デイリーニュースダイジェスト - 2026-07-05

🔒 セキュリティ

📢 サマリー

2026年7月5日、Linuxカーネルの新たな脆弱性「Bad Epoll」（CVE-2026-46242）が公開され、一般ユーザーからroot権限昇格が可能であることが判明。CISAはPTC Windchill/FlexPLMのリモートコード実行脆弱性（CVE-2026-12569）やCisco Unified CMのSSRF脆弱性（CVE-2026-20230）など計3件を悪用既知カタログに追加。また、米政府機関がデータ窃取グループKairosに100万ドルを支払った事例や、北朝鮮ハッカーによる108件の悪意あるパッケージ配布キャンペーン「PolinRider」が報告された。AI分野では、OpenAI Codex CLIの過剰なログ出力によるSSD消耗問題や、AIセキュリティスキャナ「strix」の登場が注目を集めた。

📌 注目記事

New "Bad Epoll" Linux Kernel Flaw Lets Unprivileged Users Gain Root, Hits Android

Linuxカーネルに新たな脆弱性「Bad Epoll」（CVE-2026-46242）が発見され、一般ユーザーがroot権限を取得可能。デスクトップ、サーバー、Androidに影響し、修正パッチがリリースされている。Anthropicの研究者が発見したepoll関連の欠陥と同様のコード領域に存在する。

CISA Adds Two Known Exploited Vulnerabilities to Catalog / CISA Adds One Known Exploited Vulnerability to Catalog

CISAは悪用既知脆弱性カタログに3件を追加。CVE-2026-12569（PTC Windchill and FlexPLM / 不正入力検証によるRCE）、CVE-2026-20230（Cisco Unified Communications Manager / SSRF）、CVE-2026-20253（Splunk Enterprise / 認証欠如）が含まれる。

U.S. Government Entity Paid Kairos $1 Million in Data-Theft Extortion Case

米政府機関がデータ窃取グループ「Kairos」に約100万ドルを支払い、盗難ファイルの流出を防いだ事例がRansom-ISACの調査で明らかに。交渉チャットとブロックチェーンの支払い痕跡から再構成された。

North Korean Hackers Publish 108 Malicious Packages and Extensions in PolinRider Campaign

北朝鮮の脅威アクターが「PolinRider」キャンペーンでnpm、Packagist、Go、Chrome拡張など108件の悪意あるパッケージを公開。Contagious Interviewキャンペーンに関連し、現在も活動継続中。

Unpatched Flaws Disclosed in Filesystem Bundled Into Millions of Embedded Devices

広範な組み込み機器に搭載されるFATファイルシステムライブラリ「FatFs」に7件の脆弱性が発見され、runZeroが公開。USBドライブやSDカードの読み書きに使用され、数百万台のデバイスに影響。

Confidential computing's core trust mechanism is broken. The fix may not exist

コンフィデンシャルコンピューティングの基盤であるAttested TLSに根本的な欠陥があり、通信相手の真正性を証明できない問題が指摘された。修正は困難とされる。

FBI: TeamPCP Compromised Dev Tools to Steal Cloud Credentials

FBIが犯罪グループ「TeamPCP」による開発者ツールへの侵入を警告。信頼されたツールを改ざんしてクラウド認証情報を窃取し、マルウェア配布や恐喝を行っていた。

strix — AI-powered autonomous pentesting tool

GitHubで注目を集めるAI駆動の自律型ペネトレーションテストツール「strix」。Dockerサンドボックス内でアプリを実行し、XSSやSSRF、ビジネスロジックの脆弱性を自動検出、PoC生成からパッチ提案まで行う。Apache 2.0ライセンス。

Codexが年640TBをSSDに書いていた、原因のTRACEログを追う

OpenAI Codex CLIのSQLiteログが過剰なディスク書き込みを引き起こし、21日間で約37TB、年換算640TBのSSD消耗が報告された。エラー表示なしにNAND寿命を消費する静かな問題。

Google Chromeで「Perplexity」を偽装する悪質拡張機能が発見　Microsoftが警告

MicrosoftがPerplexityを装う悪質なChrome拡張機能を確認し、Googleに報告後削除。ユーザーに対し導入元や権限の確認を呼びかけ。

New Avalon Malware Framework Packs CrownX Ransomware Capabilities

新たなモジュール型マルウェアフレームワーク「Avalon」が発見され、多段階フィッシングで配布。認証情報収集、横展開、リモートアクセス、ランサムウェア「CrownX」の機能を統合。

ipblocklist徹底解説：2時間ごと更新・25以上のソースを束ねた悪性IP遮断リスト

25以上の脅威インテリジェンスソースを統合し2時間ごとに更新される悪性IP遮断リスト「ipblocklist」。インバウンド/アウトバウンド両方のブロックリストを提供し、ファイアウォールに容易に組み込み可能。

