Google – Page 2 – IoT OT Security News

Chromium の脆弱性 Brash：悪意の URL をクリックするだけで発動する強力な攻撃とは？

New “Brash” Exploit Crashes Chromium Browsers Instantly with a Single Malicious URL

2025/10/30 TheHackerNews — Chromium の Blink レンダリング・エンジンで発見された深刻な脆弱性が悪用されると、多くの Chromium ベースのブラウザが短時間でクラッシュするという。この脆弱性の詳細は、セキュリティ研究者である Jose Pino により発見／報告されたものであり、Brash というコードネームが付けられている。この研究者は、「特定の DOM (Document Object Model) 操作の管理方法において、アーキテクチャ上の欠陥を悪用することで、あらゆる Chromium ブラウザが 15～60 秒でクラッシュする可能性がある」と述べている。

Chrome 142 がリリース：20件の脆弱性を修正し悪意のコード実行などに対処

Chrome 142 Released With Fix for 20 Vulnerabilities that Allows Malicious Code Execution

2025/10/30 CyberSecurityNews — Google は Chrome 142 を Stable チャネルに正式に導入し、Windows／Mac／Linux ユーザー向けにセキュリティ・アップデートを提供している。ロールアウトは即時開始され、今後の数日から数週間をかけて、新たに発見された脅威に対する広範な保護を展開していくという。このバージョンでは 20件の脆弱性が修正されている。これらの脆弱性の多くは、攻撃者に対してリモート・コード実行を許し、ユーザー・データやシステムの整合性への侵害にいたる可能性がある。

Gmail セキュリティに関する Google の声明：誤報が生じた背景と認証情報窃取のリスク

Google Denies Claims of Gmail Security Breach Impacting Millions

2025/10/28 CyberSecurityNews — 膨大な数のユーザーに影響を与えるとされる、大規模な Gmail セキュリティ侵害に関する主張に対して、Google は断固として否定している。同社は、Gmail サービスは安全であり、広範な侵害の証拠は存在しないと強調している。この誤情報は、既存のデータ漏洩で流出した認証情報に関する誤解から生じたものとみられている。

Google Chrome のゼロデイ CVE-2025-2783 を悪用：Dante ツールセットを用いた高度な攻撃とは？

Critical Chrome 0-Day Under Attack: Mem3nt0 Mori Hackers Actively Exploiting Vulnerability

2025/10/27 gbhackers — 2025年3月に Kaspersky のセキュリティ研究者が検知した攻撃は、それまで知られていなかった Google Chrome の脆弱性 CVE-2025-2783 を悪用して、著名な標的に高度なスパイウェアを配布するものだった。Operation ForumTroll と呼称される、この洗練された攻撃キャンペーンは、パーソナライズされたフィッシング・リンクを用いて、ロシア国内のメディア／大学／研究機関／政府機関／金融機関など多様な組織を侵害してきた。

Chrome Chrome V8 JavaScript エンジンの脆弱性 CVE-2025-12036：リモート・コード実行の恐れ

Chrome V8 JavaScript Engine Vulnerability Let Attackers Execute Remote Code

2025/10/22 CyberSecurityNews — Google が公開したのは、Chrome ブラウザの V8 JavaScript エンジンに存在する深刻な脆弱性に対する緊急アップデートである。このリモート・コード実行の脆弱性 CVE-2025-12036 は、Chrome のレンダリング機能を支えるオープンソースの JavaScript／WebAssembly エンジンである、V8 の不適切な実装に起因するものだ。

Google Chrome の脆弱性 CVE-2025-11756 が FIX：任意のコード実行の可能性

Chrome Use After Free Vulnerability Let Attackers Execute Arbitrary Code

2025/10/15 CyberSecurityNews — Google が公開したのは、Chrome ブラウザの脆弱性に対する緊急セキュリティ・アップデートである。このアップデートは、Chrome の深刻な解放後メモリ使用 (use-after-free) の脆弱性 CVE-2025-11756 を修正するものだ。この脆弱性を悪用する攻撃者は、ユーザーのシステム上で任意のコードを実行し得るという。

Oracle EBS のゼロデイを悪用する大規模な恐喝キャンペーン：CL0P の犯行を Google が特定

Google Warns of CL0P Ransomware Group Actively Exploiting Oracle E-Business Suite Zero-Day

