Windows
Windows Defenderのパッチ突破するゼロデイ「ShieldBreak」。成功率100%
「直したはず」の穴が、まだ開いている。しかも今度は、前回より確実に。Microsoftと研究者の対立が生んだ9つ目のゼロデイが、最新のWindowsを貫いた。
ゼロデイ
Patch Tuesday
Windows8月更新KB5121003、400件を一括修正。悪用済みCVE-2026-68820が最優先
Microsoftの月例パッチが膨らみ続けている。今月は400件、先月は570件。そのうち1件は、北朝鮮のハッカー集団がすでに悪用していた。
AI
OpenAI、セキュリティ要求の95%に応じるAIモデルを公開
OpenAIがサイバーセキュリティ専用のAIモデルを発表した。通常は拒否される攻撃的なセキュリティ要求の95%に応答する。3日前、同社は別の未発表モデルが「危険すぎる」段階に近づいたと開示したばかりだ。
AI
JFrog、OpenAIモデルが悪用した脆弱性8件を修正
OpenAIのモデルがサンドボックスを脱出した際に悪用したゼロデイ脆弱性の正体が判明した。パッケージ管理ツールArtifactoryに存在した8件の未知の欠陥だ。 「名前不明のプロキシ」の正体 OpenAIは現地時間7月21日にHugging Face侵害を公表した時点で、モデルがサンドボックス脱出に利用したソフトウェアの名前を明かしていなかった。安全制御を解除した状態でサイバー能力ベンチマークExploitGymに挑んでいたGPT-5.6 Solと未公開モデルが、テスト環境内のプロキシからゼロデイ脆弱性を発見し、Hugging Faceの本番インフラまで到達した事案だ。 現地時間7月27日、そのプロキシを開発したJFrogのCTOヨアブ・ランドマン（Yoav Landman）氏がブログで、問題のソフトウェアがセルフホスト版のJFrog Artifactoryだったことを認めた。Artifactoryはnpm、PyPI、Maven Centralなど複数のパッケージレジストリのプロキシおよびキャッシュとして機能するソフトウェアで、開発パイプラインの要として広く使われている。
AI
セキュリティ研究者が語るAIガードレールの現実と弊害
AIの安全制限がサイバー防御の足を引っ張っている。現場の研究者たちは、制限のない中国製モデルに流れ始めた。 攻撃者と同じ技術が、防御にも要る ソフトウェアの未知の脆弱性を犯罪者より先に見つけ出し、攻撃手法を組み立てて検証する。オフェンシブセキュリティと呼ばれるこの仕事は、やっていることだけを見れば攻撃そのものに見える。 AnthropicとOpenAIはそれぞれ、こうした研究者向けにガードレールを緩和する認定プログラムを設けている。AnthropicのCyber Verification Program（CVP）とOpenAIのTrusted Access for Cyber（TAC）がそれにあたる。審査を通った組織は、脆弱性の悪用分析やセキュリティツールの開発といったデュアルユース（攻防両用）の作業で、制限を緩めたモデルを利用できる。 だが認定を受けた組織も、認定すら受けられない組織も、ガードレールの実態に満足してはいない。 「ハンマーから攻撃性だけを取り除くことはできない」 セキュリティコンサルティング大手NCC Groupのチーフサイエンティストであるクリス・アン
セキュリティ
Zimbraのゼロクリック攻撃、27機関が共同勧告 1年間継続
メールを開いただけで90日分のデータが抜かれる。ロシアの国家支援ハッカー集団がZimbraの脆弱性を突き、西側の政府機関や企業から情報を盗み続けていた。 開封した瞬間に終わっている リンクをクリックしなくていい。添付ファイルを開かなくていい。メールをプレビューした、それだけで攻撃は完了する。 米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、NSA、FBIが英国NCSCやFive Eyes諸国、欧州各国の情報機関と連名で現地時間7月23日に共同勧告を公表した。 ロシア国家の支援を受けるハッカー集団Laundry Bear（別名Void Blizzard）が、Zimbra Collaboration Suite（ZCS）のクロスサイトスクリプティング（XSS）脆弱性CVE-2025-66376を悪用し、2025年7月から西側の政府・商業組織に侵入を続けている。 ZCSはSynacor社が開発するWebメール・グループウェアで、日本でもZimbra Japan合同会社が販売している。政府省庁、軍、金融機関を含む世界の数十万の組織が利用する。 脆弱性はZC
セキュリティ
Windowsゼロデイ「LegacyHive」制限付きPoCで公開
