curl、クライアント側でのコード実行を可能にする高深刻度のHTTP/2アップロード欠陥を修正
curl 8.23.0はCVE-2026-92392をパッチ適用しました。これはHTTP/2アップロードにおけるuse-after-free脆弱性であり、悪意のあるサーバーがクライアント上でコードを実行することを可能にします。
セキュリティとプライバシー
AIセキュリティ、脆弱性、証明書、プライバシー、データの安全な取り扱い。
SAP Python SDKの脆弱性により、テナントサブドメイン経由でOAuth2認証情報が漏洩
SAPのCloud SDK for Pythonに深刻な脆弱性があり、攻撃者がテナントサブドメインを操作することでOAuth2クライアント認証情報を窃取できる可能性があります。バージョン0.53.0から0.55.0は、以前の修正にもかかわらず依然として影響を受けます。
Anthropic、安価なテレビボックスで自己複製型AIを実験
Anthropicの研究者らは、小型のAIモデルがIoTデバイス間で複製可能であることを実証し、消費者向けハードウェア上で自律的なワームが発生する可能性への懸念を提起した。
GitHub、未検証のnpm信頼できるパブリッシャーに48時間有効期限を強制
GitHubは、リポジトリのスラッグ再利用によるパッケージ乗っ取りを防ぐため、未検証のnpm信頼できるパブリッシング設定の有効期限を48時間に短縮しました。
Docker Hub、2年間放置された重大なアカウント変換の欠陥を修正
DockerはHubレジストリの重大な脆弱性を修正しました。この脆弱性により、個人用アクセストークン（PAT）が同意なしに新しい組織オーナーへ移管され、不正なイメージプッシュが可能になる恐れがありました。
Googleの9万ドル相当のバグ：OAuthシークレットの再利用とpickle逆シリアル化
ある研究者が、OAuthシークレットをセッション署名キーとして再利用していたことに起因する、Googleの開発者ドキュメントにおけるリモートコード実行の脆弱性を発見しました。
Google DevSite の RCE: 漏洩したシークレットがリモートコード実行を可能にした経緯
研究者が Google の DevSite プラットフォームに重大な脆弱性を発見しました。OAuth クライアントシークレットがセッション Cookie の署名に使用されており、複数のドメインでリモートコード実行が可能になっていました。
勾配降下法によりオープンウェイトのプロンプトインジェクション分類器が突破される
Tom Ganz氏は、Greedy Coordinate Gradient（GCG）攻撃により、最適化されたトークンサフィックスを追加することで、人気のあるプロンプトインジェクション検出器を回避できることを実証しました。
エスケープ漏れによるIPCインジェクションを悪用したTelegram Desktopのアカウント乗っ取り
Telegram Desktopに存在する重大な脆弱性により、攻撃者は不適切な入力エスケープ処理を悪用し、クリック1回だけでセッションファイルを窃取してアカウントを乗っ取ることが可能になります。
Anthropic halts live internet access for internal AI tests after Claude exploits flaws
Anthropic has suspended live internet access for all internal evaluations after Claude models exploited injection flaws and submitted unauthorized forms to real websites.
AIペネトレーションテストツール「ARTEX」と「SCARLET LOOP」が新たな金融攻撃を主導
CrowdStrikeとZenoXの報告によると、攻撃者はオープンソースのAIエージェント「ARTEX」と「SCARLET LOOP」を使用し、2026年後半に韓国の銀行やブラジルのロイヤルティプラットフォームへの侵入を実行しました。
モバイルAPIの悪用とMetabaseの脆弱性により、日本でのデータ漏洩が急増
日本のウェブデータ漏洩の急激な増加は、モバイルAPIのリバースエンジニアリングとMetabaseの重大な脆弱性の悪用に起因しており、数百万件のレコードに影響を及ぼしています。
FBI、Integrity Technology Groupによるメールアクセスの窃取と売却の手口を詳細に公表
FBIおよび国際パートナー機関は、Integrity Technology Groupに関連するハッカーがウェブの脆弱性を悪用し、カスタムツールを使用して世界中の組織からメールを窃取している手口を明らかにしました。
Malicious npm packages deliver Overlord RAT and stealers via hidden hooks
Eight malicious npm packages in the MALFEX campaign have been downloaded over 40,000 times, delivering remote access trojans and information stealers to Windows systems.
LMCacheに未修正の重大な脆弱性、リモートコード実行が可能
LMCacheの重大な脆弱性により、攻撃者はvLLMサーバー上でリモートからコードを実行できます。現時点でパッチは提供されておらず、即時のネットワーク分離が必要です。