2025/10/10 CyberSecurityNews — CL0P ランサムウェア・グループが Oracle E-Business Suite (EBS) 環境を標的とした大規模な恐喝キャンペーンを開始したことで、サイバー・セキュリティ環境は深刻な脅威に直面している。セキュリティ研究者が指摘するのは、CL0P 恐喝ブランドとの連携を主張する脅威アクターたちが、多数の組織の経営幹部を標的とする高度かつ大量のメール・キャンペーンを、2025年9月29日以降において開始していることだ。

Google の新たな AI エージェント CodeMender：脆弱なコードの特定／修正を自動化

Google’s New AI Agent, CodeMender, Automatically Rewrites Vulnerable Code

2025/10/08 CyberSecurityNews — Google が発表した CodeMender は、人工知能 (AI) を搭載する新たなエージェントであり、脆弱性の特定／修正によりソフトウェアのセキュリティを自動的に強化するものだ。この取り組みが目的とするのは、AI の活用によるセキュリティ上の欠陥の迅速な発見と、パッチ適用に必要な手作業への対処である。高度な AI を活用する CodeMender は、新たな脅威に対応するだけではなく、既存のコードをプロアクティブに書き換えて、さまざまな脆弱性をクラスごとに排除する。

Chrome の脆弱性 CVE-2025-11458／11460 などが FIX：任意のコード実行の可能性

Multiple Chrome Vulnerabilities Expose Users to Arbitrary Code Execution Attacks

2025/10/08 CyberSecurityNews — Google が発表したのは、Windows／Mac 向け Chrome バージョン 141.0.7390.65/.66 と、Linux 向け 141.0.7390.65 のリリースである。これらのバージョンで修正されたのは、影響を受けるシステム上で攻撃者に任意のコード実行を許す可能性のある、複数の深刻なセキュリティ脆弱性である。2025年10月7日に発表された、このアップデートには、世界中のユーザーに深刻なリスクをもたらす３件の重要なセキュリティ修正が含まれている。

GenAI と ASCII スマグリング：Gemini の問題を脆弱性ではないと否定する Google

Google won’t fix new ASCII smuggling attack in Gemini

2025/10/07 BleepingComputer — Google が公表したのは、Gemini に対する新たな ASCII スマグリング攻撃について、修正を施さないという方針である。この攻撃は、AI アシスタントを騙してユーザーに偽の情報を提供させ、モデルの動作を改変し、データを密かに改竄する可能性があるものだ。ASCII スマグリングとは、Unicode の Tags ブロックに含まれる特殊文字を利用して、ユーザーには見えないかたちで悪意のペイロードを挿入し、LLM による検出／処理を行わせるものである。

Google Chrome V8 JavaScript エンジンの脆弱性：RCE の可能性と PoC 公開

Google Chrome RCE Vulnerability Details Released Along with Exploit Code

2025/10/06 CyberSecurityNews — Google Chrome の V8 JavaScript engine に存在する、深刻なリモート・コード実行 (RCE) 脆弱性に関する技術的詳細と PoC エクスプロイト・コードを、研究者たちが公開した。この脆弱性は、WebAssembly の型正規化プロセスに存在し、 Chrome M135 以降のコミット 44171ac で混入した、CanonicalEqualityEqualValueType 関数における不適切な null 許容 (nullable) のチェックに起因する。

Chrome 141 の 21件の脆弱性が FIX：深刻度 High のヒープバッファ・オーバーフローも含まれる

Chrome Security Update Addressing 21 Vulnerabilities

2025/10/02 gbhackers — Chrome チームが公表したのは、Windows／Mac／Linux 向けの Stable チャンネルにリリースされた、Chrome 141.0.7390.54/55 に関する情報である。このアップデートでは、21件のセキュリティ脆弱性が修正されているが、その中には、深刻 High の欠陥も含まれる。今後の数日から数週にかけて、新たなバージョンが順次展開されていくという。ユーザーに対して強く推奨されるのは、速やかなアップデートにより、安全なブラウジング環境を確保することだ。なお、これらの修正には、外部の研究者の貢献によるものが多くあり、最大 $25,000 報奨金が支払われている。

Google Drive Desktop に AI 駆動のランサムウェア検出機能：オープン・ベータ版が提供

New Google Drive Desktop Feature adds AI-powered Ransomware Detection to Prevent Cyberattacks

