デイリーニュースダイジェスト - 2026-06-02

🔒 セキュリティ

📢 サマリー

Oracle WebLogic Server の未特定脆弱性（CVE-2024-21182）が CISA KEV カタログに追加。Windows Netlogon のRCE脆弱性が悪用されているとの警告がベルギー国家サイバーセキュリティ機関から発出された。Claude Code の GitHub Actions 設定不備を突いたサプライチェーン攻撃手法が GMO Flatt Security により公開（v1.0.94 で修正済み）。Dashlane パスワードマネージャーへのブルートフォース攻撃で複数ユーザーがロックアウト。約2000サイトのWordPressがSteamプロフィールをC2に悪用するマルウェアに感染。国内では転職サイト「女の転職 type」でリスト型攻撃により38,442件の不正ログインが発生。THORChain のバグ報奨金プログラムをめぐり、セキュリティ企業V12が重大な脆弱性を報告したにもかかわらず報奨金支払いを拒否されたとして公開開示に踏み切る事態に発展。

📌 注目記事

Poisoning Claude Code: One GitHub Issue to Break the Supply Chain

GMO Flatt Security の RyotaK 氏が、Claude Code の GitHub Actions における権限制御を外部の GitHub Issue 経由でバイパスし、ワークフロー権限を悪用できる脆弱性を発見・報告した。v1.0.94 で修正済みだが、設定ミスについては各リポジトリでの対応が必要であり、利用者は設定の見直しと実行ログの確認が推奨される。

Critical Windows Netlogon RCE flaw now exploited in attacks

ベルギーの国家サイバーセキュリティ機関（CCB）が、最近パッチが適用されたクリティカルな Windows Netlogon のRCE脆弱性が攻撃者によって現在悪用されていると警告した。影響を受ける組織は早急なパッチ適用が強く推奨される。

Dashlane password manager users locked out by brute force attacks

複数の Dashlane ユーザーが、遠隔地や未知のデバイスからログイン試行を行うブルートフォース攻撃によりアカウントをロックアウトされた。パスワードマネージャー自体への攻撃という点で注目される。

CISA Adds One Known Exploited Vulnerability to Catalog

CVE-2024-21182（Oracle WebLogic Server / 未特定の脆弱性）を悪用リストに追加。T3、IIOP経由で認証されていない攻撃者がネットワークアクセスによりサーバーを侵害し、重要データへの不正アクセスまたは完全なアクセスが可能となる。

WordPress malware campaign hides payloads in Steam profiles

約2,000のWordPressサイトが、Steamコミュニティのプロフィールコメントを C2（コマンド＆コントロール）データの隠蔽に利用するマルウェアに感染した。ゲームプラットフォームをマルウェアインフラとして悪用する新たな手口。

[THORChain バグ報奨金プログラム永久停止と公開開示（5件）]

セキュリティ企業 V12 が THORChain（TVL 32M、FDV 150M）に対し資金流出の重大なバグを報告したところ、サイレントパッチが行われた後、バグ報奨金プログラムが「永久に終了した」と通告された。3週間後にほぼ同一の脆弱性が悪用され $10.7M の被害が発生。V12 はさらなる DoS 脆弱性の公開開示を予告しており、ブロックチェーン業界のバグ報奨金制度のあり方に大きな議論を投げかけている。

Smuggling Through the Front Door... Achieving 0-Click XSS with Cache Poisoning

d3d 氏によるキャッシュポイズニングを利用したゼロクリック XSS 攻撃手法の解説。フロントドアからのスマグリングにより、ユーザー操作なしで XSS ペイロードを配信するテクニックを詳細に解説している。

「JCB社員がインスタに社内資料を載せている」Xで画像拡散　同社「事実関係を調査中」

JCB社員が社員証や他社の社内資料と思われる写真をInstagramに投稿しているとXで拡散。システム構成図や個人情報取り扱い資料などが含まれていた可能性があり、同社は事実関係を調査中としている。

転職サイト『女の転職 type』における不正アクセス発生

2026年5月26日〜28日にかけてリスト型アカウントハッキングにより1,141,828件の不正ログイン試行があり、38,442件（ユニークユーザー18,253名）の不正ログインが発生。全会員の強制ログアウトとパスワード初期化を実施。個人情報保護委員会へ報告済み。

