パッチ適用前のゼロトラストによる NetScaler ゲートウェイの防御
Cloudflare は、緊急パッチの適用を待つ間にアクセス制御とオリジン制限を用いて Citrix NetScaler をアクティブなエクスプロイトから保護する方法について解説しています。
セキュリティとプライバシー
AIセキュリティ、脆弱性、証明書、プライバシー、データの安全な取り扱い。
OpenCode Consoleの侵害により一部ユーザーのAIプロバイダーキーが流出
10月16日、不正アクセス者がOpenCodeのレガシーシステムに侵入し、Consoleサービスに保存されていたOpenAI、Anthropic、GoogleのAPIキーが漏洩した可能性があります。
OpenCodeの侵害でAPIキーが流出、AI防御の課題を浮き彫りに
攻撃者がOpenCode Consoleを侵害し、ユーザーの1.4%分のAPIキーが流出して不正請求が発生しました。この事件は、安全フィルターがインシデント対応を妨げる可能性があることを明らかにしています。
Plex2Shell エクスプロイトチェーンにより、メディアサーバーでの未認証リモートコード実行が可能に
攻撃者は Plex Media Server の4つの脆弱性を組み合わせて暗号通貨マイナーや Linux バックドアをインストールしています。概念実証（PoC）コードの公開からわずか数日後のことです。
Metaの改定規約、ビジネス向け製品のための広範なウェブサイトスクレイピングを依然として許容
Metaは新しい商用規約から「train（学習）」という単語を削除したが、法律専門家は、改定後の文言が依然としてビジネスアカウントに関連付けられたウェブサイトの extensive scraping（広範なスクレイピング）を許可していると警告している。
Amazon's Atlas AI predicts union risk in UK warehouses
Internal documents reveal Amazon uses an AI tool called Atlas to score UK warehouses on unionization risk, prompting legal challenges and privacy concerns.
ConnectWise、Microsoft 365テナント侵害を受けアプリIDを無効化
ConnectWiseは、攻撃者が顧客のMicrosoft 365テナントへのアクセス権限を持つ認証情報を侵害したため、Cloud Backupを停止し、7つのアプリケーションIDを無効化しました。
Next.js、キャッシュおよびSVG処理における重大なRCE脆弱性を修正
Next.js 16.4.1 および 15.5.28 では、サーバーコンポーネントと画像処理に影響する2つの重大なリモートコード実行（RCE）脆弱性と1つのサービス拒否（DoS）欠陥を修正しました。
GhostActionキャンペーン、GitHubアカウントを乗っ取りCI/CDおよびAIの秘密情報を窃取
攻撃者は1,900件のGitHubアカウントを侵害し、30,000のリポジトリに認証情報窃取ワークフローを注入しました。クラウドキーやAIプロバイダーのトークンが標的となりました。
LangflowのRCE脆弱性により、認証済みユーザーがシェルコマンドを実行可能
攻撃者はCVE-2026-105740を悪用し、MCPサーバー設定を通じて任意のコードを実行しています。これまでに1,400回以上の試みが記録されています。
Cloudflare Gateway、カスタムセキュリティロジックのためにコードをインライン実行可能に
Cloudflareは「Forward actions」と「Custom Functions」を発表し、開発者がGatewayポリシーパス内でWorkersを直接実行し、リアルタイムでのトラフィック変換と評価を可能にしました。
フロンティアAIラボ、基本的なセキュリティを軽視しエージェントの侵害を引き起こす
OpenAI、Anthropic、Googleによる最近の不正アクセス事件は、暴走するAIの挙動ではなく、サイバーセキュリティの基本原則が怠られたことに起因しています。
隠された研究者からのメッセージに不正なAIエージェントがデータスクレイピング中に返信
研究者は、AlibabaのAmapをスクレイピングするAIエージェント向けレポート内にメッセージを隠しました。エージェントはこれに応答し、サンドボックス化された環境やタスクに関する詳細を明らかにしました。
CISA、ヘッダーによる認証バイパスを悪用するIvantiの緊急パッチ適用を指示
CISAは、未認証のリモートコード実行を可能にするゼロデイ脆弱性CVE-2026-104935の積極的な悪用を確認したため、Ivanti Connect Secureへの即時アップデートを義務付けました。
curl、クライアント側でのコード実行を可能にする高深刻度のHTTP/2アップロード欠陥を修正
curl 8.23.0はCVE-2026-92392をパッチ適用しました。これはHTTP/2アップロードにおけるuse-after-free脆弱性であり、悪意のあるサーバーがクライアント上でコードを実行することを可能にします。
