Google – Page 2 – IoT OT Security News

Google の新たな LLM VaultGemma：差分プライバシーでの学習と個人情報保護の強化

Google introduces, a differentially private LLM built for secure data handling

2025/09/16 HelpNetSecurity — Google が発表した、大規模言語モデル (LLM) VaultGemma は、トレーニング中に用いる機密データを、非公開に保つよう設計されたものだ。このモデルは、差分プライバシー技術を用いて個々のデータ・ポイントの露出を防ぐため、医療／金融／政府などの分野での、機密情報の安全な取り扱いを可能にする。

Google Drive Desktop for Windows の大問題：共有マシン上のローカル・キャッシュが分離されない

Google Drive Desktop for Windows Vulnerability Grants Full Access to Another User’s Drive

2025/09/10 CyberSecurityNews — Windows 版 Google Drive Desktop アプリにセキュリティ上の脆弱性が発見された。この脆弱性により、共有マシンにログインしているユーザーが、認証情報を入力することなく、他ユーザーの Drive ファイルへの完全なアクセスを取得する可能性がある。この問題の根本的な原因は、Drive Desktop アプリがキャッシュ・データを処理する際の、アクセス制御メカニズムの欠陥にある。Google Drive は、利便性とセキュリティの両面から広く信頼されているが、今回の脆弱性は、その前提を揺るがすものだ。

Google Chrome の脆弱性 CVE-2025-10200／10201 が FIX：リモート・コード実行の恐れ

Chrome Security Update Patches Critical Remote Code Execution Vulnerability

2025/09/10 CyberSecurityNews — Google がリリースしたのは、Chrome の深刻な脆弱性 CVE-2025-10200／CVE-2025-10201 を修正する、緊急セキュリティ・アップデートである。この脆弱性を悪用する攻撃者は、リモートから任意のコードを実行できるため、ユーザーに対して強く推奨されるのは、Chrome ブラウザの速やかなアップデートとなる。Chrome の Stable チャンネルで提供される最新バージョンは、Windows 版の 140.0.7339.127／.128、Mac 版の 140.0.7339.132／.133／Linux 版の 140.0.7339.127 となる。

MeetC2 という新たな C2 PoC が登場：Google Calendar API を介した検出回避を実証

Hackers Exploit Google Calendar API with Serverless MeetC2 Framework

2025/09/05 gbhackers — Google Calendar API を悪用することで、信頼できるクラウド・サービス内に悪意のトラフィックを隠蔽する、サーバーレス型の C2 (Command and Control) 手法が登場した。この MeetC2 と呼ばれる軽量クロス・プラットフォームの概念実証が示すのは、日常的に用いられる SaaS 環境に、攻撃者が C2 通信を組み込む方法であり、レッドチームとブルーチームの双方に対して、新たな検出／テレメトリ／対応の課題を提示する。

Google に対する米地裁の判決：Chrome ビジネスの売却は強制しないが検索データを他社に共有せよ

Google Won’t Be Forced to Sell Chrome, But Must Share Search Data With Rivals

2025/09/03 CyberSecurityNews — Google に対して米コロンビア地裁が命じたのは、Chrome 所有権の売却は強制しないが、重要な検索データは競合他社に共有すべきという内容である。9月2日 (火) に司法省の反トラスト局が発表した判決は、10年以上にわたり市場を支配してきた Google の検索独占に対する、政府による継続的な戦いにおける大勝利である。

Google Cloud／Cloudflare のインフラを悪用：３年間にわたるフィッシング攻撃が見逃されていた！

Google Cloud & Cloudflare Missed 3-Year Phishing Campaign

2025/09/03 gbhackers — Google Cloud／Cloudflare のインフラを悪用する大規模なフィッシング攻撃が、３年以上にわたり公開環境で展開され、Fortune 500 企業を標的に数百万ドル規模の潜在収益を発生させていた。Deep Specter Research の調査が明らかにしたのは、この攻撃の深刻さと、ブランド／規制当局／エンドユーザーへの影響である。

Chrome 140 がリリース：深刻な Use-after-free の脆弱性 CVE-2025-9864 など６件を修正

Chrome 140 Released With Fix For Six Vulnerabilities that Enable Remote Code Execution Attacks

