デイリーニュースダイジェスト - 2026-06-29

🔒 セキュリティ

📢 サマリー

本日のセキュリティニュースでは、KDDIのメールシステム侵害による最大1420万件のログイン情報漏洩、CISAがOracle PeopleSoftとIvanti Sentryの脆弱性を悪用リストに追加、ブッキングドットコムの予約情報漏洩に伴うフィッシング被害が注目される。AI分野では、GoogleがMetaのGemini利用を制限したほか、Claude Codeの会話履歴が別PCに同期する問題が報告された。また、X上ではPushChainの包括的セキュリティ監査完了とBug Bounty開始が大きな関心を集めている。

📌 注目記事

KDDI、6ISPのメールシステム侵害で最大1420万件のログイン情報漏洩

KDDI株式会社は、同社が5つのISPに提供するメールシステムに不正アクセスがあり、最大1420万件のメールログイン情報が漏洩した可能性を公表した。攻撃者はシステムに侵入し、顧客の認証情報を窃取したと見られる。影響を受けたISPと連携して調査が進められている。

CISA、Oracle PeopleSoft Enterprise PeopleToolsの脆弱性を悪用リストに追加

CISAは、Oracle PeopleSoft Enterprise PeopleToolsにおける認証欠落の脆弱性（CVE-2026-35273）を悪用リストに追加した。この脆弱性により、未認証の攻撃者がシステムを完全に掌握する可能性がある。早急なパッチ適用が推奨される。

CISA、Ivanti SentryのOSコマンドインジェクション脆弱性を悪用リストに追加

CISAは、Ivanti Sentry（旧MobileIron Sentry）のOSコマンドインジェクション脆弱性（CVE-2026-10520）を悪用リストに追加した。リモートの未認証攻撃者がroot権限でリモートコード実行できる可能性があり、特にエンドポイントが外部から到達可能な場合に深刻なリスクをもたらす。

ブッキングドットコムの予約情報漏洩か、詐欺誘導多発　カード情報盗難

世界最大級の旅行予約サイト「ブッキング・ドットコム」の利用者に不審なメッセージが相次ぎ、予約情報が漏洩したと見られる。正規の連絡と誤認した利用者がクレジットカード情報を盗まれるフィッシング被害が発生し、観光庁が注意を呼びかけている。

Google、MetaのGemini AIモデル利用を制限

Googleは、Metaが自社のGemini AIモデルを利用することを制限したと報じられた。この動きは、AIモデルの競争と利用制御を巡る緊張の高まりを示している。両社の対立がAI業界に与える影響が注目される。

Claude Codeの会話履歴が別のPCに勝手に出てきた——漏洩?どこに保存され、何が同期し、どう止めるか

Claude Codeを使用中、別のマシンで同じAnthropicアカウントにログインしたところ、過去の会話履歴が丸ごと相手の画面に表示される現象が報告された。これは情報漏洩の懸念を引き起こし、GitHubのIssueとしても報告されている。同期の仕組と停止方法についての検証が行われている。

北朝鮮の暗号資産窃取を協議　日米韓

米国務省は、北朝鮮のサイバー活動への対処策を日米韓3カ国間で調整する外交作業部会をワシントンで開催したと発表した。3カ国は北朝鮮による暗号資産（仮想通貨）窃取の手口を暴く取り組を強化していく方針を確認した。

EU、Chat Controlを非公開で立法化へ

EUは、プライベート通信の監視を可能にする「Chat Control」法案を非公開の場で立法化しようとしていると報じられた。この動きは、民主的なプロセスを経ずに市民のプライバシーを侵害するものとして批判を集めている。反対運動の再燃が呼びかけられている。

Flockカメラ、ナンバープレート以上の情報を追跡し急速に拡大

Flock Safetyの監視カメラは、ナンバープレート認識に加え、車両の特徴や行動パターンまで記録しており、全米で急速に普及している。この技術は犯罪捜査に利用される一方、プライバシー侵害の懸念が高まっている。

カリフォルニア州議会、運転免許証を国家データースにアップロードすることに合意

カリフォルニア州議会は、州民の運転免許証情報を連邦の国家データースにアップロードする法案に合意した。この措置は、移民取り締まりや監視の強化に利用される可能性があり、プライバシー擁護団体から強い反発を受けている。

ミシガン州法案、雇用主の勤務時間外の連絡を禁止へ

ミシガン州では、雇用主が従業員に対して勤務時間外に連絡を取ることを禁止する「Workplace Boundaries Act」が提出された。この法案は、ワークライフバランスの改善を目的としており、リモートワークの普及に伴う過剰な接続を規制する動きとして注目される。

