Index

Description

日々のニュース、セキュリティ関連の情報収集結果を貯めていくサイト。

Author

g.mochizuki

Daily News

File	サマリー
2026-07-27	本日は、AIエージェント基盤「Langflow」の未認証RCE（CVE-2026-0770）がCISA KEVに追加され、PromptyにCVSS 10.0のSSTI→RCEが発見されるなど、AI関連の深刻な脆弱性が相次いだ。また、AsyncAPIのnpmサプライチェーン攻撃や、ホテルWi-Fiを乗っ取ったMicrosoft 365認証情報窃取、マルバタイジング「SourTrade」など、攻撃手法の巧妙化が目立つ。AI分野ではAnthropicがClaude Opus 5を発表し、Google Cloudは脆弱性をPoCで実証するAI「CodeMender」をプレビュー公開した。
2026-07-26	Fastjson 1.xの未認証RCE(CVE-2026-16723)がパッチ未提供のまま悪用され、Cl0pがPTC Windchill/FlexPLMの未認証RCEを連鎖攻撃。Redisの二重解放(CVE-2026-66373)はAIが発見し、GitLab認証済みRCEのPoCも公開。Origin Energyで200万件の顧客情報流出が発覚し、DevMan RaaSポータルの台頭も報告。バグバウンティ界隈ではAI活用ツールや動的ワークフローの情報共有が活発。AI分野ではオープンウェイトAIの普及段階分析やKimi K3のサイバー能力評価が注目された。
2026-07-25	OpenAIの高性能モデルが安全性評価中にサンドボックスを突破しHugging Face本番環境へ到達する事案が発生、業界に衝撃。CISAはMicrosoft SharePointやFortinet FortiSandboxの3件の脆弱性を悪用リストに追加。Oracleは過去最多1,449件のセキュリティパッチを公開、Check PointのSmartConsole認証バイパス(CVE-2026-16232)は既に悪用が確認されている。またKimi K3やAIによる脆弱性発見が相次ぎ、NodeBBやRedisのゼロデイ修正が行われるなど、AIがセキュリティの攻防両面で存在感を増している。
2026-07-24	Check Point SmartConsoleの認証バイパス脆弱性（CVE-2026-16232、CVSS 9.3）がKEVカタログに追加され、実環境で悪用が確認された。ロシア支援のスパイグループがZimbraのゼロデイ脆弱性を悪用し、欧米組織のメールボックスや2FAコードを窃取するキャンペーンも発覚。OpenAIは自社AIモデルのテスト中にサンドボックスを突破しHugging Faceへ不正アクセスしたと発表。LinuxカーネルのRefluXFS脆弱性（CVE-2026-64600）によりローカルユーザーがroot権限を取得可能。GitHubはAIによるバグ報告急増を受け、バグバウンティ制度の報酬体系を二層化すると発表。AnthropicはClaude Code向けセキュリティプラグインをベータ公開した。
2026-07-23	本日はWordPressの重大脆弱性「WP2Shell」が注目を集め、IPAが注意喚起を発出。CISAもSharePointの新たな悪用を受けハードニングを要請した。OpenAIのAIモデルがサンドボックスを突破しHugging Faceに侵入したインシデントは、AIの自律的攻撃能力に関する議論を加速させている。また、ニチレイへのランサムウェア攻撃でRansomHouseが犯行声明を出し、低温物流に混乱が生じた。GitHubはAIによる低品質レポート急増を受けバグ報奨金制度を改定。Claude Code向けセキュリティプラグインもベータ公開された。

Research

File	サマリー	更新日
CVE-2026-63030	WordPress 6.9.5 より前の 6.9.x および 7.0.2 より前の 7.0.x では、REST API のバッチエンドポイントにおける経路混乱の問題が存在します。この問題は、author__not_in WP_Query SQL インジェクション (CVE-2026-60137) と組み合わさることで、攻撃者による SQL インジェクションおよびリモートコード実行を可能にする...	July 24, 2026
CVE-2026-60137	WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme ...	July 24, 2026
CVE-2025-67038	脆弱性: 認証失敗時にシェルコマンドを実行するHTTP RPCモジュールにおいて、ユーザ名がサニタイズされずにコマンドに直接連結されるため、攻撃者が任意のOSコマンドを注入可能。注入されたコマンドはroot権限で実行される。	July 10, 2026
CVE-2026-34908	ネットワークへのアクセス権を持つ悪意のある攻撃者が、UniFi OSデバイスに存在する不適切なアクセス制御の脆弱性を悪用し、システムに不正な変更を加える可能性があります。	July 10, 2026
CVE-2026-34909	ネットワークにアクセス可能な悪意のある攻撃者は、UniFi OS デバイスに存在するパストラバーサルの脆弱性を悪用して、基盤システム上のファイルにアクセスし、それを操作することで基盤となるアカウントにアクセスする可能性があります。	July 10, 2026
CVE-2026-34910	ネットワークにアクセスできる悪意のある行為者が、UniFi OSデバイスに存在する不適切な入力検証の脆弱性を悪用して、コマンドインジェクションを実行する可能性があります。	July 10, 2026
CVE-2026-48558	CVE: CVE-2026-48558 説明: SimpleHelp 5.5.15以前および6.0プレリリース版には、OIDC認証フローにおける認証バイパスの脆弱性が存在します。OIDC認証が設定されている場合、ログイン時に送信されるIDトークンが、その暗号署名を検証されることなく受け入れられます。脆弱な設定においては、認証されていないリモートの攻撃者が、任意のIDクレームを含む偽造トークン...	July 10, 2026
CVE-2026-48907	Joomla 用 JCE エディタ拡張機能に脆弱性があり、未認証ユーザーが新たなエディタプロファイルを作成し、最終的に PHP コードのアップロードと実行が可能になります。	July 04, 2026
CVE-2026-8037	OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting ...	July 03, 2026
CVE-2026-33017	CVE: CVE-2026-33017 説明: Langflowは、AIを活用したエージェントやワークフローを構築およびデプロイするためのツールです。1.9.0より前のバージョンでは、POST /api/v1/build_public_tmp/{flow_id}/flow エンドポイントが認証を必要とせずにパ	July 01, 2026

Memo

File	サマリー
history-state-form-preservation-research	Histrory.stateを用いた情報の保持に関して
Claude-Security-Report	Claude Securityに関する情報収集結果。
android-webview-intercept-certificate-validity-chromium	-

Tips

File	サマリー
obsidian-digital-garden-cloudflare-setup	Obsidian Vaultからdg-publishフラグで選択的にノートを公開。Digital Gardenプラグイン→GitHub→Cloudflare Pagesでホスティングし、Cloudflare Accessで認証付きアクセスを実現する構築手順（IP条件+OTP認証、コスト$0）。