デイリーニュースダイジェスト - 2026-07-02

🔒 セキュリティ

📢 サマリー

CISAがUbiquiti UniFi OSやLantronix製品の脆弱性4件を悪用リストに追加。Adobe ColdFusion/Campaign ClassicにCVSS 10.0の脆弱性7件が発見され緊急パッチが公開された。Azure CLIへの8,100万回超の大規模パスワードスプレー攻撃が確認され、Progress Kemp LoadMasterのRCE脆弱性も活発に悪用されている。国内ではアフラックの約438万人分情報漏えい、加賀ソルネットの約17万件流出、武蔵野大学のランサムウェア感染などインシデントが相次いだ。FeliCaの任意ノード鍵特定可能な脆弱性も公表され、AIコーディングエージェント向けスキルレジストリの大規模監査ではバックドア混入が確認された。

📌 注目記事

Adobe、ColdFusionとCampaign ClassicでCVSS 10.0の脆弱性7件を修正
https://thehackernews.com/2026/07/adobe-patches-7-cvss-100-flaws-in.html

AdobeがAdobe ColdFusionとAdobe Campaign Classicに関する複数の最大深刻度の脆弱性を修正するパッチを公開した。ColdFusionの脆弱性は任意コード実行、特権昇格、任意ファイルシステム読み取り、セキュリティ機能バイパスにつながる可能性がある。影響を受けるバージョンを使用している組織は早急なパッチ適用が強く推奨される。

Azure CLIへの大規模パスワードスプレー攻撃：8,100万回超のログイン試行を観測
https://thehackernews.com/2026/07/azure-cli-password-spray-hits-at-least.html

Huntressの研究者が、ホスティングプロバイダLSHIYに関連するIPv6アドレス範囲からの大規模な自動パスワードスプレー攻撃を追跡している。6月12日以降、少なくとも78のMicrosoftアカウントが侵害され、64組織に影響が及んでいる。攻撃はAzure CLIを標的としており、組織は多要素認証の強制とログ監視の強化が求められる。

Progress Kemp LoadMasterのRCE脆弱性が活発に悪用
https://thehackernews.com/2026/07/latest-progress-kemp-loadmaster-pre.html

eSentireの脅威対応チームが、CVE-2026-8037（CVSS 10.0）の活発な悪用試行を確認した。この脆弱性はProgress Kemp LoadMasterの認証前リモートコード実行を許す深刻なもので、早急なパッチ適用が必要。すでに実環境での攻撃が観測されており、影響を受ける組織は直ちに対応すべきである。

Linuxカーネルの特権昇格脆弱性：PoC公開でroot奪取リスクが高まる
https://atmarkit.itmedia.co.jp/ait/articles/2607/01/news041.html

Linuxカーネル2.6系から7.1系に、一般ユーザー権限から管理者権限を取得される深刻な脆弱性が発見された。すでにPoCが公開されており、主要ディストリビューションでroot権限取得が確認されている。広範囲のシステムに影響するため、各ディストリビューションのセキュリティアップデート適用が急務となっている。

FeliCaに任意ノードの鍵特定が可能な脆弱性が公表
https://blog.nyaa.ws/2026/07/felica-の脆弱性公表について/

ソニー製FeliCa RC-S915を含むFeliCa Standard製品群に、任意ノードの鍵を特定できる脆弱性が発見された。発見者チームによる声明では、FeliCa Standard製品全般に影響する可能性が指摘されており、決済・交通系ICカードのセキュリティに重大な懸念をもたらす内容となっている。

AI生成のブラウザランサムウェアがWindowsとAndroidで発見される
https://thehackernews.com/2026/07/ai-generated-browser-ransomware-abuses.html

DeepSeekを用いて生成された新たなマルウェアが、Chromium APIを悪用しブラウザ内で完結するランサムウェア技術を構築したことが報告された。研究者は「非現実的なブラウザマルウェアの概念と実際のブラウザ機能」を組み合わせた新たな攻撃経路として警戒を呼びかけている。

AI幻覚ドメインを悪用する「Phantom Squatting」攻撃が登場
https://thehackernews.com/2026/07/phantom-squatting-uses-ai-hallucinated.html

LLMが幻覚として生成する実在しないドメイン名を攻撃者が先回りして登録し、フィッシングページやマルウェア配布に悪用する「Phantom Squatting」と呼ばれる新たな攻撃手法が報告された。Palo Alto NetworksのUnit 42が命名し、AI時代のサプライチェーンリスクとして注意を促している。

