デイリーニュースダイジェスト - 2026-08-16

🔒 セキュリティ

📢 サマリー

2026年8月16日のセキュリティニュースでは、SAP Commerce CloudのCVSS 10.0の脆弱性（CVE-2026-58231）が活発に悪用されていることが報告された。また、npmサプライチェーンを標的とするChainDropワームが444パッケージを侵害し、GeoServerの未パッチゼロデイも探査が確認されている。macOS Screen Sharingの脆弱性（CVE-2026-65400、CVSS 9.8）を悪用したMoneroマイナー展開も発生。CISAはProgress LoadMasterのコマンドインジェクション脆弱性（CVE-2026-8037）をKEVカタログに追加した。AI関連では、1Passwordの研究チームがAI生成の脆弱性修正パッチの品質検証結果を公表し、完全修正率の低さが指摘された。台湾政府へのAIエージェントを活用したサイバー攻撃の詳細も明らかになっている。

📌 注目記事

SAP Commerce Cloud CVE-2026-58231 Exploited in the Wild

SAP Commerce Cloudの最大深刻度の脆弱性CVE-2026-58231（CVSS 10.0）が、SAPがパッチをリリースしてからわずか数日で活発に悪用されている。攻撃者はこの脆弱性を利用してリモートからシステムを完全に制御できる可能性がある。

ChainDrop worm crawls into npm supply chain, evades standard defenses

Shai-Huludの亜種であるChainDropワームがnpmサプライチェーンに侵入し、444パッケージを侵害した。このワームはtarballと開発ツールのフックを介して拡散し、標準的な防御を回避する。

GeoServer Zero-Day Is Already Being Probed. That's the Problem

GeoServerに未パッチのゼロデイ脆弱性が発見され、SQLインジェクションとリモートコード実行の可能性がある。パッチがまだ提供されていないにもかかわらず、攻撃者による探査がすでに確認されている。

macOS Screen Sharing Flaw Exploited to Deploy Monero Miners

macOS Screen Sharingの認証バイパス脆弱性CVE-2026-65400（CVSS 9.8）が悪用され、ポート5900を公開しているMacにルートアクセスでMoneroマイナーが展開されている。オランダ国家サイバーセキュリティセンターが活発な悪用を確認した。

Crooks Are Buying Your Expired Domains and Using Them to Deliver Malware

攻撃者が期限切れドメインを購入し、その評判やトラフィック、DNS履歴を悪用してマルウェア配信、詐欺、C2インフラストラクチャに利用している。毎日約65,000のドメインが新しい所有者に再登録されているという。

Apple Warns iPhone Users in 110 Countries of Mercenary Spyware Attacks

Appleが110カ国のiPhoneユーザーに対して、標的型の傭兵スパイウェア攻撃に関する警告を発した。この脅威通知の意味とユーザーが取るべき対応について解説されている。

AIが生成した脆弱性修正パッチの品質検証結果についてまとめてみた

1Passwordの研究チームが、大規模言語モデルが生成する脆弱性修正パッチの品質を検証した結果を公表。実在する複雑な脆弱性6件を対象に検証したところ、完全に修正できた割合は限定的で、修正過程で新たな脆弱性を作り込む例も確認された。

ニチレイ、ランサム被害で従業員情報漏えいか　問われる「復旧後」の対応

ニチレイは2026年7月に公表したランサムウェア被害の影響で、従業員情報が漏えいした可能性があると発表した。氏名や生年月日、会社メールアドレス、従業員番号、人事・労務管理に関する情報が含まれるという。

注意喚起: NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452）に関する注意喚起

JPCERT/CCがNetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行の脆弱性CVE-2026-8452に関する注意喚起を公開した。影響を受けるバージョンを使用している組織は早急な対応が推奨される。

CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2026-8037)

CISAがProgress LoadMasterのコマンドインジェクション脆弱性CVE-2026-8037を悪用既知脆弱性カタログに追加した。未認証の攻撃者が任意のコマンドを実行できる深刻な脆弱性である。

医療機器会社社員による患者X線画像の持ち出しについてまとめてみた

医療機器会社の社員が手術室で撮影した患者のX線画像を社内で共有していた問題が明らかになり、大学病院など9医療機関に及んでいたと報じられている。個人情報保護の観点から重大なインシデントである。