OpenAnt: LLMを用いた大規模コードベースからの未知脆弱性検出パイプライン

Knosticの研究者らが、静的解析とLLMを組み合わせた6段階の脆弱性検出パイプライン「OpenAnt」を提案した。外部エントリポイントからの到達可能性分析で解析対象を最大97%削減し、LLMによる敵対的検証とサンドボックス動的検証で未知の脆弱性を効率的に発見する。8つの実プロジェクトで評価され、コマンドインジェクション100%の動的確認率を達成した。

攻撃的AIエージェントツールのセキュリティ検証：agent-phishing手法が97.8%の成功率

Cracken/リヴィウ工科大学の研究者らが、12件のオープンソースAIエージェント型セキュリティツールの脆弱性を体系的に検証した。ハニーポットに配置した脆弱なコードをエージェントに実行させる「agent-phishing」手法で、6種のフロンティアモデルに対して97.8%の成功率を記録。APIキー窃取やホスト完全侵害に至る攻撃経路が実証された。

PushChain、Hackenによる包括的セキュリティ監査を完了し$75K Bug Bountyを開始

PushChainは、SolanaやMetaMaskも監査したHackenによる全スタック監査を完了し、重大な脆弱性ゼロを達成した。EVM Gateway、Solana Gateway、コアコントラクト、ノードインフラすべてが審査され、全レポートが公開された。さらに$75,000のBug Bountyプログラムを開始し、セキュリティを継続的なプロセスとして位置づけている。

📅 セキュリティ週次まとめ

• Security Affairs newsletter Round 583 by Pierluigi Paganini – INTERNATIONAL EDITION — Feedly (Security Affairs) — 週次Security Affairsニュースレター国際版。FBIがロシア情報機関のSignal利用について警告、その他多数のセキュリティ記事を収録。
• 今週の気になるセキュリティニュース - Issue #281 — Feedly (セキュリティは楽しいかね？ Part 2) — ポッドキャスト収録用の週次セキュリティニュースまとめ。KDDIの情報漏洩、WebARENAの不正アクセス、米司法省のHuione Groupアカウント差し押さえ、欧米法執行機関とMicrosoftの連携によるAmadeyボットネット対策などをカバー。

📰 セキュリティニュース (X件)

CVE, 脆弱性

• CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2026-35273) — CISA — CVE-2026-35273（Oracle PeopleSoft Enterprise PeopleTools / 認証欠落の脆弱性）を悪用リストに追加。未認証の攻撃者がシステムを掌握可能。
• CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2026-10520) — CISA — CVE-2026-10520（Ivanti Sentry / OSコマンドインジェクション脆弱性）を悪用リストに追加。リモートの未認証攻撃者がroot権限でRCE可能。
• Found dangerous factory/engineering diagnostic services hiding in a major Android OEM’s production firmware — X (Tirth Parmar) — 大手Android OEMの製品ファームウェアに、root権限でコマンド実行やファイル書込が可能な危険な診断サービスを発見。現在はSELinuxでブロックされているが、攻撃対象として注視される。
• 仙石浩明の日記: 第8世代PC でセキュアブートの証明書が更新されず Windows が起動しなくなったので、手作業で証明書を更新してみた — はてな — 2026年6月以降、セキュアブート用証明書の有効期限が切れ、自動更新されない第8世代PCでWindowsが起動不能に。手動での証明書更新手順を解説。

サイバー攻撃, インシデント・マルウェア

• Data breach exposes up to 14.2 million email logins at six ISPs — Feedly (BleepingComputer) — KDDIが提供するメールシステムに不正アクセスがあり、最大1420万件のログイン情報が漏洩。5つのISPに影響。
• ブッキング・ドットコムの予約情報漏洩か、詐欺誘導多発　カード情報盗難 - 日本経済新聞 — はてな — ブッキングドットコムの予約情報が漏洩し、フィッシング詐欺が多発。クレジットカード情報の盗難被害も発生。

