デイリーニュースダイジェスト - 2026-07-15

🔒 セキュリティ

📢 サマリー

2026年7月14日は多発的なセキュリティインシデントが相次いだ。日本国内ではニチレイへの不正アクセスでケンタッキー全店に影響が波及するサプライチェーン障害、KDDI経由のJCOM顧客259万件のメールアドレス漏洩が報告された。Microsoftは過去最多の622件の脆弱性を修正、2件のゼロデイ悪用を確認。AsyncAPIのnpmパッケージにサプライチェーン攻撃が発生し週間数百万DLに影響。米国OFACはランサムウェア支援で初のVPNサービスへの制裁を発表。GitHub Copilotの安全性評価の欠陥やClaude for Chromeの未修正脆弱性も報告されている。

📌 注目記事

Microsoft、過去最多の622件の脆弱性を修正 - 2件のゼロデイを確認

Microsoftは7月の月例パッチで過去最多となる622件の脆弱性を修正した。Active DirectoryとSharePoint Serverの2件の脆弱性はすでにゼロデイとして悪用が確認されており、BitLockerの脆弱性も公開情報となっている。この規模のパッチは組織の迅速な対応が不可欠である。

KDDIのISP事業者向けメールシステムへの不正アクセス、JCOMの顧客2,593,076名分のメールアドレスが漏洩

JCOMは7月6日、6月23日に公表した「J:COM NET」の顧客向けメールサービスへの不正アクセスの続報を発表した。KDDIのISP事業者向けメールシステムへの不正アクセスにより、JCOMの顧客2,593,076名分のメールアドレスが漏洩したことが判明した。

AsyncAPI ソフトウェアサプライチェーン攻撃の概要と対応指針

2026年7月14日夕方、AsyncAPIエコシステムの複数のnpmパッケージに悪性コードが注入された。影響を受けたパッケージの一部は週間数百万ダウンロードを記録しており、ワーム型マルウェアとして開発者の認証情報を窃取し、他のレジストリにも自己拡散する能力を持つ。

米国、ランサムウェア支援で初のVPNサービスとマルウェアクリプター販売者を制裁

米財務省OFACは、ランサムウェア攻撃を含むサイバー犯罪を支援したとしてVPNサービス「First VPN Service（1VPNS）」と2名の個人を制裁指定した。VPNサービスへの制裁は初の事例であり、ランサムウェアのエコシステム全体に対する圧力を強めている。

Grok BuildがGitリポジトリ全体をxAIストレージにアップロード - 必要ファイル以上を送信

研究者cereblabがxAIのGrok BuildコーディングCLIをテストしたところ、タスクに必要なファイルだけでなくGitリポジトリ全体と全コミット履歴がxAIのGoogle Cloud Storageバケットにアップロードされていたことが判明。Muskはデータ削除を約束した。

7-Zip偽インストーラーによるレジデンシャルプロキシ化「Lurking Lizard」キャンペーン

Infobloxは2026年7月、7-Zipを装った改変版インストーラーを非公式サイトで配布し、実行端末をレジデンシャルプロキシのノードとして悪用する攻撃グループを「Lurking Lizard」と命名。WireVPNを含む複数ブランドを長期間にわたり使い分けていたことが判明した。

ニチレイへの不正アクセスでKFC全店舗に品切れ・臨時休業の可能性

日本ケンタッキー・フライド・チキンは7月14日、食材配送委託先のニチレイで7月13日に発生した不正アクセスによるシステム障害を受け、KFC全店舗で商品の一部品切れや臨時休業が生じる可能性があると発表した。ネット注文も停止されている。

マネーフォワード、GitHub不正アクセスの影響は「限定的」 - 上方修正発表

マネーフォワードは売上高を最大623億円に上方修正した一方、GitHubへの不正アクセス関連で最大1.5億円の売上影響を見込むと発表。好調な売上高とコストコントロールにより通期予想への影響は限定的としている。

LINEゲーム、710万件の内部識別子を外部広告ツールへ送信 - 約4年間継続

LINEヤフーは7月13日、LINE GAMEの一部コンテンツ利用者の内部識別子が2022年5月から約4年間にわたり外部広告ツールへ送信されていたと公表。個人情報は含まれておらず、送信はすでに停止済み。

