IoT OT Security News

WinRAR の脆弱性 CVE-2026-14191 が FIX：ヒープオーバーフローによるクラッシュに対応

WinRAR 7.23 Fixes Heap Overflow Vulnerability that Leads to Application Crashes

2026/07/02 CyberSecurityNews — WinRAR が公表したのは、RAR5 の recovery volume 処理コードにおけるヒープ・オーバーフローの脆弱性 CVE-2026-14191 である。この脆弱性は、悪意の recovery volume (.rev) データによりトリガーされる可能性があり、アプリケーションのクラッシュやメモリ破壊を介して、さらなる悪用を引き起こす恐れがある。

ClamAV の脆弱性 CVE-2026-20213／20214／20215 が FIX：サービス拒否 (DoS) の可能性

Multiple ClamAV Vulnerabilities Allow Remote Attacker to Cause a DoS Condition

2026/07/02 CyberSecurityNews — Cisco の ClamAV engine に、高深刻度の脆弱性 CVE-2026-20213／20214／20215 が発見された。これらの脆弱性を悪用するリモート攻撃者は、アンチウイルスのスキャン・プロセスをクラッシュさせ、影響を受ける Cisco Secure Endpoint Connector デプロイメントにおいてサービス拒否 (DoS) を引き起こす可能性がある。

JetBrains の深刻な脆弱性 CVE-2026-56141／56142／50242 が FIX：認証バイパスとアカウント乗っ取りの恐れ

JetBrains Patches Critical Hub Authentication Bypass and Account Takeover Vulnerabilities

2026/07/02 gbhackers — JetBrains が公開したのは、JetBrains Hub における複数の深刻な脆弱性に対するパッチである。これらの脆弱性を悪用する攻撃者は、認証の完全な回避／アカウント乗っ取りなどに加えて、統合された JetBrains サービス全体にわたる認可されていない権限昇格を引き起こす可能性がある。管理者に求められるのは、Hub インスタンスを直ちにアップデートすることである。

Claude Cowork の Sandbox に脆弱性：root 権限での任意のコマンド実行の可能性

Claude Cowork’s Sandbox Vulnerability Allows Attackers to Run Arbitrary Commands as Root

2026/07/02 CyberSecurityNews — Anthropic の Claude Cowork における脆弱性チェーンを悪用する攻撃者は、ローカルでのコード実行を可能にする権限昇格を達成する。その結果として、Claude の基盤となる Linux sandbox 内で、root として任意のコマンドを実行できる。この問題は、Anthropic の環境に組み込まれた防御の全レイヤーを回避するものである。Claude Cowork は Anthropic のナレッジワーカー向けの製品であり、非技術者のユーザーが Claude Code を活用してツールを構築し、データを処理できるように設計されている。

CISA KEV 警告 26/07/01：SharePoint Server の脆弱性 CVE-2026-45659 を KEV に登録

CISA Adds Actively Exploited Microsoft SharePoint Vulnerability to KEV Catalog

2026/07/02 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が、Microsoft SharePoint Server の新たに発見された脆弱性 CVE-2026-45659 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この対応が浮き彫りにするのは、エンタープライズ環境における脆弱性の積極的な悪用が継続している状況である。

Citrix NetScaler CitrixBleed 脆弱性 CVE-2026-8451：公開から 24h で悪用を確認

CitrixBleed Vulnerability Exploited by Hackers Within 24 Hours of Public Disclosure

2026/07/02 CyberSecurityNews — Citrix NetScaler アプライアンスの新たな CitrixBleed 系脆弱性は、公表から 1日も経たないうちに活発に悪用され始めている。デコイ・インフラを運用する Lupovis が確認したのは、3 つの別個のセンサー展開環境にまたがる連携したスキャンと悪用のキャンペーンである。Citrix がアドバイザリ CTX696604 を公表し、watchTowr Labs が CVE-2026-8451 向け Detection Artifact Generator を公開してから 24 時間以内に、Lupovis のデコイ・インフラが検知したのは、SAML Identity Provider として構成された NetScaler アプライアンスを標的とする組織的なスキャン・キャンペーンである。

