デイリーニュースダイジェスト - 2026-07-16

🔒 セキュリティ

📢 サマリー

2026年7月15日、ニチレイがサイバー攻撃によるシステム障害を公表し、冷蔵倉庫の入出庫や冷凍食品出荷に影響が拡大。ほっともっと・やよい軒・イオンなど取引先にも波及した。Microsoftは過去最大となる622件の脆弱性を修正するPatch Tuesdayを実施し、2件のゼロデイが悪用確認された。SonicWall SMA 1000のゼロデイ2件もCISAのKEVカタログに追加。Cursor IDEにリポジトリを開くだけでコード実行される脆弱性が発見され、AsyncAPIのnpmパッケージがサプライチェーン攻撃を受けた。ServiceNow AI PlatformにRCE脆弱性（CVE-2026-6875）、BitLockerに物理的暗号化バイパスのゼロデイも修正された。

📌 注目記事

ニチレイ、サイバー攻撃によるシステム障害を公表　冷蔵倉庫・冷凍食品出荷に影響

2026年7月13日、ニチレイグループのサーバーがサイバー攻撃を受け、冷蔵倉庫の入出庫業務や冷凍食品の出荷業務に障害が発生した。影響は取引先約5,000社に及び、ほっともっと・やよい軒・イオン・KFCなどで食材納品遅延や欠品が生じている。同社は外部セキュリティ専門会社と安全対策を講じた上で、7月17日から順次業務を再開する予定。

Microsoft、過去最大の622件の脆弱性を修正するPatch Tuesdayを実施

Microsoftは7月のPatch Tuesdayで、過去最大となる622件のCVEを修正した。このうち2件は既に悪用が確認されているゼロデイ脆弱性で、Active Directory Federation Servicesの権限昇格（CVE-2026-56155）とSharePoint Serverの認証欠如（CVE-2026-56164）が含まれる。一部のDellユーザーに対しては、予期せぬシャットダウンや過熱の問題により更新プログラムの提供が一時停止された。

SonicWall SMA 1000に2件のゼロデイ脆弱性、積極的悪用を確認

SonicWallはSecure Mobile Access（SMA）1000シリーズに影響する2件のゼロデイ脆弱性（CVE-2026-15409: CVSS 10.0のSSRF、CVE-2026-15410: コードインジェクション）の積極的悪用を警告した。CISAも両方の脆弱性をKEVカタログに追加し、管理者に即時のパッチ適用を強く推奨している。

Cursor IDEにリポジトリを開くだけでコード実行される脆弱性

Cursor IDEにおいて、プロジェクトルートにgit.exeという名前のファイルを置いた悪意あるリポジトリを開くだけで、そのバイナリが自動実行される脆弱性が発見された。クリックや承認ダイアログは一切なく、ユーザーの権限でSSHキーやソースコードにアクセスされる危険性がある。この脆弱性は未パッチのまま公開されている。

AsyncAPIのnpmパッケージがサプライチェーン攻撃を受け、ボットネットマルウェアを配信

週間200万ダウンロードのAsyncAPI npmパッケージ4件が侵害され、多段階ボットネットローダーが配信された。影響を受けたパッケージは@asyncapi/generator-helpers、@asyncapi/generator-componentsなどで、情報窃取・暗号資産窃取・RAT機能を持つマルウェアが含まれていた。

ServiceNow AI PlatformにサンドボックスエスケープのRCE脆弱性（CVE-2026-6875）

ServiceNowはAI Platformのサンドボックスエスケープ脆弱性CVE-2026-6875を修正した。未認証のリモートコード実行が可能なCritical脆弱性で、現時点で積極的悪用は確認されていないが、早急なパッチ適用が推奨される。

Windows BitLockerに物理的暗号化バイパスのゼロデイ（CVE-2026-50661）

Microsoftは物理的アクセスを持つ攻撃者がWindowsのディスク暗号化をバイパスできるBitLockerのゼロデイ脆弱性CVE-2026-50661を修正した。この脆弱性は既に一般に公開されており、早急な対応が必要。

Chrome 150とFirefox 152にCritical脆弱性の修正アップデート

MozillaはFirefox 152で悪用コードが公開された2件のCritical脆弱性（CVE-2026-15718: JavaScript WebAssembly、CVE-2026-15719: DOMサイト分離）を修正した。GoogleもChrome 150で複数のCritical脆弱性に対応するアップデートをリリースした。

