デイリーニュースダイジェスト - 2026-06-03

🔒 セキュリティ

📢 サマリー

CISAがLinux Kernel（CVE-2022-0492）とAndroid Framework（CVE-2025-48595）の2件を悪用リストに追加。GoogleはAndroidゼロデイを含む124件の修正パッチを公開。Red Hat公式npmチャンネルで自己増殖型マルウェア「Miasma」を含む31パッケージの侵害が発覚。Meta AIチャットボット悪用によるInstagramアカウント乗っ取りも確認。国内では公立中学校で1000万円のサポート詐欺被害が発生。

📌 注目記事

CISA Adds Two Known Exploited Vulnerabilities to Catalog

CISAが既知の悪用脆弱性カタログに2件を追加。CVE-2022-0492（Linux Kernel / 不適切な認証）はcgroups v1 release_agentを介した権限昇格が可能。CVE-2025-48595（Android Framework / 整数オーバーフロー）はローカルでの権限昇格とコード実行を許す。両脆弱性とも攻撃が活発化している。

Google fixes one actively exploited Android zero-day, 124 flaws

Googleが2026年6月のAndroidセキュリティパッチを公開。標的型攻撃で悪用が確認されたゼロデイ脆弱性1件を含む、合計124件の脆弱性を修正。CISA KEVにも追加されたCVE-2025-48595（Android Framework整数オーバーフロー）が該当。

Red Hatの公式npmチャンネルを通じて数十個のパッケージにバックドアが仕込まれていたと判明

Red Hat公式のnpmチャンネル「@redhat-cloud-services」配下の32パッケージ・96バージョンが侵害され、認証情報を盗む自己増殖型ワーム「Miasma」が配布されていた。週11万回以上ダウンロードされており、preinstallフックでBunを取得しROT-21復号evalで認証情報を窃取する手法が使われた。

ハッカーがMeta AIのサポートチャットボットを騙して有名人のInstagramアカウントを盗む

ハッカーがMeta AIのサポートチャットボットを騙し、著名人のInstagramアカウントを盗んで転売する事案が発生。VPNで所在地を隠し、ボットにアカウント関連メールアドレスの変更を依頼するだけでアカウント乗っ取りに成功。AIチャットボットのソーシャルエンジニアリング耐性の欠如が露呈した。

Anthropic scales Claude Mythos to critical infrastructure in 15 countries

AnthropicがClaude Mythosを15カ国の重要インフラに展開。エネルギー、医療、運輸などの分野にAIを統合し、運用効率と安全性の向上を目指す。Mythosは物理世界と対話可能なマルチモーダルAIであり、重要インフラへのAI導入におけるセキュリティと信頼性の課題が焦点に。

📰 セキュリティニュース (34件)

CVE, 脆弱性

• CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA — CVE-2022-0492（Linux Kernel / 不適切な認証による権限昇格）、CVE-2025-48595（Android Framework / 整数オーバーフローによるローカル特権昇格）を悪用リストに追加。

CVE-2025-48595 (Android Framework) 関連（2件）

• Google fixes one actively exploited Android zero-day, 124 flaws — BleepingComputer — Googleが2026年6月のAndroidセキュリティパッチを公開。ゼロデイ1件を含む124件の脆弱性を修正。
• CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA — CVE-2025-48595（Android Framework整数オーバーフロー）を悪用リストに追加。

Claude Code GitHub Actions 脆弱性 関連（2件）

• Claude Code GitHub Actionsの権限制御をバイパス可能な脆弱性 — X (Flatt Security) — GitHub Issue経由でClaude Code GitHub Actionsの権限制御をバイパスしワークフロー権限を悪用可能な脆弱性をFlatt SecurityのRyotaKが発見・報告。v1.0.94で修正済み。
• Poisoning Claude Code: One GitHub Issue to Break the Supply Chain — X (Flatt Security) — Claude Code GitHub Actionsの権限制御を外部Issue経由でバイパスする脆弱性の詳細な技術ブログを公開。設定ミスについては各リポジトリで対応が必要。
• Claude Code GitHub Actionsの脆弱性を発見・報告 — X (Flatt Security) — GitHub Issue経由でClaude Code Actionsの権限をバイパスしサプライチェーンを侵害可能な脆弱性の技術詳細。v1.0.94で修正済みだが設定見直しを推奨。
• CISA flags two-year-old Oracle flaw as actively exploited in attacks — BleepingComputer — CISAが2年前にパッチ公開されたOracle WebLogic Serverの高深刻度脆弱性が現在活発に悪用されているとして、政府機関に対策を命令。
• Polyfill.ioを放置したサイトで不審なダイアログが表示されている件 — はてなブックマーク — 2024年のサプライチェーン攻撃に使われたpolyfill.ioを放置したWebサイトで、ユーザー名・パスワードの入力を求める不審なダイアログが表示される事象が継続中。

