Red Hat

Red Hatの公式npmパッケージ32件が侵害

セキュリティ

Red Hatの公式npmパッケージ32件が侵害

Red Hatが管理するnpmパッケージ32件に、認証情報を根こそぎ奪うマルウェアが仕込まれていた。偽物のパッケージではない。@redhat-cloud-servicesという正規の名前空間に、正規のCI/CDパイプラインを通じて、正規の署名付きで配信された本物の毒だ。 「信頼」そのものが武器になった 2026年6月1日、セキュリティ企業StepSecurityが@redhat-cloud-servicesスコープ配下の複数のnpmパッケージにマルウェアが埋め込まれていることを発見した。影響を受けたのは32パッケージ、96バージョン。合計で週あたり約11万7000回ダウンロードされていたパッケージ群だ。 今回の攻撃で決定的に重要なのは、これがタイポスクワッティング(名前の似た偽パッケージを公開する手口)ではないという点にある。攻撃者はRed Hat従業員のGitHubアカウントを侵害し、RedHatInsightsのGitHubリポジトリに不正なコミットを直接プッシュした。そこからGitHub ActionsのOIDCトークンを悪用して、正規のSLSAプロビナンス認証（ビルドの
AIが暴いたX.Orgの脆弱性9件、終わらない13年

セキュリティ

AIが暴いたX.Orgの脆弱性9件、終わらない13年

X.Org Serverに9件のセキュリティ脆弱性が公開された。修正版のxorg-server 21.1.23とXWayland 24.1.12がリリースされている。注目すべきは発見の経緯で、9件中8件をトレンドマイクロのAIセキュリティ研究プラットフォーム「TrendAI Zero Day Initiative」が検出した。残る1件はRed Hatのピーター・フッテラー（Peter Hutterer）氏による報告。レガシーコードに眠り続けた脆弱性を、AIが一気に掘り起こした形だ。 13年前の「大惨事」宣言、その後 2013年、セキュリティ研究者のイリヤ・ファン・スプルンデル（Ilja van Sprundel）氏が第30回Chaos Communication Congress（30C3）で発表した内容は、X.Orgコミュニティに衝撃を与えた。X.Org Serverのセキュリティは「大惨事（disaster）」であり「
Microsoftが「Copy Fail」に異例の警告

Linux

Microsoftが「Copy Fail」に異例の警告

732バイトのPythonスクリプトで、Linuxの一般ユーザーが管理者権限を奪える。2017年から9年間潜んでいたこの欠陥は、人ではなくAIスキャナーがわずか1時間で見つけ出した。Microsoftまでもが警告に動いた理由がここにある。 Microsoftが「Linuxの脆弱性」を警告するという異例の事態 Linuxカーネルに、主要ディストリビューションすべてを直撃する権限昇格の欠陥が公開されている。識別子は CVE-2026-31431 、通称「Copy Fail」。CVSSスコアは7.8（HIGH）で、2026年4月29日にセキュリティ企業Theori（テオリ）が詳細を公開した。 異例なのは、Microsoftが自社のセキュリティブログでこの欠陥に関する詳細な警告を出している点だ。Microsoft Defender XDRに検出シグネチャを実装し、Microsoft自身がLinux運用者に対して「即時パッチ適用」を呼びかけている。米国土安全保障省のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も2026年5月1日付で、悪用が確認された脆弱性をまとめ
See all