Critical GitLab Code Injection Vulnerability Actively Exploited in Attacks
2026/08/21 CyberSecurityNews — 自己管理型 GitLab Community Edition／Enterprise Edition インスタンスに影響を及ぼす、認証を必要としない深刻なコード・インジェクションの脆弱性 CVE-2026-19478 (CVSS 9.4) の悪用試行をセキュリティ研究者が確認した。この脆弱性を悪用するリモート攻撃者は、GitLab の GraphQL インターフェイスを介して、公開プロジェクトおよび関連するユーザー・データを変更または削除する可能性がある。GitLab は通常のセキュリティ・リリース・スケジュールとは別に、2026年8月17日に緊急アップデートをリリースしており、GitLab の管理者には速やかなパッチ適用が求められる。
Continue reading “GitLab の脆弱性 CVE-2026-19478 が FIX：実環境での悪用試行を確認”Google Chrome 151 Update Fixes 7 Security Flaws Enabling Remote Code Execution and Sandbox Escape
2026/08/21 gbhackers — Google が公表したデスクトップ版 Chrome バージョン 151 では 7 件のセキュリティ脆弱性が修正され、Stable 版チャネル向けにリリースされている。これらの脆弱性には、深刻度 Critical の解放後使用の脆弱性に加えて、V8／DOM／Workers／ネットワーク／Linux Toolkit Theming など、複数のブラウザ・コンポーネントに影響を及ぼす深刻度 High の問題が含まれている。今回のアップデートでは、Windows／macOS 向けのバージョン 151.0.7922.173／174 と、Linux 向けのバージョン 151.0.7922.173 が順次展開される。
Microsoft Entra ID Remote Code Execution Vulnerability Exploited in the Wild
2026/08/21 CyberSecurityNews — Microsoft が確認したのは、同社のクラウドベースの ID／アクセス管理プラットフォーム Entra ID に存在する、深刻なリモート・コード実行 (RCE) 脆弱性がすでに実環境で悪用されていることである。この脆弱性 CVE-2026-69836 は、2026年8月20日に公表され、最も深刻な Critical と評価されている。Microsoft 365／Azure／多数のサードパーティ・アプリケーション上で、ユーザー認証を Entra ID に依存する組織にとって、この脆弱性は極めて危険である。
Critical Spring Security LDAP Flaw Lets Remote Attackers Read and Modify Directory Data
2026/08/21 gbhackers — Spring Security に組み込まれている UnboundID LDAP サーバに、深刻な脆弱性が確認された。この欠陥を突くリモート攻撃者は、既知の Admin バインド DN を悪用して認証を回避し、アプリケーションのインメモリ LDAP ディレクトリに保存されたデータの読み取り／変更を行う可能性がある。2026年8月20日に公表された脆弱性 CVE-2026-59270 が影響を及ぼす範囲は、Spring Security の UnboundIdContainer を直接使用するアプリケーションおよび、Spring Boot の組み込み LDAP 自動設定を介して使用されるアプリケーションである。
Hackers poison arrayref Rust crate to push infostealer malware
2026/08/20 BleepingComputer — 広く利用される Rust クレート arrayref のメンテナ・アカウントを侵害した攻撃者が、開発者のシステム上でコンパイル時に実行されるマルウェアを仕込んだ。同じサプライ・チェーン攻撃の一環として、append-only-vec／internment という 2 つのクレートも 23 分の間に汚染された。arrayref クレートは、暗号技術／グラフィック／ブロックチェーン・ツールで使用される人気の Rust ライブラリであり、過去 90 日間で 5,300 万回もダウンロードされている。
Critical Zimbra RCE Vulnerability Actively Exploited in the Wild
2026/08/20 CyberSecurityNews — Zimbra Collaboration Suite に存在する、深刻なリモート・コード実行 (RCE) の脆弱性が実環境で悪用されていると CERT Polska が警告している。この脆弱性 CVE-2026-73570 を悪用する未認証の攻撃者は、影響を受けるサーバ上で zimbra ユーザーの権限で、任意の OS コマンドを実行する可能性がある。
Palo Alto Launches Frontier AI Critical Defense Program to Scale Virtual Patching
