脆弱性

WordPressコアにRCE脆弱性、数千万サイトが標的に

WordPress

WordPressコアにRCE脆弱性、数千万サイトが標的に

WordPressの根幹にあたるコアコードに、認証なしで任意のコードを実行できる脆弱性が見つかった。パッチ公開から3日、すでに攻撃が始まっている。 プラグインではない。コアが破られた WordPressの脆弱性といえば、通常はプラグインやテーマが原因になる。今回は違う。 7月17日に公表された2件の脆弱性は、WordPressコア自体に存在する。CVE-2026-63030はREST APIのバッチエンドポイントにおける経路混同（route confusion）、CVE-2026-60137はWP_Queryクラスのauthor__not_inパラメータにおけるSQLインジェクション。この2つを連鎖させると、ログインもプラグインも必要なく、匿名の攻撃者がサーバー上で任意のコードを実行できる。RCE（リモートコード実行）と呼ばれる、サイトの完全な乗っ取りにつながる脆弱性だ。 セキュリティ企業Searchlight Cyberの研究者アダム・キューズ（Adam Kues）氏がこの脆弱性を発見し、WP2Shellと名付けた。キューズ氏はWordPressのHackerOneプログラ
AIコーディングツール4種にサンドボックス脱出の欠陥

セキュリティ

AIコーディングツール4種にサンドボックス脱出の欠陥

Cursor、Codex CLI、Gemini CLI、Antigravity。AIにコードを書かせるための主要ツール4つから、サンドボックスの外へ抜け出す手段が見つかった。しかもエージェントはルールを一切破っていない。 ファイルが「外」で走る AIコーディングエージェントのセキュリティは、ひとつの前提に支えられてきた。エージェントはプロジェクトのワークスペース内で自由に動けるが、その外にあるホストOSは保護される、という線引きだ。 イスラエルのAIセキュリティ企業Pillar Securityが、この前提を7つの脆弱性で崩した。研究チームのアイロン・コーヘン（Eilon Cohen）氏、ダン・リシチキン（Dan Lisichkin）氏、アリエル・フォーゲル（Ariel Fogel）氏が数カ月かけて再現し、7月20日に公開した。1日1件ずつ詳細を出す「Week of Sandbox Escapes」（サンドボックス脱出の1週間）と題したシリーズだ。 攻撃の構造は、サンドボックスの壁を直接叩くものではない。 エージェントはワークスペース内でファイルを書く。それ自体はサンドボッ
7-Zip、XZ圧縮処理のRCE脆弱性を修正 CVSS 7.0

セキュリティ

7-Zip、XZ圧縮処理のRCE脆弱性を修正 CVSS 7.0

7-Zipのバージョン26.02で、XZ形式の圧縮データ処理に存在するリモートコード実行脆弱性が修正された。自動更新機能がなく、ユーザーは手動で更新する必要がある。 脆弱性の中身 トレンドマイクロのZero Day Initiative（ZDI）が2026年7月15日にアドバイザリZDI-26-444を公開した。CVE-2026-14266、CVSSスコアは7.0（High）。 7-ZipがXZ形式のチャンクデータを処理する過程で、細工された圧縮データがヒープベースのバッファオーバーフローを引き起こす。ヒープ領域（プログラムが実行時に動的に確保するメモリ）の境界を越えた書き込みがメモリ破壊につながり、攻撃者が現在のプロセスの権限で任意コードを実行できる可能性がある。 Lunbun LLCのランドン・ペン（Landon Peng）氏が発見し、2026年6月5日に7-Zip開発者へ報告。ZDIによる協調開示は7月15日に実施されている。 悪用には操作が必要 悪用にはユーザー操作が必要で、攻撃者は細工したアーカイブファイルを被害者に開かせるか、悪意あるWebページへ誘導する必
Microsoft、WSUS全版で同期障害を確認 メタデータ蓄積が原因

