Cloudflare

Windowsの人気アプリを装う偽サイト72件、開発者が組織的作戦を発見

Windows

Windowsの人気アプリを装う偽サイト72件、開発者が組織的作戦を発見

Wintoys開発者がアプリ名を騙る偽ドメインを追跡したところ、同一の登録者が70以上のWindowsアプリを標的にした組織的なネットワークを運営していた。 自分のアプリが、知らないサイトに並んでいた Wintoysの開発者Bogdan_Xは、Google検索で自分のアプリ名を確認していたとき、wintoys.appという見覚えのないドメインに気づいた。WintoysはWindows向けのカスタマイズツールで、Microsoft Storeから配布されている。wintoys.appはBogdan_Xが取得したものではない。開くとWintoysの紹介ページが表示されるが、掲載情報は不正確で、ページ末尾には「Wintoysとは無関係。公式プロジェクトのドキュメントとリンクを提供する独立サイト」という免責事項が置かれていた。 ダウンロードリンクの接続先はMicrosoft Storeの正規ページだった。Chromeでアクセスすると、Cloudflareがフィッシングの疑いがあるとして警告を表示する。正規ストアへのリンク、フィッシング警告、免責事項が同居する奇妙な構成だった。 72
WordPressコアにRCE脆弱性、数千万サイトが標的に

WordPress

WordPressコアにRCE脆弱性、数千万サイトが標的に

WordPressの根幹にあたるコアコードに、認証なしで任意のコードを実行できる脆弱性が見つかった。パッチ公開から3日、すでに攻撃が始まっている。 プラグインではない。コアが破られた WordPressの脆弱性といえば、通常はプラグインやテーマが原因になる。今回は違う。 7月17日に公表された2件の脆弱性は、WordPressコア自体に存在する。CVE-2026-63030はREST APIのバッチエンドポイントにおける経路混同（route confusion）、CVE-2026-60137はWP_Queryクラスのauthor__not_inパラメータにおけるSQLインジェクション。この2つを連鎖させると、ログインもプラグインも必要なく、匿名の攻撃者がサーバー上で任意のコードを実行できる。RCE（リモートコード実行）と呼ばれる、サイトの完全な乗っ取りにつながる脆弱性だ。 セキュリティ企業Searchlight Cyberの研究者アダム・キューズ（Adam Kues）氏がこの脆弱性を発見し、WP2Shellと名付けた。キューズ氏はWordPressのHackerOneプログラ
Googleが「サイトブロッキングは有害」とEUに提出、米国でも法制化迫る

著作権

Googleが「サイトブロッキングは有害」とEUに提出、米国でも法制化迫る

海賊版対策として各国に広がるサイトブロッキング。その矛先がDNSリゾルバやVPNに向き始めた今、GoogleがEUで公に反対意見を提出した。同じ週、米議会ではブロッキング法案の立法化が動き出している。 Googleの意見書が公開された経緯 Googleが欧州委員会の著作権指令レビューに意見書を提出した。書類には「Privileged and Confidential」（秘匿扱い）と記載されていたが、欧州委員会のウェブサイトに他の提出物とともに公開されている。 Googleが海賊版サイトのブロッキングについて公の場で意見を述べるのは珍しい。だが、フランス、ベルギー、イタリア、ポルトガルでは既にGoogle Public DNS（8.8.8.8）経由で海賊版ドメインへのアクセスを遮断するよう裁判所に命じられており、自社インフラが直接の標的になった以上、沈黙を続ける段階ではなくなった。 意見書でGoogleが反対するのは、DNSリゾルバ、VPN、共有IPアドレスを対象にしたブロッキングだ。コンテンツそのものを削除しない、別のDNSリゾルバに切り替えれば回避できる、正規のサービスを巻
Cloudflare、9月15日からAI訓練クローラーを広告ページで遮断へ

