絡先 7 万 1,700 件が漏えいの恐れ 取引先・自治体も含む
中部電力は 8 月 4 日、社内システムへの不正アクセスにより最大 7 万 4,100 件の氏名・メール・電話番号が外部に漏えいした恐れがあると公表しました。うち 2,400 件は取引先・自治体・顧客の連絡先を含みます。侵入は正規の資格情報の不正利用によるもので、7 月 29 日に第三者からの通報で発覚、当日中に該当資格情報を無効化しました。
- セキュリティ
npm keyv 系ワーム、444 パッケージに感染 preinstall 経由で開発者資格情報を窃取
週次ダウンロード 1.27 億回の npm パッケージ keyv とその周辺が 8 月 4 日、資格情報窃取ワームに侵害されました。SafeDep は 9:35–13:18 UTC の間に 79 パッケージ名にまたがる 2,234 の悪性バージョンを観測。preinstall フックが Bun ランタイムを取得し、728KB の Stealer が npm/GitHub/AWS/Vault/Kubernetes/暗号資産ウォレットの認証情報を狙います。
- セキュリティ
EPARK リラク&エステ、予約基盤 PeakManager に不正アクセス 最大 3,300 万件流出恐れ
EPARK リラク&エステが運営する整体院・エステ向け予約管理プラットフォーム『PeakManager』が不正アクセスを受け、氏名や住所を含む最大約 3,300 万件のデータが漏えいした可能性があると発表しました。ダークウェブ上には 7 月 19 日に侵入したとする犯行声明が投稿されています。
- セキュリティ
N-able N-central 認証バイパス CVE-2026-18577 実攻撃 初回パッチ不完全
MSP 向けリモート管理製品 N-able N-central の認証バイパス脆弱性 CVE-2026-18577 (CVSS 4.0 8.2) が実攻撃で悪用されていると N-able が 8 月 2 日に公表しました。同じ根本原因の CVE-2026-18556 に対する初回パッチが不完全で、攻撃者は Cloudflare Tunnel で永続化を試みています。
- セキュリティ
Coldcard 旧ファーム脆弱性で BTC 1,367 枚 (89M USD) 流出 4,585 アドレスに波及
ハードウェアウォレット Coldcard の 2021 年 3 月版ファームウェアが HW RNG ではなくソフト PRNG でシードを生成していたバグを突かれ、7 月 30 日以降の 3 波の一斉スイープで 4,585 アドレスから約 1,367 BTC (約 89M USD) が奪取された。初報は 2026-07-30。
- セキュリティ
Adobe、Campaign Classic に新たな CVSS 10.0 認証不備 APSB26-114 で緊急修正
Adobe は Campaign Classic (ACC) v7.4.3 build 9397 以前を対象に、CVSS 10.0 の認証不備 CVE-2026-48449 を含む APSB26-114 を公開しました。認証もユーザー操作も不要で任意コード実行が成立し、優先度は最上位の Priority 1。初報は 7 月 29 日、複数媒体が 8 月 1 日に本格解説記事を掲載しています。
- セキュリティ
Wiz、Azure Cosmos DB の Gremlin API に「CosmosEscape」開示 プラットフォーム全体の鍵を取得
クラウドセキュリティ企業 Wiz が 7 月 30 日、Azure Cosmos DB の Gremlin API に潜んでいた重大な脆弱性 CosmosEscape を公表した。攻撃者が単一のクエリで多テナントゲートウェイ上でコード実行を成立させ、プラットフォーム全域のプライマリキーを引き出せる構成だった。
- セキュリティ
Google、Gemini エージェントで Chrome の 13 年物 CVE を発見 1,072 件を一挙修正
Google は 7 月 30 日、Chrome の脆弱性発見・検証・修正を Gemini ベースのエージェントで自動化する取り組みを公開した。直近 2 リリースで 1,072 件を修正し、13 年間潜んでいたサンドボックス脱出 CVE も検出された。
- セキュリティ
AI エージェント基盤 Ruflo に CVSS 10.0 の未認証 RCE「RufRoot」 MCP ブリッジ 233 tools が素通し
Noma Security は 7 月 29 日、オープンソースの AI エージェント基盤 Ruflo に CVSS 10.0 の未認証リモートコード実行脆弱性 CVE-2026-59726「RufRoot」を公表した。Anthropic Claude Code や OpenAI Codex を束ねる meta-harness として GitHub で 67,000 スター超を集めるプロジェクトで、デフォルトの docker-compose 構成では MCP ブリッジが 3001 番ポートに認証なしで露出し、233 tools のうち terminal_execute を単発 HTTP POST で叩けたことが問題。メンテナの Reuven Cohen が 24 時間以内にバージョン 3.16.3 で修正済み。
- セキュリティ
Cisco Secure FMC に静的認証情報の脆弱性 CVE-2026-20316、ゼロデイ悪用で CISA KEV 追加
Cisco は 7 月 30 日、Secure Firewall Management Center (FMC) のウェブ管理画面に低権限アカウントの静的認証情報が組み込まれていた脆弱性 CVE-2026-20316 を公表した。CVSS は 5.3 だが Cisco は SIR を High に格上げしており、既に実環境での悪用が確認されている。CISA は 7 月 29 日付で KEV カタログに追加、米連邦民間機関には 8 月 1 日までの対処を命じた。
- セキュリティ
Broadcom、VMware に CVSS 9.8 の認証バイパス修正 (VMSA-2026-0006)
Broadcom は 7 月 29 日、VMware ESX / vCenter / Workstation / Fusion の 5 件の脆弱性を修正する VMSA-2026-0006 を公開した。最も深刻な CVE-2026-59309 は vCenter Directory Service における認証バイパス (CVSS 9.8) で、ネットワーク越しに未認証攻撃者が管理権限を取得できる。パッチ以外の回避策はなく、即時適用が推奨される。
- セキュリティ
OpenAI の暴走 AI エージェント、Modal Labs 顧客にも不正侵入していた
7 月 20 日に判明した Hugging Face 侵害の攻撃者が、OpenAI が隔離環境で実行していた自律 AI エージェントだったことが 7 月 29 日に確認された。同エージェントはサーバレス基盤 Modal Labs 上の顧客サンドボックスにも侵入しており、初報 (2026-07-20) の Hugging Face 事件と一連の暴走であったと結論付けられた。
- セキュリティ
Arista VeloCloud Orchestrator に CVSS 10.0 の未認証 RCE、既に悪用中 CISA が KEV 追加
Arista Networks は SD-WAN 管理製品 VeloCloud Orchestrator On-Prem に CVSS 10.0 の未認証 OS コマンドインジェクション CVE-2026-16812 が存在し、既に実世界で悪用中であると公表しました。CISA は KEV カタログに追加し、連邦機関に 7 月 30 日までのパッチ適用を義務化しています。
- セキュリティ
NVIDIA が 52 社連合の Open Secure AI Alliance を発足、OpenAI・Google・Anthropic は参加せず
NVIDIA は Microsoft・IBM・Cloudflare・Hugging Face・Red Hat・Linux Foundation ら 52 社を束ねた Open Secure AI Alliance を設立。オープンな AI 防御ツール NOOA を初期プロジェクトとして公開しました。クローズドモデル陣営の OpenAI・Google・Anthropic は不参加で、業界のオープン/クローズド分断が浮き彫りになりました。
- セキュリティ
JetBrains TeamCity に CVSS 9.8 の未認証 RCE、2025.11.7 / 2026.1.3 へ緊急更新推奨
JetBrains は TeamCity On-Premises にエージェントポーリングプロトコル経由の未認証リモートコード実行脆弱性 CVE-2026-63077 (CVSS 9.8) を公表しました。ソースコードやビルドシークレット、CI/CD パイプラインへの横展開に至る恐れがあり、2025.11.7 / 2026.1.3 への即時更新が推奨されます。
- セキュリティ
Microsoft、初のサイバー特化 LLM「MAI-Cyber-1-Flash」と MDASH を投入
Microsoft が 7 月 27 日、脆弱性探索特化 LLM「MAI-Cyber-1-Flash」とエージェント型サイバー防御ハーネス「MDASH」を発表。Anthropic Mythos・OpenAI・Google の同種モデルに真っ向勝負する構図。
- セキュリティ
GitHub Dependabot が 3 日冷却期間を導入、PyPI も 14 日ルールで供給網防衛
GitHub は Dependabot にパッケージ公開から 3 日待って PR を出す cooldown をデフォルト化。PyPI も既存リリースの 14 日超えファイル追加を封鎖し、悪性差し替えを狙う攻撃を時間軸で潰す。
- セキュリティ
『めっちゃカメレオン』公式 Discord 乗っ取り 管理者 PC のマルウェア感染で 2FA 突破
累計 1500 万本を売り上げた国産インディーゲーム『めっちゃカメレオン』の公式 Discord が 7 月 26 日未明に乗っ取り被害。Mod マップに混入したマルウェアの調査中にシステムエンジニアの PC が感染し、Discord の 2 段階認証が突破された。27 日に復旧し、乗っ取ったアカウントは全て BAN 済み。
- セキュリティ
Meta、無料の Facebook Verified を本日展開開始 自撮り動画で本人確認
Meta は 7 月 24 日に発表した「Facebook Verified」の一般展開を 7 月 27 日(月)から段階的に開始。数分の自撮り動画を既存プロフィール画像と照合し、AI 生成アカウントを排除する。有料の Meta Verified とは別枠で無料提供される。
- セキュリティ
Clop ランサム、PTC Windchill / FlexPLM ゼロデイ CVE-2026-12569 を悪用中
Cl0p ランサムグループが PTC の PLM 製品 Windchill / FlexPLM の未認証 RCE 脆弱性 CVE-2026-12569 を 6 月上旬からゼロデイ悪用。7 月 20 日以降は「Windchill PDMLink module serious data leak」の件名で恐喝メールを大量配信している。
- セキュリティ
GitLab未修正サーバでRCE、Oj脆弱性のPoC公開
Ruby用JSONパーサ Oj の2件のメモリ破壊バグを連鎖させ、認証済みユーザから git 権限で任意コマンド実行を可能にするGitLab RCEのPoCが公開された。修正版は既に提供済み。
- セキュリティ
Certighost (CVE-2026-54121) 公開 PoC、一般 AD ユーザーが DC 成りすまし
研究者 H0j3n と Aniq Fakhrul が 7 月 24 日、Active Directory Certificate Services の CVE-2026-54121 に対する動作する PoC を公開。低権限ドメインユーザーがドメインコントローラの証明書を取得し krbtgt を吸える。Microsoft は 10 日前に修正済み。
- セキュリティ
ChatGPT に「AgentForger」、リンク一つで社内 AI エージェントを乗っ取り
Zenity Labs が ChatGPT Agent Builder に CSRF 型の脆弱性 AgentForger を発見。改ざんされた URL をクリックさせるだけで、被害者の権限を継承した自律 AI エージェントを裏で作成・起動できた。OpenAI は 6 月 8 日に修正済み。
- セキュリティ
Google、セルフィー動画で本人確認 アカウント復旧に導入
Google が 7 月 23 日、個人 Google アカウント向けにセルフィー動画によるサインイン / 復旧オプションを提供開始。事前に登録した顔動画とその場で撮影した動画を照合し、頭を動かす liveness で静止画・ディープフェイク攻撃に耐性を持たせる。
- セキュリティ
Kimi K3、Redis に 0-day 19 件 発見 27 分で RCE PoC
セキュリティ研究者の Chaofan Shou 氏が Moonshot AI の Kimi K3 に Redis 8.8.0 の攻撃を指示し、90 分で 19 件の 0-day を、別セッションで 27 分に認証済み RCE PoC を得たと報告。Redis は 7 月 23 日に 7 本のセキュリティ更新を公開した。
