デイリーニュースダイジェスト - 2026-07-01

🔒 セキュリティ

📢 サマリー

アフラック生命で約438万人の個人情報漏えいが発生、口座情報約23万人分も含まれ深刻な事態に。CISAはSimpleHelpの認証バイパス脆弱性(CVE-2026-48558, CVSS 9.5)をKEVカタログに追加、既にTaskWeaver等のマルウェア配布に悪用。AppleがiOS 26.5.2/Safariで37件の脆弱性を修正、うち4件はAIツールで発見。Oracle E-Business SuiteのCVE-2026-46817も活発に悪用。AIエージェントのMCPツールポイズニングやコーディングエージェントのシェルインジェクションリスクに関する警告が相次いだ。

📌 注目記事

アフラック生命に不正アクセス、約438万人分の個人情報漏えい　口座情報23万件も

アフラック生命保険の契約者専用サイト等への不正アクセスにより、顧客約438万人分の個人情報が漏えい。うち約23万人分には保険料振替口座情報も含まれる。不正アクセスは6月15日から25日までの10日間にわたり複数回行われており、現在関連システムを停止中。金融庁・警察へ報告済み。

CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2026-48558)

CISAがSimpleHelpの認証バイパス脆弱性CVE-2026-48558（CVSS 9.5）をKEVカタログに追加。OIDC認証フローでIDトークンの暗号署名を検証しない問題により、未認証の攻撃者が偽造トークンでtechnicianセッションを取得可能。TaskWeaverおよびDjinn Stealerマルウェアの配布に悪用が確認されている。

Apple Fixes WebKit Flaws in iOS and macOS, With Help From AI Tools

AppleがiOS/iPadOS 26.5.2、macOS、Safariのアップデートをリリース。37件の脆弱性を修正し、その大半がWebKit関連。注目すべきは、うち4件がOpenAI Codex SecurityやAnthropic Claudeを用いて発見された点。悪用の報告はないが早期更新が推奨される。

Oracle E-Business Suite Flaw CVE-2026-46817 Actively Exploited in the Wild

Oracle E-Business Suiteの重要脆弱性CVE-2026-46817（CVSS 9.8）が野生下で活発に悪用されている。Oracle Paymentsにおける不適切な権限管理と認証の問題で、未認証のリモート攻撃者がシステムを乗っ取る可能性がある。Defused Cyberが攻撃を確認。

Claude Sonnet 5

Anthropicが新モデルClaude Sonnet 5を発表。コーディング、推論、指示追従性能が大幅に向上し、長文コンテキスト処理とツール使用能力が強化された。Claude Science製品も同時発表され、科学研究向けの特化機能を提供する。

Attackers Exploit SimpleHelp CVE-2026-48558 to Deploy TaskWeaver and Djinn Stealer

未知の攻撃者がSimpleHelpのCVE-2026-48558を悪用し、新たに発見されたマルウェアファミリーTaskWeaverとDjinn Stealerを展開している。認証情報、SSHキー、暗号通貨ウォレット、開発ツールを標的とした侵害活動が確認された。

GuardFall Exposes Open-Source AI Coding Agents to Decades-Old Shell Injection Risks

Adversa AIの研究により、主要なオープンソースAIコーディングエージェント11種中10種で、数十年前から知られるシェルのトリックを用いた安全チェック迂回が可能であることが判明。悪意あるリポジトリがサプライチェーン攻撃の経路となり得る深刻なリスク。

Microsoft Warns Poisoned MCP Tool Descriptions Can Make AI Agents Leak Data

Microsoftの新たな研究で、攻撃者がMCPツールのメタデータを汚染することでエージェントの意思決定を誘導し、正規のフローを悪用して企業データを外部に流出させる手口が明らかに。各アクションが正規に見えるため検知が困難で、OWASP Top 10 for Agentic Applicationsに基づく対策ガイダンスが提供された。

Silent Swap Crypto Clipper Uses Fake Google Notes Extension to Replace Wallet Addresses

McAfee LabsがSilent Swapと名付けた暗号通貨クリッパーキャンペーンを確認。偽のGoogle Notesブラウザ拡張機能を通じて、トランザクション実行時にウォレットアドレスを密かに置き換える手口。被害者が気付かないうちに攻撃者のアドレスへ送金させる。

282 iOS AI Apps Leak API Keys and Open AI Proxy Access in Network Traffic Study

444のAIチャットボットiOSアプリを調査した結果、282（約3分の2）がネットワーク通信内でAPIキーやプロキシアクセス情報を平文で露出していた。有償AIサービスへの不正アクセス経路がアプリの通信を監視するだけで判明する深刻な状況。

Progress Kemp LoadMaster Flaw Could Let Attackers Run Root Commands Pre-Auth

Progress Kemp LoadMasterにCVSS 9.8の深刻な脆弱性CVE-2026-8037が発見された。認証なしでAPIに細工したリクエストを送信することで、root権限で任意のコマンドを実行可能。ZDIが報告し、パッチが提供されている。

BlueHammer Vulnerability Exploited in Ransomware Attacks

Microsoft Defenderの脆弱性CVE-2026-33825がパッチリリース前にゼロデイとしてランサムウェア攻撃に悪用されていたことが判明。BlueHammerと名付けられたこの脆弱性は実際の侵害に利用されており、早急なパッチ適用が求められる。

Decades-Old Bash Tricks Expose AI Coding Agents to Supply Chain Attacks

数十年前から知られるBashシェルのトリックにより、主要なオープンソースAIコーディングエージェントの安全策を迂回可能であることが判明。悪意あるリポジトリがサプライチェーン攻撃の経路として利用されるリスクが指摘されている。

