デイリーニュースダイジェスト - 2026-06-12

🔒 セキュリティ

📢 サマリー

CISAがBOD 26-04を発出し、実際のリスクに基づく脆弱性対応の優先順位付けを義務化。最大で3日以内の修正を要求。CVE-2026-45247（Mirasvit Full Page Cache Warmer）がKEVカタログに追加。国内ではCKCネットワークやサイバーエージェントのドットマネーで不正アクセス被害が相次ぎ、アサヒグループHDはサイバー攻撃によるシステム障害で業績下方修正。一方、GoogleのAI駆動ファジングで$50万超の報奨金獲得事例が話題に。Claude Fable 5のセキュリティ制限を巡る議論も活発化。

📌 注目記事

The RCE that AMD wouldn't fix

AMD製品のRCE脆弱性を研究者が報告したが、AMDは修正を拒否。その後AMDはバグ報奨金ルールを事後変更し、研究者の報告を受け付けない対応をとった。GamersNexusがこの問題を詳細に報じている。

CISA tells govt agencies to patch critical exploited flaws in 3 days

CISAが新たな拘束力のある運用指令BOD 26-04を発表。実際のリスクに基づき、KEV掲載・自動攻撃可能性・技術的影響度などの指標で優先度を判定。最も深刻なケースでは3日以内の修正と侵害調査を要求する。

Max severity Ivanti Sentry vulnerability now exploited in attacks

Ivanti Sentryの最大深刻度の脆弱性が攻撃で悪用されている。インターネットに公開されたセキュアモバイルゲートウェイ上でroot権限によるコード実行が可能。早急なパッチ適用が推奨される。

Authorities dismantle 'AudiA6' ransomware crypto-laundering service

法執行機関がランサムウェア攻撃者による3億8千万ドル超の暗号資産洗浄に使用されていた「AudiA6」暗号通貨サービスを解体。サイバー犯罪インフラへの国際的な法執行の成果。

Researcher Hacked Google Using AI and Earned $500,000 Bug Bounty

「brutecat」名の研究者がAI駆動のファジングパイプラインを構築し、Googleの約1,500のAPIからアクセス制御の欠陥を発見。3ヶ月未満で$50万以上の報奨金を獲得した。

📅 セキュリティ週次まとめ

• [tl;dr sec] #332 - I've Joined OpenAI, fwd:cloudsec, AWS Well Architected Supply Chain Security — tl;dr sec — OpenAIへのサイバー責任者としての参加経緯、最新クラウドセキュリティ講演プレイリスト、AWSのサプライチェーンセキュリティベストプラクティスを特集。

📰 セキュリティニュース (26件)

CVE, 脆弱性

• Max severity Ivanti Sentry vulnerability now exploited in attacks — BleepingComputer — Ivanti Sentryの最大深刻度の脆弱性が攻撃で悪用されており、インターネットに公開されたセキュアモバイルゲートウェイ上でroot権限によるコード実行が可能。早急なパッチ適用が必要。
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-45247（Mirasvit Full Page Cache Warmer / 信頼できないデータのデシリアライゼーション脆弱性）を悪用リストに追加。未認証の攻撃者がCacheWarmerクッキーに細工したシリアル化PHPオブジェクトを用いてリモートコード実行が可能。

AMD RCE 脆弱性 関連（2件）

• The RCE that AMD wouldn't fix — はてなブックマーク — AMD製品のRCE脆弱性について研究者が報告したが、AMDは修正を拒否。研究者の詳細な分析とAMDの対応をまとめた記事。
• The RCE that AMD wouldn't fix — BleepingComputer — AMD製品のRCE脆弱性に関する詳細分析。AMDは脆弱性報告後に修正を拒否し、報奨金プログラムのルールを事後変更したことがGamersNexusにより報じられた。

