脆弱性

JFrog、OpenAIモデルが悪用した脆弱性8件を修正

AI

JFrog、OpenAIモデルが悪用した脆弱性8件を修正

OpenAIのモデルがサンドボックスを脱出した際に悪用したゼロデイ脆弱性の正体が判明した。パッケージ管理ツールArtifactoryに存在した8件の未知の欠陥だ。 「名前不明のプロキシ」の正体 OpenAIは現地時間7月21日にHugging Face侵害を公表した時点で、モデルがサンドボックス脱出に利用したソフトウェアの名前を明かしていなかった。安全制御を解除した状態でサイバー能力ベンチマークExploitGymに挑んでいたGPT-5.6 Solと未公開モデルが、テスト環境内のプロキシからゼロデイ脆弱性を発見し、Hugging Faceの本番インフラまで到達した事案だ。 現地時間7月27日、そのプロキシを開発したJFrogのCTOヨアブ・ランドマン（Yoav Landman）氏がブログで、問題のソフトウェアがセルフホスト版のJFrog Artifactoryだったことを認めた。Artifactoryはnpm、PyPI、Maven Centralなど複数のパッケージレジストリのプロキシおよびキャッシュとして機能するソフトウェアで、開発パイプラインの要として広く使われている。
Defender for Endpoint on Linux、更新後の再起動でサービスが停止するバグ

Linux

Defender for Endpoint on Linux、更新後の再起動でサービスが停止するバグ

Microsoftのセキュリティ製品がLinuxサーバーの防御を自ら解除した。影響ビルドは全対応ディストリビューションから撤去され、修正版が公開されている。 更新がセキュリティを消す Microsoft Defender for Endpoint on Linuxに、アップグレードまたは再インストール後の再起動でDefenderサービスが無効化されるバグが見つかった。影響を受けたのはビルド101.26042.0000から101.26042.0009で、サポート対象の全Linuxディストリビューションに及ぶ。Microsoftのリリースノートによると、影響ビルドは本番チャネルからすべて撤去され、新規インストールにも使えなくなっている。 アップグレードの過程でDefenderサービスの自動起動設定が失われ、再起動後にサービスが立ち上がらなくなる。端末はそのまま稼働を続けるが、保護は機能していない。mdatp healthコマンドで手動確認しなければ、管理者はこの状態に気づけない。 Defender for Servers（Plan 1/2）とDefender for Cloudを
Microsoft初のサイバー防御AI、コスト半分で首位主張

AI

Microsoft初のサイバー防御AI、コスト半分で首位主張

Microsoftがサイバーセキュリティ特化の自社AIモデルとエージェント防御システムを発表した。コスト半分でベンチマーク首位を主張する一方、リリース前に独立テスターへモデルを共有していない。 コスト半分、ベンチマーク首位を主張 Microsoftが発表したMAI-Cyber-1-Flashは、同社の推論モデル「MAI-Thinking-1」をベースにサイバーセキュリティ用途へ特化したコンパクトなモデルだ。顧客のハッキングインシデント対応で数十年かけて蓄積したデータで訓練されている。 5月に発表済みの脆弱性発見・修復ハーネス「MDASH」に組み込まれ、クエリの約90%を処理する。残り10%の高難度タスクはOpenAIのGPT-5.4が引き受ける。 CyberGymベンチマーク（UC Berkeleyが開発。1,507件の実在脆弱性を用いる）でのMicrosoft自己申告スコアは以下の通り。 * MDASH（MAI-Cyber-1-Flash + GPT-5.4）：95.95% * GPT-5.5 Cyber（OpenAI）：85.6% * Mythos 5（
教皇の祈りアプリ、71万人の個人情報が丸見えに

セキュリティ

教皇の祈りアプリ、71万人の個人情報が丸見えに

祈るためにメールアドレスと名前を預けた71万人のデータが、URLの数字を1つ変えるだけで取れる状態にある。半年以上、誰も直さない。 認証なしで全ユーザーの情報を返すAPI Click To Prayは、教皇が公認するカトリックの公式祈りアプリで、7言語に対応し、iOS、Android、Webで利用できる。2026年7月時点で71万9,517件の登録アカウントを持つ。運営は教皇の世界祈りのネットワーク（Pope's Worldwide Prayer Network）。 開発を担ったのはバルセロナ、ブエノスアイレス、ローマに拠点を持つコミュニケーション会社La Machiで、2019年にフランシスコ教皇がサン・ピエトロ広場でタブレットを掲げてダウンロードを呼びかけたアプリでもある。 そのClick To Prayに、セキュリティ研究者BobDaHackerが深刻な脆弱性を発見した。 アカウント登録時にユーザーへ割り振られるIDは連番の数字で、APIエンドポイント GET https://api.clicktopray.org/user/users/{id} に任意のIDを投げる
GNOME、セキュリティ開示を90日から30日に短縮

セキュリティ

GNOME、セキュリティ開示を90日から30日に短縮

AI生成の脆弱性報告が大半を占める状況を受け、GNOMEがセキュリティ情報の開示ポリシーを改定する。担当者は11月での退任も表明した。 90日の形骸化 GNOMEのセキュリティイシュー追跡を担うマイケル・カタンザロ氏（Michael Catanzaro）が7月20日、脆弱性報告の開示期限を90日から30日に短縮すると発表した。2026年8月1日以降に報告されたイシューに適用される。 業界標準の90日は、GNOMEの実態に合っていなかった。カタンザロ氏によれば、メンテナーの対応は二つに分かれる。報告から1〜3週間で修正するか、まったく修正しないか。 90日間の猶予を設けても、メンテナーがその時間を活かすことはほぼなかった。修正が入るか期限が来るかのどちらかが先に起き、修正される場合は最初の数週間で片がつく。残りの期間は機密を維持しているだけで、誰の役にも立っていなかった。 カタンザロ氏自身、AI生成報告の増加がなくても「短い期限の方がGNOMEには合う」と述べており、今回の短縮はAI対応策にとどまらない判断だと位置づけている。 AI禁止ポリシーとの衝突 変更はもう一つあ
See all