New BioShocking Attack Tricks AI Browsers Into Leaking User Credentials

LayerXが発見したBioShocking攻撃手法では、AIブラウザに「ゲームをプレイしている」と信じ込ませることで、ユーザーのログイン認証情報をコピーさせ攻撃者に送信させることが可能。6種のAIブラウザとアシスタントが影響を受ける。

「AIエージェントに認証情報を渡してはならない」　1PasswordがOpenAIと協業

1PasswordがOpenAIのコーディングエージェント「Codex」向けに「1Password Environments MCP Server」を提供開始。Codexがシークレットを保持せず必要なアクセス権のみを取得できる仕組みを実現し、AIエージェントに認証情報を直接渡すリスクを排除する。

📰 セキュリティニュース (78件)

CVE, 脆弱性

• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-48558（SimpleHelp / Authentication Bypass Vulnerability）を悪用リストに追加。OIDC認証フローで署名検証が行われず、未認証の攻撃者が偽造トークンでtechnicianセッションを取得可能。TaskWeaverおよびDjinn Stealerによる悪用を確認。
• GitHub Actions 認証情報ごとのリスクから読み解く、権限昇格パターンとその対策 — Flatt Security Blog — GMO Flatt Securityの佐藤氏によるGitHub Actionsセキュリティ解説シリーズ第2回。GITHUB_TOKENやPAT等の認証情報ごとのリスクを比較し、権限昇格が発生するパターンとその防ぎ方を体系的に整理。
• 本日気になった注意喚起情報（6/30）★ — Fox on Security — Fluentdの深刻な脆弱性（修正版公開）、libssh2の整数オーバーフロー脆弱性（実証コード公開）、GitLabの脆弱性情報など、6月30日時点の注意喚起情報をまとめたセキュリティまとめ。

CVE-2026-48558 (SimpleHelp) 関連（4件）

• June 2026 Apple Updates, (Tue, Jun 30th) — SANS Internet Storm Center — AppleがiOS/iPadOS、macOS、Safariのアップデートを月曜日にリリース。visionOS、watchOS、tvOSのアップデートは今回含まれていない。全製品同時更新が通常のため、今回の一部製品限定は異例。
• Apple Fixes WebKit Flaws in iOS and macOS, With Help From AI Tools — Security Affairs — AppleがiOS、iPadOS、macOS、Safariのセキュリティアップデートを公開。37件の脆弱性を修正し、うち4件はClaudeおよびCodexなどのAIツールを用いて発見されたWebKit関連の脆弱性。
• BlueHammer Vulnerability Exploited in Ransomware Attacks — SecurityWeek — Microsoft Defenderの脆弱性CVE-2026-33825「BlueHammer」がゼロデイとしてランサムウェア攻撃に悪用されていたことが判明。パッチ適用前の野生下での悪用が確認されている。
• Critical SimpleHelp Vulnerability Exploited for Malware Delivery — SecurityWeek — SimpleHelpの深刻な脆弱性CVE-2026-48558がマルウェア配布に悪用されている。攻撃者は認証情報、SSHキー、暗号通貨ウォレット、開発ツールの窃取に注力。
• Attackers Exploit SimpleHelp CVE-2026-48558 to Deploy TaskWeaver and Djinn Stealer — The Hacker News — 未知の攻撃者がSimpleHelpのCVE-2026-48558（CVSS 10.0）を悪用し、新発見のマルウェアTaskWeaverとDjinn Stealerを展開。RMM機能を悪用したファイル転送やスクリプト実行が行われている。
• Progress Kemp LoadMaster Flaw Could Let Attackers Run Root Commands Pre-Auth — The Hacker News — Progress Kemp LoadMasterのCVE-2026-8037（CVSS 9.8）は、認証なしで APIに細工したリクエストを送信することでroot権限での任意コマンド実行が可能。ZDIが報告し修正パッチが提供済み。
• AirDrop and Quick Share Flaws Let Nearby Attackers Trigger Crashes and Bypass Checks — The Hacker News — AirDropとQuick Shareに6件のセキュリティ脆弱性が発見された。無線範囲内の攻撃者がノートPC1台で、事前接続なしにMacやiPhoneの共有サービスをクラッシュさせることが可能。
• Apple、WebKitの脆弱性を修正した「Safari v26.5.2」をmacOS 14 SonomaとmacOS 15 Sequoia向けにリリース。 — はてなブックマーク — AppleがSafari v26.5.2をリリース。OpenAI Codex SecurityやAnthropic Claudeを利用して発見された複数のWebKit脆弱性を修正。macOS 14 SonomaおよびmacOS 15 Sequoia向けに提供。
• iOS26.5.2が配信開始〜37件の脆弱性を修正しWebKit中心 - iPhone Mania — はてなブックマーク — AppleがiOS26.5.2を配信。新機能はなくセキュリティ修正のみ。修正は全37件で大半がWebKitなどWeb関連。悪用の報告はないが更新が推奨される内容。
• ExpressUpdate Agent for Windowsにおける名前付きパイプに対するアクセス制御不備の脆弱性 — 株式会社ラック LAC WATCH — ExpressUpdate Agent for WindowsのCVE-2026-8797は、一般ユーザーがSYSTEM権限で任意コードを実行できる脆弱性。他の脆弱性との組み合わせによる攻撃の恐れがあり、早急な対策が必要。
• Attackers actively exploit the Oracle E-Business Suite flaw CVE-2026-46817 — Security Affairs — Oracle E-Business SuiteのCVE-2026-46817が野生下で活発に悪用されており、未認証のリモート攻撃者がOracle Paymentsを乗っ取る可能性がある。Defused Cyberが攻撃を確認。
• Exploitation of Recent Oracle E-Business Suite Vulnerability Begins — SecurityWeek — Oracle E-Business Suiteの重要脆弱性（CVSS 9.8）の悪用が開始された。未認証の攻撃者がE-Business SuiteのPayments製品を乗っ取る可能性がある深刻な欠陥。
• Oracle E-Business Suite Flaw CVE-2026-46817 Actively Exploited in the Wild — The Hacker News — Oracle E-Business SuiteのCVE-2026-46817（CVSS 9.8）が野生下で活発に悪用。Oracle Paymentsにおける不適切な権限管理と認証の問題で、未認証のリモート攻撃者がシステムを乗っ取る可能性がある。

