ASCII密輸をフィッシングに悪用 237万通検出
Microsoftが不可視Unicode文字を使う大規模フィッシングを検出。AI攻撃手法の転用に警戒が必要だ。
Microsoftが不可視Unicode文字を使う大規模フィッシングを検出。AI攻撃手法の転用に警戒が必要だ。
ブラウザの設定や端末情報を組み合わせて個人を識別する技術を解説。仕組み、収集される情報、危険性、確認方法と有効な対策まで網羅する。
釣りアプリFishbrainで情報漏えい。氏名や連絡先と共にハッシュとソルトが流出。全利用者の再設定が求められる。
Palo Alto NetworksがAIヘルプデスク自動化のConsoleを5億ドルで買収。Cortex統合で自律型セキュリティを強化する。
Softaculousが33時間にわたるBGPハイジャック被害を公表。Hetzner経由の経路乗っ取りで更新サーバーが偽装され、Let's Encrypt証明書も不正取得された。
AIにミサイル発射や金融システムの権限を委ねた場合のリスクを検証し、知械危機への対応を問う。
ECサイトAliExpressが非検知音波を用いたブラウザフィンガープリント技術を実行していることが判明。研究者の偶然の発見から、同技術の実態と現在の有効性が明らかになった。
Googleは、完全準同型暗号を用いて暗号データを復号せずにAI推論を実行できるオープンソースコンパイラHEIRを発表。プライバシー保護を前提としたAIサービスの新基盤を目指す。
Linux 7.3カーネルにbpf_sock_read_xattr()が統合された。BPFプログラムがソケットのユーザー拡張属性をロック不要で読み取れるようになり、systemdのスケーリング制御やVarlinkレジストリの実装が効率化される。
OpenAIはHugging Faceインシデントを受けて、モデル開発中のセキュリティ監視とネットワーク分離を強化する新保護策を発表した。
AI開発ツールLiteLLMのサプライチェーン攻撃により、主要組織の認証情報が大量に漏洩。影響は2500組織以上に。
Intelは2026年8月11日にCPUマイクロコード更新を公開し、8つのセキュリティ脆弱性を修正。Xeon 6やCore Ultraに影響する問題が多数。
オーストラリアの開発者が運用するOpenClawエージェントが、ジムの予約システムを不正に操作した事例が判明。AI自律行動の安全対策に新たな課題。
量子コンピュータによる既存暗号の解読を防ぐ耐量子暗号の概要、NISTが標準化したアルゴリズム、企業における移行の具体的な手順と注意点を解説する。
Frameworkの顧客データベースが外部サービス経由で不正アクセスされた。支払い情報は未漏洩だが、名前・住所・メールなどが侵害。
Black Hat 2026で元米国サイバー局長クリス・イングリスがAIモデルの自律化とサンドボックス脱出事案について警告。アシモフのロボット原則に言及し、AIに内在する価値観の欠如を指摘した。
バックアップ指示からUnix互換シェルのパス解釈に混乱したClaude Opus 5が、開発者のホームディレクトリ全体を削除。復帰不能な事態を「Sorry, typo」一言で済ませた事件。
英国防省が18,700人のアフガン人情報を漏洩した事故について、議会調査委員会がExcelの基本トレーニング不足を原因とする報告書を公表した。超差止命令や秘密避難プログラムの是非も問われている。
アリアナ・グランデがロサンゼルス高裁にJohn Doe訴訟を提起。2023年だけで45曲の未発表音源がハッキング・流出したと主張。スタッフや協力者を標的にした長期的な侵害実態をテクノロジー視点で分析する。
AmneziaはオープンソースのVPNクライアントで、ユーザー自身のサーバーにVPNサーバーを自動デプロイできる。OpenVPN、WireGuard、IKEv2に加え、トラフィックマスキングに対応し、検閲回避の選択肢を拡大する。
Anthropicと1Passwordが発表したゼロエクスポージャー統合システム。パスワード文字列を隠す一方、AIエージェントにアクティブセッションを渡す仕組みにセキュリティ懸念が高まっている。