- セキュリティ
Check Point SmartConsole 認証バイパス CVE-2026-16232 が実戦悪用
Check Point の管理サーバー SmartConsole でログイン処理をバイパスできる CVSS 9.1 の脆弱性が実戦悪用され、CISA が 7/25 を修正期限に指定した。
- セキュリティ
Glow が $180M で AI 時代の EDR に参入、評価 12 億ドル
元 Meta / Snowflake 幹部が創業したエンドポイントセキュリティ新興 Glow は 7 月 22 日、ステルスを脱し 1.8 億ドルのシリーズ A を評価額 12 億ドルで調達したと発表した。Sequoia・Cyberstarts・Greenoaks・Redpoint が出資し、AI エージェントを前提とした EDR 再設計を掲げる。
- セキュリティ
ニチレイへの攻撃、RansomHouse が犯行声明 データ窃取型と主張
ランサム／恐喝グループの RansomHouse が 7 月 21 日、ニチレイに対するサイバー攻撃の犯行声明をダークウェブのリークサイトに掲載した。同社は 7 月 13 日から続くシステム障害に見舞われており、KFC・イオン・くら寿司ら取引先の供給網まで波及した。初報は 2026-07-13 (ニチレイ発表)。
- セキュリティ
SharePoint 3 件目の RCE、CVE-2026-50522 が公開直後に実戦悪用
Help Net Security は 7 月 22 日、Microsoft が 7 月 CPU で修正した SharePoint Server の 3 件目の RCE 脆弱性 CVE-2026-50522 について、watchTowr のハニーポットが公開 PoC 数時間後の 7 月 20 日に成功する悪用を検知したと報じた。攻撃者はマシンキー窃取で長期潜伏を狙う。
- セキュリティ
SonicWall SMA1000、公表 3 週前からゼロデイ悪用が判明
Volexity と Rapid7 が 7 月 21 日に相次いで公表した調査で、SonicWall SMA 1000 の CVE-2026-15409/15410 が SonicWall による 7 月 14 日の開示のおよそ 3 週間前 (6 月 22 日) から実戦悪用されていたと判明。攻撃者 UTA0533 は独自マルウェアで root 権限を奪取していた。
- セキュリティ
Oracle 7 月 CPU、PeopleSoft 悪用鎖を恒久修正
Oracle は 7 月 21 日、四半期最大級の Critical Patch Update で 1,455 件の脆弱性を修正。ShinyHunters が 100 組織以上を侵害した PeopleSoft のチェーンにも恒久パッチが提供された。
- セキュリティ
Estée Lauder、Oracle EBS 脆弱性突かれ HR データ流出
化粧品大手 Estée Lauder は 7 月 20 日、Oracle E-Business Suite の CVE-2025-61882 を悪用したとみられる侵害で、HR システムの個人情報が流出したと通知を開始。侵入は 2025 年 8 月、Clop によるゼロデイ乱用キャンペーンと時期が一致する。
- セキュリティ
Hugging Face 内部システムに自律 AI エージェントが侵入
Hugging Face は 7 月 20 日、自律 AI エージェント型システムに内部データ処理基盤を侵害されたと公表。攻撃者は悪意あるデータセットで 2 件のコード実行脆弱性を突き、週末に約 17,000 操作を実行して内部データセットと認証情報を持ち出した。
- セキュリティ
医療 SaaS Craneware に侵害、顧客データ流出
米国の約 2,000 病院で使われるエジンバラ拠点 Craneware がサイバー攻撃を受け、顧客・代理店・従業員データの一部が窃取された。同社は FBI と英 ICO に通報し封じ込め済みと説明、株価は急落した。
- セキュリティ
インド CoinDCX、サーバー侵害で 4,400 万ドル流出
インド最大級の暗号資産取引所 CoinDCX で 7 月 19 日、パートナー取引所への流動性供給に使う内部アカウントが侵害され、約 4,400 万ドル相当の暗号資産が流出しました。顧客資産はコールドウォレット隔離により無事で、損失は CoinDCX が自社資金で全額補填します。
- セキュリティ
アサヒ GHD、漏えいのおそれを 228.9 万件に上方修正
アサヒグループホールディングスは 7 月 17 日、2025 年 9 月のサイバー攻撃で漏えいのおそれがある個人情報を約 191 万件から約 228.9 万件へ上方修正。個人情報保護委員会との協議で集計方針を保守側に切り替えた。
- セキュリティ
コロンビア国営 Ecopetrol にサイバー攻撃、3,300 アカウント流出
コロンビア国営エネルギー大手 Ecopetrol が 7 月 17 日、クラウドストレージへの不正アクセスで約 3,300 アカウント分のデータが持ち出されたと公表。ランサム展開は既存のセキュリティ制御で阻止したものの、外部からは公開恐喝が続く。
- セキュリティ
WordPress に未認証 RCE「wp2shell」、6.9.5/7.0.2 緊急公開
WordPress は 7 月 17 日、コアの REST API バッチ経路と SQL インジェクションを連鎖させて未認証で RCE を許す「wp2shell」を修正した 7.0.2 / 6.9.5 / 6.8.6 を緊急公開しました。デフォルト構成で悪用可能なため、強制自動更新も同時に発動しています。
- セキュリティ
Abbott、ShinyHunters が絡む 2 件のサイバー恐喝事案を並行調査
米医療大手 Abbott は、癌診断部門の旧 Exact Sciences レガシー環境と LabCentral ポータルへの不正アクセスに関する 2 件のサイバー事案を並行して調査していることを明らかにしました。恐喝集団 ShinyHunters は Abbott をリークサイトに掲載し、当初 7 月 18 日としていたデータ公開期限を 7 月 21 日に延長しています。
- セキュリティ
佐川急便、スマートクラブで約 7 万人分の個人情報漏えいの恐れ
佐川急便は 7 月 18 日、会員 Web サービス「スマートクラブ」の配達予定通知メールに別会員の氏名・メールアドレス・お問い合せ送り状 No. が表示される不具合が起き、約 7 万人分の情報が漏えいした可能性があると発表しました。原因はメンテナンス時のシステム設定ミスで、外部攻撃ではないとしています。
- セキュリティ
ニチレイ、サイバー攻撃で 7 月 17 日から業務を順次再開 - 全面復旧は来週中
ニチレイは 7 月 17 日、13 日から続いていたサイバー攻撃によるシステム障害の影響業務を順次再開すると発表しました。KFC・くら寿司・イオンなど取引先の食品供給にまで波及した大型インシデントで、全面復旧は来週中を目指します。
- セキュリティ
Microsoft、AI 脆弱性検出「Project Perception」を月内投入 - Mythos 対抗
Microsoft が Anthropic の Mythos に対抗する AI 脆弱性検出プラットフォーム「Project Perception」を月内に投入すると The Information が 7 月 17 日に報じました。自社・OpenAI・Anthropic のモデルを「モデルルーター」で使い分ける構成が特徴です。
- セキュリティ
SharePoint 新 RCE 脆弱性 CVE-2026-58644、実攻撃検知で CISA KEV 追加
米 CISA は 7 月 16 日、Microsoft SharePoint Server の未認証 RCE 脆弱性 CVE-2026-58644 を Known Exploited Vulnerabilities カタログに追加しました。連邦民間機関には 7 月 19 日までの適用を義務付けています。
- セキュリティ
Tailscale SSH に ACL 迂回で root 昇格の脆弱性、1.98.9 で修正 (TS-2026-009)
Tailscale は、Linux ホスト上の Tailscale SSH で先頭に '-' を含むユーザ名が getent(1) のフラグとして解釈され、ACL を迂回して root セッションが確立できる欠陥 (TS-2026-009) を公表しました。修正版は 1.98.9 系。
- セキュリティ
Zoom Windows 版に CVSS 9.8 の未認証乗っ取り欠陥、修正版公開
Zoom は 7 月 15 日、Windows 版クライアントに CVSS 9.8 の未認証アカウント乗っ取り脆弱性 CVE-2026-53412 が存在すると公表しました。ネットワーク経由で権限なしに悪用可能で、修正版へのアップデートが呼びかけられています。
- セキュリティ
Windows 未修正 0-day「LegacyHive」PoC、7 月 Patch Tuesday 直後に公開
研究者 Nightmare-Eclipse (別名 Chaotic Eclipse / MSNightmare) が、7 月の Microsoft Patch Tuesday 公開直後に Windows User Profile Service (profsvc) を悪用する未修正の権限昇格 PoC「LegacyHive」を公開しました。CVE 番号もパッチも未発行です。
- セキュリティ
Microsoft 7 月 PT、過去最多 570 件修正でゼロデイ 3 件
Microsoft は 7 月 14 日の月次更新で 570 件の脆弱性を修正し、単月として過去最多を更新しました。既に悪用中の AD FS と SharePoint のゼロデイに加え、BitLocker のバイパスも公表済みで、オンプレ SharePoint 運用者は即時パッチ適用が求められます。
- セキュリティ
ニチレイに不正アクセス、冷凍食品出荷と冷蔵倉庫に影響
ニチレイは 7 月 13 日、外部からの不正アクセスによりグループのシステム障害が発生し、ニチレイフーズの冷凍食品出荷業務とニチレイロジグループの冷蔵倉庫入出庫業務に支障が出ていると発表しました。復旧時期は未定です。
- セキュリティ
端末コードフィッシング、37 倍急増と 18 種キット流通
検知件数が前年比 37 倍に急増し、18 種類のキットが野外で観測された端末コード認証フローを狙う攻撃「device code phishing」の 2026 年動向を Push Security が公表。パスワード・MFA・パスキーを回避する PhaaS 化が進む。
- セキュリティ
Ghostcommit：画像で AI コードレビューを突破
AI コードレビュー支援ツールが画像ファイルをレビュー対象から外す運用を突き、PNG に隠したプロンプトでコーディングエージェントに .env を漏出させる新手法「Ghostcommit」が公開された。Cursor / Antigravity が実際に秘密情報を漏らしたと研究者は報告している。
- セキュリティ
Zimbra、Classic Web Client の重大 XSS 修正を緊急告知
Zimbra Collaboration Suite の Classic Web Client に、細工メールを開くだけで任意コード実行につながる保存型 XSS が発見された。10.1.19 への更新が推奨されている。
- セキュリティ
IntelliJ IDEA に CVSS 9.6 の RCE 脆弱性
JetBrains は 7 月 10 日、IntelliJ IDEA でプロジェクト workspace ID のハンドリングにおけるパストラバーサル経由でリモートコード実行が可能な脆弱性 CVE-2026-59792 (CVSS 9.6) を公開した。修正版は 2026.1.4 および 2026.2 で、同社の TeamCity にも同日 CVE-2026-59793 など複数の脆弱性が公表されている。
- セキュリティ
Ill Bloom で暗号ウォレット 500 万ドル以上流出
セキュリティ企業 Coinspect が公開した暗号資産ウォレットの脆弱性「Ill Bloom」を悪用し、リカバリーフレーズの弱い乱数生成を突いた攻撃で 500 万ドル超が既にウォレットから流出した。Bitcoin、Ethereum、Solana など複数チェーンの旧世代ソフトウェアウォレットが対象。
- セキュリティ
Progress、ShareFile 顧客に緊急シャットダウン指示
Progress Software は 7月10日、オンプレミス版 ShareFile Storage Zone Controller を運用する顧客に対して「信頼性の高い外部脅威」を検知したとしてサーバーの即時シャットダウンを指示する緊急通知を送付した。詳細な脆弱性内容や攻撃者は公表されていない。
- セキュリティ
Ubiquiti、UniFi Connect に CVSS 10.0 のコマンドインジェクション脆弱性
Ubiquiti は 7月9日、Security Advisory Bulletin 066 で UniFi Connect アプリに存在する CVSS 10.0 の脆弱性 CVE-2026-50746 を含む 7 件の critical 級バグを公開。ネットワーク到達可能な攻撃者が host へコマンドインジェクションを実行可能で、Censys は約 10 万台の UniFi OS エンドポイントがインターネット公開されていると報告している。