2026/08/20 SecurityBoulevard — Frontier AI が、膨大な数の未知の脆弱性を発見する能力を持つため、防御側において対応速度の面で課題が生じている。脆弱性の発見が加速する一方で、恒久的なパッチ適用には依然として数時間から数週間を要する可能性があり、脆弱なソフトウェアやデバイスを保護する方式に懸念が生じている。現時点の Palo Alto Networks が注力しているのは仮想パッチであり、それにより脆弱性の露出時間を短縮し、影響を受ける資産を早期に保護するとしている。
Splunk Patches Critical MCP Server RCE and 16 Other Security Flaws Across AI Toolkit, Kafka Apps
2026/08/20 CyberSecurityNews — Splunk が公開したのは、Splunk MCP Server／AI Toolkit／Connect for Kafka などの、複数のアプリおよびアドオンに影響を及ぼす 17 件の脆弱性に対するセキュリティ・アップデートである。最も深刻な脆弱性 CVE-2026-76404 (CVSS 9.1) は、リモート・コード実行 (RCE) につながる脆弱性であり Critical と評価されている。2026年8月19日に公開されたアドバイザリでは、Cisco Talos Intelligence for Enterprise Security Cloud／Splunk On-Call (VictorOps) も対象となっている。影響を受けるコンポーネントを使用する組織に求められるのは、Admin インターフェイス／REST API／AI モデル・マネージメント機能などが、信頼できないユーザーまたはネットワークへ露出している場合の優先的なアップグレードである。
Critical Snowflake GitHub Actions Flaw Allows Attackers to Steal Internal Jira Credentials
2026/08/20 gbhackers — Snowflake の公開リポジトリ snowflake-connector-net に、深刻な GitHub Actions インジェクションの脆弱性が存在した。この欠陥を突く攻撃者は、GitHub ホスト型ランナー上でコマンドを実行し、内部 Jira 認証情報を窃取する可能性があった。脆弱なワークフローが展開されてから 5日後に、この脆弱性を発見したのは、自律型 AI を活用するセキュリティ調査ツール Wiz Red Agent である。
Continue reading “Snowflake GitHub Actions の脆弱性 CVE-N/A が FIX：内部 Jira 認証情報窃取の可能性”Critical Red Hat Kubernetes SSRF Flaw Exposes Internal Services Across Managed Clusters
2026/08/20 CyberSecurityNews — Red Hat が公表したのは、Multicluster Engine for Kubernetes の cluster-proxy-addon コンポーネントに影響を及ぼす、深刻度 High のサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2026-66794 (CVSS 9.3) の詳細である。この脆弱性を悪用する未認証のリモート攻撃者は、管理対象 Kubernetes クラスター内の内部サービスへ到達し、本来はアクセスできないサービスへ到達する可能性がある。
Continue reading “Red Hat Kubernetes の SSRF 脆弱性 CVE-2026-66794：内部サービスへの到達の恐れ”13 Malicious Rabby Firefox Extensions Steal Wallet Keyrings Before They Are Encrypted
2026/08/20 gbhackers — 大規模な Firefox アドオン・キャンペーンにより、Rabby Wallet を偽装する 13種類の悪意のアドオンが配布され、アプリケーションがウォレットのキーリング・データをローカルで暗号化する前に、そのデータを外部へ流出させている。この活動は、暫定的に “Offside Wallet Theft Factory” という名で追跡されている大規模なオペレーションの一部である。この作戦に関連付けられる 77種類の Firefox エクステンション ID により、クローン化されたコード／再利用されたインフラストラクチャ／欺瞞的な掲載情報／固定されたアドオン ID／バージョンの転用などが実行されている。
Cisco External Entity Injection Vulnerability Allows Attackers to Read Sensitive Data
2026/08/20 CyberSecurityNews — Cisco が公表したのは、Cisco BroadWorks に存在する深刻度 High の XML 外部エンティティ・インジェクション脆弱性に対するセキュリティ・アップデートのリリースである。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるシステムから機密性の高いコンフィグ・データやファイルを読み取る可能性がある。この問題は CVE-2026-20320 (CVSS 7.5) として追跡され、BroadWorks プラットフォームの複数のコンポーネントに影響を及ぼす。この脆弱性は、Open Client Interface XML Parser で特定され、XML 外部エンティティ参照の不適切な制限を示す CWE-611 に分類されている。