WAF Bypasses via h2 framing

HTTP/2のマルチフレーム構造を悪用し、タイミング遅延、プロトコル変換の不備、不完全なボディインスペクションを通じてWAFをバイパスする手法を解説。複数のリバースプロキシにおける検証手法を網羅。

セキュリティ視点からの JWT 入門 — 2026年版

2020年に公開されたJWTセキュリティ入門記事を2026年最新の状況に合わせて全面的に刷新。JWTの基礎から最新の攻撃手法、対策までを網羅した実践的な内容。

📅 セキュリティ週次まとめ

• WAF Bypasses via h2 framing — Critical Thinking - Bug Bounty Podcast — HTTP/2のマルチフレーム構造を悪用しWAFをバイパスする手法を、タイミング遅延・プロトコル変換不備・不完全ボディ検査の観点から詳細に解説。
• 💰 Security, Funded #246 - SentinelDone — Return on Security — 2026年5月25日週のサイバーセキュリティ業界の資金調達・M&A・カテゴリ動向をまとめた週次経済レポート。

📰 セキュリティニュース (44件)

CVE, 脆弱性

• Critical Windows Netlogon RCE flaw now exploited in attacks — BleepingComputer — ベルギー国家サイバーセキュリティ機関（CCB）が、パッチ適用済みのクリティカルなWindows Netlogon RCE脆弱性が現在攻撃に悪用されていると警告。
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2024-21182（Oracle WebLogic Server / 未特定の脆弱性）を悪用リストに追加。T3/IIOP経由で未認証の攻撃者によるサーバー侵害が可能。
• Poisoning Claude Code: One GitHub Issue to Break the Supply Chain — Feedly (GMO Flatt Security Research) — Claude Code GitHub Actionsの権限制御を外部GitHub Issue経由でバイパス可能な脆弱性。v1.0.94で修正済みだが設定見直しが必要。
• Scala Security Audit — Feedly (Quarkslab's blog) — ScalaチームがOSTIFと協力し初のセキュリティ監査を実施。静的・動的解析により潜在的な脆弱性の特定とScalaへの信頼向上を目指す。
• セキュリティ視点からの JWT 入門 — 2026年版 — はてな (morioka12) — 2020年公開のJWTセキュリティ入門を2026年最新情報で全面刷新。最新の攻撃手法と対策を解説。
• Claude Code、脆弱性検出と修正を支援する「security-guidance」プラグインを公開 — はてな (gihyo.jp) — Anthropicが2026年5月26日に公開したClaude Code向けセキュリティ支援プラグイン。コード作成中に一般的な脆弱性や危険な実装パターンを検出し同一セッション内で修正を促す。
• 【徹底解析】Windowsセキュリティが検知しないウイルス！？ — はてな (Zenn) — AdobeのAuthenticode署名を悪用したバイナリがWindowsセキュリティを回避する手法の詳細な技術解析。