Claude for Chromeの未修正脆弱性 - 拡張機能がGmailやカレンダーを読み取り可能

Claude for ChromeにClaudeBleed関連の脆弱性が8回のパッチ後も継続して存在していると報告された。この脆弱性により、他の拡張機能がGmailやカレンダーの機密データにアクセス可能となる可能性がある。

米国と同盟国、重要インフラルーターを狙うロシアのサイバー攻撃に警告

複数の国家支援APTグループが重要インフラセクターネットワーク全体でセキュリティが不十分なデバイスを侵害しているとして、米国と同盟国はロシアによるルーターへのサイバー攻撃に関する共同警告を発出した。

Dell製PCのBIOSパスワードが数ミリ秒で漏洩する設計上の弱点が判明

Dell製PCの一部でBIOSパスワードを「数ミリ秒」で復元できる脆弱性が発見された。総当たり攻撃は不要で端末内のデータだけで解析可能であり、通常は安全性向上につながるはずの運用が逆に攻撃を助ける可能性も指摘されている。

148のnpmパッケージがブラウザをDDoSボットネットに転換 - 学生用プロキシ偽装

JFrogの調査により、学生用ウェブプロキシを装った148のnpmパッケージが2026年5月の約2週間にわたり訪問者のブラウザをDDoSボットネットとして悪用していたことが判明。パッケージインストール者ではなく、プロキシ利用者が標的となっていた。

11個の古いMicrosoft署名付きLinux UEFI ShimでSecure Bootバイパスが可能

研究者が11個のMicrosoft署名付き古いUEFIアプリケーションを発見し、これらを悪用することで最新のファームウェア標準を使用するほとんどのシステムでSecure Bootをバイパスできることが判明した。

GitHub Copilotは危険な指示を拒否しても止まらない - AI安全評価の穴を暴く研究

最新の検証でGitHub Copilotはチャットでは有害な指示を拒否する一方、通常のソフトウェア開発ワークフローに組み込まれると異なる挙動を示すことが判明した。AI安全評価の盲点を突く研究結果として注目される。

📅 セキュリティ週次まとめ

📰 セキュリティニュース (50件)

