IoT OT Security News

Gemini と Claude Code の偽サイトに御用心：SEO ポイズニングを介してインフォスティーラーを展開

Fake Gemini and Claude Code Sites Spread Infostealers Through SEO Poisoning

2026/05/22 InfoSecurity — Google Gemini のコーディング・ツールと、Anthropic の Claude Code を装う偽サイトを作成し、情報窃取型マルウェアを配布する新たなキャンペーンが、EclecticIQ のセキュリティ研究者たちにより発見された。最初の警告は、SNS 上で @g0njxa として知られる独立系セキュリティ研究者により発せられた。2026年4月21日に X 上で研究者は、Gemini のコマンド・ライン・インターフェイス (CLI) を悪用する、なりすましキャンペーンを指摘した。この CLI 機能は開発者が用いるものであり、ターミナルから直接 Gemini AI モデルと対話するためのものである。

Splunk の脆弱性 CVE-2026-20238／20239／20240 が FIX：DoS 攻撃や機密情報漏洩の恐れ

Splunk Patches Multiple Vulnerabilities that Enable DOS Attack and Exposes Sensitive Data

2026/05/22 CyberSecurityNews — Splunk が公開したのは、Enterprise／Cloud Platform／AI Toolkit に影響を及ぼす、複数の脆弱性に対するセキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は、サービス拒否 (DoS) 状態や機密性の高いデータの露出を引き起こす可能性がある。これらの脆弱性 CVE-2026-20238／CVE-2026-20239／CVE-2026-20240 は、2026年5月20日に公開された。

CISA KEV 警告 26/05/21：Langflow の脆弱性 CVE-2025-34291 を KEV に登録

CISA Adds Langflow Origin Validation Flaw to Known Exploited Vulnerabilities Catalog

2026/05/22 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Langflow の深刻な脆弱性 CVE-2025-34291 を Known Exploited Vulnerabilities (KEV) カタログに追加し、実環境での悪用リスクを強調するとともに即時対応を求めている。この脆弱性は、AI 駆動ワークフローの構築とオーケストレーションに使用される、Langflow のオリジン検証の欠陥に起因する。

Mini Shai-Hulud 攻撃への対応：2FA-Bypass Token の無効化を npm が実施

Mini Shai-Hulud Attack Prompts npm to Revoke 2FA-Bypass Tokens

2026/05/22 gbhackers — npm は、プラットフォーム全体で granular access token を強制リセットし、二要素認証 (2FA) の回避を阻止した。この対応は、Mini Shai-Hulud キャンペーンに関連する一連のサプライチェーン攻撃により、数百の JavaScript パッケージが侵害されたことを受けてのものだ。

Hackers で悪意のパッケージを検出：マルウェア配布とデータ送信バックエンドとして悪用

Hackers Use Hugging Face to Host Second-Stage Malware for npm Supply Chain Attack

2026/05/22 CyberSecurityNews — AI 分野で最も信頼されるプラットフォーム Hugging Face を武器化する、新たなハッキング手法が確認された。北朝鮮に関連する脅威アクターたちが、広く利用される AI／ML ハブである Hugging Face 内に 2-Step のマルウェアを埋め込み、マルウェア配布チャネルおよびデータ外部送信バックエンドとして悪用している。この活動が、世界中のソフトウェア開発者を標的とする、高度な npm サプライチェーン攻撃の一つとなっている。

CISA KEV 警告 26/05/21：Trend Micro Apex One の脆弱性 CVE-2026-34926 を KEV に登録

CISA Warns Trend Micro Apex One Vulnerability Is Being Exploited in Attacks

2026/05/22 gbhackers — CISA は、新たに公開された Trend Micro Apex One の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録し、この欠陥が実環境で積極的に悪用されていると警告した。この脆弱性 CVE-2026-34926 が影響を及ぼす範囲は、Trend Micro Apex One のオンプレミス・デプロイメントであり、エンタープライズ環境に深刻なリスクをもたらす。

Google API Key の削除には 23 分を要する：設計上の特性と運用上のリスク　

Deleted Google API Keys Remain Active up to 23 Minutes, Study Finds

2026/05/21 hackread — 削除された Google API keys が、23分間にわたって有効であり続け、その後の認証に成功する可能性があることが、Aikido Security の新たな調査により明らかになった。この調査結果は、10回の制御試験を 2日間にわたり実施して得られたものである。

