セキュリティ
macOS画面共有の脆弱性CVE-2026-65400、深刻度9.8。認証なしでroot奪取
Macの画面共有機能に、パスワードなしでログインできる脆弱性が見つかった。通常の対策は一切効かない。唯一の手段はアップデートか、画面共有をオフにすることだ。
CISA
サイバーセキュリティ
米政府、民間企業による海外サイバー作戦を認める制度を導入
米国政府が、審査済みの民間企業に海外犯罪組織への攻撃的サイバー作戦を許可する仕組みを整えた。年間3兆円超の被害を前にした「攻めの転換」は、同時に制御不能のリスクも連れてくる。
セキュリティ
元NSA長官「PLCをネットに繋ぐな」。米水道攻撃12州に拡大
ミネソタ州の水道30施設が襲われてから2週間。被害は12州に広がり、ハッカーの祭典で防衛の新組織が立ち上がった。
セキュリティ
DNA鑑定のデジタルファイルに30年放置の脆弱性。AIで改ざん可能と判明
犯罪捜査で「決定的」とされるDNA鑑定のデジタルファイルに、痕跡を残さず改ざんできる脆弱性が見つかった。1995年から存在していたとみられ、機器メーカーは対策に着手した。
セキュリティ
米水道30施設に一斉サイバー攻撃、7州に拡大。FBIが警告
ミネソタ州で30以上の自治体水道が48時間のうちに攻撃を受け、浄水場の停止や圧力低下が発生した。被害は少なくとも7州に広がっている。
セキュリティ
Zimbraのゼロクリック攻撃、27機関が共同勧告 1年間継続
メールを開いただけで90日分のデータが抜かれる。ロシアの国家支援ハッカー集団がZimbraの脆弱性を突き、西側の政府機関や企業から情報を盗み続けていた。 開封した瞬間に終わっている リンクをクリックしなくていい。添付ファイルを開かなくていい。メールをプレビューした、それだけで攻撃は完了する。 米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、NSA、FBIが英国NCSCやFive Eyes諸国、欧州各国の情報機関と連名で現地時間7月23日に共同勧告を公表した。 ロシア国家の支援を受けるハッカー集団Laundry Bear（別名Void Blizzard）が、Zimbra Collaboration Suite（ZCS）のクロスサイトスクリプティング（XSS）脆弱性CVE-2025-66376を悪用し、2025年7月から西側の政府・商業組織に侵入を続けている。 ZCSはSynacor社が開発するWebメール・グループウェアで、日本でもZimbra Japan合同会社が販売している。政府省庁、軍、金融機関を含む世界の数十万の組織が利用する。 脆弱性はZC
セキュリティ
ロシアFSBのルーター侵入に13カ国19機関が共同勧告、英EUは制裁発動
米英など13カ国のサイバーセキュリティ当局19機関が、ロシア連邦保安庁（FSB）第16センターによるルーター侵入について共同勧告を出した。突かれたのは高度な脆弱性ではなく、初期設定のまま放置された機器。英国とEUは制裁と攻撃の名指しを重ねた。 19機関が名指しした「第16センター」 NSA、CISA、FBIをはじめ、英国、オーストラリア、カナダ、ポーランド、エストニアなど13カ国の19機関が2026年7月13日、共同のサイバーセキュリティ勧告を公開した。相手はFSB第16センター。セキュリティ業界がBerserk Bear、Energetic Bear、Dragonfly、Ghost Blizzard、Static Tundraなどの名前で10年以上追跡してきた集団と同一の活動だとしている。 手口の入口はSNMP（ルーターなどのネットワーク機器を遠隔で監視・管理するプロトコル）だ。攻撃側はインターネット全体をスキャンし、初期値のまま、または推測しやすいコミュニティストリング（SNMPv1/v2で認証パスワードの役割を果たす文字列）を受け付ける機器を探す。 見つけた機器には、送
AI
AIが31秒で攻撃を自己修正した。初のエージェント型ランサムウェア記録