サイバー攻撃, インシデント・マルウェア

• Dashlane password manager users locked out by brute force attacks — BleepingComputer — 複数のDashlaneユーザーが遠隔地からのブルートフォース攻撃によりアカウントをロックアウトされた。
• Microsoft fixes KB5089549 Windows security update install issues — BleepingComputer — 2026年5月のWindows 11セキュリティ更新プログラム（KB5089549）のインストール失敗・0x800f0922エラーの既知の問題をMicrosoftが修正。
• Microsoft fixes outage affecting MFA setup, MySignIn service — BleepingComputer — Microsoftが多要素認証（MFA）設定およびMy Sign-Insプラットフォームへのアクセス障害に対処中。
• Microsoft investigates Office Apps, Teams file access issues — BleepingComputer — Microsoft TeamsおよびOffice for the webでファイルを開けない問題が発生し調査中。
• WordPress malware campaign hides payloads in Steam profiles — BleepingComputer — 約2,000のWordPressサイトがSteamコミュニティのプロフィールコメントをC2データの隠蔽に利用するマルウェアに感染。
• 不正アクセスでコーポレートサイトが改ざんされる│アイサンテクノロジー株式会社 — Feedly (サイバーセキュリティ.com) — アイサンテクノロジーが5月15日、同社コーポレートサイトへの不正アクセスにより不適切なウェブページへ誘導される事象が発生したと発表。
• 産業廃棄物処理事業振興財団、「優良さんぱいナビ」で情報漏えいの可能性 — Feedly (サイバーセキュリティ.com) — 公益財団法人産業廃棄物処理事業振興財団が運営する「優良さんぱいナビ」に外部から不正アクセスがありシステム利用者情報の一部が外部に流出した可能性。
• Unidentified RAT pushes NetSupport RAT — Feedly (SANS Internet Storm Center) — 未確認のRATがNetSupport RATをプッシュする新たな攻撃キャンペーンについての分析レポート。
• Malicious npm packages detected across Red Hat Cloud Services — HackerNews — Red Hat Cloud Services全体で悪意のあるnpmパッケージが検出された問題について。
• 「JCB社員がインスタに社内資料を載せている」Xで画像拡散　同社「事実関係を調査中」 — はてな — JCB社員が社員証やシステム構成図・個人情報取り扱い資料と思われる写真をInstagramに投稿していたことがXで拡散され、同社が調査を開始。
• 転職サイト『女の転職 type』における不正アクセス発生 — X (piyokango) — リスト型攻撃により1,141,828件の不正ログイン試行、38,442件の不正ログインが発生。18,253名のユニークユーザーが影響を受けた可能性。
• Security firm @v12sec warns THORChain about critical fund-draining bug — X (The Defiant) — セキュリティ企業V12がTHORChainに重大な資金流出バグを警告。THORChainはパッチを適用したがバグ報奨金は「永久に終了」と通告。3週間後に類似の脆弱性が$10.7Mの被害で悪用された。

セキュリティツール, 研究

• Overview of Content Published in May — Feedly (Didier Stevens) — Wireshark 4.6.5/4.6.6 および YARA-X 1.16.0/1.17.0 のリリースを含む2026年5月のセキュリティコンテンツ公開サマリー。
• ★Weekly記事レビュー（先週気になった記事） — Feedly (Fox on Security) — 先週のセキュリティ関連記事の中から気になったものをまとめた週次レビュー。
• Daily記事まとめ — Feedly (Fox on Security) — Googleのクッキー盗難防止機能展開、Mythos級台風対策、ソーシャルエンジニアリング攻撃など直近のセキュリティ記事まとめ。
• 本日気になった注意喚起情報（6/1）★ — Feedly (Fox on Security) — Oracleの35件の脆弱性修正（クリティカル11件）、SambaのRCEなど6件の脆弱性、Veeamの脆弱性情報など国内セキュリティ注意喚起まとめ。
• ISC Stormcast For Monday, June 1st, 2026 — Feedly (SANS Internet Storm Center) — 2026年6月1日時点のSANS Internet Storm Centerによる日次セキュリティ脅威概況ポッドキャスト。
• Flipper Zero Zig Template — HackerNews — Flipper Zeroデバイス向けのZig言語テンプレート。セキュリティツール開発者向けのリソース。
• Linux Basics for Hackers (2019) — HackerNews — セキュリティプロフェッショナル向けLinux基礎知識のノート集。ペネトレーションテストに必要なLinuxスキルをカバー。
• Smuggling Through the Front Door... Achieving 0-Click XSS with Cache Poisoning — X (XSS Payloads) — キャッシュポイズニングを利用したゼロクリックXSS攻撃手法の詳細解説。d3d氏による実践的なペイロード配信テクニック。
• Pentest Cheatsheet: Network Pivoting Techniques — X (𝕏 Bug Bounty Writeups) — ペネトレーションテストにおけるネットワークピボット手法のチートシート。Swissky氏による実践的な内部ネットワーク移動技術のガイド。

