Supply Chain – IoT OT Security News

Cyber Risk In 2026：地政学的再編／重要サプライチェーンの兵器化／GenAI の急速な普及

Cyber Risk In 2026: How Geopolitics, Supply Chains and Shadow AI Will Test Resilience

2026/01/02 InfoSecurity — 2026 年においては、地政学的再編／重要サプライチェーンの兵器化／GenAI の急速な普及により、リスク管理の意味が再定義されるだろう。ユーザー組織にとって必要なことは、サイバー戦略／業務継続性／地政学的認識が深く絡み合った、プロアクティブでインテリジェンス主導のレジリエンスへの移行である。もはや、事後対応型のセキュリティ体制では、差し迫る脅威に対して対応しきれなくなる。2026 年のサイバーセキュリティ環境を特徴づける、３つの主要トレンドについて解説していく。

n8n の深刻な脆弱性 CVE-2025-68613 が FIX：懸念される RCE 攻撃とサプライチェーンへの影響

Critical n8n Vulnerability Exposes 103,000+ Automation Instances to RCE Attacks

2025/12/23 gbhackers — 人気のオープンソース・ワークフロー自動化プラットフォーム n8n に、深刻なリモートコード実行の脆弱性が発見された。この脆弱性 CVE-2025-68613 の CVSS スコアは 9.9 である。認証された攻撃者であれば、n8n のプロセス権限で任意のコードを実行できるため、インスタンスが完全に侵害されるリスクが生じる。2025年12月19日に公開された情報によると、この脆弱性は n8n のワークフロー式評価システムにおける分離不足に起因するとのことだ。

Docker が Hardened Images をオープンソース化：サプライチェーン攻撃への対策を強化

Docker Open Sources Production-Ready Hardened Images for Free

2025/12/22 CyberSecurityNews — Docker が発表したのは、すべての開発者に対して Docker Hardened Images (DHI) を無料で提供し始めるという、コンテナ・セキュリティ戦略における大幅な転換である。従来は商用提供のみであった DHI は、安全で最小限の機能のみを備え、本番環境で即時に利用可能なコンテナ・イメージ群を提供する。これらのコンテナ・イメージを Apache 2.0 ライセンスで公開することで、Docker は 2025年に $60 billion 超の被害をもたらすと予測されるソフトウェア・サプライチェーン攻撃の増加に対抗する狙いである。

Nissan が公表したデータ侵害：Red Hat インフラへの不正アクセスとサプライチェーン・リスク

Nissan Discloses Data Breach Linked to Compromised Red Hat Infrastructure

2025/12/22 gbhackers — Nissan が公表したのは、福岡に所在する販売店の顧客約 21,000人に影響を及ぼす、深刻なデータ漏洩に関する情報である。このインシデントは、販売店の顧客管理システムの開発に使用されていた、Red Hat マネージド・サーバへの不正アクセスにより発生した。この不正アクセスは、2025年9月26日に Red Hat が検知し、その後の詳細な調査と対応を経て、今回の Nissan による公表に至った。

Python のレガシー・パッケージに潜む脆弱性：放棄されたドメインとブートストラップ・スクリプト

Legacy Python Package Vulnerabilities Enable PyPI Attacks Through Domain Takeover

2025/11/27 gbhackers — Python のレガシー・パッケージに潜む脆弱性について、ReversingLabs の研究者たちが警鐘を鳴らしている。この脆弱性は、Python Package Index (PyPI) のユーザーを、ドメイン侵害によるサプライチェーン攻撃の脅威にさらすものである。それらの脆弱なコードは、最近のプロジェクトではほとんど使用されていないが、古い本番システムに残り続けているため、依然としてリスクは消え去っていない。

Zoom の複数の脆弱性が FIX：ユーザー権限操作や署名検証の失敗とサプライチェーン攻撃の恐れ

Zoom Vulnerabilities Let Attackers Bypass Access Controls to Access Session Data

2025/11/11 CyberSecurityNews — Zoom が発表したのは、Workplace アプリケーションに影響を及ぼす、複数の脆弱性に対するパッチの情報である。新たに公開された情報では、深刻度 High １件と Medium ２件の脆弱性が明らかになっており、ハイブリッド・ワーク環境で膨大な数のユーザーが利用するビデオ会議ツールの、セキュリティ確保における継続的な課題が浮き彫りになっている。コラボレーション・ソフトウェアに対する攻撃の増加について、サイバー・セキュリティの専門家たちが警告する中で、これらのアップデートは公開されている。一連の脆弱性が悪用されると、不正アクセスやシステム障害の被害にユーザーが遭遇するという。