Microsoft

Microsoft、WSUS全版で同期障害を確認 メタデータ蓄積が原因

企業のパッチ配信を支える仕組みが、週末を前に止まった。Microsoftはサーバー側の修復を進めているが、復旧時期は未定。 何が起きているか Microsoftは7月17日、WSUS（Windows Server Update Services）でサービス劣化が起きていることをWindows Release Health（リリース正常性）ダッシュボードで公表した。企業のWSUSサーバーで同期時間が大幅に伸びるか、同期そのものがタイムアウトする。 WSUSは、組織のIT管理者がMicrosoft製品の更新プログラムを社内ネットワーク経由で一括配信するための仕組みだ。承認した更新だけを、指定したタイミングで届けられる。 数千台の端末が一斉にインターネットから更新を取りに行く代わりに、WSUSサーバーが1回だけダウンロードして社内に配る。帯域の節約、更新前の検証、配信タイミングの制御。企業ネットワークの更新管理における基本インフラだ。 その同期機能が止まれば、7月の月例更新（Patch Tuesday）を含む最新のセキュリティパッチを端末に届ける手段が失われる。 メタデータの
Windowsゼロデイ「LegacyHive」制限付きPoCで公開

セキュリティ

Windowsゼロデイ「LegacyHive」制限付きPoCで公開

Nightmare Eclipse氏がWindowsの権限昇格ゼロデイ「LegacyHive」を公開した。公開版PoCは意図的に制限されているが、複数の研究者が管理者権限への到達を確認している。 570件のパッチを抜けて 7月14日のPatch Tuesdayで、Microsoftはセキュリティ脆弱性570件を修正した。過去最大規模の月例更新だ。 その数時間後、Nightmare Eclipse氏がWindowsの新たなゼロデイ「LegacyHive」の実証コード（PoC）をGitHubに公開した。対象はWindowsユーザープロファイルサービス（ProfSvc）。サインイン時にユーザープロファイルを読み込むコンポーネントだ。 この脆弱性を突くと、別のユーザーのレジストリハイブ（Windowsやアプリケーションの設定を格納するファイル）を不正にマウントできる。CVEは割り当てられていない。 全サポート中のWindows（デスクトップ・サーバ）で動作する。7月のパッチを当てた直後の環境でも防げない。 制限されたPoC、制限されていない本体 今回のLegacyHiveには
Microsoft、Mythos対抗のAIセキュリティ製品を準備

AI

Microsoft、Mythos対抗のAIセキュリティ製品を準備

AIが発見する脆弱性の件数が急増するなか、Microsoftが顧客向けの対抗製品を今月にも投入するという。 「Project Perception」の輪郭 MicrosoftがAIを使った脆弱性発見の新製品を準備していることが、The Informationの報道で明らかになった。社内コードネームはProject Perception。今月中にもローンチする可能性があるという。 AnthropicのClaude Mythos Previewと同様に、ソフトウェアの脆弱性を自動で発見・修正する能力を企業に提供する。Mythos PreviewはProject Glasswingを通じて限定公開され、1万件以上の高深刻度の脆弱性を発見してきたが、運用コストの高さが課題とされている。 PerceptionはMicrosoft、OpenAI、AnthropicのAIモデルを組み合わせ、タスクごとに最適なモデルを選ぶモデルルーター方式を採用する。コストを抑えながら同等の能力を実現するのが狙いだ。 価格は未定とされている。 MDASHの延長線上にあるもの この製品がまったく新しい
Zoom、認証不要のアカウント乗っ取り脆弱性を緊急修正

セキュリティ

Zoom、認証不要のアカウント乗っ取り脆弱性を緊急修正

Zoomが緊急のセキュリティアップデートを公開した。Windows版Zoom Workplaceに見つかった脆弱性は、攻撃者がクリックも認証も必要とせずにアカウントを奪取できる、CVSS 9.8の深刻なものだった。 ネットワーク到達だけで成立する Zoomが現地時間7月14日に公開したセキュリティ速報によると、Windows版Zoom WorkplaceとZoom Workplace VDI Clientに不適切な入力検証の脆弱性が存在する。CVE-2026-53412として登録され、CVSSスコアは9.8。10点満点に近いこの数字の意味を、CVSSベクトルから分解する。 攻撃経路はネットワーク（AV:N）。攻撃の複雑さは低い（AC:L）。権限は不要（PR:N）。ユーザー操作も不要（UI:N）。機密性・完全性・可用性のすべてに高い影響がある。 攻撃者はターゲットのネットワークに到達できれば、パスワードを知らなくても、被害者がリンクをクリックしなくても、アカウントを乗っ取れる。深刻度を決める条件がほぼすべて最悪方向に揃っている。 Zoomは技術的な詳細を公開していない。脆弱性
Microsoftがパッチ適用の推奨を厳格化。延期は3日以下に