サイバー攻撃, インシデント・マルウェア

• Phishers Gain Persistence at EU, Asia Hospitality Orgs — Dark Reading — MicrosoftとTrend Microが欧州・アジアのホスピタリティ業界を標的としたフィッシングキャンペーンを確認。悪意あるZIPファイルを用いたマルウェア配布で、ソーシャルエンジニアリングと難読化、ブロックチェーン悪用を組み合わせている。
• Daily記事まとめ（管理職の7割はPW使いまわし、IT-BCPやDMARが標準対策に、日産アメリカがShinnyHuntersに襲われた? ほか） — Fox on Security — 6月30日のセキュリティ関連記事まとめ。管理職の7割がパスワード使い回し、IT-BCPやDMARCが標準対策に、日産アメリカへのShinnyHunters攻撃疑惑などの話題を網羅。
• 未納料金の支払いを装う「PayPay送金詐欺」が2月の22倍以上に、日常的に使われる支払い手段を悪用する狙いか　トビラシステムズ「特殊詐欺・フィッシング詐欺に関するレポート（2026年5月）」 — INTERNET Watch — トビラシステムズの調査レポートによると、PayPay送金詐欺が2月比で22倍以上に急増。日常的に使われる決済手段が詐欺の温床となっており、未納料金支払いを装う手口が横行している。
• 陸自USBからマルウェア検知　防衛省の運用ルール未徹底が明らかに — ITmedia Security — 陸上自衛隊中部方面総監部で使用されていたUSBメモリからマルウェアが検知されていたことが判明。防衛省・自衛隊が義務付けているウイルスチェックが徹底されておらず、発覚に遅れが生じた。
• Nissan Employee Data Breached in Oracle PeopleSoft Hack — SecurityWeek — Oracle PeopleSoftへの攻撃キャンペーンで、標的となった約100組織のうち日産の従業員データが侵害されたことが確認された。確認済み被害組織は少数に留まっている。
• RustDuck Botnet Rebuilds in Rust to Hijack Routers and Servers for DDoS — The Hacker News — 奇安信XLabが2026年2月から追跡しているRustDuckボットネットが、ホームルーターやIPカメラ、Androidボックス、セキュリティの弱いサーバーを乗っ取りDDoS攻撃用ネットワークを構築。Rustで再構築された2段階マルウェア。
• Langflow RCE Exploited to Deploy Monero Miner on Exposed AI App Endpoints — The Hacker News — 攻撃者がLangflowの重大な脆弱性CVE-2026-33017（CVSS 9.3）を悪用し、露出したAIアプリエンドポイントからMonero暗号通貨マイナーを展開。未認証のリモートコード実行が可能な深刻な問題。
• Silent Swap Crypto Clipper Uses Fake Google Notes Extension to Replace Wallet Addresses — The Hacker News — McAfee LabsがSilent Swapと命名した暗号通貨クリッパーキャンペーン。偽のGoogle Notesブラウザ拡張機能がトランザクション実行時にウォレットアドレスを密かに置き換え、被害者の資金を窃取する。
• What the Numbers Say About FIFA 2026 Cyber Risk — The Hacker News — FIFAワールドカップ2026開幕時点で、Check Point Researchにより詐欺インフラが既に構築・展開済みであることが判明。3セクター、少なくとも10言語にわたる計画的な脅威アクターの活動を確認。
• Huntress CEO says threat hunter used 'poor judgment' in alerting ransomware crim about law enforcement probe — The Register - Security — Huntressの脅威ハンターがランサムウェア犯罪者に法執行機関の捜査について警告した問題で、CEOが「不適切な判断」と認める。元従業員はこれを「インサイダー脅威の定義に合致する」と指摘。
• India's central bank mandated use of .bank domains to enhance trust – but its registry leaked sensitive info — The Register - Security — インド中央銀行が信頼性向上のため.bankドメインの使用を義務化したが、そのレジストリのオープンAPIから銀行関係者になりすますために必要な機密情報が漏洩していた問題。
• Four years into Ukraine invasion, Russia turns influence-ops back to US and Europe — The Register - Security — ウクライナ侵攻から4年、ロシアが影響工作の矛先を米国と欧州に再び向けているとの分析。選挙介入や社会分断を狙った情報工作の再活性化が懸念される。
• 三重県委託先の研修サイトで個人情報漏えい、受講生ページに7日間掲載 — サイバーセキュリティ.com — 三重県の研修業務委託先である三重県社会福祉協議会が、研修用ホームページに個人情報を含むエクセルファイルを7日間掲載していたことを発表。
• かながわ福祉サービス振興会、「かなふく評価ガイド」でサイバー攻撃の可能性 — サイバーセキュリティ.com — 公益社団法人かながわ福祉サービス振興会が運営する「かなふく評価ガイド」で第三者からのサイバー攻撃を受けた可能性があると発表。調査を進めている。