アフラック、不正アクセスで契約者約438万人分の情報が漏えい
https://cybersecurity-jp.com/news/114698

アフラック生命保険の契約者向けサイト「アフラック よりそうネット」などが第三者による不正アクセスを受け、契約者約438万人分の個人情報が漏えいした。同社は2026年6月30日に発表し、金融庁からも報告徴求命令を受ける事態となっている。

Cursor（AIコードエディタ）にサンドボックス脱出の脆弱性2件
https://thehackernews.com/2026/07/critical-cursor-flaws-could-let-prompt.html

Cato AI LabsがCursorに2件の脆弱性を発見し「DuneSlide」と命名した。単一のプロンプトでエディタのサンドボックスから脱出し、開発者のPC上で任意コマンドを実行できる。クリックや承認ボックスを必要としない極めて危険な設計上の問題で、AIコードエディタのセキュリティに警鐘を鳴らす内容である。

Apple「Hide My Email」に実メールアドレス漏洩の脆弱性
https://easyoptouts.com/guides/apple-hide-my-email-is-leaking-email-addresses

Appleのプライバシー保護機能「Hide My Email」に、実際のメールアドレスが露出する脆弱性が存在することが発覚した。2025年6月にAppleに報告されたが1年以上未修正のままで、現在も悪用可能な状態にあるとThe CyberSec Guruが技術的詳細を公開している。

Metasploit生みの親HDムーア氏が語るAI時代のサイバー脅威と防御
https://atmarkit.itmedia.co.jp/ait/articles/2607/01/news014.html

ペネトレーションテストフレームワークMetasploitの創始者であり、現在runZeroのCEOを務めるHDムーア氏がインタビューに応じた。AIによる攻撃の高速化・複雑化、脆弱性のロングテール化が進行する中、防御側は資産の可視化と継続的な対応の自動化に注力すべきと指摘している。

Citrix NetScalerに任意ファイル読み取りとDoSの脆弱性6件
https://thehackernews.com/2026/07/citrix-patches-six-netscaler-flaws.html

CitrixがNetScaler ADCおよびNetScaler Gatewayに影響する6件の脆弱性を修正するセキュリティアップデートを公開した。HTTP/2 Bombと呼ばれる新しいDoS攻撃や、CitrixBleedに類似した情報漏洩の脆弱性が含まれており、早急な対応が推奨される。

BlueHammer脆弱性（CVE-2026-33825）がランサムウェア攻撃で悪用される
https://securityaffairs.com/194577/security/cisa-warns-bluehammer-flaw-is-now-exploited-in-ransomware-attacks.html

Microsoft Defenderを介してSYSTEM権限を取得できるBlueHammer脆弱性が、PoC段階から実際のランサムウェア攻撃に移行したとCISAが確認した。攻撃者はこの脆弱性を武器化し、すでに実環境での侵害活動に利用している。

オープンソースAIエージェント11種中10種にシェルインジェクション脆弱性
https://securityaffairs.com/194546/ai/guardfall-flaw-hits-10-of-11-popular-open-source-ai-agents.html

Adversa AIが調査レポート「GuardFall」を公開し、主要なオープンソースAIコーディングエージェント11種のうち10種にシェルインジェクション脆弱性が存在することを明らかにした。AIエージェントがコマンドフィルタを実装しているにもかかわらず、攻撃者がこれをバイパスできる致命的な欠陥である。

📅 セキュリティ週次まとめ

• DEW #161 - Attack Paths Outside the Critical Path, GuardDog 3.0, Detection Chokepoints | Infosec drama — Detection Engineering Weekly — クリティカルパス外の攻撃経路分析、GuardDog 3.0リリース、検出のチョークポイント、情報セキュリティ界隈のドラマをまとめた週次レポート。
• 本日気になった注意喚起情報（7/1）★ — Fox on Security — ISP向けメールシステムアカウント乗っ取り注意喚起、SimpleHelp脆弱性の悪用確認、各種JVN情報など、国内注意喚起情報をまとめた定期更新記事。
• Weekly Report: Red Hat Ansible Automation Platformに権限チェックの欠如の脆弱性 — JPCERT/CC — Red Hat Ansible Automation Platformの権限チェック欠如を含む週次脆弱性レポート。Google Chrome、Jenkinsプラグイン、GitLab、pgAdmin、Fortinet製品の認証情報漏えいに関する注意喚起も掲載。

📰 セキュリティニュース (44件)