OWASP Top 10 2025 の改訂版が公開：サプライチェーンなどの新カテゴリーを追加

OWASP Top 10 2025 – Revised Version Released With Two New Categories

2025/11/10 CyberSecurityNews — Open Web Application Security Project (OWASP) が発表したのは、主力プロジェクト “OWASP Top 10 2025” の最新候補版である。今回の第８版は、進化するソフトウェア・セキュリティ脅威に対応するための大幅な更新が施されている。2025年11月6日に公開された改訂版は、コミュニティ調査から得られた意見と拡張データ分析を反映し、２つの新カテゴリーの追加と他カテゴリーの統合により、症状ではなく根本原因を適切に表現するようになった。このリストは、Web アプリケーションのリスク優先順位付けを行う開発者／セキュリティ専門家／組織にとって依然として重要なリソースである。

無印良品に影響を及ぼしたサプライチェーン攻撃：オンラインストアなどに影響

Retail giant Muji halts online sales after ransomware attack on supplier

2025/10/20 BleepingComputer — 日本の小売企業 Muji が発表したのは、配送パートナーの Askul が受けたランサムウェア攻撃が原因となり、オンライン・ストアが停止したという声明である。日本時間の 10月19日 (日) に Muji は、「すべての小売サービスにおいて、オンラインストアでの閲覧と購入／アプリを介した注文履歴の確認／一部の Web コンテンツの表示などに問題が生じている」と発表した。

Shai-Hulud 自己複製ワームが npm レジストリの 500 以上のパッケージを侵害：CISA が警告

CISA Warns of Shai-Hulud Self-Replicating Worm Compromised 500+ Packages in npm Registry

2025/09/24 CyberSecurityNews — CISA が発令した緊急セキュリティ・アラートは、世界最大の JavaScript パッケージ・レジストリである、npmjs.com に対する大規模なソフトウェア・サプライチェーン攻撃に対するものである。500 以上の npm パッケージに侵入した Shai-Hulud と呼ばれる自己複製型ワームは、開発者の認証情報および npm 公開ワークフローを悪用して拡散する、悪意のコードを注入するものだ。

悪意の MCP Server を PoC として構築：任意のコード実行とデータ窃取が実証された

Threat Actors Exploit MCP Servers to Steal Sensitive Data

2025/09/16 gbhackers — 検証されていない MCP (Model Context Protocol) サーバは、攻撃者によるマルウェアの配備を必要とすることなく、ステルス性の高いサプライチェーン攻撃ベクターを生み出し、認証情報／コンフィグ・ファイルなどの機密情報の収集を可能にする。この MCP とは、AI アシスタント向けの新しい “plug-in bus” であり、外部ツールやデータソースと AI モデルとの間のシームレスな統合を実現するものだ。

npm の 40 パッケージに侵害が波及：TruffleHog による偵察と感染チェーンのためのコード挿入

40 npm Packages Compromised in Supply Chain Attack Using bundle.js to Steal Credentials

2025/09/16 TheHackerNews — npm レジストリを標的とする、新たなソフトウェア・サプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。この攻撃は、複数のメンテナーが所有する 40 以上のパッケージに影響を与えている。サプライチェーン・セキュリティ企業 Socket は、「侵害されたバージョンに取り込まれた NpmModule.updatePackage 関数は、パッケージの tarball をダウンロードし、package.json を改変し、ローカル・スクリプト (bundle.js) を挿入し、アーカイブを再パックして再公開するものだ。それにより、下流のパッケージが自動的にトロイの木馬化される」と述べている。

npm エコシステムを狙ったサプライチェーン攻撃：収益は $200 未満だったが狙いは別のところに？

Hackers Booked Very Little Profit with Widespread npm Supply Chain Attack

2025/09/11 CyberSecurityNews — 8月下旬に表面化した高度な npm サプライチェーン攻撃は、人気の JavaScript ライブラリに悪意のペイロードを挿入し、数千の下流プロジェクトを標的としたものである。当初の報告では、タイポスクワッティング手法の新たな亜種が指摘されていたが、その後の分析で、侵害されたメンテナの認証情報を用いて、バックドア付きモジュールを正規パッケージ名で公開するという、より精巧な攻撃であることが明らかになった。

