Critical pgAdmin4 Vulnerability Lets Attackers Execute Remote Code on Servers
2025/11/15 CyberSecurityNews — PostgreSQL データベース向けの OSS インターフェイスである pgAdmin 4 に存在する、深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-12762 が報告された。この脆弱性が影響を及ぼす範囲はバージョン 9.9 以下であり、ホスト・サーバ上での任意のコマンド実行を攻撃者に許し、データベース・インフラ全体を危険に晒す可能性がある。
Continue reading “pgAdmin 4 の脆弱性 CVE-2025-12762 が FIX：サーバ上での RCE の恐れ”Hackers Flooded npm Registry Over 43,000 Spam Packages Survived for Almost Two Years
2025/11/14 CyberSecurityNews — npm エコシステムを標的とする大規模な組織的スパム・キャンペーンを、セキュリティ研究者 Paul McCarty が発見した。このキャンペーンは、IndonesianFoods ワームと名付けられ、少なくとも 11 のユーザー・アカウントを用いて実行され、約２年間で公開された 43,000 件以上のスパム・パッケージで構成されている。これらのパッケージは npm レジストリ全体の 1% 以上を占め、アクティベーション待ちの状態で未検出のまま存続している。
Continue reading “npm レジストリに 43,000 件以上のスパム・パッケージが拡散：２年近く検出を回避”15+ Weaponized npm Packages Attacking Windows Systems to Deliver Vidar Malware
2025/11/07 CyberSecurityNews — npm パッケージの侵害を介して Windows システムを標的とする、高度なサプライ・チェーン攻撃が出現した。2025年10月21日から26日の間に、脅威アクターが公開した 17 個の悪意の npm パッケージは、Vidar Infostealer マルウェアを配布するために設計されたものだ。このインシデントが明らかにしたのは、オープンソース・ソフトウェアの配布における深刻な問題である。
Continue reading “npm 上の武器化された 15+ のパッケージ：検出までに 2,240 回以上もダウンロード”OPNsense Firewall Update Addresses Multiple Security Issues and Enhances Features
2025/11/07 gbhackers — OPNsense プロジェクトが発表したのは、バージョン 25.7.7 のリリースである。このバージョンでは、企業向けのファイアウォール導入を強化するための、重要なセキュリティ改善とパフォーマンス強化を実現している。今回の更新は、インフラの脆弱性に対処する上で大きな前進であると同時に、ユーザー要望に基づく運用強化が施されている。その結果として、複雑なセキュリティ環境を管理するネットワーク管理者に対して、直接的なメリットがもたらされる。
Continue reading “OPNsense ファイアウォールの更新版 25.7.7／25.7.7_2 を公開：複数のセキュリティ問題の修正と機能の強化”PhantomRaven Attack Discovered in 126 Malicious npm Packages, Exceeding 86,000 Downloads
2025/10/30 gbhackers — PhantomRaven の出現は、世界中の開発者コミュニティを揺るがすものだ。この大規模キャンペーンには、126 個の悪意のある npm パッケージが関与し、86,000 回以上のダウンロードを記録した。これらの悪意のパッケージは水面下に潜み、世界中の無防備な開発者から npm トークン／GitHub の認証情報／CI/CD のシークレットを積極的に盗んでいる。この攻撃者はオープンソース・エコシステムの盲点を突くことで、セキュリティ分析から悪意のコードを隠蔽する新しい手法を駆使し、大きな影響を生み出している。
Continue reading “PhantomRaven の攻撃手法：依存関係隠蔽／AI 標的／自動スクリプトを持つ 126 の悪意の npm パッケージ”Dependency-Track: Open-source component analysis platform
2025/10/27 HelpNetSecurity — 現代的なソフトウェアはサードパーティ製コンポーネントの集合体であり、内部で何が動作しているのかを恒常的に把握することは難しい。この課題の根幹に対して、オープンソース・プラットフォーム Dependency-Track が取り組んでいる。その手法は、一度限りのスキャンで構成を把握するのではなく、すべてのアプリケーションとバージョンを監視し続けるものだ。それによりユーザー組織は、ポートフォリオ全体のリスクをリアルタイムに可視化できる。
Continue reading “Dependency-Track という SBOM 支援ツール：API ファースト・アーキテクチャで CI/CD に統合”OpenFGA: The open-source engine redefining access control