LegacyHive：Windowsの新たなゼロデイPoCがPatch Tuesday直後に公開

セキュリティ研究者Chaotic Eclipse（Nightmare-Eclipse）が、MicrosoftのPatch Tuesday直後にWindows User Profile Serviceの任意ハイブ読み込みによる権限昇格のPoC「LegacyHive」を公開した。完全にパッチ適用済みのWindowsシステムに影響する。

Ostiumがオラクルキー侵害で約18Mドル相当のUSDCを流出

Arbitrum上のRWA無期限DEX「Ostium」が、オラクル署名鍵の侵害により約1,800万ドル（TVLの約28%）を流出させられた。攻撃者は登録済みのPriceUpKeepフォワーダーを使用して未来日付の価格データを提出し、約20回の取引ループで人工的な利益を生成した。Ostiumのバグバウンティでは、このフォワーダーは「信頼できるコンポーネント」として対象外とされていた。

ホワイトハウスがAI駆動の脆弱性調整イニシアチブ「Gold Eagle」を発表

ホワイトハウスは6月2日のAI関連大統領令に基づき、AIを活用した脆弱性調整プログラム「Gold Eagle」を発表した。このイニシアチブは、重要インフラ全体での脆弱性発見と修正の迅速化を目的としている。

Progress ShareFileにゼロデイ脆弱性、サービス停止の原因と確認

ProgressはShareFileのサービス停止の原因がゼロデイ脆弱性であることを確認し、修正パッチをリリースした。Storage Zones Controllerの顧客はパッチ適用後にアクセスが復旧される。

OkoBotマルウェアがLedger・Trezorアプリにシードフレーズフィッシングを注入

2025年4月からWindowsマシンで動作しているマルウェアフレームワーク「OkoBot」が、ハードウェアウォレットのデスクトップアプリにシードフレーズフィッシングを注入するモジュールを搭載していることが判明した。感染したPCでは、ウォレットアプリ自体からリカバリーフレーズの要求が表示される。

TuxBot v3にLLM支援開発の痕跡、IoTボットネットの新たな進化

セキュリティ研究者が、大規模言語モデル（LLM）の支援を受けて開発された痕跡を示すIoTボットネットフレームワーク「TuxBot v3 Evolution」の詳細を公開した。AI支援による開発は成功とは言えない結果だが、マルウェア開発におけるLLM利用の新たな傾向を示している。

CISAがOracle E-Business SuiteとKNX Protocolの脆弱性をKEVカタログに追加

CISAはOracle E-Business Suiteの不正な権限管理の脆弱性（CVE-2026-46817）とKNX Protocolの過度に制限的なアカウントロックアウト機構の脆弱性（CVE-2023-4346）を悪用既知脆弱性カタログに追加した。Oracleの脆弱性は未認証の攻撃者によるOracle Paymentsの乗っ取りが可能。

📅 セキュリティ週次まとめ

• DEW #163 - Semantic Malware Detections, Microsoft's CTI REALM evals and Thrunting for Knowledge — Detection Engineering Weekly — セマンティックマルウェア検知、MicrosoftのCTI REALM評価、Thrunting（脅威ハンティングの知識獲得手法）に関する週次まとめ。

📰 セキュリティニュース (58件)

CVE, 脆弱性

Microsoft July 2026 Patch Tuesday 関連（4件）

• 注意喚起: 2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起 — JPCERT/CC — 2026年7月のMicrosoft月例セキュリティ更新プログラムに関する注意喚起。過去最大規模の修正が含まれる。
• Microsoft 製品の脆弱性対策について(2026年7月) — IPA — IPAによる2026年7月のMicrosoft製品の脆弱性対策情報。早期の更新適用を推奨。
• Microsoft、過去最大の622件の脆弱性を修正（2件のゼロデイが悪用中） — The Hacker News — Microsoftが過去最大のPatch Tuesdayで622件のCVEを修正。AD FSの権限昇格とSharePoint Serverの認証欠如の2件が既に悪用確認済み。
• Microsoft、一部のDellユーザー向けPatch Tuesdayを中止（予期せぬシャットダウン・過熱問題） — The Register — Dell製ハードウェアで予期せぬシャットダウンや過熱の問題が報告され、Microsoftが一部Dellユーザー向けの更新プログラム提供を一時停止。影響モデルは未公表。