Agentic AI脅威クラスターの解説

7月1日から4日にかけて台湾政府インフラに対して12波のAIエージェント攻撃が行われ、85アカウントが侵害され2,564件超の人事記録が窃取された。攻撃者はHermes AgentとOpenClawを組み合わせ、ベイズ推論の判断エンジンで8つのSub-Agentを協調させた。

マルウェア解析者向けパッカー検知・アンパック自動化パイプライン「Unpacker」の実践ガイド

マルウェア解析者向けに、パッカーの検知とアンパックを自動化するオープンソースのパイプライン「Unpacker」の実践ガイドが公開された。UPX、ASPack、Themida、VMProtectなどに対応し、展開の成否を静的ツールで検証する手順まで示している。

ANTHROPIC CYBERSECURITY SKILLS - 817のセキュリティスキルがオープンソースで公開

Anthropicのサイバーセキュリティスキルとして、817のプロダクショングレードのセキュリティスキルがオープンソースで公開された。29のセキュリティドメインをカバーし、MITRE ATT&CK v17.1、NIST CSF 2.0、OWASPなどのフレームワークにマッピングされている。

OWASP-Subtractive-Hardening-Top-10が公開

攻撃者が通る経路そのものを構造的に断つことに焦点を当てた新しい標準「OWASP-Subtractive-Hardening-Top-10」がOWASPの公式リポジトリで公開された。経路消去率（PER）という指標を用いて、攻撃経路の削減度合いを測定する手法を提案している。

📰 セキュリティニュース (20件)

CVE, 脆弱性

• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-8037（Progress LoadMaster / Command Injection）を悪用既知脆弱性カタログに追加。未認証の攻撃者が任意のコマンドを実行可能。
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-20316（Cisco Secure Firewall Management Center / Use of Hard-coded Password）を悪用既知脆弱性カタログに追加。
• GeoServer Zero-Day Is Already Being Probed. That's the Problem — Feedly (Security Affairs) — GeoServerに未パッチのゼロデイ脆弱性が発見され、SQLインジェクションとRCEの可能性。攻撃者による探査がすでに確認されている。
• macOS Screen Sharing Flaw Exploited to Deploy Monero Miners — Feedly (Security Affairs) — macOS Screen Sharingの認証バイパス脆弱性CVE-2026-65400（CVSS 9.8）が悪用され、Moneroマイナーが展開されている。
• SAP Commerce Cloud CVE-2026-58231 Exploited in the Wild — Feedly (Security Affairs) — SAP Commerce CloudのCVSS 10.0の脆弱性CVE-2026-58231がパッチリリース直後に活発に悪用されている。
• 注意喚起: NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452）に関する注意喚起 — JPCERT/CC — NetScaler ADCおよびNetScaler Gatewayのリモートコード実行の脆弱性CVE-2026-8452に関する注意喚起。

🚨 悪用実績 新規確認（VulnCheck KEV）

本日のパイプライン実行時点で、以下のCVEがVulnCheck KEVへの追加を確認しました。

サイバー攻撃, インシデント・マルウェア

• ニチレイ、ランサム被害で従業員情報漏えいか　問われる「復旧後」の対応 — Feedly (ITmedia Security) — ニチレイが2026年7月のランサムウェア被害により従業員情報が漏えいした可能性があると発表。氏名や生年月日、人事労務情報などが含まれる。
• 医療機器会社社員による患者X線画像の持ち出しについてまとめてみた — Feedly (piyolog) — 医療機器会社の社員が患者のX線画像を不適切に撮影・共有していた問題。大学病院など9医療機関に及んでいたと報じられている。
• Crooks Are Buying Your Expired Domains and Using Them to Deliver Malware — Feedly (Security Affairs) — 攻撃者が期限切れドメインを購入し、その評判やDNS履歴を悪用してマルウェア配信やC2インフラに利用している。
• Apple Warns iPhone Users in 110 Countries of Mercenary Spyware Attacks — Feedly (The CyberSec Guru) — Appleが110カ国のiPhoneユーザーに対して標的型傭兵スパイウェア攻撃の警告を発した。
• ChainDrop worm crawls into npm supply chain, evades standard defenses — Feedly (The Register) — Shai-Huludの亜種ChainDropワームがnpmサプライチェーンに侵入し、444パッケージを侵害。tarballとdev-toolフックを介して拡散。
• Agentic AI脅威クラスターの解説 — X ブックマーク (Isao Takaesu) — 台湾政府インフラへのAIエージェント攻撃の詳細。85アカウント侵害、2,564件超の人事記録が窃取された。