2025/09/03 CyberSecurityNews — Google は Chrome 140 を正式に Stable チャンネルに昇格させ、Windows／Mac／Linux／Android／iOS 向けに新バージョンの展開を開始した。このアップデートでは、通常通りの安定性とパフォーマンスの向上が取り込まれているが、特筆すべきはリモート・コード実行の可能性がある、深刻な脆弱性６件を修正する重要なセキュリティ・パッチである。ユーザーに対して強く推奨されるのは、速やかなブラウザ・アップグレードによる、潜在的な悪用からの保護である。

Google が断固として否定：Gmail 大規模セキュリティ侵害の報道に反論

Google Dismiss Reports of Major Gmail Security Alert

2025/09/02 gbhackers — Google からの声明は、”25 億人の Gmail ユーザーに対してグローバルなセキュリティ・アラートを発令した” とする、報道を完全に否定するものであり、”まったくの虚偽” であると述べている。つまり、それらの報道により、世界中のユーザーに不必要な混乱を招いたとされる、いまの状況の迅速な解明へと向けて、Google が動いたことになる。先日の一部の報道では、Google が Gmail ユーザー全員に大規模なセキュリティ侵害の警告通知を送ったと伝えられた。それらの誤報が示唆したのは、数十億のアカウントが影響を受け、ユーザーに対してパスワード変更が促されたという状況であった。しかし、これらの主張が、まったくの誤りであることが判明した。

25億人の Gmail ユーザーに Google が警告：Salesforce データ侵害に関する情報の提供と対策の展開

Google Warns 2.5B Gmail Users to Reset Passwords Following Salesforce Data Breach

2025/08/30 CyberSecurityNews — Google が公表したのは、25億人の Gmail ユーザーに対する広範なセキュリティ・アラートの発令であり、アカウント・セキュリティの強化に関する勧告である。その背景にあるのは、Google がサードパーティ製品として使用する、Salesforce システムの１つで発生したデータ侵害である。この、2025年6月に発生したインシデントにより、Google の大規模なユーザー・ベースを狙う、高度なフィッシング攻撃に対する懸念が高まっている。

Google Chrome の脆弱性 CVE-2025-9478 が FIX：解放後メモリ使用による任意のコード実行

Critical Chrome Use After Free Vulnerability Let Attackers Execute Arbitrary Code

2025/08/27 CyberSecurityNews — Google が公開したのは、ANGLE グラフィック・ライブラリに存在する深刻な解放後メモリ使用 (use-after-free) 脆弱性 CVE-2025-9478 に対処するための、Chrome の緊急セキュリティ・アップデートである。この脆弱性は Windows／Mac／Linux プラットフォームにおける Chrome バージョン 139.0.7258.154／.155 未満に影響を及ぼし、その悪用に成功した攻撃者は、侵害したシステム上で任意のコード実行の可能性を手にする。

Google Chrome のゼロデイ脆弱性 CVE-2025-5419：PoC 公開と実環境での悪用

PoC Exploit Published for Chrome 0-Day Already Under Active Attack

2025/08/26 gbhackers — Google Chrome の深刻なゼロデイ脆弱性 CVE-2025-5419 (CVSS：7.5) に対する PoC エクスプロイトが、情報の提供から３ヶ月も経たずに公開されたが、それと同時に、実際の悪用事例も多数報告されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおける境界外での読取／書込に起因し、137.0.7151.68 未満のバージョンに影響を及ぼす。その結果として、細工された HTML ページを介した、ヒープ破損が引き起こされる可能性がある。

Gmail Phishing の進化：人間に加えて AI ベースの防御システムを操作する？

New Gmail Phishing Attack Uses AI Prompt Injection to Evade Detection

2025/08/24 CyberSecurityNews — これまでのフィッシングは、人を欺くことを常としてきた。しかし、今回のキャンペーンで明らかになったのは、攻撃者はユーザーを標的にするだけでなく、AI ベースの防御システムも操作しようとしたことだ。これは、先週に報告した Gmail フィッシング・チェーンの進化形である。先週のキャンペーンで悪用されていたのは、緊急性のアピールと巧みなリダイレクトだったが、今回は自動分析を混乱させるための、隠された AI プロンプトが導入されている。