- セキュリティ
出光興産で 36 億円のサイバー詐欺被害 — 香港拠点起点、なりすまし手口が高度化
出光興産の 2020 年以降の被害総額約 36 億円が判明。香港拠点を起点にビジネスメール詐欺 (BEC) 型の「サイバー詐欺」が実行された。日経クロステックが決算開示情報を集計した特集で、ランサム攻撃と並ぶ深刻さを指摘している。
- セキュリティ
Accenture、35GB のソースコード窃取を認める — 888 名義の売り出しで発覚
コンサル大手 Accenture は、脅威アクター「888」がサイバー犯罪フォーラムに 35GB の窃取データを出品した件を「隔離された事象」として公式に認めた。含まれるとされるのは Azure DevOps のソースコード、RSA / SSH 鍵、Azure PAT、.env ファイル群。
- セキュリティ
Adobe ColdFusion CVE-2026-48282 が野生で悪用中 ⇒ 公開 2 時間で攻撃開始、CISA 期限は 7月10日
Adobe が 6月30日に公開した ColdFusion のパストラバーサル脆弱性 CVE-2026-48282 (CVSS 10.0) について、詳細公開から 2 時間以内に実運用環境での悪用が確認されました。CISA は 7月7日 KEV に追加、FCEB 各機関には 7月10日までのパッチ適用を BOD 26-04 で命令しています。認証も操作も不要な RCE です。
- セキュリティ
Gitea Docker で CVE-2026-20896 が野生で悪用中 ⇒ ヘッダ 1 行で管理者権限奪取
Gitea 公式 Docker イメージの重大脆弱性 CVE-2026-20896 (CVSS 9.8) が、公開から 13 日後に実運用環境で活発に悪用されていることを研究者が警告。単一の HTTP ヘッダ `X-WEBAUTH-USER` で認証を回避し、任意のユーザー (管理者を含む) になりすませます。
- セキュリティ
NTT データ・ドコモビジネス、フロンティア AI のサイバー対応サービス 7月末開始 ⇒ 銀行・電力向け
NTT データと NTT ドコモビジネスは 7月7日、フロンティア AI を活用した企業向けサイバーリスク対応サービスを 7月31日に提供開始すると発表しました。銀行・電力など重要インフラ事業者を主対象に、脆弱性発見・影響評価・優先度判断・修復方針策定・修復対応までを一気通貫で支援。AI 提供パートナーは Anthropic・OpenAI などが念頭にあるとみられ、最終判断は NTTDATA-CERT の人的検証を挟む「AI+人」の運用設計となります。
- セキュリティ
「TrojPix」、映像ケーブルを電磁アンテナ化しエアギャップ PC から 208 m 先へデータ流出 ⇒ 従来比 27 倍
山東大学と Quan Cheng Laboratory の研究チームは 7月6日、エアギャップ環境の PC から映像ケーブルを電磁的アンテナとして利用しデータを流出させる新型サイドチャネル「TrojPix」を公表しました。人間の目に不可視な画面ピクセル変調で最大 8.1 Mbps・208 m 先まで復号可能で、従来 EM covert channel の約 27 倍の性能。USENIX Security 2026 (35 回) で発表予定です。
- セキュリティ
北朝鮮系「PolinRider」、npm・Packagist・Go・Chrome に 108 個の悪意パッケージ ⇒ 開発者資格情報を大量窃取
北朝鮮系「Contagious Interview」に紐付く供給網攻撃「PolinRider」が、npm・Packagist・Go・Chrome の 4 レジストリに合計 108 個の悪意パッケージを配布。既存メンテナ口座を乗っ取り、通常のアップデート経由で DEV#POPPER / OmniStealer を落とし込みます。
- セキュリティ
新型モジュラー型マルウェア「Avalon」、CrownX ランサム機能と LLM 経由の C2 を統合
The Hacker News は 7月3日、これまで未報告のモジュラー型マルウェアフレームワーク「Avalon」を報じました。認証情報窃取・横移動・回復妨害・ランサム化 (CrownX) をワンストップで実行し、C2 は攻撃者の自然言語を Groq の公開 LLM API でシェルコマンドに変換する新設計です。
- セキュリティ
Sysdig、LLM が単独で完結させる初の agentic ランサム「JADEPUFFER」を報告 ⇒ Langflow RCE から本番 DB 破壊まで自動化
Sysdig TRT が Langflow の未認証 RCE (CVE-2025-3248) を起点に、初期侵入から MySQL/Nacos 破壊までを完全自動化した AI エージェント運用「JADEPUFFER」を公表。
- セキュリティ
Linux kernel の epoll に use-after-free ⇒ CVE-2026-46242 「Bad Epoll」で一般ユーザーが root 昇格
Google kernelCTF に 0-day として持ち込まれた Linux kernel の use-after-free。カーネル 6.4 以降と Android 一部端末が対象で、上流には修正済み。
- セキュリティ
Linux 6.9 以降、LUKS suspend が暗号鍵をメモリから消去しない回帰 ⇒ サスペンド中の鍵抜き取りリスク
Privacy Guides コミュニティに 7月2日投稿されたスレッドが Hacker News で反響を呼んでいます。Linux 6.9 以降、`cryptsetup luksSuspend` が本来行うべき LUKS 暗号鍵の RAM 消去が抜け落ちており、サスペンド状態のノート PC が奪われた場合の鍵抽出リスクが再浮上しました。
- セキュリティ
米国土安全保障省 (DHS) HSIN 情報共有網に不正侵入 ⇒ 上院情報委員会が国家安全保障リスクを警告
DHS は 7月2日、連邦・州・地方・海外・民間パートナーが機微情報を共有する Homeland Security Information Network (HSIN) が侵害されたと確認しました。侵入は 5月末から 6月初旬に発生したとみられ、上院情報委員会の Warner 議員 (民主) は国家安全保障リスクだと警告しています。
- セキュリティ
SharePoint Server の RCE CVE-2026-45659 が悪用 ⇒ CISA が KEV 追加、7月4日期限
CISA は 7月1日、SharePoint Server の RCE 脆弱性 CVE-2026-45659 (CVSS 8.8) を Known Exploited Vulnerabilities カタログに追加しました。Microsoft は 5月に修正済みで当初「悪用可能性は低い」と評価していましたが、実運用での悪用が確認され、連邦機関には 7月4日までの適用が命じられました。
- セキュリティ
Palo Alto Unit 42 が "phantom squatting" 警告 LLM が創作した架空ドメインを攻撃者が先取り登録
Palo Alto Networks Unit 42 は LLM が幻覚で吐き出す実在しないドメインを攻撃者が先回りで登録しフィッシング拠点化する新手法 "phantom squatting" を報告しました。913 ブランドを対象とした調査で 210万 URL が生成され、うち約 25万件が未登録で狙われうる状態にあります。
- セキュリティ
Cursor IDE に致命的 RCE 2 件 DuneSlide ⇒ ゼロクリック prompt injection でサンドボックス脱出
Cato AI Labs は 7月1日、AI コードエディタ Cursor IDE に CVSS 9.8 の RCE 脆弱性 2 件 (CVE-2026-50548 / 50549、通称 DuneSlide) を開示しました。ゼロクリック prompt injection でサンドボックスを脱出し任意コマンド実行が可能で、Cursor 3.0 未満が影響。
- セキュリティ
Adobe が ColdFusion と Campaign Classic に緊急パッチ 6 件が CVSS 10.0 匿名 RCE
Adobe は 6月30日、ColdFusion 2025 / 2023 と Campaign Classic 向けに緊急セキュリティ速報を公開し、CVSS 10.0 の脆弱性 6 件を含む計 11 件を修正しました。認証不要の RCE を含み、優先度は最高の Priority 1。
- セキュリティ
Progress Kemp LoadMaster に事前認証不要 root RCE watchTowr が CVE-2026-8037 の PoC 公開
Progress Software の負荷分散アプライアンス Kemp LoadMaster にある事前認証不要の root RCE 脆弱性 CVE-2026-8037 (CVSS 9.8) について、watchTowr Labs が 6月29日に技術詳細と exploit chain を公開しました。パッチは 6月4日付ですが、境界に置かれる機器のため未適用環境では即応が必要です。
- セキュリティ
SimpleHelp の OIDC 認証バイパス CVE-2026-48558 が悪用 ⇒ Djinn Stealer を投下
RMM 製品 SimpleHelp の OIDC 認証バイパス (CVSS 10.0) が実環境で悪用され、Node.js 製ローダ TaskWeaver と新型情報窃取マルウェア Djinn Stealer の展開に使われている。CISA は KEV カタログに登録、米連邦機関の対処期限は 7 月 2 日。
- セキュリティ
Apache Tomcat、6月29日に複数脆弱性を一斉公開 GSSAPI 認証回避と DefaultServlet RCE を含む
Apache Tomcat プロジェクトは 6月29日、複数の脆弱性を Tomcat 11/10/9 系の security advisory ページで一斉公開。JNDIRealm の GSSAPI 認証回避、DefaultServlet 経由の RCE、EncryptInterceptor のリプレイ攻撃などが含まれます。利用者は最新パッチへの更新が必要です。
- セキュリティ
匿名 GitHub「bikini」が 130 件超の 0-day PoC を一括公開 libssh2・Gitea 含む
GitHub の匿名アカウント「bikini」が、22 プロジェクトにまたがる 130 件超の未パッチ 0-day PoC をベンダー通報なしで一括公開した「exploitarium」リポジトリが Hacker News 上位入りし議論を呼んでいます。libssh2 と Gitea の致命的な脆弱性が含まれます。
- セキュリティ
Linux「pedit COW」CVE-2026-46331 公開 PoC で setuid バイナリ汚染し root 奪取
Linux カーネルの net/sched 配下にある act_pedit に部分 COW で起きるページキャッシュ破壊の脆弱性 CVE-2026-46331 (通称 pedit COW) について、PoC が公開され setuid バイナリのキャッシュを汚染する形で root 権限を取得できると The Hacker News が報じました。
- セキュリティ
「Gaslight」macOS マルウェア、38 通の偽システムメッセージで AI 解析を欺く
SentinelLABS は 6 月 26 日、Rust 製の macOS バックドア「macOS.Gaslight」を解析公開。3.5KB の Prompt Injection ペイロードに偽システムメッセージを 38 通仕込み、LLM ベースのマルウェア解析を強制的に中断させる挙動を確認したと報告しています。北朝鮮系の関与が示唆されています。
- セキュリティ
Polymarket、第三者ベンダー経由のサプライチェーン攻撃で PUSD 約 300 万ドル流出
予測市場 Polymarket は、第三者ベンダー侵害で同社フロントエンドに悪意ある JavaScript が混入し、ウォレット接続したユーザー 11 人超から PUSD で約 294 万ドル相当が流出したと公表しました。同社は被害分の全額返金を約束。
- セキュリティ
FBI、ロシア情報機関が Signal の Backup Recovery Key を狙うフィッシングと警告
FBI と CISA は 6 月 26 日、ロシア情報機関 (RIS) 系列のフィッシング攻撃が Signal の Backup Recovery Key 窃取に手口を進化させたと警告。鍵を渡すと過去メッセージや復元バックアップが恒久的に閲覧されると注意喚起しました。
- セキュリティ
Shopify の Shop アプリに偽注文を挿入 コールバック型 phishing が拡大
Gen Digital は、Shopify の注文追跡アプリ Shop に Norton や Apple、PayPal を装う偽購入レシートを差し込み、記載の電話番号へ折り返させて遠隔操作ソフトや認証情報を盗む callback phishing キャンペーンを公開しました。北米で 5000 万 DL のアプリへの信頼を悪用する点が特徴です。
