2026-W28
週次まとめ 2026-W28 (07/06〜07/12)
日次ノート
- 2026-07-06 — security: 17件 ai: 4件 tech: 1件
- 2026-07-07 — security: 43件 ai: 20件 tech: 13件
- 2026-07-08
- 2026-07-09 — security: 42件 ai: 16件 tech: 8件
- 2026-07-10
- 2026-07-11 — security: 30件 ai: 9件 tech: 10件
- 2026-07-12 — security: 20件 ai: 19件 tech: 6件
週計
| カテゴリ | 合計 |
|---|---|
| 🔒 セキュリティ | 152件 |
| 🤖 AI | 68件 |
📅 セキュリティ週次まとめ
| 日付 | ソース | タイトル | 要約 |
|---|---|---|---|
| 2026-07-06 Feedly (Critical Thinking - Bug Bounty Podcast) | postMessage targetOrigin bypass via IP normalization | 整数IPホストがサブドメイン正規表現をすり抜け、postMessageデータを攻撃者制御のオリジンにリダイレクトさせる脆弱性の詳細な技術検証と攻撃手法の解説。 | |
| 2026-07-07 Return on Security | 💰 Security, Funded #251 - Silence of the M&As | サイバーセキュリティ業界の資金調達・M&A・カテゴリ動向をまとめた週次経済ブリーフ。2026年6月29日週の業界を動かした主要な動きを分析。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: Rancherに複数の脆弱性 | Rancherに複数の脆弱性が報告されました。アップデートの適用が推奨されます。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: 複数のUbiquiti製品に脆弱性 | 複数のUbiquiti製品に脆弱性が報告されました。影響を受ける製品の確認とアップデートが必要です。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: セイコーソリューションズ製SkyBridge MB-A100/MB-A110にOSコマンドインジェクションの脆弱性 | セイコーソリューションズ製SkyBridgeにOSコマンドインジェクションの脆弱性が報告されました。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: Apache Tomcatに複数の脆弱性 | Apache Tomcatに複数の脆弱性が報告されました。早急なバージョンアップが推奨されます。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性 | Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性が報告されました。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: Google Chromeに複数の脆弱性 | Google Chromeに複数の脆弱性が修正されました。最新版へのアップデートを実施してください。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: 複数のアドビ製品に脆弱性 | 複数のアドビ製品に脆弱性が報告され、アップデートが提供されています。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: 複数のMozilla製品に脆弱性 | 複数のMozilla製品に脆弱性が報告されました。該当製品の更新が推奨されます。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）に反射型クロスサイトスクリプティングの脆弱性 | リコー製プリンターおよび複合機に反射型クロスサイトスクリプティングの脆弱性が報告されました。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: 複数のApple製品に脆弱性 | 複数のApple製品に脆弱性が報告されました。最新のOSバージョンへの更新が推奨されます。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: Fluentdに複数の脆弱性 | Fluentdに複数の脆弱性が報告されました。ログ収集基盤のセキュリティ確保のためアップデートを推奨します。 | |
