デイリーニュースダイジェスト - 2026-09-15

🔒 セキュリティ

📢 サマリー

本日は、デジタル庁GSSにおける24.6万件の個人情報漏えいインシデントや、Intel TDX・AMD SEV-SNPを破る新しいハードウェア攻撃「DDRop」が報告された。また、AnthropicのCEOがAI開発の減速と制御を呼びかけるエッセイを発表し、業界や政府に波紋を広げている。GitLabやJFrog Artifactory、ConnectWise ScreenConnectなどの脆弱性がCISAのKEVカタログに追加され、活発な悪用が確認されている。

📌 注目記事

「ゼロトラスト」でも防げず？ 政府共通基盤GSSで24.6万件が漏えいか

デジタル庁が運用する政府共通基盤GSSに不正アクセスがあり、職員らの個人情報約24.6万件が漏えいした可能性が判明。VPNの脆弱性が侵入の足掛かりとなり、ゼロトラスト架构でも保守運用担当者のアカウント経由で大量のファイルにアクセスされた。

New DDRop Attack Breaks Intel TDX and AMD SEV-SNP Confidential Computing

サーバのメモリへの書き込みをサイレントにドロップさせ、プロセッサに古い暗号化データをそのまま読ませる新しいハードウェア攻撃「DDRop」が公開された。Intel TDXおよびAMD SEV-SNPのメモリ保護を突破可能で、物理アクセスを持つ攻撃者が対象。

Anthropic CEO: Time to Shift From Improving to Controlling AI

AnthropicのDario Amodei CEOが、フロンティアAIの改善ペースを落とし、セキュリティとリスク防止の取り組みが追いつくよう呼びかけた。中国政府はこれに対し、全ての当事者がAIについて協力すべきであると反論している。

なぜ悪性パッケージは届いてしまうのか、パッケージレジストリの対策の歴史から考える

2026年に入ってから相次ぐソフトウェアサプライチェーン攻撃を受け、パッケージレジストリのセキュリティ機能（lockfile、2FA、Trusted Publishingなど）がどのように発展してきたかを時系列で整理。

U.S. CISA adds GitLab, JFrog Artifactory, and ConnectWise ScreenConnect flaws to its Known Exploited Vulnerabilities catalog

CISAは、GitLab、JFrog Artifactory、ConnectWise ScreenConnectの脆弱性を悪用リスト（KEV）に追加。いずれもすでに悪用が確認されており、早急なパッチ適用が求められている。

📅 セキュリティ週次まとめ

• ★Weekly記事レビュー（先週気になった記事） — Feedly (Fox on Security) — 先週読んだセキュリティ関係の記事の中で気になったものをまとめた週次レビュー。
• 💰 Security, Funded #261 - [AI] Agent Provocateur — Feedly (Return on Security) — 2026年9月7日週のサイバーセキュリティ分野の資金調達、M&A、カテゴリ動向をまとめた経済ブリーフ。
• ⚡ Weekly Recap: Rogue AI Agents, WeChat Worm, PaperCut Attacks, AI Espionage, and Rootkits — Feedly (The Hacker News) — 今週の主なセキュリティニュースとして、悪意のあるAIエージェント、WeChatワーム、PaperCut攻撃などを振り返る。

📰 セキュリティニュース (28件)

CVE, 脆弱性

GitLab 脆弱性・悪用関連（3件）

• U.S. CISA adds GitLab, JFrog Artifactory, and ConnectWise ScreenConnect flaws... — Feedly (Security Affairs) — CISAがGitLab、JFrog、ConnectWiseの脆弱性をKEVカタログに追加。

• Perfect-10 GitLab bug under attack days after patch lands — Feedly (The Register) — パッチ適用から数日でGitLabの脆弱性を悪用した攻撃を確認、CISAも注意喚起。

• 🚨 CVE-2026-85706 - GitLab CE/EE <=19.1.7/19.2.5/19.3.1 - Arbitrary File Read — X Search (Dhiyaneshwaran) — GitLabの任意ファイル読み取り脆弱性CVE-2026-85706のNucleiテンプレートが公開。

• Windows Defenderの脆弱性 修正からわずか数日で修正回避のPoC登場 — Feedly (ITmedia) — Microsoftが修正したWindows Defenderの脆弱性を回避する新たなPoCが公開され、ユーザー側の対策が課題に。

• コンテックの法人向けWi-Fi機器「FLEXLAN」シリーズに複数の脆弱性 — Feedly (INTERNET Watch) — コンテックのWi-Fi機器に複数の脆弱性、JVNが最新ファームウェアへの更新を呼びかけ。