Cisco Catalyst Center の脆弱性 CVE-2026-20191 が FIX：リモートからの機密データ窃取の恐れ

Cisco Catalyst Center Vulnerability Allows Remote Attackers to Read Arbitrary Files

2026/07/02 CyberSecurityNews — Cisco が公表したのは、Catalyst Center プラットフォームに存在する深刻な脆弱性に関する情報である。この脆弱性 CVE-2026-20191 (CVSS：7.5) は不適切な入力検証に起因するパス・トラバーサルの欠陥 (CWE-22) であり、未認証のリモート攻撃者に対して、影響を受けるシステム上での任意のファイル読み取りを許す可能性がある。

Fortinet 認証情報窃取キャンペーン FortiBleed を追跡：INC／Lynx ランサムウェアとの関連を確認

FortiBleed credential-theft campaign linked to Lynx ransomware

2026/07/01 BleepingComputer — Fortinet を標的とする、大規模な “FortiBleed” 認証情報窃取キャンペーンが、INC および Lynx のランサムウェア活動と関連していることが判明した。それにより示唆されるのは、すでに窃取されていた Fortinet の認証情報が、その後のネットワーク侵入を促進する目的で悪用されていたことである。このキャンペーンに先立ち、73,000 台を超える Fortinet デバイスから窃取した認証情報を格納するサーバが、インターネット上で公開されている状態で発見された。

Cursor IDE の RCE 脆弱性 CVE-2026-50548／50549：プロンプト・インジェクションによるサンドボックス・エスケープ

Critical Cursor IDE RCE Vulnerabilities Enable Prompt Injection in Zero-Click

2026/07/01 CyberSecurityNews — AI 搭載開発環境 Cursor IDE に存在する、2件の重大なリモート・コード実行 (RCE) 脆弱性 CVE-2026-50548／CVE-2026-50549 (CVSS 9.8) が、Cato AI Labs により報告された。DuneSlide と名付けられた、これらの脆弱性を悪用する攻撃者は、Cursor のサンドボックスからの完全なエスケープを達成する。

Oracle EBS の脆弱性 CVE-2026-46817 の悪用を観測：インターネット上に 900 超のインスタンス

Over 900 Oracle E-Business instances exposed to ongoing attacks

2026/07/01 BleepingComputer — Oracle E-Business Suite (EBS) の重大なセキュリティ上の欠陥を悪用する攻撃が続いているが、そのインスタンス 900件以上がインターネット上に公開されていることが判明した。この脆弱性 CVE-2026-46817 は、EBS の Oracle Payments 製品に含まれる File Transmission コンポーネントに存在する。HTTP 経由のネットワーク・アクセスを有する脅威アクターは、この脆弱性を権限を必要とすることなく悪用し、複雑性の低い攻撃を通じて脆弱なシステムを乗っ取ることができる。

Claude Fable 5 と Mythos 5 に対する輸出規制：米国商務省が正式に解除

U.S. Lifts Export Controls on Claude Fable 5 and Mythos 5

2026/07/01 CyberSecurityNews — 米国商務省は、Anthropic の AI モデルである Claude Fable 5 および Mythos 5 に対する輸出管理上の制限を正式に撤回した。これにより、同社の最先端システムへのアクセスを妨げていた、18日間にわたる全面的なアクセス停止措置は、段階的な緩和を経て正式に幕を閉じた。2026年6月30日付の書簡において、「Mythos または Fable モデルの輸出／再輸出／国内移転 (みなし輸出またはみなし再輸出を含む) において、もはやライセンスは必要なくなった」と、商務長官 Howard Lutnick から Anthropic の Chief Compute Officer である Tom Brown に対して通知が行われた。

Microsoft 365 ユーザーを狙うパスワード窃取キャンペーン：8,100 万件のログイン試行を観測

Massive Password Stealing Attack Targeting Microsoft 365 Users With 81 Million Login Attempts

2026/07/01 CyberSecurityNews — Microsoft の Azure CLI およびレガシー OAuth フローを積極的に悪用する、大規模な自動化パスワード・スプレー・キャンペーンにより、多要素認証 (MFA) を導入している組織においても Entra ID アカウントが侵害されている。Huntress が追跡しているのは、Microsoft 365 および Azure CLI のログインを標的とする、パスワードおよびトークンに対する継続的なスプレー・キャンペーンである。この活動は、2026年6月12日から 6月26日にかけて急増した。

