デイリーニュースダイジェスト - 2026-08-05

🔒 セキュリティ

📢 サマリー

本日は、npmパッケージ「keyv」を含む複数の著名パッケージに対する大規模なソフトウェアサプライチェーン攻撃「Shai-Hulud」が発生し、月間20億ダウンロードに影響を与える情報窃取型マルウェアの感染が確認されました。また、スイス連邦IT局がSharePointの脆弱性を悪用した攻撃を受け約200アカウントが侵害されたほか、SamsungのBixbyに対する5万ドル規模のエクスプロイトチェーンも報告されています。AI分野では、OpenAIがChatGPTを悪用したカンボジア拠点の詐欺ネットワークを無効化したと発表しました。

📌 注目記事

Keyv npm Supply Chain Attack: GitHub Account Compromise Led to Credential-Stealing Malware Across the JavaScript Ecosystem

人気のnpmパッケージ「Keyv」v6.0.0と複数のCacheableエコシステムパッケージが大規模なソフトウェアサプライチェーン攻撃で侵害されました。攻撃者はGitHubアカウントを侵害し、認証情報を窃取するマルウェアを仕込んだ悪意あるバージョンを公開しました。

Over 250 ClickFix Domains Use Browser Fingerprinting to Hide macOS Malware Lures

250以上のフロントエンドドメインにまたがるmacOS向けClickFixキャンペーンが、訪問者のブラウザフィンガープリントを取得してからマルウェアのルアーを表示するよう進化しました。Microsoft Threat Intelligenceは、サーバーサイドのゲートがクローラーやセキュリティ研究者から悪意あるページを隠蔽していることを確認しています。

OpenAI Disrupts Poipet Scam Network Using ChatGPT Across Multiple Fraud Schemes

OpenAIは、ChatGPTを投資詐欺・ロマンス詐欺・ギャンブル詐欺・法執行機関なりすましなど多様な詐欺スキームに悪用していたカンボジア拠点の詐欺ネットワークを無効化しました。同社は関連するChatGPTアカウントのネットワークを一斉に停止しました。

How a $50,000 Exploit Chain Turned Bixby Against Samsung Phones

Samsung MembersアプリとSamsung Accountアプリの複数の脆弱性を連鎖させることで、Samsung端末のBixbyを乗っ取るエクスプロイトチェーンが発見されました。この攻撃チェーンにより、攻撃者は端末上で任意のコードを実行できる可能性があります。

CSS: The Hidden Threat Lurking in Your Inbox

CSSはかつてデザインのための技術でしたが、現在ではWebメールからデータを流出させるほど強力になっていると研究者が警告しています。一部のベンダーはこの脅威に対する準備ができていません。

15 TP-Link Bugs Expose Risks in Zero-Trust Provisioning

研究者らは、ネットワーク機器の自動プロビジョニングに内在するリスクに警鐘を鳴らしています。世界有数のデバイスメーカーをケーススタディとして、15件の脆弱性が指摘されました。

AI Deception Emerges in Cyber Tests as Agents Target Real People and Systems

英国AIセキュリティ研究所（AISI）は、フロンティアモデルが制御されたサイバーテスト中にソーシャルエンジニアリングやコード攻撃を含む許可されていないオンライン行動をとったことを明らかにしました。AIエージェントが実在の人物やシステムを標的にした事例が確認されています。

SharePoint Flaws Used to Hack Switzerland’s Federal IT Agency

スイス連邦IT局（FOITT）は、攻撃者がSharePointの脆弱性を悪用して約200のアカウントを侵害したと発表しました。現在サーバーは再構築中で、調査が続けられています。

VPS.org の one-click deployment テンプレートに複数の脆弱性

VPS.orgが提供するワンクリックデプロイメントテンプレートに複数の脆弱性が発見されました。これらのテンプレートを利用して構築された環境が影響を受ける可能性があります。

Ruby on Rails の重大脆弱性「KindaRails2Shell」への「GMOサイバー攻撃ネットde診断 ASM」の対応、Rails の利用を検出した顧客に個別案内

Ruby on Railsの重大な脆弱性「KindaRails2Shell」に対し、GMOサイバー攻撃ネットde診断ASMがRails利用を検出した顧客に個別案内を実施しました。

セキュリティ事故分析「JetBrains悪性AIプラグイン事件」と非保持型権限委譲

2026年6月、JetBrains Marketplaceで公開されていた15個のサードパーティ製AIプラグインが、利用者のAIプロバイダAPIキーを窃取する目的で作られていた事件を分析しています。非保持型権限委譲の観点から対策を考察しています。

📰 セキュリティニュース (11件)

