Aiototsec

GitHub Enterprise Server の脆弱性 CVE-2026-3854 が FIX：RCE と完全なサーバ侵害

Critical GitHub.com and Enterprise Server RCE Vulnerability Enables Full Server Compromise

2026/04/28 CyberSecurityNews — GitHub の内部 git インフラにおいて、深刻なリモート・コード実行 (RCE) 脆弱性 CVE-2026-3854 が Wiz の研究者により発見された。この脆弱性を悪用する認証済みユーザーは、バックエンド・サーバを侵害して数百万のプライベート・リポジトリへアクセスし、GitHub Enterprise Server (GHES) 環境では完全なサーバ乗っ取りが可能となる。

ClickUp のハードコードされた API Key：Fortune 500 企業のメールアドレス 959 件が漏洩

ClickUp’s Hardcoded API Key Exposes 959 Emails from Fortune 500 Giants

2026/04/27 CyberSecurityNews — ClickUp のホームページ上で公開されている JavaScript ファイルから、Home Depot／Fortinet／Autodesk／Tenable／Rakuten／Mayo Clinic／Permira／Akin Gump や米国州政府などにおける 1,000件弱のメールアドレスが漏洩していたことが判明した。この問題は、ハードコードされたサードパーティ API キーを介して発生しており、2025年1月に初めて報告されたが、2026年4月現在も更新されていない。

Chrome エクステンション 82 件で確認された情報収集モデル：QVI という名で650 万ユーザーに影響

82 Chrome Extensions Found Selling User Data, 6.5 Million Users Affected

2026/04/29 hackread — 多くのユーザーに見られる傾向として、ブラウザ・エクステンションの安易なインストールが挙げられる。最近のインシデントが示すとおり、LayerX Security の新たな調査結果である Enterprise Browser Extension Security Report 2026 が指摘するのは、多数のエクステンションが個人データを収集し、第三者へ販売しているという事実である。

Microsoft の Copilot 縮小：新たなエンタープライズ・ポリシーによりアンインストールに対応

Microsoft Releases Enterprise Policy Option to Disable Windows 11 Copilot

2026/04/27 gbhackers — Microsoft が導入した新たなエンタープライズ・ポリシー設定により、管理対象 Windows 11 デバイスからの Microsoft Copilot アプリのサイレント・アンインストールが可能になった。この 2026年4月23日付けのアナウンスメントにより、組織全体で AI ツール配備を制御する方法に大きな変化が生じている。新しい RemoveMicrosoftCopilotApp ポリシー設定は、2026年4月 Patch Tuesday セキュリティ更新後に利用可能となっている。

Notepad++ の脆弱性 CVE-2026-3008 が FIX：FindInFiles 機能の不備によるクラッシュと情報漏洩

Notepad++ Vulnerability Allows Attackers to Crash Application, Leak Memory Data

2026/04/27 CyberSecurityNews — 開発者および IT 担当者たちに広く使用されるオープンソース・テキストエディター Notepad++ において、セキュリティ脆弱性 CVE-2026-3008 が確認された。この脆弱性を悪用するリモート攻撃者は、アプリケーション・クラッシュを引き起こし、対象システムから機密性の高いメモリアドレス情報を窃取する可能性がある。

BlackFile 恐喝グループの多層的な攻撃手法：小売／ホスピタリティ業界に対する vishing 攻撃

BlackFile Group Targets Retail and Hospitality with Vishing Attacks

2026/04/27 InfoSecurity — 2026年2月以降において、小売／ホスピタリティ業界を標的として活動する新たな恐喝グループの詳細が、セキュリティ研究者たちにより明らかにされた。Palo Alto Networks の Unit 42 は、RH-ISAC (Retail and Hospitality Information Security and Analysis Center) と共同で、2026年4月23日に “Extortion in the Enterprise: Defending Against BlackFile Attacks” を公開した。