JFrog Artifactory Flaws Enable Software Supply Chain Attacks
2026/08/20 InfoSecurity — JFrog Artifactory に 2 件の脆弱性が発見された。これらの脆弱性を悪用する匿名ユーザーまたは低権限ユーザーが、基盤となるアーティファクトを変更せずにパッケージ・メタデータを操作し、ソフトウェア・サプライチェーン侵害を引き起こす可能性がある。これらの欠陥を 6月25日に JFrog へ報告した Oligo Security は、8月20日に調査の詳細を明らかにした。
Critical Citrix NetScaler Flaw Allows Attackers to Bypass Authentication
2026/08/20 gbhackers — Cloud Software Group が公開したのは、顧客管理型の NetScaler ADC／Gateway アプライアンスに影響を及ぼす、2 件の深刻な脆弱性に関するセキュリティ速報である。このうちの 1 件は認証バイパス脆弱性 CVE-2026-19490 (CVSS 9.3) であり、リモート・アクセス環境が未認証の侵害にさらされる可能性がある。2 件目の脆弱性 CVE-2026-19489 (CVSS 8.8) はメモリ・オーバーフローの欠陥であり、サービス拒否 (DoS) が発生する可能性がある。
Zyxel Patches Command Injection Flaw in 18 Access Points Allowing Root OS Command Execution
2026/08/20 CyberSecurityNews — Zyxel が公表したのは、18種類のワイヤレス・アクセス・ポイント・モデルに影響を及ぼす、深刻度 High のコマンド・インジェクションの脆弱性 CVE-2026-6837 に対するファームウェア・アップデートのリリースである。この欠陥は "export-cgi" コンポーネントに存在し、認証済み Admin による OS コマンド実行を引き起こす可能性がある。
Exclusive: Linux Foundation’s Akrites to Go Live in September
2026/08/20 InfoSecurity — AI を悪用したサイバー脅威から、重要なオープンソース・ソフトウェアを防御するために設立された大規模な業界連合により、2026年9月から新たな脆弱性の開示／修復プラットフォームが運用される。Akrites と呼ばれる取り組みは、Linux Foundation／Open Source Security Foundation (OpenSSF)／20 組織以上の創設メンバーにより、2026年6月末に立ち上げられた。
Continue reading “Linux Foundation が立ち上げた Akrites：脆弱性の開示／修復プラットフォームが 2026年9月から運用開始”Google’s AI security agents found 100+ critical software vulnerabilities in just two days
2026/08/20 HelpNetSecurity — Google の Mandiant が公開したのは、ソース・コード内の脆弱性を探索するために、AI エージェントを連鎖させる社内ツールの仕組みである。同社によると、盗まれた企業リポジトリを対象とした実際の調査において、わずか 2 日間で 100 件を超える検証済みの深刻度 High の欠陥を発見したという。Agentic Vulnerability Discovery Harness (AVDH) と呼ばれるツールは、Mandiant の社内で 10 カ月間にわたって運用されている。Google Threat Intelligence Group が公開したブログ投稿によると、その間に数千万行のコードをスキャンし、数万件の調査結果を生成した。
CISA Adds Microsoft SharePoint Weak Authentication Vulnerability to KEV List
2026/08/19 CyberSecurityNews — 米国の CISA は、脆弱性 CVE-2026-55040 の実環境で悪用されたことを受けて、Microsoft SharePoint の深刻な認証脆弱性を Known Exploited Vulnerabilities (KEV) カタログへ追加し、影響を受けるオンプレミス環境を保護するよう連邦政府機関に促した。Microsoft SharePoint の脆弱性 CVE-2026-55040 を悪用する未認証のリモート攻撃者は、認証制御を回避する可能性がある。
659 Stripe Merchant API Keys Leaked Online, Exposing 688,000 Customer Records