ランサムウェア攻撃は、キーボードの前に人がいることを前提に成り立ってきた。クラウドセキュリティ企業Sysdigが7月1日に公開した報告書は、その前提が崩れた最初の記録を提示している。 ログインに失敗してから31秒後 Sysdigの脅威調査チーム（TRT）がJadePufferと名付けた攻撃者は、LLMエージェントだった。偵察、認証情報の窃取、横展開、永続化、権限昇格、データの暗号化と破壊。ランサムウェアの全工程を、人の介在なく実行した。 この攻撃の性質がよく表れているのが、Alibaba Nacosサーバへの侵入過程で記録された一連の動作だ。 エージェントはまず、MySQLデータベースに直接アクセスしてバックドア管理者アカウントを作成した。bcryptハッシュを生成し、アカウントを挿入し、管理者ロールを付与する。ここまでは典型的な攻撃手順に見える。 問題は次に起きた。ログイン検証が失敗した。12秒後、エージェントは2つの仮説を並行して検証し始めた。Nacosのデフォルト認証情報（nacos:nacos）の試行と、より単純なパスワードでのbcryptハッシュ再生成を同時に実行
セキュリティ
米国土安全保障省の情報共有基盤にサイバー攻撃。W杯開催中
米国の安全保障機関が脅威情報の共有に使うプラットフォームHSINが、外部から侵害された。FIFAワールドカップ2026の警備を支えている最中の出来事で、上院情報特別委員会の幹部は国家安全保障への影響を警告している。 ワールドカップの裏で起きたこと 国土安全保障省（DHS）が運用する国土安全保障情報ネットワーク（HSIN）が、サイバー攻撃を受けた。侵害は2026年5月下旬から6月初旬にかけて発生したとみられ、DHSが7月1日に認めた。 HSINは、連邦・州・地方自治体・法執行機関・民間の重要インフラ事業者が、機密扱いではないが機微な情報を共有するためのプラットフォームだ。20年以上にわたって運用され、大規模イベントの安全確保や緊急時の対応調整、脅威情報のリアルタイム共有を担ってきた。 攻撃者はHSINのサーバーと、連携に使われるSharePointシステムの両方を標的にした。誰が、何のために侵入したのかは分かっていない。盗まれたデータの内容や量も不明のままだ。 DHSの情報分析局は被害評価を実施済みだが、調査は継続中とされる。DHS側は声明で「非機密のレガシー情報共有環境に関
セキュリティ
BlueHammer、ランサムウェアに転用。CISAが警告
4月に修正済みのWindows Defenderの権限昇格脆弱性が、2か月半後のいまランサムウェア攻撃に使われている。パッチ未適用の端末で身代金を要求される事態が、現実になった。 パッチ公開から77日、悪用は止まらなかった 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間6月30日、Windows Defenderの権限昇格脆弱性CVE-2026-33825（通称BlueHammer）について、KEV（悪用が確認された脆弱性）カタログのランサムウェア欄を「確認済み」に更新した。 BlueHammerは4月初旬にセキュリティ研究者ナイトメア・エクリプス（Nightmare Eclipse）が実証コードとともに公開し、Microsoftが4月14日の月例パッチで修正した脆弱性だ。CISAは4月22日の時点でKEVカタログに追加し、連邦機関に5月7日までの対処を命じていた。今回の更新は、当初のゼロデイ悪用に加え、ランサムウェア攻撃への転用が確認されたことを意味する。 BlueHammer（CVE-2026-33825）経緯 4月3日実証コード公開
AI
「数年ではない、数か月だ」ファイブ・アイズがAIサイバー脅威で共同声明
米英豪加NZの5カ国サイバーセキュリティ機関の長が連名で共同声明を出し、フロンティアAIモデルが攻撃・防御の双方を根本から変えると警告した。Fable 5の輸出規制が続くなかで発された今回の声明は、サイバーリスクを「IT部門の問題ではなく、経営者の責任だ」と名指しで突きつけている。 6人の署名 現地時間6月22日、ファイブ・アイズ（米国・英国・オーストラリア・カナダ・ニュージーランド）のサイバーセキュリティ機関がそろって共同声明を発表した。署名したのは、英国NCSCのリチャード・ホーン（Richard Horne）CEO、NSAサイバーセキュリティ局のデビッド・インボルディーノ（David Imbordino）局長、CISA暫定局長のニック・アンダーセン（Nick Andersen）、オーストラリアACSCを率いるステファニー・クロウ（Stephanie Crowe）、カナダ・サイバーセンターのラジブ・グプタ（Rajiv Gupta）、ニュージーランドNCSCのカトリオナ・ロビンソン（Catriona Robinson）の6名。中間管理職ではない。各国のサイバー防衛を預かるトップ