AI モデル名前空間の再利用という問題：Hugging Face の欠陥とサプライチェーン攻撃

Namespace Reuse Vulnerability Exposes AI Platforms to Remote Code Execution

2025/09/03 gbhackers — AI サプライチェーンで発見された Model Namespace Reuse と呼ばれる脆弱性により、Microsoft Azure AI Foundry／Google Vertex AI に加えて、数千のオープンソース・プロジェクトなどの AI プラットフォームにおいて、攻撃者によりリモート・コード実行 (RCE) が引き起こされる可能性が生じている。Hugging Face に放棄／削除されたモデル名前空間を再登録 (Model Namespace Reuse) する攻撃者は、それらの名前でモデルを取得するパイプラインを騙し、汚染されたリポジトリのデプロイ／エンドポイント環境の侵害／不正アクセスの許可などを可能にするという。

Cloudflare でも被害が発生：Salesloft + Drift サプライチェーン攻撃の波が止まらない

Cloudflare hit by data breach in Salesloft Drift supply chain attack

2025/09/02 BleepingComputer — 先週に公表された Salesloft Drift サプライチェーン攻撃の一環として、Cloudflare も情報漏洩インシデントの被害を受けた企業となった。9月2日 (火) に Cloudflare は、社内顧客ケース管理とカスタマー・サポートに使用している、Salesforce インスタンスに攻撃者がアクセスしたことを明らかにした。そこには、104 個の Cloudflare API トークンが保持されていたという。

Palo Alto Networks の Salesforce 環境が侵害：CRM プラットフォーム標的のサプライチェーン攻撃

Palo Alto Networks Confirms Data Breach via Compromised Salesforce Instances

2025/09/02 gbhackers — サイバー・セキュリティ・ベンダー Palo Alto Networks が明らかにしたのは、Salesloft Drift 統合の侵害を通じて、自社の Salesforce 環境が侵害されたことだ。このインシデントは、営業の効率化に広く利用される Salesforce CRM プラットフォームを標的とする、サプライチェーン攻撃の最新事例である。Palo Alto によると、 2025年8月8日～18日に、同社の Salesloft／Drift アプリケーションが侵入を受け、OAuth 認証情報が漏洩したという。Salesloft のトークンの失効処理が行われる前に、それを悪用する脅威アクターが、接続されている Salesforce インスタンス (同社環境を含む) からデータを抽出していた。

SSH Brute Force テスターを装う悪意の GO パッケージ：盗み出した認証情報を Telegram ボットへ送信

Malicious Go Module Package as Fast SSH Brute Forcer Exfiltrates Passwords via Telegram

2025/08/22 CyberSecurityNews — 開発者を標的とする、高度なサプライチェーン攻撃が出現した。この攻撃は、正規の SSH ブルートフォース・ツールを装い、サイバー犯罪者の活動に必要な認証情報を秘密裏に窃取する、悪意の Go モジュール・パッケージを介して展開されている。この “golang-random-ip-ssh-bruteforce” という名のパッケージは、高速 SSH ブルートフォース・ツールを装っているが、実際には脅威アクターが操作する Telegram ボットへと、盗み出したログイン認証情報を送信する隠し機能を備えている。

Toptal の GitHub が侵害された：悪意の npm パッケージが 5,000 回もダウンロード

Hackers Breach Toptal GitHub, Publish 10 Malicious npm Packages With 5,000 Downloads

2025/07/28 TheHackerNews — Toptal の GitHub 組織アカウントに侵入した正体不明の脅威アクターが、そのアクセス権を悪用して 10個の悪意のパッケージを npm レジストリに公開するという、ソフトウェア・サプライチェーン攻撃の最新事例が紹介されている。先週に Socket が公開したレポートによると、これらのパッケージに隠された悪意のコードにより、GitHub の認証トークン窃取や、被害者システムの破壊などが引き起こされるという。それに加えて、この組織に関連する73個のリポジトリが公開されている。

npm で発生したサプライチェーン攻撃：タイポスクワッティングと認証トークン窃取

Threat Actors Hijack Popular npm Packages to Steal The Project Maintainers’ npm Tokens