Anthropic buffa ライブラリのゼロデイ脆弱性 CVE-2026-55407 が FIX：22 倍のメモリ増幅で DoS を誘発

Anthropic buffa Library Zero-Day Lets Attackers Trigger Memory-Amplification DoS

2026/07/01 gbhackers — Anthropic の Rust ベースの protobuf ライブラリ “buffa” に、ゼロデイのメモリ増幅型サービス拒否 (DoS) の脆弱性 CVE-2026-55407 が存在することが判明した。この脆弱性を悪用する攻撃者は、比較的少量の入力でシステム・メモリを枯渇させることが可能となる。AI を活用した静的アプリケーション・セキュリティ・テスト (SAST) エンジンを通じて、Endor Labs がこの問題を特定した。脆弱性 CVE-2026-55407 が浮き彫りにしたのは、メモリ・セーフなプログラミング言語におけるロジック上の欠陥が、依然として深刻なリソース枯渇を引き起こす可能性があることだ。

Google Chrome 150 がリリース：最新アップデートで 433 件の脆弱性を修正

Chrome Update Patches 382 Vulnerabilities Including 15 Critical One’s that Enables Code Execution Attacks

2026/07/01 CyberSecurityNews — Chrome 150 の最新 Stable チャネルにおいて、433 件のセキュリティ脆弱性を修正するパッチが提供されている。このリリースには、リモート・コード実行やブラウザ全体の乗っ取りにつながる可能性がある 20 件の深刻な脆弱性が含まれるため、未パッチでの放置は、きわめて危険である。このアップデートは、Windows／macOS／Linux／Chrome for iOS 向けに展開されており、セキュリティ修正はブラウザ・スタックの大半のコア・コンポーネントに及ぶ。

Citrix NetScaler ADC／Gateway に 6件の脆弱性：メモリ範囲外読み取りと DoS 攻撃の恐れ

Citrix NetScaler ADC and Gateway Flaws Let Attackers Trigger Memory Overread and Denial-of-Service

2026/07/01 gbhackers — Citrix が公開したのは、NetScaler ADC／Gateway に存在する複数の深刻な脆弱性に対処するセキュリティ情報である。これらの脆弱性を悪用する攻撃者は、影響を受ける環境においてメモリの範囲外読み取り／任意ファイルへのアクセス／サービス拒否 (DoS) 状態を引き起こす可能性がある。今回の脆弱性は、CVE-2026-8451／CVE-2026-8452／CVE-2026-8655／CVE-2026-10816／CVE-2026-10817／CVE-2026-13474 である。

Adobe ColdFusion 2025／2023 緊急アップデート：RCE などの深刻な 11件の脆弱性に対応

Adobe ColdFusion Critical Vulnerabilities Let Attackers Execute Arbitrary Code

2026/07/01 gbhackers — Adobe が公開したのは、ColdFusion 2025／ 2023 に存在する 11 件の脆弱性に対処する緊急セキュリティ情報 APSB26-68 である。2026年6月30日に公開されたセキュリティ情報において、複数の脆弱性が CVSS 10.0 と評価され、Adobe の最高優先度である Priority Rating 1 が付与されている。それが示すのは、一連の脆弱性に対する積極的な標的化と悪用のリスクが極めて高いことである。

Apache Tomcat の脆弱性 CVE-2026-55957／55956 が FIX：認証バイパスの恐れ

Multiple Apache Tomcat Vulnerabilities Allow Attackers to Bypass Authentication

2026/07/01 CyberSecurityNews — Apache Software Foundation が公開したのは、Web アプリケーションを保護する認証およびセキュリティ制約のバイパスを、攻撃者に対して許す可能性がある Apache Tomcat の脆弱性 CVE-2026-55957／CVE-2026-55956 である。これらの欠陥は、広く導入されているサーブレット・コンテナの複数の主要バージョンに影響するものであるため、各種のエンタープライズ環境に対して緊急のアップグレードが推奨されている。