SonicWall SMA 1000 Zero-Days 関連（4件）

• CISA、悪用既知の脆弱性4件をカタログに追加 — CISA — CVE-2026-56155（Microsoft AD FS / 権限昇格）、CVE-2026-56164（Microsoft SharePoint Server / 認証欠如）、CVE-2026-15409（SonicWall SMA1000 / SSRF）、CVE-2026-15410（SonicWall SMA1000 / コードインジェクション）を悪用リストに追加。
• SonicWall、SMA 1000の2件のゼロデイが積極的悪用中と警告 — Security Affairs — SonicWallがSMA 1000アプライアンスの2件のゼロデイ脆弱性の積極的悪用を確認。CVE-2026-15409はSSRF、CVE-2026-15410は管理者としての任意OSコマンド実行が可能。
• SonicWall、積極的悪用中のSMA 1000ゼロデイを警告（CISAがKEVに追加） — The CyberSec Guru — SonicWallがSMA 1000の2件のゼロデイ（CVE-2026-15409、CVE-2026-15410）を修正。両方ともCISAのKEVカタログに追加された。
• SonicWall SMA 1000のゼロデイ2件が悪用中（1件は管理者コマンド実行が可能） — The Hacker News — SonicWall SMA 1000シリーズの2件のゼロデイが積極的悪用中。CVE-2026-15409（CVSS 10.0）はSSRF、CVE-2026-15410は管理者としての任意コマンド実行が可能。

Cursor IDE 脆弱性 関連（3件）

• 2クリックでCursorの開発環境を乗っ取るエクスプロイト — Dark Reading — シンプルなバグにより、攻撃者が開発者のシークレットやソースコードにアクセス可能になるCursor IDEの脆弱性。リポジトリを開くだけで悪用される。
• 未パッチのCursor脆弱性がユーザーをコード実行の危険にさらす — SecurityWeek — 攻撃者がプロジェクトルートにgit.exeを含む悪意あるリポジトリを作成すると、Cursorが自動的にそれを実行する脆弱性。
• Cursorの脆弱性により悪意あるクローンリポジトリがWindowsでコード実行 — The Hacker News — Cursor on Windowsでプロジェクトルートのgit.exeが自動実行される脆弱性。クリックや承認ダイアログなしで、ユーザー権限でSSHキーやソースコードにアクセスされる。

Chrome 150 / Firefox 152 アップデート 関連（2件）

• Chrome 150とFirefox 152のアップデートでCritical脆弱性を修正 — SecurityWeek — Firefoxの脆弱性には公開されたエクスプロイトコードが存在するが、実際の悪用は未確認。Chromeも複数のCritical脆弱性を修正。
• Firefox、Chrome、Adobe、VMwareのアップデートで複数のCriticalセキュリティ脆弱性を修正 — The Hacker News — MozillaがFirefoxのCritical脆弱性2件（CVE-2026-15718、CVE-2026-15719）を修正。エクスプロイトコードが公開済み。

LegacyHive Windows Zero-Day 関連（3件）

• Chaotic Eclipseが完全パッチ適用済みWindowsに影響するLegacyHiveエクスプロイトを公開 — Security Affairs — MicrosoftのPatch Tuesday直後に公開されたWindows権限昇格のPoC。完全パッチ適用済みのデスクトップ・サーバーシステムに影響。
• 研究者がMicrosoft Patch Tuesday直後に新たなWindowsゼロデイPoCを公開 — The Hacker News — Chaotic EclipseによるLegacyHiveは、Windows User Profile Serviceの任意ハイブ読み込みによる権限昇格の脆弱性。
• LegacyHive：Microsoftの常連批判者からの「骨を砕く」ゼロデイ（約束されたほどの破壊力はなし） — The Register — 専門家によれば、LegacyHiveは侵害後の有用なツールだが、約束されたほどの破壊力はないと評価されている。

ServiceNow AI Platform RCE 関連（2件）

• Fortinet、Ivanti、ServiceNowが脆弱性を修正 — SecurityWeek — ServiceNow AI PlatformのCriticalなセキュリティ欠陥により、リモートの攻撃者が任意のコードを実行可能。

• ServiceNow、Critical AI Platform RCE（CVE-2026-6875）を修正（積極的悪用は未確認） — The CyberSec Guru — ServiceNowがAI Platformのサンドボックスエスケープ脆弱性CVE-2026-6875を修正。未認証RCEが可能なCritical脆弱性。

• CISA、悪用既知の脆弱性2件をカタログに追加 — CISA — CVE-2026-46817（Oracle E-Business Suite / 不正な権限管理）、CVE-2023-4346（KNX Protocol / 過度に制限的なアカウントロックアウト機構）を悪用リストに追加。