2025/10/22 HelpNetSecurity — OpenFGA のコアは、システム内で誰が何を実行できるのかを、チームとして定義することにある。アプリ開発のスタートにおいても、エンタープライズ・プラットフォームの管理においても、OpenFGA は数ミリ秒単位で認可チェックを実行する。この高速性により、パフォーマンスやセキュリティを損なうことなく、プロジェクトの規模に応じた拡張が可能になる。
Continue reading “OpenFGA：高速性と柔軟性を実現する OSS のアクセス・コントロールとは？”AdaptixC2 Emerges in npm Supply-Chain Exploit Against Developers
2025/10/21 gbhackers — Kaspersky のサイバー・セキュリティ研究者が、npm エコシステムを標的とした高度なサプライチェーン攻撃を発見した。この攻撃を仕掛ける脅威アクターは、正規のプロキシ・ユーティリティを装う悪意の npm パッケージを通じて、AdaptixC2 ポスト・エクスプロイト・フレームワークを配布していた。この発見が示すのは、高度なマルウェアを配信するための攻撃ベクターとして、オープンソース・ソフトウェア・リポジトリが悪用されるリスクが高まっている状況である。
Continue reading “AdaptixC2 の悪用を検出：npm 汚染を狙う脅威アクターのポスト・エクスプロイト手法とは？”131 Malicious Chrome Extensions Discovered Targeting WhatsApp Users
2025/10/20 gbhackers — WhatsApp Web ユーザーを標的とする、新たなスパムウェアの波が確認された。Socket Threat Research Team が報告したのは、Chrome Web Store に流入する悪意の Chrome エクステンションが 131 件に達したことだ。これらのエクステンションは従来のマルウェアと異なり、甚大な被害をもたらす自動化ツールとして機能し、プラットフォームのポリシーを体系的に崩壊させるものだ。いまの大規模なスパム・キャンペーンは、ブラジルのユーザーを標的としている。
Continue reading “WhatsApp ユーザーが標的：131 件の悪意の Chrome エクステンションを発見”Linux Kernel 6.18-rc1 Released With Extensive Updates Following a Steady Merge Window
2025/10/13 CyberSecurityNews — Linus Torvalds が発表したのは Linux 6.18-rc1 のリリースであり、次期カーネル・バージョンのリリース候補フェーズの開始を示している。Torvalds はいつもの率直な発言で、マージ期間が２週間でスムーズに終了し、新しい候補がタグ付けされ、世界中の開発者とテスターに配布されたと述べた。今回のイテレーションは、規模的には特筆すべきものではなく、最近のリリースとの比較では中規模なものであり、マージの短いログにも目立った異常は見当たらないという。
Continue reading “Linux Kernel 6.18-rc1 が公表：規模は中程度ながら安定性重視の改良を積み重ねている”Threat Actors Exploit Discord Webhooks for C2 via npm, PyPI, and Ruby Packages
2025/10/12 gbhackers — オープンソース・パッケージ内での Command and Control (C2) チャネルとして、Discord Webhook を悪用する脅威アクターが増えている。それにより、専用のインフラを構築することなく、機密情報／ホスト・テレメトリ／開発者環境データのステルス的な流出が可能になる。Socket の脅威調査チームが確認したのは、npm／PyPI／RubyGems 内でハードコードされた Discord Webhook URL が、書き込み専用のデータ受信先 (シンク)として機能し、HTTPS 経由で攻撃者が管理するチャネルへデータを吸い上げるという、活発な悪用の事例である。
Continue reading “npm／PyPI／RubyGems パッケージを介した Discord C2：ステルス情報漏洩が加速”2025/10/10 CyberSecurityNews — 悪意の npm パッケージ 175 個を介して展開される高度なフィッシング・キャンペーンを、Socket の脅威調査チームが発見した。これらのパッケージは、合計で 26,000 回以上もダウンロードされている。すべての悪意のパッケージに共通するアーティファクトに基づき、このキャンペーンは Beamglea と名付けられた。その手法は、npm の公開レジストリと unpkg.com CDN を悪用して、リダイレクト・スクリプトをホストするという、新しいものである。世界中の 135 社以上の製造業／テクノロジー／エネルギー企業などを標的としているという。
Continue reading “悪意の npm パッケージ 175 個：公開レジストリと CDN の悪用によりリダイレクト・スクリプトをホスト”Critical GitHub Copilot Vulnerability Let Attackers Exfiltrate Source Code From Private Repos
2025/10/10 CyberSecurityNews — GitHub Copilot Chat に存在する深刻な脆弱性 CVE-N/A (CVSS 9.6) を悪用する攻撃者は、非公開リポジトリからソースコードや機密情報を気付かれずに窃取することが可能だったという。この脆弱性を悪用するシナリオは、GitHub の Content Security Policy (CSP) を巧妙に回避しながら、新たなプロンプト注入技術を用いるものだ。それにより攻撃者は、悪意のコードやリンクを提案し、被害者の Copilot インスタンスを広範に制御する可能性があった。この問題は HackerOne を通じて責任ある形で報告され、その後に GitHub は修正を適用した。