GitHub 内部リポジトリへの攻撃：武器化された VS Code エクステンションが従業員の端末を侵害

GitHub Internal Repositories Breached Via Weaponized VS Code Extension

2026/05/21 CyberSecurityNews — 2026年5月18日に GitHub の従業員の端末が、悪意の Visual Studio Code エクステンションを介した攻撃により侵害され、内部ソースコード・リポジトリからデータが流出するという深刻な事態が生じた。この攻撃は、5月18日 (月) に GitHub のセキュリティ・チームが、従業員エンドポイント上の不審な活動を特定したことで発覚し、同日に封じ込められた。

NGINX 1.31.0 のゼロデイ脆弱性 nginx-poolslip (CVE-N/A) を検出：ASLR バイパスによる RCE の可能性

New NGINX 0-Day RCE “nginx-poolslip” Threatens Millions of Servers

2026/05/21 gbhackers — 新たに発見された NGINX のゼロデイ脆弱性 nginx-poolslip (CVE-N/A) が悪用されると、数百万台のサーバが潜在的なリモート・コード実行 (RCE) 攻撃の危険にさらされる可能性がある。この脆弱性により、世界中のサイバーセキュリティ・コミュニティにおいて、深刻な懸念が引き起こされている。この脆弱性は、世界中の Web サイトの推定 30〜40% で利用されている、Web サーバ・ソフトウェア NGINX のバージョン 1.31.0 に影響するものであり、NebSec チームのセキュリティ研究者 Vega により発見され、2026年5月21日に公開された。

Chrome 148.0.7778.178／179 が公開：タイプ・コンフュージョン／解放後メモリ使用を修正

Critical Chrome Vulnerabilities Enable Remote Code Execution Attacks – Patch Now!

2026/05/21 CyberSecurityNews — Google が、Chrome 向けの緊急セキュリティ・アップデートを公開した。合計で 16 件の脆弱性が修正されたが、そのうちの 2 件は Critical と評価され、影響を受けるシステム上での任意のコード実行を可能にするものだ。Stable チャネルでは、Windows／Mac 向けの 148.0.7778.178／179 と、Linux 向けの 148.0.7778.178 が提供されており、今後の数日以内にロールアウトが完了する見込みである。

Apache OFBiz の脆弱性 CVE-2026-45434 が FIX：PW 変更処理の不備による認証回避と RCE

Apache OFBiz RCE Flaw Abuses Password-Change Restrictions for Authentication Bypass

2026/05/21 gbhackers — Apache OFBiz に存在する深刻な認証バイパス脆弱性 CVE-2026-45434 を悪用する攻撃者は、強制パスワード変更フローを乗っ取り、単一の HTTP リクエストを通じてリモート・コード実行 (RCE) を達成する可能性がある。この脆弱性が影響を及ぼす範囲は、Apache OFBiz のバージョン 24.09.06 未満となる。Apache OFBiz は、ビジネス・プロセス管理に用いられるオープンソースの ERP プラットフォームである。

CVE ID：CVE-2026-45434
CVSS 3.1 スコア：8.8 (High)
影響バージョン：Apache OFBiz 24.09.06 未満
修正バージョン：Apache OFBiz 24.09.06
公開日：2026年5月20日
研究者：Aretiq AI

Linux kernel の脆弱性 CVE-2026-46333 が FIX：SSH キー窃取や root 権限昇格の恐れ

Nine-year-old Linux Kernel Vulnerability Let Attackers Exfiltrate SSH Private Keys

2026/05/21 CyberSecurityNews — 新たに公開された Linux kernel の脆弱性 CVE-2026-46333 は、約 9年間にわたり検出されなかった、深刻なローカル権限昇格の欠陥を露呈するものだ。この脆弱性を悪用する攻撃者は、SSH 秘密鍵を含む機密性の高いデータを窃取し、影響を受けるシステム上で root として任意のコマンド実行を可能にすると、Qualys Threat Research Unit のセキュリティ研究者は明らかにしている。

