脆弱性

Chromeに今年5件目の実悪用ゼロデイ、V8に脆弱性

セキュリティ

Chromeに今年5件目の実悪用ゼロデイ、V8に脆弱性

Googleは6月9日、Chrome向けの緊急アップデートを公開した。JavaScriptエンジン「V8」に存在するゼロデイ脆弱性（CVE-2026-11645）が実際の攻撃に使われていることが確認されたためで、2026年に入ってから実悪用が確認されたChromeのゼロデイとして5件目になる。 攻撃で悪用されていた脆弱性の中身 今回修正されたCVE-2026-11645は、ChromeのJavaScriptエンジンV8における範囲外読み書き（out-of-bounds read and write）の脆弱性だ。細工されたHTMLページにアクセスするだけで、攻撃者がブラウザのサンドボックス内で任意のコードを実行できる可能性がある。 悪用に成功すると、メモリバッファの境界を越えてデータが読み書きされ（ヒープ破壊）、本来アクセスできないはずの情報が漏れたり、ブラウザがクラッシュしたりする。さらにASLRをはじめとした保護機構を回避する踏み台にもなるため、深刻度の評価は「High（高）」とされた。 この脆弱性は4月27日に匿名の外部研究者がGoogleに報告しており、バグバウンティと
VS Codeのゼロデイ、リンク1つでGitHubトークンが盗まれる

セキュリティ

VS Codeのゼロデイ、リンク1つでGitHubトークンが盗まれる

Microsoftの脆弱性対応に失望した研究者がまた一人、協調的開示を放棄した。今度はVS Codeだ。github.devのリンクを1回クリックするだけで、GitHubのOAuthトークンが丸ごと抜かれる脆弱性が、事前通告なしで公開された。 研究者が選んだ「1時間前通告」 セキュリティ研究者のアンマル・アスカル（Ammar Askar）氏が6月2日、VS Codeのゼロデイ脆弱性を自身のブログで公開した。GitHubのセキュリティ担当者に連絡したのは、公開のわずか1時間前。MSRCへの報告は行っていない。 アスカル氏はジョージア工科大学所属のセキュリティ研究者で、GitHub公式ブログでバグバウンティプログラムのトップコントリビューターとして紹介された実績を持つ。素性不明の人物ではない。 協調的開示を飛ばした理由を、アスカル氏は明確に述べている。2023年にVS CodeのRCE脆弱性をMSRCに報告した際、Microsoftは黙ってパッチを適用し、クレジットを一切与えず、「セキュリティ上の影響なし」と分類した。バグバウンティも不適格と判定された。その経験から、VS Cod
AIが見つけた「HTTP/2 Bomb」の衝撃

セキュリティ

AIが見つけた「HTTP/2 Bomb」の衝撃

家庭の回線1本で、Webサーバーが数十秒で沈む。6月2日に公開されたHTTP/2 Bombと呼ばれる新しいDoS攻撃は、nginx、Apache HTTPD、Microsoft IIS、Envoy、Cloudflare Pingoraという主要Webサーバーソフトウェアのデフォルト設定に刺さる。セキュリティ企業Califの研究者がOpenAIのCodexを使い、10年前から知られていた2つの手法を組み合わせて発見した。 10年前の技術2つを「組み合わせた」 セキュリティ企業Califが公開した技術的詳細によると、HTTP/2 Bombは2つの既知の攻撃手法を組み合わせたものだ。 1つ目はHPACK圧縮爆弾。HTTP/2ではヘッダーの圧縮にHPACKという仕組みを使う。送信側が一度テーブルに登録したヘッダーを、以降は1バイトのインデックス参照で繰り返し呼び出せる。受信側のサーバーはそのたびにヘッダー全体をメモリ上に展開する。ワイヤ上の1バイトがサーバー側で数十～数千バイトの割り当てに化ける。 2つ目はSlowloris型の接続保持。HTTP/2のフロー制御ウィンドウをゼロバイト
Microsoftが折れた、ゼロデイ騒動の裏側

セキュリティ

Microsoftが折れた、ゼロデイ騒動の裏側

6週間で6件のWindowsゼロデイを公開し続けた匿名研究者に対し、Microsoftが法的措置を示唆して業界から総批判を浴びた一件。週末を挟んで、Microsoftはトーンを一変させた。だが問題は沈静化するどころか、新たな段階に入りつつある。 5月27日の声明が招いた炎上 経緯を手短に振り返る。Nightmare Eclipseを名乗る研究者が4月初旬からWindowsのゼロデイ脆弱性を次々と公開してきた件は既報の通りだ。BlueHammer（CVE-2026-33825）、RedSun（CVE-2026-41091）、UnDefend（CVE-2026-45498）、YellowKey（CVE-2026-45585）、GreenPlasma、MiniPlasma。計6件。いずれもMicrosoft DefenderやBitLockerといったWindowsの防御機構の根幹を突く脆弱性で、うち3件はCISAが悪用確認済みとしてKEVカタログに追加している。 Nightmare Eclipse事件の経緯 4月
Androidに標的型ゼロデイ攻撃、6月の更新で124件修正