FreeVPN.One という人気の Chrome エクステンション：正常なアプリからスパイウェアへと変貌していた

Legitimate Chrome VPN with 100K+ Installs Secretly Captures Screenshots and Exfiltrates Sensitive Data

2025/08/20 gbhackers — FreeVPN.One として提供される Chrome エクステンションは、10 万件以上のインストール数／認証バッジなどにより Chrome Web Store 注目を集めていたが、その実態は、ユーザーのブラウジング・アクティビティのスクリーンショットを密かに取得し、リモート・サーバへと送信するスパイウェアだった。

Google Chrome の脆弱性 CVE-2025-9132 が FIX：任意のコード実行の可能性

Chrome High-Severity Vulnerability Could Let Attackers Run Arbitrary Code

2025/08/20 gbhackers — Google が公表したのは、影響を受けるシステム上で攻撃者に対して、任意のコード実行を許す深刻な脆弱性に対処する、Chrome の緊急セキュリティ・アップデートのリリースである。それにより、Windows／Mac 用にはバージョン 139.0.7258.138／.139 が、Linux 用にはバージョン 139.0.7258.138 が提供されている。この脆弱性 CVE-2025-9132 は、V8 JavaScript エンジンに影響を及ぼし、世界中の数百万人の Chrome ユーザーに深刻なリスクをもたらすという。

Google の AI を活用する Big Sleep：ImageMagick の４件の脆弱性を発見／特定

ImageMagick Vulnerabilities Cause Memory Corruption and Integer Overflows

2025/08/15 gbhackers — AI を活用する Google のセキュリティ調査ツールである、Big Sleep が発見した４件の深刻な脆弱性は、人気の OSS 画像操作ソフトウェア ImageMagick に存在するものだ。これらの脆弱性が影響を及ぼす範囲は、画像処理に ImageMagick を利用する世界中の数百万のアプリケーションであり、同社による責任ある情報開示手順に従い、最新のソフトウェア・リリースで修正されている。

Google Chrome の５件の脆弱性が FIX：影響を受けるシステムで攻撃者に任意のコード実行を許す可能性

Multiple Chrome High-Severity Vulnerabilities Let Attackers Execute Arbitrary Code

2025/08/13 CyberSecurityNews — Google が公表したのは、Chrome に存在する５件の脆弱性を修正する重要なセキュリティアップデートである。この更新には、Windows/Mac/Linux 向けの Stable チャネル・アップデートが含まれ、Windows／Mac にはバージョン 139.0.7258.127／.128 が、Linux にはバージョン 139.0.7258.127 が提供されている。このアップデートに取り込まれるものには、影響を受けるシステム上での任意のコード実行にいたる、高深刻度の脆弱性の修正がある。この脆弱性が悪用されると、ユーザー・データおよびシステム整合性に重大なリスクを生じるとされる。

Gemini への間接プロンプト・インジェクション：メールからスマートホームにまで広がる攻撃領域

Gemini Exploited via Prompt Injection in Google Calendar Invite to Steal Emails, and Control Smart Devices

2025/08/07 CyberSecurityNews — 無害に見えるカレンダーの招待やメールを通じて、Google の Gemini AI アシスタントを、高度な攻撃手法により悪用する事例が報告されている。この “標的型プロンプトウェア攻撃” と呼ばれる手法では、間接的なプロンプト・インジェクションにより、ユーザーのデジタル・プライバシーを侵害され、さらには、家庭内の物理デバイスの制御が奪われるという懸念が生じている。

Linux の脆弱性 CVE-2025-38001 が FIX：Google kernelCTF と Debian 12 に深刻な影響

Researchers Use 0-Day to Exploit Google kernelCTF and Debian 12

2025/08/04 gbhackers — Linux のネットワーク・パケット・スケジューラにおける、HFSC (Hierarchical Fair Service Curve) キューイング制御に存在する、深刻な Use-After-Free の脆弱性 CVE-2025-38001 を、セキュリティ研究者たちが発見し、実証的に武器化した。この脆弱性の悪用により、Google の kernelCTF インスタンス (LTS／COS など) が侵害され、Debian 12 システムでは完全な権限の奪取が可能になるという。