• Chinese Hackers Exploit Critical Tencent Software Flaw for One-Click Code Execution — Feedly (SecurityWeek) — Windows用Tencent入力IMEの深刻な脆弱性を中国のハッカーが悪用、リモートコード実行が可能に。

• Three JFrog Artifactory Flaws Exploited for Backdoor Deployment — Feedly (SecurityWeek) — JFrog Artifactoryの認証バイパスや権限昇格の脆弱性が悪用され、バックドアのデプロイに利用されている。

• ConnectWise Patches ScreenConnect Vulnerability Exploited in Worm-Like Attacks — Feedly (SecurityWeek) — ConnectWiseがScreenConnectの脆弱性を修正、ワームのように拡散する攻撃で悪用されていた。

• Dutch NCSC Warns: Critical Check Point VPN Flaws Put Networks at Risk — Feedly (Security Affairs) — オランダNCSCがCheck Point VPNのCVSS 9.8の重大な脆弱性2つについて警告、早急なパッチを推奨。

• AWS SSM Agent の脆弱性(CVE-2026-89049) の被害があったかどうかを CloudTrail で確認する方法 — Zenn (cscloud_blog) — AWS SSM AgentのCVSS 9.9の脆弱性について、CloudTrailログを用いた被害確認方法を解説。

サイバー攻撃, インシデント・マルウェア

デジタル庁GSS 不正アクセス・情報漏えい（2件）

• 「ゼロトラスト」でも防げず？ 政府共通基盤GSSで24.6万件が漏えいか — Feedly (ITmedia) — デジタル庁GSSでVPN脆弱性経由の不正アクセス、24.6万件漏えいの可能性。

• デジタル庁のGSSに不正アクセス、職員らの個人情報約24.6万件が漏えいした可能性 — Feedly (サイバーセキュリティ.com) — デジタル庁がGSSへの不正アクセスと個人情報漏えい可能性を発表。

• Red Heron Exploits Gitea RCE to Compromise 13 Organizations Across Six Countries — Feedly (The Hacker News) — 中国の脅威アクターRed HeronがGiteaのRCE脆弱性を悪用し、6カ国13組織を侵害。

• Malicious Twitch Browser Extension Leaks OAuth Tokens From Nearly 31,000 Users — Feedly (The Hacker News) — 悪意のあるTwitchブラウザ拡張機能が約31,000ユーザーのOAuthトークンをロシアのボットサービスに漏洩。

• Personal, Financial Info Exposed in Revolut Data Breach — Feedly (SecurityWeek) — Revolutが政府機関を装った第三者に誤ってユーザーの個人情報や金融情報を開示。

• Telus Warns Customers of Account Breaches — Feedly (SecurityWeek) — 盗まれた認証情報を用いた数ヶ月間のキャンペーンで、Telusの顧客データが侵害される。

• 立教大学で6人のアカウントに不正アクセス、迷惑メール1万7,668件を送信 — Feedly (サイバーセキュリティ.com) — 立教大学で学生・卒業生のGoogleアカウントが不正アクセスを受け、大量の迷惑メールが送信される。

• OpenAI's malicious bot swarm attacked RubyGems — Feedly (The Register) — OpenAIのボットスウォームがRubyGemsを攻撃した件に関する報道。

セキュリティツール, 研究

• New DDRop Attack Breaks Intel TDX and AMD SEV-SNP Confidential Computing — Feedly (The Hacker News) — メモリ書き込みをドロップさせるDDRop攻撃がIntel TDXとAMD SEV-SNPを突破。
• Touch ID 付きでローカルにシークレットを保管できるコマンドラインツール「cubby」の紹介 — Zenn (kou_pg_0131) — Mac専用のローカルシークレット管理CLIツール「cubby」をTouch IDと合わせて紹介。

Web Application Security, WebSec, OWASP

• Add AI-Advertising Security cheat sheet series — Feedly (OWASP) — OWASP Cheat Sheet SeriesにAI広告セキュリティに関するチートシートが追加。
• SSRF: validate with an allowlist, not with a parser — Feedly (OWASP) — SSRF対策としてパーサーではなく許可リストによるバリデーションを推奨するPR。
• A massive thank you to @SerpApi for becoming an OWASP Corporate Supporter — X Search (OWASP® Foundation) — SerpApiがOWASPのコーポレートサポーターに就任。
• Am I alone in thinking that "assume all code has exploitable vulnerabilities..." — X Search (LiveOverflow 🔴 hextree.io) — セキュリティアーキテクチャ設計における「脆弱性を前提としたシステムモデリング」のアドバイスに対する実践的な疑問と考察。