Google Gemini CLI の RCE 脆弱性 CVE-N/A が FIX：サプライチェーン・セキュリティに懸念

Critical Gemini CLI Flaw Raises Supply Chain Security Concerns

2026/04/27 gbhackers — Google が公開したのは、Gemini CLI と関連する GitHub Actions における、深刻な脆弱性へ対処するための緊急のセキュリティ更新である。この脆弱性 GHSA-wpqr-6v78-jr5g (CVSS 10.0) により、CI/CD (Continuous Integration and Continuous Deployment) パイプラインがリモート・コード実行 (RCE) 攻撃の危険にさらされる。この問題は、ワークスペースの信頼設定およびツール許可リスト処理の不備に起因し、自動化ワークフローの侵害を可能とするものである。それにより、サプライチェーン・セキュリティに関する深刻な懸念が引き起こされる。

Nessus Agent の脆弱性 CVE-2026-33694 が FIX：Windows Junction の悪用と SYSTEM 権限取得

Nessus Agent Vulnerability on Windows Enables Arbitrary Code Execution with SYSTEM Privileges

2026/04/27 CyberSecurityNews — Tenable が公表したのは、Nessus Agent for Windows の脆弱性 CVE-2026-33694 を悪用する攻撃者に対して、最高権限である SYSTEM レベルでの不正なコード実行を許す恐れがあることだ。この脆弱性評価プラットフォームは広く導入されているため、多くの企業のセキュリティ・チームにとって深刻な懸念事項となっている。

Metabase Enterprise の脆弱性 CVE-2026-33725 が FIX：PoC エクスプロイト公開でリスク急増

Metabase Enterprise RCE Flaw Now Has Public Proof-of-Concept Exploit

2026/04/27 gbhackers — Metabase Enterprise の深刻な脆弱性 CVE-2026-33725 に対して、動作が確認済みの PoC エクスプロイトが公開された。この脆弱性を悪用する攻撃者は、標的システム上でリモート・コード実行 (RCE) を実現し、任意ファイルの読み取りを引き起こす恐れがある。公開されたエクスプロイト・スクリプトの存在により、パッチ未適用のインスタンスを運用する組織のリスクが大幅に増大している。

OpenClaw の 3件の脆弱性 CVE-N/A が FIX：ポリシー回避／コンフィグ変更などの対応

OpenClaw Flaws Expose Systems to Policy Bypass Attacks

2026/04/27 gbhackers — オープンソースの自律型 AI エージェント・フレームワーク OpenClaw は、3 件の Medium レベルの脆弱性に対応するための重要なセキュリティ更新を公開した。これらの不備は npm パッケージのバージョン 2026.4.20 未満に存在し、ポリシー回避／不正なローカル・コンフィグ変更／API 資格情報漏洩といった深刻なリスクを引き起こす。IT 管理者およびセキュリティ担当者は、最新の 2026.4.20 へと速やかにアップデートし、エージェント環境を保護すべきである。

Open VSX の Sleeper エクステンション：GlassWorm サプライチェーンに関連する 73件を検出

73 Open VSX Sleeper Extensions Linked to GlassWorm Activate New Malware Campaign

2026/04/26 CyberSecurityNews — 新たな Sleeper エクステンション 73 件の発見が示すのは、Open VSX マーケットプレイスを標的とする GlassWorm サプライチェーン攻撃の拡大である。2026年04月に特定された、このクラスターが示すのは、脅威アクターによるソフトウェア開発者向けマルウェア配布手法の変化である。

Claude AI Agent による実証実験：売り手と買い手のエージェント同士に商取引を行わせてみた

Claude AI Agents Close 186 Deals in Anthropic’s Marketplace Experiment

2026/04/25 CyberSecurityNews — Anthropic の Project Deal が実証したのは、現実世界の取引を、AI エージェントが自律的に交渉／成立させられることだ。しかし、それと同時に、すべての AI 表現が同等ではないという静かな非対称性が明らかにされた。2025年12月に Anthropic は、サンフランシスコの同社のオフィスを実験環境として、Craigslist 型のマーケットプレイスを実践した。

CISA KEV 警告 26/04/24: SimpleHelp／Samsung／D-Link の脆弱性を登録

U.S. CISA adds SimpleHelp, Samsung, and D-Link flaws to its Known Exploited Vulnerabilities catalog

2026/04/25 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SimpleHelp／Samsung／D-Link に関する脆弱性を Known Exploited Vulnerabilities (KEV) カタログへ追加した。以下は追加された脆弱性である：