サイバー攻撃, インシデント・マルウェア

Red Hat npm サプライチェーン侵害「Miasma」関連（2件）

• Red Hatの公式npmチャンネルを通じて数十個のパッケージにバックドアが仕込まれていたと判明 — はてなブックマーク — Red Hat公式npmの32パッケージ・96バージョンが侵害され、自己増殖型ワーム「Miasma」が認証情報を窃取。週11.7万回DL。
• Microsoftが警告したnpmサプライチェーン侵害｜redhat-cloud-services 31パッケージに自己増殖ワーム「Miasma」 — AI Heartland — preinstallフックでBun取得→ROT-21復号evalで認証情報窃取する自己増殖ワーム。Wizが「Miasma」と命名。検知パターンと緊急対処を解説。

Meta AIチャットボット悪用 Instagramアカウント乗っ取り 関連（2件）

• ハッカーがMeta AIのサポートチャットボットを騙して有名人のInstagramアカウントを盗む — はてなブックマーク — Meta AIサポートチャットボットを社会的に操作し、著名人のInstagramアカウントを盗み転売する手口が判明。
• Instagram users locked out after Meta AI abused to steal accounts — BleepingComputer — 攻撃者がMetaのAI搭載サポートツールを騙し、正規の所有者になりすましてInstagramアカウントを乗っ取る事案が複数発生。

相良中学校 サポート詐欺1000万円被害 関連（2件）

• 市長激怒 サポート詐欺で"消えた"1000万円 公立中学校で事務職員が騙される被害 — はてなブックマーク — 静岡県牧之原市の公立中学校でサポート詐欺被害が発生。999万9999円の引き落としを金融機関が指摘し発覚。被害額は1000万円。
• 相良中学校におけるインターネット詐欺被害について - 牧之原市ホームページ — はてなブックマーク — 令和8年5月29日、牧之原市立相良中学校でインターネット詐欺被害が発生。市と警察が対応中で、詳細判明次第情報を公表予定。
• Microsoft Exchange Online outage causes email delays, failures — BleepingComputer — Microsoftが北米とドイツのExchange Online顧客に影響するメールフローパイプラインの広範なサービス障害に対応中。
• 北九州市立大学、職員パソコンへの不正アクセスで個人情報漏えいのおそれ — サイバーセキュリティ.com — 北九州市立大学の事務職員PCが不正アクセスを受け個人情報漏えいの可能性。2026年5月2日に事案発生。
• メール通信障害で不正アクセス発覚、現在は調査中│有限会社山田ボデー工業所 — サイバーセキュリティ.com — 山田ボデー工業所でメール送受信障害を契機にサーバーへの不正アクセスが発覚。2026年5月19日発生。
• 女性向け転職サイトで3万8000件の不正ログイン 「女の転職type」にリスト型攻撃 — はてなブックマーク — キャリアデザインセンター運営「女の転職type」アプリがリスト型攻撃を受け、最大1万8253人分の会員情報が第三者に閲覧された可能性。
• ユニバーサル ミュージック、顧客情報310万件流出 調査完了も原因示さず — X (piyokango) — ユニバーサルミュージックで顧客情報310万件が流出。調査は完了したが原因は明らかにされていない。