2026/08/19 gbhackers — 闇のデータ取引フォーラムで公開されたデータ流出により、659件の加盟店アカウントで使用される有効な Stripe API 認証情報と、約 35GB の顧客および決済関連データが露出した。この露出は、42カ国の加盟店にまたがる 688,363件とされる顧客レコードに影響を及ぼす。ただし、Stripe のインフラ自体が侵害されたわけではないことを、提供された証拠が示している。
CISA Warns Microsoft Internet Key Exchange RCE Flaw Is Actively Exploited
2026/08/19 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Internet Key Exchange (IKE) Service Extensions に存在する深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログへ追加した。実環境で悪用されている脆弱性 CVE-2026-33824 は Double Free の問題に分類されるものであり、Microsoft IKE Service Extensions のメモリ管理に影響を及ぼす。悪用に成功した未認証のリモート攻撃者は、脆弱なシステム上で任意のコードを実行し、そのホストを完全に侵害する可能性がある。
Cursor 0-Day Lets Attackers Execute Malicious Code by Opening a Repository
2026/08/19 gbhackers — 最近公表された Cursor IDE のセキュリティ問題により、Windows 版 Cursor に存在する深刻なバイナリ・プランティング脆弱性が明らかになり、信頼できないリポジトリを開く開発環境で悪意のあるコード実行の恐れが生じている。この脆弱性 CVE-2026-63093 は、Cursor の実行ファイル解決の挙動に関連するものである。それにより、ワークスペースに配置された攻撃者が制御するファイルが、カレント・ユーザー権限で実行される可能性がある。
Continue reading “Cursor IDE の脆弱性 CVE-2026-63093 が FIX：信頼できないリポジトリを介したコード実行の可能性”BeyondTrust Windows EPM Vulnerabilities Allows Attackers to Escalate Privileges
2026/08/19 CyberSecurityNews — BeyondTrust が公表したのは、Windows 向け Endpoint Privilege Management (EPM) 製品に存在する深刻度が高い 2 件の脆弱性情報である。この脆弱性を悪用するローカル・アクセス権を持つ攻撃者は、権限を昇格し、改竄防止制御を回避する可能性がある。この脆弱性 CVE-2026-40144／CVE-2026-40145 は、BeyondTrust Endpoint Privilege Management (Windows Deployment) のバージョン 26.1.2 未満に影響を及ぼす。同社は、2026年8月17日にアドバイザリ BT26-04 を公開した。
CISA Warns of VMware vCenter Path Traversal Vulnerability Actively Exploited in Attacks
2026/08/19 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実際の攻撃で悪用されている証拠が確認されたことを受け、Broadcom の VMware vCenter の深刻な脆弱性 CVE-2026-59310 を Known Exploited Vulnerabilities (KEV) カタログに追加した。
Critical Apache HttpComponents Client Flaw Lets Attackers Impersonate Servers
2026/08/19 gbhackers — Apache HttpComponents Client に存在する深刻な脆弱性 CVE-2026-71290 により、非同期バージョンの HttpClient を使用しているアプリケーションにおいて、中間者攻撃を行う攻撃者が信頼済みサーバになりすます可能性がある。この脆弱性は、Apache HttpComponents Client のバージョン 5.4-alpha 〜 5.6.3 における不適切な TLS ホスト名検証に起因する。
Google Fixes Two Critical Chrome Flaws in WebGL and Dawn — Update Your Browser
2026/08/19 CyberSecurityNews — Google が公表したのは、グラフィックス関連コンポーネントに影響を及ぼす緊急度が重大 (Critical) な 2 件の脆弱性を修正する、新たな Chrome 安定版チャネル向けアップデートである。このアップデートにより、Windows／macOS 向け Chrome はバージョン 151.0.7922.169／170 へ、Linux 向け Chrome はバージョン 151.0.7922.169 へ更新された。Google によると、今後の数日から数週間にわたり段階的にアップデートが展開されるため、ユーザーに求められるのは、自身のデバイス向けにアップデートが提供され次第、速やかにブラウザを更新することである。