| 2026-07-08 JPCERT/CC | Weekly Report: JPCERT/CC 感謝状 2026 | JPCERT/CCよりセキュリティ業界への感謝状に関するお知らせです。 | |
| 2026-07-09 Detection Engineering Weekly | DEW #162 - Detonating TTPs with Agents, Writing Rules for Malicious Coding Agents & Skills Threat Models | エージェントを用いたTTPの検知、悪意あるコーディングエージェント向けルール作成、スキルの脅威モデルに関する週次まとめ。 | |
| 2026-07-10 tl;dr sec | [tl;dr sec] #336 - Autonomous Vulnerability Hunting, GuardDog 3.0, Are Bug Bounties Cooked? | 自律的な脆弱性ハンティングシステム、DatadogのOSSマルウェア検出ツールGuardDog 3.0、バグバウンティの将来性に関するHaklukeの考察など、今週のセキュリティトピックをまとめたニュースレター。 | |
| 2026-07-11 Vulnerable U | 🎓️ Vulnerable U | #176 | Microsoft IDが法廷でハッカー追跡に使用された事例、Vidar情報窃取マルウェアのインテリジェンス分析、注目すべきゼロデイ脆弱性など、週次セキュリティニュースのまとめ。 |
今週の注目トピック TOP 10
Linuxカーネルの深刻な脆弱性（GhostLock, Bad Epoll, Januscape）
今週、15年前から存在したGhostLock（CVE-2026-43499）や19年前のCVE-2026-43456、16年前のJanuscape（CVE-2026-53359）など、Linuxカーネルに長期間潜伏していた深刻な脆弱性が相次いで公開された。いずれもローカルでの権限昇格やVM脱出を可能にするもので、GoogleのkernelCTFを通じて高額の報奨金が支払われた事例も報告されている。クラウド事業者や企業のサーバー管理者は、これらの脆弱性に対する早急なパッチ適用が求められる。
KDDI ISP向けメール基盤への不正アクセスと大規模情報漏洩
KDDIのISP事業者向けメールシステムがゼロデイ脆弱性を悪用した攻撃を受け、メールアドレス約1,223万件、パスワード約761万件が流出した。BIGLOBEやニフティなど関連ISPにも影響が波及し、合計で約727万人分の漏洩が確認されている。国内最大級の個人情報漏洩事案として大きな波紋を呼び、利用者へのパスワード変更などの対応が急務となっている。
AIコーディングエージェントを狙う新たな攻撃手法（GitLost, GhostApproval, HalluSquatting）
AIエージェントやコーディングアシスタントを標的とした新たな脆弱性や攻撃手法が複数報告された。GitHubのAIエージェントからプライベートリポジトリ情報を漏洩させるGitLost、シンボリックリンクを悪用して開発者マシン上で任意コードを実行するGhostApproval、AIの幻覚を利用してマルウェアを配信するHalluSquattingなど、AI開発環境のセキュリティリスクが顕在化している。
CISAによるAdobe ColdFusion、Langflow、Joomla拡張のKEV追加
CISAはAdobe ColdFusion（CVE-2026-48282、CVSS 10.0）、Langflow（CVE-2026-55255）、JoomShaper SP Page Builder（CVE-2026-48908）、Joomlack Page Builder（CVE-2026-56290）など、複数の深刻な脆弱性を悪用リストに追加した。特にAdobe ColdFusionはすでに攻撃が確認されており、連邦政府機関に対して7月10日までのパッチ適用が義務付けられた。
未成年によるChatGPT悪用サイバー攻撃事件（バンダイチャンネル、快活CLUB）
バンダイチャンネルや快活CLUBへの不正アクセス事件で、ChatGPTを使って攻撃プログラムを作成した10代の少年らが相次いで逮捕された。快活CLUBでは約729万件の会員情報が流出し、グループには当時小学6年生も含まれていた。生成AIの悪用による若年層のサイバー犯罪が新たな社会問題として注目を集めている。