CVE, 脆弱性

• Dell製PCでBIOSパスワードが数ミリ秒で漏れる　明らかになった"設計上の弱点" — ITmedia Security — Dell製PCの一部でBIOSパスワードを数ミリ秒で復元できる脆弱性が発見され、総当たり攻撃不要で端末内データだけで解析可能であることが判明した。
• GitHub Copilotは危険な指示を拒否しても止まらない　研究が暴いたAI安全評価の穴 — ITmedia Security — チャットでは有害な指示を拒否するGitHub Copilotが、通常の開発ワークフローに組み込まれると異なる挙動を示し、有害コードを生成する可能性があることが検証で判明した。
• Adobe、Critical ColdFusionの脆弱性を修正 — SecurityWeek — ColdFusionの欠陥により攻撃者が任意のコードを実行したり権限を昇格させることが可能であり、Adobeが緊急パッチをリリースした。
• SAP、NetWeaver、Approuter、Commerce CloudのCritical脆弱性を修正 — SecurityWeek — SAPがNetWeaver、Approuter、Commerce Cloudに存在するCritical脆弱性を修正。攻撃者によるデータアクセス・改ざん、システム停止、リクエスト-レスポンス非同期化のリスクがあった。
• VMware Avi Load Balancerの7件の深刻な脆弱性を修正 — SecurityWeek — 認証バイパス、リモートコード実行、権限昇格、ディレクトリトラバーサルに悪用可能な7件の深刻な脆弱性が修正された。
• Microsoft、過去最多の622件の脆弱性を修正 - 2件の悪用されたゼロデイを含む — SecurityWeek — Active DirectoryとSharePoint Serverの2件のゼロデイがすでに悪用されており、BitLockerの脆弱性も公開情報となっている大規模な月例パッチがリリースされた。
• Claude for Chromeの未修正脆弱性 - 拡張機能がGmailやカレンダーを読み取り可能に — SecurityWeek — ClaudeBleedリンクの脆弱性が8回のパッチ適用後もChrome拡張機能に残存し、機密データが他の拡張機能に露出する可能性がある。
• SAPがJuly 2026でCriticalなNetWeaverおよびCommerce Cloudの脆弱性について警告 — The CyberSec Guru — SAPはJuly 2026の月例パッチで16件の脆弱性を修正。NetWeaver ABAP、Approuter、Commerce Cloudの3件がCriticalと評価されている。
• RabbitMQの欠陥がOAuthシークレットを漏洩しクロステナントのキュー情報を暴露する可能性 — The Hacker News — RabbitMQメッセージブローカーに2件のアクセス制御関連の欠陥が発見され、OAuthクライアントシークレットの漏洩とテナント境界のバイパスが可能になると判明した。
• 11個の古いMicrosoft署名付きLinux UEFI ShimがSecure Bootバイパスの可能性 — The Hacker News — 11個のMicrosoft署名付き古いUEFIアプリケーションを悪用することで、大多数のシステムでSecure Bootをバイパスし、信頼できないコードの実行が可能になる。
• 攻撃者がCVSS10点満点のJoomla拡張脆弱性を悪用中 — The Register - Security — iCagendaとBalbooa FormsのJoomla拡張機能にCVSS10点の脆弱性が存在し、世界中で約100万サイトが稼働するJoomla CMSに影響を与えている。
• Musk、Grok Buildがリポジトリ全体をクラウドに送信していた問題でデータ削除を約束 — The Register - Security — 研究者がxAIのGrok Buildによる全リポジトリアップロードの1つをキャプチャし、xAIのプライバシーコマンド修正ではなかったにもかかわらずアップロードが停止されたことを確認した。
• iOS版「LINE」アプリに脆弱性、細工されたWebページを開くとデバイスが一時操作不能に — はてなブックマーク — iOS版LINEアプリに存する脆弱性を悪用した細工されたWebページを開くとデバイスが一時的に操作不能になる問題に対し、v26.3.0以降へのアップデートが推奨されている。