CVE-2024-57726：SimpleHelp 認可不備の脆弱性
CVE-2024-57728：SimpleHelp パストラバーサルの脆弱性
CVE-2024-7399：Samsung MagicINFO 9 パストラバーサル脆弱性
CVE-2025-29635：D-Link DIR-823X コマンド・インジェクション脆弱性

Claude Desktop のセキュリティ問題：Chromium に Native Messaging ブリッジをサイレント・インストール

Claude Desktop Reportedly Adds Browser Access Bridge for Chromium Browsers

2026/04/24 gbhackers — 2026年04月18日に明らかになったのは、複数の Chromium 系ブラウザに対して Anthropic の Claude Desktop (macOS 版) が、Native Messaging ブリッジをサイレント・インストールしていることだ。研究者 Alexander Hanff が公開した詳細なレポートによると、この無通知のインストールは、ユーザーの明示的な同意と標準的なアプリケーション・セキュリティ境界を回避し、”out-of-sandbox” ブラウザ自動化フックを構築するものであり、プライバシーとセキュリティのリスクを引き起こすものだ。

Windows RPC の脆弱性 PhantomRPC：全バージョンで権限昇格が可能

New Windows RPC Vulnerability Lets Attackers Escalate Privileges Across All Windows Versions

2026/04/25 CyberSecurityNews — Windows Remote Procedure Call (RPC) に存在する、新たに特定されたアーキテクチャ上の脆弱性 PhantomRPC によりローカル環境での権限昇格が生じ、SYSTEM レベルへのアクセスが可能となるため、理論的には全 Windows バージョンに影響が及ぶ可能性がある。2026年4月24日に開催された Black Hat Asia 2026 において、Kaspersky のアプリケーション・セキュリティ・スペシャリスト Haidar Kabibo が発表した研究の成果では、5 種類の攻撃経路が提示されているが、Microsoft によるパッチは提供されていない。

Microsoft Entra ID Agent ID Admin ロールの悪用：サービス・プリンシパル乗っ取りの恐れ

Hackers Exploit Agent ID Administrator Role to Hijack Service Principals

2026/04/24 gbhackers — Microsoft Entra ID の新機能 Agent Identity Platform において、深刻なスコープ制御不備の脆弱性が発見された。Agent ID Administrator ロールが割り当てられたユーザーが、この脆弱性を悪用すると、組織テナント全体にわたる任意のサービス・プリンシパルを乗っ取ることが可能となり、権限昇格につながるリスクが生じていた。このロールは、AI エージェント ID の管理のために設計されていたが、境界制御の不備により非エージェントのサービス・プリンシパルも操作可能な状態となっていた。現時点においては、すべてのクラウド環境で、Microsoft による修正が完了している。

中国関連 APT と Covert ネットワーク：侵害済みルータで構築する柔軟な攻撃インフラとは？

Hackers Abuse Compromised Routers to Hide China-Linked Cyber Operations

2026/04/24 CyberSecurityNews — 新たに急速に拡大するサイバー脅威が確認された。中国に関連する攻撃者が、侵害済みのルータ／エッジデバイスを悪用する大規模な Covert ネットワークを密かに構築し、世界中の組織に対して秘匿性の高いサイバー作戦を実行している。

Google Gemini の方向性は汎用化：Mythos のようなフロンティア・モデルは計画していない

Google Favors General-Purpose Gemini Models Over Cybersecurity‑Specific AI

2026/04/24 InfoSecurity — Google Cloud の運用責任者は、Anthropic の Claude Mythos のようなサイバー・セキュリティに特化したフロンティア・モデルを、別系統でリリースする計画はないと述べている。Google の考え方は、Gemini 3.1 Pro などの高品質な汎用 AI モデルが、すでに十分な性能を持ち、サイバー・セキュリティ要件に対応可能であるというものだ。

Cisco Firepower の脆弱性 CVE-2025-20333／20362：パッチ未適用環境に APT がバックドアを展開

Hackers Exploit Cisco Firepower N-Day Flaws for Unauthorized Access

2026/04/24 gbhackers — Cisco Firepower デバイスにおける既知の脆弱性 CVE-2025-20333／CVE-2025-20362 を積極的に悪用する、国家支援型の脅威アクター UAT-4356 が、高度なカスタム・バックドアを展開している。これらは、Cisco の Firepower eXtensible Operating System (FXOS) に影響する N-Day 脆弱性である。