Google が DBSC の Open Beta を公表：認証セッションのデバイス・バインドによる再利用の制限

Google Launches DBSC Open Beta in Chrome and Enhances Patch Transparency via Project Zero

2025/07/30 TheHackerNews — セッション Cookie 窃取攻撃からユーザーを保護するために、Google が公表したのは、DBSC (Device Bound Session Credentials) と呼ばれるセキュリティ機能をオープン・ベータ版として提供することだ。この DBSC は、2024年4月にプロトタイプとして導入されたものであり、盗んだ Cookie を悪用する攻撃者からの、不正アクセスを防止するよう設計されている。つまり、認証セッションをデバイスにバインドすることで、攻撃者の管理下にある別のデバイスからの、被害者のアカウントへのサインインを阻止するものである。

Chrome の深刻な脆弱性 CVE-2025-8292 が FIX：任意のコード実行の可能性

Chrome High-Severity Vulnerabilities Allows Memory Manipulation and Arbitrary Code Execution

2025/07/30 CyberSecurityNews — Google ga公表したのは、Chrome ブラウザの複数の脆弱性を修正する、緊急セキュリティ・アップデートである。その中には、攻撃者によるメモリ操作を許し、ユーザー・システム上での任意のコード実行を引き起こす、深刻度の高い脆弱性 CVE-2025-8292 も含まれている。最新版の Chrome 138 である、Linux 版 138.0.7204.183 および、Windows／macOS 版 138.0.7204.183／.184 において、これらの深刻な脆弱性は修正されている。すべてのユーザーに対して Google が強く推奨するのは、最新の Chrome へ向けた速やかなアップデートである。

Gemini CLI AI コーディング・アシスタントの脆弱性が FIX：データ窃取やコード実行の恐れ

Flaw in Gemini CLI AI coding assistant allowed stealthy code execution

2025/07/28 BleepingComputer — Google の Gemini CLI に、脆弱性が発見された。この脆弱性を悪用する攻撃者は、許可リストに登録されたプログラムを利用して悪意のコマンドを秘密裏に実行し、開発者のコンピュータからデータを窃取することが可能であったという。6月27日に、この脆弱性を発見した Tracebit が Google に報告した。それを受けた Google は、7月25日にバージョン 0.1.14 をリリースし、この問題を修正した。

Google Form と Apps Script が攻撃ベクター：１クリックで詐欺サイトに接続

Hackers Leverage Google Forms Surveys to Trick Victims into Stealing Cryptocurrency

2025/07/25 CyberSecurityNews — スムーズなデータ収集手段として高い評価を得ている Google Form だが、2024年末に検出されてから 2025 Q2 にかけて急増した、暗号通貨フィッシング攻撃の意外な拠点となっている。この攻撃は、正規を装う forms.gle リンクを取り込んだ、迷惑メールの受信から始まるが、このリンクは、ほとんどのスパム・フィルターを容易に回避していく。それに続いて、メールの受信者が悪意のリンクを開くと、有名な仮想通貨取引所を装う Google フォームが表示され “1.275 BTC の支払いが保留中” というメッセージが表示される。

Google の OSS Rebuild がスタート：リポジトリ汚染を一掃する試みへの期待とは？

Google Launches OSS Rebuild to Strengthen Security of The Open-Source Package Ecosystems

2025/07/24 CyberSecurityNews — 現代のソフトウェア・サプライチェーンは、無数のサードパーティ・コンポーネントに依存しているため、それらのパッケージ・リポジトリは攻撃者にとって格好の標的となっている。この１年の間に発生した、xz-utils バックドアや solana/webjs タイポスクワッティングなどの、注目を集めるセキュリティ侵害が示したのは、防御側が認知する前に、広く利用されているライブラリを巧妙なコードで汚染するという、可能性があることだった。

CISA KEV 警告 25/07/24：Google Chromium の脆弱性 CVE-2025-6558 を登録

CISA Alerts on Google Chromium Input Validation Flaw Actively Exploited

2025/07/24 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium の不適切な入力検証の脆弱性 CVE-2025-6558 が、脅威アクターにより積極的に悪用されているとして、緊急警報を発した。この脆弱性が悪用されると、複数の Chromium ベースの Web ブラウザに影響が生じ、数百万のユーザーが重大なリスクに直面するという。