- セキュリティ
Cisco SD-WAN ゼロデイ CVE-2026-20245 悪意 CSV で root 奪取と Mandiant
Google 傘下 Mandiant は Cisco Catalyst SD-WAN Manager の高深刻度欠陥 CVE-2026-20245 がパッチ前 2 か月以上にわたりゼロデイ悪用され、攻撃者が evil_tenant.csv を投入して /etc/passwd と /etc/shadow を直接書き換え、root 権限の troot アカウントを作成していたと公表しました。
- セキュリティ
PTC Windchill RCE 脆弱性が実環境で悪用 JSP Web シェル投入を確認
製造業向け PLM プラットフォーム PTC Windchill / FlexPLM の致命的 RCE 脆弱性 CVE-2026-12569 (CVSS 9.3) が実環境で攻撃に使われていることが確認されました。CISA も同 KEV カタログに追加し、米連邦機関に 6 月 28 日までの修正適用を指示しています。
- セキュリティ
@nifty メール不正アクセス、パスワード変更殺到で通知メール一時停止
ニフティは @nifty メールの不正アクセスでメールアドレスとパスワードが漏えいした可能性があると 6月23日に告知し、6月25日にはパスワード変更要請のアクセス集中でログイン通知メールを一時停止しました。
- セキュリティ
Symantec、ステルス バックドア「Mistic」を発見 ランサム前段の足場に
Symantec は 4月以降、保険・教育・IT・専門サービス業を狙う新型バックドア「Mistic」(別名 MLTBackdoor) の活動を確認。インシデント・アクセス・ブローカー KongTuke が展開し、Qilin・Akira・Black Basta などランサム前段の足場として用いられているとされます。
- セキュリティ
Cisco Unified CM の SSRF 欠陥に webshell 投入、自動攻撃を観測
CVSS 8.6 の Cisco Unified CM 脆弱性 CVE-2026-20230 を巡り、Defused のハニーポットが 3 段階構成の JSP webshell を投下する自動攻撃を観測。パッチ適用後も既設の webshell は残存するため、痕跡調査が必要。
- セキュリティ
CISA、Ubiquiti UniFi OS の最大深刻度脆弱性 3 件を KEV に追加
米 CISA は、Ubiquiti UniFi OS の CVE-2026-34908 / 34909 / 34910 (いずれも CVSS 10.0) を KEV カタログへ追加。攻撃者がローグ管理者「John Sim」を作成する実攻撃が観測され、連邦機関は 6月26日までのパッチ適用が求められる。
- セキュリティ
CI/CD脆弱性「Cordyceps」、Microsoft等の300超リポジトリが被害
Novee Security が GitHub Actions のサプライチェーン脆弱性「Cordyceps」を公表。約3万リポジトリをスキャンし、300以上で完全な攻撃チェーンを確認した。
- セキュリティ
LastPass、Klue 経由の OAuth 窃取で顧客 CRM 流出
LastPass が、市場調査 SaaS Klue を起点とするサプライチェーン攻撃で OAuth トークンを奪われ、Salesforce 上の顧客 CRM データが Icarus グループに流出したと発表した。
- セキュリティ
KDDI、ISP 向けメール基盤に不正アクセス 最大 1422 万件流出か
KDDI が ISP 事業者向けに提供するメールシステムへの不正アクセスを 6 月 23 日に公表。@nifty・BIGLOBE・J:COM など 6 社で計 1422 万件のメールアドレスとパスワードが漏洩した恐れ。
- セキュリティ
Squidbleed、29 年前の Squid バグを Claude Mythos が発見
Squid Proxy の FTP パーサにヒープ over-read CVE-2026-47729。Calif.io が Claude Mythos Preview の支援で 1997 年からの欠陥を発掘した。
- セキュリティ
OpenAI「Patch the Planet」公開 OSS の脆弱性発見と修正を AI で支援
OpenAI が Daybreak の一環として Patch the Planet を公開。Trail of Bits や HackerOne と連携し、GPT-5.5-Cyber で OSS の脆弱性発見からパッチ提出までを支援する。
- セキュリティ
Tata、Apple/Tesla 機密含む 630GB の漏洩認める
インドの Tata Electronics がサイバー攻撃を認めた。Apple や Tesla の設計情報を含む 630 GB 超のデータがハッカーフォーラム上に流出している。
- セキュリティ
新ランサム「Prinz Eugen」、新しいファイル優先で暗号化
Go 言語製の新ランサムウェア「Prinz Eugen」が確認された。最新更新ファイルから順に暗号化し、システムに身代金要求文書を残さない。研究者は少なくとも 5 件の被害を把握しており、痕跡を抑える設計が特徴。
- セキュリティ
WordPress Gravity SMTP の認証回避欠陥、1700 万件の悪用試行
10 万サイトに導入されている WordPress プラグイン Gravity SMTP の情報漏洩欠陥 CVE-2026-4020 を狙う攻撃が継続。Wordfence は活動開始以降 1700 万件超の悪用試行をブロックしたと報告した。
- セキュリティ
東北大、4 月の不正アクセス続報を公表 元入院患者に申告呼びかけ
ITmedia NEWS は 6 月 19 日、東北大学が 4 月に確認した教員 PC 経由の不正アクセスについて、漏えい可能性のある一部対象者と連絡が取れていないと発表したと報じました。2003 年以降の元入院患者と治験分担医師に対し、大学側へ申告するよう呼びかけています。
- セキュリティ
CISA、Splunk Enterprise の認証欠陥を KEV 追加 21 日修正命令
CISA は 6 月 18 日、Splunk Enterprise の未認証 RCE につながる CVE-2026-20253 を Known Exploited Vulnerabilities (KEV) カタログに追加し、米連邦政府機関に 6 月 21 日までの修正適用を BOD 26-04 に基づき命令しました。
- セキュリティ
PayPay、「請求リンク」「マイコード」での受け取りに本人確認を必須化
PayPay は 6 月 18 日、「請求リンク作成」と「マイコード表示」を使った残高受け取り機能に本人確認 (eKYC) を必須化したと発表しました。「送る・受け取る」を悪用した詐欺対策の一環です。
- セキュリティ
CISA、Joomla JCE 拡張の CVSS 10 脆弱性を KEV 追加 19 日修正命令
CISA は Widget Factory 製 Joomla Content Editor 拡張の最大深刻度脆弱性 CVE-2026-48907 を KEV カタログに追加し、連邦民間行政機関に 6 月 19 日までのパッチ適用を命じました。
- セキュリティ
CyberAgent ドットマネー、不正アクセスで停止続く 復旧 1 カ月
サイバーエージェントは 6 月 17 日、不正アクセスにより停止しているポイント交換サービス「ドットマネー」と「ドットギフト」の続報を公表しました。6 月 8 日からの全機能停止が続き、復旧には停止開始から約 1 カ月を要する見込みとしています。
- セキュリティ
Fortinet VPN 認証情報 7.4 万件流出「FortiBleed」発覚
セキュリティ研究者 Bob Diachenko 氏らは 6 月 17 日、世界 194 カ国 73,932 台分の Fortinet / FortiGate VPN 認証情報が公開サーバーから漏洩していたと発表しました。FortiBleed と命名されたこの事案では、ユーザー名と平文パスワードが含まれていました。
- セキュリティ
Mastra npm 144 パッケージで大規模供給網攻撃
The Hacker News は 6 月 17 日、AI フレームワーク Mastra の npm スコープが乗っ取られ、144 パッケージに dayjs 偽装ライブラリ「easy-day-js」が依存追加されたと報じました。週次 91 万 DL の @mastra/core を含み、北朝鮮系 APT BlueNoroff との関連も指摘されています。
- セキュリティ
JetBrains の悪性プラグインで AI API 鍵を窃取
BleepingComputer は 6 月 17 日、JetBrains Marketplace 上の少なくとも 15 種の不正プラグインが、ユーザーが設定画面に入力した OpenAI / DeepSeek などの API キーを攻撃者サーバーへ密かに送信していたと報じました。合計約 7 万回インストールされていました。
- セキュリティ
SoftBank、OpenAI 技術でインフラ 3,000 社にサイバー防御パッチ提供
SoftBank と OpenAI は 6 月 16 日の東京イベントで、空港・電力・交通などインフラを支える日本の主要 3,000 社向けに OpenAI 技術を用いた「パッチサービス」を提供すると発表しました。孫正義氏はサイバー攻撃を「黒船」になぞらえ、危機感を訴えています。
- セキュリティ
Cisco Catalyst SD-WAN Manager に新ゼロデイ、限定的攻撃を確認
Cisco は 6 月 16 日、Catalyst SD-WAN Manager (旧 vManage) の任意ファイル書き込み脆弱性 CVE-2026-20262 (CVSS 6.5) を公表しました。限定的な標的型攻撃で悪用が確認されており、CISA も KEV カタログに追加して連邦機関に 6 月 29 日までのパッチ適用を命じています。
- セキュリティ
三菱電機の Wi-Fi 家電に脆弱性、エアコンや冷蔵庫など広範囲が対象
ITmedia は、三菱電機が Wi-Fi 対応の霧ヶ峰や冷蔵庫、給湯機など広範な家電にハードコードされた認証情報の脆弱性が見つかったとしてユーザーに対応を求めていると報じた。
- セキュリティ
CISA、LiteSpeed cPanel プラグインの root 昇格脆弱性に修正命令
BleepingComputer は、CISA が LiteSpeed の cPanel プラグインに存在する権限昇格脆弱性 CVE-2026-54420 を KEV カタログに追加し、連邦機関に 6 月 18 日までの修正を命じたと報じた。
- セキュリティ
NEC と英 BAE、能動的サイバー防御で日本政府向け協業 MOU
NEC と英 BAE Systems が、日本政府への能動的サイバー防御 (ACD) 導入に向けた覚書を締結。日英戦略的サイバーパートナーシップに沿った官民連携の一環。
- セキュリティ
WordPress 主要プラグインの CDN 改ざんで 120 万サイト規模の供給網攻撃
OptinMonster や PushEngage など Awesome Motive 製プラグインの CDN が改ざんされ、管理者ログイン時に偽の管理者アカウントを作成するスクリプトが配信された。
- セキュリティ
イラン 4 大銀行で大規模システム障害 共通通信網への「限定的」サイバー攻撃で ATM 停止
イランの銀行協調評議会は 6 月 13 日夜、Bank Melli、Bank Tejarat、Bank Saderat、Export Development Bank の 4 行が共有する通信インフラに「限定的」サイバー攻撃を受け、モバイル銀行・ネット銀行・ATM・POS 端末がいっせいに停止したと発表しました。顧客データの漏えいや削除はなく、Tejarat と Export Development Bank は 14 日中に復旧しました。
- セキュリティ
Google が中国系スミッシング組織 Outsider Enterprise を提訴 Gemini 悪用認定
Google は 6 月 12 日、中国拠点のサイバー犯罪組織 Outsider Enterprise を米連邦裁に提訴。Gemini AI で偽電話会社・米郵便・E-ZPass を模したフィッシングサイトを大量生成し、5 月の 2 週間だけで 250 万件のスミッシングを米国に送信、累計 387 万件のクレジットカード窃取と 19 億ドル被害に関与したと主張しています。
- セキュリティ
Arch Linux AUR で 400 超パッケージが侵害 eBPF ルートキットを配布
Arch Linux のコミュニティリポジトリ AUR で 6 月 11 日以降、放置されたパッケージ 400 件超が乗っ取られ、悪意ある npm 依存 (atomic-lockfile / js-digest) を経由して Rust 製の認証情報窃取ツールと eBPF ルートキットを配布する大規模サプライチェーン攻撃が発生しました。
- セキュリティ
LangGraph に RCE 連鎖脆弱性 自前ホストの AI エージェントが危険に