セキュリティツール, 研究

• YARA-X 1.18.0 and 1.19.0 Release — Feedly (SANS Internet Storm Center) — YARA-Xのバージョン1.18.0と1.19.0がリリース。3つの改善と2つのバグ修正を含む。
• Network Analysis: The Complete Guide to CLI Tools, Packet Sniffers, tcpdump, and Wireshark — Feedly (The CyberSec Guru) — CLIツール、tcpdump BPF構文、Wiresharkフィルタ、プロミスキャスモードなど、ネットワーク分析の包括的技術ガイド。
• 🚀#SubCat v1.6.0 is out! — X (Duty) — サブドメイン発見ツールSubCat v1.6.0リリース。DNSブルートフォース、継続的モニタリング、スクリーンショット機能などを追加。
• 🤖️💥 AI Cyber Agent | Escáner con IA que genera payloads dinámicos — X (Es Geeks) — AIを活用した動的ペイロード生成スキャナー。XSS、SQLi、LFI、コマンドインジェクションなどに対応し、WAFバイパス機能も搭載。
• Gain real-world hacking experience by hacking our Hubs — X (HackingHub) — 実際のWebアプリ脆弱性や公開されたペネトレーションテスト、Bug Bountyの知見に基づくCTF形式のラボを提供。
• Advanced Parameter Discovery & Analysis for Bug Bounty Recon — X (NullSecurityX) — Bug Bountyにおける隠しパラメータ発見と攻撃対象拡大の手法を解説する動画。
• Burp Suite Pro harganya $475 setahun. Gila kan. Nemu alternatif gratis, namanya Hetty. — X (Rama) — Burp Suite Proの代替として無料のオープンソースHTTPツールキット「Hetty」を紹介。リアルタイムHTTP/HTTPSインターセプト、リクエスト修正、リプレイ機能を備え、Windows/Linux/macOSで動作。
• 🚀 Updated: Awesome GenAI Security — a curated open-source list for securing LLMs, RAG, MCP & agentic AI — X (Sanjeev (Jassi) 🐿🕵) — LLM、RAG、MCP、エージェントAIのセキュリティを網羅するキュレーションリスト。OWASP、NIST、MITRE ATLASのフレームワークやツール、CTF、レッドチーム演習を収録。
• Claude-Red — 100+ Offensive Security Skills for Claude AI — X (Vivek | Cybersecurity) — Claude用の100以上の攻撃的セキュリティスキルをモジュール化したオープンソースライブラリ。Web攻撃、AD、クラウド、モバイル、リバースエンジニアリングなどをカバー。
• 🤖 CAI: 300+ AI Models. One Cybersecurity Framework. — X (Vivek | Cybersecurity) — 300以上のAIモデルをサポートするサイバーセキュリティAIフレームワーク。OpenAI、Anthropic、DeepSeek、Ollamaなどに対応し、MCPサポート、エージェントワークフロー、ガードレールを提供。
• 🛡️ Awesome Cybersecurity Handbooks – The Ultimate Collection for Red Teamers & Security Professionals — X (Vivek | Cybersecurity) — 情報収集、Webセキュリティ、エクスプロイト、マルウェア開発、OSINT、DFIR、脅威ハンティング、クラウド、AI/MLセキュリティなどを網羅する包括的ハンドブック集。
• 🛡️ AI/ML Pentesting Roadmap 2026 – The Complete Guide to AI Hacking & LLM Security — X (Vivek | Cybersecurity) — AI/MLセキュリティとペネトレーションテストの包括的ロードマップ。LLMセキュリティ、プロンプトインジェクション、ジェイルブレイク、MCPセキュリティ、敵対的MLなどを学習可能。
• OpenAnt: 大規模コードベースから未知の脆弱性を検出する6段階パイプライン — X (📕「マルウエアの教科書」著者 | 吉川孝志) — 静的解析とLLMを組み合わせた脆弱性検出パイプライン。到達可能性フィルタで解析対象を最大97%削減し、8プロジェクトで評価。コマンドインジェクション100%の動的確認率。
• 攻撃的セキュリティ用AIエージェントツールの体系的セキュリティ検証 — X (📕「マルウエアの教科書」著者 | 吉川孝志) — 12件のオープンソースAIエージェントツールの脆弱性を検証。agent-phishing手法で97.8%の成功率を記録し、APIキー窃取やホスト侵害の経路を実証。

クラウド

• 「MFAだけでは防げない」　狙われる企業のクラウド環境、明日からできる対策は？ — Feedly (ITmedia Security) — OAuthトークン窃取、IT管理者へのなりすまし、正規管理ツールの悪用など、クラウド環境を狙う高度化する攻撃とその対策を解説。

Web Application Security, WebSec, OWASP

• Breaking the same Stored XSS twice — before and after the fix — X (MaTaRyA) — 修正後も再発したStored XSSの事例を解説。修正を「解決」とせず、継続的に検証する姿勢の重要性を強調。
• Happy to share a finding that helped secure Meta platforms! — X (zNull) — Instagramのアカウントセンター経由での2FAバイパス脆弱性を発見し、Metaに報告。データ転送フローを悪用した手法の詳細を公開。