Sysdigは、LLMエージェントが人間の介在をほとんど受けずに初期侵入からデータ窃取、暗号化、恐喝までを完遂した初の文書化事例「JadePuffer」を報告した。Langflowの脆弱性を悪用して侵入し、失敗時には31秒で自己修正しながら攻撃を継続する能力が確認されている。AIによる自律型サイバー攻撃の現実性を示す重要なマイルストーンとなった。
EU議会はメッセンジャーアプリにおける通信内容スキャンを義務付ける「Chat Control 1.0」法案を可決した。阻止に必要な360議席に届かず、CSAMスキャン規則の暫定施行が決定した。プライバシー保護団体やデジタル権利団体からは強い反発が起きており、今後の運用と法的異議申し立てが注目される。
[Microsoft Defenderのゼロデイ脆弱性RoguePlanet（CVE-2026-50656）](https://thehackernews.com/2026/07/microsoft-patches-rogueplanet-defender.html)
MicrosoftはDefenderのマルウェア保護エンジンに存在する特権昇格の脆弱性CVE-2026-50656（CVSS 7.8）を修正した。Nightmare Eclipseグループによるエクスプロイトコード公開から約1か月後のパッチ適用となった。セキュリティ製品自体の脆弱性という皮肉な事態に、業界からは対応の遅れを指摘する声も上がっている。
AIモデル開発やデータ活用促進のため、病歴や犯罪歴などのセンシティブ情報も本人同意なく第三者提供を可能とする改正個人情報保護法が7月10日に成立した。AI開発の推進とプライバシー保護のバランスをめぐり、市民団体や専門家からは懸念の声が上がっている。企業のAI開発戦略に大きな影響を与える法改正として注目される。
GitHubはnpm 12をリリースし、サプライチェーンリスク低減のためインストールスクリプトをデフォルトで無効化した。また、2FAバイパス用のGranular Access Tokenも廃止された。jscramblerパッケージへのマルウェア混入事案も発生する中、パッケージマネージャーレベルでのセキュリティ強化の動きとして評価されている。
脆弱性対応優先度リスト
🔴 今すぐ対処（CISA KEV または VulnCheck KEV 掲載）
| CVE | 対象ソフトウェア | 深刻度 | 悪用 | 備考 |
|---|---|---|---|---|
| CVE-2026-48282 | Adobe ColdFusion | 緊急 | 有 | CISA KEV掲載。CVSS 10.0。パストラバーサル。攻撃確認済み。 |
| CVE-2026-55255 | Langflow | 重要 | 有 | CISA KEV掲載。認可バイパス。JadePufferランサムウェアで悪用。 |
| CVE-2026-48908 | JoomShaper SP Page Builder | 重要 | 有 | CISA KEV掲載。任意ファイルアップロード。RCEに至る可能性。 |
| CVE-2026-56290 | Joomlack Page Builder | 重要 | 有 | CISA KEV掲載。不正アクセス制御。 |
| CVE-2026-56291 | Balbooa Forms | 重要 | 有 | CISA KEV掲載。任意ファイルアップロード。RCEに至る可能性。 |
| CVE-2026-48939 | iCagenda | 重要 | 有 | CISA KEV掲載。任意ファイルアップロード。RCEに至る可能性。 |
| CVE-2026-48558 | SimpleHelp | 重要 | 有 | CISA KEV掲載。認証バイパス。OIDC署名検証欠陥。MFAバイパス可能。 |
| CVE-2026-34910 | Ubiquiti UniFi OS | 重要 | 有 | CISA KEV掲載。コマンドインジェクション。 |
| CVE-2026-34909 | Ubiquiti UniFi OS | 重要 | 有 | CISA KEV掲載。パストラバーサル。 |
| CVE-2026-34908 | Ubiquiti UniFi OS | 重要 | 有 | CISA KEV掲載。不正アクセス制御。 |
| CVE-2025-67038 | Lantronix EDS5000 | 重要 | 有 | CISA KEV掲載。コードインジェクション。 |
🟡 今週中に対処（悪用未確認・CVSS 7.0以上）
| CVE | 対象ソフトウェア | 深刻度 | 悪用 | 備考 |
