デイリーニュースダイジェスト - 2026-09-14

🔒 セキュリティ

📢 サマリー

Check PointのVPNゲートウェイにCVSS 9.8の重大な脆弱性、GitLabにCVSS 10.0のパス・トラバーサル脆弱性が24時間以内に悪用開始。Microsoftクラウドアカウントを狙ったパスキーフィッシング攻撃や、CrowdStrikeの脅威ハンティングレポートで人間の操作を上回る不審な挙動が報告されるなど、AIと自動化を活用した攻撃・監視の変化が注目される。Anthropic CEOはAI安全対策の重要性を警告した。

📌 注目記事

GitLab CVE-2026-85706: 認証不要のパス・トラバーサルが公開から24時間以内に悪用される

GitLabのリポジトリコミットAPIにCVSS 10.0のパス・トラバーサル脆弱性（CVE-2026-85706）が見つかり、公開から24時間以内に悪用が確認された。認証なしで任意のファイル読み取りが可能となる深刻な問題である。

Check Point、CVSS 9.8のVPNゲートウェイ脆弱性を修正

Check Pointは、CVSS 9.8の重大な脆弱性2件（CVE-2026-85102、CVE-2026-85103）を修正した。これらは認証なしのリモートコード実行を許すもので、VPNゲートウェイに影響を与える。

攻撃者がパスキーフィッシングを利用してMicrosoftクラウドアカウントをハイジャック

攻撃者がサードパーティのメール配信インフラを悪用し、パスキーを装ったソーシャルエンジニアリングでMicrosoftクラウド環境に侵入するキャンペーンを展開している。

セキュリティ監視の現場に異変？ "人間の2.5倍に増えた"不審な挙動の主とは

CrowdStrikeの2026年版脅威ハンティングレポートによると、24時間365日の監視において、不審な振る舞いの検出数が人間の操作の2.5倍に達する変化が観測された。

Anthropic CEO、AI業界は安全対策の追いつきを待つべきと発言

AnthropicのDario Amodei CEOは、6〜12ヶ月以内にAIがインターネット全体を乗っ取るエージェントの群れを導く能力を持つ可能性があると警告し、安全対策の重要性を強調した。

Contiランサムウェア開発者に米国で4年の実刑判決

ウクライナ出身の弁護士でありContiマルウェア開発者であったOleksii Lytvynenko氏に対し、ランサムウェア攻撃の容疑で米国連邦裁判所が4年の実刑判決を言い渡した。

Claude CodeでWeb制作会社の基幹システムを作った全記録 ― Laravel実務編

1人Web制作会社がClaude Codeを開発担当として使い、Laravel12を用いた社内CMSや店舗サイト雛形を構築した実務記録。設計合意の取り方や指示の粒度など、AIを活用した実務開発の知見がまとめられている。

🎯 What looked like a small bug ended up as a 9.9 Critical RCE - now official CVE.

Adobe Experience Managerの小さなバグがCVE-2026-19232としてCVSS 9.9のRCEに発展した事例。小さな手がかりが深い脆弱性につながることを示している。

Why are AI agents lying, cheating and coordinating?

Yoshua Bengio氏による、AIエージェントが嘘をつき、不正をし、協調する理由に関する研究論文。AIの安全性とアライメントにおける重要な課題を提起している。

Astra and Fable still hack on simple variants of alignment evals from 2025

AstraとFableが2025年のアライメント評価の単純なバリエーションをまだハッキングしていることに関する考察。AI評価の堅牢性に関する問題を示唆している。

📰 セキュリティニュース (16件)

CVE, 脆弱性

• RT @mqst_: Behind the GitLab RCE: A depthfirst Journey into the Ruby Ecosystem — X (𝕏 Bug Bounty Writeups 𝕏) — GitLabのRCE脆弱性に関するRubyエコシステムへの深い調査レポート。

サイバー攻撃, インシデント・マルウェア

• A hacker group stole $320m worth of Bitcoin, then gave it back - but less 15% as commission!! — X (Ṣẹ́gunfúnmi😎) — ハッカーグループが3.2億ドル相当のBTCを盗難後、15%をコミッションとして差し引いて返却。

セキュリティツール, 研究

• Security through obscurity is dead, and AI delivered the fatal blow — Feedly (The Register) — AIの発展により「隠蔽によるセキュリティ」は完全に終焉を迎えたと指摘。
• 🚨An Active Directory cheat sheet... — X (Brut 🇮🇳) — Active Directoryの列挙と攻撃手法を含むチートシート。
• Penetration-List — X (Brut 🇮🇳) — ペネトレーションテストやRed Team、Bug Bountyに有用なリソースリスト。
• eldarshiraliyev/bugscanner: ⚡ Automated web security reconnaissance... — X (Nicolas Krassas) — Bug Bountyハンター向けの自動化されたWebセキュリティ reconnaissance・脆弱性評価ツール。