Continue reading “GitHub Copilot Chat の脆弱性：非公開リポジトリからソースコード／機密情報を流出”Malicious PyPI Package Mimics as SOCKS5 Proxy Tool Attacking Windows Platforms
2025/10/01 CyberSecurityNews — Python Package Index (PyPI) に混入した、高度なバックドア機能を持つパッケージが、正規の SOCKS5 プロキシツールに擬態しながら、Windows システムを標的にしている。無害なネットワーク・ユーティリティを装うことで、XRAY-725599 として追跡されている SoopSocks パッケージは、SOCKS5 プロキシ・サービスを作成し、コンフィグが可能な Discord Webhook へ向けて、サーバ情報を報告する。
Continue reading “SOCKS5 Proxy Tool を模倣する悪意の PyPI パッケージ：巧妙な権限昇格と検出回避のメカニズムとは？”New Phishing Scam Aims at PyPI Maintainers to Steal Login Information
2024/09/25 gbhackers — ドメイン成りすまし型フィッシング・メールの新たな波が、再び Python のコミュニティとメンテナーたちを標的にしている。攻撃者がドメイン名を次々と変更するため、PyPI ユーザーは警戒を怠らず、アカウント保護のためにより強力な対策を講じる必要がある。最新の攻撃において、”アカウントのメンテナンスとセキュリティ手順” を装うメールを受け取ったメンテナーは、”メール・アドレスの確認” を促される。
Continue reading “PyPI メンテナーを狙う新たなフィッシング攻撃：認証情報窃取のリスクと防御策”2025/09/24 gbhackers — Mac ユーザーを標的とする大規模な攻撃キャンペーンで、偽の GitHub ページが悪用され、人気の正規アプリケーションを装う情報窃取マルウェアが拡散された。偽装されたソフトウェアに含まれていたのは、Malwarebytes for Mac／LastPass／Citibank／SentinelOne などの、数多くの有名ブランドである。ブランドへの成りすまし自体は目新しいものではないが、今回の攻撃キャンペーンが示した戦術の進化は、サイバー犯罪者がユーザーを誘導して有害なコードをインストールさせる手口にある。
Continue reading “GitHub にホストされたマルウェア：Malwarebytes／LastPass／Citibank／SentinelOne などを装う手口とは？”CISA Warns of Shai-Hulud Self-Replicating Worm Compromised 500+ Packages in npm Registry
2025/09/24 CyberSecurityNews — CISA が発令した緊急セキュリティ・アラートは、世界最大の JavaScript パッケージ・レジストリである、npmjs.com に対する大規模なソフトウェア・サプライチェーン攻撃に対するものである。500 以上の npm パッケージに侵入した Shai-Hulud と呼ばれる自己複製型ワームは、開発者の認証情報および npm 公開ワークフローを悪用して拡散する、悪意のコードを注入するものだ。
Continue reading “Shai-Hulud 自己複製ワームが npm レジストリの 500 以上のパッケージを侵害：CISA が警告”GitHub Introduces npm Security with Stronger Authentication and Trusted Publishing
2025/09/25 gbhackers — 今日のテクノロジーを支えるオープンソース・ソフトウェアにより、世界中の開発者たちは、ツール／ライブラリ／アプリケーションの構築／共有を可能にしている。しかし、イノベーションを促進するオープン性は、それと同時に深刻なセキュリティ課題ももたらす。攻撃者は npm などのパッケージ・レジストリを標的とし、アカウントを侵害して悪意あるコードを挿入する。この状況を受け、GitHub は npm のセキュリティを大幅に刷新し、強力な認証方式／有効期間の短いトークン／信頼できる公開に重点を置くようにした。これらの変更は、オープンソース・コミュニティを保護し、ソフトウェア・サプライチェーンの安全の確保を目的としている。
Continue reading “GitHub が npmセキュリティを大幅に刷新：より強力な認証と信頼できる公開を導入”Hackers Injecting Malicious Code into GitHub Actions Workflows to Steal PyPI Publishing Tokens
2025/09/15 CyberSecurityNews — Python Package Index (PyPI) の公開トークンを盗み出すという広範なキャンペーンの一環として、攻撃者たちは GitHub Actions ワークフローに悪意のコードを挿入した。それにより、一部のトークンが GitHub シークレットから盗まれたが、PyPI 管理者によると、プラットフォーム自体は侵害されておらず、盗まれたトークンが使用された証拠も確認されていないという。