Cloudflare

Cloudflare、9月15日からAI訓練クローラーを広告ページで遮断へ

Cloudflareが、AIクローラーの用途別分離をAI企業に要求した。期限は9月15日。従わなければ遮断する。 「検索用」と「訓練用」を分けろ Cloudflareが現地時間7月1日、AIクローラーに対する新たな方針を発表した。 AI企業に対し、ウェブクローラーを検索用、AIエージェント用、モデル訓練用の3種類に分離するよう求め、9月15日を期限に設定している。 9月15日以降のクローラー分類とデフォルト設定 分類広告ページ非広告ページ検索許可許可AIエージェントブロックサイト設定に依存モデル訓練ブロックサイト設定に依存混合 (検索+訓練)ブロックサイト設定に依存 ※新規顧客・既存顧客の新規サイト・既存無料プラン利用者に適用。既存有料顧客は設定変更で適用可 期限までに分離しない「混合クローラー」は、広告が掲載されているページでデフォルトのブロック対象になる。Cloudflareはこう説明している。広告を掲載しているページは、サイト運営者が人の閲覧を前提にしている。その前提に反するボットは遮断する。新規顧客、既存顧客の新規サイト、そして既存の無料プラン利用
CAPTCHA不要へ。Cloudflareとブラウザ3社が新プロトコル

セキュリティ

CAPTCHA不要へ。Cloudflareとブラウザ3社が新プロトコル

ウェブを閲覧するたびにバスや信号機の画像を選ばされる、あの煩わしさが終わるかもしれない。Cloudflareが現地時間6月22日、Google Chrome、Microsoft Edge、Mozilla Firefoxの開発元と共同で新プロトコルPACT（Private Access Control Tokens）の開発を発表した。CAPTCHAやログインの強制に頼らず、「この訪問者は正当だ」とブラウザが匿名で証明する仕組みだ。ECプラットフォームのShopifyも加わり、標準化に向けて提出する方針だ。 ボットが過半数を占めるウェブに、答えが要る 背景にあるのは、ウェブの交通量そのものの変質だ。6月3日、Cloudflare CEOのマシュー・プリンス（Matthew Prince）氏がCloudflare Radarのデータを公開した。HTMLコンテンツへのHTTPリクエストのうち、ボットによるものが約57.5%、人によるものは約42.5%。ウェブのページ閲覧トラフィックで、初めて機械が人を上回った。プリンス氏自身、この逆転は2027年末と予測していた。18か月早い到来だ。
Ghost CMSの脆弱性、大規模攻撃の踏み台に

Ghost CMS

Ghost CMSの脆弱性、大規模攻撃の踏み台に

パッチ未適用のGhostサイトが次々と侵害されている。ハーバード大学やオックスフォード大学を含む700以上のドメインが、偽のCloudflare認証画面を使ったマルウェア配布の「共犯者」に仕立て上げられた。 3か月放置された脆弱性が招いた事態 Ghost CMSに存在するSQLインジェクション脆弱性CVE-2026-26980が、大規模なClickFix攻撃キャンペーンに悪用されている。 この脆弱性はContent APIのスラッグフィルター処理に起因し、認証なしでデータベースの任意のデータを読み取れる。CVSSスコアは 9.4 （Critical）。影響範囲はバージョン3.24.0から6.19.0までと広く、修正版の6.19.1は2月19日にリリース済みだ。 問題は、多くのサイト管理者がこの修正を適用しなかったことにある。修正公開から 3か月が経過 した5月の時点で、大量のGhostサイトが未パッチのまま放置されていた。攻撃者にとっては、鍵のかかっていない扉が並ぶ街並みのようなものだった。 CVE-2026-26980は、Anthropicの研究者ニコラス・カーリニ（Ni
Cloudflare CEO、従業員20%削減の選別基準を公開

AI

Cloudflare CEO、従業員20%削減の選別基準を公開

売上は過去最高。成長率は30%超。それでもCloudflareは1100人以上を切った。CEOが寄稿記事で明かした「誰を残し、誰を切るか」の判断基準は、AI時代の雇用に何を突きつけているのか。 「苦しいから切るのではない」 Cloudflareのマシュー・プリンス（Matthew Prince）CEOが5月20日、自ら寄稿記事を発表した。タイトルは「How I Choose Which Cloudflare Employees to Replace With AI」（CloudflareでAIに置き換える従業員をどう選ぶか）。2週間前に自社の従業員の20%超にあたる1100人以上を解雇したばかりのトップが、その選別の論理を公の場で語るという異例の内容だった。 プリンス氏は冒頭からこう書いている。Cloudflareは苦しいから人を切ったのではない、と。売上は過去最高を更新し、フリーキャッシュフローも堅調で、顧客数はかつてないペースで増えている。それでも切った理由は「ビジネスが変わっているから」だという。 成長率30%超の上場企業が従業員の20%以上を削減した前例は、米国のビジ
Mythosの脅威情報、Anthropicが外部共有を解禁