2025/07/22 CyberSecurityNews — 広く使用される eslint-config-prettier や eslint-plugin-prettier などの、複数の npm パッケージが高度なサプライチェーン攻撃により侵害された。この攻撃の原因は、標的型フィッシング攻撃による、メンテナーの認証トークンの窃取にある。この攻撃で用いられたドメイン npnjs.com は、正規の npmjs.org サイトを模倣するものであり、精巧に設計されたフィッシング・メールを通じて、開発者の認証情報を収集するタイポスクワッティング攻撃が仕掛けられた。

WordPress Gravity Forms への侵害：公式 Web サイトのインストール・イメージが汚染された

WordPress Gravity Forms developer hacked to push backdoored plugins

2025/07/11 BleepingComputer — WordPress の人気プラグインである Gravity Forms が、サプライチェーン攻撃とみられるインシデントにより侵害された。公式 Web サイトから手動でインストールされたパッケージに、バックドアが仕込まれるという攻撃が発生したことになる。Gravity Forms は有料プラグインであり、コンタクトフォーム／決済フォームなどのオンラインフォームを作成するために活用されている。ベンダの統計データによると、この製品は約 100 万の Web サイトにインストールされており、その中に含まれるものには、Airbnb／Nike／ESPN／UNICEF／Google／Yale などの著名サイトもある。

VS Code エクステンションを介したサプライチェーン攻撃：blockchain エコシステムに深刻な懸念

Supply Chain Attack Unleashed via Compromised VS Code Extension

2025/07/09 gbhackers — 約6,000件のインストール実績を有する、正規の Visual Studio Code エクステンション ETHcode が侵害され、暗号資産開発者を標的とする高度なサプライチェーン攻撃が発生した。この攻撃は、悪意の GitHub プル・リクエストを介して引き起こされたものであり、信頼された開発ツールを最小限のコード変更により武器化する、脅威アクターの手口を示している。この攻撃により、blockchain エコシステムにおける、OSS ソフトウェアのセキュリティに対して、深刻な懸念が浮上している。

2025 Q1 ランサムウェア調査：サプライチェーンを介して倍増した被害者と Cl0p の台頭

213% Increase in Ransomware Attacks Targeting Organizations With First Quarter of 2025

2025/07/03 CyberSecurityNews —2025年 Q1 のランサムウェア攻撃が、前例のない急増を見せている。Optiv の調査によると、74 箇所のデータ漏洩サイトに記載された 2,314件の被害者は、前年同期の 1,086件と比べて 213% の増加となっている。この急激な増加は、2024年の横ばいとも言えるランサムウェア動向から、大きく乖離するものである。2024年のランサムウェア攻撃の特徴は、被害者を増やすキャンペーンよりも、高価値の被害者に標的を絞り込むところにあったようだ。

Open VSX レジストリに深刻な脆弱性：IDE Extension の依存関係とサプライチェーン侵害の問題

Critical Open VSX Registry Flaw Exposes Millions of Developers to Supply Chain Attacks

2026/06/26 TheHackerNews — Open VSX Registry (open-vsx[.]org) に存在する深刻な脆弱性を、サイバー・セキュリティ研究者たちが明らかにした。この脆弱性の悪用に成功した攻撃者は、Visual Studio Code のエクステンション・マーケットプレイス全体を掌握し、深刻なサプライチェーン・リスクを引き起こす可能性がある。

jQuery Migrate Library を武器化するサプライチェーン攻撃：Parrot を用いるサイレント侵害の手口を解明

jQuery Migrate Library Silently Compromised to Steal Logins Using Parrot Traffic Direction System

2025/06/19 CyberSecurityNews — 信頼性の高い jQuery Migrate ライブラリを武器化し、ステルス性の高いマルウェアを拡散することで、ユーザーの認証情報やセッション・データを収集する、高度なサプライチェーン攻撃が出現した。この攻撃をセキュリティ研究者たちが特定したのは、正当に見える中東のビジネス Web サイトにアクセスした、ある上級管理職の異常なオンライン行動を調査したときである。この異常な行動とは、公式の “jquery-migrate-3.4.1.min.js” ライブラリを装いながら、悪意の JavaScript ファイルのサイレント配信をトリガーするものだった。