CVE, 脆弱性

Adobe ColdFusion/Campaign Classic CVSS 10.0脆弱性関連（2件）

• Adobe Patches Critical ColdFusion, Campaign Classic Vulnerabilities — SecurityWeek — AdobeがColdFusionとCampaign Classicの複数の脆弱性を修正。うち7件がCVSS 10.0の最大深刻度で、任意コード実行につながる可能性がある。
• Adobe Patches 7 CVSS 10.0 Flaws in ColdFusion and Campaign Classic — The Hacker News — Adobe ColdFusionおよびCampaign ClassicにCVSS 10.0の脆弱性7件が発見され、任意コード実行、特権昇格、任意ファイル読み取り、セキュリティ機能バイパスにつながる深刻な問題として修正パッチが公開された。

Citrix NetScaler複数脆弱性関連（2件）

• Citrix Patches NetScaler Vulnerabilities, Including New 'HTTP/2 Bomb' Attack — SecurityWeek — CitrixがNetScalerの6件の脆弱性を修正。HTTP/2 Bomb攻撃やCitrixBleed型情報漏洩バグを含み、早急な対応を要請。
• Citrix Patches Six NetScaler Flaws Allowing File Read and Denial-of-Service — The Hacker News — CitrixがNetScaler ADCおよびGatewayに関する6件の脆弱性を修正。任意ファイル読み取りやDoSを引き起こす可能性があり、管理者は直ちにアップデートを適用する必要がある。

Cursor AIコードエディタ脆弱性（2件）

• Critical Cursor Flaws Could Let Prompt Injection Escape Sandbox and Run Commands — The Hacker News — Cato AI LabsがCursorにサンドボックス脱出を許す2件の脆弱性「DuneSlide」を発見。単一プロンプトで任意コマンド実行が可能で、AIコードエディタの新たな脅威を示す。
• GuardFall Flaw Hits 10 of 11 Popular Open-Source AI Agents — Security Affairs — Adversa AIがオープンソースAIエージェント11種中10種にシェルインジェクション脆弱性を発見。コマンドフィルタをバイパスできる致命的欠陥として「GuardFall」と命名された。
• CISA Adds Four Known Exploited Vulnerabilities to Catalog — CISA — CVE-2025-67038（Lantronix EDS5000 / コードインジェクション）、CVE-2026-34910（Ubiquiti UniFi OS / 不適切な入力検証）、CVE-2026-34909（Ubiquiti UniFi OS / パストラバーサル）、CVE-2026-34908（Ubiquiti UniFi OS / 不適切なアクセス制御）を悪用リストに追加。
• Linuxカーネル2.6～7.1系に重大な脆弱性　PoC公開で高まるroot奪取リスク — ITmedia Security — Linuxカーネルに一般ユーザーからroot権限取得を許す深刻な脆弱性が発見され、PoCが公開された。主要ディストリビューションで影響が確認されており、広範囲なシステムに早急なアップデートが必要。
• 「Excelを開くだけ」でコード実行　Officeの脆弱性を悪用する攻撃手口を解説 — ITmedia Security — SentinelOneがExcelの深刻な脆弱性を分析。攻撃者はメールに添付されたExcelファイルを開かせるだけでPCを乗っ取ることが可能で、防御側が監視すべきポイントを技術的に解説。
• CISA Warns BlueHammer Flaw Is Now Exploited in Ransomware Attacks — Security Affairs — CVE-2026-33825（BlueHammer）がMicrosoft Defenderを介したSYSTEM権限取得を可能にし、PoC段階から実際のランサムウェア攻撃に移行したとCISAが警告。
• Apple Patches Dozens of Vulnerabilities Across iOS, macOS, and Safari — SecurityWeek — AppleがiOS、macOS、Safari向けに数十件の脆弱性修正を公開。WebKitやカーネル、WebRTC、Web Extensionsなど広範囲のコンポーネントに影響し、全ユーザーにアップデートを推奨。
• Progress Kemp LoadMaster Pre-Auth RCE Flaw Faces Active Exploitation Attempts — The Hacker News — CVE-2026-8037（CVSS 10.0）がProgress Kemp LoadMasterで活発に悪用されている。認証前RCEを許す深刻な脆弱性で、eSentire TRUが悪用試行を確認。
• Apple's Hide My Email has a Vulnerability in it and the company has known for over a year — The CyberSec Guru — AppleのHide My Email機能に実アドレス露出の脆弱性が2025年6月に報告されたが未修正。技術的詳細が公開され、依然として悪用可能な状態にある。