React2Shell CVE-2025-55182 の悪用：シークレット窃取と標的の自動選定を AI で実現

Hackers Track 900+ React2Shell Exploits via Telegram Bots

2026/04/24 gbhackers — Telegram ボットと AI のツール化を組み合わる攻撃者が、深刻な脆弱性 (CVE-2025-55182) を悪用することで、大規模かつ構造化された攻撃キャンペーンを展開し、900 件以上を侵害している。調査により発見されたのは、悪意のプラットフォーム Bissa Scanner に関連する公開サーバである。このプラットフォームは、単にデータ収集するものではなく、多数の被害者に対してエクスプロイト／ステージング／検証を行うために悪用されている。

Hugging Face を介したマルウェア配信：悪意の npm パッケージ “js-logger-pack” とは？

Malicious npm Package Turns Hugging Face Into Malware CDN and Exfiltration Backend

2026/04/23 CyberSecurityNews — “js-logger-pack” と名付けられた不正な npm パッケージにより、広く信頼される AI モデル・ホスティング・プラットフォーム Hugging Face が悪用され、マルウェア配布ネットワークやデータ窃取の基盤として機能していることが判明した。このキャンペーンが示すのは、攻撃者が正規クラウドサービスを悪用しながら検知を回避する、サプライチェーン攻撃手法の変化である。

Ollama の脆弱性 CVE-2026-5757： GGUF ファイル処理とメモリ破壊

Hackers Exploit Ollama Model Uploads to Leak Server Data

2026/04/24 gbhackers — ローカル環境で LLM を実行するオープンソース・プラットフォーム Ollama の、量子化エンジン・モデルに存在する深刻な脆弱性 CVE-2026-5757 が、セキュリティ研究者により発見された。悪意を持って細工された AI モデル・ファイルをアップロードする攻撃者は、認証を必要とせず、サーバ上の機密データの窃取を可能にする。

Bitwarden CLI 2026.4.0 侵害を検出：認証情報の窃取および CI/CD パイプライン侵入のリスク

Bitwarden CLI Compromised in Supply Chain Attack via GitHub Actions

2026/04/24 CyberSecurityNews — Checkmarx が追跡するサプライチェーン・キャンペーンの一環として、Bitwarden CLI バージョン 2026.4.0 が侵害されたことを、Socket が確認した。このインシデントにより、膨大な数のユーザーと企業が、認証情報の窃取および CI/CD パイプライン侵入のリスクに晒されている。

Python asyncio モジュールの脆弱性 CVE-2026-3298 が FIX：Windows 環境におけるメモリ破壊

Python Vulnerability Enables Out-of-Bounds Write on Windows

2026/04/24 gbhackers — Python の “asyncio” モジュールに存在する、深刻なセキュリティ脆弱性 CVE-2026-3298 が発見された。この不備を突く攻撃者は、割り当てられたメモリバッファ境界を超えてデータを書き込む可能性がある。この脆弱性は、2026年04月21日に公式 Python Security アナウンス・メーリングリストで、Python のセキュリティ開発者 Seth Larson により公開された。

GitLab CE／EE の脆弱性 CVE-2026-4922／5816／5262：ユーザーセッションが乗っ取りの可能性

GitLab Fixes Flaws That Could Allow Attackers to Hijack User Sessions

2026/04/23 gbhackers — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) に存在する 11 件の脆弱性に対処する緊急セキュリティ・パッチである。このアドバイザリに含まれるのは、悪意のコード実行／リクエスト偽造／ユーザー・セッション・トークン窃取を可能とする 3 件の深刻な脆弱性である。