セキュリティツール, 研究

• トークン窃取を多層で止める——セッション・AI推論・課金まで含めた防御パターン — AI Heartland — XSS/dotenv流出によるセッション窃取と公開API濫用によるAI推論トークン窃取の両方を、Edge・Auth・App・監査財務の4層で防御するパターンを整理。
• TSUBAMEレポート Overflow（2026年1～3月） — JPCERT/CCブログ — JPCERT/CCによる2026年第1四半期（1〜3月）のTSUBAMEレポートOverflow。四半期ごとの脅威動向をまとめたレポート。
• パープルチームとは｜レッド／ブルー両経験者が語る、攻守を統合するセキュリティ人材育成 — NRIセキュア — レッド／ブルー両方の経験を持つエンジニア2名が、攻守を統合するパープル人材の価値と育成のポイントを語る。
• Device Bound Session Credentials: Making Stolen Cookies Useless — Scott Helme — 盗まれたセッションCookieを無効化するDevice Bound Session Credentials（DBSC）の仕組みを解説。パスワードより強力なCookie窃取に対抗する技術。
• Broken Token - JWT 電子書籍公開 — X (BRute Logic) — JWTを破る全手法（アルゴリズム混同、キー注入、クレーム操作、フォーマット攻撃＋独自研究）を網羅したBug Bounty／ペネトレーションテスター向け電子書籍。
• XSS with Type Juggling テクニック — X (KNOXSS) — 数値入力が期待される場面でのType Jugglingを利用したXSS手法。ペイロードの先頭に「1」を付与して入力検証をバイパスするテクニック。
• ログインフローのDOM XSS発見事例 — X (nst) — 2年間運営されているプログラムのログインフロー /login/?next= でwindow.location.hrefシンクを利用したDOM XSSを発見。誰も報告していなかった脆弱性。
• Account Takeover via Password Reset 検査メソッド — X (Mustafa Adam) — パスワードリセット経由のアカウント乗っ取り（ATO）脆弱性を検査するメソッドロジーをGitHubで公開。継続的に更新予定。
• HackerOneでBroken Access Control（BAC）脆弱性を報告 — X (Oussama) — HackerOneで未認証エンドポイントから不正アクセス可能なCritical Broken Access Controlを発見・報告し、トリアージ済み。
• MOSHのActions workflowsにzizmorを導入しました — Zenn (moshjp) — GitHub Actionsのセキュリティ強化ツールzizmorを導入した経緯と考慮ポイントを整理。CI/CDパイプラインの攻撃面を低減。
• 【脆弱性】脆弱性が発見されてから攻撃されるまでの平均時間が5年前の1/188になってる — はてなブックマーク — CVE公開から実際の悪用確認までの期間が5年前と比較して1/188に短縮。Zero Day Clockのデータに基づく分析。
• New Wave Of Phishing Emails with SVG Files — SANS Internet Storm Center — SVGファイルを添付した新しいフィッシングメールの波が観測されている。メール本文にURLを含まず画像としてSVGを配信する手口。
• Daily記事まとめ（AIが騙されてアカウント乗っ取りをサポート、フィッシング対策協議会の資料公開 ほか） — Fox on Security — セキュリティ関連記事のまとめ。Meta AIチャットボット悪用のアカウント乗っ取り、フィッシング対策協議会資料、NIST NVD運営問題などをカバー。
• 本日気になった注意喚起情報（6/1）★ — Fox on Security — PAN-OS脆弱性の悪用確認、Plesk Linux版の権限昇格脆弱性、分散型DDoS攻撃など、2026年6月1日時点の注意喚起情報をまとめて配信。

Web Application Security, WebSec, OWASP

• Global AppSec ViennaでThreatModCon開催 — X (OWASP) — 6月26〜27日、ウィーンでThreatModConが開催。脅威モデリング実践者向けの2日間のカンファレンス。

Bug Bounty

• 大手パスワードマネージャーの脆弱性報告で$10\mathrm{の}\mathrm{ク}\mathrm{レ}\mathrm{ジ}\mathrm{ッ}\mathrm{ト}\mathrm{の}\mathrm{み}](https://x.com/PabloSabbatella/status/2061872918808981542)—\ast X(PabloSabbatella)\ast —\mathrm{大}\mathrm{手}\mathrm{パ}\mathrm{ス}\mathrm{ワ}\mathrm{ー}\mathrm{ド}\mathrm{マ}\mathrm{ネ}\mathrm{ー}\mathrm{ジ}\mathrm{ャ}\mathrm{ー}\mathrm{に}\mathrm{セ}\mathrm{キ}\mathrm{ュ}\mathrm{リ}\mathrm{テ}\mathrm{ィ}\mathrm{問}\mathrm{題}\mathrm{と}\mathrm{修}\mathrm{正}\mathrm{方}\mathrm{法}\mathrm{を}\mathrm{報}\mathrm{告}\mathrm{し}\mathrm{た}\mathrm{が}、\mathrm{修}\mathrm{正}\mathrm{に}100\mathrm{日}\mathrm{超}\mathrm{か}\mathrm{か}\mathrm{り}BugBounty\mathrm{対}\mathrm{象}\mathrm{外}\mathrm{で}$ — X (Pablo Sabbatella) — 大手パスワードマネージャーにセキュリティ問題と修正方法を報告したが、修正に100日超かかりBug Bounty対象外で$10のクレジットのみ提供された事例。
• ‘Delivered exactly what we hoped for’: How TeamViewer built a successful Bug Bounty Program — YesWeHack Blog — TeamViewerがBug Bountyプログラムを構築し成功を収めた方法を紹介。YesWeHackプラットフォームでの運用事例。