OpenSkills徹底解説：Claude Skillsをローカル・任意のLLMで動かすMCPサーバー

AnthropicのClaude Skillsをローカルサンドボックスで任意のLLMから実行できるMCPサーバー「OpenSkills」。ファイルをアップロードせず手元で処理し、プライバシーを確保。

Potential session/cache leakage between workspace instances or consumer accounts

AnthropicのClaude Codeにおいて、ワークスペースインスタンス間またはコンシューマーアカウント間でのセッション/キャッシュ漏洩の可能性が報告された。

📰 セキュリティニュース (41件)

CVE, 脆弱性

CISA 悪用既知脆弱性カタログ追加（2件）

• CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA — CVE-2026-12569（PTC Windchill and FlexPLM / 不正入力検証によるRCE）、CVE-2026-20230（Cisco Unified Communications Manager / SSRF）を悪用リストに追加。
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-20253（Splunk Enterprise / 認証欠如）を悪用リストに追加。
• Unpatched Flaws Disclosed in Filesystem Bundled Into Millions of Embedded Devices — Feedly (The Hacker News) — 組み込み機器向けFATファイルシステムライブラリ「FatFs」に7件の未修正脆弱性が発見され、数百万台のデバイスに影響。
• New "Bad Epoll" Linux Kernel Flaw Lets Unprivileged Users Gain Root, Hits Android — Feedly (The Hacker News) — Linuxカーネルの脆弱性CVE-2026-46242「Bad Epoll」により、一般ユーザーがroot権限を取得可能。デスクトップ、サーバー、Androidに影響。
• Potential session/cache leakage between workspace instances or consumer accounts — HackerNews — Anthropic Claude Codeでワークスペース間のセッション/キャッシュ漏洩の可能性が報告された。
• 3 CVEs in spice-vdagent — X (Ashish Kunwar) — spice-vdagentに認証バイパス（CVE-2026-57964）、ヒープオーバーフロー（CVE-2026-57965）、パストラバーサル（CVE-2026-57966）の3件の脆弱性。
• heap-use-after-free in curl_easy_cleanup() called from callback — X (ROHIT) — curlのコールバック内でのヒープuse-after-free脆弱性がHackerOneで報告された。
• Improper Input Validation — HTTP Response Parser Unconditionally Accepts Bare CR in Status Line (Node.js) — X (list) — Node.jsのHTTPレスポンスパーサーが不正なCRを受け入れる入力検証不備の脆弱性が公開された。

サイバー攻撃, インシデント・マルウェア

• 信興集団、顧客の個人情報が流出｜香港ポスト — はてなブックマーク — 香港の信興集団で約92万1,000人の顧客個人情報（氏名・住所・電話番号等）が流出した可能性がある。
• Google Chromeで「Perplexity」を偽装する悪質拡張機能が発見　Microsoftが警告 — Feedly (ITmedia Security) — MicrosoftがPerplexityを装う悪質なChrome拡張機能を確認、Googleに報告し削除された。
• FBI: TeamPCP Compromised Dev Tools to Steal Cloud Credentials — Feedly (Security Affairs) — FBIが犯罪グループTeamPCPによる開発者ツール改ざんでクラウド認証情報を窃取する手口を警告。
• U.S. Government Entity Paid Kairos $1 Million in Data-Theft Extortion Case — Feedly (The Hacker News) — 米政府機関がデータ窃取グループKairosに100万ドルを支払い、ファイル流出を防いだ事例が判明。
• North Korean Hackers Publish 108 Malicious Packages and Extensions in PolinRider Campaign — Feedly (The Hacker News) — 北朝鮮関連の脅威アクターがnpm、Packagist、Go、Chrome拡張で108件の悪意あるパッケージを公開するPolinRiderキャンペーンを展開中。
• New Avalon Malware Framework Packs CrownX Ransomware Capabilities — Feedly (The Hacker News) — 多段階フィッシングで配布される新モジュール型マルウェアAvalonが発見され、ランサムウェアCrownX機能を内包。