• CISA、悪用既知の脆弱性1件をカタログに追加 — CISA — CVE-2026-48908（JoomShaper SP Page Builder / 危険なファイルの無制限アップロード）、CVE-2026-55255（Langflow / 認可バイパス）、CVE-2026-56290（Joomlack Page Builder / 不適切なアクセス制御）、CVE-2026-48282（Adobe ColdFusion / パストラバーサル）を悪用リストに追加。

• CISA、悪用既知の脆弱性3件をカタログに追加 — CISA — 上記と同じ4件のCVE（JoomShaper、Langflow、Joomlack、Adobe ColdFusion）を悪用リストに追加（重複アラート）。

• Weekly Report: Microsoft Edgeに脆弱性 — JPCERT/CC — Microsoft Edgeに脆弱性の報告。

• Weekly Report: Wiresharkに複数の脆弱性 — JPCERT/CC — Wiresharkに複数の脆弱性が報告された。

• Weekly Report: MOVEit Transferに複数の脆弱性 — JPCERT/CC — MOVEit Transferに複数の脆弱性が報告された。

• Weekly Report: Roundcube Webmailに複数の脆弱性 — JPCERT/CC — Roundcube Webmailに複数の脆弱性が報告された。

• Weekly Report: OPNsenseに複数の脆弱性 — JPCERT/CC — OPNsenseに複数の脆弱性が報告された。

• Weekly Report: Foxit PDF ReaderとFoxit PDF Editorに複数の脆弱性 — JPCERT/CC — Foxit PDF ReaderおよびFoxit PDF Editorに複数の脆弱性が報告された。

• Weekly Report: 複数のJuniper Networks製品に脆弱性 — JPCERT/CC — 複数のJuniper Networks製品に脆弱性が報告された。

• Weekly Report: Google Chromeに複数の脆弱性 — JPCERT/CC — Google Chromeに複数の脆弱性が報告された。

• Weekly Report: 複数のPalo Alto Networks製品に脆弱性 — JPCERT/CC — 複数のPalo Alto Networks製品に脆弱性が報告された。

• Weekly Report: GitLabに複数の脆弱性 — JPCERT/CC — GitLabに複数の脆弱性が報告された。

• Weekly Report: PleskのPlesk XML APIにローカル権限昇格の脆弱性 — JPCERT/CC — Plesk XML APIにローカル権限昇格の脆弱性が報告された。

• Weekly Report: Joomla!に複数の脆弱性 — JPCERT/CC — Joomla!に複数の脆弱性が報告された。

• Weekly Report: BeyondTrust Remote SupportとPrivileged Remote Accessに複数の脆弱性 — JPCERT/CC — BeyondTrust Remote SupportおよびPrivileged Remote Accessに複数の脆弱性が報告された。

• Weekly Report: PostgreSQL JDBC Driverに複数の脆弱性 — JPCERT/CC — PostgreSQL JDBC Driverに複数の脆弱性が報告された。

• Weekly Report: ModSecurityに複数の脆弱性 — JPCERT/CC — ModSecurityに複数の脆弱性が報告された。

• Weekly Report: Apache Camelに複数の脆弱性 — JPCERT/CC — Apache Camelに複数の脆弱性が報告された。

• Weekly Report: Linuxカーネルのx86向けKVMに解放済みメモリの使用の脆弱性 — JPCERT/CC — Linuxカーネルのx86向けKVMにUse-After-Freeの脆弱性が報告された。

• CISA、悪用中のSharePoint脆弱性の即時パッチ適用を要請 — SecurityWeek — 3件のSharePoint脆弱性が積極的悪用中（うち2件はゼロデイとして標的にされた）。CISAが即時パッチ適用を要請。

• ICS Patch Tuesday：Siemens、Schneider、Rockwellが脆弱性を修正 — SecurityWeek — 産業用制御システムベンダー各社が多数の脆弱性を修正。CISAとVDE CERTもアドバイザリを公開。

• Progress、ShareFileのサービス停止の背後にゼロデイ脆弱性を確認 — SecurityWeek — ProgressがShareFileのサービス停止原因がゼロデイ脆弱性であることを確認。Storage Zones Controller顧客向けに修正パッチをリリース。

• Windows BitLockerゼロデイが物理的ディスク暗号化バイパスを許す（CVE-2026-50661） — The CyberSec Guru — Microsoftが物理的アクセスでWindowsディスク暗号化をバイパス可能なBitLockerゼロデイCVE-2026-50661を修正。一般に公開済みの脆弱性。

• CISA、悪用中のSharePoint脆弱性3件に警鐘 — The Register — 3件のSharePoint脆弱性が積極的攻撃を受けており、さらに2件のCriticalホールが被害を拡大する可能性がある。