セキュリティ

Androidに標的型ゼロデイ攻撃、6月の更新で124件修正

Googleが2026年6月のAndroidセキュリティアップデートを公開した。修正された脆弱性は124件。そのうち1件は、すでに標的型攻撃での悪用が確認されたゼロデイだ。 悪用が確認された脆弱性の正体 今回の目玉は CVE-2025-48595 である。Androidのフレームワーク層に存在する権限昇格（EoP）の脆弱性で、整数オーバーフローに起因する。CVSSスコアは8.4。Android 14以降のすべてのバージョン（14、15、16、16-qpr2）が影響を受け、悪用にユーザー操作は不要、追加の実行権限も必要としない。 Googleはセキュリティ速報で、この脆弱性について「限定的かつ標的を絞った悪用の兆候がある」と記した。技術的な詳細や攻撃の具体像は明かしていないが、同種の脆弱性はこれまで商用スパイウェアや国家支援型の攻撃者によって、ジャーナリストや政府関係者といった特定の人物を狙う形で使われてきた。 問題は「限定的」という表現だ。Googleはゼロデイの悪用報告にこの文言を常用するが、商用スパイウェアによるターゲティングは発覚が難しく、実際の被害規模は公表される数字
Linuxに19年潜んだ権限昇格の欠陥が発覚。脆弱性「CIFSwitch」CVE未割り当て

セキュリティ

Linuxに19年潜んだ権限昇格の欠陥が発覚。脆弱性「CIFSwitch」CVE未割り当て

Linuxカーネルのファイル共有機能に、2007年から19年間にわたって潜伏していた権限昇格の脆弱性「CIFSwitch」が公開された。Linux Mint、CentOS Stream 9、Rocky Linux 9など複数のディストリビューションが標準設定のまま影響を受け、一般ユーザーがroot権限を取得できてしまう。カーネル側の修正パッチはすでにstableキューに入っているが、ディストリビューションごとの適用状況はまちまちだ。 19年間、誰も気づかなかったロジックバグ SpaceXのセキュリティエンジニアであるアシム・マニザダ（Asim Viladi Oglu Manizada）氏が5月27日に公開したこの脆弱性は、Linuxカーネルの CIFSクライアントと、ユーザー空間のヘルパーツール cifs-utils の境界 に存在する。CIFS（Common Internet File System）はWindowsのファイル共有で広く使われるSMBプロトコルのLinux実装だ。CVE番号は5月31日時点でまだ割り当てられていない。 Kerberos認証を使うCIFSマウント
Windowsゼロデイ6件、業界が問うMSRCの崩壊

セキュリティ

Windowsゼロデイ6件、業界が問うMSRCの崩壊

4月から6週間で6件のWindowsゼロデイを世に放った匿名の研究者と、法的措置を示唆して応じたMicrosoft。この対立の底にあるのは、セキュリティ研究者との「信頼」を自ら壊してきた企業の姿だ。 6週間、6件のゼロデイ 2026年4月2日、Nightmare Eclipse（別名Chaotic Eclipse）を名乗る匿名のセキュリティ研究者が、Windows Defenderの特権昇格脆弱性「BlueHammer」の実証コードをGitHubに公開した。協調的脆弱性開示（CVD）のプロセスを経ていない、事前通告なしの公開だった。 それから6週間で、公開されたゼロデイは計6件に膨れ上がった。 BlueHammer（CVE-2026-33825）はWindows Defenderの脅威修復エンジンに存在するTOCTOU（検査と使用の間の競合状態）を突く。4月14日のPatch Tuesdayで修正済み。RedSun（CVE-2026-41091）はDefenderのマルウェア対策エンジンにおけるリンク解決の不備を突き、SYSTEM権限を奪取する。UnDefend（CVE-20
7-Zip、開くだけで乗っ取られる深刻な脆弱性CVE-2026-48095、修正版26.01へ更新を

セキュリティ

7-Zip、開くだけで乗っ取られる深刻な脆弱性CVE-2026-48095、修正版26.01へ更新を

PCに入っている圧縮ソフト、最後にいつ更新しただろうか。7-Zipにファイルを開くだけで任意コード実行に至る脆弱性（CVE-2026-48095）が見つかった。CVSSスコアは8.8。修正版の26.01はすでに4月27日にリリースされているが、問題は7-Zipに自動更新機能が存在しないことだ。
Ghost CMSの脆弱性、大規模攻撃の踏み台に