Google Chrome の脆弱性 CVE-2025-8010／8011 などが FIX：システムの制御奪取の恐れ

Chrome High-Severity Vulnerabilities Allow Hackers to Gain Full Control

2025/07/23 gbhackers — Google が公表したのは、Chrome の深刻な脆弱性に対処する緊急のセキュリティ更新のリリースであり、パッチ適用が遅滞すると、ユーザー・システムの完全な制御を、攻撃者に許す可能性が生じるという。このリリースに伴い、Stable チャネルにおける Windows／macOS／Linux 向けのバージョンは 138.0.7204.168 へと更新されており、今後の数日から数週の間に、すべてのユーザーに対して順次展開される予定である。

Google の AI セキュリティ Big Sleep の快挙：SQLite のゼロデイ CVE-2025-6965 を自律的に検知／特定

Google’s AI ‘Big Sleep’ Detects Critical SQLite 0-Day, Halts Ongoing Attacks

2025/07/16 gbhackers — Google のAI エージェントである Big Sleep が、SQLite に存在する深刻なゼロデイ脆弱性を発見／阻止したことで、サイバー／セキュリティの歴史に新たな記録が刻まれた。この件は、現実世界のサイバー攻撃を、AI システムが自ら阻止するという初めての事例である。このAIエージェントは、Google DeepMind と Project Zero が開発したものであり、悪用の試行を示す脅威情報に基づき、SQLite の脆弱性 CVE-2025-6965 を特定した。つまり、Google の支援により、大規模な攻撃が発生する前に、パッチ適用の調整が可能になったのだ。

Chrome／Chromium のゼロデイ脆弱性 CVE-2025-6558 が FIX：積極的な悪用は APT の仕業？

Urgent: Google Releases Critical Chrome Update for CVE-2025-6558 Exploit Active in the Wild

2025/07/16 TheHackerNews — 2025年7月15日 (火) に Google が発表したのは、Chrome Web ブラウザに存在する、６件のセキュリティ問題に対する修正であり、そのうち１件は既に悪用されていると述べている。この、深刻度の高い脆弱性は CVE-2025-6558 (CVSS：8.8) は、ANGLE／GPU コンポーネントにおける、信頼できない入力への不十分な検証に分類されるものだ。

Google Gemini for Workspace の脆弱性：間接プロンプト・インジェクションという新たな攻撃ベクター

Google Gemini for Workspace Vulnerability Lets Attackers Hide Malicious Scripts in Emails

2025/07/14 CyberSecurityNews — Google Gemini for Workspace に存在する深刻な脆弱性を、セキュリティ研究者たちが発見した。この脆弱性を悪用する攻撃者は、メール本文内に悪意の指示を秘密裏に埋め込み、認証情報の窃取やソーシャル・エンジニアリング攻撃を引き起こす可能性を手にする。この攻撃は、AI アシスタントの “Summarize this email” 機能を悪用するものであり、Google からの送信を巧妙に装う、偽のセキュリティ警告を表示する仕組みを用いるものだ。

Chrome の武器化された Extension 群：アップデートにより悪意へと変貌し 170 万人を騙す

Weaponized Chrome Extension from Webstore With Verification Badge Infected 1.7 Million Users

2025/07/08 CyberSecurityNews — Chrome ユーザー 170万人以上を感染させた、高度なマルウェア攻撃キャンペーンは、正当に見える 11個のブラウザ・エクステンションを配布するものだった。それらの、すべてのエクステンションは、Google による認証済みバッジを取得し、Chrome Web Store において注目の広告として掲載されていた。このインシデントは、最大級のブラウザ・ハイジャック攻撃であり、ユーザーが安全なエクステンションを見分けるための信頼シグナルが、悪用されたことになる。なお、この “Malicious11” キャンペーンを発見したのは、Koi Security のサイバー・セキュリティ研究者たちである。

CISA KEV 警告 25/07/02：Chrome の 0-Day 脆弱性 CVE-2025-6554 を KEV カタログに登録

CISA Warns of Chrome 0-Day Vulnerability Exploited in Attacks

2025/07/03 CyberSecurityNews — Google Chrome に存在する深刻なゼロデイ脆弱性に対して、CISA が緊急警告を発した。この脆弱性については、実際の攻撃での悪用が多数報告され、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加された。この脆弱性 CVE-2025-6554 は、Chromium V8 JavaScript エンジンに影響を与えるものであり、世界中の組織に対して、早急な対応が求められている。