Microsoft

Microsoftがパッチ適用の推奨を厳格化。延期は3日以下に

Microsoftが、Windows更新プログラムの展開に関する推奨基準を大幅に厳格化した。品質更新プログラムの延期期間は3日以下、適用期限は0日か1日、猶予期間は最大2日。AIによる脆弱性発見と攻撃コード生成の高速化を受け、従来の「数週間様子を見る」運用は危険だと警告している。 Microsoftは2026年7月8日、公式動画シリーズMicrosoft Mechanicsを通じて、Windows更新プログラムの展開戦略に関する新たな指針を公開した。 背景にあるのは、AIが脆弱性の発見と悪用を加速させている現実だ。Microsoftが月例更新で対処した脆弱性は2026年4月以降増え続け、6月には206件に達した。Microsoft自身も、100を超える専門AIエージェントが連携して脆弱性を探索・検証するシステム「MDASH」を運用しており、5月のパッチチューズデーに先立ちWindowsのネットワーキングおよび認証スタックから16件の未知の脆弱性を検出している。うち4件はクリティカルなリモートコード実行の欠陥だった。 防御側がAIで脆弱性を見つけられるなら、攻撃側も同じ手段を使える
BlueHammer、ランサムウェアに転用。CISAが警告

セキュリティ

BlueHammer、ランサムウェアに転用。CISAが警告

4月に修正済みのWindows Defenderの権限昇格脆弱性が、2か月半後のいまランサムウェア攻撃に使われている。パッチ未適用の端末で身代金を要求される事態が、現実になった。 パッチ公開から77日、悪用は止まらなかった 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間6月30日、Windows Defenderの権限昇格脆弱性CVE-2026-33825（通称BlueHammer）について、KEV（悪用が確認された脆弱性）カタログのランサムウェア欄を「確認済み」に更新した。 BlueHammerは4月初旬にセキュリティ研究者ナイトメア・エクリプス（Nightmare Eclipse）が実証コードとともに公開し、Microsoftが4月14日の月例パッチで修正した脆弱性だ。CISAは4月22日の時点でKEVカタログに追加し、連邦機関に5月7日までの対処を命じていた。今回の更新は、当初のゼロデイ悪用に加え、ランサムウェア攻撃への転用が確認されたことを意味する。 BlueHammer（CVE-2026-33825）経緯 4月3日実証コード公開
Beats Studio Buds、盗聴可能な脆弱性をAppleが修正

セキュリティ

Beats Studio Buds、盗聴可能な脆弱性をAppleが修正

毎日使っているワイヤレスイヤホンが、Bluetoothの電波が届く距離にいる第三者の盗聴器に変わる。6月16日、AppleはBeats Studio Budsのファームウェアを更新し、そんな脆弱性を修正した。 Bluetooth圏内にいるだけで盗聴される Appleが公開したセキュリティアドバイザリによると、Beats Studio Budsにはペアリング待機中にBluetooth通信圏内の攻撃者がマイクを通じて音声を盗聴できる脆弱性が存在していた。 脆弱性の識別番号はCVE-2025-20701。Appleはアドバイザリの中で「オープンソースコードに存在する脆弱性であり、Appleのソフトウェアは影響を受けるプロジェクトの一つ」と説明している。問題の根はApple独自の設計ではなく、採用しているチップのソフトウェアにある。 AppleはBeatsファームウェアアップデート1B211でこの修正を配信しており、Beats Studio BudsをiPhone、iPad、またはMacとペアリングしてBluetooth圏内に置いておけば自動で適用される。Androidの場合はBea
Defenderのゼロデイ「RoguePlanet」にCVE割り当て。パッチはまだない