Drupal の脆弱性 PSA-2026-05-18 が FIX：コアへの影響とサイト乗っ取りの可能性

Critical Drupal Vulnerability Could Leave Sites Open to Cyberattack

2026/05/21 gbhackers — Drupal Security Team は、Drupal コアに影響を及ぼす、きわめて深刻な脆弱性について警告を発表した。そのためのセキュリティ・リリースは、2026年5月20日 (PSA-2026-05-18) で行われている。この脆弱性の深刻度は、同社の基準で 20/25 (Highly Critical) と評価されており、公開後に攻撃者に悪用されると、機密性／完全性／可用性に大きなリスクが生じる可能性がある。

Cisco Secure Workload の脆弱性 CVE-2026-20223 が FIX：Site Admin 権限奪取の恐れ

Critical Cisco Secure Workload Vulnerability Enables Unauthorized API Access

2026/05/21 CyberSecurityNews — Cisco が公開したのは、同社の Secure Workload プラットフォームで発見された、脆弱性 CVE-2026-20223 (CVSS 10.0) に関する情報である。この脆弱性を悪用する未認証の脅威アクターは、内部 API を介して重要機能に対する認証欠如 (CWE-306) の欠陥を突き、機密性の高いリソースへの不正アクセスを引き起こせる。

AI Agent 活用への 5つの提言：セキュリティとコンプライアンスの実装が AI を加速させる

AI Agents Are Here. Security Must Be an Accelerator for AI Transformation

2026/05/20 InfoSecurity — もはや、AI エージェントは実験段階にはいない。エンタープライズ・システム全体において、ファイル読み取り／ツール呼び出し／ワークフロー実行／他エージェントとの通信を行い、計画立案や意思決定を支援している。さらに言えば、人間の介入が最小限に留められるケースもある。

Anthropic Glasswing パートナー間での情報共有がスタート：透明性の確保なのか？競合圧力なのか？

Anthropic Allows Glasswing Partners to Share Mythos-Based Findings

2026/05/20 SecurityBoulevard — 2026年4月の初旬に Anthropic が Mythos を公開した際に、この先進的 AI モデルがソフトウェア脆弱性検出において高度な能力を持つことが明らかにされた。結果として、攻撃者による迅速なエクスプロイト作成への悪用の懸念から、Mythos へのアクセスが制限された。アクセスを許可されたのは Microsoft／Google／JPMorganChase／Nvidia などであり、Anthropic が立ち上げた Project Glasswing の一環として、AI 脅威に対する防御強化を目的に Mythos を利用することが認められた。ただし、当初においては、研究成果の共有は禁止されていた。

Pardus Linux の脆弱性 CVE-2026-5140：ローカル・サイレント昇格による root 権限の奪取

Pardus Linux Vulnerability Lets Local Attackers Gain Silent Root Access

2026/05/20 gbhackers — Pardus Linux のアップデート・メカニズムにおいて、未認証のローカル・ユーザーが完全な root 権限を取得できる、深刻な権限昇格脆弱性チェーン CVE-2026-5140 (CVSS：8.8 High) が発見された。この問題は、 pardus-update パッケージに影響するものであり、3 つの異なる脆弱性が組み合わさることで、わずか数秒でシステム全体が侵害される恐れがある。

NGINX njs の CVE-2026-8711 が FIX：ヒープバッファ・オーバーフローによる DoS 攻撃の可能性

New NGINX Vulnerability Allow Remote Attackers to Trigger Malicious Code

2026/05/20 CyberSecurityNews — NGINX JavaScript (njs) で新たに発見された脆弱性 CVE-2026-8711 により、未認証のリモート攻撃者がヒープバッファ・オーバーフローを引き起こし、サービス拒否 (DoS) を発生させる可能性がある。さらに特定の条件下では、NGINX ワーカー・プロセスにおけるリモート・コード実行が可能となる。この脆弱性は、NGINX JavaScript の ngx.fetch() 操作において、js_fetch_proxy ディレクティブがクライアント制御変数を処理する際の不備に起因する。