サイバー攻撃, インシデント・マルウェア

Azure CLIパスワードスプレー攻撃関連（3件）

• Azure CLI Targeted in LSHIY Password Spray Campaign Across 64 Orgs — Security Affairs — ホスティングプロバイダLSHIYからの8,100万回以上のログイン試行により78アカウントが侵害され、64組織に影響が及んだ大規模パスワードスプレー攻撃をHuntressが追跡。
• Massive Password Spray Campaign Targeting Azure CLI — SecurityWeek — ホスティングプロバイダLSHIYに関連するシステムから8,100万回以上のログイン試行が観測された大規模パスワードスプレー攻撃。Azure CLIを標的とし、複数組織でアカウント侵害が確認された。
• Azure CLI Password Spray Hits at Least 78 Microsoft Accounts in 81M+ Attempts — The Hacker News — HuntressがLSHIYのIPv6アドレス範囲からAzure CLIへの大規模自動パスワードスプレー攻撃を確認。8,100万回超の試行で78アカウントが侵害され、全組織へのMFA強制が推奨される。

ChocoPoCs：脆弱性研究者を狙うトロイの木馬化エクスプロイト関連（2件）

• Don't eat the ChocoPoCs! How vulnerability researchers were repeatedly targeted by trojanised exploits — YesWeHack Blog — 脆弱性研究者自身がトロイの木馬化されたエクスプロイトコードの標的になっている実態を解説。研究者コミュニティ向けの注意喚起として、安全なPoC検証環境の重要性を強調。
• Researcher Analyzes 3,000 Live ClickFix Payloads, Exposing API-Driven Malware Delivery — The Hacker News — ClickFixの悪用手法を分析し、偽の「人間確認」ページの背後でAPI駆動サーバーが訪問者ごとに異なる偽装マルウェアを配信している実態が明らかにされた。

ランサムウェア・マルウェア関連（4件）

• Why Ask Credentials If There Are Secret Codes? — SANS Internet Storm Center — MetaMask暗号通貨ウォレットを標的とした巧妙なフィッシングメールを分析。シードフレーズ回復を装った攻撃手法の詳細と、ユーザーが注意すべきポイントを解説。
• RustDuck: The Botnet That's Still Small but Engineering Like It Plans to Grow — Security Affairs — RustDuckと呼ばれる新しいDDoSボットネットがRustへ移行中。高度な暗号化、解析回避、既知のIoT脆弱性を悪用し、ルーターやカメラ、Android端末を侵害している。
• SEO-Poisoned Software Sites Abuse ScreenConnect to Deploy AsyncRAT — The Hacker News — SEO対策で偽装されたソフトウェア配布サイトがScreenConnectリモートアクセスツールを悪用し、AsyncRATを配布する大規模キャンペーンをKasperskyが確認。多言語・多ドメインで展開されている。
• AI-Generated Browser Ransomware Abuses Chromium API on Windows and Android — The Hacker News — DeepSeekで生成されたマルウェアがChromium APIを悪用し、ブラウザ内で完結するランサムウェア技術を構築。WindowsとAndroidの両プラットフォームに影響する新たな攻撃ベクトル。
• 海外グループ会社2社が不正アクセス被害│サッポロホールディングス株式会社 — サイバーセキュリティ.com — サッポロホールディングスの海外グループ会社2社のシステムに不正アクセスが確認された。2026年6月24日に発表され、現在詳細調査中。
• アフラック、不正アクセス受け契約者約438万人分が漏えい — サイバーセキュリティ.com — アフラックの「よりそうネット」等が不正アクセスを受け、契約者約438万人分の個人情報が漏えいした。2026年6月30日発表、金融庁から報告徴求命令を受ける重大インシデント。
• VEIL#DROP Malware Chain Uses Blogger Platform to Deliver PureLogs Stealer — The Hacker News — Securonixが「VEIL#DROP」と名付けた多段階マルウェア配信チェーンを発見。ソーシャルエンジニアリングとBloggerページを組み合わせ、情報窃取型マルウェアPureLogsを配信する。
• Ousaban Banking Trojan Targets Iberian Bank Users with Fake PDF Lures — The Hacker News — ブラジル発のバンキングトロイの木馬Ousabanがスペインとポルトガルの銀行ユーザーを標的にしている。Fortinetが2026年5月に確認し、偽の破損PDFファイルをルアーに使用。
• China-Linked Group Targets Southeast Asia Critical Systems — Dark Reading — 中国に関連する攻撃グループが東南アジアの重要インフラを標的にし、少なくとも10組織が侵害された。国有企業2社を含み、新たなバックドアが展開されている。
• サイバ通信2026年7月号 — サイバーセキュリティ.com — ISP向けメールシステムへの不正アクセス（最大1,422万件の情報漏えい可能性）、発売前ゲームタイトルの海外漏えい（約1万3千件）など、月間セキュリティニュースまとめ。