セキュリティ

Defenderのゼロデイ「RoguePlanet」にCVE割り当て。パッチはまだない

Microsoftは現地時間6月16日、Defenderのゼロデイ脆弱性「RoguePlanet」にCVE-2026-50656を割り当て、パッチを準備中であることを明らかにした。公開から1週間、脆弱性の存在を正式に認めたことになる。ただし修正の提供時期は示されておらず、発見者のクレジットもない。 1週間の沈黙を経て RoguePlanetが公開されたのは6月10日、月例パッチの数時間後だった。セキュリティ研究者Nightmare Eclipse氏が自前のGitリポジトリに実証コードを投稿し、複数の第三者が最新パッチ適用済みのWindows 10/11でSYSTEM権限の奪取を再現した。Defenderの内部処理に存在するレースコンディション（ファイルパスの検証と実行の間に生じるタイミングの隙）を突く手法で、リアルタイム保護の有効・無効を問わず動作する。 Microsoftはその時点で「調査中」とだけ回答していた。それから1週間。6月16日に公開されたアドバイザリで、MicrosoftはようやくCVE-2026-50656を割り当てた。CVSS 7.8（High）、深刻度はIm
Microsoft 365 Copilot、リンク1クリックで社内データが流出する脆弱性が存在した

セキュリティ

Microsoft 365 Copilot、リンク1クリックで社内データが流出する脆弱性が存在した

細工されたリンクを1回クリックするだけで、メール・予定表・OneDrive・SharePointの情報が外部に流出する。そんな脆弱性チェーンがMicrosoft 365 Copilot Enterprise Searchに存在していた。CVE-2026-42824として登録され、深刻度はCritical。Microsoftは6月初旬に修正を完了しておりユーザー側の対応は不要だが、AIが社内データの検索窓口になることのリスクを改めて突きつける事例となった。 「SearchLeak」の仕組み この脆弱性チェーンを発見したのは、データセキュリティ企業バロニス（Varonis）の研究者ドレヴ・ターレル（Dolev Taler）氏。「SearchLeak」と名付けられたこの手法は、単体では致命的にならない3つの欠陥を組み合わせることで成立する。 狙われたのは、通常のCopilotとは別のCopilot Enterprise Searchだ。コンテンツを生成する通常のCopilotに対し、Enterprise Searchは社内のメール・会議・SharePointファイル・OneDrive
AMDの自動更新ツール脆弱性、修正に124日。報奨金はゼロ

セキュリティ

AMDの自動更新ツール脆弱性、修正に124日。報奨金はゼロ

2月に報じたAMDの自動更新ツールの脆弱性が、ようやく修正された。ただし「修正された」の裏側に、4か月間の沈黙と報奨金の拒否、そして修正そのものの品質への疑問が残る。 「スコープ外」から一転、修正へ 2026年1月27日、ニュージーランドのセキュリティ研究者ポール（MrBruh）が、AMDの自動更新ツールに脆弱性を発見した。ドライバーのダウンロードにHTTPが使われており、中間者攻撃でリモートコード実行が可能だった。ダウンロードされたファイルの署名検証も行われていなかった。 2月6日にAMDのバグバウンティプログラムに報告したところ、即日「中間者攻撃はスコープ外」として却下された。ポールがブログで脆弱性を公開し、Hacker Newsで注目を集めると、翌日にはAMD PSIRT（製品セキュリティ対応チーム）から「内部で再検討する」と連絡が入った。ネット上の反響がなければ、修正されなかったかもしれない。 報奨金は出さないが、口は閉じてほしい AMD側はポールに対し、CVEの発行と研究者としてのクレジットを約束した。だが報奨金の支払いは拒否した。「オプションのツールであり、中
Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下

セキュリティ

Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下

Microsoftが過去最大規模の月例パッチを配信した、まさにその日だった。セキュリティ研究者Nightmare Eclipse氏が、Microsoft Defenderのゼロデイ脆弱性「RoguePlanet」の実証コードを公開した。Windows 10/11の最新パッチ適用済み環境でSYSTEM権限が奪われることが、第三者の検証でも確認されている。CVEは未割り当て。パッチは存在しない。 7本目の刃 Nightmare Eclipse氏がWindows関連のゼロデイを公開するのは、これで7本目になる。 4月のBlueHammer（CVE-2026-33825）に始まり、RedSun、UnDefend、YellowKey、GreenPlasma、MiniPlasmaと、約2か月で6本の脆弱性を立て続けに公開。いずれもMicrosoftへの事前通知なし、いわゆる「協調的脆弱性開示」を経ない公開だった。そのうちBlueHammer、RedSun、UnDefendの3本は実際の攻撃で悪用が確認され、CISAのKEV（既知の悪用済み脆弱性）カタログにも追加されている。 6月10日（
See all