Continue reading “GitHub Actionsワークフローに悪意のコードを注入：PyPI 公開トークン窃取の恐れ”Massive “Shai-Halud” Supply Chain Attack Compromised 477 NPM Packages
2025/09/17 CyberSecurityNews — Shai-Halud と呼ばれる大規模なサプライチェーン攻撃が、npm レジストリを介して JavaScript エコシステムに侵入してきた。CrowdStrike のパッケージなど、合計で 477 個の npm パッケージに仕込まれたのは、認証情報の窃取／ソースコードの流出／開発者マシン上での RCE などを目的とする、ステルス性の高いバックドアおよびトロイの木馬化のモジュールである。
Continue reading “Shai-Halud による大規模サプライチェーン攻撃：477 件の npm パッケージにバックドアとトロイの木馬”Self-replicating worm hits 180+ npm packages in (largely) automated supply chain attack
2025/09/16 HelpNetSecurity — npm レジストリで公開されているパッケージに対し、自己複製のワーム型ペイロードを展開するという、大規模なサプライチェーン攻撃が進行している。このワームは、侵害したパッケージの実行環境から被害者の認証情報を窃取し、その内容を攻撃者が管理する公開 GitHub リポジトリに送信するものであり、Shai-Hulud と呼称されている。そして、窃取した npm 認証トークンを用いて感染と侵害のサイクルを維持し、さらに侵害した GitHub トークンを利用して、非公開リポジトリを公開することが確認されている。
Continue reading “Shai-Hulud という自己複製型のワーム：180 件以上の npm パッケージを侵害”CrowdStrike npm Packages Hit by Supply Chain Attack
2025/09/16 gbhackers — 新たなサプライチェーン攻撃により、crowdstrike-publisher アカウントで管理されている複数の npm パッケージが侵害され、Shai-Halud と呼ばれる攻撃が継続的に展開されている。これらのパッケージを使用している、開発者および組織にとって必要なことは、直ちに対策を講じて認証情報を保護し、不正なコード実行を防ぐことだ。
Continue reading “CrowdStrike の npm パッケージに Shai-Halud サプライチェーン攻撃：認証情報の流出／不正なコード実行”40 npm Packages Compromised in Supply Chain Attack Using bundle.js to Steal Credentials
2025/09/16 TheHackerNews — npm レジストリを標的とする、新たなソフトウェア・サプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。この攻撃は、複数のメンテナーが所有する 40 以上のパッケージに影響を与えている。サプライチェーン・セキュリティ企業 Socket は、「侵害されたバージョンに取り込まれた NpmModule.updatePackage 関数は、パッケージの tarball をダウンロードし、package.json を改変し、ローカル・スクリプト (bundle.js) を挿入し、アーカイブを再パックして再公開するものだ。それにより、下流のパッケージが自動的にトロイの木馬化される」と述べている。
Continue reading “npm の 40 パッケージに侵害が波及：TruffleHog による偵察と感染チェーンのためのコード挿入”New Malvertising Campaign Exploits GitHub Repositories to Distribute Malware
2025/09/12 gbhackers — 正規の GitHub リポジトリの “dangling” コミットを介して無防備なユーザーを狙うという、巧妙なマルバタイジング・キャンペーンが発覚した。この攻撃者は、人気の開発プロジェクトや OSS プロジェクトに、偽造 GitHub Desktop インストーラーのプロモーション・コンテンツを挿入している。正規のクライアントを装うインストーラーをダウンロードすると、バックグラウンドで悪意のペイロードが密かに配信され、ユーザーには気づかれることなく、システムが迅速に侵害される。
Continue reading “GitHub リポジトリの “dangling” コミットが標的：新たなマルバタイジング・キャンペーンが発覚”Hackers Booked Very Little Profit with Widespread npm Supply Chain Attack
2025/09/11 CyberSecurityNews — 8月下旬に表面化した高度な npm サプライチェーン攻撃は、人気の JavaScript ライブラリに悪意のペイロードを挿入し、数千の下流プロジェクトを標的としたものである。当初の報告では、タイポスクワッティング手法の新たな亜種が指摘されていたが、その後の分析で、侵害されたメンテナの認証情報を用いて、バックドア付きモジュールを正規パッケージ名で公開するという、より精巧な攻撃であることが明らかになった。
