ゼロデイ

Androidに標的型ゼロデイ攻撃、6月の更新で124件修正

セキュリティ

Androidに標的型ゼロデイ攻撃、6月の更新で124件修正

Googleが2026年6月のAndroidセキュリティアップデートを公開した。修正された脆弱性は124件。そのうち1件は、すでに標的型攻撃での悪用が確認されたゼロデイだ。 悪用が確認された脆弱性の正体 今回の目玉は CVE-2025-48595 である。Androidのフレームワーク層に存在する権限昇格（EoP）の脆弱性で、整数オーバーフローに起因する。CVSSスコアは8.4。Android 14以降のすべてのバージョン（14、15、16、16-qpr2）が影響を受け、悪用にユーザー操作は不要、追加の実行権限も必要としない。 Googleはセキュリティ速報で、この脆弱性について「限定的かつ標的を絞った悪用の兆候がある」と記した。技術的な詳細や攻撃の具体像は明かしていないが、同種の脆弱性はこれまで商用スパイウェアや国家支援型の攻撃者によって、ジャーナリストや政府関係者といった特定の人物を狙う形で使われてきた。 問題は「限定的」という表現だ。Googleはゼロデイの悪用報告にこの文言を常用するが、商用スパイウェアによるターゲティングは発覚が難しく、実際の被害規模は公表される数字
Windowsゼロデイ6件を巡りMSRC対応に批判　開示プロセスを検証

セキュリティ

Windowsゼロデイ6件を巡りMSRC対応に批判　開示プロセスを検証

4月から6週間で6件のWindowsゼロデイを世に放った匿名の研究者と、法的措置を示唆して応じたMicrosoft。この対立の底にあるのは、セキュリティ研究者との「信頼」を自ら壊してきた企業の姿だ。 6週間、6件のゼロデイ 2026年4月2日、Nightmare Eclipse（別名Chaotic Eclipse）を名乗る匿名のセキュリティ研究者が、Windows Defenderの特権昇格脆弱性「BlueHammer」の実証コードをGitHubに公開した。協調的脆弱性開示（CVD）のプロセスを経ていない、事前通告なしの公開だった。 それから6週間で、公開されたゼロデイは計6件に膨れ上がった。 BlueHammer（CVE-2026-33825）はWindows Defenderの脅威修復エンジンに存在するTOCTOU（検査と使用の間の競合状態）を突く。4月14日のPatch Tuesdayで修正済み。RedSun（CVE-2026-41091）はDefenderのマルウェア対策エンジンにおけるリンク解決の不備を突き、SYSTEM権限を奪取する。UnDefend（CVE-20
ChromiumのRCE脆弱性が修正後も残存　Googleが情報を誤って公開

セキュリティ

ChromiumのRCE脆弱性が修正後も残存　Googleが情報を誤って公開

Chromiumに2022年から存在する未修正の脆弱性が、Googleの誤操作によってPoC（概念実証コード）ごと公開状態になった。修正済みと記録されていたにもかかわらず、実際には機能したままだった。 ブラウザを閉じても動き続ける 問題の核心は、Chromiumの Background Fetch API にある。大容量ファイルや動画をバックグラウンドでダウンロードし続けるためのこの仕組みは、タブやブラウザを閉じた後もダウンロードを継続できる。 攻撃者はこれを悪用し、終了しないサービスワーカーを生成する悪意あるウェブページを作れる。ユーザーが一度そのページを訪れると、JavaScriptがデバイス上で実行され続け、ブラウザが閉じられた後も攻撃者のサーバーに接続し続ける状態になる。 サービスワーカーとは、ブラウザとサーバーの間に常駐するJavaScriptコンポーネントで、オフライン機能やページの高速化を担う仕組み。本来は利便性のための技術だが、今回の脆弱性ではこれが持続的な接続経路として悪用される。 この状態を利用すれば、乗っ取ったブラウザをDDoS攻撃の踏み台にしたり、悪
Defenderのゼロデイ2件、すでに攻撃で使われていた