セキュリティツール, 研究

• RustDuck: The Botnet That's Still Small but Engineering Like It Plans to Grow — Security Affairs — DDoSボットネットRustDuckがRust移行中で、高度な暗号化と解析回避機能を備える。既知のIoT脆弱性を悪用してルーター・カメラ・Android端末を侵害し、成長の兆候を示している。
• Dawnguard Raises $6.3 Million for Security Architecture Automation Platform — SecurityWeek — クラウドシステムの設計・構築・運用を自動化するセキュリティアーキテクチャプラットフォームを提供するDawnguardが630万ドルを調達し、一般提供を開始。
• 2026 Cybersecurity Assessment: The Gap Between Awareness and Resilience — The Hacker News — Bitdefenderの2026年版サイバーセキュリティ評価レポートが、組織のリスク認識と運用レジリエンスの間に存在する乖離を明らかにした。認識は高まっているが実践が追いついていない矛盾を指摘。
• Phantom Squatting Uses AI-Hallucinated Domains for Phishing and Malware — The Hacker News — LLMが幻覚生成する実在しないドメインを攻撃者が先回り登録し、フィッシングやマルウェアに悪用する「Phantom Squatting」をPalo Alto Networks Unit 42が報告。AI時代の新たなサプライチェーンリスク。
• Safe Events Start With Threat Intel and Digital Security — Dark Reading — 大規模イベントを安全に開催するためのサイバー脅威インテリジェンスとデジタルセキュリティ対策の重要性を解説。事前計画と継続的な監視が成功の鍵。
• Apple 'Hide My Email' vulnerability reveals peoples' real email addresses — HN — AppleのHide My Email機能に実アドレス露出の脆弱性が発見され、2025年6月の報告以来未修正。ユーザーのプライバシー保護機能の欠陥として注意喚起。
• Chasing the OPNsense RCE: The Story Behind My First CVEs — HN — OPNsenseファイアウォールのRCE脆弱性発見の過程を詳細に解説。著者が初めてCVEを取得するまでの技術的調査プロセスと教訓を共有する教育的なレポート。

クラウド

• 「大企業を恐れず、機会にフォーカスせよ」Okta CEOが説くAI時代の勝機とセキュリティ — ITmedia Security — OktaのCEOが来日し、AIエージェント普及に伴う企業システムへの侵入経路急増と、アイデンティティ管理の重要性を語ったインタビュー。
• Microsoft Adds New Teams Controls to Block Unauthorized AI Bots From Meetings — SecurityWeek — MicrosoftがTeams管理者向けに、外部AIボットの会議参加に主催者承認を必須とする新ポリシーを追加。組織の機密会議をAIボットの不正参加から保護する機能。

Web Application Security, WebSec, OWASP

• Your site, your rules: new AI traffic options for all customers — Cloudflare Blog — Cloudflareが全顧客向けにAIトラフィック管理オプションを強化。Search、Agent、Trainingボットを区別し、広告付きページ保護機能も追加し、Webサイト運営者の制御を強化。
• Making AI search smarter — Cloudflare Blog — AI時代のWeb検索をめぐり、クリエイターが発見可能でありながら報酬も得られる仕組みを目指すCloudflareの2つの新イニシアチブ。
• Unmasking the crawls with Attribution Business Insights — Cloudflare Blog — クローラーの行動・需要・潜在的価値を可視化するCloudflareの新ダッシュボード。クロール補償に関するビジネスレベルの会話を促進する分析ツール。
• Top 1 Million Analysis – June 2026: The State of Crypto — Scott Helme — Webサイト上位100万件の暗号技術導入状況を分析した10周年記念レポートの第2弾。HTTPSやセキュリティヘッダーの普及状況に加え、暗号プロトコルの実態を詳細に調査。
• Add AI contributor guardrails (AGENTS.md) and maintainer PR-review tooling — OWASP Cheat Sheet Series update — OWASP Cheat Sheet SeriesにAIコントリビューター向けガードレール（AGENTS.md）とメンテナー向けPRレビューツールが追加された。

Bug Bounty

• Don't eat the ChocoPoCs! How vulnerability researchers were repeatedly targeted by trojanised exploits — YesWeHack Blog — バグ報奨金プログラムを標的としたトロイの木馬化エクスプロイト配布の実態を解説。脆弱性研究者が安全にPoCを検証するための注意点と対策を提示。
• Metasploitの生みの親が語る　AIで激変するサイバー脅威と防御側がやるべきこと — ITmedia Security — Metasploit創設者HDムーア氏がAIによる攻撃の高速化・複雑化と脆弱性ロングテール問題を解説。防御側は資産可視化と継続的対応の自動化が重要と指摘。