Continue reading “npm エコシステムを狙ったサプライチェーン攻撃：収益は $200 未満だったが狙いは別のところに？”Hackers Hijack 18 Popular npm Packages Downloaded Over 2 Billion Times Weekly
2025/09/09 gbhackers — 毎週 20億回以上もダウンロードされている、きわめて人気の高い npm パッケージ 18個をハッカーが乗っ取り、暗号通貨のユーザーと開発者を標的とする高度なマルウェアを注入しているという。Aikido のレポートによると、9月8日の早朝にセキュリティ・フィードが警告したのは、chalk／debug／chalk-template／supports-color などの人気パッケージ 18個が迅速に更新され、悪意のコードにより汚染されたことだ。
Continue reading “人気の npm パッケージ 18種類にマルウェア侵害：それらの総ダウンロード数は 20億回／週”2025/09/01 gbhackers — 広く使用されている Nodemailer メール・ライブラリを装い、Windows システム上のデスクトップ仮想通貨ウォレットを秘密裏に乗っ取っていく、悪意の npm パッケージによる高度な仮想通貨窃盗スキームが発覚した。週平均で約 390 万ダウンロードを誇る、正規の Nodemailer ライブラリを装う、悪意のパッケージ “nodejs-smtp” を、Socket の脅威調査チームが特定したのだ。
Continue reading “悪意の “nodejs-smtp” パッケージ：Nodemailer メール・ライブラリを装い仮想通貨ウォレットを侵害”Okta Security Releases Auth0 Event Logs for Proactive Threat Detection
2025/08/21 CyberSecurityNews — Okta が発表したのは、Auth0 顧客のために設計され、プロアクティブな脅威検知を強化する、OSS リポジトリ Auth0 Customer Detection Catalog の提供開始である。このリリースは、ID／Access 管理セキュリティにおける大きな進展を示すものであり、それを利用するセキュリティ・チームは、高度な検知ルールを活用することで、認証インフラ全体で新たな脅威を特定して対応できるようになる。
Continue reading “Okta が Auth0 Customer Detection Catalog の提供を開始：Sigma フォーマットによるプロアクティブな脅威検知”Crypto Developers Attacked With Malicious npm Packages to Steal Login Details
2025/08/19 CyberSecurityNews — 機密性の高い認証情報やウォレット情報の窃取を目的とし、暗号資産の開発者を標的に悪意の npm パッケージを展開する、新たな脅威キャンペーンが確認された。そこで用いられる手法は、従来と比べて洗練されたものであり、開発者コミュニティに深刻なリスクをもたらしている。この攻撃は、正規のSDK (software development kits) やスキャン・ツールを装い、特に Solana 暗号資産エコシステムを標的にするため、研究者たちは Solana-Scan と名付けている。
Continue reading “npm パッケージの悪用と攻撃：Solana 暗号資産の開発者から機密情報を窃取するキャンペーンを検出”Hundreds of TeslaMate Servers Expose Real-Time Vehicle Data
2025/08/18 gbhackers — 数百台のセルフホスト型 TeslaMate サーバが、認証を要求することなく、Tesla 車両の機密データをパブリック・インターネットに公開していることが、あるセキュリティ研究者により明らかにされた。それにより、リアルタイムでの位置追跡／充電パターン／運転習慣などが露見する恐れがある。Tesla の公式 API に接続する TeslaMate とは、人気の OSS データ・ロガーであり、GPS 座標／バッテリーの状態／充電セッション／走行履歴／車内温度などの、詳細な車両テレメトリを収集する。このアプリケーションはポート 4000 で動作し、通常はデータの可視化のために、ポート 3000 上の Grafana ダッシュボードも用いている。
Continue reading “TeslaMate Server から漏洩する車両データ：認証機能を持たない数百のサーバが稼働中”SSHamble: New Open-Source Tool Targets SSH Protocol Flaws
2025/08/11 gbhackers — SSH 実装における脆弱性やミスコンフィグを、ネットワーク全体にわたり特定する、強力なオープンソース・ツール SSHamble が、セキュリティ研究者たちにより発表された。このツールは、HD Moore と Rob King により開発されたものであり、SSH セキュリティテスト機能の大幅な進歩を示し、Secure Shell 基盤をユーザー組織が評価する際の、重大なギャップを解消するものとして期待されている。
Continue reading “SSHamble という OSS Sec Tool が登場：SSH に関する多様な問題を特定”Streamlit Vulnerability Exposes Users to Cloud Account Takeover Attacks