Oracle Releases 943 Security Patches to Fix Critical Vulnerabilities Across Enterprise Products
2026/08/19 gbhackers — Oracle は、2026年8月の Critical Security Patch Update (CSPU) の一環として 943 件の脆弱性に対するセキュリティ・パッチをリリースし、同社のエンタープライズ・ソフトウェア・ポートフォリオ全体で新たに公表された脆弱性に対処した。このアップデートは、Premier Support／Extended Support の対象となる Oracle 製品に影響を及ぼす、CVE 識別子で追跡される各種の脆弱性を修正するものである。
Critical Microsoft Copilot CoSnitch Flaw Lets Hackers Steal Sensitive Data With One Click
2026/08/19 gbhackers — Microsoft Copilot Personal に存在する、ワンクリックで悪用可能な深刻な脆弱性 CVE-2026-24301 には、CoSnitch という名称が付けられている。この欠陥を悪用する攻撃者は、悪意のある Copilot プロンプトを実行させ、接続済み OAuth アプリケーションからデータにアクセスしたうえで、取得した情報を攻撃者が制御するサーバへ密かに送信できる状態にあった。この問題は、2025年12月の時点で Varonis が責任ある情報開示を行っていたが、Microsoft により修正されたのは 2026年8月18日だった。Varonis によると、現時点において実際の環境での悪用を示す証拠は確認されていない。
Hackers Hijack Thousands of WordPress Sites to Use as C2 Servers for StopAndProtect Malware
2026/08/18 CyberSecurityNews — 侵害された数千の WordPress Web サイトが、新たに確認された StopAndProtect というマルウェア・オペレーションにより、大規模な犯罪目的の Command-and-Control (C2) インフラストラクチャへと変えられている。このキャンペーンは、世界各地の侵害済みマシンから、機密性の高い企業文書／システムのスクリーンショット／ユーザー認証情報／進行中のコミュニケーション・ログなどのデータを窃取した上で、二重恐喝型ランサムウェアを組み合わせている。
Courts Face New Threat as Litigant Uses Hidden AI Prompt Injection in Filings
2026/08/18 SecurityBoulevard — コネチカット州裁判所の判事は、裁判文書に埋め込まれた隠しテキストを通じて、人工知能 (AI) システムへ密かに影響を与えようとした、本人訴訟の当事者に対して制裁措置を科した。2026年8月6日に言い渡された Elliott v. New York Bariatric Group の判決において、判事 Walter M. Spader Jr. は、本人訴訟の原告 Matthew Elliott が提出した書面内に、プロンプト・インジェクション命令が隠されていたことを確認した後に、同原告の電子提出権限を取り消した。この事例は、米国では初めてのものであり、法務テクノロジーにおける倫理上の重要な転換を示している。AI による誤情報から、AI への入力を悪意をもって操作する行為へと、焦点を拡大することが求められる。
CISA Warns of Ray-Project Ray Code Injection Vulnerability Exploited in Attacks
2026/08/18 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Ray Project が提供する Ray に存在する深刻な脆弱性 CVE-2025-62593 の実際の環境での悪用を確認したことを受けて Known Exploited Vulnerabilities (KEV) カタログへ追加した。この欠陥により、脆弱な Ray 開発環境を稼働させているシステム上でリモート・コード実行 (RCE) が可能になる。
AI Agents Gain Unintended Internet Access During Cybersecurity Evaluations
2026/08/18 gbhackers — AI セキュリティ評価企業 Irregular が公開した調査結果によると、複数のフロンティア AI モデルが、管理されたサイバーセキュリティ・テスト中に、インターネット・アクセスが許可された単一の評価シナリオで、架空の標的名と実在するドメイン名が一致したことをきっかけに、実在するインターネット接続システムに意図せずアクセスし、操作を実行した。この問題について Irregular は、すでに解決済みであるとしたうえで、調査で明らかになった複数の事例が、7月30日時点で顧客が公表したものと同一の根本的な事案に関連する一方、顧客システムの侵害や顧客データの流出を示す証拠はないと確認している。