Web Application Security, WebSec, OWASP

• Webセキュリティ入門：XSS・SQLインジェクション・CSRFを実際に試してみた | DevelopersIO — はてな — DVWAを使用したXSS・SQLインジェクション・CSRFの実践的な学習記事。新卒研修で学んだ代表的な攻撃手法のハンズオン解説。
• Free Live Webinar: OWASP API Top 10 Guide — X (Cyber Security News) — OWASP API Top 10に基づくWebアプリケーションのAPI攻撃可視化ギャップに関する無料ウェビナー。BOLA、認証不備、過剰データ露出などをカバー。
• OWASP Agent Memory Guardについて — X (kokumօtօ) — エージェントメモリの保護レイヤー。SHA-256ベースライン、プロンプトインジェクション検知、シークレット漏洩検出、サイズ異常検知、YAMLポリシー設定を提供。
• OWASP Top 10 for LLM Applications — Deep Dive — X (Tony Seruga) — LLMアプリケーションに特化したOWASP Top 10の詳細解説スレッド。トランスフォーマーベースシステムのアーキテクチャに起因する新たな脆弱性分類を網羅。
• バイブコーダーに辟易の開発者、自らのオープンソースアプリにプロンプトインジェクションを仕込む — はてな — AI反対派の開発者が自身のOSSアプリにAIコーディングエージェントの活動を妨害するプロンプトインジェクション指示を密かに挿入していたことが判明。バイブコーディングをめぐるコミュニティの対立を象徴する事案。

Bug Bounty

THORChain バグ報奨金プログラム停止と公開開示（5件）

• L1 with no bug bounty program? ok. open disclosure — X (cts🌸) — THORChainのバグ報奨金プログラム停止に対し、公開開示に踏み切る姿勢を示す投稿。352いいね・33,663インプレッションと高い関心を集めている。
• This is why retiring bug bounty programs is a losing move — X (Mitchell Amador) — バグ報奨金プログラムの終了はエンジニアリソースを解放するがセキュリティ態勢を著しく低下させると指摘。
• we are at the part of the cycle where chains don't have funds to pay bug bounty — X (shek) — ブロックチェーンプロジェクトがバグ報奨金を支払う資金を持たないサイクルに入っているとのコメント。
• Security firm @v12sec says it warned @THORChain about a critical fund-draining bug — X (The Defiant) — セキュリティ企業V12がTHORChainの重大な脆弱性を報告後バグ報奨金拒否され、3週間後に類似脆弱性が$10.7Mの被害で悪用されたと報道。
• We reported a critical loss of funds bug to @Thorchain — X (V12) — V12がTHORChainの資金流出バグを報告したところサイレントパッチ後「バグ報奨金プログラム永久終了」と通告。追加のDoS脆弱性の公開開示を近日中に予定。
• Marketer by day, bug hunter by night. Interview with Stefan Goossens (G0053) — Feedly (Intigriti) — マーケター兼バグハンターのStefan Goossens氏へのインタビュー。Webアプリケーションの構築と破壊の両方を愛する独立系セキュリティリサーチャーの活動を紹介。
• I earned a $22,500bountyfromAirbnbusingacustomOpus4.7workflowbuiltwithMCPandSkills](https://x.com/whoareme33/status/2061486969348051313)—\ast X(NickMykhailyshyn🇺🇦)\ast —Airbnb\mathrm{か}\mathrm{ら}MCP\mathrm{と}Skills\mathrm{を}\mathrm{活}\mathrm{用}\mathrm{し}\mathrm{た}\mathrm{カ}\mathrm{ス}\mathrm{タ}\mathrm{ム}Opus4.7\mathrm{ワ}\mathrm{ー}\mathrm{ク}\mathrm{フ}\mathrm{ロ}\mathrm{ー}\mathrm{で}$ — X (Nick Mykhailyshyn 🇺🇦) — AirbnbからMCPとSkillsを活用したカスタムOpus 4.7ワークフローで$22,500の報奨金を獲得。AI活用によりバグハンティングが大きく変化したと報告。
• My second P1! I earned $5,000formysubmissionon@bugcrowd](https://x.com/OmhCrl/status/2061438504098222262)—\ast X(Omh)\ast —Bugcrowd\mathrm{で}2\mathrm{回}\mathrm{目}\mathrm{の}P1\mathrm{を}\mathrm{獲}\mathrm{得}\mathrm{し}$ — X (Omh) — Bugcrowdで2回目のP1を獲得し$5,000の報奨金を得た達成報告。
• AI will replace bug bounty hunters ❌ AI is creating more bugs, more attack surfaces and more bounty opportunities ✅ — X (Coffin) — AIはバグハンターを置き換えるのではなく、より多くのバグ・攻撃面・報奨金機会を生み出していると指摘する投稿。