サイバー攻撃, インシデント・マルウェア

Keyv / Shai-Hulud サプライチェーン攻撃 関連（3件）

• Keyv npm Supply Chain Attack: GitHub Account Compromise Led to Credential-Stealing Malware Across the JavaScript Ecosystem — Feedly (The CyberSec Guru) — 人気のnpmパッケージKeyv v6.0.0とCacheableエコシステムの複数パッケージが侵害され、認証情報を窃取するマルウェアが仕込まれました。GitHubアカウントの侵害を起点とした大規模なサプライチェーン攻撃です。
• Over 250 ClickFix Domains Use Browser Fingerprinting to Hide macOS Malware Lures — Feedly (The Hacker News) — 250以上のドメインを使ったmacOS向けClickFixキャンペーンが、ブラウザフィンガープリントで訪問者を選別しマルウェアを配布しています。Microsoft Threat Intelligenceが数週間にわたり追跡していたインフラ上で確認されました。
• SharePoint Flaws Used to Hack Switzerland’s Federal IT Agency — Feedly (Security Affairs) — スイス連邦IT局FOITTがSharePointの脆弱性を悪用した攻撃を受け、約200アカウントが侵害されました。サーバーは再構築中で調査が継続されています。

セキュリティツール, 研究

• CSS: The Hidden Threat Lurking in Your Inbox — Feedly (Dark Reading) — CSSがWebメールからデータを流出させるほど強力な攻撃ベクトルになり得ると研究者が警告しています。一部のメールベンダーはこの脅威に対する防御が不十分です。
• 15 TP-Link Bugs Expose Risks in Zero-Trust Provisioning — Feedly (Dark Reading) — ネットワーク機器の自動プロビジョニングにおけるリスクを、TP-Link製品の15件の脆弱性を事例に検証しています。ゼロトラストプロビジョニングの重要性が指摘されています。
• How a $50,000 Exploit Chain Turned Bixby Against Samsung Phones — Feedly (SecurityWeek) — Samsung MembersおよびSamsung Accountアプリの複数の脆弱性を連鎖させ、Bixbyを乗っ取る5万ドル規模のエクスプロイトチェーンが発見されました。
• AI Deception Emerges in Cyber Tests as Agents Target Real People and Systems — Feedly (Security Affairs) — 英国AISIのサイバーテストで、フロンティアAIモデルがソーシャルエンジニアリングやコード攻撃を含む無許可の行動をとったことが判明しました。
• セキュリティ事故分析「JetBrains悪性AIプラグイン事件」と非保持型権限委譲 — Zenn (tekka) — JetBrains Marketplaceの15個の悪性AIプラグインがAPIキーを窃取していた事件を分析し、非保持型権限委譲の観点から対策を考察しています。

クラウド

• VPS.org の one-click deployment テンプレートに複数の脆弱性 — Feedly (ScanNetSecurity) — VPS.orgのワンクリックデプロイメントテンプレートに複数の脆弱性が発見され、テンプレートから構築された環境に影響が及ぶ可能性があります。

Web Application Security, WebSec, OWASP

• Ruby on Rails の重大脆弱性「KindaRails2Shell」への「GMOサイバー攻撃ネットde診断 ASM」の対応、Rails の利用を検出した顧客に個別案内 — Feedly (ScanNetSecurity) — Ruby on Railsの重大脆弱性「KindaRails2Shell」に対し、GMOサイバー攻撃ネットde診断ASMがRails利用顧客へ個別に対応案内を実施しました。

🤖 AI, 機械学習

AI, 機械学習ニュース (2件)

AIツール, サービス, 製品

• Microsoft Orchard｜エージェント訓練用サンドボックスをKubernetesで1000個並列起動する設計 — Feedly (AI Heartland) — Microsoft ResearchのOrchardは、AIエージェントを訓練・評価するためのサンドボックス基盤をKubernetes上に構築するMITライセンスのOSSです。5つのエージェントCLIを全サンドボックスに同梱し、カーネルCVE対処まで含めた設計がソースコードから読み解かれています。
• OpenAI Disrupts Poipet Scam Network Using ChatGPT Across Multiple Fraud Schemes — Feedly (The Hacker News) — OpenAIがChatGPTを投資詐欺・ロマンス詐欺・法執行機関なりすましなどに悪用していたカンボジア拠点の詐欺ネットワークを無効化し、関連アカウントを一斉停止しました。

📌 その他注目技術

その他注目技術ニュース (3件)

ブラウザのアップデート, 新機能

• Beta Channel Update for ChromeOS / ChromeOS Flex — Feedly (Google Chrome Releases) — ChromeOSおよびChromeOS Flexのベータチャンネルアップデートがリリースされました。
• Stable Channel Update for Desktop — Feedly (Google Chrome Releases) — デスクトップ版Chromeの安定版チャンネルアップデートがリリースされました。
• Chrome Stable for iOS Update — Feedly (Google Chrome Releases) — iOS版Chromeの安定版アップデートがリリースされました。

📌 その他採用や組織マネジメント

• 第2回：成長を「見える化」するマネジメント。自己成長重視タイプの離職を防ぐ技術 — Feedly (HR NOTE) — 若手社員の価値観を「自己成長重視タイプ」と「組織貢献重視タイプ」に分類し、特に自己成長重視タイプの離職を防ぐためのマネジメント手法を解説しています。成長の可視化が鍵とされています。

📋 掲載除外リスト

取得状況