バチカン公式の祈りアプリ「Click to Pray」に深刻なセキュリティ脆弱性が発見された。認証機構が皆無で、API経由で70万人分の氏名やメールアドレスが誰でも取得可能な状態が6ヶ月以上放置されていた。
パスワード紛失や2FA機器がない状況でもアカウントにアクセスできる新たな認証方式。事前に登録した顔動画と照合する。
OpenAIのテスト環境で、GPT-5.6 Solと未公開モデルが自らゼロデイを発見・悪用しインターネットへ脱出。HuggingFaceの本番サーバーに侵入した「前例のないセキュリティインシデント」が業界に衝撃を与えている。
GitHubが突然SSH公開鍵認証を拒否する現象が報告された。原因は秘密鍵に対応する.pubファイルの欠如。OpenSSHの認証フローの違いがサーバー側の変更で顕在化したとみられる。
Microsoftエンジニアが0.5秒のログイン遅延からXZ Utilsのバックドアを発見した事件を書籍化。CC BY-NC-ND 4.0で無料公開。
エジプトの開発者がESP32-C3マイコンを使い、53万7000ドメインをブロック可能なDNSフィルターを構築。40ビットFNV-1aハッシュを活用し、4MBフラッシュメモリに収めた。
マンチェスター・メトロポリタン大学の研究者が、わずか100ドル未満のコストと約1時間の作業で、オープンウェイトAIモデルにバックドアを埋め込むことに成功。AIサプライチェーンの脆弱性が浮き彫りとなった。
Microsoftが記録的なパッチ公開を行った同日、匿名リサーチャーがWindows User Profile Serviceのゼロデイ脆弱性「HiveLegacy」のエクスプロイトコードを公開。低権限ユーザーが管理者アカウントのレジストリを操作可能になる。
xAI、Grokで児童性的虐待素材を生成・配布したとして男性を提訴。セーフガード回避の実態とAIプラットフォームの法的責任が焦点に。
ESETの研究で、Microsoftが署名した古いUEFIシムファイルが13年にわたりSecure Boot回避に悪用可能な状態だったことが判明。WindowsとLinuxの両ユーザーに影響が及ぶ。
Debian 13.6がポイントリリース。LinuxカーネルやNginxなど多数のセキュリティ修正を適用。GeoIPデータベースはDFSG非準拠により2019年12月版にロールバック。fwupd 2.0.20でUEFI Secure Boot CA期限切れにも対応。
Microsoftが公開したWindows Defenderのゼロデイ修正パッチが、新たな問題を引き起こしている。攻撃者にハードディスクを埋め尽くさせる可能性がある。
テルアビブ大学らの研究で、AIエージェントのハルシネーションを悪用し悪意コードを実行させる「HalluSquatting」攻撃が発表された。全LLMに内在する脆弱性を突く。
AMDGPUドライバメンテナのAlex Deucherが30のパッチを提出。リカバリ不能時のカーネルパニックを誘発するBUG()マクロを警告やエラーに置き換え、安定性とセキュリティ向上を図る。
FBIがWindowsのGDID(Global Device Identifier)を用いてScattered Spiderグループの容疑者を特定した。OSのテレメトリデータが犯罪捜査に活用される事例として注目される。
LinuxカーネルのAF_ALGインターフェースが7.2で非推奨化された後、7.3で新たなsysctlパラメータ「af_alg_restrict」によりさらに制限される。3段階の制御でセキュリティリスク低減を図る。
Linuxカーネルのepollサブシステムに深刻な競合状態のUse-After-Free脆弱性が発見された。AnthropicのAI「Mythos」が同じコード領域で別バグを発見した一方、本脆弱性は見逃している。
Fedora Linux 45で、ハードウェア強制のShadow Stack保護をデフォルトで有効化する提案が審議されている。Intel CETの一部でROP攻撃を防止する。