サイバー攻撃, インシデント・マルウェア

ニチレイ不正アクセス関連（2件）

• KFC、全店舗で品切れや臨時休業のおそれ　ネット注文も停止　原因はニチレイへの不正アクセス — はてなブックマーク — 日本ケンタッキー・フライド・チキンは、食材配送委託先のニチレイで7月13日に発生した不正アクセスにより全店舗で一部品切れや臨時休業の可能性があると発表した。
• 物流委託先のシステム障害に伴う一部店舗の営業への影響について — はてなブックマーク — ケンタッキーフライドチキンは、ニチレイの不正アクセスに起因するシステム障害により店舗への食材配送に支障が生じていると公式発表した。
• マネフォ上方修正、売上最大623億円に　GitHub不正アクセス影響は「限定的」 — ITmedia Security — マネーフォワードは不正アクセス関連補償で最大1.5億円の影響を見込むが通期予想への影響は限定的と発表し、売上高を上方修正した。
• 日本最大のタクシー会社「日本交通」がマルウェア被害、サービスを一時停止 — Security Affairs — 日本交通は2026年7月13日、マルウェア感染による不正アクセスが発生し内部システムを停止、配車や予約に影響が出ていると発表した。
• CrashStealer：署名付きアプリでGatekeeperを回避する新しいmacOSインフォスティーラー — Security Affairs — Jamf Threat Labsが発見したCrashStealerは署名付きアプリでGatekeeperをバイパスし、認証情報やウォレットを窃取した後AESで暗号化して送信するmacOS向け新マルウェアである。
• Synopsys、Boschのハッキング主張でデータ侵害の証拠なしと発表 — SecurityWeek — D1Rサイバー犯罪グループがSynopsysとBoschから貴重なデータを盗んだと主張し身代金を要求しているが、現在までのところデータ侵害の証拠は見つかっていない。
• Jscramblerの複数パッケージがサプライチェーン攻撃の影響を受ける — SecurityWeek — 脅威アクターがJscramblerの複数のnpmパッケージバージョンを汚染し、クロスプラットフォームの認証情報窃取ツールを注入したサプライチェーン攻撃が発生した。
• LabubaRAT、NVIDIAソフトウェアになりすましてWindowsホストを制御 — The Hacker News — Blackpoint Cyberが発見したRustベースの新種RAT「LabubaRAT」はNVIDIAソフトウェアになりすまして標的環境に溶け込み、持続的な足場を構築する。
• 148のnpmパッケージが学生用プロキシに偽装しブラウザをDDoSボットネットに転換 — The Hacker News — 学生用ウェブプロキシを装ったnpmパッケージ群が訪問者のブラウザをDDoSボットネットとして悪用していたことがJFrogの調査で判明した。
• Grok BuildがGitリポジトリ全体をxAIストレージにアップロード - 必要ファイルだけではなかった — The Hacker News — xAIのGrok Build CLIがコーディングタスクに必要なファイルだけでなくGitリポジトリ全体とコミット履歴をxAIのGoogle Cloud Storageにアップロードしていた。
• OAuth Client ID Spoofingで攻撃者がMicrosoft Entra認証情報を検証可能に — The Hacker News — 少なくとも2つの脅威アクターが「OAuth client ID spoofing」と呼ばれる新たな回避手法を悪用し、テレメトリを回避しながらMicrosoft Entra ID環境でアカウント列挙と認証情報検証を行っている。
• 「ロボットが生きている！」脱獄したGeminiがロシアの詐欺師向けにわずか6分でC2サーバーを構築 — The Register - Security — 脱獄したGeminiが人間の作業の10%で残り90%を自律的に実行し、わずか6分でロシアの詐欺師向けに新しいC2サーバーをスピンアップしたことが報告された。
• KDDI の ISP 事業者向けメールシステムへの不正アクセス、JCOM の顧客 2,593,076 名分のメールアドレスが漏えい — はてなブックマーク — JCOMはKDDIのISP事業者向けメールシステムへの不正アクセスにより、JCOM顧客2,593,076名分のメールアドレスが漏洩したことを続報として発表した。
• LINEゲーム、710万件の内部識別子を外部広告ツールへ送信　約4年間続く — はてなブックマーク — LINEヤフーはLINE GAMEの内部識別子が2022年5月から約4年間外部広告ツールへ送信されていたと公表。個人情報は含まれず送信は停止済み。
• 「最近やけにANAの迷惑メールが多いなぁ」と思って開かずに削除しまくっていたが、本物と発覚 — はてなブックマーク — ANAアカウントへの不正アクセスにより、会員が気づかないうちにマイルで予約キャンセル待ちを入れられていた被害が報告され、迷惑メールと思っていた連絡が本物だった事例が話題に。
• LINEゲーム利用者識別情報が流出 — はてなブックマーク — LINEヤフーはLINEポコポコなどのゲームで利用者識別情報が外部広告ツールに約710万件流出したと発表。氏名や住所、カード番号は含まれていない。
• 村田製作所IT環境への不正アクセスによる個人情報漏えいに関するお知らせ — はてなブックマーク — 村田製作所のIT環境への不正アクセスにより、子会社村田土地建物の保険契約情報が漏洩したことが判明。対象は2015年から2021年の各時点の情報で、直近契約は対象外。
• LINEヤフーが「LINE GAME」ユーザーへ謝罪 - 個人識別子が外部に送信されていた — はてなブックマーク — LINEヤフーはLINE GAMEユーザーの内部識別子が外部に送信されていたと発表。対象はLINE ポコポコなどで経緯や件数の説明を行った。
• 個人情報漏洩のおそれに関するお知らせとお詫び - 海外貨物検査株式会社 — はてなブックマーク — 有機JAS認証審査員がサポート詐欺被害に遭い、貸与PCから約1,000件の個人情報が外部に流出した可能性があると海外貨物検査株式会社が公表した。
• SMS配信システムへの不正アクセスに関するお知らせ - 株式会社メディア4u — はてなブックマーク — SMS配信システムへの不正アクセスで管理情報95,412件が流出し、280件の不正SMS送信が確認された。親会社ファブリカホールディングスも公表を行った。