アフラック生命 不正アクセス・438万人情報漏えい（6件）

• アフラックに不正アクセス、約438万人分の個人情報漏えい　口座情報23万件も — ITmedia Security — アフラック生命保険の契約者専用サイト等に不正アクセス。約438万人分の個人情報が漏えいし、うち約23万人分には保険料振替口座情報も含まれる。6月15日から25日にかけて複数回の不正アクセスを確認。
• 「アフラック よりそうネット」への不正アクセス、顧客情報約438万件が漏えい — INTERNET Watch — アフラック生命保険が契約者専用サイト「よりそうネット」等への第三者不正アクセスにより顧客個人情報が漏えいしたと発表。漏えい件数は約438万件に上る。
• Hackers Steal Data of 4.38 Million Aflac Japan Customers — Security Affairs — アフラックジャパンの顧客438万人のデータが窃取された。攻撃者は6月15日から25日までの10日間にわたりシステムにアクセスしており、発見までに長期を要した点が問題視される。
• Aflac Japan Data Breach Impacts 4.38 Million — SecurityWeek — アフラックジャパンで438万人規模のデータ侵害が発生。ハッカーは6月15日から25日までの間に保険会社の契約者ポータルに複数回アクセスしており、深刻な個人情報漏えい事案となっている。
• 当社システムに対する不正アクセスの発生および情報漏えいに関するお詫びとお知らせ（PDF） — X リストタイムライン — アフラック生命保険の公式発表PDF。約438万人の顧客情報と約4万店の代理店情報が漏えい。氏名、生年月日、住所、電話番号、証券番号、保障内容、口座情報等が対象。金融庁・警察へ報告済み。
• アフラック生命 約438万人分 個人情報漏えい 一部は口座情報も | NHKニュース — はてなブックマーク — NHKによる報道。アフラック生命の不正アクセス被害で約438万人分の個人情報が漏えい。名前や住所に加え一部は口座情報も含まれる深刻な事態。
• アフラック顧客情報438万人分流出　不正アクセス、23万人分は口座も - 日本経済新聞 — はてなブックマーク — 日本経済新聞の報道。アフラック生命保険で約438万人分の顧客個人情報が流出し、うち約23万人分は銀行口座情報も含まれていた。顧客専用サイト等のシステムに第三者が不正アクセス。

セキュリティツール, 研究

• AI-Generated Workflows Are a Silent Security Disaster — Dark Reading — AIが生成するワークフローが「動作するが誰も理解していない」という危険な状態を生み出していると警告。チームは機能するが制御不能な自動化という深刻な問題に直面している。
• 機械より人をだます方が早い　巧妙化する「二段階フィッシング」にご注意 — ITmedia Security — 手品師の心理誘導のように、攻撃者は人間の心理の隙を突く「二段階式フィッシング」や「ClickFix」など、システムでの検知が困難な手法を用いている。人間を標的とする脅威への対策を解説。
• CalendlyもGoogleも「正規」なのに危険　Microsoftが暴いた多段階侵入キャンペーンの全貌 — ITmedia Security — Microsoftが「認証ロンダリング」と呼ぶ新たな攻撃モデルを解説。Calendly、Google、Cloudflareといった正規サービスを巧みに組み合わせ、電子メール認証をすり抜ける多段階侵入の手口。
• 「Claude Mythos」が突きつける、IT業界の転換点　われわれが置かれている状況を「姉歯事件」から読み解く — ITmedia Security — Claude MythosがもたらすIT業界のパラダイムシフトを建築業界の「姉歯事件」になぞらえて解説。脆弱性放置の時代から安全性確保が義務となる成熟した業界への転換期を説く。
• Decades-Old Bash Tricks Expose AI Coding Agents to Supply Chain Attacks — SecurityWeek — 数十年前から知られるBashシェルのトリックにより、主要なオープンソースAIコーディングエージェントの安全策を迂回可能。悪意あるリポジトリがサプライチェーン攻撃の経路となるリスク。
• The AI Token Costs That Can Break Cybersecurity — SecurityWeek — サイバーセキュリティプラットフォームがエージェントAIを採用する中、トークン消費コスト、デプロイメントアーキテクチャ、AIクレジットのエスカレーションが検出性能とのバランスを脅かす課題として浮上。
• Hacker Conversations: Chris Thompson, Former Head of IBM X-Force Red, Co-Founder of RemoteThreat — SecurityWeek — 10代でゲームコントロールのハッキングからキャリアをスタートし、IBMのX-Force Redチームを創設したChris Thompson氏のインタビュー。ペネトレーションテスト業界の裏側とリモート脅威の未来を語る。
• Microsoft Warns Poisoned MCP Tool Descriptions Can Make AI Agents Leak Data — The Hacker News — Microsoftの研究で、攻撃者がMCPツールの説明を汚染することでAIエージェントの意思決定を誘導し企業データを流出させる手口が判明。各アクションが正規に見えるため検知困難。OWASP Top 10 for Agentic Applicationsに基づく対策を提供。
• GuardFall Exposes Open-Source AI Coding Agents to Decades-Old Shell Injection Risks — The Hacker News — Adversa AIの研究「GuardFall」により、主要なオープンソースAIコーディングエージェント11種中10種で安全チェック迂回が可能と判明。数十年前から公開されているシェルのトリックが有効。
• New BioShocking Attack Tricks AI Browsers Into Leaking User Credentials — The Hacker News — LayerXが発見したBioShocking攻撃は、AIブラウザに「ゲームをプレイ中」と信じ込ませることでユーザー認証情報をコピーさせ攻撃者に送信させる手法。6種のAIブラウザとアシスタントが影響を受ける。
• 282 iOS AI Apps Leak API Keys and Open AI Proxy Access in Network Traffic Study — The Hacker News — 444のAIチャットボットiOSアプリの調査で、282（約3分の2）がLLM APIキーやプロキシアクセス情報を平文で露出していることが判明。アプリの通信監視だけで有償AIサービスへの不正アクセス経路が明らかになる深刻な状況。
• Security researchers tricked LLMs into giving them cocaine recipes by abusing role models for prompt injection — The Register - Security — セキュリティ研究者がロールモデルを悪用したプロンプトインジェクションによりLLMからコカイン製造法を引き出すことに成功。LLMセキュリティの未来を「モグラ叩きとデジャブの合わせ技」と表現。
• OSCPにも役立つ！Kali Linux環境構築（tmux＆ログ管理）を解説 - ラック・セキュリティごった煮ブログ — はてなブックマーク — ラックのデジタルペンテスト部によるOSCP/OSEP受験者向けKali Linux環境構築解説。zshrc設定、tmuxとロギングの効率的な設定方法を紹介。ペネトレーションテスト実務に役立つノウハウ。
• 悪意のあるコマンドをコピーさせてからPCを乗っ取らせる手順を指示してくる悪質な広告が流行…これガチで気をつけて — はてなブックマーク — 「私はロボットではありません」画面の後にWindowsキー+R、貼り付け、Enter実行を指示する悪質広告が流行。認証を装ってPCに悪意あるコマンドを実行させる罠で、DiscordやXアカウント乗っ取りの原因に。
• 「本番データベースが消えた」だけじゃない、AIコーディングエージェントがやらかした暴走“6選” — はてなブックマーク — Docker公式ブログが取り上げたAIコーディングエージェントによる深刻なセキュリティリスク事例6選。本番データベース削除など、ソフトウェア開発現場で実際に起きたAIエージェントの暴走事故を紹介。
• シフトレフトでセキュリティを強化！メリットや導入のポイントとは？ — 株式会社ラック LAC WATCH — シフトレフトの考え方を解説。ソフトウェア開発プロセスの早い段階でテストやセキュリティ対策を実施することで手戻り削減、品質向上、コスト削減につながる。DevOps文脈での導入の進め方を紹介。