Vercel がセキュリティ侵害を公表：Context.ai 経由の不正アクセスが判明

Vercel Confirms Security Breach – Set of Customer Account Compromised

2026/04/23 CyberSecurityNews — Vercel が公開したのは、内部システムへの不正アクセスを引き起こす、深刻なセキュリティ・インシデントの内容である。この攻撃は、同社の従業員が使用していたサードパーティ製 AI 生産性ツール Context.ai の侵害に起因するものである。2026年4月19日に Vercel は、最初のセキュリティ情報公開を行い、Context.ai に属する侵害済み Google Workspace OAuth アプリケーションが悪用され、攻撃者が内部環境への足掛かりを確立したことを認めた。

LMDeploy の SSRF 脆弱性：アドバイザリ公開から 12 時間半で実環境での悪用が発生

Attackers Exploit LMDeploy Flaw in the Wild Within 12 Hours of Advisory

2026/04/23 gbhackers — LMDeploy のビジョン言語モジュールに存在する、深刻なサーバサイド・リクエスト・フォージェリ (SSRF) の脆弱性が、情報公開からわずか 12時間 30分後に実環境攻撃で悪用されるという事実が確認された。つまり、PoC コードに依存することなく、この攻撃は実行された。2026年4月21日に GitHub は、セキュリティ・アドバイザリ GHSA-6w67-hwm5-92mq で脆弱性を公開し、その後に CVE-2026-33626 (CVSS：7.5：High) が割り当てられた。

TradingView を装うマルウェア・キャンペーン：Needle Stealer の配信と認証情報の窃取

Fake TradingView AI Agent Site is Delivering Needle Stealer Malware via Fake TradingClaw

2026/04/23 CyberSecurityNews — 人気の金融プラットフォーム TradingView を装う新たなマルウェア・キャンペーンが、トレーダーを騙してデータ窃取ツールをダウンロードさせるという事例が確認されている。この攻撃者は、AI 駆動のトレーディング・アシスタント TradingClaw を装い、偽物を宣伝する Web サイトを構築している。このサイトはドメイン “tradingclaw[.]pro” で運用され、正規の AI トレーディング製品の外観を忠実に模倣しているが、正規のスタートアップ “tradingclaw[.]chat” とは無関係である。

偽の GitHub リポジトリを連携させるマルウェア・オペレーション：SmartLoader／StealC Malware を配布

109 Fake GitHub Repos Spread SmartLoader, StealC Malware

2026/04/22 gbhackers — 偽の GitHub リポジトリを用いる連携型のマルウェア・オペレーションが、 LuaJIT ベースの SmartLoader と後続の StealC Infostealer を配布していることが確認された。悪意のリポジトリは 109 件であり、そのオペレーションに用いられるアカウントは 103 件である。このキャンペーンのコア要素は、オープンソース・コードのクローン／難読化された Lua ステージ／ブロックチェーン・ベースの C2 解決の組み合わせであり、検知回避とインフラの機動性を維持している。

Claude Mythos が証明した脆弱性発見能力：Firefox の 271 件のゼロデイを単一の評価で検出

Claude Mythos AI Model Uncovers 271 Zero-Day Vulnerabilities in Firefox

2026/04/22 CyberSecurityNews — Anthropic の最新フロンティア AI モデルである Claude Mythos Preview は、Mozilla Firefox において 271 件のゼロデイ脆弱性を特定し、AI 駆動のサイバー・セキュリティ防御における大きな転換点を示した。そこで発見された一連の脆弱性は、ブラウザ史上最大の規模のセキュリティ修正として対応され、Firefox 150 に反映された。

Spring Security Authorization Server の脆弱性 CVE-2026-22752 が FIX：XSS／SSRF／権限昇格のリスク

Critical Spring Authorization Server Issue Exposes Systems to XSS and SSRF Attacks

2026/04/22 gbhackers — Spring Security Authorization Server に存在する、深刻な脆弱性 CVE-2026-22752 が 2026年4月21日に公開された。この脆弱性は、Dynamic Client Registration エンドポイントを実装／運用している組織に影響を及ぼす。この脆弱性を悪用する攻撃者は、悪質なクライアント・メタデータの注入が可能となり、保存型クロスサイト・スクリプティング (XSS)／権限昇格／サーバサイド・リクエスト・フォージェリ (SSRF) を引き起こす可能性がある。この問題は、セキュリティ研究者 Kelvin Mbogo により責任ある形で報告された。