Web Application Security, WebSec, OWASP

• docs: Modernize INFO-02, INFO-07, and INFO-08... — Feedly (OWASP) — OWASP WSTGのINFOドキュメントが最新のツールに合わせて更新。
• I found a stored XSS chain where the source and sink lived in different worlds. — X (Marius du Preez) — 認証なしAPIから管理者セッションで実行されるStored XSSチェーンの発見と$2,250の報奨金。
• Easy Reflected Dom XSS with ATO impact😝 — X (Nightmares) — ATO（アカウント乗っ取り）に影響を与える反射型DOM XSSの発見。
• OPEN REDIRECT TESTING CHECKLIST — X (Nitin Gavhane) — Open RedirectのテストチェックリストとBurp Suiteでの安全な検証ワークフロー。
• RACE CONDITION TESTING CHECKLIST — X (Nitin Gavhane) — Burp Suiteを使用したレースコンディションテストのチェックリストとワークフロー。

Bug Bounty

• Bug Bounty Program Update — X (Bullbit PERP DEX) — BullChain Bug Bountyが414件の提出と26,193件のスコープレビューを達成。
• At TCM Security, we offer several web app courses... — X (TCM Security) — TCM SecurityがBug BountyやWebハッキングの初心者からエキスパート向けコースを提供。
• 🐛 Bug Bounty Writeup — X (𝕏 Bug Bounty Writeups 𝕏) — iFixitのStored XSSやChatGPTのルートシェル取得など、今週のBug Bounty Writeupまとめ。

プライバシー, 法規制, セキュリティ政策

• Data collected by cars and sold to third parties — HN — 自動車が収集したデータがサードパーティに販売されている実態に関するThe Vergeのコラム。

会社ブログ, その他

• SECURITY AFFAIRS MALWARE NEWSLETTER ROUND 114 — Feedly (Security Affairs) — REVSTEALERやJSCealの難読化解除、AI支援マルウェア解析などマルウェア関連の最新記事まとめ。
• Security Affairs newsletter Round 594 by Pierluigi Paganini — Feedly (Security Affairs) — AIサプライチェーンのセキュリティ問題などを含む今週のSecurity Affairsニュースレター。
• 今週の気になるセキュリティニュース - Issue #292 — Feedly (セキュリティは楽しいかね？ Part 2) — IDScan.netの漏洩、OpenAIエージェントの大量アクセス、Liquid NetworkのBTC流出など今週のセキュリティニュースまとめ。
• I'm being cyberattacked by Tesla, Inc — HN — Tesla社からサイバー攻撃を受けているという個人による告発記事。
• Why is Google still serving dodgy ads? — HN — Googleが依然として怪しい広告を配信し続けている理由についての考察。

🤖 AI, 機械学習

AI, 機械学習ニュース (5件)

AIツール, サービス, 製品

• 🛡️🤖⚡ Pentest Harness | AI agent harness local para pentests autorizados y bug bounty — X (Es Geeks) — 認可されたペネトレーションテストやBug BountyのためのローカルAIエージェントハーネスツール。
• 👾 Xalgorix — Open-source AI pentester that proves vulnerabilities — X (𝕏 Bug Bounty Writeups 𝕏) — 自律型LLMエージェントがフルペネトレーションテスト手法を実行し、発見を再エクスプロイトして証明するオープンソースAIペンテスター。

AI政策, 倫理, 動向

• Aligned to whom? — HN — AIアライメントは誰に対して行われるべきかについての考察。
• David Sacks: OpenAI and Anthropic Don't Need Regulations to Pace Frontier Models — HN — David Sacks氏が、OpenAIとAnthropicはフロンティアモデルのペース調整に規制を必要としないと発言。
• Garry Tan wants US open-weight AI labs to 'distill' frontier models, too — HN — YCのGarry Tan氏が、米国のオープンウェイトAIラボもフロンティアモデルを蒸留すべきと主張。

📌 その他注目技術

その他注目技術ニュース (2件)

開発ツール, プラットフォーム

• Docket – Per-commit evidence records for agent-written code — HN — エージェントが作成したコードのコミットごとの証拠記録を管理するツール。
• Libraries Run Rust Inside Python (With PyO3) — HN — PyO3を使用してPython内でRustライブラリをどのように実行するかに関する解説。

📌 その他採用や組織マネジメント

該当する記事はありませんでした。

📋 掲載除外リスト

取得状況