2025/10/01 CyberSecurityNews — Google Drive for Desktop に、AI を活用する新たなランサムウェア検出機能が導入された。この機能は、サイバー攻撃をブロックし、ユーザーファイルを自動的に保護するように設計されている。この機能の強化により、Windows／macOS ユーザーのセキュリティが向上し、ランサムウェアという厄介な脅威に対応できるようになる。医療／小売などの業界の組織にとって、そして政府機関にとって、依然としてランサムウェアは、重大なサイバー・セキュリティ上の課題である。

Google Gemini の３件の脆弱性が FIX：ユーザー情報と位置データの漏洩を悪用する攻撃例とは？

Google Gemini Vulnerabilities Let Attackers Exfiltrate User’s Saved Data and Location

2025/09/30 CyberSecurityNews — Google の AI アシスタント・スイート Gemini に３件の脆弱性が発見されたが、それらを悪用する攻撃者がいれば、ユーザーが保存した情報や位置データを窃取する可能性があったという。Tenable が Gemini Trifecta と命名した、これらの脆弱性が示すのは、AI システムが単なる標的ではなく、攻撃手段として悪用され得ることである。つまり、この研究で明らかになったのは、Gemini エコシステム内の複数コンポーネントに、深刻なプライバシー・リスクが潜んでいることだ。

CISA KEV 警告 25/09/24：Google Chrome のゼロデイ脆弱性 CVE-2025-10585 を登録

CISA Issues Alert on Actively Exploited Google Chrome 0-Day Vulnerability

2025/09/24 gbhackers — 米国の CISA (Cybersecurity and Infrastructure Security Agency) が発令したのは、現在も悪用されている Google Chrome のゼロデイ脆弱性に対する、緊急のセキュリティ・アラートである。この脆弱性 CVE-2025-10585 は、Google Chromium の V8 JavaScript／WebAssembly エンジンに影響を及ぼし、世界中のユーザーに重大なセキュリティリスクをもたらすものであり、KEV (Known Exploited Vulnerabilities) カタログにも追加された。

Google Chrome のゼロデイ脆弱性 CVE-2025-10585：任意コード実行の可能性

Code Analysis Published for Chrome Type Confusion 0-Day Vulnerability

2025/09/22 gbhackers — 2025年9月16日付けで Google TAG (Threat Analysis Group) が公表したのは、V8 の TurboFan コンパイラ・コンポーネントに存在する、深刻なゼロデイ脆弱性 CVE-2025-10585 の情報である。長年にわたり、Google Chrome の V8 JavaScript エンジンは、世界中の数十億のユーザーに対して、スピードとセキュリティのバランスを取ってきた。この脆弱性を悪用する攻撃者は、タイプ・コンフュージョンを引き起こし、ブラウザ・プロセスのメモリを破損させ、最終的に任意のコード実行の可能性を得る。

Google Chrome のゼロデイ脆弱性 CVE-2025-10585 などが FIX：悪用を観測

Google Chrome 0-Day Vulnerability Actively Exploited in the Wild – Patch Now

2025/09/18 CyberSecurityNews — Google が Chrome の緊急セキュリティ・アップデートを公開した。対象となるのは、現時点で悪用されている、深刻なゼロデイ脆弱性 CVE-2025-10585 である。この脆弱性は、2025年に Chrome で発見／修正された一連のゼロデイ脆弱性の中で、最新の事例である。ユーザーに対して強く推奨されるのは、速やかにブラウザを更新し、潜在的な攻撃から身を守ることである。

Google の Sheets と Calendar を C2 通信に悪用：中国 APT グループ TA415 の洗練された手法とは？

China-Aligned TA415 Hackers Uses Google Sheets and Google Calendar for C2 Communications

2025/09/17 CyberSecurityNews — 中国政府に支援される脅威アクター TA415 は、米国の政府／学術機関／シンクタンクを標的とする最近のキャンペーンにおいて、Google の Sheets や Calendar といった正規のクラウド・サービスを C2 通信に活用する戦術を示し、TTP (tactics, techniques, and procedures) を進化させている。2025年7月〜8月に、この洗練されたグループは、米中間の戦略と競合に関する特別委員会の現委員長などの著名人を装い、米国と中国の経済をテーマとするルアーを用いたスピアフィッシング攻撃を展開していた。