セキュリティツール, 研究

• Open Source Software: Security Principles and Practices — CISA — オープンソースソフトウェアのセキュリティ原則と実践に関するCISAのガイダンス。
• AIが生成した脆弱性修正パッチの品質検証結果についてまとめてみた — Feedly (piyolog) — 1Passwordの研究チームがLLM生成の脆弱性修正パッチを検証。完全修正率は限定的で、新たな脆弱性を作り込む例も確認された。
• Beginner's Guide to Conquering TrustFall on Hack the Box — Feedly (The CyberSec Guru) — Hack The BoxのTrustFallチャレンジの初心者向けウォークスルー。Linuxベースの攻撃パスを通じて実践的なサイバーセキュリティスキルを学べる。
• Ethernet Explained: The Complete Guide to How Ethernet Works — Feedly (The CyberSec Guru) — イーサネットの物理層からフレーム、MACアドレス、スイッチ、VLAN、ARP、STPまでを包括的に解説するガイド。
• Microsoft Technical Interview Prep: 10 Real Questions With Solutions — Feedly (The CyberSec Guru) — Microsoftの技術面接でよく出題される10のコーディング問題と解答、解説、計算量分析をまとめた対策ガイド。
• マルウェア解析者向けパッカー検知・アンパック自動化パイプライン「Unpacker」の実践ガイド — X ブックマーク (吉川孝志) — パッカーの検知からアンパック、静的検証までを自動化するオープンソースツールの実践ガイド。UPX、ASPack、Themida、VMProtectなどに対応。
• Claude Codeに『あなたのサイト、ギャンブルサイトになってますよ』と言われた話 — Zenn (eques_blog) — Claude Codeがサイト編集中にGitHub PagesのCustom Domain Takeover（dangling DNS）を検出し、第三者によるギャンブルスパムサイト化を警告した事例。

プライバシー, 法規制, セキュリティ政策

• PayPal Honey Under Pressure: Affiliate Networks Cut Ties as Lawsuit Moves Forward — Feedly (The CyberSec Guru) — PayPal Honeyがアフィリエイト追跡とコミッション転換をめぐる連邦訴訟に直面。裁判所の判断と今後の展開について解説。

会社ブログ, その他

• Samsung Galaxy S26 Reportedly Explodes in Man's Pocket in India, Leaving Him Seriously Injured — Feedly (The CyberSec Guru) — インドでSamsung Galaxy S26が男性のポケット内で過熱・発煙し爆発、重度の火傷を負ったと報じられている。

🤖 AI, 機械学習

AI, 機械学習ニュース (3件)

AIツール, サービス, 製品

• OpenRemoteとは｜100% OSSのIoT基盤をDockerで動かす手順とMQTT認証境界をソースで解説 — Feedly (AI Heartland) — 100% OSSのIoTプラットフォームOpenRemoteをDocker Composeで動作させる手順と、MQTT認証境界をソースコードレベルで解説。
• OpenSandboxとは｜AIエージェント用サンドボックスの使い方とCredential Vaultを実測解説 — Feedly (AI Heartland) — Alibaba発のAIエージェント用サンドボックスOpenSandbox（★12.7k）の解説。Credential Vaultの仕組みと4つの拒否条件をソース実測で検証。

AI政策, 倫理, 動向

• なぜAIは実行はできても、責任を引き受けられないのか？ ─『ヒトとAI』から学んだ、人間とAIの違い — Zenn (karamage) — 岡野原大輔『ヒトとAI』（岩波新書）を参照しながら、AIエージェントに仕事を任せる際の責任の所在と人間とAIの本質的な違いについて考察。

📌 その他注目技術

その他注目技術ニュース (1件)

ブラウザのアップデート, 新機能

• Starting with Firefox 156, Firefox Nightly enables Vulkan hardware video decoding on Linux — Feedly (Firefox Nightly Release Notes) — Firefox 156 NightlyでLinuxにおけるVulkanハードウェア動画デコードが有効化された。

📋 掲載除外リスト

取得状況