セキュリティツール, 研究

• ipblocklist徹底解説：2時間ごと更新・25以上のソースを束ねた悪性IP遮断リスト — Feedly (AI Heartland) — 25以上の脅威インテリジェンスソースを統合し2時間ごとに更新される悪性IP遮断リスト。インバウンド/アウトバウンド両対応。
• BareMetal RAM Dumper – Bare-metal x86 tool for Cold Boot Attack experiments — HackerNews — コールドブート攻撃実験用のベアメタルx86 RAMダンプツール。
• Awesome AI Security — X (Dan Kornas) — AIシステムのセキュリティに関するリソース、研究、ツールをまとめたGitHubキュレーションリスト。
• JWTweak v2.1 — X (Rishu Ranjan) — ペンテスター向けJWTセキュリティツールがv2.1にアップデート。インタラクティブTUI、自動リスク分析、スマート攻撃提案、jku/x5uテスト用サーバーを搭載。
• JWT security labs — X (The XSS Rat) — JWTセキュリティを学べる無料のハンズオンラボ「HackXpert JWT Labs」。noneアルゴリズムバイパスから段階的に学習可能。
• SILENTCHAIN — AI-Powered Passive Vulnerability Analysis for Burp Suite — X (Vivek | Cybersecurity) — Burp Suite向けAI搭載パッシブ脆弱性分析拡張。複数のLLMプロバイダに対応し、OWASP Top 10の自動検出とCWEマッピングを提供。
• Metabigor — Fast OSINT Reconnaissance Without API Keys — X (Vivek | Cybersecurity) — APIキー不要のコマンドラインOSINTツール。ASN、証明書透明性、Shodan InternetDBなどを活用した高速偵察が可能。
• strix — AI-powered autonomous pentesting tool — X (huangserva) — AI駆動の自律型ペネトレーションテストツール。Dockerサンドボックスでアプリを実行し、脆弱性の検出からPoC生成、パッチ提案まで自動化。
• OWASP ZAP を使った Web アプリ診断——スパイダーリングから脆弱性スキャンまで — X (yousukezan) — OWASP ZAPを用いたWebアプリケーション脆弱性診断の手順を解説するZenn記事。

クラウド

• Confidential computing's core trust mechanism is broken. The fix may not exist — Feedly (The Register - Security) — コンフィデンシャルコンピューティングの基盤であるAttested TLSに根本的欠陥があり、通信相手の真正性を証明できない問題が指摘された。

Web Application Security, WebSec, OWASP

• This Week on KN0X55: WAF bypass techniques — X (KNOXSS) — WAFバイパスやXSSフィルタ回避に関する今週のKN0X55シリーズ投稿のまとめ。
• OWASP Web Security Fundamentals — X (Lead Her Logic) — OWASP Webセキュリティ基礎を学ぶためのリソース紹介。SQLインジェクションやXSS、認証リスクなどをカバー。
• CSRF is not dead in JSON APIs — X (Ninad Mishra) — JSON APIにおけるCSRFが依然として有効であるケースと、SameSite属性やCORS設定、メソッドオーバーライドを利用したバイパス手法の解説。

Bug Bounty

• PushChain security audit and $75,000bugbounty](https://x.com/Halifa070/status/2073341682242691248)—\ast X(ALIYU)\ast —PushChain\mathrm{が}Hacken\mathrm{に}\mathrm{よ}\mathrm{る}\mathrm{包}\mathrm{括}\mathrm{的}\mathrm{セ}\mathrm{キ}\mathrm{ュ}\mathrm{リ}\mathrm{テ}\mathrm{ィ}\mathrm{監}\mathrm{査}\mathrm{を}\mathrm{完}\mathrm{了}\mathrm{し}、\mathrm{重}\mathrm{大}\mathrm{な}\mathrm{脆}\mathrm{弱}\mathrm{性}\mathrm{ゼ}\mathrm{ロ}\mathrm{を}\mathrm{達}\mathrm{成}。\mathrm{さ}\mathrm{ら}\mathrm{に}$ — X (ALIYU) — PushChainがHackenによる包括的セキュリティ監査を完了し、重大な脆弱性ゼロを達成。さらに$75,000のバグバウンティプログラムを開始。
• I Hacked a Multi-Million-Dollar E-Commerce Site by Exploiting a 0.001-Second Race Condition — X (Bug bounty wizard) — 0.001秒のレースコンディションを悪用して大手ECサイトをハッキングした事例のMedium記事。
• Bug bounty RCE marked as duplicate but still live — X (N$🌟) — 本番サーバーでRCEを発見したが2024年の重複として扱われ、現在も脆弱性が残存しているというバグバウンティ体験談。
• Delete any folder for any user within the organization (SingleStore) — X (ROHIT) — SingleStoreで任意のユーザーのフォルダを削除可能な脆弱性がHackerOneで報告された。
• Shopify Flow continues sending internal emails after configuration change — X (ROHIT) — Shopify Flowで設定変更後も内部メールが設定された受信者に送信され続ける問題が報告された。
• ZeroSeal: verifiable bug bounty proof on Stellar — X (Spell) — バグバウンティ研究者が証拠を非公開に保ちつつ、Stellarブロックチェーン上で検証可能なクレームを記録できるツール「ZeroSeal」。
• 2026 Bug Bounty / Web App Security Hunting Checklist — X (The XSS Rat) — 偵察からXSS、SSTI、SQLi、IDOR、ファイルアップロード、XXEまでを網羅したバグバウンティハンティングチェックリスト。
• Note-taking system for bug bounty hunters — X (The XSS Rat) — バグバウンティで成果を上げるためのノート管理手法。ターゲットごとのスコープ、技術スタック、テスト済み項目の記録を推奨。
• Full Bug Bounty Hunting & Red Team Methodology 2026 — X (Vivek | Cybersecurity) — 偵察から攻撃対象領域のマッピングまでの構造化されたワークフローを文書化したオープンソースのバグバウンティ方法論リポジトリ。