サイバー攻撃, インシデント・マルウェア

ニチレイ サイバー攻撃 関連（7件）

• ニチレイ、サイバー攻撃に関して第2報発表、KFCなど食品業界に影響広がる中、17日より再開の予定 — INTERNET Watch — ニチレイがシステム障害に関する第2報を発表。サーバーがサイバー攻撃を受けたことを確認し、7月17日からの業務再開を予定。
• ニチレイ、システム障害はサイバー攻撃によるものと公表　17日から出荷業務など順次再開へ — ITmedia — ニチレイがサーバーへのサイバー攻撃を確認。冷蔵倉庫の入出庫や冷凍食品の出荷業務に影響。外部セキュリティ専門会社と安全対策を講じた上で17日から順次再開。
• ほっともっと・やよい軒も「食材納品に遅れ」　一部店舗で当面続く見込み　ニチレイへの不正アクセスで — ITmedia — プレナスがニチレイへの不正アクセスの影響で「ほっともっと」「やよい軒」の一部店舗で食材納品遅延が当面続く見込みと発表。
• イオンも一部欠品　ニチレイへの不正アクセスが影響 — ITmedia — イオンがニチレイへの不正アクセスの影響で一部店舗で商品欠品が生じていると発表。詳細は調査中。
• ニチレイ、不正アクセスによるシステム障害を公表　一部業務に影響 — ITmedia — ニチレイが不正アクセスによるシステム障害を公表。個人情報や顧客データ流出は未確認で調査継続中。
• サイバー攻撃によるニチレイグループのシステム障害についてまとめてみた — piyolog — ニチレイグループのシステム障害に関する包括的なまとめ。冷蔵倉庫の入出庫業務や冷凍食品出荷業務への影響、取引先への波及について詳細に解説。
• 一部サーバーがランサムウェア感染被害│金子農機株式会社 — サイバーセキュリティ.com — 金子農機が7月9日未明に第三者による不正アクセスを受け、一部サーバーがランサムウェアに感染したと発表。

AsyncAPI npm サプライチェーン攻撃 関連（2件）

• AsyncAPI npmサプライチェーン攻撃：週間200万DLのパッケージにマルウェア注入 — Security Affairs — OX SecurityがAsyncAPI npm組織の侵害を公開。情報窃取・暗号資産窃取・RAT機能を持つマルウェアが4件のパッケージに注入された。

• 侵害されたAsyncAPI npmパッケージが多段階ボットネットマルウェアを配信 — The Hacker News — @asyncapi名前空間の4件のパッケージが侵害され、多段階ボットネットローダーが配信された。OX Security、SafeDep、Socket、StepSecurityが共同で発見。

• npm 148パッケージがサイト訪問者のブラウザをDDoSボット化｜JFrog発見の新型サプライチェーン攻撃 — AI Heartland — JFrogが148個のnpmパッケージによる新型サプライチェーン攻撃を公表。学生向けプロキシを装い、サイト訪問者のブラウザをWisp WebSocketフラッドのDDoSボットに変える。

• 公開 MCP サーバが標的に｜AI 開発者を狙い撃つ走査を SANS ISC が観測 — AI Heartland — 公開MCPサーバとClaude/Cursor/VSCodeの設定ファイルを狙う走査をSANS ISCが観測。49のIPがJSON-RPCハンドシェイクを試み、未認証LLMエンドポイントとGCPメタデータSSRFも標的に。

• Claudeの脆弱性がAIエージェントに悪意あるプロンプトを自動送信 — Dark Reading — 「PromptFiction」脆弱性（修正済み）が別のエクスプロイトと組み合わさると、標的システムへのエンドツーエンド攻撃が可能になる。

• GitHubだけでMFA突破攻撃を量産できる時代に　現役フィッシング基盤の全貌が判明 — ITmedia — 設定ミスで外部公開された攻撃者のサーバー解析から、GitHubのコードと安価なクラウドサービスを組み合わせた高度なフィッシング基盤の実態が判明。

• 米国と同盟国政府、ロシアAPTグループに対するネットワーク機器保護の推奨事項を発表 — Security Affairs — 米国と同盟国がロシア国家支援APTグループによるルーターやネットワーク機器へのスキャン・悪用について警告し、重要インフラ保護の推奨事項を発表。

• Windows Bind Link攻撃がEDRツールからマルウェアを隠蔽可能 — SecurityWeek — Bitdefenderの研究者が、Windows Bind Linkが競合するファイルシステムビューを作成し、エンドポイントセキュリティ製品からマルウェアを隠蔽する手法を実証。