Google の新たな LLM VaultGemma：差分プライバシーでの学習と個人情報保護の強化

Google introduces, a differentially private LLM built for secure data handling

2025/09/16 HelpNetSecurity — Google が発表した、大規模言語モデル (LLM) VaultGemma は、トレーニング中に用いる機密データを、非公開に保つよう設計されたものだ。このモデルは、差分プライバシー技術を用いて個々のデータ・ポイントの露出を防ぐため、医療／金融／政府などの分野での、機密情報の安全な取り扱いを可能にする。

Google Drive Desktop for Windows の大問題：共有マシン上のローカル・キャッシュが分離されない

Google Drive Desktop for Windows Vulnerability Grants Full Access to Another User’s Drive

2025/09/10 CyberSecurityNews — Windows 版 Google Drive Desktop アプリにセキュリティ上の脆弱性が発見された。この脆弱性により、共有マシンにログインしているユーザーが、認証情報を入力することなく、他ユーザーの Drive ファイルへの完全なアクセスを取得する可能性がある。この問題の根本的な原因は、Drive Desktop アプリがキャッシュ・データを処理する際の、アクセス制御メカニズムの欠陥にある。Google Drive は、利便性とセキュリティの両面から広く信頼されているが、今回の脆弱性は、その前提を揺るがすものだ。

Google Chrome の脆弱性 CVE-2025-10200／10201 が FIX：リモート・コード実行の恐れ

Chrome Security Update Patches Critical Remote Code Execution Vulnerability

2025/09/10 CyberSecurityNews — Google がリリースしたのは、Chrome の深刻な脆弱性 CVE-2025-10200／CVE-2025-10201 を修正する、緊急セキュリティ・アップデートである。この脆弱性を悪用する攻撃者は、リモートから任意のコードを実行できるため、ユーザーに対して強く推奨されるのは、Chrome ブラウザの速やかなアップデートとなる。Chrome の Stable チャンネルで提供される最新バージョンは、Windows 版の 140.0.7339.127／.128、Mac 版の 140.0.7339.132／.133／Linux 版の 140.0.7339.127 となる。

MeetC2 という新たな C2 PoC が登場：Google Calendar API を介した検出回避を実証

Hackers Exploit Google Calendar API with Serverless MeetC2 Framework

2025/09/05 gbhackers — Google Calendar API を悪用することで、信頼できるクラウド・サービス内に悪意のトラフィックを隠蔽する、サーバーレス型の C2 (Command and Control) 手法が登場した。この MeetC2 と呼ばれる軽量クロス・プラットフォームの概念実証が示すのは、日常的に用いられる SaaS 環境に、攻撃者が C2 通信を組み込む方法であり、レッドチームとブルーチームの双方に対して、新たな検出／テレメトリ／対応の課題を提示する。

Google に対する米地裁の判決：Chrome ビジネスの売却は強制しないが検索データを他社に共有せよ

Google Won’t Be Forced to Sell Chrome, But Must Share Search Data With Rivals

2025/09/03 CyberSecurityNews — Google に対して米コロンビア地裁が命じたのは、Chrome 所有権の売却は強制しないが、重要な検索データは競合他社に共有すべきという内容である。9月2日 (火) に司法省の反トラスト局が発表した判決は、10年以上にわたり市場を支配してきた Google の検索独占に対する、政府による継続的な戦いにおける大勝利である。

Google Cloud／Cloudflare のインフラを悪用：３年間にわたるフィッシング攻撃が見逃されていた！

Google Cloud & Cloudflare Missed 3-Year Phishing Campaign

2025/09/03 gbhackers — Google Cloud／Cloudflare のインフラを悪用する大規模なフィッシング攻撃が、３年以上にわたり公開環境で展開され、Fortune 500 企業を標的に数百万ドル規模の潜在収益を発生させていた。Deep Specter Research の調査が明らかにしたのは、この攻撃の深刻さと、ブランド／規制当局／エンドユーザーへの影響である。

Chrome 140 がリリース：深刻な Use-after-free の脆弱性 CVE-2025-9864 など６件を修正

Chrome 140 Released With Fix For Six Vulnerabilities that Enable Remote Code Execution Attacks

2025/09/03 CyberSecurityNews — Google は Chrome 140 を正式に Stable チャンネルに昇格させ、Windows／Mac／Linux／Android／iOS 向けに新バージョンの展開を開始した。このアップデートでは、通常通りの安定性とパフォーマンスの向上が取り込まれているが、特筆すべきはリモート・コード実行の可能性がある、深刻な脆弱性６件を修正する重要なセキュリティ・パッチである。ユーザーに対して強く推奨されるのは、速やかなブラウザ・アップグレードによる、潜在的な悪用からの保護である。