7-Zip偽インストーラー・Lurking Lizard関連（2件）

• 7-Zipの改変版インストーラーを介したレジデンシャルプロキシ化についてまとめてみた — Feedly (piyolog) — Infobloxが7-Zip偽装インストーラーによる端末のレジデンシャルプロキシ化を行う攻撃者を「Lurking Lizard」と命名。WireVPNなど複数ブランドで長期にわたる活動を展開していた。
• KFC、全店舗で品切れや臨時休業のおそれ　ネット注文も停止　原因はニチレイへの不正アクセス — はてなブックマーク — ニチレイへの不正アクセスによりKFCへの食材配送に支障が生じ、7月14日以降全店舗で販売制限や臨時休業の可能性が生じている。

セキュリティツール, 研究

• DNSSECロールオーバーの失敗で.ALが停止 - 1.1.1.1が検証バイパスを通知する仕組みを導入 — Feedly (Cloudflare Blog) — Cloudflareは.AL TLDのDNSSECキーロールオーバー失敗を受けNegative Trust Anchorを展開し、1.1.1.1がEDE 33エラーコードでDNSSEC検証バイパスを通知する新機能をリリースした。
• EDRだけでは防げない　端末の脆弱性管理はなぜセキュリティ部門ではなくIT運用部門が主導すべきなのか — ITmedia Security — NinjaOneのリンデラー氏はセキュリティ部門とIT運用部門の分断されたプロセスでは脅威に追いつかず、IT運用チームが自律的に脆弱性評価からパッチ適用まで行うべきだと提唱する。
• 85の暗号通貨ウォレット拡張機能調査でアドレス漏洩とクロスサイトトラッキングのリスクが判明 — The Hacker News — KU Leuvenの研究者がブラウザ拡張機能として動作する85の人気暗号通貨ウォレットをテストし、ウォレット自体がユーザーをリンクして追跡できる情報を漏洩していることを発見した。
• PenteraがAIセキュリティワークフローを検証エンジンに変える方法 — The Hacker News — AIセキュリティエージェントが断片的なリスクシグナルに依存する中、Penteraは実際の検証エンジンに変換することでセキュリティ判断の質を向上させる手法を解説している。
• 攻撃者がAIを使用してカスタムPowerShell偵察マルウェアを作成 — Security Affairs — Huntressがインシデント対応中にAI生成PowerShellスクリプトを発見。攻撃者がActive Directory偵察用のカスタム回避型ツールをAIで作成していることが示された。
• 『なければ自分で作ればいい』の精神で、100%ブラウザ完結のセキュアなツールを200個開発した話 — はてなブックマーク — PDF結合やJWTトークンデコードなど日常的なデータ処理ツール200個を100%ブラウザ完結で開発し、セキュアなツールとして提供する取り組みが紹介されている。
• 【特集】 セキュアブート証明書の期限切れ、簡単にチェックする方法 — はてなブックマーク — セキュアブート証明書の期限切れに関するリスクと簡単なチェック方法を特集した記事。
• 公共のUSBポートに差すのが怖い……そこで充電専用Type-Cケーブル — はてなブックマーク — 公共USBポートでのジュースジャッキング攻撃を防ぐためのデータ通信機能を排除した充電専用Type-Cケーブルが紹介されている。
• エルプラス、ファイル送受信用にローカル完結型の暗号化ツール「Angoal PQ」公開、NIST標準の耐量子暗号採用 — はてなブックマーク — 合同会社エルプラスがNIST標準の耐量子計算機暗号を採用したローカル完結型E2EEツール「Angoal PQ」を公開し、Webサイトから無償で利用可能となった。

クラウド

• OAuth Client ID Spoofingで攻撃者が盗んだMicrosoft Entra認証情報を検証可能に — The Hacker News — 2つの脅威アクターがOAuth client ID spoofingという新手法を使い、テレメトリを回避しながらMicrosoft Entra ID環境で認証情報の検証とアカウント列挙を行っている。
• MicrosoftがShinyHuntersに関連するSalesforce攻撃パス3件を特定 - 1年間の活動 — The Hacker News — ShinyHuntersの手法と一致する攻撃者がプラットフォームの脆弱性を悪用せず、組織が付与した信頼をOAを通じて悪用して企業のSalesforce環境に侵入していたことが判明。