AI

Mythosの脅威情報、Anthropicが外部共有を解禁

Anthropicが方針を転換した。同社のAIモデルMythosで発見されたサイバー脅威の情報を、パートナー企業が外部と共有できるようになる。守りの時間稼ぎは、次の段階に入った。 機密保持から情報共有へ Anthropicは先週、Project Glasswingのパートナー企業に対し、Mythosで発見したサイバー脅威の情報を外部と共有してよいと通知した。プログラムへの参加自体を公表することも許可されている。 4月7日にMythos Previewを発表した当初、パートナー企業は機密保持契約のもとで運用していた。発見した脆弱性の情報は社外に持ち出せず、Glasswingの輪の中だけで処理される仕組みだった。攻撃者に情報が渡るリスクを懸念したパートナー側が、契約時に機密保護を求めた経緯がある。 Anthropicの広報担当者は「パートナー同士、またはGlasswing外の企業と発見内容を共有し、脆弱性のトリアージに役立ててもらうことを全面的に支持する」と述べている。 しかしプログラムが成熟するにつれ、情報を閉じ込めておく弊害が目立ち始めた。Glasswingに参加していない
OpenAIがDaybreak発表、サイバー防御へAI投入

AI

OpenAIがDaybreak発表、サイバー防御へAI投入

OpenAIがサイバーセキュリティ構想「Daybreak」を発表した。Anthropicが1ヶ月前に「危険すぎる」として限定公開した「Mythos Preview」とは対照的に、Codexと合流して企業に開かれた形で投入される。 Anthropicの1ヶ月後、OpenAIが踏み込んだ サイバー防御の主導権争いが、AI企業同士の正面衝突になってきた。 OpenAIは5月11日（米国時間）、サイバーセキュリティ構想「Daybreak」を発表した。フロンティアAIモデルとコーディングエージェント「Codex」を組み合わせ、脆弱性の発見・検証・修正を開発サイクルの早い段階に持ち込む構想だ。サム・アルトマンはXで「サイバー防御を加速し、ソフトウェアを継続的に守るための取り組みだ」と書いた。 注目すべきは、この発表が単独で出てきたわけではないことだ。Anthropicは1ヶ月前の4月、フロンティアモデル「Claude Mythos Preview」が主要OSとブラウザに数千件のゼロデイ脆弱性を見つけたと公表し、「一般公開しない」という異例の判断を下した。代わりに「Project Glas
Oracle解雇、株式失効と業界標準下回る退職金

AI

Oracle解雇、株式失効と業界標準下回る退職金

3月31日朝、OracleでVPNが繋がらない。Slackからアカウントが消えている。数日後に届いた退職金は業界標準を大きく下回り、未確定の株式報酬は丸ごと失効した。テック業界の労働者保護の薄さがここまで露わになるのは、めずらしい。 朝のVPNが消えていた 3月31日の朝、Oracleの社員2万〜3万人がメール1通で職を失った。VPNにサインインしようとした瞬間に「このユーザーは存在しません」と表示され、Slackのアカウントは無効化されている。電話で同僚に確認してようやく解雇を知った社員もいた、とTechCrunchが報じている。 退職通知メールが届いた数日後に、退職金の条件が示された。表面上は米企業として標準的な内容だ。サインを条件に在職1年目で4週間分の給与、勤続年数1年ごとに1週間追加、上限は26週。健康保険は連邦法に基づくCOBRA(退職後の健康保険継続加入制度)を1か月分、Oracleが負担する。 「悪くない」と感じた社員もいた。問題はここから始まる。 4か月後にベストするはずだった100万ドル Oracleは未確定のRSU(Restricted Stock
See all