2025/08/05 gbhackers — データ・アプリケーション構築向けの人気の OSS フレームワーク Streamlit で発見された、深刻なセキュリティ脆弱性を悪用するサイバー犯罪者は、クラウド・アカウントの乗っ取りと、それに伴う金融データ・システムの不正操作を可能にするという。この脆弱性は、Streamlit におけるクライアント側のファイル・アップロード機能に起因している。この、クライアント側の検証における単純な見落としが、このプラットフォームを用いて機密性の高いアプリケーションを開発するユーザー組織に対して、壊滅的な影響を与え得るという。
Continue reading “Streamlit に重大な脆弱性：クラウド・アカウント乗っ取りと金融データ改竄の恐れ”Hackers Use AI to Create Malicious NPM Package that Drains Your Crypto Wallet
2025/08/04 CyberSecurityNews — 人工知能 (AI) を悪用するサイバー犯罪者たちは、正規の開発ツールを装う NPM パッケージを作成／展開することで、暗号資産ウォレットから密かに資金を吸い上げるという、巧妙な攻撃を仕掛けている。“@kodane/patch-manager” という名のパッケージは、ライセンス検証およびレジストリ最適化機能を提供する “NPM Registry Cache Manager” を装っているが、実際には Solana ブロックチェーン資産を標的とする、高度な暗号資産ウォレット・ドレイナー (資金窃取ツール) を内包している。
Continue reading “NPM 上の悪意のパッケージを解析：AI によるコード生成を示す証拠が発見された”CISA open-sources Thorium platform for malware, forensic analysis
2025/07/31 BleepingComputer — 2025年7月31日 (木) に米国の CISA が発表したのは、マルウェア／フォレンジック用の OSS プラットフォーム Thorium を、政府／公共部門／民間部門へ向けて公開するという声明である。この Thorium は、スケーラブルなサイバー・セキュリティ・スイートであり、サンディア国立研究所との提携により開発されたものである。
Continue reading “CISA が公表した OSS プラットフォーム Thorium：マルウェア／フォレンジック分析を支援”WordPress Theme Security Vulnerability Enables to Execute Arbitrary Code Remotely
2025/07/30 gbhackers — 人気の WordPress テーマ Alone に、深刻なセキュリティ脆弱性の存在が判明した。この脆弱性の悪用に成功した未認証のリモート攻撃者は、任意のコード実行を達成し、影響を受ける Web サイトの完全な制御を奪う可能性を手にする。この脆弱性 CVE-2025-5394 は、ThemeForest 上で 9,000 件以上も販売されている、慈善団体／非営利団体向けのテーマに影響を及ぼすという。
Continue reading “WordPress テーマ Alone の深刻な脆弱性 CVE-2025-5394 が FIX：RCE によるサイト乗っ取りの可能性”Critical CodeIgniter Vulnerability Exposes Million of Webapps to File Upload Attacks
2025/07/29 CyberSecurityNews — CodeIgniter4 の ImageMagick ハンドラにおいて、悪意のファイル・アップロードに起因するコマンド・インジェクションの脆弱性が発見された。この欠陥により、数百万の Web アプリケーションに対して深刻な影響が及ぶ可能性がある。この脆弱性 CVE-2025-54418 は (CVSS v3.1：9.8) は Critical と評価されており、影響を受けるシステムへの速やかな対応が必要とされる。
Continue reading “CodeIgniter4 の脆弱性 CVE-2025-54418 が FIX：画像ファイル名などを悪用するコマンド・インジェクション”Post SMTP plugin flaw exposes 200K WordPress sites to hijacking attacks
2025/07/25 BleepingComputer — Post SMTP プラグインの脆弱性により、20万以上の WordPress サイトが、管理者アカウント乗っ取りの危険に直面している。この Post SMTP は、40万以上のアクティブインストール数を有する、WordPress の人気メール配信プラグインであり、WordPress のデフォルト関数 wp_mail() の代替として、信頼性と機能性を備えているとされる。この脆弱性 CVE-2025-24000 (CVSS：8.8)は、2025年5月23日にセキュリティ研究者より、WordPress セキュリティ企業 PatchStack に報告されている。
Continue reading “WordPress Post SMTP の脆弱性 CVE-2025-24000 が FIX：20万のサイトに乗っ取りの可能性”New Scanner Launched to Detect CVE-2025-53770 in SharePoint Servers
2025/07/22 gbhackers — Microsoft SharePoint サーバに影響を与える、深刻な脆弱性 CVE-2025-53770 を検出する OSS スキャナを、あるサイバー・セキュリティ研究者がリリースした。先日に公開された、この脆弱性に対するセキュリティ体制を評価する重要なツールとして、このスキャナはユーザー組織にメリットをもたらす。