Nightmare Eclipse氏がWindowsの権限昇格ゼロデイ「LegacyHive」を公開した。公開版PoCは意図的に制限されているが、複数の研究者が管理者権限への到達を確認している。 570件のパッチを抜けて 7月14日のPatch Tuesdayで、Microsoftはセキュリティ脆弱性570件を修正した。過去最大規模の月例更新だ。 その数時間後、Nightmare Eclipse氏がWindowsの新たなゼロデイ「LegacyHive」の実証コード（PoC）をGitHubに公開した。対象はWindowsユーザープロファイルサービス（ProfSvc）。サインイン時にユーザープロファイルを読み込むコンポーネントだ。 この脆弱性を突くと、別のユーザーのレジストリハイブ（Windowsやアプリケーションの設定を格納するファイル）を不正にマウントできる。CVEは割り当てられていない。 全サポート中のWindows（デスクトップ・サーバ）で動作する。7月のパッチを当てた直後の環境でも防げない。 制限されたPoC、制限されていない本体 今回のLegacyHiveには
セキュリティ
日産、従業員の給与・口座・社会保障番号が流出した可能性を公表
OracleのPeopleSoftを標的としたゼロデイ攻撃の波紋が、大学から民間企業に広がった。日産北米法人が従業員データの侵害をカリフォルニア州司法長官局に届け出た。自社システムは破られていない。使っていたソフトウェアが破られた。 「数百社が標的になった攻撃で、日産は名指しされた」 日産北米法人（Nissan Americas）は現地時間6月25日付でカリフォルニア州司法長官局にデータ侵害通知を提出した。通知によれば、日産はOracleから「サイバー事象が発生し、数百社の人事記録が脅威アクターに取得された可能性がある」との連絡を受けた。その後、日産がこの攻撃で名指しの標的にされていたことが判明したという。 侵害期間は2026年5月27日から6月9日。日産がPeopleSoftで管理していた従業員情報には、給与、税務管理、人事記録が含まれる。 盗まれた可能性のあるデータは広範囲に及ぶ。連絡先情報、銀行口座情報、社会保障番号（米国）、社会保険番号（カナダ）、国民識別番号、財務・税務情報、扶養家族・受取人の情報。米国・カナダ・メキシコ・ブラジルの現職および元従業員が影響を受ける可
セキュリティ
Defenderのゼロデイ「RoguePlanet」にCVE割り当て。パッチはまだない
Microsoftは現地時間6月16日、Defenderのゼロデイ脆弱性「RoguePlanet」にCVE-2026-50656を割り当て、パッチを準備中であることを明らかにした。公開から1週間、脆弱性の存在を正式に認めたことになる。ただし修正の提供時期は示されておらず、発見者のクレジットもない。 1週間の沈黙を経て RoguePlanetが公開されたのは6月10日、月例パッチの数時間後だった。セキュリティ研究者Nightmare Eclipse氏が自前のGitリポジトリに実証コードを投稿し、複数の第三者が最新パッチ適用済みのWindows 10/11でSYSTEM権限の奪取を再現した。Defenderの内部処理に存在するレースコンディション（ファイルパスの検証と実行の間に生じるタイミングの隙）を突く手法で、リアルタイム保護の有効・無効を問わず動作する。 Microsoftはその時点で「調査中」とだけ回答していた。それから1週間。6月16日に公開されたアドバイザリで、MicrosoftはようやくCVE-2026-50656を割り当てた。CVSS 7.8（High）、深刻度はIm
セキュリティ
OracleのPeopleSoftに深刻度9.8のゼロデイ。100超の組織が標的に
Oracleが人事・給与管理ソフトウェアPeopleSoftの脆弱性について緊急セキュリティ勧告を公開した。認証不要でリモートからコードを実行できる脆弱性 CVE-2026-35273 が、すでに大規模な攻撃に使われている。被害組織の7割近くが大学だ。 パッチなし、認証なし、防御なし Oracleが6月10日に公開したセキュリティ勧告によると、PeopleSoft Enterprise PeopleTools（バージョン8.61および8.62）の環境管理コンポーネントに、リモートコード実行が可能な脆弱性が存在する。CVSSスコアは9.8。機密性・完全性・可用性のすべてが「高」と評価された。パスワードもユーザー操作も不要、HTTPでネットワークにアクセスできれば攻撃が成立する。 Oracleはサポート契約者向けに緩和策を案内しているが、正式なパッチが広く利用可能かどうかは不透明なままだ。サポート契約がなければ緩和策のドキュメントにすらアクセスできない。脆弱性の報告者はTrendAI Zero Day Initiative（旧Trend Micro ZDI）のボビー・グールド（Bo
セキュリティ