Anthropic に対する批判：中国系ユーザーを識別する隠しコードとは？

Anthropic’s Claude Code Reportedly Uses Hidden Code to Detect Chinese Users

2026/06/30 CyberSecurityNews — Reddit での情報開示が、開発者の信頼と秘密裏の監視を巡る、深刻な議論を引き起こしている。この開示で主張されているのは、Anthropic が Claude Code CLI ツール内に未公表の検出ロジックを埋め込み、中国のユーザーと、中国の AI ラボのプロキシを介してトラフィックをルーティングするユーザーを標的にしていたという件である。

Anthropic Sonnet 5 がリリース：エージェントに適した機能と Opus 4.8 に迫る性能

Anthropic rolls out Sonnet 5 with near-Opus 4.8 performance at a lower price

2026/06/30 BleepingComputer — Anthropic が展開する Sonnet 5 は、Opus 系列とほぼ同等の性能を持つが、同社のフラッグシップ・モデルよりも低コストになるよう設計されている。Anthropic はブログ投稿で、「Claude Sonnet 5 は、これまでの中で、最もエージェントに適したモデルになるよう構築されている。計画を立てる能力や、ブラウザおよびターミナルなどのツールを使用する能力といった、高度な機能を備えている」と述べている。

WolfSSL の複数の脆弱性が FIX：TLS の信頼メカニズが損なわれる

Multiple WolfSSL Vulnerabilities Expose Billions of Servers and IoT Devices to Cyberattacks

2026/06/30 CyberSecurityNews — TLS ライブラリである wolfSSL に、複数の新たな脆弱性が発見された。それらの脆弱性が悪用されると、数十億台のサーバおよび Internet of Things (IoT) デバイスが、証明書偽造／リモート・コード実行／サービス拒否攻撃などにさらされる。これらの欠陥は、TLS における中核的な信頼メカニズムを損なうものである。wolfSSL が導入されている広範な環境において、証明書検証をバイパスした攻撃者がバッファ・オーバーフローを悪用し、ポスト量子および現代的な暗号保護を弱体化する可能性がある。

Perplexity AI を偽装する悪意の Chromium エクステンション：ブラウザ検索からユーザー入力を収集

Malicious Chromium Extension Spoofs Perplexity AI to Hijack Browser Searches

2026/06/30 gbhackers — Perplexity AI ブランドを偽装し、ブラウザ検索を傍受してキーストロークを取得した後に正規の検索結果へとユーザーを誘導する、悪意の Chromium エクステンションが確認された。その攻撃チェーンとして、検索クエリおよび関連テレメトリを、攻撃者が制御するインフラへ記録する、ステルス性の高い 2 ホップの傍受パイプラインが構築されていた。悪意のエクステンションを Google に報告したのは Microsoft であり、この記事の執筆時点では Chrome Web Store から削除されている。

SimpleHelp の脆弱性 CVE-2026-48558：Djinn Stealer を展開するキャンペーンを確認

SimpleHelp Authentication Bypass Vulnerability Exploited in the Wild to Deploy TaskWeaver Loader

2026/06/30 CyberSecurityNews — SimpleHelp の Remote Monitoring and Management (RMM) ソフトウェアに存在する、深刻な認証バイパス脆弱性が実環境で積極的に悪用されている。それにより展開されているのは、新たに確認されたローダー TaskWeaver や、情報窃取ツール Djinn Stealer などの高度なマルウェアである。Blackpoint – Adversary Pursuit Group (APG) のセキュリティ研究者によると、この侵入チェーンは CVE-2026-48558 の悪用から始まるという。

Windows Server 2025 を標的とする NTLM リレー攻撃：緩和策を回避する PoC の詳細

PoC Released for NTLM reflection bypass Vulnerability that Emanbles SYSTEM Access on Windows Server

2026/06/30 gbhackers — NTLM リフレクションの脆弱性 CVE-2025-33073 に対して Microsoft が実施した緩和策を回避し、Windows Server 上で NT AUTHORITY\SYSTEM への権限昇格を可能にする PoC が公開された。これにより、実用的なローカル権限昇格が引き起こされるため、脆弱なサーバ上でのリモート・コード実行 (RCE) を可能にする、連鎖攻撃のシナリオが成立する。