• 米国、ロシアの個人・企業をサイバー犯罪サービス運営で起訴 — SecurityWeek — 米国がロシアの個人および企業をサイバー犯罪サービス運営で起訴。被疑者と企業は以前に米国と同盟国から制裁を受けていた。

• TuxBot v3 EvolutionにLLM支援IoTボットネット開発の痕跡 — The Hacker News — 未報告のIoTボットネットフレームワーク「TuxBot v3 Evolution」にLLM支援開発の痕跡。結果は成功とは言えないが、マルウェア開発の新傾向を示す。

• OkoBotマルウェアフレームワークがLedger・Trezorアプリにシードフレーズフィッシングを注入 — The Hacker News — 2025年4月から稼働するOkoBotがハードウェアウォレット所有者からリカバリーフレーズを詐取。感染PCではウォレットアプリ自体から要求が表示される。

• 佐銀デジタルパートナーズ、メールサーバ不正利用でスパム送信　個人情報漏洩は確認されず — サイバーセキュリティ.com — 佐銀デジタルパートナーズのメールサーバが第三者に不正利用され、自社ドメインを詐称したスパムメールが送信された。個人情報漏洩は未確認。

セキュリティツール, 研究

• OWASP Dependency-Track 5.0がGAリリース、エンタープライズ規模に対応 — OWASP — アーリーアダプターは20K以上のSBOM/時間を取り込み、25万以上のプロジェクトと200万以上のコンポーネントを単一インスタンスで実行。水平HA、クラッシュセーフ処理、サプライチェーン整合性チェックを搭載。
• Windows Bind Link攻撃がEDRツールからマルウェアを隠蔽可能 — SecurityWeek — Bitdefenderの研究者がWindows Bind Linkを用いて競合するファイルシステムビューを作成し、EDRからマルウェアを隠蔽する手法を実証。
• 同じコードを11回検査させても、そのCVEは0回だった ― LLMコード検査の再現性を実測する — Zenn (rikkama) — LLMによる脆弱性検出は実行ごとに当たり外れがあり、その不安定さを測る基盤がないと原因を誤診する。M&Aプラットフォームの技術DD機能での実測結果を報告。
• 本日気になった注意喚起情報（7/15）★ — はてなブックマーク (Fox on Security) — ServiceNow AI PlatformのRCE脆弱性、GCPの他テナントリポジトリ乗っ取り脆弱性など、7月15日時点の注意喚起情報をまとめた記事。

クラウド

• Virtual Event Today: Cloud & Data Security Summit — SecurityWeek — クラウドとデータセキュリティに関するバーチャルサミットが開催。様々なクラウド環境のセキュリティ課題について、ソリューションプロバイダーやエンドユーザーと交流可能。
• SASEにはAIの盲点がある。パケット検査だけでは不十分 — The Hacker News — エンタープライズワークフローがSaaS、ブラウザ、生成AIツールに拡大する中、従来のクラウドプロキシベースの検査モデルが追いつかなくなっている問題を指摘。

Web Application Security, WebSec, OWASP

• Serverless secrets: platform config, not env vars — OWASP — OWASP Cheat Sheet Seriesにサーバーレス環境でのシークレット管理に関する新しいガイダンスが追加。環境変数ではなくプラットフォーム設定の使用を推奨。
• Merge pull request #854 from TH3L30/master — PayloadsAllTheThings — PayloadsAllTheThingsリポジトリに新しいペイロードがマージされた。
• deep_traversal.txtに4ドットトラバーサルバイパスペイロードを追加 — PayloadsAllTheThings — パストラバーサル攻撃の新しいバイパステクニックとして、4ドット表記を用いたペイロードが追加された。

Bug Bounty

• Testing AI-powered systems at scale via Bug Bounty, part 2: AI-specific vulnerabilities — SecurityWeek — YesWeHackによるバグバウンティを通じたAIシステムの大規模テストに関する連載第2回。AI特有の脆弱性に焦点を当てている。
• Dojo challenge #52 Streamcore solution — YesWeHack — YesWeHackのDojoチャレンジ#52「Streamcore」の解答解説。

DevSecOps, CI/CD

• Criblがエージェンティック検知エンジニアリングを追加、CardinalOps買収でSecOpsを強化 — Dark Reading — CardinalOpsの買収により、Criblの顧客は検知ルールとセキュリティ制御をMITRE ATT&CKフレームワークにマッピング可能に。SecOpsチームはカバレッジギャップの特定と脅威インテリジェンスの運用化が可能。