FreePBX の脆弱性 CVE-2026-46376 が FIX：ユーザーポータルへの不正アクセスを招く恐れ

FreePBX Security Flaw Lets Attackers Access User Portals

2026/05/20 gbhackers — 広く利用されているオープンソース・プラットフォーム FreePBX において、特定の条件下で未認証の攻撃者に対してユーザーポータルへのアクセスを許す、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2026-46376 (CVSS v4：9.1) を悪用する攻撃者は、userman モジュールを介して User Control Panel (UCP) に影響を及ぼす。

Linux Kernel の脆弱性 DirtyDecrypt CVE-2026-31635 が FIX：root 権限昇格と PoC の提供

DirtyDecrypt Linux Kernel Vulnerability PoC Exploit Code Released

2026/05/20 CyberSecurityNews — Linux カーネルに存在する高深刻度のローカル権限昇格の脆弱性 DirtyDecrypt (別名 DirtyCBC) に対する、PoC (proof-of-concept) エクスプロイトが、セキュリティアナリスト Will Dormann により公開された。この脆弱性 CVE-2026-31635 を悪用するローカル攻撃者は、root 権限の取得が可能となる。なお、この脆弱性に対する修正パッチは、2026年4月25日の時点でアップストリームにマージされている。

CISA の認証情報／機密データが GitHub リポジトリに漏洩：GitGuardian が指摘した問題とは？

CISA Credentials, Sensitive Data Exposed in GitHub Repository

2026/05/19 SecurityBoulevard — CISA における深刻な情報漏洩が明らかにされた。同組織の外部契約者が、Amazon Web Services (AWS) 上に保存されている、連邦政府の最高サイバーセキュリティ機関のシステムに関する認証情報および高権限政府アカウントを、不適切に公開していたことが露見した。

PostgreSQL pgcrypto の RCE 脆弱性 CVE-2026-2005：PoC が登場

20-Year-Old PostgreSQL Flaw Gets Public PoC Exploit for Remote Code Execution

2026/05/19 gbhackers — PostgreSQL の pgcrypto エクステンションで発見された、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2026-2005 に対して PoC (proof-of-concept) エクスプロイトが公開された。セキュリティ研究者によると、この問題は約 20年前に遡るレガシーコードに起因し、攻撃者に対して権限昇格および任意のコマンド実行を許す可能性がある。

Apache Flink の脆弱性 CVE-2026-35194 が FIX：SQL コード生成の欠陥と任意のコード実行

Critical Apache Flink Vulnerability Enables Remote code execution Attacks

2026/05/19 CyberSecurityNews — 新たに公開された Apache Flink の深刻な脆弱性 CVE-2026-35194 により、SQL インジェクションを起点とするリモート・コード実行 (RCE) 攻撃の危険性に、分散データ処理環境がさらされている。この脆弱性は Apache Flink の SQL コード生成メカニズムに存在し、動的に生成される Java コードへ埋め込まれるユーザー入力データが、適切にサニタイズされないことに起因する。その結果、クエリ実行権限を持つ認証済みユーザーは、文字列境界をエスケープする悪意のペイロードを注入して、任意のコード実行を可能にする。

PostgreSQL の深刻な 11 件の脆弱性が修正：任意のコード実行や SQLi の恐れ

Critical PostgreSQL Vulnerabilities Enables Code Execution and SQL Injections

2026/05/19 CyberSecurityNews — PostgreSQL Global Development Group が公開したのは、11 件の脆弱性に対する修正の情報である。すべてのサポート対象ブランチ向けに、PostgreSQL の 18.4／17.10／16.14／15.18／14.23 が、セキュリティ／メンテナンス・アップデートとしてリリースされた。

SEPPmail Secure E-Mail Gateway に複数の脆弱性：認証不要の RCE とトラフィック傍受

SEPPmail Gateway Flaws Expose Organizations to RCE and Email Traffic Interception

2026/05/19 gbhackers — SEPPmail Secure E-Mail Gateway に存在する複数の深刻な脆弱性により、数千の組織における暗号化電子メール通信が、リモート・コード実行 (RCE) ／機密メール傍受のリスクにさらされている。これらの脆弱性は、特に DACH 地域 (ドイツ／オーストリア／スイス) で広く導入されている SEPPmail アプライアンスに影響することが判明した。