サイバー攻撃, インシデント・マルウェア

• Authorities dismantle 'AudiA6' ransomware crypto-laundering service — BleepingComputer — 法執行機関がランサムウェア攻撃者や他のサイバー犯罪者による3億8千万ドル超の暗号資産洗浄に使用されていた「AudiA6」暗号通貨サービスを解体。
• Coupang hit with record $409 million data breach fine in Korea — BleepingComputer — 韓国PIPCが、3,700万人超の顧客に影響した大規模データ侵害を受け、eコマース大手Coupangに過去最高の約4億9百万ドルの罰金を課した。
• Nottingham University data breach affects over 450,000 students — BleepingComputer — ノッティンガム大学でハッキンググループが学生記録システムに不正アクセスし、現役学生と卒業生を含む45万人以上に影響が及んだデータ侵害が発生。
• Why AI-driven threats are exposing the limits of MSP security stacks — BleepingComputer — AI駆動の攻撃がMSPの断片化されたセキュリティスタックの限界を露呈。統合セキュリティ・自動化・復旧の重要性についてKaseyaが解説。
• 本日気になった注意喚起情報（6/11）★ — Feedly (Fox on Security) — Adobe Acrobat/Readerの脆弱性（APSB26-63）、2026年6月Microsoftセキュリティ更新プログラム、Check Point製品の認証バイパス脆弱性（CVE-2026-50751）などへの注意喚起。
• 元従業員の違反行為に9千件超の個人情報漏えいか│株式会社Kaizen Tech Agent — Feedly (サイバーセキュリティ.com) — 株式会社Kaizen Tech Agentの元従業員による違反行為により、関係者の個人情報9,721件が漏えいした可能性があると発表。
• 教員が県外出張でノートパソコン紛失、ログインパスワード設定されず│高知工科大学 — Feedly (サイバーセキュリティ.com) — 高知工科大学の教員が県外出張中に個人情報を含むノートパソコンを紛失。ログインパスワードが設定されておらず、個人情報漏えいの可能性。
• AIもフィッシング詐欺に引っかかることが判明、上司を装ったメール1通でAWS認証情報を外部へ送信 — はてなブックマーク — Varonis Threat Labsの調査で、企業のメールボックスに接続されたAIエージェントがフィッシング詐欺で機密情報を漏らす可能性を実証。上司を装ったメール1通でAWS認証情報が外部送信された。
• そのクリックちょっと待って：偽CAPTCHA攻撃の正体を暴く | Splunk — はてなブックマーク — 急速に増加しているClickFixおよびFakeCAPTCHA攻撃の手法と対策についてSplunkが解説。日常的なCAPTCHAを装ったソーシャルエンジニアリング攻撃の手口を詳述。

国内インシデント 関連（4件）

• 「Steamギフトカード」物理版が販売終了へ。“ギフトカード詐欺”が横行しているため。デジタルギフトカードの提供は継続 — はてなブックマーク — ValveがSteamギフトカード物理版の販売終了を発表。Steamを含む主要ブランドのギフトカードを悪用する詐欺が世界中で横行していることが理由。
• アサヒグループHD業績予想修正 - サイバー攻撃影響 — X リスト (piyokango) — アサヒグループHDが日本事業のサイバー攻撃によるシステム障害などの影響で売上収益が想定を下回り、減損損失やシステム障害関連費用の発生により業績予想を下方修正。
• CKCネットワーク株式会社ランサムウェア被害 第二報 — X リスト (piyokango) — サーバー管理ソフトウェアの脆弱性を悪用したランサムウェア被害。約664,000件のお問合せ情報が被害サーバーに保存されており、外部流出の痕跡は未確認だが監視を継続。
• サイバーエージェント ドットマネー・ドットギフト不正アクセス — X リスト (piyokango) — サイバーエージェントのドットマネー・ドットギフトシステムへの不正アクセスが発生。全サービスを約1ヶ月停止予定。ポイントの不正利用被害は未確認。