Progress Kemp LoadMaster の脆弱性 CVE-2026-8037 が FIX：任意のコード実行の恐れ

Critical Progress Kemp LoadMaster Vulnerability Enables Pre-Auth Remote Code Execution

2026/06/30 gbhackers — Progress の Kemp LoadMaster に、深刻な認証前のリモート・コード実行 (RCE) の脆弱性 CVE-2026-8037 が発見された。広く導入されている Kemp LoadMaster の脆弱性を悪用する、デバイス API にアクセス可能な未認証攻撃者は、LoadMaster の API 処理に存在する初期化されていないメモリ／文字列終端のバグを突くことで、任意のシェル・コマンドを実行できる。さらに LoadMaster は、ネットワーク・エッジに配置されるため、この脆弱性の悪用に成功した攻撃者に対して、ネットワーク内へ侵害の足掛かりを提供する可能性がある。

Nissan が確認したデータ侵害：Oracle PeopleSoft の脆弱性 CVE-2026-35273 が原因と判明

Nissan Confirms Data Breach Following Oracle PeopleSoft 0-Day Attacks

2026/06/30 CyberSecurityNews — Nissan Americas が正式に確認したのは、ShinyHunters 恐喝グループによるキャンペーンを実行する脅威アクターが、Oracle PeopleSoft ソフトウェアの深刻なゼロデイ脆弱性を悪用し、4カ国の現職従業員と元従業員に影響するデータを侵害したことだ。

中国の最先端 AI Model：Anthropic Mythos に匹敵する性能を示している

Chinese AI Models Challenge Anthropic’s Mythos in Cybersecurity

2026/06/30 SecurityBoulevard — 中国の AI 開発企業が、サイバーセキュリティ分野における能力を急速に強化している。研究者によると、ソフトウェア脆弱性を特定するために設計された、米国の主要システムの性能に近づく新たなモデルおよびツールが導入されている。

Hoppscotch の脆弱性 CVE-2026-50160 が FIX：JWT_SECRET の上書きと Admin Token の生成

Critical Hoppscotch Vulnerability Lets Attackers Overwrite JWT_SECRET and Forge Admin Tokens

2026/06/29 gbhackers — セルフホスト型 Hoppscotch バックエンドで、深刻なセキュリティ脆弱性 CVE-2026-50160 が発見された。この軽量 API テストツールの脆弱性を悪用する未認証の攻撃者は、JWT 署名シークレットなどの機密性の高いコンフィグ値を上書きし、影響を受けるインスタンスの管理権限を完全に掌握する可能性がある。

Gemini CLI の脆弱性 CVE-2026-12537 が FIX：任意のコード実行の恐れ

Critical Gemini CLI Vulnerability Lets Attackers Execute Arbitrary Code

2026/06/29 CyberSecurityNews — Google の Gemini CLI に存在する、深刻なセキュリティ脆弱性 CVE-2026-12537 が開示された。この脆弱性を悪用する攻撃者は、特定の CI/CD 環境において、特に GitHub Actions のワークフローにおいて、任意のコード実行を引き起こす機会を得る。この脆弱性が影響を及ぼす範囲は、複数のバージョンの Gemini CLI および関連する GitHub Action である。

Anthropic Claude Mythos 5 へのアクセスが再開：米国組織のサイバー防御強化を支援

Claude Mythos 5 Redeployed to Help U.S. Organizations Strengthen Cyber Defense

2026/06/29 gbhackers — Anthropic の AI モデルである Claude Mythos 5 へのアクセスが、国家の重要インフラを防御する一部の米国組織に対して正式に復旧された。この復旧により、2026年6月12日に始まった 2週間の停止は終了したが、それが促すのは、AI 開発企業と連邦当局の間での高レベルの協議となる。

Dell Wyse Management の深刻な脆弱性 CVE-2026-41120／49506 が FIX：RCE の恐れ

Critical Dell Wyse Management Suite Vulnerabilities Let Attackers Execute Remote Code

2026/06/29 gbhackers — Dell Technologies が公表したのは、同社の Wyse Management Suite (WMS) に存在する複数の重大な脆弱性に関する情報である。これらの脆弱性を悪用するリモート攻撃者は、任意のコードを実行し、影響を受けるシステムを完全に侵害する可能性がある。