Google が断固として否定：Gmail 大規模セキュリティ侵害の報道に反論

Google Dismiss Reports of Major Gmail Security Alert

2025/09/02 gbhackers — Google からの声明は、”25 億人の Gmail ユーザーに対してグローバルなセキュリティ・アラートを発令した” とする、報道を完全に否定するものであり、”まったくの虚偽” であると述べている。つまり、それらの報道により、世界中のユーザーに不必要な混乱を招いたとされる、いまの状況の迅速な解明へと向けて、Google が動いたことになる。先日の一部の報道では、Google が Gmail ユーザー全員に大規模なセキュリティ侵害の警告通知を送ったと伝えられた。それらの誤報が示唆したのは、数十億のアカウントが影響を受け、ユーザーに対してパスワード変更が促されたという状況であった。しかし、これらの主張が、まったくの誤りであることが判明した。

25億人の Gmail ユーザーに Google が警告：Salesforce データ侵害に関する情報の提供と対策の展開

Google Warns 2.5B Gmail Users to Reset Passwords Following Salesforce Data Breach

2025/08/30 CyberSecurityNews — Google が公表したのは、25億人の Gmail ユーザーに対する広範なセキュリティ・アラートの発令であり、アカウント・セキュリティの強化に関する勧告である。その背景にあるのは、Google がサードパーティ製品として使用する、Salesforce システムの１つで発生したデータ侵害である。この、2025年6月に発生したインシデントにより、Google の大規模なユーザー・ベースを狙う、高度なフィッシング攻撃に対する懸念が高まっている。

Google Chrome の脆弱性 CVE-2025-9478 が FIX：解放後メモリ使用による任意のコード実行

Critical Chrome Use After Free Vulnerability Let Attackers Execute Arbitrary Code

2025/08/27 CyberSecurityNews — Google が公開したのは、ANGLE グラフィック・ライブラリに存在する深刻な解放後メモリ使用 (use-after-free) 脆弱性 CVE-2025-9478 に対処するための、Chrome の緊急セキュリティ・アップデートである。この脆弱性は Windows／Mac／Linux プラットフォームにおける Chrome バージョン 139.0.7258.154／.155 未満に影響を及ぼし、その悪用に成功した攻撃者は、侵害したシステム上で任意のコード実行の可能性を手にする。

Google Chrome のゼロデイ脆弱性 CVE-2025-5419：PoC 公開と実環境での悪用

PoC Exploit Published for Chrome 0-Day Already Under Active Attack

2025/08/26 gbhackers — Google Chrome の深刻なゼロデイ脆弱性 CVE-2025-5419 (CVSS：7.5) に対する PoC エクスプロイトが、情報の提供から３ヶ月も経たずに公開されたが、それと同時に、実際の悪用事例も多数報告されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおける境界外での読取／書込に起因し、137.0.7151.68 未満のバージョンに影響を及ぼす。その結果として、細工された HTML ページを介した、ヒープ破損が引き起こされる可能性がある。

Gmail Phishing の進化：人間に加えて AI ベースの防御システムを操作する？

New Gmail Phishing Attack Uses AI Prompt Injection to Evade Detection

2025/08/24 CyberSecurityNews — これまでのフィッシングは、人を欺くことを常としてきた。しかし、今回のキャンペーンで明らかになったのは、攻撃者はユーザーを標的にするだけでなく、AI ベースの防御システムも操作しようとしたことだ。これは、先週に報告した Gmail フィッシング・チェーンの進化形である。先週のキャンペーンで悪用されていたのは、緊急性のアピールと巧みなリダイレクトだったが、今回は自動分析を混乱させるための、隠された AI プロンプトが導入されている。

FreeVPN.One という人気の Chrome エクステンション：正常なアプリからスパイウェアへと変貌していた

Legitimate Chrome VPN with 100K+ Installs Secretly Captures Screenshots and Exfiltrates Sensitive Data

2025/08/20 gbhackers — FreeVPN.One として提供される Chrome エクステンションは、10 万件以上のインストール数／認証バッジなどにより Chrome Web Store 注目を集めていたが、その実態は、ユーザーのブラウジング・アクティビティのスクリーンショットを密かに取得し、リモート・サーバへと送信するスパイウェアだった。