DevSecOps, CI/CD

• 「悪意あるnpmパッケージをインストールさせない」　GitHubが発表した2つの防止策 — はてな — GitHubがnpmレジストリを狙うサプライチェーン攻撃対策として、CI/CDワークフロー乗っ取りによる悪意あるパッケージ公開を防止する2つの新対策を発表。開発者を保護する仕組みを解説。

プライバシー, 法規制, セキュリティ政策

Anthropic Claude Fable 5輸出規制関連（2件）

• Anthropic Restores Claude Fable 5 After U.S. Lifts Jailbreak-Linked Export Controls — The Hacker News — 6月30日に米国商務省がClaude Fable 5とMythos 5への輸出規制を解除。Anthropicは7月1日から全世界での提供を再開すると発表した。ジェイルブレイク懸念に関連した規制の経緯と解除の詳細を解説。
• Redeploying Claude Fable 5 — はてな — AnthropicがClaude Fable 5の再展開を発表。6月12日の米国政府輸出規制により外国籍ユーザーのアクセス制限を余儀なくされたが、規制解除を受け全世界での提供を再開。

アフラック情報漏えい関連（2件）

• アフラック、金融庁から報告徴求命令　顧客情報漏えい：時事ドットコム — インターネット監視（INTERNET Watch） — アフラックの顧客情報漏えいに対し、金融庁が保険業法に基づく報告徴求命令を出した。約438万人の契約者情報流出を受け、監督当局が動いた形。
• アフラック、不正アクセス受け契約者約438万人分が漏えい — サイバーセキュリティ.com — アフラック生命保険の「よりそうネット」などへの不正アクセスにより契約者約438万人分の個人情報が漏えい。2026年6月30日発表の重大インシデント。
• Microsoft Accelerates Post-Quantum Cryptography Shift to 2029 — The Hacker News — Microsoftが量子コンピューティングの進展を理由に耐量子暗号への移行目標を2029年に前倒しすると発表。既存暗号標準の早期置き換えの必要性を強調。
• インストールすれば詐欺電話を自動でブロック　警察庁推奨のアプリ活用で被害防止を — はてな — 警察庁推奨の詐欺電話ブロックアプリの活用を京都府警が呼びかけ。過去の詐欺事件で使用された番号からの着信を自動遮断する機能で特殊詐欺被害防止を図る取り組み。
• Cloudflare Workersはなぜ日本企業の「アプリ実行基盤」として選ばれにくいのか — はてな — Cloudflare Workersが日本企業で採用されにくい理由を法域・ISMAP登録・政府クラウド認定・大企業のセキュリティチェックシート要件の観点から分析した記事。
• Red teamers turned Claude Desktop into a double agent to do their evil bidding — The Register — レッドチームがClaude Desktopを操作し、ユーザーの信頼を悪用して悪意ある行動を実行させる手法を実証。AIアシスタントへの信頼がセキュリティリスクとなる問題提起。

会社ブログ, その他

• FeliCa の脆弱性公表について — はてな — ソニー製FeliCa RC-S915を含むFeliCa Standard製品群に、任意ノードの鍵を特定できる脆弱性が発見されたとの声明。広範な影響が懸念される深刻な内容。
• Overview of Content Published in June — Didier Stevens — base64dump.py v0.0.30の更新、Microsoft Coreutils for Windows、Evil MSI、YARA-X 1.18/1.19リリースなど、2026年6月の活動サマリー。
• 「RPGツクールMV/MZ」にて、“任意コマンド実行”の脆弱性が報告される。公式は「不審なゲーム・セーブ・素材」を使わないよう注意喚起 - AUTOMATON — はてな — RPGツクールMV/MZに任意OSコマンド実行が可能な脆弱性が報告された。公式は不審なゲーム・セーブデータ・素材の取り扱いに注意するよう呼びかけている。
• 中国で拘束の日本人2人 正式に逮捕 レアアース輸出関連疑いか | NHKニュース — はてな — 中国遼寧省大連で2026年5月に拘束された日本電機メーカー関係者2名が正式に逮捕された。レアアース磁石の輸出に関連した疑いと報じられている。

🤖 AI, 機械学習

AI, 機械学習ニュース (12件)

