不具合を報告

ブログ

AI について書いています。仕組み、役立つ場面、そして開発から学んだこと。

最新の記事

Nextcloudが自社のプレスキットで公開しているロゴ。入れ子になった3本の弧でできた雲のマークの横に、小文字の「nextcloud」のワードマークが置かれている。

ワンクリックで入るNextcloudアプリは、誰も知らされないまま5週間バックドアを置かれ続けた。無効化では止まらないCVE-2026-110447は、Collaboraの内蔵CODEアプリを通じて、認証なしのリクエスト一つでNextcloudサーバー上でコマンドを実行させる。修正は9月11日にセキュリティの記載なしで出荷され、ログに残る最初の攻撃は9月10日、アドバイザリの公開は10月14日だった。セキュリティ2026/10/16

Ciscoのコーポレートロゴ。橋の主塔を様式化したバー状の意匠の下に社名が置かれた、同社がニュースルームで公開している横長の画像カード。

Ciscoのメールゲートウェイがまたrootを渡している。今回は修正が1か月前から置かれていたCVE-2026-76519は、細工された添付ファイル付きのメール一通で、Cisco Secure Email Gateway上にroot権限でファイルを書き込ませる。すでに悪用されており、CISAは連邦機関に10月17日までの修正を求めている。そして自組織が露出しているかを決めるのは、資産管理台帳が追っているほうのバージョン番号ではない。セキュリティ2026/10/15

XBOW が Chrome のフルチェーン・エクスプロイトに関する自社ブログ記事とともに公開した発表用画像。同社サイトから取得したもの。

XBOW は公開されている OpenAI のモデルで Chrome 最高額の報奨を獲得した。このエクスプロイトの製作費は4万ドルであるGoogle の Chrome Vulnerability Reward Program は、読み込んだウェブページから Windows 上でコードを実行させる3件の欠陥の連鎖に対し、XBOW へ25万ドルを支払った。XBOW によれば、1人の研究者と、公開されている OpenAI の GPT-5.6 Sol で動く AI エージェントが、6日間・約4万ドルの計算費用でこれを作った。本題は報奨額ではなく、この比率である。セキュリティ2026/10/14

サンフランシスコのミッションベイ地区、サード・ストリート 1515 番地にある OpenAI 本社のオフィスビルを路上から撮影した写真。

OpenAI に侵入した者は、重みを狙わなかった。狙ったのは「部屋」だったとされる司法省は、OpenAI の役員会議室に録音装置を隠したとして同社のエンジニアを起訴した。この1年、フロンティア研究所のセキュリティ論議はモデルの重みを中心に回ってきた。だが実際に中に入り込んだとされるのは、マイクだった。セキュリティ2026/10/14

Ivanti 自身が公開している同社のブランド画像。

Ivanti のゼロデイ連鎖は、完全にパッチ済みの VPN で root を取った。自社の Integrity Checker は何も告げなかったIvanti は 10 月 13 日に CVE-2026-104935 を公表し、同日に修正をリリースした。発見者の Volexity も同日、最新ビルドで稼働していたアプライアンスが 3 つの欠陥の連鎖で root を取られた経緯を公開している。Integrity Checker Tool は侵害を検知せず、ディスク上にインプラントは残らず、連鎖に使われた権限昇格の欠陥はいまだ未修正である。セキュリティ2026/10/13

Ledger Nano Xハードウェアウォレットの公式製品画像。

Ledgerの正規品チェックは通った。インプラントは、そのチェック対象のチップの隣にあったLedgerは、正規リセラーが販売した端末に認可されていないハードウェアインプラントが仕込まれていたことを確認した。オンチェーン調査者は300を超えるウォレットから8,600万〜9,300万ドルが抜き取られたと推定する。端末自身の正規品チェックでは、これを捉えることはできなかった。セキュリティ2026/10/13

オランダ・ザーンダムにある Ahold Delhaize 本社ビルを外から撮影した写真。

止まったのは Ahold Delhaize のウェブサイトだけではなく、物流センターだった。フランスでは冷凍ケースが逆方向に動いたAhold Delhaize は月曜朝、ネットワーク上のセキュリティ問題を公表した。その時点ですでに Albert Heijn の複数の物流センターで作業が止まり、米国では従業員がシフト表にアクセスできなくなっていた。同じ週末、フランスでは数百店舗の冷蔵・冷凍ケースが遠隔操作で昇温させられた。無関係な二つの事案が、いずれも顧客データベースを素通りして食品そのものを狙った形になっている。セキュリティ2026/10/12

GitGuardian が GhostAction キャンペーンの調査レポートに添えて公開したヘッダー画像。

GhostAction はもう CI シークレットだけでは満足しない。いまは Git 履歴のすべてを読むGitGuardian、Socket、StepSecurity が今週、2025年から続く GitHub Actions のサプライチェーン攻撃に関する調査結果をそれぞれ公開した。新しい版は名前付きの CI シークレットを盗むだけでなく、コミット履歴全体を掘り返す。だからこそ昨年のローテーション指針ではもう足りない。セキュリティ2026/10/10

Apple提供のプレス写真。Mac、iPhone 18 Pro、Apple Watch Series 12、iPad、Apple Vision Proがデスクの上に並べられている。

スパイ用に作られたiPhoneのエクスプロイトチェーンが、キーチェーンと暗号ウォレットを狙い始めた。Appleは3月に修正済みであるiVerifyが、iOSのエクスプロイトチェーンDarkSwordの新たな亜種を発見した。監視ではなく、キーチェーンの項目と暗号資産ウォレットのデータを抜き取るよう作り替えられている。利用される脆弱性はいずれも数か月前に修正済みで、最後の修正はiOS 26.3で出ていた。セキュリティ2026/10/09