Anthropic Glasswing プロジェクト：AI によるエクスプロイト生成と問題点 – Cloudflare

Mythos Preview Builds PoC Exploits in Automated Vulnerability Research

2026/05/19 CyberSecurityNews — Anthropic の Mythos Preview は、セキュリティ特化型 AI モデルとして、自動化された脆弱性リサーチにおける重要な転換点へ到達しつつある。単にバグを発見するだけではなく、それらを連鎖させ、実際に動作する PoC エクスプロイトを構築する段階に達している。これは、Cloudflare のセキュリティ・チームによる知見である。同社のチームは、Anthropic の招待制プロジェクト Project Glasswing に参加し、50 を超える内部リポジトリに対し、数週間にわたりこのモデルを実行した。

GitHub Action を標的としたサプライ・チェーン攻撃：認証情報窃取ペイロードを確認

Compromised GitHub Action Steals Workflow Credentials

2026/05/19 gbhackers — 広く利用されている GitHub Actions の actions-cool/issues-helper が、サプライ・チェーン攻撃により侵害され、機密性の高い CI/CD シークレットが攻撃者が管理するドメインへと流出するリスクが生じている。この攻撃は、Git タグに対する巧妙な操作を悪用するものであり、攻撃者は目に見える commit 履歴を改竄するのではなく、すべてのリリースタグを偽の commit (1c9e803) へ移動させた。この偽 commit は、リポジトリ内の正規ブランチに属していない。

AI の成長速度を Moore の法則と比較する：そのスピードはシリコンの約 5〜6 倍

Beyond Moore’s Law: The Hyper-Acceleration of Autonomous AI Cyber Capabilities

2026/05/18 SecurityBoulevard — 英国の AI Security Institute (AISI) は、すべての CISO と取締役会が再構築すべき、脅威モデルとリスク議論に関する事実を示した。最先端の AI モデルが、自律的に完遂できる複雑なサイバー・タスクは、数ヶ月ごとに倍増している。このシンプルな視点が示すのは、テクノロジー・リスクの物理的な前提の変化である。

WordPress Avada の脆弱性 CVE-2026-4782／4798 が FIX：任意のファイル読み取りと SQLi の恐れ

1 Million WordPress Websites Exposed by Avada Builder Security Vulnerabilities

2026/05/18 gbhackers — WordPress Avada Builder プラグインに、2 つの深刻なセキュリティ欠陥が発見され、機密性の高いデータやサーバ・ファイルの露出の可能性が生じている。この 100万以上の Web サイトで利用されている、プラグインの脆弱性を悪用する攻撃者は、影響を受けるサイトの侵害が可能であると、セキュリティ研究者が警告している。

Linus Torvalds の警告：AI によるバグ報告が Linux セキュリティ運用を圧迫

Linus Torvalds Says AI Bug Reports Have Made Linux Security Mailing List Unmanageable

2026/05/18 CyberSecurityNews — Linus Torvalds が警告するのは、AI により生成されたバグ報告の “継続的な洪水” や “絶え間ない殺到” により、Linux のセキュリティ・メーリング・リストが、ほぼ完全に管理不能になり始めていることだ。現在、Linux プロジェクトは、AI により発見された問題の報告／処理の方法に関するルールを厳格化している。

Marimo Python notebook の脆弱性 CVE-2026-39987 が FIX ：未認証 RCE の恐れ

Critical Marimo RCE Flaw Could Let Attackers Execute Malicious Code Remotely

2026/05/18 gbhackers — 新たに公表された Marimo Python notebook フレームワークの、深刻な脆弱性 CVE-2026-39987 (CVSS：9.8) が、サイバー・セキュリティ・コミュニティ全体で強い懸念を引き起こしている。この脆弱性は WebSocket エンドポイントを露出させており、認証を必要としない攻撃者による、リモートからの任意のコマンド実行が可能になるだけではなく、システム・レベルのシェルの生成や、インフラ全体の侵害につながる可能性がある。

