不具合を報告

ブログ

AI について書いています。仕組み、役立つ場面、そして開発から学んだこと。

最新の記事

バーガンディ色のiPhone 18 Proを前面と背面で並べたApple公式のプレス画像。前面にはロック画面が表示されている。

押収したiPhoneを無期限にロック解除状態で保てる、とフォレンジック企業が警察に説明していた。その主張を収めた動画は1年半前のものだ404 Mediaが入手した法執行機関向けの研修動画で、Magnet Forensicsは、Appleの72時間の「非アクティブ再起動」を越えて押収iPhoneをAfter First Unlock状態に保つ手段を売り込んでいた。その能力自体はベンダー側の未検証の主張だが、動画の日付から公表までの約1年半という空白はそうではない。セキュリティ2026/10/02

Fortinet社のロゴ。

悪用が確認されたFortiMailのゼロデイ、期限は日曜日、修正版はまだ出ていない。順守の手段は機能を止めることだけだFortinetは、FortiMailに存在する認証不要・CVSS 9.8の脆弱性CVE-2026-104286を公表し、すでに実環境で悪用されていると明らかにした。CISAは同日、10月4日という連邦機関向けの是正期限を設定した。修正ビルドは未提供であり、日曜までに取れる手は Identity-Based Encryption の無効化と、管理インターフェースをインターネットから切り離すことだけである。セキュリティ2026/10/02

ハンブルク警察とハンブルク検察庁が公開した摘発告知ページに掲げられた「Operation Killswitch」のバナーと、参加各機関のロゴ。

警察は KillSec から 110 テラバイトを押収した。管理者とされる人物は 16 歳で、侵入口はクラウドストレージだったEurojust と Europol は 10 月 1 日、9 か国にまたがる作戦によってランサムウェア・アズ・ア・サービス集団 KillSec を解体し、サーバー 5 台、リークサイト、110 テラバイト超の窃取データを押収したと発表した。管理者とみられる人物は 16 歳で、成功した約 500 件の攻撃に新奇なエクスプロイトは一つも関わっていない。セキュリティ2026/10/01

Bitget の公式ブランド画像。無地の暗い背景に Bitget のワードマークとロゴを置いたもので、同取引所が自社サイトのプレビュー画像として使用している。

Bitget の原因調査報告は、攻撃者がセキュリティ製品を通って入ってきたと述べている。すべてを監視する装置は、すべてに手が届く装置でもあるBitget は 9 月 30 日に侵害調査の結果を公表した。サードパーティのセキュリティ装置のゼロデイが 8 月 31 日に攻撃者の足場となり、その 3 週間半後に 3 億 8,750 万ドルがウォレットから流出した。防御のための仕組みは迂回されたのではない。そこが侵入経路だった。セキュリティ2026/10/01

米連邦捜査局（FBI）の旗。濃紺の地の中央にFBIの紋章が置かれ、局名が金色の文字で記されている。

FBIはShinyHuntersの「残っている者たち」に向けて動画を作った。そこで発表された逮捕は、2週間前に起きていたオランダ警察は9月15日、ShinyHuntersの指導的立場とされる人物を逮捕していた。FBIは今週それを公表し、同時にグループに残る全員へ出頭を促す動画を出した。当局はこの集団に初めて数字を与えた——140を超える組織、7,000万ドル。そしてFBIがこれほどの注意を割いている理由は、金ではなくFBI職員の記録を狙うという、グループ自身の選択にある。セキュリティ2026/09/29

2026年9月のOSリリースを伝えるApple公式画像。Mac、iPhone 18 Pro、Apple Watch Series 12、iPad、Apple Vision Proが並び、それぞれに新しいソフトウェアが表示されている。

このゼロデイに晒されているAppleデバイスは、まだアップデートしていない端末だけだ。見つけたのは人権団体ではなくMetaであるAppleは悪用が報告されたCoreGraphicsの脆弱性CVE-2026-86950を、iOS 26.7.1、iPadOS 26.7.1、macOS Tahoe 26.7.1、macOS Sequoia 15.8.1で修正した。iOS 27はそもそも影響を受けていない。晒されている層は、まさにアップデートを先送りしている層であり、報告者は通常の監視団体ではなくMetaの製品セキュリティチームだった。セキュリティ2026/09/29

NetScaler の公式ブランド画像。無地の背景に NetScaler のワードマークを置いたもので、Citrix が NetScaler 製品ラインに使用している。

Citrix は日曜日、悪用されている NetScaler のゼロデイ 2 件を認めた。管理者たちはすでに、理由を知らされないまま装置を停止させていたCitrix は 9 月 27 日、NetScaler の脆弱性 8 件を扱うセキュリティ情報 CTX697096 を公開した。うち 2 件は CVSS 9.5 のリモートコード実行であり、すでに悪用が確認されているという。その警告は 2 日前、詳細を伴わないまま取引先やナショナル CERT を経由して管理者に届いていた。この非公式の経路が、いまやエッジ装置の脆弱性公開の実態である。セキュリティ2026/09/27

Intesa Sanpaolo の公式グループブランド画像。同行が自社のプレスキットで公開しているもの。

WhatsApp のメッセージ 1 通と電話 1 本で、9,500 万ユーロがイタリア最大のプライベートバンクから消えた。ディープフェイクは本件で最も退屈な部分だIntesa Sanpaolo の CEO と実在の弁護士になりすました詐欺集団が、2 月に Fideuram から 9,500 万ユーロを流出させた。5,300 万ユーロは回収されたが、少なくとも 3,600 万ユーロは戻っていない。失敗したのは音声クローンを見抜けなかったことではない。クローン音声こそが、攻撃者自身が用意した「確認手続き」だった。セキュリティ2026/09/27

Oracle PeopleSoftへの攻撃再燃を報告したGoogle自身のレポートに使われている、Google Threat Intelligenceのバナー画像。

ShinyHunters、パッチではなくWAFルールで済ませたPeopleSoftサーバーを狙い直す。Googleは新たに100社超へ通知Google Threat Intelligenceによると、ShinyHuntersはOracle PeopleSoftのCVE-2026-35273を再び悪用しており、6月に推奨されたファイアウォールルールを適用しただけでパッチを当てていない組織を狙っている。緩和策はもはや防御として機能せず、標的リストとして機能し始めた。セキュリティ2026/09/26