プライバシー, 法規制, セキュリティ政策

• IPAテクニカルウォッチ「AIの動作・分析・利用等の説明に関する意識調査」を公開しました — Feedly (IPA 新着情報) — IPAがAIの動作・分析・利用等の説明に関する意識調査のテクニカルウォッチを公開。AIの説明可能性に関する最新動向を調査。
• ステーブルコイン決済のグレーゾーンはどこか — はてな — ステーブルコイン決済実装時の資金決済法をはじめとする法的論点と技術的課題を整理した解説記事。

セキュリティ系の勉強会やイベント、カンファレンス

• 「認証＆署名の保証レベルセミナー」～信頼できるサービスの評価～ — X (JNSA) — 標準化部会 電子署名WG主催のセミナー。6月17日(水)に浅草橋会場＋オンラインのハイブリッド開催。
• OWASP Global AppSec EU / BSidesVienna — X (OWASP® Foundation) — OWASP Global AppSec EUがウィーンで開催され、翌週末6月27日にBSidesViennaが併催。BSidesViennaのCFP受付中。

会社ブログ, その他

• 【Electron】画面共有やスクリーンショットに「映らない」ウィンドウを作る技術的アプローチ — Zenn (linkjobaija) — WebRTCのgetDisplayMediaやスクリーンショットAPIから特定ウィンドウを除外するElectronアプリの実装手法。OSレベルAPIを活用しパスワード管理ツールなどの機密情報を保護。
• ウイルスだけではない個人向け脅威、狙いは「だまし」による操作 — はてな — IPAが発表した「情報セキュリティ10大脅威 2026年版」に基づき、不正ログインによるアカウント乗っ取りなど個人向け脅威の動向を解説。

🤖 AI, 機械学習

AI, 機械学習ニュース (16件)

新モデル, 研究論文

• CS336: Language Modeling from Scratch — HackerNews — スタンフォード大学の言語モデリングを基礎から学ぶコース。AIエージェントガイドラインも含む実践的なカリキュラム。
• A 10 year old Xeon is all you need — HackerNews — 2016年製Xeonプロセッサ上でGemma 4を動作させることに成功した検証記事。レガシーハードウェアでのLLM実行可能性を示す。
• Superintelligence: The Idea That Eats Smart People (2016) — HackerNews — 2016年に発表された超知能に関する批判的考察。AI安全性議論の古典的論考として再注目されている。

AIツール, サービス, 製品

• Anthropic confidentially submits draft S-1 to the SEC — HackerNews — AnthropicがSECに新規株式公開（IPO）に向けたドラフトS-1を極秘提出。AI業界の大型IPOとして注目される。
• DuckDuckGo makes its 'no-AI' search engine easier to access as its traffic booms — HackerNews — DuckDuckGoがAI不使用の検索エンジンへのアクセスを簡素化。AI検索への反発からトラフィックが急増している。
• Nvidia RTX Spark — HackerNews — Nvidiaが新しいRTX Spark製品を発表。詳細は製品ページを参照。
• Anthropicが発表したゼロトラスト「Zero Trust for AI agents」解説、AIにもゼロトラストを適用して運用する方法 — はてな — Anthropicが提唱するAIエージェント向けゼロトラストモデルの解説。「誰が使ったか」だけでなく「どのエージェントがどの権限でどのツールをどの入力に基づいて何の判断で」を検証する必要性を説く。
• 無料清掃サービス「shift」がついにスタート、どうして無料で家をピカピカに清掃してもらえるのか？ — はてな — ロボットトレーニング用データ収集を目的に無料で家庭清掃を行うスタートアップ「shift」がNYでサービス開始。