NGINX の深刻な RCE 脆弱性 CVE-2026-42945：公開直後から実環境での悪用を確認

Hackers Actively Exploiting Critical NGINX RCE Vulnerability in the Wild

2026/05/18 CyberSecurityNews — 新たに公開された NGINX の深刻な脆弱性 CVE-2026-42945 (CVSS：8.1) に対して、すでにハッカーたちは悪用に即座に着手しており、公開から数日で実環境における攻撃を開始している。VulnCheck のセキュリティ研究者 Patrick Garrity は、脅威アクターが CVE-2026-42945 を積極的に標的としていることを明らかにした。この脆弱性はヒープバッファ・オーバーフローの欠陥であり、NGINX Open Source／NGINX Plus に影響するものである。

WooCommerce Funnel の脆弱性 CVE-2026-47100 が FIX：4万サイト超に決済情報窃取のリスク

Critical FunnelKit Vulnerability Puts 40,000+ WooCommerce Sites at Risk

2026/05/18 gbhackers — WooCommerce の Funnel Builder プラグインに存在する深刻なセキュリティ脆弱性 CVE-2026-47100 (CVSS 8.7) が、FunnelKit を悪用する脅威アクターに現在進行形で悪用されており、4万以上の Webサイトが決済データ窃取のリスクにさらされている。この脆弱性が影響を及ぼす範囲は、Funnel Builder バージョン 3.15.0.3 未満であり、未認証の攻撃者に対して、WooCommerce のチェックアウト・ページへの任意の JavaScript 注入を許すものである。

WordPress プラグイン Burst Statistics の脆弱性 CVE-2026-8181 が FIX：20万以上の Web サイトに影響

Critical WordPress Plugin Vulnerability Exposes Websites to Authentication Bypass Attacks

2026/05/18 CyberSecurityNews — WordPress の Burst Statistics プラグインに存在する深刻な脆弱性 CVE-2026-8181 (CVSS：9.8) により、20万以上の Web サイトにおいて完全なアカウント乗っ取りのリスクが生じ、セキュリティ・コミュニティ全体で緊急の懸念が高まっている。

n8n の深刻な脆弱性 CVE-2026-44789／44790／44791 が FIX：連鎖による RCE の可能性

n8n Security Flaws Could Let Attackers Achieve Remote Code Execution

2026/05/18 gbhackers — ワークフロー自動化プラットフォーム n8n に存在する一連の深刻な脆弱性が、重大なセキュリティ懸念を引き起こしている。研究者たちが警告するのは、複数の欠陥を連鎖させる攻撃者が、標的システム上で完全なリモートコード実行 (RCE) を達成する可能性である。

Grafana Labs で発生した侵害：GitHub Action の脆弱性 Pwn Request が侵入口と判明

Grafana Labs Security Breach – Hackers Access GitHub and Download Codebase

2026/05/17 CyberSecurityNews — Grafana Labs の GitHub 環境に侵入した脅威アクターが、特権トークンを窃取してプライベート・コードベースをダウンロードした上で、恐喝と身代金の要求を試みた。2026年5月16日に Grafana Labs が開示したのは、GitHub 環境へのアクセス権を持つトークンが不正に取得され、攻撃者によるコードベースのダウンロードが可能な状態であったことだ。

Linux の脆弱性 ssh-keysign-pwn CVE-2026-46333 が FIX：深刻な情報漏洩と PoC の登場

Linux “ssh-keysign-pwn” Flaw Exposing Critical Authentication Files

2026/05/15 gbhackers — Linux カーネルに存在する脆弱性 ssh-keysign-pwn により、SSH 秘密鍵および “/etc/shadow” に格納されたハッシュ化パスワードへの不正アクセスのリスクが生じている。この数百万規模の Linux システムに影響を及ぼす脆弱性 CVE-2026-46333 (GHSA-pm8f-4p6p-6×53) は、約 6 年間にわたり未検知で存在し、2026年5月15日に National Vulnerability Database へ公開された。

PraisonAI の脆弱性 CVE-2026-44338 が FIX：デフォルトでの認証無効化が引き起こす問題とは？

PraisonAI Vulnerability Exploited Within Hours of Public Disclosure

2026/05/15 CyberSecurityNews — 多くのエンタープライズにおいて AI フレームワークが中核となり始めているが、人気の高い AI プラットフォームに存在する脆弱性を悪用する脅威アクターが、深刻なセキュリティ・リスクをもたらしている。PraisonAI のレガシー API サーバに存在する、深刻な脆弱性 CVE-2026-44338 が開発者コミュニティに大きな衝撃を与えている。