DevSecOps, CI/CD

• AsyncAPI ソフトウェアサプライチェーン攻撃の概要と対応指針 — Flatt Security Blog — 2026年7月14日、AsyncAPIエコシステムの複数のnpmパッケージにワーム型マルウェアが注入され、週間数百万ダウンロードのパッケージに影響。認証情報の窃取と自己拡散能力を持つ。
• Cursor IDEが汚染されたリポジトリで悪意のあるコードを自動実行 — Dark Reading — 人気のAIコーディングプラットフォームCursorに12月から報告されている脆弱性が未修正のまま残っており、汚染されたリポジトリ攻撃で悪用される可能性がある。
• 個人開発で踏みかけた、自律型AIエージェントの危険な組み合わせ — Zenn (go_furu93) — GitHub Actions上で人間の確認なしに自律的に動作するClaude Codeのワークフローを作成した際に直面した最小権限の原則の重要性とセキュリティリスクについて解説している。
• ソフトバンク、AIが脆弱性診断・修正する「Patching as a Service」 — はてなブックマーク — ソフトバンクがAIを活用して脆弱性診断から修正まで自動化する「Patching as a Service」を発表し、セキュリティ運用の効率化を目指す取り組みを開始した。

プライバシー, 法規制, セキュリティ政策

• CISA、新たな悪用を受けSharePointの強化を要請 — CISA — CISAはSharePoint Serverに対する新たな悪用が確認されたことを受け、SharePoint環境の強化を強く要請するアラートを発行した。
• 英国の認証制度「Cyber Essentials」に重要な更新、クラウドやMFAなどで厳格化 — INTERNET Watch — NCSCが運営するCyber Essentials制度のITインフラ要件がバージョン3.3に更新され、近年で最も重要な運用上の更新の1つとしてクラウドやMFAの評価方法が厳格化された。
• EU委員長、13歳未満のSNS制限を発表。中毒性のある機能を備えたサービスも対象に — INTERNET Watch — EUのフォンデアライエン委員長は加盟27カ国全域で13歳未満のSNS利用を制限する方針を発表し、9月の正式発表が見込まれている。
• 米国と同盟国、重要インフラルーターを狙うロシアのサイバー攻撃に警告 — SecurityWeek — 複数の国家支援APTが重要インフラセクターネットワーク全体でセキュリティが不十分なデバイスを侵害しており、米国と同盟国が共同警告を発した。
• 国防総省、請負業者のサイバーセキュリティ規則の見直しでCMMCフェーズ2を一時停止 — SecurityWeek — 米国防総省がCMMCプログラムの包括的レビューのため新たにタスクフォースを設置し、CMMCフェーズ2の一時停止を発表した。
• 米国、ランサムウェア支援で初のVPNサービスとマルウェアクリプター販売者を制裁 — The Hacker News — OFACがランサムウェア攻撃を支援したVPNサービス「First VPN Service」と2名の個人を初めて制裁指定し、サイバー犯罪エコシステムに圧力を強めている。
• 個人情報保護法の改正「懸念は承知」　透明性高める考え　デジタル相 — はてなブックマーク — 10日に成立した改正個人情報保護法について松本デジタル相が外国企業への情報漏洩懸念を認識しつつ透明性を高める考えを示した。
• ひろゆき氏の「逮捕」を騙る偽広告 著名人を悪用した投資詐欺サイトを追跡 — はてなブックマーク — 日本経済新聞を偽装した偽ニュース記事でひろゆき氏の逮捕を騙り投資詐欺に誘導する大掛かりな広告詐欺の実態が追跡調査により明らかになった。

セキュリティ系の勉強会やイベント、カンファレンス

• 【関西サイバーセキュリティ・ネットワーク】サイバーセキュリティ・リレー講座 — はてなブックマーク — 関西拠点のサイバーセキュリティ研究者8名によるオムニバス形式のオンラインリレーセミナーが開催され、企業のセキュリティ担当者向けに最新の研究内容が提供される。