OpenAI が GPT-5.6 Sol をリリース：特定の組織に向けて最高レベルのサイバー防御を提供

OpenAI Released GPT-5.6 Sol With Limited Access and Strong Cyberattack Protections

2026/06/29 CyberSecurityNews — OpenAI が公表したのは、GPT-5.6 モデル・シリーズである Sol／Terra／Luna の限定プレビューの正式な開始である。同社の主力モデルである Sol は、これまでにおいて最も高性能であり、セキュリティを強化した AI モデルとして位置付けられている。ただし、現時点ではトランプ政権からの正式な要請により、少数の信頼できるパートナーのみに提供されている。

Microsoft 365 Apps の RCE 脆弱性 CVE-2025-60727：細工された Excel ファイルとコード実行

Microsoft 365 Apps RCE Vulnerability Lets Attackers Execute Code via Malicious Excel Files

2026/06/29 gbhackers — 新たに公表された Microsoft 365 Apps のリモート・コード実行 (RCE) の脆弱性が、エンタープライズ環境での懸念を高めている。悪意の Excel ドキュメントを用いる攻撃者により、標的システム上での任意のコード実行が可能になる。脆弱性 CVE-2025-60727 は、Microsoft Excel のファイル解析メカニズムに存在する範囲外読み取り (CWE-125) に起因する欠陥である。SentinelOne の報告によると、攻撃者はメモリ破損を引き起こし、ログイン中のユーザーのコンテキストでコードを実行できるとされている。

Splunk Secure Gateway の RCE 脆弱性 CVE-2026-20251：PoC エクスプロイトが公開

Public PoC Released for Deserialization RCE Vulnerability in Splunk Secure Gateway

2026/06/29 CyberSecurityNews — Splunk Secure Gateway (SSG) に影響を及ぼす、深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2026-20251 の PoC エクスプロイトが公開された。この脆弱性の CVSS スコアは 8.8 と評価されており、低権限の認証済み攻撃者であれば、管理者やパワー・ユーザーのロールを必要とせずに、Splunk ホスト・サーバ上で任意のコードを実行できる。

AI が生成する Mythic エージェント：従来の静的シグネチャとインプラント検出からの脱却とは？

AI-Generated Mythic Agents Challenge Static Signatures and Traditional Implant Detection

2026/06/29 gbhackers — LLM を悪用する “使い捨てツール” の登場が、攻撃側の戦術／手法を再定義しつつあり、静的シグネチャや既知のインプラントの振る舞いに依存する検出モデルの見直しを、防御側に対して迫っている。最近の実験では、プロンプトからデプロイまでをカバーする、Mythic エージェントの自動生成が実証されている。そこで明らかにされたのは、LLM とオーケストレーション・ハーネスにより個別に生成される、短命かつ使い捨てのインプラントという新たな脅威クラスである。

Oracle E-Business Suite の CVE-2026-46817：実環境での脅威アクターの悪用を観測

Hackers Exploiting Critical Oracle E-Business Suite Vulnerability Actively in Attacks

2026/06/29 CyberSecurityNews — Oracle E-Business Suite (EBS) に存在する認証回避と権限昇格を可能にする深刻な脆弱性 CVE-2026-46817 を悪用する、未認証のリモート脅威アクターが、乗っ取りの活動を積極的に展開している。2026年6月27日から 28日にかけての週末に、ハニーポット・インフラで実際の攻撃活動が確認された。

中国の Zhipu AI と Claude Mythos を比較：脆弱性の識別における性能は同等

China’s New Zhipu AI Reportedly Matches Claude Mythos in Vulnerability Detection

2026/06/29 CyberSecurityNews — Zhipu AI のオープンウェイト・モデルである GLM-5.2 は、特定のサイバーセキュリティおよびソフトウェア脆弱性の検出タスクにおいて、Anthropic Claude Mythos と同等の性能を発揮すると報じられている。この Zhipu の進展により、米国政府内における AI 輸出規制戦略の有効性をめぐる懸念が高まっている。

Anthropic Claude Mythos 5 のアクセスを復旧：米国重要インフラ組織に再配備

Anthropic Confirms Claude Mythos 5 Redeployment for US Critical Infrastructure Organizations