セキュリティツール, 研究

• CISA tells govt agencies to patch critical exploited flaws in 3 days — BleepingComputer — CISAがBOD 26-04を発出。資産の露出状況・KEV掲載・攻撃自動化可能性・技術的影響の4指標で優先度を判定し、最も深刻なものは3日以内の修正を義務付け。
• ツール分析結果シートのアップデート — Feedly (JPCERT/CCブログ) — JPCERT/CCがWindows 11およびWindows Server 2025を対象に、AD環境での攻撃手法やツールの変化を踏まえてツール分析結果シートをアップデート。
• Attack Surface Monitoring vs DAST: Why security teams need both — Feedly (Detectify) — クラウド環境の拡大に伴い重要度が増すAttack Surface MonitoringとDASTの違いと、両方が必要な理由をDetectifyが解説。
• Securing the uncharted territories of AI systems. A discussion with Leo Racanelli — Feedly (Intigriti) — AIシステムのセキュリティにおける未開拓領域について、実際に脆弱性を探すハンターやセキュリティエンジニアの視点から議論。
• DeepTeam で RAG にプロンプト攻撃を投げてみた — はてなブックマーク — LLMアプリの脆弱性を自動でテストするOSS「DeepTeam」を使用し、架空のヘルプデスクBotにプロンプトインジェクション攻撃を実行した検証結果を報告。
• ブラックサンダーをセキュリティデバイスにする ～「公開ブラックサンダー認証」を作った — はてなブックマーク — ハッカソンイベントで「ブラックサンダー駆動開発」をテーマに、セキュリティデバイスとしてのブラックサンダー認証システムを開発したユニークな取り組み。
• Webエンジニアのための技術者倫理テスト — はてなブックマーク — Webサービスの脆弱性発見時の適切な報告手順やAIエージェントによる自動化に関する技術者倫理を、全20問のテスト形式で学べるツール。

Web Application Security, WebSec, OWASP

• Professional / Community 2026.6 — Feedly (Burp Suite) — Burp Suite Professional/Community 2026.6リリース。Java 26へのバンドル更新、Burp Scannerの改善、複数のバグ修正を含む。

Bug Bounty

• [HackerNotes Ep. 178] Hacking Google with AI: $670KinBountieswithBrutecat](https://blog.criticalthinkingpodcast.io/p/hackernotes-ep-178-hacking-google-with-ai-670k-in-bounties-with-brutecat)—\ast Feedly(CriticalThinking)\ast —brutecat\mathrm{が}14,000\mathrm{の}GoogleAPI\mathrm{を}AI\mathrm{パ}\mathrm{ワ}\mathrm{ー}\mathrm{ド}\mathrm{パ}\mathrm{イ}\mathrm{プ}\mathrm{ラ}\mathrm{イ}\mathrm{ン}\mathrm{で}4\mathrm{ヶ}\mathrm{月}\mathrm{未}\mathrm{満}\mathrm{に}\mathrm{ス}\mathrm{キ}\mathrm{ャ}\mathrm{ン}\mathrm{し}$ — Feedly (Critical Thinking) — brutecatが14,000のGoogle APIをAIパワードパイプラインで4ヶ月未満にスキャンし$670Kの報奨金を獲得した手法を詳細に解説。
• 米国CISA BOD26-04の対処スケジュール仮訳 — X リスト (piyokango) — CISAのBOD26-04について、脆弱性対処の緊急度を判断する指標と各ケースにおける対処期限を日本語で仮訳し図解。

DevSecOps, CI/CD

• DevSecOpsの地図を手に入れよう — SDLCとシフトレフトを図解で理解する — はてなブックマーク — DevSecOpsの基本概念をSDLCの各フェーズにセキュリティを組み込む手法として図解。従来の開発との違いやシフトレフトの重要性を解説。
• 脅威モデリング入門 — 設計フェーズでリスクを洗い出すSTRIDE法 — はてなブックマーク — STRIDE法を用いた脅威モデリングの入門記事。CIA（機密性・完全性・可用性）に認証・否認防止・認可を加えた6つの性質への脅威を整理。

プライバシー, 法規制, セキュリティ政策

• 個人情報保護法改正案が衆院通過、統計特例に付帯決議　新設罰則に異論も — はてなブックマーク — 個人情報保護法改正案が衆院を通過。AI開発や統計作成に同意不要で個人データ提供を可能とする「統計特例」に付帯決議。報道目的への罰則影響を懸念する声も。

セキュリティ系の勉強会やイベント、カンファレンス

• 電力業界を狙うサイバー脅威にどう備えるか～「第9回 電力ISACカンファレンス」 参加レポート — Feedly (ラック) — ラックが加入した電力ISACの第9回カンファレンス参加レポート。電力業界のサイバーセキュリティ情報共有と連携強化を目的としたイベントの様子を報告。
• Software Design 2026年7月号 連載「押し上げろ！サイバーセキュリティ！」 — X リスト (GMOサイバーセキュリティ byイエラエ) — 技術評論社「Software Design」2026年7月号にイエラエのエンジニアが執筆したセキュリティ連載記事が掲載予定。6月18日発売。