クラウド

• Workload Identityを用いたGoogle CloudとAWSの連携 | NHN テコラス Tech Blog — はてなブックマーク — マルチクラウド環境でのAWSとGoogle Cloudの連携に用いるWorkload Identityについて解説。従来のサービスアカウントキーに代わり、外部認証サーバーが発行したIDを用いたセキュアな連携方法を紹介。

Web Application Security, WebSec, OWASP

• Add Testing for Prototype Pollution (WSTG-INPV-22) (#1423) — Commits to wstg:master — OWASP Web Security Testing GuideにPrototype Pollutionテスト（WSTG-INPV-22）が追加された。JavaScriptのプロトタイプ汚染脆弱性の検出手法を標準化する重要な更新。
• Various small wording changes, tweaks and improvements (#1436) — Commits to wstg:master — OWASP WSTGの文言修正と改善。複数の小さな修正を統合し、ドキュメントの品質と一貫性を向上させるメンテナンスアップデート。
• Publish Latest checklists 2026-06-30 (#1438) — Commits to wstg:master — OWASP WSTGの最新チェックリストを2026年6月30日付で公開。Webアプリケーションセキュリティテストの標準的なチェック項目が更新された。
• TryHackMeがOWASP Corporate Supporterに — X キーワード検索 — TryHackMeがOWASPのコーポレートサポーターになったことを発表。実践的でアクセスしやすいセキュリティ教育がより安全なシステム構築に貢献するとし、OWASPのミッションとの親和性を強調。
• OWASPがTryHackMeに感謝 — X キーワード検索 — OWASP FoundationがTryHackMeのコーポレートサポーター就任に感謝を表明。TryHackMeはブラウザ上で動作するハンズオンのサイバーセキュリティトレーニングプラットフォームで数百万人が利用。

Bug Bounty

• How LLMs are changing Bug Bounty: An interview with Rhynorater — YesWeHack Blog — Rhynoraterへのインタビューで、LLMがBug Bountyハンティングをどう変えているかを探る。Claude Codeがキャリア最高のバグ発見に貢献した事例を紹介し、AIを活用した新しい脆弱性探索ワークフローを解説。
• YesWeHack: LLMがBug Bountyをどう変えているか — X キーワード検索 — YesWeHackがRhynorater氏へのインタビューを紹介。AIワークフローとClaude Codeがキャリア屈指のバグ発見にどう貢献したかを詳述。Bug BountyハンティングにおけるLLM活用の最前線。
• Katie Paxton-Fear: Bug Bountyの将来性 — X キーワード検索 — Bug Bountyが依然として有効であることの最大のシグナルと指摘。長期的な展望については不確かとしつつも、現時点でのBug Bountyの価値を評価する投稿。
• Apple Bug Bountyチームが採用中 — X キーワード検索 — AppleのBug BountyチームがProduct Security Engineerを募集中。複雑な脆弱性レポートを大規模に処理する業務で、脆弱性分析の経験者を求めている。