2026/06/27 CyberSecurityNews — Anthropic の最も強力な AI サイバーセキュリティ・モデル Claude Mythos 5 が、2026年6月12日に開始された政府主導の審査プロセスを経て、重要インフラの運用／防御を担う米国の一部組織に再配備される。2026年4月に注目を集めたモデル Claude Mythos は、Anthropic によりサイバーセキュリティにおける転機点として位置付けられ、その能力が極めて高いことから一般公開が見送られていた。

KDDI がメール・システム侵害を公表：最大 1,422 万人の認証情報が流出した可能性

Data breach exposes up to 14.2 million email logins at six ISPs

2026/06/28 BleepingComputer — 日本の通信事業者である KDDI Corporation は、国内の ISP 5 社が利用するメール・システムで発生した、不正アクセスによるデータ侵害について公表した。この侵害は 6月17日に発見されたが、直ちに攻撃を遮断し防御措置を実施したと、KDDI は述べている。

Amazon Q Developer の脆弱性 CVE-2026-12957／12958 が FIX：任意のコード実行と AWS 認証情報窃取の恐れ

Amazon Q Developer Vulnerability Allows Code Execution via Malicious Repositories

2026/06/27 gbhackers — Visual Studio Code (VS Code) 向けの Amazon Q Developer Extension で発見された 2 件の深刻な脆弱性 CVE-2026-12957／CVE-2026-12958 により、任意のコード実行やクラウド認証情報の窃取の危険に、開発者たちがさらされている。それが浮き彫りにするのは、AI コーディング・アシスタントにおける信頼境界の管理方法の問題である。

Linux カーネルの脆弱性 CVE-2026-46331 FIX：root 権限奪取の恐れ

New Linux pedit COW Exploit Allows Attackers to Gain System Root Access

2026/06/26 CyberSecurityNews — 新たに公開された Linux Kernel の脆弱性 CVE-2026-46331 は、Copy-on-Write (COW) のページ・キャッシュ破損の欠陥と、”net/sched” サブシステムの act_pedit コンポーネントを組み合わせたものである。この脆弱性を悪用する低権限のローカル攻撃者は、複数の主要な Linux ディストリビューションにおいて、完全な root 権限への昇格が可能となる。この “packet_edit_meme” と呼ばれるエクスプロイトは、現時点でサポート対象となっているエンタープライズ／コンシューマー向け Kernel を対象として、2026年6月に検証されている。

CISA KEV 警告 26/06/25：Cisco UCM と PTC の脆弱性を KEV に登録

CISA sets urgent deadline to fix Cisco flaw exploited in attacks

2026/06/26 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている Cisco Unified Communications Manager Server の脆弱性に対して、6月28日までの 3日間でパッチを適用するよう、連邦政府機関に求めている。この Server-Side Request Forgery (SSRF) の脆弱性 CVE-2026-20230 は、同機関の Known Exploited Vulnerabilities (KEV) カタログに追加された。

python.org の深刻な脆弱性 CVE-N/A が FIX：リリース管理 API の認証回避の欠陥に対応

Critical python.org Vulnerability Allowed Attackers to Forge Admin-Level API Requests

2026/06/26 CyberSecurityNews — python.org のリリース管理 API に存在する、深刻な認証回避の脆弱性 CVE-N/A を悪用する攻撃者は、管理者への成りすましを可能にしていた。これにより、悪意のダウンロード URL へと、数百万人のユーザーを誘導していた可能性がある。この欠陥は、2026年2月23日に DEVCORE Research Team の Splitline Ng が適切に開示したものであり、最初の報告から48時間以内に修正が施された。

WinRAR の脆弱性 CVE-2025-8088 を武器化：Startup ショートカットの配備と PowerShell の実行

Hackers Exploit WinRAR CVE-2025-8088 to Plant Startup Shortcut and Run PowerShell Loader

2026/06/26 gbhackers — WinRAR のパストラバーサルの脆弱性 CVE-2025-8088 を武器化するハッカーたちが、Startup ショートカットを密かに設置している。このキャンペーンでは、ヘッダーレスでリフレクティブ・ロードされる PE (Portable Executable) をメモリ上にマッピングするという、多段階の PowerShell ローダーが実行されている。