クラウド

• Microsoft Exchange Online outage causes email delays, failures — BleepingComputer — Microsoftが北米とドイツのExchange Onlineにおいてメールフローパイプラインの広範なサービス障害に対応中。

プライバシー, 法規制, セキュリティ政策

• CISA and Partners Urge Hardening Automatic Tank Gauge Systems — CISA — CISAとパートナー機関が自動タンクゲージ（ATG）システムのセキュリティ強化を呼びかけ。重要インフラの防御に関するファクトシートを公開。
• Larry Ellison: "Citizens will be on their best behavior because we're recording" — HackerNews — Oracle共同創業者ラリー・エリソンが「常時記録・報告されるため市民は最善の行動をとる」と発言し、プライバシー侵害への警鐘として波紋。
• A walking tour of surveillance infrastructure in Seattle — HackerNews — シアトル市内の監視インフラを歩いて調査するプロジェクト。公共空間における監視技術の普及実態を可視化。

セキュリティ系の勉強会やイベント、カンファレンス

• GMO IERAE HackNight #4 開催中 — X (GMO IERAE) — GMOサイバーセキュリティ byイエラエによるHackNight #4が開催。多数の来場者が参加。
• GMO IERAE HackNight #4 台風接近に伴う注意喚起 — X (GMO IERAE) — 台風6号接近に伴い、HackNight #4は予定通り開催するが天候次第でプログラム短縮の可能性あり。connpassでのキャンセルを案内。
• Global AppSec ViennaでThreatModCon開催 — X (OWASP) — 6月26〜27日、ウィーンでThreatModConを開催。脅威モデリングの実務者向けカンファレンス。
• Docomo現場受け入れ型インターンシップ CSIRTセキュリティエンジニア募集 — X (セキュリティ若手の会) — DocomoのCSIRTで脅威インテリジェンスをハンドリングするセキュリティエンジニアのインターンシップ募集。

会社ブログ, その他

• パープルチームとは｜レッド／ブルー両経験者が語る、攻守を統合するセキュリティ人材育成 — NRIセキュア — レッド／ブルー両経験者が攻守統合のパープル人材の重要性を語る。国際的に高まる需要と育成ポイントを解説。
• Attack Surface Managementサービス提供開始 — X (UBsecure) — ユービーセキュアがAI SPERA社「Criminal IP」を活用したASMサービスの提供を開始。経産省ガイダンスに対応。
• AI時代のサイバーセキュリティ鼎談① Claude Mythosの登場をどう捉えるか — X (VLCセキュリティ) — 西本逸郎氏・川口洋氏との鼎談コラム。Claude Mythos登場が企業セキュリティに与える影響と取るべき対策を議論。
• 中小製造業 × Speech-VLA セキュリティ ── 三層攻撃モデルと ISO 10218:2025 時代の防御 — Zenn (naoyabone) — VLA（Vision-Language-Action）モデルを搭載したロボットに対する物理空間からの3つの攻撃（お札貼り・口寄せ・呪詛連携）を分析する書籍。
• ISC Stormcast For Tuesday, June 2nd, 2026 — SANS Internet Storm Center — SANS ISCによる2026年6月2日のセキュリティポッドキャスト。

🤖 AI, 機械学習

AI, 機械学習ニュース (12件)

新モデル、研究論文

• Microsoft's MAI-Code-1-Flash Scores 51% SWE-Bench Pro with Just 5B Active Params — HackerNews — Microsoftの新コーディングAIモデル「MAI-Code-1-Flash」がわずか50億アクティブパラメータでSWE-Bench Proベンチマーク51%を達成。
• Anthropic scales Claude Mythos to critical infrastructure in 15 countries — HackerNews — AnthropicがClaude Mythosを15カ国の重要インフラに展開。エネルギー・医療・運輸分野で物理世界と対話可能なAIを統合。
• Expanding Project Glasswing — HackerNews — AnthropicがProject Glasswingを拡大。AIの透明性と説明可能性を向上させる取り組みの最新状況を報告。
• Rethinking Search as Code Generation — HackerNews — Perplexityが検索をコード生成として再考する研究を発表。検索クエリをコードとして扱う新しいアプローチを探求。