Bug Bounty

• ‘I usually choose targets that offer value to society’: krevetk0 on his principled approach to Bug Bounty hunting — Feedly (YesWeHack) — 社会に価値を提供するターゲットを原則的に選ぶBug Bountyハンターkrevetk0氏のインタビュー。
• ✅ [New bug bounty] @HotcoinGlobal is now live on HackenProof! — X Search (HackenProof) — HotcoinGlobalの新しいBug BountyプログラムがHackenProofで開始。
• It’s the home stretch... you have one final week to win a physical copy of the Hacker Culture Manual — X Search (bugcrowd) — BugcrowdがHacker Culture Manualの現物プレゼントキャンペーンの最終週を発表。

DevSecOps, CI/CD

• WordPress Adds Automated Plugin Reviews to Block High-Risk Updates Before Distribution — Feedly (The Hacker News) — WordPressがプラグインの自動セキュリティレビューを導入、高リスクな更新を配布前にブロック。

クラウドセキュリティ

• AI Changed the Exposure Problem. Validation Needs to Change With It. — Feedly (The Hacker News) — AIにより脆弱性発見が高速・大規模化した一方、ディフェンダーはどの発見に対応すべきかの検証が課題に。

プライバシー, 法規制, セキュリティ政策

• 情報セキュリティ早期警戒パートナーシップガイドライン改訂案を公開しました — Feedly (IPA) — IPAが情報セキュリティ早期警戒パートナーシップガイドラインの改訂案を公開。
• 中露・北朝鮮の関与が疑われるサイバー攻撃への言及増加、警察庁がサイバー空間の脅威情勢レポート — Feedly (INTERNET Watch) — 警察庁が令和8年上半期のサイバー脅威情勢レポートを公開、中露・北朝鮮の関与やAI・IoT悪用に言及。
• UK.gov begins killing off passwords for 23 million users — Feedly (The Register) — 英政府が2300万ユーザー向けにパスワードを廃止し、パスキーへ移行開始。

セキュリティ系の勉強会やイベント、カンファレンス

• 【フル参戦記】サイバーセキュリティ勉強会2026夏 in 塩尻（懇親会・食事会編） — Feedly (Fox on Security) — 長野県塩尻市で開催されたサイバーセキュリティ勉強会2026夏の参加レポート。

会社ブログ, その他

• IPA、ランサムウェア被害組織の生の声から得た“11の教訓”を公開 — Feedly (ITmedia) — IPAがランサムウェア被害企業へのヒアリングから導き出した11の教訓を公開。
• Inside Omarchy: DHH’s $18.5 million Linux distro, its security holes, and the boycott campaign against it — Feedly (The CyberSec Guru) — DHH関連のLinuxディストリビューションOmarchyのセキュリティホールとボイコットキャンペーンに関する分析。
• Apple Updates Everything, (Mon, Sep 14th) — Feedly (SANS) — Appleが全OSの年次アップデートで過去最多となる261の脆弱性を修正。

🤖 AI, 機械学習

AI, 機械学習ニュース (16件)

新モデル、研究論文

• Why don't machine learning research agents overfit? — HN — Amazon Scienceが、機械学習研究エージェントがなぜ過学習しないのかについて考察。
• When LLM judges agree, should we believe them? — HN — LLMジャッジが一致した場合にそれを信じるべきかどうかについての研究。
• Show HN: Nari Qwen3-TTS and Qwen3-ASR – High accuracy, low latency and cost — HN — 高精度・低遅延・低コストの音声AIモデルQwen3-TTS/ASRの紹介。

AIツール, サービス, 製品

• 育児記録をMCPでAIから読み書きできるようにした話 — Zenn (ushio) — 育児記録アプリにリモートMCPサーバを実装し、AIエージェントから読み書き可能にした事例。
• goose AIエージェントとは｜Block発・AAIF運営の汎用OSSを実測解説 — Feedly (AI Heartland) — Block発の汎用OSS AIエージェント「goose」の仕様と動作をOpenHands・Aiderと比較解説。
• LINEヤフーの「Agent i」に、一度設定したら自動的・継続的にAIエージェントが働く「タスク機能」追加 — Feedly (INTERNET Watch) — LINEヤフーのAIエージェント「Agent i」に自律的にタスクを代行する新機能が追加。
• The winner of an Anthropic hackathon open sourced his entire Claude Code setup — X Search (Mr. Buzzoni) — Anthropicハッカソン優勝者がClaude Codeのセットアップ（68サブエージェント、286スキル）をOSS公開。
• 【Tips】Claude Code: サブエージェント並列活用 ✕ コンテキスト管理 — X Search (ほっちぃ@claudeに青春捧げた人) — Claude Codeのサブエージェント並列実行とコンテキスト管理のTipsをセキュリティ実務に応用する考察。