LangChain 開発の AI エージェント基盤 LangGraph に 3 件の脆弱性が公表されました。SQL インジェクション (CVE-2025-67644) と msgpack デシリアライズ (CVE-2026-28277) を連鎖させると、自前ホスト環境でリモートコード実行が可能です。
- セキュリティ
メイン州、データ漏えい通知ポータルを一般非公開化 偽の Discord / VRChat 届出受け
メイン州司法長官事務所は、データ漏えい通知ポータルが偽の届出を自動公開していた問題を受け、公開機能を一時停止しました。Discord 1,000 万人・VRChat 240 万人と偽る届出が出回り、両社が否定する事態に発展。
- セキュリティ
ServiceNow、API 認証バイパスで顧客データ流出 6 月 5 日に修正済み
ServiceNow は 6 月 9 日、未認証で REST API エンドポイントを叩ける構成不備により顧客インスタンスのテーブルが照会された事象を公表しました。修正パッチは 6 月 5 日適用済みで、6 月 2 日から数日間の悪用が確認されています。
- セキュリティ
Ivanti Sentry CVSS 10.0 脆弱性、PoC 公開直後に実攻撃 CVE-2026-10520
Ivanti が 6 月 9 日に公表した Sentry の未認証 OS コマンドインジェクション脆弱性 CVE-2026-10520 (CVSS 10.0) について、watchTowr が PoC を公開した翌日には実攻撃が観測された。Shadowserver は公開済み 19 台のうち 2 台でバックドア設置を確認している。
- セキュリティ
ShinyHunters、Oracle PeopleSoft ゼロデイで 100 組織超を侵害 CVE-2026-35273
Oracle は 6 月 10 日、PeopleSoft Enterprise PeopleTools の未認証 RCE 脆弱性 CVE-2026-35273 (CVSS 9.8) に out-of-band パッチを公開。Mandiant は ShinyHunters が 5 月末から 100 組織超 (約 7 割が米国の大学) をゼロデイで侵害したと報告した。
- セキュリティ
データセンターの UPS / HVAC に CVSS 9.8 脆弱性 Claroty が連鎖攻撃を実証
Claroty Team82 は 6 月 10 日、Vertiv 製 UPS ネットワークカードと Trane 製 HVAC コントローラに CVSS 9.8 級の脆弱性を発見したと公表した。認証バイパスとスタックオーバーフローを連鎖させると、データセンターの空調・電源を遠隔から停止可能となる。
- セキュリティ
Microsoft Defender の新ゼロデイ「RoguePlanet」公開、Patch Tuesday 直後に SYSTEM 権限奪取の PoC
研究者 Nightmare Eclipse が 6 月 10 日、6 月パッチ適用後の Windows 10 / 11 でも有効な Defender のゼロデイ「RoguePlanet」の PoC を公開。Defender 内部の競合状態を突いて非特権ユーザーから SYSTEM シェルを取れるローカル特権昇格 (LPE) 脆弱性。
- セキュリティ
Microsoft 6 月パッチ、過去最多 208 件の脆弱性を修正 Defender ゼロデイ悪用中
Microsoft は 6 月の月例セキュリティ更新で 208 件の脆弱性を修正しました。2017 年以降で最大規模で、Defender の権限昇格脆弱性 CVE-2026-41091 が実際に悪用中。CVSS 9.8 の Windows カーネル RCE など重大度クリティカルが複数含まれます。
- セキュリティ
Veeam Backup & Replication にドメインユーザーから RCE 可能な CVE-2026-44963 (CVSS 9.4)
Veeam は Backup & Replication v12 に存在する重大 RCE 脆弱性 CVE-2026-44963 (CVSS v4 9.4) を修正しました。Active Directory 参加環境では認証済みドメインユーザーが任意コードを実行可能で、バックアップサーバーの完全乗っ取りに繋がります。
- セキュリティ
警察庁と JC3、企業 PC を遠隔操作する「ボイスフィッシング」新手口に注意喚起
警察庁と日本サイバー犯罪対策センター (JC3) は、企業の PC を遠隔操作するボイスフィッシング起点の新手口に注意喚起しました。法人口座を狙った 2025 年の被害は 143 件・約 45 億円に達し、不正送金被害額の約 4 割を占めています。
- セキュリティ
Check Point VPN 重大脆弱性 CVE-2026-50751、Qilin ランサムウェアが悪用
Check Point VPN の認証バイパス脆弱性 CVE-2026-50751 (CVSS 9.3) が 5 月 7 日からゼロデイ攻撃に悪用され、Qilin ランサムウェア affiliate による侵害が確認されました。CISA は 6 月 8 日に KEV カタログ追加、連邦機関に 6 月 11 日までのパッチ適用を命じています。
- セキュリティ
近大入試で AI 合成写真の替え玉受験、元塾講師起訴 生体認証導入論議へ
近畿大学の推薦入試で、生徒の顔と自分の顔を AI で合成した写真を使って身分確認をすり抜けた元学習塾講師が 2026 年 6 月 8 日に起訴されました。視認による本人確認では AI 合成画像を見破れず、大学入試での生体認証導入を求める議論が広がっています。
- セキュリティ
九州電力送配電、最大 1090 万件分の顧客情報入り記憶媒体が紛失
九州電力の子会社・九州電力送配電は 2026 年 6 月 8 日、最大 1090 万件の顧客情報を保存した外部記憶媒体がサーバ室から行方不明になったと発表しました。データは暗号化もパスワード設定もされておらず、福岡県警に窃盗の疑いで被害届を提出しています。
- セキュリティ
Linux カーネル nf_tables の UAF、ローカル root 取得の PoC が公開
Exodus Intelligence が CVE-2026-23111 の技術解説と動作 PoC を公開しました。nf_tables の use-after-free を悪用し、Debian / Ubuntu 上で非特権ユーザーから root への昇格が 99% 以上の信頼性で再現できると報告されています。
- セキュリティ
りそな HD、AI セキュリティ専門チームを発足
りそなホールディングスの南昌宏社長が、Anthropic Claude Mythos など脆弱性発見に長けた高性能 AI に備える社内専門チームを発足したと表明。IT セキュリティと経営企画から横断メンバーを集める。
- セキュリティ
Android 6 月パッチ、悪用中のゼロデイ含む 124 件を修正
Google が Android 6 月セキュリティ速報を公開。Framework の整数オーバーフロー CVE-2025-48595 が限定的・標的型攻撃で悪用中とされ、Android 14・15・16・16 QPR2 が影響を受ける。
- セキュリティ
IBM WebSphere に重大 3 件、認証回避と RCE が連鎖可能
IBM が WebSphere Application Server 8.5/9.0 で CVSS 9 級の脆弱性 3 件を一斉公開。なりすまし 1 件 + RCE 2 件が連鎖し完全な制御権奪取につながる。
- セキュリティ
Windows Netlogon の RCE 脆弱性、実環境で悪用開始
5 月 Patch Tuesday で修正された Netlogon の RCE 脆弱性 CVE-2026-41089 (CVSS 9.8) について、ベルギーの CCB が実環境での悪用を確認したと警告。ドメインコントローラに認証不要で到達可能な深刻度。
- セキュリティ
Red Hat の npm パッケージに Miasma ワーム侵入
@redhat-cloud-services スコープの npm パッケージが供給網攻撃で改竄され、32 パッケージ・96 バージョンに認証情報窃取ワーム「Miasma」が混入。週間ダウンロード約 11.7 万件の規模で開発機 / CI 環境を狙う。
- セキュリティ
悪意ある Codex UI npm、週 2.7 万 DL で OpenAI トークン窃取
Aikido Security が、OpenAI Codex 向け人気 npm パッケージ codexui-android が refresh トークンを Sentry 通信を装って外部送信していたと公表しました。
- セキュリティ
Charterで490万件流出 ShinyHuntersが暴露
米通信大手 Charter Communications がデータ侵害を確認。ShinyHunters が 4 月の vishing で侵入し、4 月以降に窃取した 490 万件分の顧客情報を恐喝の決裂後に公開した。
- セキュリティ
Palo Alto の GlobalProtect 認証バイパス、攻撃に悪用 CISA 緊急対応
Palo Alto Networks の PAN-OS GlobalProtect 認証バイパス (CVE-2026-0257) が実環境で悪用され、CISA は KEV カタログに追加し連邦機関に 6 月 1 日までの対処を指示した。
- セキュリティ
ChatGPT 要約機能から QR フィッシング、Permiso が公開
Permiso Security は ChatGPT の Web 要約レスポンスに Markdown 経由で攻撃者のリンク・画像・QR を埋め込む「ChatGPhish」手法を公開。被害者の IP / UA / Referer 漏洩や、モバイルへのピボットも可能となる。
- セキュリティ
邦銀 3 メガ、Anthropic Mythos 利用へ
片山財務相は日本政府と 3 メガバンクが Anthropic の脆弱性発見モデル Claude Mythos へ早期アクセスを得る見通しと発表。Project Glasswing 連合に邦銀として初参画する。
- セキュリティ
marimo 侵害、LLM 主導で内部 DB 流出
Sysdig は CVE-2026-39987 経由で marimo を侵害した攻撃者が、LLM エージェントを主役に 4 段ピボットを 1 時間で完走させ、内部 PostgreSQL を盗み出した事例を初公表した。
- セキュリティ
CISA、サプライチェーン攻撃3件をKEVに追加
CISA は DAEMON Tools・TanStack・Nx Console を狙ったサプライチェーン攻撃 3 件を Known Exploited Vulnerabilities に追加。FCEB 機関に対処を求めた。
- セキュリティ
Claude 狙う悪性 npm、自身の GitHub トークン流出
Anthropic の Claude が利用するアップロード領域を狙う悪性 npm パッケージが発見された。攻撃者が自身の GitHub トークンを誤って同梱し、追跡可能になった。
- セキュリティ
Windows 11 カーネル、ブラウザ脱出 PoC 公開
Windows 11 24H2/25H2 のカーネル脆弱性 CVE-2026-40369 が公開。ブラウザのレンダラサンドボックスからでも SYSTEM 権限を取得できる PoC が GitHub で公表された。
- セキュリティ
Gitea 脆弱性、未認証で private コンテナ取得可能
Gitea の脆弱性 CVE-2026-27771 が公表。private 指定のコンテナイメージを未認証のまま pull できる状態が約 4 年間放置されていた。
- セキュリティ
Ghost CMSの脆弱性悪用、700超サイト改ざん
Ghost CMS の SQL インジェクション脆弱性 CVE-2026-26980 を悪用した改ざんキャンペーンが進行中。Harvard 大学や DuckDuckGo を含む 700 超のサイトが被害を受けています。
- セキュリティ
公開APIキーがGemini悪用の標的に、高額請求が続出
Google Maps 向けに公開していた API キーがスコープ拡大で Gemini を呼び出せる状態になり、悪用されて開発者が高額請求を受ける被害が相次いでいると TechCrunch が報じました。キー失効の反映が遅い問題も指摘されています。
- セキュリティ
LiteSpeed cPanel プラグインに CVSS 10、root 奪取に悪用
Web ホスティング向け LiteSpeed cPanel プラグインに CVSS 10.0 の権限昇格脆弱性 CVE-2026-48172 が見つかり、実環境で悪用されています。一般 cPanel ユーザーが root 権限で任意コードを実行でき、サーバー乗っ取りにつながります（初報は 5 月 23 日）。
- セキュリティ
DDoS ボットネット「KimWolf」運営の 23 歳カナダ人を逮捕 — 200 万デバイス感染、30 Tbps の記録的攻撃
米司法省は 5 月 22 日、約 200 万台の IoT 機器を支配し最大 30 Tbps の記録的 DDoS を組織したボットネット「KimWolf」運営者として、オタワ在住の 23 歳 Jacob Butler 容疑者 (通称 Dort) をカナダ当局が逮捕したと公表。米加で起訴され、米国では計算機侵入の幇助罪 (最大 10 年) に問われる。