DevSecOps, CI/CD

• pinactを利用して簡単にGitHub Actionsにおけるサプライチェーン攻撃被害のリスクを軽減する - RevComm Tech Blog — はてなブックマーク — GitHub Actionsにおけるサプライチェーン攻撃リスク軽減のため、pinactとaquaを活用したパッケージバージョン固定とチェックサム検証の手法を解説。パッケージエコシステムを標的とした攻撃が増加する中での実践的対策。
• サプライチェーン攻撃に怯えたくないので、パッケージを「寝かせる」プロキシを自作した - エムスリーテックブログ — はてなブックマーク — エムスリーのセキュリティチームが、Shai-HuludやTrivy/axios事件を教訓にパッケージを一定期間「寝かせる」プロキシを自作。サプライチェーン攻撃対策として、新規バージョンの即時導入を避ける実践的アプローチ。

プライバシー, 法規制, セキュリティ政策

• 日経225企業の96％が情報漏えいを経験　最も漏えい率の高い業界は — ITmedia Security — 調査によると日経225構成企業の96.4％が過去3年間に情報漏えいを経験。業界別で最大23倍の差があり、漏えい率が最も高い業界が明らかに。企業規模を問わない深刻な実態が浮き彫りに。
• Supreme Court Rules Constitutional Privacy Protections Apply to Cellphone Users' Location History — SecurityWeek — 米連邦最高裁がジオフェンス令状によるGoogleからの位置情報取得は憲法修正第4条の「捜索」に当たると判断。銀行強盗事件を契機とした歴史的判決で、携帯電話ユーザーの位置情報プライバシーに憲法保護が適用されることに。
• The KIDS Act Just Passed the House – Here's Every Detail about it — The CyberSec Guru — KIDS Act（H.R. 7757）が下院を267対117で通過。年齢確認、暗号化ルール、チャットボット規制など、子どもオンライン安全に関する包括的法案の詳細を解説。
• Microsoft builds a bouncer to keep bots out of Teams meetings — The Register - Security — MicrosoftがTeams会議からボットを締め出すバウンサー機能を開発。ISVが自社ボットを許可リストに登録できる仕組みで、望ましいボットは常にアクセス可能に。会議セキュリティの新たなアプローチ。
• 米最高裁、Googleからの位置情報取得は「捜索」と判断──「ジオフェンス令状」めぐる歴史的判決 — はてなブックマーク — 米連邦最高裁がジオフェンス令状によるGoogleからの位置情報取得を憲法上の「捜索」と判断。短時間データでも第三者IT企業経由でも令状が必要との画期的判断。
• ランサムウェア被害の約6割は中小企業　セキュリティ対策は何から始めるべきか (マイナビニュース) — はてなブックマーク — 警察庁統計でランサムウェア被害の約6割が中小企業。2026年度のサプライチェーン対策強化の流れを受け、人材・予算制約のある中小企業が何から対策すべきかを解説。
• あなたのパスワードポリシー、まだ8文字＋定期変更ですか？ NIST 800-63-4 の新常識2025 — はてなブックマーク — NIST SP 800-63-4最終版に基づくパスワードポリシーの新常識を解説。8文字以上・定期変更・複雑性要件は時代遅れで、長さ優先・定期変更不要・漏洩確認重視への転換を推奨。
• 欧州のデジタルIDウォレットがGoogleとAppleの安全サービスに依存 — はてなブックマーク — 欧州のデジタルIDウォレットがGoogleとAppleの安全サービスに依存している実態を調査。主権的デジタルインフラを目指す欧州の政策と、実際の技術依存のギャップを指摘。

セキュリティ系の勉強会やイベント、カンファレンス

• 2026年度上期 未踏アドバンスト事業公募結果を公開しました — IPA 新着情報 — IPAが2026年度上期の未踏アドバンスト事業の公募結果を公開。優れたIT人材の発掘・育成を目的とした事業の採択プロジェクトが発表された。
• プロフェッショナルデジタルスキル（マネジメント）試験（仮称）とプロフェッショナルデジタルスキル（システム）試験（仮称）のシラバス案を公表しました — IPA 新着情報 — IPAが2027年度開始予定の新試験制度のシラバス案を公開。プロフェッショナルデジタルスキル試験のマネジメント領域とシステム領域の2区分について、試験範囲の詳細が明らかに。
• Open Data Spaces (ODS)の動画「Part 1: Data is Eating the World」を公開しました — IPA 新着情報 — IPAがOpen Data Spacesに関する動画を公開。データが世界を席巻する現状をテーマに、オープンデータの可能性と課題を解説するコンテンツ。
• 【外部講演情報更新】7月3日、9月10日開催 TrendAI Spark 2026 The Intelligence Shift –AIセキュリティの最前線に迫る– — IPA 新着情報 — IPAの外部講演情報を更新。TrendAI Spark 2026にてAIセキュリティの最前線に関する講演が7月3日と9月10日に開催される。
• JNSA セキュリティ カフェ 2026 #1 — X リストタイムライン — JNSA教育部会主催の学生・学校関係者限定オンラインイベント「セキュリティカフェ2026 #1」が7月2日18:00～19:30に開催。セキュリティ業界への理解を深める機会。
• JNSA OTセキュリティWG 成果物公開 — X リストタイムライン — JNSA調査研究部会OTセキュリティWG SWG2が「OTセキュリティに関する国内外の主要ガイドラインの調査報告書」を公開。産業用制御システムのセキュリティ対策に関する包括的調査。