Atlassian Bamboo の脆弱性 CVE-2026-21571／33871 が FIX：リモート・コマンド・インジェクションの恐れ

Critical Atlassian Bamboo Data Center and Server Flaw Enables Command Injection Attacks

2026/04/22 CyberSecurityNews — Atlassian が公開したのは、Bamboo Data Center／Server 製品に影響を及ぼす、2 件の深刻なセキュリティ脆弱性 CVE-2026-21571／CVE-2026-33871 に関する情報である。そこに含まれるのは、深刻度 Critical の OS コマンド・インジェクションの脆弱性と、サードパーティの依存関係に関連する深刻度 High のサービス拒否 (DoS) の脆弱性である。影響を受けるバージョンを運用する組織に対して強く推奨されるのは、直ちにパッチを適用することである。

Microsoft SharePoint のスプーフィング脆弱性 CVE-2026-32201：1,370 台以上のサーバがインターネットに露出

1,370+ Microsoft SharePoint Servers at Risk of Spoofing Attacks Found Exposed Online

2026/04/22 gbhackers — Microsoft SharePoint のスプーフィングの脆弱性 CVE-2026-32201 が、現在も実環境で積極的に悪用されている。それにより、インターネットに公開される 1,370台以上のサーバを介して、無数の企業ネットワークに深刻なリスクがもたらされていると、 Shadowserver Foundation の研究者たちが指摘している。これらの未パッチ・システムを突く攻撃者たちは、セキュリティ制御／セキュリティ・プロトコルを回避し、ネットワークの完全性を侵害する高度な攻撃を引き起こせる。

Microsoft が .NET 10.0.7 を緊急リリース：深刻な権限昇格の脆弱性 CVE-2026-40372 に対応

Microsoft Emergency .NET 10.0.7 Update to Patch Elevation of Privilege Vulnerability

2026/04/22 CyberSecurityNews — 2026年04月21日に、Microsoft は .NET 10 のバージョン 10.0.7 をリリースし、Microsoft.AspNetCore.DataProtection NuGet パッケージに存在する、深刻な脆弱性に対処した。この脆弱性を悪用する攻撃者により、重大な特権昇格が生じる恐れがある。今回の OOB リリースの背景にあるのは、通常の Patch Tuesday における .NET 10.0.6 アップデート適用後の、ASP.NET Core アプリケーションにおいて復号失敗が発生したという顧客からの報告である。

Amazon と Anthropic が締結した契約：Claude のための 5GW コンピューティング容量と AWS への統合

Amazon, Anthropic Expand Alliance With 5GW Compute Push to Power Claude

2026/04/22 gbhackers — Amazon と Anthropic が発表したのは、戦略的な提携の大幅な拡張である。そこで締結された契約の内容は、Claude AI モデルの学習および展開のために、最大 5 ギガワット (GW) のコンピューティング容量を新たに確保するというものだ。この積極的な取り組みは、急速に進化する GenAI テクノロジーを安全かつ効率的に支えるために必要とされる、インフラの規模の大きさを示している。需要の急増に対応するために、Anthropic は今後の 10 年間で、AWS テクノロジーに対して $100 billion 以上を投資する方針であるという。

CrowdStrike LogScale の脆弱性 CVE-2026-40050 が FIX：システム・ファイルへの不正アクセスの恐れ

CrowdStrike LogScale Vulnerability Allows Remote Attackers to Read Arbitrary Files from Server

2026/04/22 CyberSecurityNews — CrowdStrike が発表したのは、LogScale プラットフォームに影響を及ぼす深刻な脆弱性 CVE-2026-40050 (CVSS v3.1：9.8) に関する緊急セキュリティ・アドバイザリである。このパス・トラバーサルの欠陥を突く未認証のリモート攻撃者は、サーバのファイル・システムから任意ファイルを読み取ることが可能になる。

Anthropic Claude Mythos Preview への不正アクセス：未承認のユーザー・グループが制限を突破

Unauthorized Group Gains Access to Anthropic’s Exclusive Cyber Tool Mythos

2026/04/22 CyberSecurityNews — 未承認のユーザー・グループが、厳重管理される Anthropic の強力な AI 駆動サイバー・セキュリティ・ツール Claude Mythos Preview の、アクセス制御を突破したと報告されている。それにより、サードパーティに与えられている高度な攻撃型 AI 能力が、脅威アクターたちの手に渡るという懸念が生じている。