プライバシー, 法規制, セキュリティ政策

• セキュリティ研究者と連携するための協調的脆弱性開示プログラムの確立 — CISA — CISAがセキュリティ研究者と効果的に連携するための協調的脆弱性開示プログラム（CVD）の確立に関するガイダンスを公開。
• 「Tech-xit」は目前か？AI対立の中で英国が主権推進を強化 — Dark Reading — 米国政府のAnthropic・OpenAIフロンティアモデルへの制限を受け、英国などが米国テック企業への依存低減を強化。重大なサイバー影響が懸念される。
• ナイジェリア、サイバー犯罪の収益増加を受けサイバーセキュリティ対策を強化 — Dark Reading — 西アフリカのナイジェリアが組織にサイバー攻撃の開示を義務付ける規則を推進。強制的透明性への移行に加わる。
• ホワイトハウスがAI駆動の「Gold Eagle」脆弱性調整イニシアチブを発表 — SecurityWeek — 6月2日のAI関連大統領令に基づく新プログラム。重要インフラ全体での脆弱性発見と修正の迅速化を目的とする。

セキュリティ系の勉強会やイベント、カンファレンス

• 【外部講演情報更新】8月2日開催 日本セキュリティ・マネジメント学会 第39回全国大会 — IPA — IPAが日本セキュリティ・マネジメント学会第39回全国大会（8月2日開催）の外部講演情報を更新。
• ISC Stormcast For Wednesday, July 15th, 2026 — SANS ISC — SANS Internet Storm Centerの7月15日分ポッドキャスト。
• Recent DShield SIEM Update, (Tue, Jul 14th) — SANS ISC — DShield SIEMの最新アップデート（ELKスタック8.19.15使用）。新しいダッシュボードとログを追加。

会社ブログ, その他

• Guten Tag, Bonjour, Hola to Our European Cyber Defenders! — Dark Reading — Dark Readingが北米以外の地域別サイバーセキュリティインテリジェンスを提供する「DR Global」セクションの最新進化を発表。
• FFRI が選ぶ、 2025 年セキュリティ関連必読文書 TOP10×2 — FFRIエンジニアブログ — FFRIが2025年度に政府機関やセキュリティ関連団体が公開した文書から、定番文書と新規文書の必読文書Top10を選定。
• 脆弱性対策情報データベースJVN iPediaの登録状況 [2026年第2四半期（4月〜6月）]を公開しました — IPA — IPAがJVN iPediaの2026年第2四半期（4月〜6月）の脆弱性対策情報データベース登録状況を公開。
• Microsoft Purview Information Protectionオンプレミススキャナで、オンプレミスファイルサーバを自動ラベリングしてみる — LAC WATCH — MPIPスキャナを利用したオンプレミスファイルサーバ上のファイルへの自動ラベリングの仕組みを紹介。情報漏えいや内部不正対策としての活用法を解説。
• 厚生労働省LANシステム更改作業中のTeamsチャットデータ消失についてまとめてみた — piyolog — 厚労省LANシステム更改作業中に設定ミスでTeamsチャットデータ等が削除され、行政文書に該当する一部チャットが復元困難になった事案を詳細に解説。

🤖 AI, 機械学習

AI, 機械学習ニュース (18件)

新モデル、研究論文

• Tongyi DeepResearch 解説｜アリババのオープンソースDeep Researchエージェント（30B-A3B）を使う — AI Heartland — 総30.5B・稼働3.3BのMoEで動くアリババのオープンソースDeep Researchエージェント。ReActとIterResearchの2モード、ローカル実行とOpenRouterでの使い方、8つのベンチマークを解説。
• Inkling: Our Open-Weights Model — HackerNews — Thinking Machinesが公開したオープンウェイトモデル「Inkling」の紹介。
• Running Gemma 4 26B at 5 tokens/sec on a 13-year-old Xeon with no GPU — HackerNews — 13年前のXeonプロセッサでGPUなしにGemma 4 26Bを5トークン/秒で実行する手法の解説。
• A General Goal-Conditioned Minecraft Model — HackerNews — Minecraftにおける汎用目標条件付きモデル「PAN-1」の研究論文。
• Unsolved Problems in MLOps — HackerNews — MLOpsにおける未解決問題をまとめたACM論文。