AI が自動化する脆弱性の検出：2025年の 29% から 2026年の 9% へと低下

Trust in Automated AI Vulnerability Scanning Collapses to 9%, New Study Finds

2026/06/25 infosecurity — 脆弱性に対する自動化 AI テストへの信頼が、多数の偽陰性により大幅に損なわれていることが、Cobalt の新たな調査で明らかになった。Cobalt State of Pentesting Report 2026 は、2025年と 2026年に実施された 2件の比較調査に基づくものであり、約450人のサイバーセキュリティ専門家を対象としている。

ManageEngine AD360 の脆弱性 CVE-2026-11374 が FIX：アイデンティティ／アクセス管理に深刻な影響

ManageEngine AD360 Integration Flaw Exposes User Identity and Role Information to Attackers

2026/06/25 CyberSecurityNews — ManageEngine が開示した深刻度 High の脆弱性 CVE-2026-11374 は、AD360 との統合において、同社の複数のアイデンティティおよびアクセス管理ソリューションに影響を及ぼすものである。この欠陥を突く未認証の攻撃者は、Single Sign-On (SSO) トークンを予測し、アカウント乗っ取りや高機密性のユーザー情報の露出を引き起こす恐れがある。

Langflow の RCE 脆弱性 CVE-2026-33017：短時間での武器化と Python コード実行

Langflow RCE Flaw Lets Attackers Execute Arbitrary Python Code Without Authentication

2026/06/25 gbhackers — Langflow のリモートコード実行 (RCE) 脆弱性 CVE-2026-33017 が、情報の開示から数時間以内に実環境で積極的に悪用されている。この脆弱性を悪用する攻撃者は、認証を必要とすることなく、公開されているインスタンス上で任意の Python コードを実行できる。この脆弱性が影響を及ぼす範囲は、LLM を活用するパイプラインおよび Retrieval-Augmented Generation (RAG) システムの構築で広く利用されている、オープンソースの AI ワークフロー・フレームワークとなる。これにより、AI 主導の環境における攻撃対象領域が大幅に拡大する。

Gemini 3.5 Flash に Computer Use が登場：インテリジェント・エージェントの開発を促進

Gemini 3.5 Flash Released With Computer Use Capabilities that Build Agents

2026/06/25 CyberSecurityNews — Google が公表したのは、ネイティブの “Computer Use” 機能を備えた Gemini 3.5 Flash の正式なリリースである。このバージョンが示すのは、デジタル環境と直接対話できる自律型 AI エージェントへの大きな転換である。このアップデートは 2026年6月24日に発表されたものであり、ブラウザ／モバイル／デスクトップ全体でアクションを実行するための、インテリジェント・エージェントの開発を可能にするものだ。

curl 8.21.0 がリリース：暗号情報の漏洩やシステムの異常終了などの 18件の問題に対処

Curl 8.21.0 Released With 18 Security Fixes

2026/06/25 gbhackers — curl プロジェクトが、275 回目のリリースとなるバージョン 8.21.0 を発表した。このリリースには重要なセキュリティ・アップデートが含まれており、新たに開示された 18 件の脆弱性に対処している。今回のアップデートは、通常よりも多くのセキュリティ報告を反映したものである。2026年6月24日に、プロジェクト・メンテナーである Daniel Stenberg により新バージョンが発表された。このリリースは、単一リリースで対処される脆弱性の件数と、1 年間で対処される件数の双方で、過去最多を記録した。

Google Chrome 149 のアップデート：任意のコード実行などの 18 件の脆弱性に対処

Chrome 149 Security Update — Patch for Critical Flaws that Enable Code Execution Attacks

2026/06/24 CyberSecurityNews — Google がリリースしたのは、Chrome ブラウザ向けの深刻なセキュリティ・アップデートであり、Stable チャネルにおいて Windows／Mac 向けのバージョン 149.0.7827.196／197 を、Linux 向けのバージョン 149.0.7827.196 を提供している。このアップデートでは、計 18 件のセキュリティ脆弱性に対処しており、その内訳は Critical が 4 件／High が 14 件となっている。一連の脆弱性を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行を引き起こす可能性がある。