会社ブログ, その他

• セキュアスカイ・チームインタビューVol.03：特定診断チーム — Feedly (セキュアスカイプラス) — 大規模クライアント向けに専任体制でWebセキュリティ診断を行う「特定診断チーム」メンバーへのインタビュー。現場のリアルな業務内容を紹介。
• What to do when your CEO asks, ‘Are we exposed?’ — Feedly (YesWeHack) — 新たな脆弱性に対して組織が晒されているかを経営陣に説明する際に必要な「スピード」と「検証」の2つの要素について解説。
• 最近、一部フォルダーの名前やアイコンが変わったのは不具合ではなく仕様 ～Microsoftが案内／2026年6月のWindowsセキュリティパッチで「desktop.ini」の処理にセキュリティ強化 — はてなブックマーク — 2026年6月のWindowsセキュリティパッチによりdesktop.iniの処理にセキュリティ強化が施され、一部フォルダーの名前やアイコン表示が変更されたことをMicrosoftが案内。

🤖 AI, 機械学習

AI, 機械学習ニュース (12件)

新モデル、研究論文

• Anthropic apologizes for invisible Claude Fable guardrails — HackerNews — AnthropicがClaude Fableの不可視の安全ガードレールについて謝罪。一部セッションでサイバーセキュリティ・生物学・化学分野のプロンプトが上位モデルからOpus 4.8にサイレントにルーティングされる仕様が問題視されている。
• Open Reproduction of DeepSeek-R1 — HackerNews — Hugging FaceによるDeepSeek-R1のオープン再現実装。推論特化型LLMの透明性ある再現を目指すプロジェクト。
• 【Fable 5 vs Opus 4.8】同じプロンプトでWebアプリ作らせて比較検証した — Zenn (yukurash) — Claude Fable 5とOpus 4.8に同一プロンプトでWebアプリを作成させた比較検証。ベンチマークでは分からない実践的な性能差を成果物で評価。
• 「Claude Fable 5」をAIの開発に利用するとこっそり性能が制限されることが判明、セキュリティ対策も厳しすぎて不満が続出 — はてなブックマーク — AnthropicがClaude Fable 5に施した安全対策が厳しすぎて不満が続出。AI開発目的の利用でこっそり性能が制限される仕組みが判明し議論に。

AIツール, サービス, 製品

• LM Studio 入門｜ローカルLLMをGUIで動かす環境構築とAPIサーバー化の決定版（2026年版） — Feedly (AI Heartland) — LM StudioでローカルLLMをGUIから動かす方法を2026年版で解説。Hugging Faceからのモデルダウンロード、MCP連携、Ollamaとの違いまで網羅した実践ガイド。
• Claude Desktop 使い方入門｜MCP接続で広がるデスクトップAIの可能性とローカル連携 — Feedly (AI Heartland) — Claude DesktopのインストールからMCPサーバー接続まで、ファイル操作・ブラウザ・社内システム連携のユースケースを体系的に解説する入門ガイド。
• fireworks-tech-graphとは｜自然言語から8スタイルの技術ダイアグラムを生成するOSS — Feedly (AI Heartland) — 自然言語指示からSVG/PNGの技術ダイアグラムを生成するClaude Skill。8つのビジュアルスタイル、14種のUML対応、RAGやマルチエージェント図の作例を紹介。
• Gemini CLI 使い方入門｜インストール・認証からGoogle AIをコマンドラインで操る2026年版 — Feedly (AI Heartland) — Gemini CLIのインストール・認証・主要コマンド・GEMINI.md設定からClaude Code/Codex CLIとの違いまでをGoogle公式リポジトリの一次情報で解説。
• SBOM入門｜ソフトウェア部品表でサプライチェーン攻撃を防ぐSPDX・CycloneDX・Syft活用法 — Feedly (AI Heartland) — SBOM（ソフトウェア部品表）の基礎から、SPDX/CycloneDXの違い、Syft/Trivy/cargo-sbomでの生成、GitHub Actions組み込み、Sigstoreでの署名検証まで解説。