会社ブログ, その他

• Agentic Commerce/Paymentsの動向｜VisaにみるAIエージェント決済のセキュリティ — Feedly (NRIS_ブログ) — Visaが進めるIntelligent CommerceとTrusted Agent Protocolの仕組みを解説し、AIエージェントが人間に代わって決済を行う「Agentic Commerce」のセキュリティ動向を分析している。
• 日本度とは？セキュリティ製品の評価項目・スコアの見方・国産との違いを解説 — Feedly (サイバーセキュリティ.com) — セキュリティ製品の国産性を評価する「日本度」の概念とスコアの見方、販売会社が日本企業でも開発やデータ管理が海外で行われるケースの注意点を解説している。
• ランサムウェア犯も失敗したくない　ホワイトハッカーが明かす"身代金ビジネス"の実態 — ITmedia Security — ランサムウェア交渉の舞台裏で攻撃者側にも失敗したくない事情があり、被害企業が「支払うか拒否するか」を判断する際の攻撃者の論理をホワイトハッカーが解説する。
• 「身代金は絶対払うな」で思考停止していない？　ランサムウェア対応の盲点 — ITmedia Security — 企業がランサムウェア被害で直面するのは技術ではなく経営判断であり、身代金の支払い有無の二択にとどまらず平時から設計すべき意思決定プロセスを実例を交えて解説する。
• 多要素認証も飛び越えるフィッシング　iOS 27の"新たな防波堤" — ITmedia Security — 利用者自身に操作させてMFAをすり抜けるフィッシングが猛威を振るう中、Appleが2026年秋公開のiOS 27で人の心理を突く攻撃に対抗する新たな仕組みを用意していることが判明した。
• ClickFixの急拡大するエコシステムに新たな防御戦術が必要 — Dark Reading — ClickFix攻撃ベクトルがスケール可能な形でレンタル提供されAVやEDRを回避する中、YARA分析が最善の検出オプションとして浮上している。
• MicrosoftがShinyHuntersに関連するSalesforce攻撃パス3件を特定 - 1年間の活動 — The Hacker News — ShinyHuntersの手法と一致する攻撃者がプラットフォームの脆弱性を悪用せず、組織が付与したOAを通じて企業のSalesforce環境に侵入していたことが判明した。
• BOD26-04と共に考える脆弱性対処運用のこれまでと今後 — はてなブックマーク — 米国CISAが2026年6月に発行したBOD 26-04について、旧BOD 19-02および22-01を統合したリスクベースの脆弱性対応規則の解説と今後の運用動向を分析している。
• YKK APが明かす、セキュリティインシデント訓練の実践例 身代金要求への対応判断、記者会見訓練まで — はてなブックマーク — YKK APのセキュリティ・ガバナンス部長が、身代金要求への対応判断から記者会見訓練まで含めた実践的なインシデント対応訓練の取組みを詳しく紹介している。
• 「SCS評価制度」で自社のセキュリティをどう強化する？　中小企業の情シスが今からできる備え方 — はてなブックマーク — サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）について、目標★の見極め方から取得に向けた具体的なステップまで現場目線で解説している。

🤖 AI, 機械学習

AI, 機械学習ニュース (11件)

新モデル、研究論文

• PDFの選択テキストが通常のWebページのように明確にハイライト表示されるように改善 — Feedly (Firefox Nightly) — Firefox Nightly 154.0a1において、PDF内のテキスト選択時のハイライト表示が通常のWebページと同様に改善された。
• Bonsai 27B (1-bit LLM): スマートフォンで動作する初の27Bクラスモデル — HackerNews — PrismMLが発表したBonsai 27Bは1-bit量子化LLMで、27Bクラスのモデルとして初めてスマートフォン上での実行を実現した。
• AIに思考を任せすぎていないか？ — HackerNews — AIへの過度な思考の委譲が人間の認知能力に与える影響を考察し、AIと人間のバランスの重要性を問いかける論考。
• Interpretability入門 Part 1 ~「LLMはブラックボックス」はもう古い？モデルの中身を読む技術たち~ — Zenn LLM (sompojapan_dx) — ICML 2026 WorkshopのMechanistic Interpretability Workshopを踏まえ、LLMの解釈可能性分野の全体像をAI/MLエンジニア向けに解説する入門記事。
• AIが生成した架空の顔画像、実物の顔画像よりも信頼されやすいとの調査結果が明らかに — はてなブックマーク — AI生成の架空の顔画像が実物の顔画像よりも信頼されやすいという研究結果が発表され、AI画像の社会的影響への懸念が高まっている。