Bug Bounty

• 🚨 MoonSale Bug Bounty is now live. — X (MoonSale - Decentralized Launchpad) — MoonSaleがスマートコントラクト、フロントエンド、APIを対象に最大500 USDTのBug Bountyを開始。

PushChain 包括的セキュリティ監査とBug Bounty（6件）

• A blockchain isn't truly tested by how fast it ships, it's tested by how seriously it treats security. — X (MATK!NG`$™ 👑 ♣️) — PushChainのHackenによる独立監査で重大な脆弱性ゼロを達成。監査後の$75K Bug Bounty開始はセキュリティを継続的コミットメントと捉える姿勢を示す。
• Everyone wants the next big blockchain... Would you trust it with your assets? — X (Keng N) — PushChainがエコシステム成長よりもセキュリティを優先し、独立監査と$75K Bug Bountyで信頼を築いていると評価。
• Again big respect to @PushChain for auditing the entire stack with hacken club — X (Rexa) — 全スタック監査とレポート公開、$75K Bug Bountyによるコミュニティ参加型セキュリティの姿勢を称賛。
• gPush @PushChain just showed how security audits should actually work — X (SULTAN) — PushChainがHackenに全スタック（EVM Gateway、Solana Gateway、コアコントラクト、ノードインフラ）を監査させ、全レポートを公開。透明性が信頼を築く。
• Cross-chain infrastructure doesn't how fast or seamless the experience feels but need to know what's happening behind the scenes. — X (Saandyeth) — クロスチェーンインフラのセキュリティ重要性を強調。HackenがEVM/Solanaゲートウェイを審査し、PushChainが$100K Bug Bountyを開始したことを評価。
• big W for @PushChain 🔥 they just dropped a full independent security audit by Hacken — X (Trathoa) — SolanaやMetaMaskも監査したHackenによる全スタック監査で重大脆弱性ゼロ。全レポート公開と$75K Bug Bounty開始を報じる。

プライバシー, 法規制, セキュリティ政策

• California legislature agrees to upload driver's licenses to national database — HN — カリフォルニア州が運転免許証情報を国家データベースにアップロードする法案に合意。移民監視強化の可能性に反発。
• EU to legislate about Chat Control behind closed doors — HN — EUがプライベート通信監視法案「Chat Control」を非公開で立法化しようとしているとの報道。民主的プロセスを欠くとして批判。
• Flock cameras track more than your license plate, and they're spreading fast — HN — Flock Safetyの監視カメラがナンバープレート以上の情報を収集し、全米で急速に拡大。プライバシーへの懸念が高まる。
• Michigan bill would bar employers from requiring after-hours coms with workers — HN — ミシガン州で勤務時間外の雇用主からの連絡を禁止する法案が提出。ワークライフバランス改善を目的とする。
• 北朝鮮の暗号資産窃取を協議　日米韓：時事ドットコム — はてな — 日米韓が北朝鮮の暗号資産窃取の手口を暴くための外交作業部会を開催。サイバー活動への対処を協議。

セキュリティ系の勉強会やイベント、カンファレンス

• BSides Indore Call for Papers — X (Debangshu 🇮🇳🥷) — インドのセキュリティカンファレンスBSides Indoreが発表者を募集。初めての応募も歓迎。

会社ブログ, その他

• IP Crawl — open webcam catalog — はてな — 公開されたWebカメラのカタログサイト。プライバシーへの影響が懸念される。
• 仙石浩明の日記: 第8世代PC でセキュアブートの証明書が更新されず Windows が起動しなくなったので、手作業で証明書を更新してみた — はてな — セキュアブート証明書の有効期限切れによるWindows起動不能問題と手動更新手順。

🤖 AI, 機械学習

AI, 機械学習ニュース (X件)

新モデル, 研究論文

• Reflections on Software Engineering in the Age of AI — HN — AI時代のソフトウェア工学に関する考察。AIが開発プロセスに与える影響と、エンジニアの役割の変化について論じる。
• Measuring LLM system prompt extraction (OWASP LLM07) against ground truth, across 4 models — X (Nicolas Krassas) — 4つのLLMモデルを対象に、システムプロンプト抽出（OWASP LLM07）の耐性を評価した研究。システムプロンプトは秘密ではないと結論づける。