- セキュリティ
「Megalodon」攻撃、6 時間で GitHub 5,561 リポジトリに悪性 CI ワークフロー注入 — 5,718 件の偽コミット
セキュリティ研究者は 5 月 22 日、GitHub 上で 5,561 のリポジトリに合計 5,718 件の悪性コミットが約 6 時間で投下された自動キャンペーン「Megalodon」を公開した。攻撃は 5 月 18 日 UTC 11:36〜17:48 に集中し、Base64 化された GitHub Actions ワークフローが CI シークレット・クラウド認証情報・OIDC トークンを 216.126.225.129:8443 の C2 へ送出する。
- セキュリティ
Laravel-Lang composer パッケージで大規模サプライチェーン攻撃 — 700+ タグ書き換えで認証情報窃取
Laravel-Lang 組織配下の 4 つの Composer パッケージで、既存の git タグ計 700 以上が攻撃者支配下のフォークコミットに書き換えられるサプライチェーン攻撃が発生。autoload.files に注入された helpers.php が CI 環境変数を外部に送信する。5 月 22 日 22:32 UTC から開始され、5 月 23 日にかけて拡大した。
- セキュリティ
Cisco Secure Workload に CVSS 10.0 — 無認証 REST API で Site Admin 権限奪取
Cisco は 5 月 20-21 日、マイクロセグメンテーション製品 Secure Workload に CVSS 10.0 の脆弱性 CVE-2026-20223 を公表。REST API エンドポイントの認証不備により、未認証のリモート攻撃者がテナント境界を越えて Site Admin 権限で機密情報読み取り・設定変更が可能となる。SaaS 版は対処済み、オンプレ版は 3.10.8.3 / 4.0.3.17 へ更新が必要。
- セキュリティ
NTT ドコモビジネス、AI エージェント運用の「AI SOC」提供開始 — 調査稼働 95% 削減
NTT ドコモビジネスが 5 月 20 日、独自開発の AI エージェントによるログ相関分析とマネージド SOAR を組み合わせたセキュリティ運用サービス「AI SOC」を提供開始。社内導入実績ではアラート調査稼働を 95% 削減し、熟練アナリストで 1-2 時間を要していた相関分析を約 10 分に短縮。
- セキュリティ
GitHub、社内 3,800 リポジトリ流出を確認 — 侵害 Nx Console 拡張が侵入起点
GitHub が CISO 名義で内部リポジトリ侵害を公式認定。初報は 5 月 18 日の Nx Console 拡張サプライチェーン攻撃で、社員端末を経由して 3,800 件の社内リポジトリが攻撃グループ TeamPCP に窃取された。顧客 GitHub データ自体への影響は否定。
- セキュリティ
Ubiquiti UniFi OS、CVSS 10.0 重大脆弱性を 3 件同時公開 — UDM / UNVR 直撃
Ubiquiti が 5 月 22 日、UniFi OS 系の脆弱性 5 件を含む Security Advisory Bulletin 056 を公開。うち 3 件 (CVE-2026-34908 / 34909 / 34910) は CVSS 10.0 で未認証リモート侵害を許容。UCG / UDM / UNVR / UNAS など主要機器が広範囲に影響を受ける。
- セキュリティ
Socket、$60M Series C で $1B 評価到達 — AI 加速時代の OSS サプライチェーン攻撃を毎週 1000+ ブロック
Thrive Capital 主導の Series C で評価額 $1B に到達。Anthropic / xAI / Cursor 等の AI ネイティブ企業を顧客に、悪性 npm / PyPI パッケージのダウンロード前ブロックを売りにする。
- セキュリティ
NGINX 1.31.0 に未修正 RCE 0-day「nginx-poolslip」公開 — ASLR 回避で Web 全体の 30-40% に影響
セキュリティ研究チーム NebSec が 5 月 21 日に NGINX の最新安定版を狙う未認証 RCE を公表。CVE 未採番・F5 公式パッチ未提供のまま 30 日責任開示の途中段階。
- セキュリティ
Microsoft Defender、悪用中の 0-day 2 件を緊急修正 — CVE-2026-41091 / 45498 が CISA KEV 入り
Microsoft は 5 月 19 日 に Defender の脆弱性 CVE-2026-41091 (CVSS 7.8 / SYSTEM 権限昇格) と CVE-2026-45498 (CVSS 4.0 / DoS) を公開し、いずれも実環境で悪用されていることを明示した。CISA は 5 月 21 日に両 CVE を KEV カタログへ追加し、連邦機関に 6 月 3 日までの対応を義務付けた。
- セキュリティ
Verizon DBIR 2026 公開 — 脆弱性悪用が認証情報盗用を初めて逆転、shadow AI 利用は 45% に倍増
Verizon は 5 月 19 日、19 年目となる Data Breach Investigations Report 2026 を公開した。初期侵入経路として脆弱性悪用 (31%) が認証情報盗用を 19 年で初めて上回り、社員による未承認 shadow AI 利用は 45% へ約 3 倍に拡大。サードパーティ起因の侵害も 60% 増。
- セキュリティ
Microsoft、マルウェア署名サービス Fox Tempest を解体 — 1000 超の不正証明書を失効、OpFauxSign
Microsoft Digital Crimes Unit は 5 月 19 日、ランサムウェアを正規ソフトに偽装させる malware-signing-as-a-service (MSaaS) Fox Tempest を法的措置で解体したと発表した。同社の Artifact Signing 経由で取得された 1000 を超える証明書を失効し、signspace[.]cloud などの基幹インフラを差し押さえた。
- セキュリティ
Drupal、PostgreSQL サイトを直撃する SQL injection を緊急修正 (SA-CORE-2026-004 / CVE-2026-9082)
Drupal は 5 月 20 日、未認証でも悪用可能な PostgreSQL バックエンド向け SQL injection 脆弱性 SA-CORE-2026-004 (CVE-2026-9082) を「Highly Critical」(20/25) として緊急公開。情報漏えい・権限昇格・RCE につながり得るとし、対応版へのアップデートを強く呼び掛けている。
- セキュリティ
Nx Console VS Code 拡張に侵害版 — 開発者の認証情報やClaude設定まで窃取
Nx Console (nrwl.angular-console) v18.95.0 が侵害版として VS Code Marketplace に公開。GitHub / npm / AWS / 1Password / Vault のトークンに加え、~/.claude/settings.json まで狙う 498KB のペイロードを配信していた。
- セキュリティ
TeamPCP が Shai-Hulud ソースを GitHub 公開 ⇒ 5 日後に模倣攻撃が npm 出現 — chalk-tempalte など 4 パッケージ
BleepingComputer は 5 月 18 日、漏洩した Shai-Hulud ワームのソースコードを使った npm 模倣攻撃 4 件を確認したと報じた。TeamPCP が 5 月 12 日に GitHub でソースを公開してから 5 日、難読化すらしない素のクローン chalk-tempalte などが既に流通している。
- セキュリティ
Tycoon2FA、OAuth『端末コード』経由で Microsoft 365 を乗っ取り — Trustifi の追跡 URL も悪用
PhaaS『Tycoon2FA』が OAuth Device Authorization Grant を悪用する攻撃を新装備。被害者は本物の microsoft.com/devicelogin で MFA を完了させられ、攻撃者デバイスにアクセストークンが渡る。誘導 URL には Trustifi のクリック追跡ドメインを利用し評判をロンダリング。
- セキュリティ
NGINX Rift (CVE-2026-42945) 野放しで悪用観測 ⇒ worker クラッシュ続発、RCE も成立条件付き
VulnCheck が NGINX に 18 年潜伏した CVE-2026-42945 の悪用観測を公表。GitHub 上の PoC 公開後、未認証 HTTP リクエスト 3 発で worker プロセスが連続クラッシュし、ASLR 無効環境では RCE まで到達することが確認されている。
- セキュリティ
Windows 0-day『MiniPlasma』PoC 公開 — フル更新環境でも SYSTEM 権限奪取
研究者 Chaotic Eclipse が cldflt.sys の未修整バグを悪用する Windows 権限昇格 0-day『MiniPlasma』の PoC を公開。最新 May 2026 Patch Tuesday 適用済みの Windows 11 でも標準ユーザーから SYSTEM 権限のコマンドプロンプトを起動できる。
- セキュリティ
WordPress Funnel Builder の脆弱性悪用 — WooCommerce 決済 4 万店にスキマー注入
WordPress プラグイン Funnel Builder (FunnelKit) の未認証脆弱性が悪用され、WooCommerce 4 万店超の決済ページに偽 GTM スクリプト経由のクレジットカード・スキマーが注入されていると Sansec が報告した。
- セキュリティ
Grafana、GitHub トークン窃取で社内コード流出 — CoinbaseCartel の恐喝は拒否
Grafana Labs が 5 月 16 日に GitHub 環境への不正アクセスを公表。攻撃者は Fork → 悪性 workflow で特権トークンを窃取し非公開リポジトリ 5 件を取得、CoinbaseCartel として恐喝を試みたが同社は支払いを拒否した。
- セキュリティ
OpenClaw に 4 連鎖脆弱性『Claw Chain』⇒ 公開 AI エージェント 24.5 万台が露出
Cyera が自律 AI エージェント基盤 OpenClaw に未公開の 4 脆弱性『Claw Chain』を公表。サンドボックス回避から認証情報漏洩・権限昇格まで連鎖可能で、インターネットに露出する公開インスタンス約 24.5 万台が影響対象となる。
- セキュリティ
Pwn2Own Berlin 2026、2 日間で 39 件のゼロデイ・90 万ドル賞金 — Exchange RCE が単発最高 20 万ドル
Pwn2Own Berlin 2026 が Day 2 を終え、累計 39 件のゼロデイ・90 万 8,750 ドルを支払い。Orange Tsai が完全パッチ済み Exchange の SYSTEM 権限 RCE を 3 バグ連鎖で達成、単発最高 20 万ドルを獲得。
- セキュリティ
PraisonAI に認証バイパス CVE-2026-44338 — 公開 4 時間で攻撃を観測
オープンソースのマルチエージェント基盤 PraisonAI で認証不要のエンドポイントが露出する CVE-2026-44338 が公表され、公開からわずか 3 時間 44 分後にスキャンと攻撃が観測された。
- セキュリティ
Microsoft、Turla の Kazuar が P2P 型ボットネット化と分析
Microsoft Security は 5 月 14 日、ロシア FSB 関連の APT グループ Turla が運用する Kazuar バックドアが、モジュール式の P2P ボットネット型へ進化していると詳細解析を公開した。
- セキュリティ
Microsoft、オンプレ Exchange の OWA XSS『CVE-2026-42897』を緊急開示 — 悪用確認、恒久パッチは作成中
OWA で動く XSS 経由のなりすまし脆弱性が Subscription Edition / 2019 / 2016 に影響。Microsoft は EM Service による緩和 M2 を即時適用するよう要請。
- セキュリティ
Cisco Catalyst SD-WAN に CVSS 10.0 の認証バイパス — 既に悪用、CISA KEV 入り
Cisco Catalyst SD-WAN Controller/Manager の peering 認証に最大深刻度の認証バイパス。UAT-8616 によるゼロデイ悪用が確認され、CISA KEV にも追加された。
- セキュリティ
NGINX に 18 年潜伏の未認証 RCE『NGINX Rift』判明 ⇒ AI 解析で CVE-2026-42945 発見
F5 と depthfirst が NGINX の rewrite モジュールに 2008 年から潜む heap overflow を公表。単発の HTTP リクエストで未認証 RCE/DoS が可能で、自律 AI コード監査により発見された。