Apache Syncope の RCE 脆弱性 CVE-2025-57738 が FIX：PoC の公開による悪用の可能性

Apache Syncope RCE Vulnerability Detailed After Public Exploit Code Release

2026/04/21 gbhackers — Apache Syncope に存在する、深刻なリモート・コード実行 (RCE) 脆弱性 CVE-2025-57738 (CVSS：7.2：High) に関する技術詳細と PoC エクスプロイトが、セキュリティ研究者により公開された。エンタープライズや政府機関で広く利用される、ID 管理基盤である Apache Syncope の脆弱性は、Groovy ベースの実装 (Implementation) を処理する仕組みに起因する。

GitHub Issue 通知を悪用するキャンペーン：悪意の OAuth アプリを介して開発環境を侵害

Hackers Abuse GitHub Issue Notifications to Phish Developers Through Malicious OAuth Apps

2026/04/21 CyberSecurityNews — GitHub の通知システムを悪用して、悪意の OAuth アプリへの認可リクエストを配信する高度なフィッシング手法を、セキュリティ研究者たちが発見した。この攻撃では、GitHub の信頼されたインフラが悪用されるため、被害者による正規のセキュリティ・アラートとの識別が困難であり、きわめて危険である。

Apache ActiveMQ の脆弱性 CVE-2026-34197：未パッチ・インスタンス 6,000+ がインターネット上に公開

6,000+ Publicly Exposed Apache ActiveMQ Instances Found Vulnerable to CVE-2026-34197

2026/04/21 gbhackers — Apache ActiveMQ サーバに存在する深刻な脆弱性 CVE-2026-34197 により、インターネットに公開される 6,000 台以上のサーバへの攻撃が可能な状態となっており、数多くのエンタープライズ・ネットワークが無防備な状態に置かれている。

“Comment and Control” という脆弱性クラス：Claude Code／Gemini CLI／GitHub Copilot に共通する問題

Claude Code, Gemini CLI, and GitHub Copilot Vulnerable to Prompt Injection via GitHub Comments

2026/04/21 CyberSecurityNews — “Comment and Control” と呼ばれる深刻なクロスベンダーの脆弱性クラスは、GitHub の pull_request／issue／issue_comment を悪用して AI コーディング・エージェントを乗っ取り、CI/CD 環境から API キーおよびアクセス・トークンを窃取するという、新たなプロンプト・インジェクション攻撃のカテゴリーである。

CISA KEV 警告 26/04/20：Cisco Catalyst SD-WAN Manager の脆弱性 CVE-2026-20122／20128／20133 を登録

CISA Alerts Defenders to Exploited Cisco Catalyst SD-WAN Manager Security Flaws

2026/04/21 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Cisco Catalyst SD-WAN Manager の脆弱性が積極的に悪用されている状況を踏まえ、ネットワーク防御担当者に対して緊急の警告を発出した。2026年4月20日に CISA は、このプラットフォームに影響を与える 3 種類のセキュリティ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに正式に追加した。

FortiGate SSL VPN 侵入キャンペーンと Nightmare-Eclipse： BlueHammer／RedSun／UnDefend の活動も確認

Hackers Use Nightmare-Eclipse Tools After Compromising FortiGate SSL VPN Access

2026/04/21 CyberSecurityNews — 侵害済の FortiGate SSL VPN を介した不正アクセスと見られる、深刻なインシデントが続いている。実環境で検出されたのは、公開されている Nightmare-Eclipse (別名 Chaotic Eclipse)／BlueHammer／RedSun／UnDefend などの権限昇格ツール用いた侵入キャンペーンである。これらのツールが、稼働中のエンタープライズ環境に対して実際に展開された、初の事例が確認されたことになる。このインシデントは、グローバルなセキュリティ・チームに対して緊急の警鐘を鳴らすものである。