新モデル, 研究論文

• Are readers generating fiction with AI models? — HN — 読者がAIモデルを使ってフィクションを生成している実態を調査したarXiv論文。読者参加型コンテンツ生成の新しいトレンドとAIの創作分野への影響を学術的に分析。
• Anthropic Restores Claude Fable 5 After U.S. Lifts Jailbreak-Linked Export Controls — The Hacker News — 米国商務省が6月30日にClaude Fable 5とMythos 5への輸出規制を解除。Anthropicは7月1日から全世界でClaude Fable 5の提供を再開し、最新モデルの一般利用が可能になった。
• Frontier AI: Six Questions Every Enterprise Should Ask Security Vendors — SecurityWeek — 企業がセキュリティベンダーを評価する際に問うべきフロンティアAIに関する6つの質問を提示。モデル選択や自動化、検証、測定可能な結果まで、本物のAI能力とマーケティングを区別する指針。

AIツール, サービス, 製品

• Announcing the Monetization Gateway: charge for any resource behind Cloudflare via x402 — Cloudflare Blog — Cloudflareがx402オープンプロトコルを用いた収益化ゲートウェイのウェイトリストを開始。Webページ、データセット、API、MCPツールをステーブルコインで課金可能にする新サービス。
• Content Independence Day, one year on: building the business model for the agentic Internet — Cloudflare Blog — 自律AIエージェントの台頭が検索参照を覆し、持続可能なWeb経済を支えるための新しいインフラ要件を分析したレポート。コンテンツ独立記念日から1年の進展を総括。
• LINEヤフーのAIエージェント「Agent i」に、投資判断をサポートする「ファイナンス」エージェントを追加 — INTERNET Watch — LINEヤフーがAIエージェント「Agent i」に投資判断支援機能「ファイナンス」エージェントを追加。個人投資家向けにAI活用サービスを拡充。
• AIに「公式」と認識される企業サイトになれる？ 「ブランドTLD」にはAIOの期待も　“信頼の証明”としてブランドTLDが担う役割を考える＜前編＞ — INTERNET Watch — AI検索時代におけるブランドTLDの役割を考察。AIによる偽サイト引用問題を背景に、信頼の証明としてブランドTLDが果たす可能性を解説する前編。

LLM, エージェント実装

• GuardFall Flaw Hits 10 of 11 Popular Open-Source AI Agents — Security Affairs — Adversa AIが主要オープンソースAIコーディングエージェント11種中10種にシェルインジェクション脆弱性「GuardFall」を発見。コマンドフィルタのバイパスが可能で、エージェント実装の安全性に警鐘。
• Critical Cursor Flaws Could Let Prompt Injection Escape Sandbox and Run Commands — The Hacker News — Cursor AIコードエディタの2件の脆弱性「DuneSlide」により、プロンプトインジェクションでサンドボックス脱出と任意コマンド実行が可能。AIエージェント実装の致命的な欠陥事例。
• Claude Codeはシステムプロンプトに不可視マーカーを仕込んでいた――カスタムAPIゲートウェイ利用者が知るべき事実 — はてな — Claude Codeがシステムプロンプトに不可視マーカーを埋め込んでいる事実を指摘。カスタムAPIゲートウェイ利用者が留意すべき実装上の注意点を解説。
• Red teamers turned Claude Desktop into a double agent to do their evil bidding — The Register — レッドチームがClaude Desktopを「ダブルエージェント」化し、ユーザーの信頼を悪用して悪意ある操作を実行させる手法を実証。AIアシスタントの信頼性に関する問題提起。

AI政策, 倫理, 動向

• Making AI search smarter — Cloudflare Blog — AIエージェント時代におけるWeb検索の変革をめぐり、クリエイターが発見可能でありながら適正な報酬も得られる新たな仕組みづくりを目指すCloudflareの取り組み。
• Phantom Squatting Uses AI-Hallucinated Domains for Phishing and Malware — The Hacker News — LLMが幻覚生成するドメインを攻撃者が悪用する「Phantom Squatting」がAIサプライチェーンの新たな脅威として浮上。AIの意図しない出力がサイバーリスクを生む事例。

📌 その他注目技術

その他注目技術ニュース (13件)