AIツール, サービス, 製品

• I used Claude Code to get a second opinion on my MRI — HN — Claude Codeを用いてMRI画像のセカンドオピニオンを取得した試み。AIの医療応用可能性を示す。
• Claude Certified Architect – Foundations（CCA-F） 資格試験テキスト — Zenn (pakku8914) — AnthropicのClaude関連入門資格「CCA-F」の合格を目指すための日本語学習テキスト。エージェントアーキテクチャ、MCP、Claude Code、プロンプト設計などを網羅。
• Discord × マルチAI会議システムを作った話 ── Gemini・Claude・Codexが一つの会議室で働く構成 — Zenn (sulfura) — Discord上でGemini、Claude、Codexの3つのAIをBotとして同時稼働させるマルチAI会議システムの構築と実装。AutoGen等を使わず低コストで実現。
• 非エンジニアのための業務自動化入門：Claude Code × n8n で「自分の仕事」を承認ゲート付きの仕組に変える — Zenn (yushiyamamoto) — 非エンジニアがClaude Codeとn8nを使って業務を自動化する実践書。全自動ではなく承認ゲートで安全を確保する設計を解説。
• Claude Codeの会話履歴が別のPCに勝手に出てきた——漏洩?どこに保存され、何が同期し、どう止めるか - Qiita — はてな — Claude Codeの会話履歴が別PCに同期される問題を報告。情報漏洩の懸念と同期の仕組、停止方法を検証。

LLM, エージェント実装

• LLMに巨大パズルを解かせるな：ナレッジグラフで「正解の絵」を渡すエージェント設計 — Zenn (knowledge_graph) — LLMに断片的な情報を与えるのではなく、ナレッジグラフで「部分的な正解」を提供するエージェント設計手法を解説。Confluence、Slack、Jiraなどの情報を構造化し、正答率を向上させる。

AI政策, 倫理, 動向

• Google limits Meta's use of its Gemini AI models — HN — GoogleがMetaによるGemini AIモデルの利用を制限したと報じられる。AIモデルを巡る企業間の競争と利用制御の動きとして注目。
• 🚀 Updated: Awesome GenAI Security — a curated open-source list for securing LLMs, RAG, MCP & agentic AI — X (Sanjeev (Jassi) 🐿) — LLM、RAG、MCP、エージェントAIのセキュリティを網羅するキュレーションリスト。OWASP、NIST、MITRE ATLASのフレームワークやツール、CTF、レッドチーム演習を収録。

📌 その他注目技術

その他注目技術ニュース (X件)

ブラウザのアップデート, 新機能

（該当なし）

開発ツール, プラットフォーム

• Bashblog – a single bash script to create blogs — HN — 単一のbashスクリプトでブログを生成するツール。シンプルな静的サイト生成が可能。
• Show HN: DRM-Free Books — HN — DRMフリーの書籍を紹介するサイト。自由な書籍流通を促進する試み。
• The Cost Yagni Was Never About – By Kent Beck — HN — Kent Beckが「YAGNI（You Ain't Gonna Need It）」原則の真のコストについて論じる。ソフトウェア設計における過剰機能の回避とそのトレードオフを解説。

その他

• AMD Strix Halo RDMA Cluster Setup Guide — HN — AMD Strix Haloを用いたRDMAクラスタのセットアップガイド。vLLMツールボックスとの連携を解説。
• DLL that was not present in memory despite not being formally unloaded — HN — 正式にアンロードされていないにもかかわらず、メモリ上に存在しないDLLの奇妙な挙動を解説。Windowsの内部動作に関する技術記事。
• Examining circuit boards from the Space Shuttle's I/O Processor — HN — スペースシャトルのI/Oプロセッサの回路基板を詳細に分析した記事。歴史的ハードウェアのリバースエンジニアリング。
• Programmable Probabilistic Computer with 1M p-bits — HN — 100万pビットのプログラマブル確率的コンピュータに関するarXiv論文。新しい計算パラダイムを提案。

📌 その他採用や組織マネジメント

• Michigan bill would bar employers from requiring after-hours coms with workers — HN — ミシガン州で勤務時間外の雇用主からの連絡を禁止する法案が提出。ワークライフバランス改善を目的とし、リモートワーク時代の労働環境整備として注目。
• Principal Cloud Solutions Architect Learning Path (What is expected at each level) — X (Tech Fusionist) — クラウドソリューションアーキテクトのキャリアパスを5段階で定義。各レベルで必要なスキルセットを詳細に示し、採用やスキル開発の参考となる。

📋 掲載除外リスト

取得状況