脆弱性

Defenderのゼロデイ2件、すでに攻撃で使われていた

セキュリティ

Defenderのゼロデイ2件、すでに攻撃で使われていた

セキュリティソフトが攻撃の足場になる。その現実が、また一つ記録に加わった。 守るソフトの中に穴があった Microsoftが5月21日（日本時間）、Microsoft Defenderに存在する2件のゼロデイ脆弱性に対する修正パッチの配布を始めた。どちらも発見時点ですでに実際の攻撃で使われていた。 1件目はCVE-2026-41091。MicrosoftのマルウェアスキャンエンジンであるMalware Protection Engineのバージョン1.1.26030.3008以前に存在する特権昇格の脆弱性だ。シンボリックリンク——ファイルシステム上で別の場所を指す「近道」のようなもの——の処理に問題があり、ローカルの攻撃者が SYSTEM 権限、つまりWindowsで最も強い管理者権限を手に入れられる。CVSSスコアは 7.8（高）。 2件目はCVE-2026-45498。Microsoft Defender Antimalware Platformのバージョン4.18.26030.3011以前が対象で、こちらはサービス運用妨害（DoS）の脆弱性だ。ローカルで細工したファイル
BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開

Windows

BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開

Windows標準の暗号化機能BitLockerをUSBメモリ1本で解除できるゼロデイ脆弱性「YellowKey」。Microsoftはパッチをまだ提供できていないが、攻撃を防ぐ緩和策を公開した。ノートPCを紛失した時にデータを守る最後の砦に、すり抜けられる穴が見つかった問題だ。 YellowKeyとは何か Windows 11およびWindows Server 2022/2025に存在するゼロデイ脆弱性で、BitLockerで暗号化されたドライブへの侵入を回復キーも専用機材も使わずに可能にする。5月12日に「ナイトメア・エクリプス（Nightmare-Eclipse）」を名乗るセキュリティ研究者が概念実証コード（PoC）を公開した。 攻撃の手順は単純だ。特定のフォルダ構造「FsTx」を書き込んだUSBメモリをターゲット機に接続し、Windowsの回復環境（WinRE）に再起動。その後Ctrlキーを押し続けるだけで、BitLockerを無視したコマンドプロンプトが開く。 YellowKey 攻撃の流れ 1
Mythosの脅威情報、Anthropicが外部共有を解禁

AI

Mythosの脅威情報、Anthropicが外部共有を解禁

Anthropicが方針を転換した。同社のAIモデルMythosで発見されたサイバー脅威の情報を、パートナー企業が外部と共有できるようになる。守りの時間稼ぎは、次の段階に入った。 機密保持から情報共有へ Anthropicは先週、Project Glasswingのパートナー企業に対し、Mythosで発見したサイバー脅威の情報を外部と共有してよいと通知した。プログラムへの参加自体を公表することも許可されている。 4月7日にMythos Previewを発表した当初、パートナー企業は機密保持契約のもとで運用していた。発見した脆弱性の情報は社外に持ち出せず、Glasswingの輪の中だけで処理される仕組みだった。攻撃者に情報が渡るリスクを懸念したパートナー側が、契約時に機密保護を求めた経緯がある。 Anthropicの広報担当者は「パートナー同士、またはGlasswing外の企業と発見内容を共有し、脆弱性のトリアージに役立ててもらうことを全面的に支持する」と述べている。 しかしプログラムが成熟するにつれ、情報を閉じ込めておく弊害が目立ち始めた。Glasswingに参加していない
Linuxカーネル、AI支援バグ報告を公開扱いに

Linux

Linuxカーネル、AI支援バグ報告を公開扱いに

Linuxカーネル7.1のドキュメントに、脅威モデルと「セキュリティバグとは何か」を定義する新規文書が加わった。AI支援で見つけたバグは原則として公開扱い、というカーネル開発陣の苦渋の答えがここに刻まれている。 docs-7.1-fixesに紛れ込んだ大物 リーナス・トーバルズ（Linus Torvalds）が日本時間2026年5月16日にマージしたタグ docs-7.1-fixes は、見出しだけ眺めれば地味な文書修正パッチに見える。ドキュメント担当のジョナサン・コルベット（Jonathan Corbet）からのプルリクエストで、コミット数は5本、変更行数は340行追加・2行削除。コミット履歴の流れの中では小粒に映る。 その中身は、カーネル開発の運用ルールそのものを書き換える内容だった。新規ファイル Documentation/process/threat-model.rst が235行まるごと追加され、既存の security-bugs.rst にも100行を超える追記が入っている。執筆したのはHAProxy開発者にしてLinuxカーネルメンテナのウィリー・タロー（Will
ssh-keysign-pwn対応Linux 7.0.8公開

Linux

ssh-keysign-pwn対応Linux 7.0.8公開

ssh-keysign-pwnを塞いだLinux 7.0.8が5月15日にリリースされ、現役のLTSカーネル6系統もすべて同日に修正版が出揃った。穴は塞がれた、配布版に届くまでが本番だ。 7.0.8と全現役LTSが同日に出揃った グレッグ・クロー＝ハートマン（Greg Kroah-Hartman）は日本時間5月15日夜、Linux 7.0.8の公開をLKMLでアナウンスした。差分は4ファイル・21行追加・7行削除と小さく、コミットログには「ptrace: slightly saner 'get_dumpable()' logic」（多少はまともなget_dumpable()ロジック）の1行だけが書かれている。Linux 7.0.8の正体は、前日にリーナス・トーバルズ（Linus Torvalds）がメインラインへ投入したssh-keysign-pwn対策のパッチを、
Edge「仕様」撤回、起動時のパスワード平文展開を修正へ