ブラウザのアップデート, 新機能

• Chrome Beta for iOS Update — Google Chrome Releases — ChromeのiOS版ベータチャネルが更新された。最新の試験的機能とパフォーマンス改善を含むリリース。
• Stable Channel Update for Desktop — Google Chrome Releases — Chromeデスクトップ版の安定チャネルがアップデート。最新のセキュリティ修正と安定性改善が適用されたバージョンが公開された。
• Google Patches 382 Chrome Vulnerabilities — SecurityWeek — GoogleがChromeの382件の脆弱性を修正。うち15件が「Critical」、67件が「High」深刻度と評価されており、大幅なセキュリティアップデートとなった。
• iOS26.6ベータ3配信〜全ユーザーに届くセキュリティ更新も同時に - iPhone Mania — はてな — AppleがiOS 26.6、macOS Tahoe 26.6のベータ3をリリース。一般ユーザー向けにはiOS 26.5.2のセキュリティ修正正式版も同時提供され、安定性向上が中心。

開発ツール, プラットフォーム

• Announcing the Monetization Gateway: charge for any resource behind Cloudflare via x402 — Cloudflare Blog — Cloudflareが任意のWebリソースをx402プロトコル経由で課金可能にする収益化ゲートウェイを発表。独自の支払い基盤不要で、ステーブルコイン決済に対応する新サービス。
• Content Independence Day, one year on: building the business model for the agentic Internet — Cloudflare Blog — コンテンツ独立記念日から1年。自律AIエージェントが従来の検索参照を覆す中で、持続可能なWeb経済を支える新ビジネスモデルとインフラを分析。
• FFmpeg 9.1's new AAC encoder — HN — FFmpeg 9.1に新しいAACエンコーダーが搭載された。音声符号化の品質向上とパフォーマンス改善が図られた最新バージョンの詳細。
• A complete ClickHouse OLAP engine, compiled to WebAssembly — HN — ClickHouse OLAPエンジンがWebAssemblyにコンパイルされ、ブラウザ上で完全な分析データベースが動作可能になった。クライアントサイド分析の新たな可能性を示す。
• Show HN: Pglayers – PostgreSQL extensions as stackable Docker layers — HN — PostgreSQL拡張機能をスタッカブルなDockerレイヤーとして管理するツールが公開された。環境構築の再現性とポータビリティを向上させる開発者向けソリューション。

その他

• Asahi Linux 7.1 Progress Report — HN — Apple Silicon搭載Mac向けのAsahi Linux 7.1の進捗レポート。最新のハードウェアサポート状況や改善点が報告されている。
• Physical disc production ending in Jan 2028 for new games on PlayStation — HN — PlayStationが2028年1月をもって新作ゲームの物理ディスク生産を終了することを公式発表。ゲーム業界のデジタルシフトが決定的な節目を迎える。
• Sony、購入済みの映画や番組551タイトルをライブラリから削除すると通知し物議～英国のPlayStationユーザーを対象に【やじうまWatch】 — INTERNET Watch — Sonyが英国のPlayStationユーザーに対し、購入済み映画・番組551タイトルをライブラリから削除すると通知し、デジタルコンテンツの所有権問題が再燃。
• iPhone18 Proのリーク動画が相次ぎ削除〜Appleが拡散阻止か - iPhone Mania — はてな — 未発表のiPhone 18 Proの落下テスト動画がX上に流出し、短期間で削除された。Appleが例年より早い段階でリーク拡散阻止に動いているとの分析。

📌 その他採用や組織マネジメント

• 2026年7月の人事労務タスク｜障害者雇用率引き上げ対応や夏季賞与にかかる人事評価を社労士が解説 — SmartHR Mag. — 2026年7月の障害者雇用率引き上げ対応、夏季賞与にかかる人事評価など、人事労務担当者が押さえるべきタスクを社会保険労務士が解説。
• 採用力を高める“管理職”の役割─組織づくりと採用担当育成の実践論 — doda人事ジャーナル — DMM、リコージャパン、TISの事例をもとに、管理職の組織づくりと採用担当育成が採用力向上に果たす役割を論じたセミナーレポート。
• Ask HN: Who is hiring? (July 2026) — HN — HackerNewsの月刊採用募集スレッド（2026年7月版）。スタートアップから大企業まで、技術者向け求人情報が集まる定番スレッド。
• Ask HN: Who wants to be hired? (July 2026) — HN — HackerNewsの月刊求職スレッド（2026年7月版）。技術者が自身のスキルや希望を投稿し、採用企業とのマッチングを図る場。
• Nintendo has raised its employees base salary by 10% — HN — 任天堂が全従業員の基本給を10%引き上げたと報じられた。人材獲得競争が激化するゲーム業界における報酬戦略の動向を示すニュース。
• Manufact (YC S25) Is Hiring a Developer Advocate in SF — HN — Y Combinator S25卒業のManufactがサンフランシスコでDeveloper Advocateを募集中。デベロッパーリレーションズ分野の新たな採用機会。

📋 掲載除外リスト

取得状況