Chrome が試行する Web ページのポッドキャスト化：AI Audio Overviews のコンセプトと現状

Google Chrome May Soon Turn Webpages Into Podcasts With AI Audio Overviews

2025/07/01 CyberSecurityNews — Google が発表したのは、Android 版 Google Chrome において、ユーザーによるオンライン・コンテンツの利用方法を一変させる可能性を持つ、メジャー・アップグレードに関する予定である。Chrome で進行しているのは、”AI Audio Overviews” と呼ばれる新機能のテストである。この機能は、あらゆる Web ページをポッドキャスト形式の音声要約へと変換し、外出先でのユーザーに対しても、アクセスし易く魅力的なコンテンツを提供するものだ。

Chrome のゼロデイ脆弱性 CVE-2025-6554 が FIX：すでに活発な悪用を観測

Chrome 0-Day Vulnerability Exploited in the Wild to Execute Arbitrary Code – Patch Now

2025/07/01 CyberSecurityNews — Google がリリースしたのは、Chrome ブラウザの深刻なゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートである。この脆弱性 CVE-2025-6554 (深刻度 High) は、すでに悪用が確認されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおけるタイプ・コンフュージョンに起因する。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にする。

Chrome 138 アップデート：悪意のコード実行につながる 11件の脆弱性を修正

Chrome Security Update: Patch for 11 Vulnerabilities Enabling Malicious Code Execution

2025/06/25 CyberSecurityNews — Google が公表したのは、Chrome に存在する 11 件の脆弱性を修正する、重要なセキュリティ・アップデートのリリースであり、それらの欠陥の中には、ユーザーのシステム上での悪意のコード実行を引き起こす可能性を持つものも含まれるという。2025年6月24日 (火) に発表された、Chrome 138.0.7204.49 ステイブル・チャネル・アップデートは、高度なサイバー脅威への防御力を強化し続ける、Chrome ブラウザ・セキュリティにおける重要なマイルストーンとなるものだ。

A2A が Google Cloud から Linux Foundation へ寄贈：オープンな AI エージェント間通信とベンダー非依存の世界へ

Google Cloud Donates A2A Protocol to Linux Foundation for Smarter, Secure Communication

2025/06/24 gbhackers — Agent2Agent (A2A) プロトコルが、Google Cloud から Linux Foundation に寄贈されるという画期的な展開が起こった。それは、AI エージェント間における Open／Secure／Interoperable な通信の実現に向けた、重要な一歩を踏み出すものになる。 Open Source Summit North America において、Linux Foundation が A2A プロジェクトの設立を発表した際に、この展開についての説明があった。このプロジェクトに参加するのは、Amazon Web Services／Cisco／Microsoft／Salesforce／SAP／ServiceNow などであり、大手テクノロジーによる共同イニシアチブが生まれたことになる。

Google の GenAI セキュリティ：Gemini で阻止する間接プロンプト・インジェクション攻撃

Google Integrates GenAI to Counter Indirect Prompt Injection Attack Vectors

2025/06/23 gbhackers — Google が公開したのは、巧妙かつも強力な脅威である、間接プロンプト・インジェクション攻撃に対抗するための、徹底的な保護技術に関する情報である。それが示すのは、生成 AI 時代のサイバー・セキュリティにおける大きな進歩である。AI プロンプトに対して、悪意のコマンドを明示的に挿入する直接プロンプト・インジェクションとは異なり、この間接インジェクションとは、メール／ドキュメント／カレンダーなどの、外部データ・ソースに有害な命令を埋め込むものだ。

Microsoft Family Safety のアップデートが引き起こした問題：すべての Chrome をブロック

Microsoft Family Safety Blocking All the Version of Chrome Browsers

2025/06/23 CyberSecurityNews — 先日の Microsoft Family Safety アップデートにより、すべての Google Chrome バージョンにおいて、想定外のブロックが発生している。それにより、Windows デバイスのペアレンタル・コントロール機能を使用している、教育機関や家庭に大きな影響が生じている。この問題が発生したのは、2025年6月3日であり、Chrome のアップデートが公表されたタイミングと一致している。しかし、このブロック・メカニズムは、旧バージョン／現行バージョンを問わず、無差別に影響を与えている。