LLM, エージェント実装

• コードを書けない私がClaude Codeに「仕組み」を渡すまで — Zenn (tottoko_hamu) — Claude CodeでAIチームを構築するための7つのレイヤー（CLAUDE.md、サブエージェント、スキル、Playbook、メモリ、設定・権限、MCP）を解剖し、「何を渡すか／渡さないか」を設計する手法を解説。
• AIが開発を行うために作られた言語(AI-Firstな言語)について調査、検証してみた — Zenn (tokium_dev) — AIによるコーディングが一般化する中で登場した「AI-Firstな言語」の現在地を調査。各言語の特徴と実用性を検証した結果を報告。
• 「Fable 5 は自分以上に信頼している」Claude Code 開発者に聞く【Code w/ Claude Tokyo現地参加レポート】 — Zenn (sompojapan_dx) — 2026年6月10日に東京で開催されたAnthropic開発者イベント「Code w/ Claude Tokyo」の参加レポート。Claude Fable 5リリース当日の会場の空気を伝える。
• LLMへの指示内容をコミットメッセージに追記するためのツール「ayumi」を作成した — はてなブックマーク — コーディングエージェントへの指示内容をGitコミットメッセージに丸ごと含めるためのツール。Claude CodeやCodexのUserPromptSubmitをフックして動作。

📌 その他注目技術

その他注目技術ニュース (10件)

ブラウザのアップデート, 新機能

• Firefox now supports the new JPEG XL image format — Feedly (Firefox Nightly) — Firefox NightlyがJPEG XL画像フォーマットをサポート。従来形式より優れた圧縮性能を提供する次世代画像形式に対応。
• Firefox now supports the WebAuthn Related Origin Request feature — Feedly (Firefox Nightly) — Firefox NightlyがWebAuthn Related Origin Request機能をサポート。関連オリジン間でのログインフローを簡素化する。
• Web Notifications can now have action buttons — Feedly (Firefox Nightly) — Firefox NightlyでWeb通知にアクションボタンが追加可能に。よりインタラクティブな通知体験を実現。
• Chrome Dev for Android Update — Feedly (Google Chrome Releases) — Chrome Dev for Androidの定期アップデートがリリース。
• 最近、一部フォルダーの名前やアイコンが変わったのは不具合ではなく仕様 ～Microsoftが案内／2026年6月のWindowsセキュリティパッチで「desktop.ini」の処理にセキュリティ強化 — はてなブックマーク — 2026年6月のWindowsセキュリティパッチでdesktop.iniの処理にセキュリティ強化。一部フォルダーの名前やアイコン表示が変更。

開発ツール, プラットフォーム

• Show HN: Homebrew 6.0.0 — HackerNews — macOSパッケージマネージャHomebrewのメジャーバージョン6.0.0がリリース。
• Software Is Made Between Commits — HackerNews — ZedエディタチームがDeltaDBを発表。コミット間の差分管理に着目した新しいソフトウェア開発の考え方を提案。
• MiMo Code is now released and open-source — HackerNews — XiaomiがMiMo Codeをオープンソースでリリース。
• JR東の「QR乗車券」、不正利用対策は？ きっぷの回収方法は？ 同社に聞く - 鉄道コム — はてなブックマーク — JR東日本が2027年春より導入予定のQR乗車券について、不正利用対策や磁気乗車券廃止に伴う回収方法の変更点を解説。

その他

• Nextcloud Hub 26 Spring: Built together, designed for the future — HackerNews — Nextcloud Hubの最新バージョン「26 Spring」がリリース。将来を見据えた共同設計による機能強化を発表。

📌 その他採用や組織マネジメント

• 残業とは？時間外労働の仕組み、36協定、残業代の計算までを解説 — Feedly (SmartHR Mag.) — 法定労働時間と所定労働時間の違い、36協定の仕組み、割増賃金の計算方法、サービス残業の防止策まで、人事・労務担当者が押さえるべき残業の基本ルールを解説。

📋 掲載除外リスト

取得状況