セキュリティ

Defenderのゼロデイ2件、すでに攻撃で使われていた

セキュリティソフトが攻撃の足場になる。その現実が、また一つ記録に加わった。 守るソフトの中に穴があった Microsoftが5月21日（日本時間）、Microsoft Defenderに存在する2件のゼロデイ脆弱性に対する修正パッチの配布を始めた。どちらも発見時点ですでに実際の攻撃で使われていた。 1件目はCVE-2026-41091。MicrosoftのマルウェアスキャンエンジンであるMalware Protection Engineのバージョン1.1.26030.3008以前に存在する特権昇格の脆弱性だ。シンボリックリンク——ファイルシステム上で別の場所を指す「近道」のようなもの——の処理に問題があり、ローカルの攻撃者が SYSTEM 権限、つまりWindowsで最も強い管理者権限を手に入れられる。CVSSスコアは 7.8（高）。 2件目はCVE-2026-45498。Microsoft Defender Antimalware Platformのバージョン4.18.26030.3011以前が対象で、こちらはサービス運用妨害（DoS）の脆弱性だ。ローカルで細工したファイル
BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開

Windows

BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開

Windows標準の暗号化機能BitLockerをUSBメモリ1本で解除できるゼロデイ脆弱性「YellowKey」。Microsoftはパッチをまだ提供できていないが、攻撃を防ぐ緩和策を公開した。ノートPCを紛失した時にデータを守る最後の砦に、すり抜けられる穴が見つかった問題だ。 YellowKeyとは何か Windows 11およびWindows Server 2022/2025に存在するゼロデイ脆弱性で、BitLockerで暗号化されたドライブへの侵入を回復キーも専用機材も使わずに可能にする。5月12日に「ナイトメア・エクリプス（Nightmare-Eclipse）」を名乗るセキュリティ研究者が概念実証コード（PoC）を公開した。 攻撃の手順は単純だ。特定のフォルダ構造「FsTx」を書き込んだUSBメモリをターゲット機に接続し、Windowsの回復環境（WinRE）に再起動。その後Ctrlキーを押し続けるだけで、BitLockerを無視したコマンドプロンプトが開く。 YellowKey 攻撃の流れ 1
Mythosの脅威情報、Anthropicが外部共有を解禁

AI

Mythosの脅威情報、Anthropicが外部共有を解禁

Anthropicが方針を転換した。同社のAIモデルMythosで発見されたサイバー脅威の情報を、パートナー企業が外部と共有できるようになる。守りの時間稼ぎは、次の段階に入った。 機密保持から情報共有へ Anthropicは先週、Project Glasswingのパートナー企業に対し、Mythosで発見したサイバー脅威の情報を外部と共有してよいと通知した。プログラムへの参加自体を公表することも許可されている。 4月7日にMythos Previewを発表した当初、パートナー企業は機密保持契約のもとで運用していた。発見した脆弱性の情報は社外に持ち出せず、Glasswingの輪の中だけで処理される仕組みだった。攻撃者に情報が渡るリスクを懸念したパートナー側が、契約時に機密保護を求めた経緯がある。 Anthropicの広報担当者は「パートナー同士、またはGlasswing外の企業と発見内容を共有し、脆弱性のトリアージに役立ててもらうことを全面的に支持する」と述べている。 しかしプログラムが成熟するにつれ、情報を閉じ込めておく弊害が目立ち始めた。Glasswingに参加していない
Pwn2Own 2日目、Exchangeが3つのバグで陥落

セキュリティ

Pwn2Own 2日目、Exchangeが3つのバグで陥落

ベルリンで開催中のPwn2Own 2日目、Microsoft ExchangeがSYSTEM権限のRCEに屈した。Orange Tsai氏が3つのバグを連鎖させ、単独で20万ドルを手にした。 Exchangeが3つのバグの連鎖で陥落 Pwn2Own Berlin 2026の2日目が終わった。研究者たちは新たに15件のゼロデイを暴き、38万5,750ドルの賞金を分け合った。1日目と合計すると、2日間で39件のゼロデイと総額90万8,750ドル。3日目を残しての数字だ。 会場の主役は再びOrange Tsai氏だった。DEVCORE Research Teamに所属する台湾の研究者で、ProxyLogon・ProxyShellの発見者として知られる。今回はExchangeを標的に、3つのバグを連鎖させてSYSTEM権限のリモートコード実行（RCE）を成功させた。報酬は20万ドル、Master of Pwnポイントは20。 ExchangeのRCEは、企業の電子メール基盤を丸ごと掌握できる類の脆弱性だ。ProxyLogonの記憶が新しいセキュリティ担当者なら、この一報で背筋が冷えた
Exchange OWAに緊急の脆弱性、恒久パッチはまだない