プライバシー, 法規制, セキュリティ政策

• Russian Intelligence Services Continue to Target Commercial Messaging Applications — CISA — ロシア情報機関が商用メッセージングアプリを標的とし続けているとCISAが警告。
• Leaking YouTube creators' private videos — HackerNews — YouTubeクリエイターの非公開動画が漏洩する問題に関する記事。

セキュリティ系の勉強会やイベント、カンファレンス

• RatCTF machine: Blindspot — a blind SSRF box — X (The XSS Rat) — ブラインドSSRFをテーマにした新しいCTFマシン「Blindspot」が公開。ブラウザ内Pwnboxで挑戦可能。
• OWASP XSS Dom Cobering 2 challenge — X (Thehackerslabs) — TheHackersLabsで新しいOWASP XSSチャレンジ「XSS Dom Cobering 2」が初心者向けに公開された。

会社ブログ, その他

• サイバーセキュリティ動向分析 (7月3日) — X (Cyberdark Impact) — Cursor AIエディタのDuneSlide脆弱性、Citrix NetScalerの新脆弱性即時悪用、FortiGate大量侵害キャンペーン、AIエージェント型ランサムウェアなど、7月3日のセキュリティ動向を詳細分析。

🤖 AI, 機械学習

AI, 機械学習ニュース (7件)

AIツール, サービス, 製品

生成AIツール大全 関連（2件）

• 【全文無料】生成AI「15分野の全地図」を一冊の本にしました ─ Claude Fable 5の知識を限界まで引き出した執筆 — Zenn (ykishimotoy) — 生成AIの主要15分野を網羅した書籍を全文無料で公開。Claude Fable 5を活用した執筆プロセスも紹介。
• AIサムライの生成AIツール大全 ─ 全15分野の地図と歩き方 — Zenn (ykishimotoy) — クラウド基盤モデルから3D生成まで15分野の生成AIツールを体系的に解説するZenn書籍。
• Playwright E2Eで自己改善ループを作る実践ガイド｜壊れたら自分で直るテストへ — Feedly (AI Heartland) — PlaywrightのAIエージェントとMCPを使い、E2Eテストが自己修復するループを構築する実践ガイド。
• claude-rank徹底解説：AIに引用されないサイトを診断・自動修正するプラグイン — Feedly (AI Heartland) — サイトがChatGPTやClaudeに引用される準備ができているか診断・自動修正するClaude Codeプラグイン。
• OpenSkills徹底解説：Claude Skillsをローカル・任意のLLMで動かすMCPサーバー — Feedly (AI Heartland) — AnthropicのClaude Skillsをローカルサンドボックスで任意のLLMから実行できるMCPサーバー。
• Codexが年640TBをSSDに書いていた、原因のTRACEログを追う — Zenn (okssusucha) — OpenAI Codex CLIのSQLiteログが過剰なディスク書き込みを引き起こし、SSDの寿命を著しく消耗する問題を調査。
• AIでやるべき業務とルール処理で足りる業務の見分け方 — Zenn (syunpp) — 業務自動化においてAIを使うべきケースとルールベース処理で十分なケースの見分け方を整理。

📌 その他注目技術

その他注目技術ニュース (3件)

開発ツール, プラットフォーム

• system-design-and-architecture徹底解説：世界的に読まれるシステム設計の学習リポジトリ — Feedly (AI Heartland) — 分散システム、データベース、キャッシュ、CAP定理からInstagramやUberの設計までを体系的に学べるオープンソースリポジトリ。
• erd-editor徹底解説：DBスキーマをコードとして扱えるER図エディタ — Feedly (AI Heartland) — ER図をGUIで描きながらSQL DDLと相互変換でき、Git管理可能な.erd.jsonファイルとして扱えるオープンソースER図エディタ。

その他

• 【Logseq使い方】超・学習本 | 日々のノートから繋がる知識の保管庫へ — Zenn (ryu_takatsukasa) — ノートアプリLogseqの使い方を解説するZenn書籍。編集中のため無料公開中。

📌 その他採用や組織マネジメント

該当記事なし。

📋 掲載除外リスト

取得状況