VMware Fusion の脆弱性 CVE-2026-41702 が FIX：root 権限奪取の恐れ

VMware Fusion Flaw Could Allow Attackers to Gain Root Privileges

2026/05/15 gbhackers — 新たに公表された VMware Fusion の脆弱性を悪用する攻撃者は、影響を受けるシステム上で権限を昇格し、root 権限を取得できることが確認された。この脆弱性 CVE-2026-41702 (CVSS：7.8：High) は、実環境における潜在的な影響が大きいため、深刻なセキュリティ上の懸念が生じている。

Amazon Redshift JDBC の脆弱性 CVE-2026-8178 が FIX：URL 処理不備による任意のコード実行

Amazon Redshift JDBC Driver Vulnerabilities Enables Remote Code Execution Attacks

2026/05/15 CyberSecurityNews — Amazon Redshift JDBC ドライバーに存在する深刻な脆弱性 CVE-2026-8178 により、エンタープライズ・アプリケーションがリモート・コード実行 (RCE) の深刻なリスクに晒されている。データベース接続 URL を操作する攻撃者は、この新たに公開された脆弱性の悪用が可能となる。この脆弱性により、アプリケーション・プロセスの内部からの乗っ取りが生じ、機密性の高いエンタープライズ・データへの不正アクセスや、システム全体の侵害に至る恐れがある。

npm ライブラリ node-ipc にサプライチェーン攻撃：Cloud 認証情報／SSH キーを窃取

2026/05/15 gbhackers — 週次のダウンロード数 822,000 件を超える npm パッケージが、深刻なサプライチェーン攻撃の中心となり、JavaScript エコシステム全体に新たな懸念を引き起こしている。人気ライブラリ node-ipc に存在する、ステルス性の高い認証情報窃取マルウェア／バックドアなどを取り込んだ複数の悪意のバージョンを、Socket のセキュリティ研究者が発見した。影響を受けるバージョン node-ipc@9.1.6／9.2.3／12.0.1 が、公開後の数分以内に検知された。

TanStack npm サプライチェーン攻撃：OpenAI が受けた侵害の内容と背景

OpenAI Confirms Security Breach Via TanStack npm Supply Chain Attack

2026/05/15 CyberSecurityNews — TanStack npm を標的とする大規模なソフトウェア・サプライチェーン攻撃により、OpenAI の従業員端末 2 台が侵害された。同社は、ユーザーデータ／本番システム／知的財産への影響はなかったと確認している。2026年5月11日 (UTC) に、脅威アクターは Mini Shai-Hulud と呼ばれるキャンペーンを開始した。それは、TeamPCP 恐喝グループによりオーケストレーションされる協調的なサプライチェーン攻撃である。

Next.js の脆弱性 CVE-2026-44578 が FIX：クラウド認証情報への不正アクセスの恐れ

Next.js Security Flaw Leaks Cloud Credentials, API Keys, and Admin Interfaces

2026/05/15 gbhackers — Next.js の深刻な脆弱性 CVE-2026-44578 を悪用する攻撃者は、機密性の高いクラウド認証情報／API キー／内部管理インターフェイスに対して不正にアクセスできる。広く利用される React フレームワークの 1つである Next.js の、特定のサーバサイド・デプロイメントにおける WebSocket アップグレード・リクエスト処理に、この脆弱性は起因する。

Cisco Catalyst SD-WAN の脆弱性 CVE-2026-20182 が FIX：Admin 奪取の可能性

Cisco Catalyst SD-WAN Controller 0-Day Actively Exploited to Gain Admin Access

2026/05/15 CyberSecurityNews — Cisco Catalyst SD-WAN Controller における、脆弱性 CVE-2026-20182 (CVSS：10.0：Critical) が積極的に悪用されている。この脆弱性を悪用する未認証のリモート攻撃者は、認証を完全にバイパスし、エンタープライズ・ネットワーク基盤の管理権限を掌握できる状態にある。この脆弱性により、オンプレミス／クラウド／政府環境を含む SD-WAN 展開全体が重大なリスクにさらされている。