Google Gerrit の脆弱性CVE-2025-1568：Google プロジェクト 18種類に改竄の恐れ？

Google’s Gerrit Code Platform Vulnerability Allows Hack of 18 Google Projects Including ChromiumOS

2025/06/17 CyberSecurityNews — 新たに発見された脆弱性 CVE-2025-1568 は、深刻なサプライチェーン攻撃を引き起こすものであり、GerriScary と命名されている。この脆弱性の悪用に成功した攻撃者は、ChromiumOS／Chromium／Dart／Bazel などを含む、少なくとも 18種類の Google プロジェクトへの、悪意のコード注入の可能性を得る。この脆弱性を悪用する攻撃者は、Google が使用するコード・コラボレーション・プラットフォーム Gerrit のミスコンフィグを突き、信頼されたソフトウェア・リポジトリを不正に操作することで、高度な攻撃チェーンを成立させるという。この脆弱性を発見したのは、Tenable のセキュリティ研究者 Liv Matan である。

React Native Package 16種類に RAT：一晩で仕込まれた組織的な悪意とは？

Developers Beware! 16 React Native Packages With Million of Download Compromised Overnight

2025/06/09 CyberSecurityNews — 一週間のダウンロード数が合計で 100万回以上に達するという、人気の React Nativeパッケージ 16件が、巧妙なサプライチェーン攻撃により侵害され、NPM エコシステムに対する脅威が深刻化している。この、2025年6月6日に開始された攻撃では、React Native Aria エコシステムと GlueStack フレームワーク内のパッケージに体系的なバックドアが仕掛けられ、持続的なシステム制御とデータ窃取機能を確立する、高度なリモートアクセス型トロイの木馬 (RAT) が展開された。

npm／PyPI エコシステムが標的：新たなサプライチェーン・マルウェア攻撃の詳細が判明

New Supply Chain Malware Operation Hits npm and PyPI Ecosystems, Targeting Millions Globally

2025/06/08 TheHackerNews — GlueStack 関連の 12以上のパッケージを標的とする、マルウェア拡散を目的としたサプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。Aikido Security は、「”lib/commonjs/index.js” への変更時に侵入した、このマルウェアを操作する攻撃者は、シェル・コマンドの実行／スクリーン・ショットの撮影／感染マシンへのファイル・アップロードが可能にする。これらのパッケージのダウンロード数は、合計で毎週約 100万回に達している」と、The Hacker News に述べている。

GitHub を悪用する新たなサプライチェーン攻撃：ゲームチーターや経験の浅い脅威アクターが標的

Backdoored Open Source Malware Repositories Target Novice Cybercriminals

2025/06/05 SecurityWeek — デベロッパー／エンタープライズ／エンドユーザーを標的とし、情報窃取型のマルウェアやバックドアを展開するサプライチェーン攻撃が、今年だけでも数十件に達していることが明らかになった。その多くは、悪意の NPM パッケージを介して行われている。そして、6月4日 (水) に Sophos が明らかにしたのは、GitHub リポジトリを悪用することで、ゲームチーターや経験の浅い脅威アクターを標的とし、同様のバックドアを仕込むという攻撃行動である。

Ruby Gems を悪用した攻撃が発生：開発者のトークンやメッセージなどを窃取

Hackers Weaponize Ruby Gems To Exfiltrate Telegram Tokens and Messages

2025/06/04 CyberSecurityNews — RubyGems エコシステムを狙う巧妙なサプライチェーン攻撃が発生しているが、その背景には、ベトナムによる Telegram の全面的な禁止措置があるのかもしれない。この攻撃では、開発者の認証情報や通信内容を盗むために、Telegram の API 通信が攻撃者のインフラを経由するよう細工されている。このキャンペーンでは、正規の Fastlane プラグインを装う、２つのタイポスクワット Ruby gem が使用されている。それらの gem は、攻撃者が制御するインフラへと Telegram API のトラフィックを静かにリダイレクトし、Bot トークン／メッセージ内容／添付ファイルなどを収集する。