Continue reading “SharePoint の脆弱性 CVE-2025-53770：問題点を検出する OSS ツールが登場”Apache Jena Vulnerability Leads to Arbitrary File Access or Manipulation
2025/07/22 CyberSecurityNews — Apache Jena が公表したのは、バージョン5.4.0 以下に存在する、２つの重大なセキュリティ脆弱性に関する情報である。これらの脆弱性 CVE-2025-49656／CVE-2025-50151 (深刻度：Important) は、すでにバージョン 5.5.0 で修正されている。その悪用に成功した攻撃者は、管理者のアクセス権限を介して、標的サーバのファイル・システムの整合性を侵害する可能性を得るという。
Continue reading “Apache Jena の脆弱性 CVE-2025-49656／50151 が FIX：パス・トラバーサルによる不正操作の可能性”Threat Actors Hijack Popular npm Packages to Steal The Project Maintainers’ npm Tokens
2025/07/22 CyberSecurityNews — 広く使用される eslint-config-prettier や eslint-plugin-prettier などの、複数の npm パッケージが高度なサプライチェーン攻撃により侵害された。この攻撃の原因は、標的型フィッシング攻撃による、メンテナーの認証トークンの窃取にある。この攻撃で用いられたドメイン npnjs.com は、正規の npmjs.org サイトを模倣するものであり、精巧に設計されたフィッシング・メールを通じて、開発者の認証情報を収集するタイポスクワッティング攻撃が仕掛けられた。
Command-Line Editor Vim Hit by Vulnerability Allowing File Overwrites
2025/07/16 gbhackers — Vim の開発チームが公表したのは、Vim の zip.vim プラグインに存在する深刻なセキュリティ脆弱性に関する情報である。2025年7月15日に公開された、この脆弱性 CVE-2025-53906 が影響を及ぼす範囲は、Vim のバージョン 9.1.1551 未満となる。細工された ZIP アーカイブ・ファイルを処理する際の、ファイル・パスの不適切な制限処理に、この脆弱性は起因する。したがって、この欠陥を突く攻撃者は、被害者のシステム上で任意のファイルを上書きできる。さらに攻撃者は、特権ディレクトリ上に任意コードを配置できるため、最悪の場合には基盤となる OS 上でのコード実行が引き起こされ、システム全体の制御が奪われる可能性がある。
Apache Tomcat Coyote Flaw Allows Attackers to Launch DoS Attacks
2025/07/15 gbhackers — Apache Software Foundation が公表したのは、Tomcat Coyote モジュールの Maven アーティファクト org.apache.tomcat:tomcat-coyote に存在する、深刻な脆弱性 CVE-2025-53506 に関する情報である。この脆弱性を悪用する攻撃者は、ストリームのコンカレント制限を操作し、サーバ・リソースを圧倒することで、サービス拒否 (DoS) 攻撃を仕掛ける可能性を手にする。この脆弱性は、HTTP/2 プロトコル処理における、制御不能なリソース消費に起因する。
Continue reading “Apache Tomcat Coyote の脆弱性 CVE-2025-53506 が FIX：サービス拒否 (DoS) 攻撃の恐れ”WordPress Gravity Forms developer hacked to push backdoored plugins
2025/07/11 BleepingComputer — WordPress の人気プラグインである Gravity Forms が、サプライチェーン攻撃とみられるインシデントにより侵害された。公式 Web サイトから手動でインストールされたパッケージに、バックドアが仕込まれるという攻撃が発生したことになる。Gravity Forms は有料プラグインであり、コンタクトフォーム／決済フォームなどのオンラインフォームを作成するために活用されている。ベンダの統計データによると、この製品は約 100 万の Web サイトにインストールされており、その中に含まれるものには、Airbnb／Nike／ESPN／UNICEF／Google／Yale などの著名サイトもある。
Continue reading “WordPress Gravity Forms への侵害：公式 Web サイトのインストール・イメージが汚染された”Critical mcp-remote Vulnerability Exposes LLM Clients to Remote Code Execution Attacks
2025/07/10 CyberSecurityNews — mcp-remote プロジェクトで発見された深刻な脆弱性 CVE-2025-6514 (CVSS：9.6) を悪用する攻撃者は、信頼できない Model Context Protocol (MCP) サーバに接続するマシン上で、任意の OS コマンド実行の可能性を得ている。この脆弱性が影響を及ぼす範囲は バージョン 0.0.5〜0.1.15 であり、リモートで MCP サーバを使用する LLM (Large Language Model) クライアントに深刻なリスクをもたらし、最悪の場合には、システム全体の乗っ取りに至るという。