Palo Alto Firewall の脆弱性 CVE-2026-0300：未認証 root での任意のコード実行と PoC の登場

Palo Alto Firewalls Hit by Zero-Day Allowing Arbitrary Code Execution as Root

2026/05/15 gbhackers — Palo Alto Networks のファイアウォールにおけるゼロデイ脆弱性が積極的に悪用され、国家に支援されると推測される未認証の攻撃者が、エンタープライズのセキュリティ基盤を完全に掌握するリスクが生じている。この脆弱性 CVE-2026-0300 (CVSS：9.3：Critical) は、PAN-OS ソフトウェアの User-ID Authentication Portal サービスに存在し、遅くとも 2026年4月9日には武器化されている。2026年5月6日に情報が公開される前から、攻撃者は数週間にわたり露出システムを侵害する機会を有していた。

Google Chrome の脆弱性 79件が FIX：Critical 14 件 High 38件

79 Chrome Vulnerabilities Patched, Including 14 Critical One’s – Update Now!

2026/05/15 CyberSecurityNews — Google は Chrome ブラウザの 79件の脆弱性を修正し、攻撃者による悪用を緩和した。そのうち 14件は Critical に分類されており、未修正のバージョンで Web を閲覧すると、システム全体への深刻なサイバー攻撃に至る可能性がある。最新の stable リリースでは、Windows／Mac 向けの 148.0.7778.167／168 と、Linux 向けの 148.0.7778.167 が提供されている。

cPanel の CVE-2026-41940 に関する注意事項：5月の脆弱性群との連鎖の可能性

Multiple cPanel Vulnerabilities Could Lead to Sensitive Resource Exposure

2026/05/15 gbhackers — cPanel & WHM で先日に公開された脆弱性 CVE-2026-41940 (Critical) や、2026年5月に公開された脆弱性群を悪用する攻撃者が、標的サーバ上の機密性の高いリソースやホスティング・アカウントへアクセスするリスクが生じている。それらの脆弱性の中の少なくとも 1件が、すでに積極的に悪用されているため、インターネットに公開された cPanel インスタンスを運用する組織は、ただちに更新を実施する必要がある。

GitLab の脆弱性群が FIX：高深刻度の XSS や DoS の可能性に対応

GitLab Security Flaw Allows Cross-Site Scripting and Unauthenticated DoS

2026/05/14 gbhackers — GitLab が公開したのは、大規模な脆弱性群に対する緊急セキュリティ・アップデートである。これらの新規の脆弱性を悪用する脅威アクターは、開発者セッションの乗っ取り、未認証攻撃による CI/CD パイプラインの完全な停止などを可能にする。

macOS のメモリ整合性保護バイパスの脆弱性：Anthropic Mythos による発見とエクスプロイト生成

Anthropic’s Mythos AI Reportedly Found macOS Vulnerabilities that Could Bypass Apple Security

2026/05/14 CyberSecurityNews — Apple macOS における 2件の脆弱性が、Anthropic の非公開 AI モデル Mythos の初期バージョンの手法を用いて発見された。これらのバグが連鎖的に悪用されると、Apple の高度なメモリ整合性保護をバイパスする権限昇格のエクスプロイトが生じ、本来はアクセス不可とされるシステム領域への不正アクセスが可能になる。サイバー・セキュリティ企業 Calif から提出された 55ページのレポートを、Apple が精査している最中であり、検証が完了後にパッチが提供される見込みである。

WordPress Burst Statistics の脆弱性 CVE-2026-8181 が FIX：管理者権限奪取の可能性

Critical WordPress Plugin Flaw Allows Unauthorized Access to Websites

2026/05/14 gbhackers — 広く使用されている WordPress プラグインにおける重大な脆弱性 CVE-2026-8181 (CVSS 9.8) により、20万以上の Web サイトが乗っ取りの危険にさらされており、セキュリティ・コミュニティ全体で緊急の懸念が高まっている。AI 駆動の PRISM プラットフォームを用いる Wordfence のセキュリティ研究者が、プライバシーのための分析ツール Burst Statistics プラグインの深刻な認証バイパスの脆弱性を発見した。この脆弱性を悪用する攻撃者は、正当な認証情報を必要とせずに管理者レベルのアクセスを取得できる。