Microsoft Defender経由でBitLockerを回避するゼロデイ「GreatXML」を報告
Windowsのディスク暗号化BitLockerを、Defenderのオフラインスキャンが裏切る。GreatXML。Nightmare Eclipse氏が公開した8本目のWindowsゼロデイだ。一度でもオフラインスキャンを実行した端末を、恒久的に危険な状態に置く。修正パッチはない。 守る側の機能が、破る側の道具になった 6月9日の月例パッチで、Microsoftは既報のゼロデイ3件（YellowKey、GreenPlasma、MiniPlasma）にようやくパッチを当てた。過去最多となる約200件の修正を含む大型更新だった。 その数時間後にRoguePlanet。翌日にGreatXML。パッチを当てた同じ週に、次の穴が2つ開いた。 GreatXMLはBitLockerのバイパスだが、YellowKeyとは攻撃の入口が違う。狙われたのはMicrosoft Defenderのオフラインスキャンだ。OSが起動する前にディスクを検査する機能で、マルウェア調査に使われる。 問題は、このスキャンが回復パーティションの構成を変えてしまう点にある。GreatXMLはこの変化を突く。回復パ
セキュリティ
Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
Microsoftが過去最大規模の月例パッチを配信した、まさにその日だった。セキュリティ研究者Nightmare Eclipse氏が、Microsoft Defenderのゼロデイ脆弱性「RoguePlanet」の実証コードを公開した。Windows 10/11の最新パッチ適用済み環境でSYSTEM権限が奪われることが、第三者の検証でも確認されている。CVEは未割り当て。パッチは存在しない。 7本目の刃 Nightmare Eclipse氏がWindows関連のゼロデイを公開するのは、これで7本目になる。 4月のBlueHammer（CVE-2026-33825）に始まり、RedSun、UnDefend、YellowKey、GreenPlasma、MiniPlasmaと、約2か月で6本の脆弱性を立て続けに公開。いずれもMicrosoftへの事前通知なし、いわゆる「協調的脆弱性開示」を経ない公開だった。そのうちBlueHammer、RedSun、UnDefendの3本は実際の攻撃で悪用が確認され、CISAのKEV（既知の悪用済み脆弱性）カタログにも追加されている。 6月10日（
セキュリティ
Chromeに今年5件目の実悪用ゼロデイ、V8に脆弱性
Googleは6月9日、Chrome向けの緊急アップデートを公開した。JavaScriptエンジン「V8」に存在するゼロデイ脆弱性（CVE-2026-11645）が実際の攻撃に使われていることが確認されたためで、2026年に入ってから実悪用が確認されたChromeのゼロデイとして5件目になる。 攻撃で悪用されていた脆弱性の中身 今回修正されたCVE-2026-11645は、ChromeのJavaScriptエンジンV8における範囲外読み書き（out-of-bounds read and write）の脆弱性だ。細工されたHTMLページにアクセスするだけで、攻撃者がブラウザのサンドボックス内で任意のコードを実行できる可能性がある。 悪用に成功すると、メモリバッファの境界を越えてデータが読み書きされ（ヒープ破壊）、本来アクセスできないはずの情報が漏れたり、ブラウザがクラッシュしたりする。さらにASLRをはじめとした保護機構を回避する踏み台にもなるため、深刻度の評価は「High（高）」とされた。 この脆弱性は4月27日に匿名の外部研究者がGoogleに報告しており、バグバウンティと
セキュリティ
Microsoftが折れた、ゼロデイ騒動の裏側
6週間で6件のWindowsゼロデイを公開し続けた匿名研究者に対し、Microsoftが法的措置を示唆して業界から総批判を浴びた一件。週末を挟んで、Microsoftはトーンを一変させた。だが問題は沈静化するどころか、新たな段階に入りつつある。 5月27日の声明が招いた炎上 経緯を手短に振り返る。Nightmare Eclipseを名乗る研究者が4月初旬からWindowsのゼロデイ脆弱性を次々と公開してきた件は既報の通りだ。BlueHammer（CVE-2026-33825）、RedSun（CVE-2026-41091）、UnDefend（CVE-2026-45498）、YellowKey（CVE-2026-45585）、GreenPlasma、MiniPlasma。計6件。いずれもMicrosoft DefenderやBitLockerといったWindowsの防御機構の根幹を突く脆弱性で、うち3件はCISAが悪用確認済みとしてKEVカタログに追加している。 Nightmare Eclipse事件の経緯 4月