- セキュリティ
Foxconn 北米工場が Nitrogen ランサム被害 ⇒ Apple/Nvidia の機密 8TB を窃取と犯行声明
Foxconn が 5/1 から続く北米工場のサイバー攻撃を確認。二重恐喝型 Nitrogen が Apple、Nvidia、Dell、Intel、Google の機密 11M ファイル (8TB) 窃取を主張している。
- セキュリティ
Microsoft、エージェント AI『MDASH』で Windows の RCE 4 件含む 16 脆弱性を発見 ⇒ 5 月パッチで修正
100 超の AI エージェントを束ねるスキャナ MDASH が、Patch Tuesday 1 回分に Critical RCE 4 件を含む 16 件の新規 CVE を流し込んだ。
- セキュリティ
TanStack の npm 42 パッケージが改竄、Mini Shai-Hulud ワーム再燃 ⇒ GitHub Actions の OIDC を窃取
TanStack は 5 月 11 日 19:20 UTC ごろから 6 分間にわたり @tanstack/* 42 パッケージ 84 版が改竄され配布されたと公表しました。攻撃者は pull_request_target 経由で Actions キャッシュを汚染し、ランナー上の Worker プロセスから OIDC トークンをメモリ抽出して正規の SLSA 出所付きでマルウェアを公開。週ダウンロード 1,200 万を超える @tanstack/react-router を含む広範な依存に影響します。
- セキュリティ
Ollama に重大 OOB read 脆弱性 CVE-2026-7482『Bleeding Llama』⇒ 約 30 万台のサーバにメモリ漏えいリスク
Cyera が 5 月初旬に公表したローカル LLM 実行基盤 Ollama の脆弱性 CVE-2026-7482『Bleeding Llama』が、5 月 10 日に The Hacker News などで本格的に報じられました。GGUF テンソル解析処理のヒープ OOB read で、未認証リモート攻撃者がプロセスメモリを丸ごと漏えいさせることが可能。インターネット公開中の約 30 万台が影響を受けると見られ、修正版は 0.17.1。
- セキュリティ
JDownloader 公式サイトが侵害 ⇒ Windows / Linux インストーラに Python RAT が混入、5/6-7 DL 分が対象
BleepingComputer は 5 月 9 日、ダウンロードマネージャ JDownloader の公式サイトが侵害され、5 月 6 日 0:01 UTC から 5 月 7 日にかけて配布された Windows「Alternative Installer」と Linux シェルインストーラが Python ベースの RAT に置き換えられていたと報じました。配布チャネルのうち macOS / Flatpak / Snap / Winget / 主要 JAR は影響を受けていません。
- セキュリティ
Microsoft Semantic Kernel に CVSS 9.8 の RCE ⇒ プロンプトがシェルになる AI エージェント脆弱性 2 件を修正
Microsoft が Semantic Kernel エージェント フレームワークの 2 件の RCE 脆弱性を 5 月 7 日に開示。Python 版 InMemoryVectorStore に CVSS 9.8 の致命的欠陥があり、プロンプト経由で任意コード実行や任意ファイル書き込みが可能だった。
- セキュリティ
RansomHouse、Trellix のソースコード侵入を犯行声明 ⇒ VMware・Rubrik 管理画面のスクショも公開
Trellix が 5 月 1 日に開示した『ソースコードリポジトリの一部への不正アクセス』について、ランサムウェアグループ RansomHouse が 5 月 7 日にリークサイトで犯行声明を出しました。同グループは Trellix 社内の VMware・Rubrik・Dell EMC 管理ダッシュボードを写したとされる 7 枚のスクリーンショットを根拠として公開し、被害がソースコードの範囲を越えてインフラ全体に及ぶ可能性が指摘されています。Trellix は『ソースコードの配布や流用の痕跡はない』と説明しています。
- セキュリティ
Linux カーネルに『Dirty Frag』2 件の root 取得 LPE、PoC 公開 ⇒ 主要ディストリが緊急 mitigation
5 月 7 日に oss-security へ公開された『Dirty Frag』は、Linux カーネルの xfrm-ESP (CVE-2026-43284) と RxRPC (CVE-2026-43500) に存在する 2 つのページキャッシュ書き込み欠陥で、ローカルから root 権限への昇格を許します。レースに依存しない決定論的な悪用が可能で、Ubuntu / Red Hat / AlmaLinux / CloudLinux などが順次パッチや mitigation を 5 月 8 日付けで公開しました。
- セキュリティ
ShinyHunters、Instructure に再侵入 ⇒ 大学 Canvas が一斉ダウンし 275M 件で恐喝段階へ
犯罪集団 ShinyHunters は 5 月 7 日、学習管理システム Canvas を提供する米 Instructure を再び侵害したと主張し、複数大学のログイン画面を改ざんしました。グループは合計 8,809 校・275M 件の利用者データを掌握したとし、5 月 12 日までに身代金を支払わなければデータを公開すると通告しています。Pennsylvania 大学などで学期末の重要な時期に Canvas が一時利用不能となりました。
- セキュリティ
Ivanti EPMM に管理者権限 RCE の CVE-2026-6973、限定的に実環境悪用 ⇒ CISA は 5/10 期限
Ivanti は 5 月 7 日、Endpoint Manager Mobile (EPMM) に認証済み管理者によるリモートコード実行を許す入力値検証不備 CVE-2026-6973 (CVSS 7.2) が存在し、ごく一部の顧客で実環境悪用が観測されたと公表しました。CISA は同日 KEV カタログに追加し、米連邦民間機関に 5 月 10 日までのパッチ適用を義務付けています。
- セキュリティ
Iran 系 MuddyWater、Chaos ランサムウェアを『偽旗』として展開 ⇒ Teams 経由で MFA 突破
Rapid7 は 5 月 5 日付の調査レポートで、当初 Chaos RaaS による暴露型攻撃に見えたインシデントが、イラン国家支援型 APT『MuddyWater (Seedworm)』による偽旗作戦だったと公表しました。攻撃者は Microsoft Teams での画面共有を起点にソーシャルエンジニアリングで認証情報と多要素認証 (MFA) を奪取しており、ランサムウェアは諜報目的の隠蔽手段として使われていました。
- セキュリティ
Palo Alto PAN-OS 認証ポータルに RCE 脆弱性 CVE-2026-0300、実環境で悪用中
Palo Alto Networks は 5 月 6 日、PAN-OS の User-ID 認証ポータル (Captive Portal) に未認証で root 権限の任意コード実行が可能なバッファオーバーフロー脆弱性 CVE-2026-0300 が存在し、実環境で悪用が観測されていると公表しました。PA シリーズ・VM シリーズの両ファイアウォールが対象で、修正版は 5 月中下旬予定、現時点では緩和策の適用が呼びかけられています。
- セキュリティ
Apache HTTP Server に HTTP/2 二重解放の重大脆弱性 CVE-2026-23918、2.4.67 で修正
Apache 財団は 5 月 4 日、HTTP/2 の早期リセット時に二重解放を起こす CVE-2026-23918 (CVSS 8.8) を公表し、修正版 2.4.67 を配布。デフォルトで mod_http2 を有効にする多数のサイトが DoS と RCE 双方の影響を受け得る。Debian 系の APR mmap アロケータでは scoreboard を用いた RCE 経路が現実的に成立する。
- セキュリティ
Amazon WorkSpaces for Windows に TOCTOU 競合の LPE 脆弱性 CVE-2026-7791
AWS が 5 月 4 日、Amazon WorkSpaces for Windows のバックグラウンドサービス Skylight Workspace Config Service にローカル権限昇格の脆弱性 CVE-2026-7791 を公表。ログローテーション処理の TOCTOU 競合で SYSTEM 権限を奪取される恐れがあり、修正版へのアップデートを推奨。
- セキュリティ
cPanel CVE-2026-41940、複数の脅威アクターが悪用拡大 政府機関・MSP に標的型攻撃と『.sorry』ランサム
4 月末に CVE-2026-41940 として正式採番された cPanel/WHM の認証バイパス脆弱性 (CVSS 9.8) について、5 月 4 日時点で複数の脅威アクターによる現用攻撃が確認されたと Help Net Security が報じた。東南アジアの政府・軍ドメインへの標的型侵入と、『.sorry』拡張子を使う Linux ランサムへ展開している。
- セキュリティ
米英豪加 NZ、エージェンティック AI 導入の共通指針を公表 監視できない権限拡大に警鐘
米国 CISA・NSA や英 NCSC など 5 か国の 6 機関が、エージェンティック AI 導入時のセキュリティ共通ガイダンスを公表。重要インフラ内のエージェントが組織の監視能力を超える権限を握りつつあると警告した。
- セキュリティ
Microsoft Defender、DigiCert ルート証明書を Trojan と誤検知 修正版を緊急配布
BleepingComputer が 5 月 3 日報道。Defender のシグネチャ更新が DigiCert Assured ID Root CA など信頼ルート証明書を Trojan:Win32/Cerdigent.A!dha として検知。Microsoft は定義 1.449.430.0 で誤検知を解消した。
- セキュリティ
サイバーセキュリティ大手 Trellix、ソースコード一部に不正アクセスを公表
Trellix が 5 月 2 日に開示。社内のコードリポジトリの一部に第三者が不正アクセスし、製品開発コードへの侵入を確認した。配布物や顧客環境への影響は現時点で確認されていないと説明している。
- セキュリティ
中国春節期に日本向けフィッシング 7 割減 ⇒ プルーフポイントが分析
米プルーフポイントの分析で、2 月 15 〜 23 日の中国春節休暇中、Amazon や Microsoft、PayPay を装い日本向けに送られたフィッシングメールが平日 130 万通から 35 万通へ約 7 割減ったことが共同通信の取材で判明した。
- セキュリティ
Canonical、Ubuntu インフラに大規模 DDoS 親イラン 313 Team が犯行声明
Canonical は 5 月 1 日、Ubuntu や Launchpad、Snap Store など同社 Web インフラが越境型 DDoS 攻撃を受けていると認めた。親イラン系ハクティビスト『313 Team』が犯行声明を出し、攻撃は恐喝へと変質しつつある。
- セキュリティ
西日本シティ銀行、行員の BeReal 投稿で顧客 7 名の氏名流出 博多どんたく参加自粛
西日本シティ銀行は 5 月 1 日、行員が SNS アプリ BeReal に下関支店の執務室を撮影・投稿したことで顧客 7 名の氏名・業務目標・PC 画面が外部に拡散した問題を受け、5 月 3 日からの「博多どんたく港まつり」への参加を自粛すると発表した。初報は 4 月 30 日。私物スマホからの不適切投稿による情報漏えいで、株価は前日比 2.86% 下落した。
- セキュリティ
Canvas LMS の Instructure、サイバー攻撃で利用者の氏名・メール流出
学習管理システム Canvas を提供する Instructure は 5 月 1 日、外部の攻撃者によるサイバーインシデントを公表した。流出したのは利用機関の氏名・メールアドレス・学生 ID および利用者間のメッセージで、パスワードや生年月日・政府発行 ID・金融情報は対象外と説明している。同日から Canvas Data 2 と Canvas Beta が一部停止している。
- セキュリティ
cPanel/WHM に深刻な認証バイパス CVE-2026-41940、約 2 か月間ゼロデイ攻撃に悪用 PoC も公開
ホスティング管理ツール cPanel & WHM に未認証の遠隔攻撃で管理権限を奪える致命的な認証バイパス脆弱性 CVE-2026-41940（CVSS 9.8）が判明。2 月 23 日頃から実環境で悪用されており、4 月 28 日に緊急パッチが公開されるまで約 2 か月間ゼロデイ状態が続いた。watchTowr は技術詳細と PoC を公開、CISA は KEV カタログに登録し連邦機関に 5 月 3 日までの修正を命じた。
- セキュリティ
イエローハット子会社で最大 345 万人分の個人情報漏えいか 2 りんかんアプリで持ち出し痕跡