AIツール, サービス, 製品

• all-agentic-architectures 徹底解説｜35のエージェント設計を実行できる教科書＆Pythonライブラリ — AI Heartland — Reflexion・LATS・GraphRAG・MemGPT・Voyagerなど35の本番級エージェントパターンを統一契約で実行できるPythonライブラリ。★3,849・MIT。
• hyperframes徹底解説｜HTMLでAI動画を作るHeyGen製OSSの仕組みと使い方 — AI Heartland — HTML・CSSを決定論的なMP4にレンダリングするHeyGen製OSS。ヘッドレスChromeでフレームを送りFFmpegで結合。CLI・AIエージェント・描画コアの3通りの使い方を解説。
• Cursor日本語設定・初期設定ガイド｜UI日本語化とおすすめ設定 — AI Heartland — Cursorの日本語設定と初期設定ガイド。UI日本語化とAI応答の日本語化は別物という前提から、手順・おすすめ設定・対処法までを2026年時点の情報で整理。
• Figma MCP使い方｜Dev ModeのデザインをClaude/Cursorにコード化させる — AI Heartland — Figma MCPの使い方を公式Dev Mode MCP Serverベースで解説。コンポーネント・変数・レイアウト情報をClaude CodeやCursorに読ませ、コード生成する方法を紹介。
• NVIDIA Audio2Face-3Dとは｜音声から3D顔アニメとリップシンクを自動生成する技術を徹底解説 — AI Heartland — 音声から高精細な3D顔アニメを生成するNVIDIAの技術。音素解析による正確なリップシンクと声のトーンからの感情推定を実現。SDK・Training・Maya/UE5プラグイン・NIMの構成を解説。
• Serena MCPの使い方｜セマンティック解析でClaude Codeのトークンを削る — AI Heartland — LSPによるセマンティックコード解析でClaude Code・Cursorがファイル全読みなしにシンボル単位でコード編集でき、トークンを大幅削減するSerena MCPの使い方を解説。
• Launch HN: Coasty (YC S26) – An API for computer-use agents — HackerNews — YC S26発のコンピュータ使用エージェント向けAPI「Coasty」のローンチ。
• Open-source memory for coding agents, synced over SSH — HackerNews — SSH経由で同期するコーディングエージェント向けオープンソースメモリ「deja-vu」。
• Codex Micro — HackerNews — OpenAIが提供するハードウェアデバイス「Codex Micro」の製品ページ。

LLM, エージェント実装

• build-your-own-x徹底活用｜日本人開発者がキャリアで差をつける『自分で作る』TOP10と学習ロードマップ — AI Heartland — GitHubで約52万スターのbuild-your-own-xから、Git・Database・Docker・LLM・OSなど日本人開発者向けTOP10を選書。AIエージェント時代に自作学習が効く理由を体系的に整理。
• When A.I. is a member of the family — HackerNews — AIが家族の一員となる時代についてのNew Yorkerの記事。

AI政策, 倫理, 動向

• OpenAI loses trademark dispute at EU court — HackerNews — OpenAIがEU裁判所で商標紛争に敗訴したニュース。
• The Three-Second Theft: Why AI Voice Fraud Outruns Every Defence — HackerNews — AI音声詐欺が3秒で防御を突破する理由を解説する記事。音声クローニング技術の進化と対策の遅れを指摘。

📌 その他注目技術

その他注目技術ニュース (5件)

ブラウザのアップデート, 新機能

• Firefox now supports the text-box-trim and text-box-edge CSS properties — Firefox Nightly — Firefox NightlyがCSSのtext-box-trimおよびtext-box-edgeプロパティのサポートを追加。

開発ツール, プラットフォーム

• Show HN: misa77 - a codec that decodes 2x faster than LZ4 (at better ratios) — HackerNews — LZ4より2倍高速にデコードし、より良い圧縮率を実現するコーデック「misa77」の発表。
• Telegram Serverless — HackerNews — Telegramがボット向けサーバーレスプラットフォームを発表。

その他

• Briar is in maintenance mode — HackerNews — プライバシー重視のP2Pメッセージングアプリ「Briar」がメンテナンスモードに移行することを発表。
• Mysteries of Telegram Data Centers (2022) — HackerNews — Telegramのデータセンターに関する2022年の調査記事。

📌 その他採用や組織マネジメント

• Artie (YC S23) Is Hiring Software Engineers — HackerNews — YC S23発のArtieがソフトウェアエンジニアを募集中。
• Prioritize mental health, and why communication is so important — HackerNews — メンタルヘルスを優先することの重要性と、コミュニケーションがなぜ重要なのかについての記事。

📋 掲載除外リスト

取得状況