Google Chrome の脆弱性 CVE-2025-9132 が FIX：任意のコード実行の可能性

Chrome High-Severity Vulnerability Could Let Attackers Run Arbitrary Code

2025/08/20 gbhackers — Google が公表したのは、影響を受けるシステム上で攻撃者に対して、任意のコード実行を許す深刻な脆弱性に対処する、Chrome の緊急セキュリティ・アップデートのリリースである。それにより、Windows／Mac 用にはバージョン 139.0.7258.138／.139 が、Linux 用にはバージョン 139.0.7258.138 が提供されている。この脆弱性 CVE-2025-9132 は、V8 JavaScript エンジンに影響を及ぼし、世界中の数百万人の Chrome ユーザーに深刻なリスクをもたらすという。

Google の AI を活用する Big Sleep：ImageMagick の４件の脆弱性を発見／特定

ImageMagick Vulnerabilities Cause Memory Corruption and Integer Overflows

2025/08/15 gbhackers — AI を活用する Google のセキュリティ調査ツールである、Big Sleep が発見した４件の深刻な脆弱性は、人気の OSS 画像操作ソフトウェア ImageMagick に存在するものだ。これらの脆弱性が影響を及ぼす範囲は、画像処理に ImageMagick を利用する世界中の数百万のアプリケーションであり、同社による責任ある情報開示手順に従い、最新のソフトウェア・リリースで修正されている。

Google Chrome の５件の脆弱性が FIX：影響を受けるシステムで攻撃者に任意のコード実行を許す可能性

Multiple Chrome High-Severity Vulnerabilities Let Attackers Execute Arbitrary Code

2025/08/13 CyberSecurityNews — Google が公表したのは、Chrome に存在する５件の脆弱性を修正する重要なセキュリティアップデートである。この更新には、Windows/Mac/Linux 向けの Stable チャネル・アップデートが含まれ、Windows／Mac にはバージョン 139.0.7258.127／.128 が、Linux にはバージョン 139.0.7258.127 が提供されている。このアップデートに取り込まれるものには、影響を受けるシステム上での任意のコード実行にいたる、高深刻度の脆弱性の修正がある。この脆弱性が悪用されると、ユーザー・データおよびシステム整合性に重大なリスクを生じるとされる。

Gemini への間接プロンプト・インジェクション：メールからスマートホームにまで広がる攻撃領域

Gemini Exploited via Prompt Injection in Google Calendar Invite to Steal Emails, and Control Smart Devices

2025/08/07 CyberSecurityNews — 無害に見えるカレンダーの招待やメールを通じて、Google の Gemini AI アシスタントを、高度な攻撃手法により悪用する事例が報告されている。この “標的型プロンプトウェア攻撃” と呼ばれる手法では、間接的なプロンプト・インジェクションにより、ユーザーのデジタル・プライバシーを侵害され、さらには、家庭内の物理デバイスの制御が奪われるという懸念が生じている。

Linux の脆弱性 CVE-2025-38001 が FIX：Google kernelCTF と Debian 12 に深刻な影響

Researchers Use 0-Day to Exploit Google kernelCTF and Debian 12

2025/08/04 gbhackers — Linux のネットワーク・パケット・スケジューラにおける、HFSC (Hierarchical Fair Service Curve) キューイング制御に存在する、深刻な Use-After-Free の脆弱性 CVE-2025-38001 を、セキュリティ研究者たちが発見し、実証的に武器化した。この脆弱性の悪用により、Google の kernelCTF インスタンス (LTS／COS など) が侵害され、Debian 12 システムでは完全な権限の奪取が可能になるという。

Google が DBSC の Open Beta を公表：認証セッションのデバイス・バインドによる再利用の制限

Google Launches DBSC Open Beta in Chrome and Enhances Patch Transparency via Project Zero

2025/07/30 TheHackerNews — セッション Cookie 窃取攻撃からユーザーを保護するために、Google が公表したのは、DBSC (Device Bound Session Credentials) と呼ばれるセキュリティ機能をオープン・ベータ版として提供することだ。この DBSC は、2024年4月にプロトタイプとして導入されたものであり、盗んだ Cookie を悪用する攻撃者からの、不正アクセスを防止するよう設計されている。つまり、認証セッションをデバイスにバインドすることで、攻撃者の管理下にある別のデバイスからの、被害者のアカウントへのサインインを阻止するものである。