Security by Design とインセンティブ：なにがあればメーカーは導入するのか？

How to Incentivize Security by Design

2025/05/26 InfoSecurity — 各国の政府が、数千もの組織が利用するデジタル製品やサービスに対して、Secure by Design の原則を一貫して提唱するという状況にある。その原則とは、ソフトウェア・メーカーやシステム運用者の努力により、エンドユーザーのセキュリティ負担を大幅に軽減するためのものであり、既知の脆弱性の排除なども、その一例となる。このアプローチを推進してきたのは、米国 Cybersecurity and Infrastructure Security Agency (CISA) の Secure by Design イニシアチブや、英国政府が支援する Digital Security by Design (DSbD) プログラムなどである。

Linux が標的の Go モジュール・マルウェア：ディスク完全削除でサプライチェーンを狙う

Malicious Go Modules Deliver Disk-Wiping Linux Malware in Advanced Supply Chain Attack

2025/05/03 TheHackerNews — サイバー・セキュリティ研究者たちが発見した、３つの悪意のある Go モジュールは、次段階のペイロードを取得する難読化コードにより、Linux システムのプライマリ・ディスクを永久に上書きし、起動不能にする可能性があるものだ。それらのパッケージ名は、以下の通りである：

github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy

Magento エクステンションを狙うサプライチェーン攻撃：６年前から Tigren／Meetanshi／MGS が標的化？

Magento supply chain attack compromises hundreds of e-stores

2025/05/02 BleepingComputer — Magento エクステンション 21種類を狙うサプライチェーン攻撃により、500～1,000 件の eコマース・ストアが侵害を受けており、その中には、$40 billion 規模の多国籍企業のものも含まれている。この攻撃を発見した Sansec の研究者によると、2019年から一部のエクステンションにはバックドアが仕掛けられていたが、悪意のあるコードが有効化されたのは、2025年4月になってからだという。

Docker Desktop macOS 版の脆弱性 CVE-2025-4095 が FIX：コンテナ・イメージへの不正アクセスの恐れ

Docker Registry Vulnerability Lets macOS Users Access Any Registry Without Authorization

2025/04/30 gbhackers — 先日に発見された Docker Desktop macOS 版の脆弱性が、開発者やセキュリティ・コミュニティの間で懸念を引き起こしている。この脆弱性は、Registry Access Management (RAM) ポリシーの、特定の状況下での不適切な適用に起因しており、悪意の可能性のあるコンテナ・イメージへの不正アクセスを許す可能性がある。それにより、サプライチェーン攻撃のリスクに、ユーザー組織が直面する可能性が生じる。

Verizon DBIR 2025：脆弱性悪用とサードパーティ経由による侵害が急増

Verizon DBIR 2025: Vulnerability Exploitation Surges, Third-Party Breaches Double

2025/04/24 SecurityOnline — Verizon のデータ漏洩調査報告書 2025年版 (Data Breach Investigations Report：DBIR) が明らかにするのは、組織が注意を払うべき、サイバー脅威の状況における重要な変化である。このレポートでは、データ侵害が確認された 12,195 件のインシデントが分析されており、攻撃者による脆弱性の悪用が、主要なイニシャル・アクセスポイントとして増加している状況が示されている。

Erlang/OTP SSH の深刻な脆弱性 CVE-2025-32433：PoC がリリース

Critical CVE-2025-32433 PoC Released: Erlang/OTP SSH Vulnerability Enables RCE

2025/04/18 SecurityOnline — Erlang/OTP SSH アプリケーションに存在する、深刻な脆弱性 CVE-2025-32433 に対する、PoC エクスプロイト・コードを、匿名のセキュリティ研究者が公開した。この脆弱性により、脆弱なバージョンの Erlang/OTP SSH サーバを実行するシステム上で、認証を必要としないリモート・コード実行が可能になる。この状況は、テレコム・グレードの高可用性インフラを、Erlang に依存する環境にとって大きな懸念事項となる。