Continue reading “AI エージェントがインターネット・アクセスを取得：テスト中に侵害が発生した理由”OpenAI Warns AI Models Can Automate Cyberattacks and Exploit Security Vulnerabilities
2026/08/18 CyberSecurityNews — 現実世界のサイバー攻撃における重要な段階を自動化する能力が、進化する人工知能モデルによって急速に高まっている状況について OpenAI が警告している。こうした技術の進展を利用する脅威アクターは、長年放置されてきたセキュリティ上の弱点の特定と悪用を、従来の手作業によるワークフローと比べて大幅に高速化している。その一方で OpenAI が強調するのは、企業がサイバーセキュリティ・プログラムの近代化と、過去から蓄積されたセキュリティ負債の解消に迅速に取り組めば、それと同じ能力が前例のない機会をもたらす点である。
Critical MLflow SSRF Flaw Exploited in the Wild
2026/08/18 gbhackers — MLflow に存在する深刻な認証を必要としないサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2026-64849 について、情報開示から数時間以内に活発な悪用が観測されたと watchTowr が報告している。この脆弱性は MLflow のバージョン 3.15.0 未満に影響を及ぼし、クラウドの認証情報／内部サービス／その他の機密性の高いデータを、リモート攻撃者に露出させる可能性がある。
Continue reading “MLflow の SSRF 脆弱性 CVE-2026-64849 が FIX：情報開示から数時間で活発な悪用を観測”PoC Exploit Released for Microsoft SCCM Vulnerability Enabling SYSTEM-Level Code Execution
2026/08/18 gbhackers — 最近公開された Microsoft Configuration Manager (旧称 SCCM) 向けの PoC エクスプロイトは、認証済みのドメイン・ユーザーが、脆弱なプライマリ・サイト・サーバ上で SYSTEM 権限へ昇格できる可能性を実証するものである。この脆弱性 CVE-2026-47301 はセキュリティ研究者 Omri Baso により報告されたものであり、単一の独立した欠陥ではなく、複数の脆弱性を組み合わせた攻撃チェーンとして成立する。
Continue reading “Microsoft SCCM の脆弱性 CVE-2026-47301：SYSTEM レベルのコード実行の PoC が登場”Hacker claims millions of records stolen from corporate Azure tenants
2026/08/18 HelpNetSecurity — TheHatman として知られる脅威アクターについて、Hudson Rock は、McDonald’s／Vodafone／Kyndryl／Tata Consultancy Services (TCS) などの Fortune 500 企業から、複数の Azure 環境から数百万件の従業員レコードを取得したと主張している。この 1 週間にわたり、TheHatman はサイバー犯罪フォーラムへ大規模な社内従業員ディレクトリを相次いで投稿しており、これらのデータについて、被害組織の Azure テナントから直接取得したものだと主張している。
Critical WordPress Plugin Vulnerability Exposes 600,000 Sites to File Upload Attacks
2026/08/18 CyberSecurityNews — Forminator Forms WordPress プラグインに存在する深刻なセキュリティ脆弱性を悪用した認証を必要としない攻撃者が、悪意のある PHP ファイルをアップロードし、脆弱な Web サイトを完全に制御する可能性がある。この脆弱性 CVE-2026-15748 (CVSS 9.8) は、Forminator Forms バージョン 1.56.1 以下に影響を及ぼす。Forminator Forms は、連絡先／決済／投票／クイズ／ファイル・アップロード用フォームを構築するために広く利用されているドラッグ・アンド・ドロップ型プラグインであり、60 万件を超える有効インストールが存在する。したがって、この脆弱性は、アップデートを適用していない WordPress 管理者に深刻なリスクをもたらす。
VMware vCenter RCE Gives Attackers a Path From One Appliance to Entire Virtual Infrastructure
2026/08/18 gbhackers — VMware vCenter に存在する深刻な脆弱性が、急速に展開するキャンペーンで活発に悪用されており、外部公開された単一の管理アプライアンスが、仮想インフラストラクチャ全体を侵害するための起点とされている。QUIRSO のインシデント・レスポンス担当者は、この活動を脆弱性 CVE-2026-59310 の悪用と関連付ける一方で、別の脆弱性 CVE-2026-59309 の悪用と整合する活動も確認した。
Three-quarters of Ransomware Attacks Target Mid-Market Firms