Ghost CMS

Ghost CMSの脆弱性、大規模攻撃の踏み台に

パッチ未適用のGhostサイトが次々と侵害されている。ハーバード大学やオックスフォード大学を含む700以上のドメインが、偽のCloudflare認証画面を使ったマルウェア配布の「共犯者」に仕立て上げられた。 3か月放置された脆弱性が招いた事態 Ghost CMSに存在するSQLインジェクション脆弱性CVE-2026-26980が、大規模なClickFix攻撃キャンペーンに悪用されている。 この脆弱性はContent APIのスラッグフィルター処理に起因し、認証なしでデータベースの任意のデータを読み取れる。CVSSスコアは 9.4 （Critical）。影響範囲はバージョン3.24.0から6.19.0までと広く、修正版の6.19.1は2月19日にリリース済みだ。 問題は、多くのサイト管理者がこの修正を適用しなかったことにある。修正公開から 3か月が経過 した5月の時点で、大量のGhostサイトが未パッチのまま放置されていた。攻撃者にとっては、鍵のかかっていない扉が並ぶ街並みのようなものだった。 CVE-2026-26980は、Anthropicの研究者ニコラス・カーリニ（Ni
Project Glasswing、1ヶ月で脆弱性1万件超を発見

AI

Project Glasswing、1ヶ月で脆弱性1万件超を発見

脆弱性を「見つける速さ」の問題は、もう終わった。次の課題は「直す速さ」だ。 1ヶ月で変わったセキュリティの前提 アンソロピックのProject Glasswing（プロジェクト・グラスウィング）が開始から約1ヶ月で、想定をはるかに上回る成果を発表した。 同社の非公開AIモデル「Claude Mythos Preview」を使い、約50のパートナー企業と共同で実施したスキャンで、深刻度「高」または「致命的」に分類される脆弱性が 1万件超 発見された。 パートナーの大半は1ヶ月間で各社数百件の脆弱性を特定。複数の企業が「バグ発見速度が従来の10倍以上になった」と報告している。 これまでソフトウェアセキュリティの進歩を制約していたのは、脆弱性をどれだけ速く見つけられるかだった。今やその制約は、見つかった脆弱性を検証し、開示し、パッチを当てる速さに移った。 脆弱性を探す作業はAIが圧倒的なスピードで引き受けるようになった。しかし、そこで見つかったものを処理できるのは、依然として人間だけだ。 パートナー企業の実績数値 クラウドフレアは自社の重要システムで 2,000件のバグ
修正済みのはずがまだある—ChromiumのRCE脆弱性、Googleが誤公開

セキュリティ

修正済みのはずがまだある—ChromiumのRCE脆弱性、Googleが誤公開

Chromiumに2022年から存在する未修正の脆弱性が、Googleの誤操作によってPoC（概念実証コード）ごと公開状態になった。修正済みと記録されていたにもかかわらず、実際には機能したままだった。 ブラウザを閉じても動き続ける 問題の核心は、Chromiumの Background Fetch API にある。大容量ファイルや動画をバックグラウンドでダウンロードし続けるためのこの仕組みは、タブやブラウザを閉じた後もダウンロードを継続できる。 攻撃者はこれを悪用し、終了しないサービスワーカーを生成する悪意あるウェブページを作れる。ユーザーが一度そのページを訪れると、JavaScriptがデバイス上で実行され続け、ブラウザが閉じられた後も攻撃者のサーバーに接続し続ける状態になる。 サービスワーカーとは、ブラウザとサーバーの間に常駐するJavaScriptコンポーネントで、オフライン機能やページの高速化を担う仕組み。本来は利便性のための技術だが、今回の脆弱性ではこれが持続的な接続経路として悪用される。 この状態を利用すれば、乗っ取ったブラウザをDDoS攻撃の踏み台にしたり、悪
GitHubの内部リポジトリ約3800件が流出した経路が判明した

セキュリティ

GitHubの内部リポジトリ約3800件が流出した経路が判明した

VS Code拡張機能の偽バージョンを踏んだ社員1人。それだけで、世界最大のコードホスティングプラットフォームの内部コードが外に出た。 18分間の窓 5月18日、Nx Console 18.95.0の改ざん版がVisual Studio Marketplaceに公開された。そのまま残っていたのは18分間だった。 短い。しかし十分だった。 GitHubの社員が、この拡張機能をインストールした。拡張機能は起動時に静かに動き出し、シェルコマンドを実行した。表向きは「MCPのセットアップタスク」を装ったそのコマンドは、Nxの公式GitHubリポジトリに仕込まれたコミットから隠しパッケージを引き出した。収集されたのは、1Passwordのボールト、npm・GitHubのトークン、AWS認証情報、AnthropicのClaude Codeの設定ファイル（~/.claude/settings.json）だ。 奪った認証情報を使い、攻撃者はCI/CDパイプラインを横移動し、GitHubの内部リポジトリ約3800件を外部に持ち出した。公開から 18分間 で、それだけの被害が確定した。 ウェ
See all