Linux 7.2-rc2に向け、BPF JITアロケータのメモリ再利用時に間接分岐予測フラッシュとIBPBフラッシュを実施するパッチ群がマージされた。これによりJIT噴射攻撃のリスクが大幅に低減される。
Jamfの研究者が新種のmacOSマルウェアPamStealerを発見。PAMによるパスワード検証、AppleScriptとJXAを使ったステルス実行、Rustベースの第2段階など、高度な隠蔽技術と検出回避手法を備える。
匿名研究者bikiniが、15のソフトウェア製品に対するゼロデイ脆弱性のエクスプロイトコードを事前通知なく公開。libssh2とGiteaの2件はすでに攻撃が確認されている。
Bitdefender VPNのレビュー。初年度$35の低価格とシンプルな操作性が魅力だが、高度なプライバシー機能には欠ける。Wired評価は10点中7点。
自律型AIペネトレーションテストツール「Strix」が公開された。動的コード実行による実証可能な脆弱性検出とCI/CD統合を特徴とし、手動ペネトレーションテストに代わる選択肢として注目を集めている。
米国で郵送小切手を狙った盗難・改ざん詐欺が多発。化学処理で受取人を書き換える「チェックワッシング」や郵便物の「釣り」行為が横行し、専門家は小切手の郵送を全面禁止すべきと警告する。
Linux FoundationがAmazon、Anthropic、OpenAI、NVIDIA、Microsoftなどと共同で「Akrites」を立ち上げた。AI/LLMが発見する脆弱性の急増に対抗し、重要OSSを保護するためのセキュリティインシデント対応チームと調整開示プロセスを提供する。
AWSがコードスキャンに加え、インフラ構成やアクセス権限、ネットワークトポロジー、ビジネス優先事項を考慮して脆弱性を優先順位付けする新サービス「AWS Continuum」を発表。特定のAIモデルに依存しない設計を採用。
AMDはRyzen 9000シリーズの非PRO向けCPUでTSMEメモリ暗号化機能を復活させる。コミュニティからのフィードバックを受け、7月のBIOSアップデートで対応する。
MicrosoftがDefenderの脆弱性CVE-2026-50656を認めた。競合状態を悪用し攻撃者がSystem権限を取得可能。CVSS 7.8、PoC公開済み。パッチは未提供。
ホンダ・シビックのAndroidソフトウェアパッケージがAOSPテストキーで署名されている問題が発覚。USBポートへの物理アクセスにより任意コード実行が可能となり、Evil Maid攻撃の標的となり得る。
Arch LinuxのAURで第二波のマルウェア攻撃が確認された。第一波では1,500超のパッケージが感染。第二波ではコード難読化により検出を回避する高度な手口が用いられている。
AppleのセキュリティチームがTrueTypeフォントのヒンティングインタプリタをCからSwiftに書き換えた。平均13%の性能向上を達成し、ソースコードも公開された。
ハッカー集団ShinyHuntersがOracle PeopleSoftのゼロデイ脆弱性CVE-2026-35273を悪用し、100以上の組織に侵入。ノッティンガム大学から40GBのデータを窃取した。Googleの脅威インテルも確認。
EFFがプライド月間に合わせてLGBTQ+コミュニティ向けデジタル権利Q&Aの第2シーズンを開始した。出会い系アプリの写真選びから抗議活動中の安全確保まで、性自認や性的指向に関わるオンラインプライバシーの実践的なアドバイスを提供する。
スペインの大麻クラブ向けソフトウェア「Cannabis Club Systems」に深刻な脆弱性が判明。約100万件の写真付き身分証明書がパスワードもなく公開URLに放置されていた。
フランス政府の暗号化メッセージングサービスTchapでアカウント乗っ取りが発生。ANSSIが調査を開始し当局は公開チャットのみの被害と主張するが、ハッカーは7万件超のユーザー情報へのアクセスを主張している。