Apple／Facebook／Google などから 160億件もの認証情報が漏洩：大規模なキャンペーンが発覚

Massive 16 Billion Passwords From Apple, Facebook, Google and More Leaked From 320 Million Computers

2026/06/20 CyberSecurityNews — 新たなレポートが報告するのは、Apple／Facebook／Google／GitHub／Telegram、政府サービスなどの主要プラットフォームからの、160億件ものログイン認証情報の発見である。30種類のデータセットから発見された、この大規模な漏洩は前例のない脅威であり、世界的なサイバー・セキュリティとデジタル・プライバシーへの懸念が生じている。漏洩したデータセットのサイズは大きく異なるものであり、最小のものには 1600万件以上のレコードが、最大のものには35億件以上の認証情報が含まれている。

Gmail の MFA を回避：ロシア系ハッカーが悪用する App-Specific Password とは？

Russian Hackers Bypass Gmail MFA With App-Specific Password Ruse

2025/06/18 SecurityWeek — ロシア政府との関係性を有するプロフェッショナルなハッキング・チームが、あまり知られていない Google の ASP (Application-Specific Password) 機能を悪用し、Gmail の２段階認証 (MFA) を回避する新たな手口を用いて、巧妙に仕掛けられたフィッシング攻撃を展開していたことが判明した。

Google Chrome の脆弱性 CVE-2025-6191／6192 が FIX：任意のコード実行の可能性

Google Chrome Vulnerabilities Enable Arbitrary Code Execution – Update Now!

2025/06/18 gbhackers — Google が公表したのは、Chrome ブラウザの重要なセキュリティ・アップデートのリリースに関する情報である。このアップデートは、深刻度の高い複数の脆弱性に対処するものであり、それらを悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にするという。Windows／Mac 用にはバージョン 137.0.7151.119／.120 が、Linux 用にはバージョン 137.0.7151.119 が提供されている。このアップデートは、すべてのユーザーに強く推奨されるものであり、また、新たな脅威からデバイスを保護するために不可欠なものである。

Google Gerrit の脆弱性CVE-2025-1568：Google プロジェクト 18種類に改竄の恐れ？

Google’s Gerrit Code Platform Vulnerability Allows Hack of 18 Google Projects Including ChromiumOS

2025/06/17 CyberSecurityNews — 新たに発見された脆弱性 CVE-2025-1568 は、深刻なサプライチェーン攻撃を引き起こすものであり、GerriScary と命名されている。この脆弱性の悪用に成功した攻撃者は、ChromiumOS／Chromium／Dart／Bazel などを含む、少なくとも 18種類の Google プロジェクトへの、悪意のコード注入の可能性を得る。この脆弱性を悪用する攻撃者は、Google が使用するコード・コラボレーション・プラットフォーム Gerrit のミスコンフィグを突き、信頼されたソフトウェア・リポジトリを不正に操作することで、高度な攻撃チェーンを成立させるという。この脆弱性を発見したのは、Tenable のセキュリティ研究者 Liv Matan である。

Chrome のゼロデイ脆弱性 CVE-2025-2783：APT グループ Team46 による積極的な悪用を観測

Hackers Exploiting Chrome Zero‑Day Vulnerability in the Wild

2025/06/17 gbhackers — Google Chrome に新たに発見されたゼロデイ脆弱性 CVE-2025-2783 が、高度なサイバー・スパイ活動において、ハッカーたちにより積極的に悪用されている。セキュリティ研究者は、この脆弱性を悪用する標的型攻撃の急増を確認しており、攻撃元については APT グループ Team46 (別名 TaxOff) だとしている。

Chrome／Firefox の深刻な脆弱性４件が FIX：情報漏洩／リモート・コード実行などの恐れ

Chrome, Firefox Updates Resolve High-Severity Memory Bugs

2025/06/11 SecurityWeek — 6月10日 (火) にリリースされた Chrome 137 と Firefox 139 のアップデートでは、それぞれ２件ずつ、合計で４件の、深刻度の高いメモリ・バグが修正されている。Chrome のアップデートでは、Media における解放後メモリ使用の脆弱性 CVE-2025-5958 と、V8 JavaScript エンジンのタイプ・コンヒュージョンの脆弱性 CVE-2025-5959 が修正されている。どちらも、外部の研究者により報告されたものである。