AIツール, サービス, 製品

• GitHub Copilot App — HackerNews — GitHubがCopilotのスタンドアロンアプリをプレビュー公開。IDEを離れてもAIコーディング支援が利用可能に。
• 【Snowflake Summit 2026】Opening Keynote Snowflakeが描くAgentic Enterprise — Zenn (finatext) — Snowflake Summit 2026のOpening Keynoteレポート。「Agentic Enterprise」構想と今後の方向性を詳説。
• Claude Codeのagents / skills / hooksをどう使い分ける？実プロダクト開発で出した運用ルール — Zenn (dx_pm_product) — 瞑想アプリ開発でのClaude Code運用ルールを整理。agents/skills/hooksの使い分け方と実践的な運用ノウハウを解説。
• Why the browser is now the front line for AI security — BleepingComputer — AI駆動攻撃とシャドーAI導入によりブラウザがAIセキュリティの最前線に。Push Securityがブラウザ可視性の重要性を解説。

LLM, エージェント実装

• LLMに溶かさないAgent設計 — Zenn (mofuteq) — LLM Agentの責務がLLMやフレームワークに溶ける問題に着目し、Context Boundaryを重視した設計アプローチを提唱する技術書。
• なぜ、AIは頭が良い人が使うとより頭が良くなるのに、頭が悪い人が使うとより頭が悪くなるのか？ — Zenn (pdfractal) — AI使用による判断主権の所在が思考力格差を拡大する現象を分析。Microsoft Researchの調査結果を引用しつつ批判的思考の重要性を指摘。

AI政策, 倫理, 動向

• Trump signs downsized AI order after weeks of reversals — HackerNews — トランプ大統領が数週間の紆余曲折を経て縮小版のAI大統領令に署名。規制緩和とイノベーション促進に焦点。
• Larry Ellison: "Citizens will be on their best behavior because we're recording" — HackerNews — Oracleのエリソン会長が常時監視社会を示唆する発言。AI監視技術とプライバシーに関する議論が再燃。

📌 その他注目技術

その他注目技術ニュース (9件)

ブラウザのアップデート, 新機能

• Firefox now verifies and displays Qualified Website Authentication Certificates (QWACs) — Firefox Nightly — Firefox 153.0a1でQWACs（Qualified Website Authentication Certificates）の検証と表示に対応。
• It is now possible to merge multiple PDFs by dragging in the PDF sidebar — Firefox Nightly — Firefox PDFエディタにサイドバーへのドラッグによるPDF結合機能が追加。
• It is now possible to add images as new pages within PDFs — Firefox Nightly — Firefox PDFエディタで画像をPDFの新規ページとして追加可能に。
• Quickly pick and copy a color from any page by typing "pick color" in address bar — Firefox Nightly — アドレスバーに「pick color」と入力するだけでページ上の色を取得・コピー可能に。
• Firefox Labs can now be opened quickly by typing "labs" in the address bar — Firefox Nightly — アドレスバーに「labs」または「experiment」と入力してFirefox Labsを素早く開けるように。

開発ツール, プラットフォーム

• Coreutils for Windows — HackerNews — MicrosoftがWindows向けのCoreutilsをGitHubで公開。LinuxコマンドラインツールをWindowsネイティブで利用可能に。
• GitHub Copilot App — HackerNews — GitHubがCopilotのスタンドアロンアプリをプレビュー公開。IDE外でもAIコーディング支援が利用可能。
• QBE – Compiler Back end: Version 1.3 — HackerNews — 軽量コンパイラバックエンドQBEのバージョン1.3がリリース。

その他

• SNS不適切投稿の削除、大手5社はいずれも申請の5割未満 Xは0.1% — X (piyokango) — SNS不適切投稿の削除申請に対し、大手5社いずれも削除率5割未満。Xはわずか0.1%にとどまる調査結果。

📌 その他採用や組織マネジメント

• 休日出勤とは？違法になるケースや手当・残業代のルールを社労士が解説 — SmartHR Mag. — 法定休日と所定休日の違い、割増賃金の取り扱い、休日手当や残業代の未払い防止など、休日出勤の適切な運用ルールを社労士が解説。
• Great Question (YC W21) Is Hiring Applied AI Interns — HackerNews — YC W21出身のGreat QuestionがAIエンジニアインターンを募集。応用AI分野での実務経験を提供。
• Docomo現場受け入れ型インターンシップ CSIRTセキュリティエンジニア募集 — X (セキュリティ若手の会) — DocomoのCSIRTチームが脅威インテリジェンスをハンドリングするセキュリティエンジニアの現場受け入れ型インターンシップを募集。
• パープルチームとは｜レッド／ブルー両経験者が語る、攻守を統合するセキュリティ人材育成 — NRIセキュア — 攻守両面の知見を統合したセキュリティ人材（パープル人材）の育成ポイントと重要性を現役エンジニアが解説。

📋 掲載除外リスト

取得状況