会社ブログ, その他

• 欧州に見る次世代決済戦略｜MPE2026参加レポート — NRIS_ブログ — NRIセキュアが決済カンファレンスMPE2026の現地レポートを公開。AIエージェントが自律的に決済を行う「Agentic Commerce」の台頭と、Visa/Mastercardに依存しない「脱・米国依存」の動きを解説。
• Quantifind Raises $200 Million for AI-Native Risk Intelligence — SecurityWeek — QuantifindがAIネイティブのリスクインテリジェンスプラットフォーム拡大のため2億ドルを調達。国際展開の加速とローカライズされたリスクインテリジェンス機能の強化を計画。
• 約40年のノウハウを社外へ、パナソニックがセキュリティ技術のサービス化を本格化 — はてなブックマーク — パナソニックが約40年にわたって培ってきたセキュリティ技術をサービス化し、社外提供を本格化。これまで社内限定だったノウハウを広く展開する新たな事業戦略。
• ソリトン、「FileZen S」に個人情報検知機能を追加　マイナンバーやクレカ番号の誤送信を防止 — はてなブックマーク — ソリトンがファイル転送製品「FileZen S」に個人情報検知機能を追加。マイナンバーやクレジットカード番号の誤送信を防止し、企業のコンプライアンス対応を支援。
• 「想像以上にエグかった」わずか6分でインプレッションが100万超え…『報道特集』スマホ農場の実態 — はてなブックマーク — TBS「報道特集」がSNSの閲覧数を操作する「スマホ農場」の実態を報道。選挙をも歪めるデマや誹謗中傷を増幅させる仕組みに危機感が高まっている。
• 【エンジニアが警告】「セコム」を名乗る不審な訪問と請求への対処法：詐欺を見破る技術的防衛術 — はてなブックマーク — 「セコム」を名乗る不審な訪問や高額な機器交換費用の請求に対する技術的防衛術を解説。防犯ステッカーを口実にした詐欺の手口と見破り方をエンジニア視点で紹介。

🤖 AI, 機械学習

AI, 機械学習ニュース (19件)

新モデル、研究論文

• Claude Sonnet 5 — HackerNews — AnthropicがClaude Sonnet 5を発表。コーディング、推論、指示追従性能が大幅に向上し、長文コンテキスト処理とツール使用能力が強化された新モデル。
• Claude Science — HackerNews — AnthropicがClaude Science製品を発表。科学研究向けに特化した機能を提供し、研究者のワークフローを支援する。
• LongCat-2.0, a large-scale MoE model with 1.6T total and 48B Active — HackerNews — 総パラメータ1.6T、アクティブパラメータ48Bの大規模MoEモデルLongCat-2.0が発表された。効率的な推論と高い性能を両立するアーキテクチャを採用。
• Nano Banana 2 Lite — HackerNews — Google DeepMindが画像生成向け軽量モデルGemini Image Flash Lite（Nano Banana 2 Lite）をリリース。軽量かつ高速な画像生成を実現する新モデル。
• PHOTONはTransformerを超えるのか？推論効率から見る新アーキテクチャの現在地 — Zenn (LLM) (nexta_) — 富士通の新LLMアーキテクチャ「PHOTON」を解説。Transformerと比較して最大475倍のマルチクエリ性能を発揮し、条件次第でTPMが最大1000倍になるとの主張を検証。
• 手術不要で脳活動から文章を読み取るAIモデル「Brain2Qwerty v2」がMetaによって開発される — はてなブックマーク — Metaが外科手術不要で脳活動からテキストを読み取るAIモデル「Brain2Qwerty v2」を開発。侵襲的手法と同等のテキスト予測精度を達成し、非侵襲的BCIに新たな可能性。

AIツール, サービス, 製品

• Vercel Functions解説｜パッケージ上限が5GBに拡大、AI/MLデプロイの壁が崩れた理由 — AI Heartland — Vercel Functionsのパッケージサイズ上限が最大5GBに拡大。従来の250MB制限では不可能だったPyTorch、ffmpeg、Chromium、モデル重みのサーバーレス関数同梱が可能に。
• Claude Code is steganographically marking requests — HackerNews — Claude Codeがリクエストにステガノグラフィ的にマーキングを施していることが発見された。AI生成コードの追跡可能性に関する新たな議論を提起する発見。
• Zluda 6 release (run unmodified CUDA applications on non-Nvidia GPUs) — HackerNews — ZLUDA 6がリリースされ、未修正のCUDAアプリケーションをNVIDIA以外のGPUで実行可能に。AMD GPUなどでのCUDA互換性を実現する重要なアップデート。
• 「AIエージェントに認証情報を渡してはならない」　1PasswordがOpenAIと協業 — ITmedia Security — 1PasswordがOpenAIのCodex向けに「1Password Environments MCP Server」を提供開始。AIエージェントがシークレットを保持せず必要な権限のみを得られる仕組み。
• エージェントOS化するClaude CodeをOS機能との類推などで理解していく — Zenn (LLM) (uehaj) — Claude CodeをエージェントアプリのOSと見立て、fork、branch、rewind、サブエージェント起動などの機能をOSのプロセス生成やgit操作と類推して整理する解説。
• 【AI SOC構築 #0】自律AIエージェント開発入門 — フレームワークを使わず、仕組みから作る — Zenn (security) (12ban) — ハニーポットとSIEMで収集した攻撃データをAIに自律分析させた実験を紹介。AIが自ら問い合わせを組み立てSSH侵入攻撃を発見した事例から、フレームワークに依存しないAIエージェント開発の基礎を解説。
• 名刺の手入力を撲滅したくて、社内向け名刺OCRのCLIツールを作成した — Zenn (security) (solvio) — Gemini APIを活用した社内向け名刺OCR CLIツールの開発事例。外部サービスにデータを渡さず、社内完結で名刺情報をデジタル化しCRM連携用CSVを出力するツールの設計と実装を紹介。
• 【未来クライム】アドバンス第2回 — AIでWebページ・簡単ツールを作る — Zenn (AI) (is0629sy) — 未来クライム第4期アドバンスコースの教材。JavaScript基礎、DevToolsによるデバッグ、AIを活用した簡単なWebアプリ制作に取り組む教育コンテンツ。