Google のレガシー・アカウント復旧機能の脆弱性：ユーザーの電話番号が漏洩？

Google Vulnerability Let Attackers Access Any Google User’s Phone Number

2025/06/10 CyberSecurityNews — Google のアカウント復旧システムに存在していた、深刻なセキュリティ脆弱性を悪用する攻撃者が、高度なブルートフォース攻撃を介して、任意の Google ユーザーの電話番号を取得できる状態にあったことが、BruteCat のセキュリティ研究者により明かされた。この脆弱性は、Google の No-JavaScript Username Recovery Form の悪用により、通常のセキュリティ保護の回避と、機密情報の抽出を許すものだ。なお、この脆弱性は、すでに修正されている。

CISA KEV 警告 25/06/05：Google Chromium V8 の CVE-2025-5419 を登録

U.S. CISA adds Google Chromium V8 flaw to its Known Exploited Vulnerabilities catalog

2025/06/06 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium V8 に存在する境界外 Read/Write の脆弱性 CVE-2025-5419 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。先日に Google は、Chrome ブラウザの３つの脆弱性を修正する、定例外アップデートをリリースしたが、そこに含まれる CVE-2025-5419 は、現時点で悪用されている欠陥である。

人気の Chrome エクステンション群に深刻な問題：HTTP 平文通信や API キー漏洩など

2025/06/05 TheHackerNews — Chrome エクステンション群の中に、HTTP 経由でデータを平文送信し、ソースコード内に秘密情報をハードコーディングする複数の製品が存在し、深刻なプライバシー／セキュリティ・リスクにユーザーが直面していることを、サイバー・セキュリティの研究者が警告している。Symantec のセキュリティ研究者 Yuanjing Guo は、「広く使用されている複数のエクステンションが、意図せず単純な HTTP 経由で機密データを送信している。それにより、ブラウジング・ドメイン／マシン ID／オペレーティング・システムの詳細／使用状況の分析／アンインストール情報などが平文で送信されている」と指摘している。

Google Chrome の脆弱性 CVE-2025-5419／5068／2783 が FIX：悪用も確認

Google fixed the second actively exploited Chrome zero-day since the start of the year

2025/06/03 SecurityAffairs — Google が発表したのは、Chrome ブラウザに存在する３件の脆弱性に対処するための、緊急アップデートのリリースである。そのうちの CVE-2025-5419 は、すでに実際の攻撃での悪用が確認されている。この脆弱性は、以前の Google Chrome に搭載されていた、V8 JavaScript エンジンにおける境界外 Read/Write の欠陥である。この脆弱性を悪用する攻撃者は、細工された HTML ページを介して、ヒープ破損を引き起こす可能性を手にする。

Google から Chunghwa Telecom と Netlock に通知：Chrome の認証局リストから排除

Google Chrome to distrust Chunghwa Telecom, Netlock certificates in August

2025/06/02 BleepingComputer — Google が発表したのは、繰り返されるコンプライアンス違反と改善の遅れを理由に、Chrome Root Store に置かれる Chunghwa Telecom と Netlock の署名付きルート CA 証明書を、今後は信頼しないという声明である。この変更は、2025年8月1日にリリースが予定される、Google Chrome のバージョン 139 で適用されるという。今回の措置の理由として Google が挙げるのは、継続的なコンプライアンス違反、改善コミット・メントの不履行、そして目に見える進捗の欠如にある。

Chrome Extension ユーザーが標的：100+ の悪意のエクステンションと Web サイトを準備するキャンペーン

100+ Fake Chrome Extensions Found Hijacking Sessions, Stealing Credentials, Injecting Ads

2025/05/20 TheHackerNews — 2024年2月以降において、正体不明の脅威アクターが作成した悪意の Chrome エクステンション群は、無害に見えるユーティリティを装いながら、データの窃取／コマンドの受信／任意コードの実行といった機能を隠し持っている。