AI
AIの脅威を認め、それでも規制しない。トランプ大統領令の意味
AIがソフトウェアの脆弱性を自律的に発見し、攻撃コードまで書く。この現実に米政府が正面から向き合った。だが大統領令が企業に求めるのは、あくまで「任意の協力」だ。規制なき安全保障は成立するのか。 何が起きたか 現地時間2026年6月2日、トランプ大統領が大統領令「先進的AIのイノベーションと安全保障の促進」（Promoting Advanced Artificial Intelligence Innovation and Security）に署名した。連邦政府のサイバー防衛を強化し、フロンティアAIモデルの事前評価枠組みを構築し、AI犯罪の取り締まりを強化する。 この枠組みは完全に任意だ。大統領令は「対象フロンティアモデル」の開発企業に、公開の最大30日前に政府へアクセスを提供するよう求める。だが同じ文書がこうも明記する。「本令のいかなる条項も、AIモデルの開発・公開・リリース・配布に対する義務的な政府認可、事前承認、許可制度の創設を認めるものと解釈してはならない」。 規制はしない。だが安全は確保したい。大統領令はこの矛盾を抱えたまま署名された。 半年前の大統領令との落差
セキュリティ
米CISA、脆弱性の修正期限を最短3日に。リスクベースの新指令を発行
米サイバーセキュリティ・インフラセキュリティ庁（CISA）が6月10日、連邦政府機関向けの脆弱性管理を根本から組み替える拘束的運用指令「BOD 26-04」を発行した。すべての脆弱性を一律に扱うのをやめ、4つのリスク基準で優先順位をつけろ、という内容だ。最も危険な脆弱性には、修正期限が3日しかない。 「全部急げ」の限界を認めた指令 BOD 26-04の正式名称は「Prioritizing Security Updates Based on Risk（リスクに基づくセキュリティ更新の優先順位付け）」。2019年のBOD 19-02と2021年のBOD 22-01を統合・廃止し、新たな枠組みに一本化するものだ。 従来の指令は、脆弱性の深刻度スコア（CVSS）をベースに修正期限を定めていた。インターネットに公開されたシステムの重大な脆弱性は15日以内、高リスクは30日以内。KEVカタログ（既知の悪用された脆弱性カタログ）に載った脆弱性は、深刻度を問わず一律14日以内に修正しなければならなかった。 問題は、この枠組みが現場の実態に追いつけなくなっていたことだ。 5月公開のVeriz
セキュリティ
Active Directoryの「説明」欄にパスワード保存 侵害につながった事例を検証
ある企業が、開発者用のサービスアカウントのパスワードをActive Directoryの「説明」フィールドに平文で保存していた。パスワード管理ツールを導入していなかったからだ。英セキュリティ企業Reliance Cyberのロブ・アンダーソン（Rob Anderson）氏が、過去に対応したインシデントとして公開した。 「普通のユーザーで全部読める」 この話の核心は、Active Directoryの「説明」フィールドや「コメント」フィールドがドメイン内のすべての認証済みユーザーから読み取り可能だという点にある。管理者権限は要らない。ドメインに参加しているPCにログインできる一般ユーザーなら、LDAPクエリ一発でActive Directory全体の説明フィールドを一覧できる。 アンダーソン氏はこう語っている。「Active Directoryのユーザーアカウントさえあれば、ごく普通のユーザーでも、Active Directory全体のコメントフィールドや説明フィールドを読むことができる。驚くべきセキュリティの欠陥だ」。 この仕様はMicrosoftの設計上のデフォルトであり、