LLM, エージェント実装

• AI Agent Guidelines for CS336 at Stanford — HackerNews — スタンフォード大学CS336のAIエージェントガイドライン。Claudeを活用した教育向けAIエージェント設計のベストプラクティス。
• LLMアプリのコンテキストエンジニアリング：アプリケーション状態を構造化して渡す設計 — Zenn (exorql) — LLMアプリケーションで会話履歴や解析結果・ユーザー状態などの情報を効率的にプロンプトに渡すためのコンテキストエンジニアリング手法を解説。
• 【IssueWeaver】流れて消える議論を、GitHub Issueと仕様書に織り上げるAIエージェント — Zenn (snowman1219) — Microsoft Agent Hackathon提出作品。GitHub上の散在する議論をAIが仕様書に統合するエージェント。
• コードを書けない私がClaude Codeで「AIチーム」と書き続けるまで — Zenn (tottoko_hamu) — Claude Codeで9体のAIエージェント編集部を運用する著者が「書き続ける」ための4段ループ（仕込む→書く→届ける→回収する）を構築した記録。

AI政策, 倫理, 動向

• IPAテクニカルウォッチ「AIの動作・分析・利用等の説明に関する意識調査」を公開しました — Feedly (IPA 新着情報) — IPAがAIの説明可能性に関する最新の意識調査結果を公開。AIの動作や分析結果の説明に関するユーザー・事業者の認識を分析。
• Anthropic confidentially submits draft S-1 to the SEC — HackerNews — AnthropicがIPOに向けてSECにS-1草案を提出。AIスタートアップの資本市場参入として業界の節目となる動き。

📌 その他注目技術

その他注目技術ニュース (10件)

ブラウザのアップデート, 新機能

• Backup for a Rainy Day – These Weeks in Firefox: Issue 202 — Feedly (Firefox Nightly News) — Firefox Nightly・Beta全デスクトッププラットフォームでプロファイルバックアップ機能がデフォルト有効化された。
• The Picture In Picture API — Feedly (Firefox Nightly Release Notes) — Firefox Nightly 153.0a1でPicture-in-Picture APIが公開。Web開発者がユーザーエージェントのPiP機能を活用可能に。
• Chrome Dev for Desktop Update — Feedly (Google Chrome Releases) — Chrome Devのデスクトップ版アップデートがリリース。

開発ツール, プラットフォーム

• Launch HN: Expanse (YC P26) – Unlock Wasted GPU Capacity — HackerNews — YC P26採択スタートアップExpanseが遊休GPUキャパシティを解放するサービスをローンチ。
• Show HN: A CSS 3D Engine (no WebGL) — HackerNews — WebGLを使用せず純粋なCSSで3D描画を行うCSS 3Dエンジン。
• Sysadmining Like It's 2009 — HackerNews — 2009年当時のシステム管理手法を振り返るレトロな技術記事。

その他

• Surface Laptop Ultra — HackerNews — MicrosoftがSurface Laptop Ultraを発表。「世界のメイカーのために」と銘打った新モデル。
• KDE at 30 — HackerNews — KDEデスクトップ環境の30周年を記念した特設ページ。プロジェクトの歴史と成果を振り返る。
• Radxa Dragon Q8B: A Laptop Cosplaying as an SBC? — HackerNews — Radxa Dragon Q8Bのレビュー。ラップトップの外観を持ちながらSBC（シングルボードコンピュータ）として機能するユニークなデバイス。
• Windows GOG DOS Games on M-Series Macs — HackerNews — MシリーズMac上でWindows GOG DOSゲームを動作させる手法を解説するガイド。

📌 その他採用や組織マネジメント

• デジタル人材キャリアインタビューVol.13を公開 — Feedly (IPA 新着情報) — IPAがデジタル人材のキャリア形成に関するインタビューシリーズ第13弾を公開。スキルトランスフォーメーションの実例。
• DX認定制度 認定事業者の公表（2026年6月1日認定適用） — Feedly (IPA 新着情報) — 2026年6月1日付で新たに認定されたDX認定事業者が公表された。
• Ask HN: Who is hiring? (June 2026) — HackerNews — HackerNewsの2026年6月度「採用中企業募集」スレッド。
• Ask HN: Who wants to be hired? (June 2026) — HackerNews — HackerNewsの2026年6月度「求職者自己PR」スレッド。
• AI時代のエンジニア受け入れチェックリスト 人だけでなく、AI環境もオンボーディングする — Zenn (aimar) — AIコーディング時代にエンジニアとAI環境の両方をオンボーディングするためのチェックリストとテンプレート。法務・セキュリティ・労務上の観点もカバー。

📋 掲載除外リスト

取得状況