|---|---|---|---|---|
| CVE-2026-43456 | Linuxカーネル（ボンディングドライバ） | 重要 | 無 | 19年前から存在。型混同による権限昇格。Google kernelCTFで$80k報奨金。 |
| CVE-2026-46242 | Linuxカーネル（epoll） | 重要 | 無 | 競合状態によるroot権限昇格。PoC公開済み。Androidにも影響。 |
| CVE-2026-53359 | Linux KVM | 重要 | 無 | 16年前から存在。ゲストVMからホストへのエスケープ。PoC公開済み。 |
| CVE-2026-43499 | Linuxカーネル（rtmutex） | 重要 | 無 | 15年前から存在。root権限昇格とコンテナエスケープ。攻撃成功率97%。 |
| CVE-2026-20896 | Gitea Dockerイメージ | 緊急 | 有 | CVSS 9.8。認証バイパス。実環境での悪用試行確認。 |
| CVE-2026-50656 | Microsoft Defender | 重要 | 有 | CVSS 7.8。特権昇格。Nightmare Eclipseがエクスプロイト公開。パッチ適用済み。 |
| CVE-2026-52761 | OWASP ModSecurity | 重要 | 無 | WAFルールバイパス。v3.0.16で修正済み。 |
| CVE-2026-52747 | OWASP ModSecurity | 重要 | 無 | WAFルールバイパス。v3.0.16で修正済み。 |
| CVE-2026-57589 | OpenBSD | 重要 | 無 | Use-After-Freeによるローカル権限昇格。 |
🟢 監視（悪用未確認・CVSS 7.0未満）
| CVE | 対象ソフトウェア | 深刻度 | 悪用 | 備考 |
|---|---|---|---|---|
| CVE-2026-11405 | Tendaルーター | 警告 | 無 | 隠し管理バックドア。パッチ未提供。 |
今週の脅威アクター・攻撃キャンペーン
Langflowの脆弱性（CVE-2026-55255）を悪用し、LLMエージェントが自律的に侵入からデータ窃取、暗号化、恐喝までを完遂した初の文書化事例。本番データベースサーバーからデータを窃取し、他システムを暗号化。失敗時には31秒で自己修正する能力が確認された。標的は特定業種に限定されず、LLMを活用した攻撃の新たな脅威を示す。
Armored Likho APT - AI生成マルウェアを使用した政府・電力網攻撃
金銭目的とサイバーエスピオナージの両面を持つAPTグループ。ロシア、カザフスタン、ブラジルの政府機関と電力事業者を標的に、AIが生成したマルウェアを使用。モジュラー型RATや情報窃取ツールを展開し、T1071（アプリケーション層プロトコル）やT1059（コマンドとスクリプトインタープリター）などの手法を用いる。
UAT-7810 - LONGLEASHマルウェアによるルーターC2ネットワーク構築
中国に関連するとみられるAPTグループ。企業向けワイヤレスルーターを標的に、新マルウェア「LONGLEASH」を展開。侵害したルーターを自律的なC2中継ノードに変換し、ORBネットワークを拡大。T1584（インフラストラクチャの侵害）やT1090（プロキシ）などの手法を活用。
Silver Fox - MODBEACON RATを使用したサイバー犯罪活動
中国系サイバー犯罪グループ。Rust製の新RAT「MODBEACON」を使用し、gRPCストリーミングによる暗号化C2通信を特徴とする。低ソフィスティケーションながら高頻度の活動を展開し、T1573（暗号化チャネル）やT1095（非アプリケーション層プロトコル）などの手法を用いる。
O-UNC-066 - 偽のEntraパスキー登録によるMicrosoft 365アカウント乗っ取り
Oktaが追跡する脅威アクター。音声通話を用いた偽のセキュリティリクエストでMicrosoft 365ユーザーにEntraパスキー登録を誘導し、データ恐喝攻撃を実行。複数セクターの組織が標的となり、T1598（フィッシング情報収集）やT1566（フィッシング）などの手法を用いる。
PolinRider - 北朝鮮によるOSSサプライチェーン攻撃
北朝鮮に関連する脅威アクター。100以上の正規OSSパッケージとリポジトリを侵害し、開発者にバックドアと情報窃取マルウェアを配信。T1195（サプライチェーン侵害）やT1608（ステージング能力）などの手法を用い、ソフトウェア開発者を標的とする。