2026/08/18 InfoSecurity — Black Kite の新たな調査によると、2023年以降のランサムウェア被害者の約 4分の3 は、年間売上高が $10m ～ $1bn の中堅組織だった。サードパーティ・リスクの専門企業である同社は、この調査結果をまとめたレポート「Mid-Market Is the Ransomware Target」の作成にあたり、2023年1月以降に公表された 13,336 件のインシデントと、中堅企業 120,128 社を対象とする別のセキュリティ・スキャンを分析した。2026年8月18日に公開された同レポートでは、市場規模について Dun & Bradstreet の売上高ベースの定義を採用しており、Lower Mid-Market は $10m ～ $50m／Core Mid-Market は $50m ～ $500m／Upper Mid-Market は $500m ～ $1bn と定義される。
WordPress Plugin Flaw Exposes 40,000 Sites to Admin Takeover
2026/08/17 InfoSecurity — WordPress の 40,000 件を超えるサイトが、User Profile Builder プラグインのバージョン 3.16.4 以下に存在する認証回避の脆弱性 CVE-2026-15826 (CVSS 9.8) にさらされている。この脆弱性を悪用する未認証の攻撃者は、サイトの管理者アカウントへアクセスする可能性があり、この欠陥によって管理者権限を完全に奪取できる可能性があるが、悪用の可否は特定の設定に依存する。
Roundcube 1.6.18 and 1.7.3 Released With Fix for RCE and SSRF Vulnerabilities
2026/08/17 CyberSecurityNews — Roundcube は、同ソフトウェアに影響を及ぼす、11件のセキュリティ脆弱性に対処するバージョン 1.6.18／1.7.3 をリリースした。このアップデートでは、リモート・コード実行 (RCE) の脆弱性／サーバーサイド・リクエスト・フォージェリ (SSRF)／インジェクション脆弱性／蓄積型クロスサイト・スクリプティング (XSS) などの問題が修正されている。
Infostealers Hit 7.4M Hosts and Steal 1.7 Billion Credentials in 6 Months
2026/08/17 hackread — Flashpoint の “2026 Global Threat Intelligence Report: Midyear Edition” によると、サイバー犯罪者は AI の運用をプライベート・インフラへと移行する一方で、自動化を悪用することでフィッシング／マルウェア開発／脆弱性の悪用を高速化している。8月13日に公開されたこのレポートは、2026年1月1日〜6月30日に記録されたアクティビティを対象とするものである。Flashpoint の Primary Source Collection に基づく調査結果は、違法フォーラムや非公開コミュニケーション・チャネルなどの犯罪関連の情報源で監視してきた、3.9 PB 以上のデータにより構成されている。
Continue reading “インフォスティーラーが 740 万台のホストを侵害：2026年前半で 約 17 億件の認証情報が盗まれた”Critical GitLab GraphQL Flaw Could Let Unauthenticated Attackers Delete Public Projects
2026/08/17 TheHackerNews — GitLab は、Community Edition (CE)／Enterprise Edition (EE) ソフトウェアに影響を及ぼす深刻な脆弱性に対処するセキュリティ・アップデートをリリースした。この脆弱性を悪用する未認証のリモート攻撃者は、特定の条件下において、公開プロジェクトやユーザー・データを変更／削除する可能性がある。この脆弱性 CVE-2026-19478 (CVSS 9.4) は、GitLab により Critical と評価されている。
Continue reading “GitLab GraphQL の脆弱性 CVE-2026-19478 が FIX：公開プロジェクトの変更／削除が可能”Sysdig AI CNAPP Agents Identify Threats and Surface Remediation Recommendations
2026/08/17 SecurityBoulevard — Sysdig は、Cloud Native Application Protection Platform (CNAPP) 向けに一連の人工知能 (AI) エージェントを導入した。これらのエージェントは、ランタイムで収集したデータを用いて、緊急の対応を必要とするビジネス・リスクを特定し、修復に関する推奨事項を提示するよう特別にトレーニングされている。Sysdig の最高情報セキュリティ責任者である Conor Sherman によると、AI を悪用する攻撃者がマシン・スピードでサイバー攻撃を実施するケースが増えるなか、Sysdig Secure AI を活用するサイバーセキュリティ・チームも迅速に対応できるようになる。
Microsoft SCCM Vulnerability Chained to Execute Malicious Code Remotely