LLM, エージェント実装

• Notes on gotchas while migrating 35kb preprompts from Opus to self-hosted Ollama — HN — 大規模なプロンプトをOpusからセルフホストOllamaへ移行する際の注意点とノウハウ。
• 10層で見るAIの現在地。エンジニアが磨く知識はどこにあるか — Zenn (1amageek) — AIスタックを10層で整理し、エンジニアが今後磨くべき知識の領域を考察。
• Codexにメールを頼んだら、送信ボタンがオレの机に来たので、AIに稟議書を書かせることにした — Zenn (shio_shoppaize) — AIエージェント（影武者）を活用した顧客メール対応や稟議書作成の自動化事例。
• モデル更新で陳腐化しにくいハーネス設計を考える — Zenn (omu_tryangle) — GPT-6 Astra等新モデル登場に伴い、陳腐化しにくいAIハーネスの設計方法を考察。
• Claude Codeのトークン節約に、コードチェックをローカルのLLMにやらせてみた — Zenn (iostar) — Claude Codeのトークン消費を抑えるため、ローカルLLM（Qwen）にコードチェックを任せた検証結果。

AI政策, 倫理, 動向

Anthropic CEO AI開発減速・制御呼びかけ（3件）

• Anthropic CEO: Time to Shift From Improving to Controlling AI — Feedly (Dark Reading) — Anthropic CEOがAI改善から制御へシフトすべきと提言、企業への影響を考察。

• Beijing Hits Back at Anthropic CEO’s Call to Curb China’s AI Development — Feedly (SecurityWeek) — 中国外務省がAnthropic CEOのAI開発抑制呼びかけに対し、協力すべきであると反論。

• Anthropic CEO Calls for an AI Slowdown. Is It Possible? — Feedly (Security Affairs) — Anthropic CEOのAI減速提案と、地政学的競争による自主的一時停止の脆弱性を分析。

• New Warnings About the Risks of AI to Humanity Revive a Long-Running Debate — Feedly (SecurityWeek) — AIモデルの強力化に伴い、人類へのリスクや悪用懸念に関する議論が再燃。

• The Race to Control AI and Protect What Makes Us Human — Feedly (SecurityWeek) — AIの制御と人類の批判的思考の保護に関するRaceについての考察。

• CISOs Race to Control AI Agents Without Destroying Their Value — Feedly (SecurityWeek) — CISOらがAIエージェントの価値を損なわずに制御・現代化するための課題に直面。

• Adversarial Fashion Makes a Statement on AI Panopticon — HN — AIの監視社会（パノプティコン）に対抗するためのアドバーサリアルファッションに関する記事。

• Claude is a Contrarian — HN — Claudeの挙動に関する考察。

📌 その他注目技術

その他注目技術ニュース (8件)

ブラウザのアップデート, 新機能

• Added support for the navigate option for the Notification constructor — Feedly (Firefox Nightly) — Firefox 158 NightlyでNotificationコンストラクタのnavigateオプションをサポート。
• Starting with Firefox 158, Firefox Nightly supports the corner-shape property — Feedly (Firefox Nightly) — Firefox 158 Nightlyでcorner-shapeプロパティをサポート。
• Starting with Firefox 158, the Sanitizer API in Firefox Nightly builds sanitizes while parsing — Feedly (Firefox Nightly) — Firefox 158 NightlyのSanitizer APIがパース中にサニタイズを行うよう変更。
• Starting with Firefox 156, Firefox Nightly supports Scoped Custom Element Registries — Feedly (Firefox Nightly) — Firefox 156 Nightly以降でScoped Custom Element Registriesをサポート。
• Chrome Dev for Android Update — Feedly (Chrome Releases) — Chrome Dev for Androidのアップデート情報。

開発ツール, プラットフォーム

• Pion, an agent designed to run any company autonomously — HN — 自律的に会社を運営するために設計されたエージェント「Pion」の紹介。
• Crowi 開発日記 #12 (alpha.18, alpha.19) — Zenn (sotarok) — Crowiのalpha.18, alpha.19リリースログとrelational collectionの構造変更について。

その他

• Iranian banks' SSL certificates are being revoked due to OFAC sanctions — HN — OFAC制裁によりイランの銀行のSSL証明書が失効している問題。

📌 その他採用や組織マネジメント

該当する記事はありませんでした。

📋 掲載除外リスト

取得状況