Chrome の深刻な脆弱性 CVE-2025-8292 が FIX：任意のコード実行の可能性

Chrome High-Severity Vulnerabilities Allows Memory Manipulation and Arbitrary Code Execution

2025/07/30 CyberSecurityNews — Google ga公表したのは、Chrome ブラウザの複数の脆弱性を修正する、緊急セキュリティ・アップデートである。その中には、攻撃者によるメモリ操作を許し、ユーザー・システム上での任意のコード実行を引き起こす、深刻度の高い脆弱性 CVE-2025-8292 も含まれている。最新版の Chrome 138 である、Linux 版 138.0.7204.183 および、Windows／macOS 版 138.0.7204.183／.184 において、これらの深刻な脆弱性は修正されている。すべてのユーザーに対して Google が強く推奨するのは、最新の Chrome へ向けた速やかなアップデートである。

Gemini CLI AI コーディング・アシスタントの脆弱性が FIX：データ窃取やコード実行の恐れ

Flaw in Gemini CLI AI coding assistant allowed stealthy code execution

2025/07/28 BleepingComputer — Google の Gemini CLI に、脆弱性が発見された。この脆弱性を悪用する攻撃者は、許可リストに登録されたプログラムを利用して悪意のコマンドを秘密裏に実行し、開発者のコンピュータからデータを窃取することが可能であったという。6月27日に、この脆弱性を発見した Tracebit が Google に報告した。それを受けた Google は、7月25日にバージョン 0.1.14 をリリースし、この問題を修正した。

Google Form と Apps Script が攻撃ベクター：１クリックで詐欺サイトに接続

Hackers Leverage Google Forms Surveys to Trick Victims into Stealing Cryptocurrency

2025/07/25 CyberSecurityNews — スムーズなデータ収集手段として高い評価を得ている Google Form だが、2024年末に検出されてから 2025 Q2 にかけて急増した、暗号通貨フィッシング攻撃の意外な拠点となっている。この攻撃は、正規を装う forms.gle リンクを取り込んだ、迷惑メールの受信から始まるが、このリンクは、ほとんどのスパム・フィルターを容易に回避していく。それに続いて、メールの受信者が悪意のリンクを開くと、有名な仮想通貨取引所を装う Google フォームが表示され “1.275 BTC の支払いが保留中” というメッセージが表示される。

Google の OSS Rebuild がスタート：リポジトリ汚染を一掃する試みへの期待とは？

Google Launches OSS Rebuild to Strengthen Security of The Open-Source Package Ecosystems

2025/07/24 CyberSecurityNews — 現代のソフトウェア・サプライチェーンは、無数のサードパーティ・コンポーネントに依存しているため、それらのパッケージ・リポジトリは攻撃者にとって格好の標的となっている。この１年の間に発生した、xz-utils バックドアや solana/webjs タイポスクワッティングなどの、注目を集めるセキュリティ侵害が示したのは、防御側が認知する前に、広く利用されているライブラリを巧妙なコードで汚染するという、可能性があることだった。

CISA KEV 警告 25/07/24：Google Chromium の脆弱性 CVE-2025-6558 を登録

CISA Alerts on Google Chromium Input Validation Flaw Actively Exploited

2025/07/24 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium の不適切な入力検証の脆弱性 CVE-2025-6558 が、脅威アクターにより積極的に悪用されているとして、緊急警報を発した。この脆弱性が悪用されると、複数の Chromium ベースの Web ブラウザに影響が生じ、数百万のユーザーが重大なリスクに直面するという。

Google Chrome の脆弱性 CVE-2025-8010／8011 などが FIX：システムの制御奪取の恐れ

Chrome High-Severity Vulnerabilities Allow Hackers to Gain Full Control

2025/07/23 gbhackers — Google が公表したのは、Chrome の深刻な脆弱性に対処する緊急のセキュリティ更新のリリースであり、パッチ適用が遅滞すると、ユーザー・システムの完全な制御を、攻撃者に許す可能性が生じるという。このリリースに伴い、Stable チャネルにおける Windows／macOS／Linux 向けのバージョンは 138.0.7204.168 へと更新されており、今後の数日から数週の間に、すべてのユーザーに対して順次展開される予定である。