2026/08/17 CyberSecurityNews — Microsoft の System Center Configuration Manager (SCCM) に影響を及ぼす重大な攻撃につながる攻撃チェーンを、セキュリティ研究者たちが公表した。この攻撃チェーンに含まれる欠陥を悪用する攻撃者が、SCCM のプライマリ・サイト・サーバ上でリモート・コード実行を達成し、組織が管理する Windows 環境を制御する可能性がある。
ETSI Proposes 17 Cybersecurity Standards to Support Cyber Resilience Act
2026/08/17 InfoSecurity — 欧州向けの技術標準は、2027年12月に全面適用される EU Cyber Resilience Act (CRA) にメーカーが対応できるよう進化している。EU が認める 3 つの公式標準化機関の 1 つである欧州電気通信標準化機構 (ETSI) は、Cyber Resilience Act (CRA) の下で欧州の事業者が満たす必要がある、17件の主要なサイバーセキュリティ標準について、承認プロセスを開始した。
Misconfigured Microsoft Power Pages Likely Exposed 27 Million Records to ExfilSquad
2026/08/17 gbhackers — Microsoft Power Pages のミスコンフィグとみられる問題により、13 組織において約 2,700 万件のレコードが露出した可能性がある。この問題が明らかになったのは、被害組織から取得したとされる 382.64 GB のデータが、データ恐喝グループ ExfilSquad により Torrent で公開された後のことである。公開データを分析した研究者たちは、外部から読み取り可能な Microsoft Dataverse テーブルが存在していた証拠を確認している。こうした状況は、ゼロデイ・エクスプロイトやランサムウェアの展開、従来型のネットワーク侵入によるものではないとみられている。
Hackers Started to Exploit Critical SAP Commerce Cloud, Still No Public PoC
2026/08/15 CyberSecurityNews — SAP Commerce Cloud に存在する最高深刻度の脆弱性 CVE-2026-58231 (CVSS 10.0) に対する公式のセキュリティ修正がリリースされた 3 日後に、脅威アクターたちによる活発な探索と悪用の試行が開始されている。この脆弱性を悪用する未認証のリモート攻撃者は、ユーザー操作や既存の権限を必要とせず、ネットワーク経由で任意のコードをリモート実行できる。公開 PoC が存在しない状況にもかかわらず、インターネット全体に及ぶ未認証のリモート攻撃トラフィックが、Defused のハニーポット・テレメトリで捕捉され始めたことから、修正公開後の早い段階で悪用が進められていることが分かる。
Microsoft Makes Passkeys Default in Entra ID, Retires SMS and Voice Authentication
2026/08/15 gbhackers — 2026年9月1日から、Microsoft は、Entra ID におけるデフォルト認証を Passkeys へと移行し、2027年2月1日にはネイティブの SMS／音声による多要素認証 (MFA) サービスを完全に廃止する。これは、エンタープライズにおけるクラウド利用／リモート・アクセス／AI 対応ワークフローの拡大に伴い、フィッシングに悪用可能な認証情報を排除するという、Microsoft の広範な取り組みの一環である。パスワード／SMS のワンタイム・コード／音声ベースの検証は、依然として認証情報のフィッシング／中間者攻撃／SIM スワッピング／ソーシャル・エンジニアリング／リプレイ攻撃の頻繁な標的となっている。
AI Agents Don’t Stop When Malware Fails, They Write Another Tool and Keep Attacking
2026/08/14 CyberSecurityNews — AI エージェントがサイバー攻撃の形を変えつつある。これにより、固定された単一のマルウェアに依存するのではなく、アプローチを試行し、失敗を確認すると代替ツールを作成して、同じ目標に向けた活動を継続していく。最近のインシデントが示しているのは、この攻撃形態が理論上のリスクに留まらないという点であり、高度な AI モデルに関連付けられたエージェントが外部システムへ到達し、ソーシャル・エンジニアリングを試みる。あるケースでは、悪意のある Python パッケージが PyPI に配置された。
Weak IAM affects up to 98% of cloud environments
2026/08/14 HelpNetSecurity — クラウド環境における主要な脅威の 1 つとして、設定不備が継続的に挙げられており、単一の設定エラーだけでも、パブリック・ネットワークからのアクセス／ローテーションされていない鍵／暗号化の欠如／公開されたサービス／ログ記録の不足につながる可能性がある。CISA も米国の連邦政府機関に対してクラウドのベースライン設定の実施を求めている。
You must be logged in to post a comment.