セキュリティ

Edge「仕様」撤回、起動時のパスワード平文展開を修正へ

「仕様だ」と突っぱねていたMicrosoftが、わずか2週間で姿勢を変えた。Edgeが起動時に保存パスワードをすべて平文でメモリに展開する挙動を、次回アップデートから廃止する。 2週間で覆った「仕様」回答 Microsoftが、Edgeブラウザの保存パスワード処理を変更している。起動時に全パスワードを復号化してプロセスメモリに常駐させる挙動を、次回の更新から取り止める。同社が当初「仕様（by design）」と回答していた挙動だ。 経緯は短い。ノルウェーのセキュリティ研究者、トム・ヨラン・ソンステビセター・ロニング（Tom Jøran Sønstebyseter Rønning）が4月29日、Palo Alto Networks Norway主催のイベント「BigBiteOfTech」で、Edgeの挙動を公開した。EdgeはChromiumベースのブラウザだが、テストした他のChromium系ブラウザとは違い、Edgeだけが起動した瞬間に保存済みパスワードを全件復号し、セッション中ずっと平文でメモリに保持する。 ロニング氏はこの挙動をMicrosoftに事前報告していた。同社
Exchange OWAに緊急の脆弱性、恒久パッチはまだない

Microsoft

Exchange OWAに緊急の脆弱性、恒久パッチはまだない

オンプレミスのExchange Serverに細工メールでJavaScriptを実行される脆弱性が出た。緩和策は配布されたが副作用が重く、恒久パッチはESU加入状況で扱いが分かれる。 細工メールでJavaScriptが走る、OWAの穴 Microsoftが5月14日(現地時間)にCVE-2026-42897を公開した。Exchange ServerのOutlook Web Access(OWA)に存在するクロスサイトスクリプティング起因の不具合で、CVSSスコアは8.1(High)、Microsoftの公式深刻度は「Critical」。攻略コードの成熟度はFunctional(動作可能)、Exploit Statusは「Exploited:Yes」(悪用済み)と分類されている。 攻撃手順は単純だ。攻撃者が特別に細工したメールを送り、受信者がOWAでそのメールを開き、いくつかの条件が揃ったときに、受信者のブラウザコンテキストで任意のJavaScriptが実行される。Microsoftは「条件」の具体的な内容を明らかにしていない。 Webページ生成時の入力の不適切な無害化(クロス
Linuxカーネル新脆弱性、root所有ファイルが読まれる

Linux

Linuxカーネル新脆弱性、root所有ファイルが読まれる

非特権ユーザがSSHホスト秘密鍵や/etc/shadowを読める脆弱性が公表され、公表時点ではすでに修正コミットがマージされていた。安定版カーネルすべてが影響を受け、5年前にも同じ形がメーリングリストで指摘されていた。 報告と同日にリーナス・トーバルズが修正 Linuxカーネルに、非特権ユーザがroot所有ファイルを読み出せる脆弱性が見つかっている。Qualys（クオリス）が security@kernel に報告し、リーナス・トーバルズ（Linus Torvalds）が修正コミット 31e62c2ebbfd をマージした。5月14日以前のすべての安定版カーネルが影響を受ける。 被害の輪郭がはっきりしている。SSHホスト秘密鍵（/etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key、モード0600）が抜かれる。/etc/shadow も読まれる。rootハッシュをオフラインで解析されれば、特権昇格はその先にある。 ローカルアカウントを持つ攻撃者なら誰でも条件を満たす。共有サーバ、CIランナー、コンテナホスト、踏み台、SSHアクセスを許す環境すべてが
MicrosoftがAIで16件のWindows脆弱性を発見

AI

MicrosoftがAIで16件のWindows脆弱性を発見

「MDASH」と呼ばれる100以上のAIエージェントを連携させた新システムが、Windowsネットワークスタックの深部から4件のクリティカルRCEを掘り出した。脆弱性発見は、もう人間の手作業ではない。 100のAIエージェントが脆弱性を狩る MicrosoftがMDASH(エムダッシュ)と呼ばれる新しい脆弱性発見システムを公開した。100以上の専用AIエージェントを協調動作させ、Windowsのネットワークスタックと認証系から16件の未知の脆弱性を見つけ出したという。 うち4件はクリティカル評価。すべてリモートコード実行に至る欠陥で、WindowsカーネルのTCP/IPスタックやIKEv2サービスといった、企業環境に広く配備されているコア部分を撃ち抜く。発表は5月12日のPatch Tuesday(米国時間)と同時で、該当する欠陥は4月と5月のセキュリティ更新で順次パッチが配布されている。 MDASHを開発したのは、Microsoftの「Autonomous Code Security」(自律コードセキュリティ)チームと、Windows攻撃研究・防御を担う「WARP」チームの
See all