LLM, エージェント実装

• AIに毎回1回ずつ頼んでいませんか？Claudeの『ループ』入門🔁 — Zenn (LLM) (mochitec_tech) — AnthropicエンジニアBoris Cherny氏の「ループエンジニアリング」概念を解説。1回のプロンプトで完結させるのではなく、ループを書いてClaudeに継続的に作業させる新しいAI活用法を紹介。
• Microsoft Threat Intelligence: MCPツールポイズニング — X キーワード検索 — MicrosoftがエンタープライズAIエージェントのMCPツールを標的とした新たな攻撃パターンを解説。汚染されたメタデータがエージェントの意思決定を誘導し、正規フローを悪用してデータを流出させる手口を分析。

AI政策, 倫理, 動向

• Tell HN: Installing Cursor on iOS irreversibly changes your privacy settings — HackerNews — iOSにCursorをインストールするとプライバシー設定が不可逆的に変更されるという報告。AIエディタのインストールが端末のプライバシー設定に与える影響について注意喚起。
• Amazon Seller Reveals Rare Glimpse of Shadow Bribery Market — HackerNews — Amazonの社内従業員へのアクセスを販売する闇市場の実態に迫る調査報道。AI・ビッグデータ時代における内部脅威と企業アクセス管理の脆弱性を浮き彫りに。

📌 その他注目技術

その他注目技術ニュース (10件)

ブラウザのアップデート, 新機能

• スマホのダークモード、Androidでは約4分の3が「常時オン」だと判明【やじうまWatch】 — INTERNET Watch — Androidユーザーの約4分の3がダークモードを常時オンにしていることが判明。圧倒的な普及率に注目が集まっている。

開発ツール, プラットフォーム

• Looking Ahead to Postgres 19 — HackerNews — SnowflakeがPostgreSQL 19の新機能とベータ版を紹介。次期バージョンで導入予定の機能を先取りして解説し、データベース技術の進化を展望する。
• WhatsApp、電話番号なしで相手とやり取りするためのユーザー名の予約受付を開始【やじうまWatch】 — INTERNET Watch — WhatsAppが電話番号なしで新規相手とやり取りできるユーザー名の予約受付を開始。プライバシー向上と利便性の両立を図る新機能。
• あと半年！ どうする？ どうやる？ 中小企業のための「Windows Server 2016」サポート終了（EoS）ガイド — INTERNET Watch — Windows Server 2016のサポート終了（2027年1月12日）まであと半年。中小企業向けに移行計画の立て方と具体的な対応手順を解説するガイド。

その他

• Memory Safe Context Switching — HackerNews — メモリ安全なコンテキストスイッチングに関する研究。システムプログラミングにおけるメモリ安全性を確保する新しいアプローチを提案。
• I built a mmWave material classification radar — HackerNews — ミリ波を用いた材料分類レーダーを自作したプロジェクト。電波の反射特性から物体の材質を識別する技術の実験的実装を紹介。
• Xsnow "protestware" in Debian — HackerNews — Debianに含まれるXsnowパッケージに「protestware」が仕込まれていた問題。政治的メッセージをソフトウェアに埋め込む行為の影響とコミュニティの対応を報告。
• NICTら、都市の既設光通信インフラで世界新記録となる450Tbpsの大容量伝送に成功 — INTERNET Watch — NICTを中心とする国際共同研究グループが、ロンドンの既設光ファイバーを用いて450Tbpsの大容量伝送実験に成功。既存インフラでの伝送容量世界記録を更新。
• NTTデータとダイキン、AIを活用したデータセンター冷却最適化ソリューションの共同検証を開始 — INTERNET Watch — NTTデータとダイキン工業が、AIを活用してサーバー内部の熱状態を予測するデータセンター向け次世代冷却最適化ソリューションの共同検証を7月より開始。
• 危険なモバイルバッテリーの扱い、「リコール対象品か確認したことがない」が18％～INFORICH調査 — INTERNET Watch — CHARGE SPOT運営のINFORICHがNITE監修で実施したモバイルバッテリーに関するアンケート結果。リコール対象品の確認をしたことがない回答者が18％に上るなど安全意識の低さが明らかに。

📌 その他採用や組織マネジメント

• 期待が部下の主体性を奪う？教育者・鳥羽和久と考える「人が育つ職場」 — SmartHR Mag. — 「丁寧に教えなければ」という熱心な関わりがかえって部下の主体性を奪う可能性を指摘。教育者・鳥羽和久氏と、褒めるより驚く関わり方、先回りしない育成、余白とノイズの効用から「人が育つ職場」を考察。
• 公表して終わりにしない。男女間賃金格差の解消を「人材活躍」の前提に — SmartHR Mag. — 2026年4月から101人以上の企業に拡大された男女間賃金差異の公表義務化を受け、「女性活躍」から「人材活躍」へと視点を広げ、賃金格差解消を経営の前提とする考え方を日本総合研究所の小方尚子氏と考察。
• We Are the Last People Who Know How It Works — HackerNews — 複雑化するシステムの中で「仕組みを理解している最後の人々」となりつつあるエンジニアの危機感を綴ったエッセイ。技術継承と組織的知識管理の重要性を訴える。
• The labor share of income in the US is at its lowest post-war level — HackerNews — 米国の労働分配率が戦後最低水準にあるとのニューヨーク連銀の分析。COVID後における労働所得の減少傾向をデータで示し、雇用市場と報酬体系への影響を考察。

📋 掲載除外リスト

取得状況