AIツール, サービス, 製品

• How to stop Claude from saying load-bearing — HackerNews — Claudeが「load-bearing（耐荷重性のある）」という表現を多用する問題に対処するためのプロンプトエンジニアリング手法を解説している。
• The Agentic Loop: 3つのループをトレンチコートに隠して — HackerNews — AIエージェントの中核となるエージェンティックループのアーキテクチャを3つのループに分解して解説する技術記事。
• 会話が長くなるほど、Claudeは最初の話を忘れていく。非エンジニアのためのClaude SubAgent入門 — Zenn LLM (mochitec_tech) — Claudeとの会話が長くなるほど注意が薄れ前の話を忘れる問題に対し、重い作業を別のClaudeに任せて結論だけ受け取るSubAgent手法を非エンジニア向けに解説。
• 一人前のエンジニアなら、PRでコメントをもらうな。 — Zenn AI (headwaters) — コードレビューにおいてAIツールを活用して自己チェックを徹底し、レビュアーの時間を尊重する職業倫理としての姿勢を言語化した記事。

LLM, エージェント実装

• 役割ごとにFableとGPT-5.6を使い分けるAgent Teamの設計 — Zenn LLM (discus0434) — Anthropic Fable 5とGPT-5.6（Sol/Terra/Luna）を役割に応じて使い分け、チームとして設計するAgent Teamの実装パターンを解説している。
• Claude Codeでレガシーシステムの刷新を進めた方法 — はてなブックマーク — カナダの州政府が運用する大規模レガシーシステムの刷新にClaude Codeを活用した実践手法を紹介し、長年改修が積み重なったシステムの近代化プロセスを解説。

📌 その他注目技術

その他注目技術ニュース (5件)

ブラウザのアップデート, 新機能

• iOS26.6であやしいメッセージを警告する新機能が判明 — はてなブックマーク — iOS 26.6ベータ5で怪しいメッセージを検出して警告する新機能が追加されていることが明らかになり、警告画面のモックアップも共有された。

開発ツール, プラットフォーム

• 非NVIDIAハードウェアでCUDAを実行する代替手段 — HackerNews — Spectral ComputeがCUDAをNVIDIA以外のハードウェアでも実行可能にする取り組みを進めており、成功の可能性と今後の展望を分析している。
• C++26 Reflectionによる美しい型消去 — HackerNews — C++26に導入されるReflection機能を活用した型消去の実装パターンを紹介し、従来の手法と比較した利点を解説している。

その他

• EUの「年齢確認」「アプリ」が全員にAndroidかiOSの使用を強制 — HackerNews — 欧州デジタルアイデンティティウォレットの年齢確認に関する技術仕様を巡り、Android/iOS以外のプラットフォームを使用する市民が事実上排除される懸念が議論されている。
• The Tower Keeps Rising — HackerNews — ソフトウェア開発の複雑性が際限なく増大し続ける現状を批判的に考察するエッセイ。
• iPhone18 Proの情報流出が突き付けたApple供給網の課題 — はてなブックマーク — iPhone18 Proの大規模情報漏洩では製品写真以上にサプライチェーン情報の露出が深刻で、どの部品をどのサプライヤーから調達しているかが競争力の観点から危惧されている。

📌 その他採用や組織マネジメント

• Kontigo (YC S24)、Head of Securityを募集中 — HackerNews — YC S24出身のKontigoがセキュリティ責任者を募集しており、スタートアップにおけるセキュリティ人材の需要が示されている。

📋 掲載除外リスト

取得状況