Google の AI セキュリティ Big Sleep の快挙：SQLite のゼロデイ CVE-2025-6965 を自律的に検知／特定

Google’s AI ‘Big Sleep’ Detects Critical SQLite 0-Day, Halts Ongoing Attacks

2025/07/16 gbhackers — Google のAI エージェントである Big Sleep が、SQLite に存在する深刻なゼロデイ脆弱性を発見／阻止したことで、サイバー／セキュリティの歴史に新たな記録が刻まれた。この件は、現実世界のサイバー攻撃を、AI システムが自ら阻止するという初めての事例である。このAIエージェントは、Google DeepMind と Project Zero が開発したものであり、悪用の試行を示す脅威情報に基づき、SQLite の脆弱性 CVE-2025-6965 を特定した。つまり、Google の支援により、大規模な攻撃が発生する前に、パッチ適用の調整が可能になったのだ。

Chrome／Chromium のゼロデイ脆弱性 CVE-2025-6558 が FIX：積極的な悪用は APT の仕業？

Urgent: Google Releases Critical Chrome Update for CVE-2025-6558 Exploit Active in the Wild

2025/07/16 TheHackerNews — 2025年7月15日 (火) に Google が発表したのは、Chrome Web ブラウザに存在する、６件のセキュリティ問題に対する修正であり、そのうち１件は既に悪用されていると述べている。この、深刻度の高い脆弱性は CVE-2025-6558 (CVSS：8.8) は、ANGLE／GPU コンポーネントにおける、信頼できない入力への不十分な検証に分類されるものだ。

Google Gemini for Workspace の脆弱性：間接プロンプト・インジェクションという新たな攻撃ベクター

Google Gemini for Workspace Vulnerability Lets Attackers Hide Malicious Scripts in Emails

2025/07/14 CyberSecurityNews — Google Gemini for Workspace に存在する深刻な脆弱性を、セキュリティ研究者たちが発見した。この脆弱性を悪用する攻撃者は、メール本文内に悪意の指示を秘密裏に埋め込み、認証情報の窃取やソーシャル・エンジニアリング攻撃を引き起こす可能性を手にする。この攻撃は、AI アシスタントの “Summarize this email” 機能を悪用するものであり、Google からの送信を巧妙に装う、偽のセキュリティ警告を表示する仕組みを用いるものだ。

Chrome の武器化された Extension 群：アップデートにより悪意へと変貌し 170 万人を騙す

Weaponized Chrome Extension from Webstore With Verification Badge Infected 1.7 Million Users

2025/07/08 CyberSecurityNews — Chrome ユーザー 170万人以上を感染させた、高度なマルウェア攻撃キャンペーンは、正当に見える 11個のブラウザ・エクステンションを配布するものだった。それらの、すべてのエクステンションは、Google による認証済みバッジを取得し、Chrome Web Store において注目の広告として掲載されていた。このインシデントは、最大級のブラウザ・ハイジャック攻撃であり、ユーザーが安全なエクステンションを見分けるための信頼シグナルが、悪用されたことになる。なお、この “Malicious11” キャンペーンを発見したのは、Koi Security のサイバー・セキュリティ研究者たちである。

CISA KEV 警告 25/07/02：Chrome の 0-Day 脆弱性 CVE-2025-6554 を KEV カタログに登録

CISA Warns of Chrome 0-Day Vulnerability Exploited in Attacks

2025/07/03 CyberSecurityNews — Google Chrome に存在する深刻なゼロデイ脆弱性に対して、CISA が緊急警告を発した。この脆弱性については、実際の攻撃での悪用が多数報告され、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加された。この脆弱性 CVE-2025-6554 は、Chromium V8 JavaScript エンジンに影響を与えるものであり、世界中の組織に対して、早急な対応が求められている。

Chrome が試行する Web ページのポッドキャスト化：AI Audio Overviews のコンセプトと現状

Google Chrome May Soon Turn Webpages Into Podcasts With AI Audio Overviews

2025/07/01 CyberSecurityNews — Google が発表したのは、Android 版 Google Chrome において、ユーザーによるオンライン・コンテンツの利用方法を一変させる可能性を持つ、メジャー・アップグレードに関する予定である。Chrome で進行しているのは、”AI Audio Overviews” と呼ばれる新機能のテストである。この機能は、あらゆる Web ページをポッドキャスト形式の音声要約へと変換し、外出先でのユーザーに対しても、アクセスし易く魅力的なコンテンツを提供するものだ。