Yii 2 の脆弱性 CVE-2024-58136 が FIX：安全が確保されないリフレクションの可能性

Urgent: Yii 2 Vulnerability CVE-2024-58136 Under Active Exploit

2025/04/14 SecurityOnline — PHP Web アプリ・フレームワークとして人気を博す Yii 2 に、脆弱性 CVE-2024-58136 (CVSS：9.1) が発見された。この脆弱性が影響を及ぼす範囲は、バージョン 2.0.52 未満となる。Yii 2 のダウンロード数は 2,500万回を超えており、数え切れないほどの Web アプリで使用されているため、この脆弱性は、開発者やサイト管理者にとって重大な懸念事項となっている。

XZ Utils の脆弱性 CVE-2025-31115 が FIX：マルチスレッド・デコーダーに深刻な影響

CVE-2025-31115: XZ Utils Hit Again with High-Severity Multithreaded Decoder Bug

2025/04/07 SecurityOnline — XZ Utils は、データ圧縮機能を提供する、広く利用されるツールとライブラリのスイートである。効率的な圧縮で知られる XZ Utils は、gzip よりも小さなファイルの作成が必要な場合で多用される。ネイティブ・ファイル・フォーマットは “.xz” だが、従来からの “.lzma” フォーマットもサポートしている。

GitHub Action での連鎖的攻撃：SpotBugs の PAT 漏洩トリガー説を掘り下げる

SpotBugs Access Token Theft Identified as Root Cause of GitHub Supply Chain Attack

2025/04/04 TheHackerNews — Coinbase を最初に標的とし、その後に “tj-actions/changed-files” GitHub Action のユーザーへと拡大していった、いわゆる連鎖型のサプライチェーン攻撃が確認されている。さらに、この攻撃の足跡を遡ると、SpotBugs に関連する PAT (personal access token) の窃取に端を発していたことが判明した。

中国由来の Silk Typhoon の戦術：脆弱性悪用とパスワード・スプレーの採用

China-Linked Silk Typhoon Expands Cyber Attacks to IT Supply Chains for Initial Access

2025/03/05 TheHackerNews — Microsoft Exchange サーバのセキュリティ欠陥を、2021年1月のゼロデイ攻撃で悪用していた中国由来の脅威アクターだが、企業ネットワークへのイニシャル・アクセスの手段を、IT サプライチェーンを標的とする戦術へと転換しているようだ。この情報は、Microsoft Threat Intelligence チームの新たな調査結果によるものであり、いまの Silk Typhoon (旧 Hafnium) ハッキング・グループは、攻撃の足がかりを得るためにリモート管理ツールやクラウド・アプリなどの、IT ソリューションを標的にしているという。

航空／旅行システムの OAuth 認証に脆弱性：数百万人のアカウントに乗っ取りの懸念

OAuth Redirect Flaw in Airline Travel Integration Exposes Millions to Account Hijacking

2025/01/28 TheHackerNews — API セキュリティ企業 Salt Labs が公表したレポートは、ホテルやレンタカーのオンライン予約サービスに存在する、アカウント乗っ取りの脆弱性に関するものだ。なお、この脆弱性は、すでに修正されているという。Salt Labs は、「この欠陥を悪用する攻撃者は、システム内のあらゆるユーザー・アカウントへのアクセス権を獲得し、被害者に成りすまして、さまざまな操作を実行する。具体的には、被害者のマイレッジ・ポイントによるホテルやレンタカーの予約や、予約情報のキャンセルや編集などである」と、The Hacker News に共有したレポートで述べている。

OWASP の Non-Human Identity (NHI) Top-10 とは？隠れたリスクを可視化する

Do We Really Need The OWASP NHI Top 10?

2025/01/27 TheHackerNews — 先日に OWASP (Open Web Application Security Project) は、新たな指針としての Non-Human Identity (NHI) Top-10 に取り組み始めた。長年にわたり OWASP は、広く利用される API Top-10 や Web App Top-10 などのプロジェクトを通じて、セキュリティの専門家と開発者に対して、重要なガイダンスと実用的なフレームワークを提供してきた。Non-Human Identity (NHI) セキュリティは、サイバー・セキュリティ業界で新たな関心を集めている。そこで OWASP は、NHI Top-10 により、API キー／サービス・アカウント／OAuth アプリ／SSH キー／IAM ロール／シークレットなどのマシン認証情報とワークロード ID に関連する、リスクと監視の欠如を指摘している。