Continue reading “mcp-remote の脆弱性 CVE-2025-6514 が FIX：OAuth エンドポイントを介した悪意のペイロード注入”Splunk SOAR Addresses Vulnerabilities in Third-Party Packages – Update Now
2025/07/09 gbhackers — Splunk が 2025年7月12日に公開したセキュリティ・アドバイザリによると、同社の SOAR (Security Orchestration, Automation and Response) に脆弱性が発見されたとのことだ。 このプラットフォームに取り込まれる十数種の OSS コンポーネントに、脆弱なバージョンのパッケージが含まれることが判明しており、その中には、すでにエクスプロイトが公開されている欠陥もあるという。
Continue reading “Splunk SOAR サードパーティの脆弱性が FIX：問題のある OSS パッケージをアップデート”Next.js Vulnerability Allows Attackers to Trigger DoS via Cache Poisoning
2025/07/04 gbhackers — React ベースの Web フレームワークとして人気を博す Next.js において、深刻な脆弱性 CVE-2025-49826 が発見され、修正された。Vercel の報告によると、この Next.js の脆弱性はバージョン 15.1.0 以上、15.1.8 未満の範囲に存在し、キャッシュ・ポイズニングのバグを悪用する攻撃者は、影響を受けるアプリケーションにおいて、サービス拒否 (DoS) 状態を引き起こせる状況にある。
Continue reading “Next.js の脆弱性 CVE-2025-49826 が FIX：キャッシュ・ポイズニングによる DoS 攻撃”Apache APISIX Vulnerability Enables Cross-Issuer Access Under Misconfigurations
2025/07/04 gbhackers — 広く利用されているオープンソース API ゲートウェイ Apache APISIX の openid-connect プラグインに、新たな脆弱性 CVE-2025-46647 が発見された。この脆弱性は重要度が高く、特定のミスコンフィグが生じている状況において、異なる ID 発行者の間をまたぐかたちで、攻撃者に対して不正アクセスを許す可能性がある。
Continue reading “Apache APISIX の脆弱性 CVE-2025-46647 が FIX：ミスコンフィグから生じる不正アクセス”Apache Tomcat and Camel Vulnerabilities Actively Exploited in The Wild
2025/07/03 CyberSecurityNews — Apache Tomcat／Apache Camel に存在する深刻な脆弱性が、世界中のサイバー犯罪者たちにより積極的に悪用されているという。2025年3月に情報が公開された以降において、それらの脆弱性への攻撃は、70カ国以上で 125,000件を超えるレベルにあると、セキュリティ研究者たちは報告している。
Continue reading “Apache Tomcat／Camel の脆弱性 CVE-2025-24813／27636／29891：積極的な悪用を観測”Apache Seata Flaw Enables Deserialization of Untrusted Data
2025/07/03 gbhackers — 広く普及している OSS 分散トランザクション・ソリューション Apache Seata に、新たな脆弱性 CVE-2025-32897 が発見され、影響を受けるバージョンを使用する組織において、セキュリティ上の懸念が生じている。この脆弱性により、Apache Seata サーバ内で、信頼されないデータのデシリアライズが許可されることで、リモート・コード実行などのセキュリティ・リスクに、システムが直面する可能性が生じる。
Continue reading “Apache Seata の脆弱性 CVE-2025-32897 が FIX：信頼されないデータのデシリアライズの問題”RIFT – Microsoft’s New Open-Source Tool to Analyze Malware in Rust Binaries
2025/06/30 CyberSecurityNews — Rust バイナリ内に隠されたマルウェアを識別／分析する、サイバー・セキュリティ・アナリストたちを支援するためにデザインされた、画期的な OSS ツールである RIFT (Rust Identification and Function Tagging) が、Microsoft からリリースされた。これまでの５年間で、サイバー・セキュリティ・コミュニティが目の当たりにしてきたのは、Rust ベースのマルウェア開発へと向かう大きな移行だった。注目すべき Rust への移行例としては、2021年12月の BlackCat ランサムウェア、そして、2022年6月の Hive ランサムウェアが挙げられる。
Continue reading “Rust マルウェアを解析する RIFT (Rust Identification and Function Tagging)：OSS ツールとして Microsoft が公開”
IoT OT Security News 
You must be logged in to post a comment.