Microsoft

Exchange OWAに緊急の脆弱性、恒久パッチはまだない

オンプレミスのExchange Serverに細工メールでJavaScriptを実行される脆弱性が出た。緩和策は配布されたが副作用が重く、恒久パッチはESU加入状況で扱いが分かれる。 細工メールでJavaScriptが走る、OWAの穴 Microsoftが5月14日(現地時間)にCVE-2026-42897を公開した。Exchange ServerのOutlook Web Access(OWA)に存在するクロスサイトスクリプティング起因の不具合で、CVSSスコアは8.1(High)、Microsoftの公式深刻度は「Critical」。攻略コードの成熟度はFunctional(動作可能)、Exploit Statusは「Exploited:Yes」(悪用済み)と分類されている。 攻撃手順は単純だ。攻撃者が特別に細工したメールを送り、受信者がOWAでそのメールを開き、いくつかの条件が揃ったときに、受信者のブラウザコンテキストで任意のJavaScriptが実行される。Microsoftは「条件」の具体的な内容を明らかにしていない。 Webページ生成時の入力の不適切な無害化(クロス
BitLockerをUSBで解錠、YellowKey公開

セキュリティ

BitLockerをUSBで解錠、YellowKey公開

USBメモリにフォルダを1つ置き、再起動時にCTRLキーを押し続ける。それだけでBitLockerで暗号化されたドライブが丸ごと開いてしまう。MicrosoftはまだCVEも発行していない。 鍵を持たずに鍵を開ける Windows 11のフルディスク暗号化BitLockerが、USBメモリ1本で迂回される。研究者ハンドルネーム「Chaotic Eclipse」(別名Nightmare-Eclipse)が5月12日、概念実証(PoC)コード「YellowKey」を公開した。対象PCを物理的に手にしてさえいれば、TPMの鍵を一切問わずに暗号化ボリュームへ完全アクセスできる。 手順は驚くほど単純だ。NTFSでフォーマットしたUSBメモリのSystem Volume Information\FsTx配下に攻撃コードを置き、ターゲットのWindowsマシンに挿す。Shift+クリックで再起動を選んだら、画面が切り替わる瞬間にShiftを離してCTRLキーを押しっぱなしにする。次に立ち上がるのはWindows回復環境(WinRE)の通常メニュー、ではなく、暗号化解除済みのドライブが見えてい
OpenAIがDaybreak発表、サイバー防御へAI投入

AI

OpenAIがDaybreak発表、サイバー防御へAI投入

OpenAIがサイバーセキュリティ構想「Daybreak」を発表した。Anthropicが1ヶ月前に「危険すぎる」として限定公開した「Mythos Preview」とは対照的に、Codexと合流して企業に開かれた形で投入される。 Anthropicの1ヶ月後、OpenAIが踏み込んだ サイバー防御の主導権争いが、AI企業同士の正面衝突になってきた。 OpenAIは5月11日（米国時間）、サイバーセキュリティ構想「Daybreak」を発表した。フロンティアAIモデルとコーディングエージェント「Codex」を組み合わせ、脆弱性の発見・検証・修正を開発サイクルの早い段階に持ち込む構想だ。サム・アルトマンはXで「サイバー防御を加速し、ソフトウェアを継続的に守るための取り組みだ」と書いた。 注目すべきは、この発表が単独で出てきたわけではないことだ。Anthropicは1ヶ月前の4月、フロンティアモデル「Claude Mythos Preview」が主要OSとブラウザに数千件のゼロデイ脆弱性を見つけたと公表し、「一般公開しない」という異例の判断を下した。代わりに「Project Glas
See all