QEMU を悪用するキャンペーンを検出：ランサムウェアのためのバックドアを展開

Attackers Turn QEMU Into a Stealth Backdoor for Credential Theft and Ransomware

2026/04/20 CyberSecurityNews — 正規のオープンソース・マシンエミュレータおよび仮想化ツールである QEMU を悪用する攻撃者が、エンドポイント・セキュリティ検知を回避しながら認証情報を窃取し、ランサムウェアを展開するためのバックドアを仕掛けている。この攻撃手法の変化が示すのは、エンタープライズ環境において、信頼されたソフトウェア・ツールが回避技術として武器化されている現実である。

Axios npm パッケージ汚染を CISA が緊急警告：広範なサプライチェーン・リスクの懸念

CISA Warns Compromised Axios npm Package Fueled Major Supply Chain Attack

2026/04/21 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、広く利用されている npm パッケージである Axios に影響を及ぼす、深刻なソフトウェア・サプライチェーン侵害に関する緊急警告である。Axios は、Node.js とブラウザ環境で、HTTP リクエスト処理に利用される人気の JavaScript ライブラリである。

米国の NSA が Anthropic Mythos を運用：法廷で争うペンタゴンの姿勢と裏腹の展開

NSA Reportedly Using Anthropic’s Mythos Despite Pentagon Blacklist

2026/04/20 CyberSecurityNews — 米国の国家安全保障局 (NSA：National Security Agency) が、Anthropic の高度 AI モデル Mythos Preview を導入していると報じられている。その一方で、国防総省 (DoD：Department of Defense) は、Anthropic に対してサプライチェーン・リスク指定 (ブラックリスト) しており、内部における矛盾が浮き彫りとなっている。Anthropic とペンタゴンの対立は、2026年の初頭に遡る。

Notion の公開ページから編集者の UUID が漏洩：メールアドレスなどが露出する恐れ

Public Notion Pages Expose Editors’ Profile Photos and Email Addresses

2026/04/20 gbhackers — 広く利用される生産性向上およびノート作成アプリケーション Notion に存在する、深刻なデータ露出の問題が明らかになった。この露出は、認証／クッキー／アクセス・トークンを一切必要とせずに発生し、数千件のインデックス可能な企業 Wiki や個人ページが、データ・スクレイピングに対して脆弱な状態となっている。

Windows RDP の新たなアラート：2026/04 Patch Tuesday でのアップデートを確認

New RDP Alert After April 2026 Security Update Warns of Unknown Connections

2026/04/20 CyberSecurityNews — 2026年04月 Patch Tuesday の一環として、Windows Remote Desktop Connection (MSTSC) の挙動に大きな変更が導入された。Remote Desktop Protocol (.rdp) ファイルを悪用するフィッシング攻撃から、ユーザーを保護するための新たな警告ダイアログが、この変更において追加されている。

Gemini AI が実現する詐欺広告の排除：83 億件以上の悪質な広告をブロック／削除

Google Uses Gemini AI to Stop Malicious Ads From Threat Actors – 8.3 billion ads Blocked

2026/04/20 CyberSecurityNews — GenAI を悪用する脅威アクターたちが、前例のない規模で高度な広告詐欺を展開している。それに対抗する Google は、Gemini AI モデルを広告のセキュリティ基盤へ統合し、これらの脅威を積極的に無効化している。Google が公開した Ads Safety Report 2025 によると、AI が防御の能力を大幅に向上させたという。このセキュリティ・システムにより、99% 以上のポリシー違反広告がユーザーへ到達する前に検出された。

iTerm2 の脆弱性 CVE-N/A：エスケープシーケンスに起因する任意のコード実行

iTerm2 Flaw Turns SSH Escape Sequences Into Arbitrary Code Execution

2026/04/20 gbhackers — “cat” などのコマンドを用いたテキスト・ファイルの読み取りは、多くのサイバーセキュリティ・コミュニティにおいて安全な操作であると認識されている。その一方で、セキュリティ研究者たちが実証したのは、人気の macOS 用ターミナル・エミュレータである iTerm2 において、この単純な操作から任意のコード実行に至る可能性である。 OpenAI との共同研究により明らかとなったのは、無害に見えるターミナル出力を処理する際に、ターミナル・エミュレータの信頼モデルに根本的な欠陥が存在することだった。