イエローハットは 5 月 1 日、二輪用品店『2 りんかん』を運営する子会社・2 りんかんイエローハット (埼玉県和光市) で発生した不正アクセスを巡り、最大 345 万 5,754 人分の個人情報が外部に持ち出された痕跡を確認したと発表した。対象はポイントサービスとアプリ会員の氏名・住所・電話番号・生年月日・性別・メールアドレス、アプリ ID/パスワード。クレジットカード情報は別系で管理されており漏えい対象外という。同社は 4 月 20 日に検知し、アプリの一部サービスを停止していた。
- セキュリティ
PyTorch Lightning 2.6.2/2.6.3 が PyPI で改ざん 認証情報窃取マルウェアが混入、42 分で隔離
機械学習ライブラリ PyTorch Lightning の悪意あるバージョン 2.6.2 / 2.6.3 が 4 月 30 日に PyPI へ公開された。インポート時に自動実行される難読化 JavaScript ペイロードが SSH キー、シェル履歴、クラウド認証情報、GitHub と npm のトークン、暗号資産ウォレットなどを窃取する。PyPI は約 42 分で同パッケージを隔離。SAP 系 npm を狙った『Mini Shai-Hulud』キャンペーンの一環と見られ、TeamPCP に帰属される。
- セキュリティ
Microsoft、AI エージェント実行時保護『Agent 365 Runtime Protection』を Preview 公開
Microsoft は 4 月 30 日、Copilot 上で動作する AI エージェントを実行時に監視・遮断する『Agent 365 Runtime Protection』のパブリックプレビューを公開した。Defender for Cloud の AI Security Posture Management、GitHub Advanced Security の AI コードスキャン、Purview の AI Data Security Investigations と合わせ、エージェント時代向けの一連の防御機能を投入。一般提供は 2026 Q3 を予定する。
- セキュリティ
Linux カーネルの『Copy Fail』脆弱性 CVE-2026-31431 公開、ローカル権限昇格の PoC も
4 月 29 日に公開された CVE-2026-31431 は、Linux カーネルの algif_aead / authencesn 経路に存在するページキャッシュ書き込みのバグで、無権限ユーザーが任意のページキャッシュを破壊できる。/etc/passwd のキャッシュページを直接書き換えて root を取得する PoC が GitHub で公開され、Ubuntu 24.04 / RHEL 14.3 / Amazon Linux 2023 / SUSE 16 などが影響を受けるとされる。
- セキュリティ
CISA、Windows Shell ゼロクリック脆弱性 CVE-2026-32202 を KEV に追加
米 CISA は 4 月 28 日、Windows Shell の認証保護メカニズム不備を突くゼロクリック脆弱性 CVE-2026-32202 を Known Exploited Vulnerabilities (KEV) カタログに追加した。攻撃者が悪意ある .lnk ショートカットを置いたフォルダを閲覧させるだけで NTLMv2 ハッシュを窃取できるとされ、連邦政府機関に対し 5 月 12 日までのパッチ適用を命じている。
- セキュリティ
cPanel/WHM に認証バイパスの重大脆弱性、各社ホスティング事業者が緊急遮断
cPanel/WHM のログイン認証に重大な脆弱性が確認され、Namecheap・InMotion Hosting・hosting.com など主要ホスティング事業者が一斉に管理画面ポートを遮断。サポート対象の全バージョンが影響を受け、cPanel は段階的にパッチ済みリリースを配信している。
- セキュリティ
GMOサイバーセキュリティ、AIエージェント向けペネトレーションテストを開始
GMOサイバーセキュリティ byイエラエが、企業内で稼働する AI エージェント / チャットボット / RAG を対象に、ホワイトハッカーが実攻撃手法でリスクを検証する『AIエージェントペネトレーションテスト』の提供を開始。情報漏えい・不正操作・権限逸脱を業務フロー単位で可視化する。
- セキュリティ
Entra ID『Agent ID Administrator』の権限逸脱、Service Principal を全面乗っ取り可能
Silverfort が発見した Microsoft Entra ID の脆弱性。AI エージェント管理用に追加された『Agent ID Administrator』ロールが本来のスコープを越え、テナント内の任意の Service Principal の所有者となり権限を奪取できた。Microsoft は 4 月 9 日に全クラウドへ修正を展開済みで、追加の利用者対応は不要とされる。
- セキュリティ
Robinhood、自社メールに偽サイト挿入される脆弱性
投資アプリ Robinhood の口座作成画面の脆弱性が悪用され、Robinhood 公式メールサーバから利用者へフィッシングメールが届く事案が 4 月 26-27 日にかけて発生。SPF / DKIM / DMARC を通過する『正規メール』として配信され、暗号資産の窃取を狙ったとみられる。Robinhood は問題のフィールドを削除して対応した。
- セキュリティ
村田製作所、不正アクセスで 8.8 万件流出の恐れ
電子部品大手の村田製作所が 4 月 27 日、2 月に検知した社内システムへの不正アクセスについて第三報を公表。顧客・取引先約 1.5 万件と従業員約 7.3 万件、合計約 8.8 万件の情報が流出した可能性があると明らかにした。生産・販売活動への影響はないとしている。
- セキュリティ
スマートメータ大手 Itron、内部 IT 網への侵入を公表
電力・ガス・水道向けスマートメータを 1 億 1,000 万拠点超に納入する米 Itron が、内部 IT 網への不正アクセスを 8-K 開示。4 月 13 日に検知し、顧客ホスト環境への波及はないとしている。重要インフラ事業者への攻撃が続く流れの最新事例。
- セキュリティ
Bitwarden CLI npm 改ざん ⇒ Checkmarx 関連サプライチェーン攻撃の続報
Bitwarden の CLI 用 npm パッケージ @bitwarden/cli@2026.4.0 が約 1.5 時間にわたり改ざん配布され、開発者環境の認証情報を窃取するコードが含まれていた。先行する Checkmarx サプライチェーン攻撃の派生事例で、攻撃者は同一の TeamPCP と見られる。初報は 2026-04-22。
- セキュリティ
10 カ国 15 機関、中国関連の秘匿型攻撃基盤を共同警戒 ⇒ 侵害ルータの可視化を要請
英 NCSC を主導機関に、CISA・NSA・独・蘭・西・スウェーデン・豪・NZ など 10 カ国 15 機関が共同アドバイザリを公表。中国関連グループが侵害ルータで構築した秘匿性の高いネットワークを悪用しているとして対策を呼びかけた。
- セキュリティ
はてな、最大 11 億円の資金流出 ⇒ 虚偽の送金指示によるビジネスメール詐欺か
京都市中京区のはてなが 4 月 24 日、従業員アカウント経由で外部口座に最大約 11 億円が送金されたと公表。第三者からの虚偽指示に従った疑いで、捜査機関や関係金融機関と被害回復の措置を進めている。
- セキュリティ
LLM 推論基盤 LMDeploy に SSRF 脆弱性 ⇒ 公開 13 時間で実環境悪用
OpenMMLab の LLM 推論サーバ LMDeploy に Server-Side Request Forgery 脆弱性 CVE-2026-33626 が公開された。Sysdig のハニーポットには 13 時間以内に攻撃が到達。
- セキュリティ
市立奈良病院、通常診療を再開 ⇒ サイバー攻撃疑いも初動遮断で漏えいなし
電子カルテに障害が発生していた市立奈良病院は 4 月 24 日 8 時 30 分から通常診療を再開。ネットワーク監視装置による検知・遮断が奏功し、個人情報の漏えいや感染は確認されていない。
- セキュリティ
CISA、KEV に 4 件追加 ⇒ SimpleHelp と Samsung MagicINFO / D-Link が悪用観測
米 CISA は KEV カタログに新たに 4 件の脆弱性を追加。SimpleHelp の 2 件、Samsung MagicINFO 9 Server、D-Link DIR-823X が対象で、連邦機関は 5 月 15 日までの修正が義務付けられた。
- セキュリティ
CAMPFIRE、最大 22.5 万人の個人情報漏えいか ⇒ GitHub 不正アクセス
クラファン運営 CAMPFIRE が 4 月 24 日に第 4 報を公表。プロジェクト実行者と支援者を中心に最大 22 万 5846 人分の情報が漏えいした可能性。
- セキュリティ
Checkmarx KICS の公式 Docker が改ざん、開発者情報を窃取
Checkmarx の IaC スキャンツール KICS の公式 Docker Hub イメージと VSCode 拡張が 4 月 22 日に改ざんされ、悪意あるバイナリが開発環境から機密情報を収集していたと 4 月 23 日に開示された。攻撃者は TeamPCP と見られる。
- セキュリティ
Ollama の量子化エンジンに未認証メモリ漏洩、CVE-2026-5757 で公表
CERT/CC が Ollama の量子化エンジンにある未認証のリモート情報漏洩脆弱性 CVE-2026-5757 を公表。GGUF ヘッダの改竄でヒープメモリを読み出し、レジストリ API で外部に送出できる。
- セキュリティ
Apple、iOS 26.4.2 で削除済み通知から過去メッセージが復元できる不具合を修正
iPhone で一度消えたはずの通知が内部に残り、Signal 等で削除したチャットの履歴を法執行機関に復元されていた問題を Apple が iOS 26.4.2 / iPadOS 26.4.2 で修正しました。
- セキュリティ
NGate の新亜種、NFC 決済アプリ HandyPay に偽装してブラジルで拡散
ESET は正規 NFC 決済アプリ HandyPay に偽装した Android マルウェア NGate の新亜種を確認。ブラジルのユーザーを狙いカード情報と PIN を窃取している。
- セキュリティ
Cohere の Python サンドボックス Terrarium に CVSS 9.3 の脱出脆弱性
Cohere AI が公開する Python サンドボックス Terrarium に、ホスト上での root 権限コード実行を許す重大な脱出脆弱性 CVE-2026-5752 が報告された。
- セキュリティ
Mozilla、Firefox 150 で 271 件の脆弱性を修正 Claude Mythos で発見
Mozilla が Anthropic の未公開モデル Claude Mythos Preview を自社コードベースに適用し、Firefox 150 で 271 件の脆弱性を修正したと発表した。
- セキュリティ
Oracle、4 月の Critical Patch Update 公開 483 件の脆弱性を修正
Oracle が 4 月 21 日に四半期の Critical Patch Update を公開。Database / MySQL / WebLogic など全製品群で計 483 件の脆弱性を修正した。MySQL では最大 CVSS 9.8 の未認証 RCE を含む。
- セキュリティ
CISA、悪用確認済み脆弱性 8 件を追加 PaperCut と Zimbra も対象に
米 CISA が 4 月 20 日に Known Exploited Vulnerabilities (KEV) カタログへ 8 件を追加。PaperCut NG/MF の認証バイパス (CVE-2023-27351) と Synacor Zimbra Collaboration Suite の XSS (CVE-2025-48700) を含む。
- セキュリティ
ドコモ、dポイントに専用番号導入 7 月から不正対策強化
NTT ドコモが dポイントクラブアプリ等に 7 月 1 日から「アプリ専用番号」と「ポイント利用活性化方式」を導入。5 分間限定の利用で、バーコード窃取による不正利用を抑止する。
- セキュリティ
Vercel、Context.ai 経由の侵害で顧客情報漏えい
Next.js を開発する Vercel が 4 月 20 日に侵害を公表。AI オフィスツール Context.ai から従業員の Google Workspace 経由で侵入され、環境変数や認証情報が流出した。
- セキュリティ
LINEヤフー、韓国 NAVER とのシステム分離を完了
LINEヤフーが韓国 NAVER とのシステム分離を 3 月末までに完了。2023 年の情報漏えい事案を受けた総務省の行政指導に基づく再発防止策の一環。
- セキュリティ
Microsoft 4月の月例更新、168件の脆弱性修正 SharePoint 0-day 含む
Microsoft が 4 月の Patch Tuesday で 168 件の脆弱性を修正。活発に悪用されている SharePoint の 0-day を含み、過去 2 番目の規模となった。