GigaWiper - 複数マルウェア統合型破壊的バックドア
Microsoftが2025年10月に発見したGo製モジュラー型バックドア。スタンドアロンワイパー、ランサムウェア暗号化、マルチパスワイピングの3系統のマルウェアを単一パッケージに統合。T1485（データ破壊）やT1486（データ暗号化）などの破壊的攻撃手法を組み合わせた高度なツール。
GodDamnランサムウェア - BYOVD攻撃によるエンドポイント防御無効化
Microsoft署名済みの悪意あるカーネルドライバPoisonXを利用したBYOVD（Bring Your Own Vulnerable Driver）攻撃を展開。エンドポイントセキュリティ製品を無効化した上でランサムウェアを実行。T1068（特権昇格の悪用）やT1562（防御の妨害）などの手法を用いる。
AI/LLMセキュリティ週次動向
今週はAIコーディングエージェントやLLMを標的とした新たな攻撃手法が集中的に報告され、AI開発環境のセキュリティリスクが一気に顕在化した。Noma Securityの研究者は、公開GitHub Issueに細工した指示を埋め込むだけでAIエージェントにプライベートリポジトリの内容を漏洩させるGitLostを実証した。認証情報や特別なアクセス権は不要であり、現在も修正は提供されていない。また、Wizの研究者は6つの主要AIコーディングアシスタントにシンボリックリンクを悪用するGhostApproval脆弱性を発見し、悪意あるリポジトリが開発者のマシン上で任意のコードを実行できることを示した。
AIの幻覚（ハルシネーション）を悪用する新たな攻撃手法HalluSquattingも報告された。AIコーディングアシスタントが実在しないパッケージ名を提案する特性を利用し、攻撃者が事前に同名の悪意あるパッケージを登録しておくことで、開発者にマルウェアをインストールさせる手法である。研究者は実際にボットネットマルウェアの配信に成功しており、AI支援開発の新たなサプライチェーンリスクとして注目される。
防御側では、AIを活用したセキュリティ対策の動きも加速している。CISAはAnthropicのMythos AIを導入し、連邦政府のコードをスキャンして脆弱性を発見する取り組みを開始した。また、SophosはAIコーディングエージェントがエンドポイントセキュリティの行動検知ルールを誤って発動させる現象を報告し、AIツールとセキュリティ製品の共存に関する新たな課題を提起している。
AIエージェントの自律性が高まる中、JadePufferに代表されるLLM駆動型攻撃の脅威も現実のものとなった。Sysdigの報告によれば、LLMエージェントが人間の介在なしに侵入から恐喝までを完遂した初の事例であり、失敗時の自己修正能力も確認されている。攻撃の自動化と高速化が進む中、防御側もAIを活用した対応の迅速化が急務となっている。
AIセキュリティの標準化に向けた動きも見られた。AnthropicはAmazon、Microsoft、Googleと共同でAIジェイルブレイクの深刻度を共通基準で評価する枠組みの構築に着手した。また、英国政府はエージェント型AI防御計画を発表し、産業界と連携したサイバーセキュリティレベルの向上を目指している。
来週の注目点
今週話題の脆弱性・CVEの続報
CVE-2026-43499（GhostLock）は2011年以降のほぼすべての主要Linuxディストリビューションに影響する深刻な脆弱性であり、各ディストリビューターからのパッチ提供状況と適用状況が来週も引き続き注目される。CVE-2026-53359（Januscape）はKVMのゲスト脱出を可能にする脆弱性で、クラウド事業者への影響評価とパッチ適用の進捗が焦点となる。CVE-2026-20896（Gitea）は実環境での悪用が確認されており、セルフホスト型Gitサービスを運用する組織での対応状況が注視される。
PoC公開が近いもの
CVE-2026-43499（GhostLock）は詳細なエクスプロイトチェーンの技術的解説が公開されており、来週中に実用的なPoCが広く出回る可能性が高い。CVE-2026-46242（Bad Epoll）はすでにPoCが公開されているが、Android向けのエクスプロイトは未確認であり、モバイル環境での実証が来週行われる可能性がある。CVE-2026-53359（Januscape）もGitHubでPoCが公開されており、クラウド環境での実証実験が進むと予想される。
未解決インシデントの続報
KDDIのISP向けメール基盤への不正アクセス事案は、攻撃に使用された「未知の脆弱性」の詳細が未公表であり、来週にも技術的な原因分析が発表される可能性がある。Accentureのデータ侵害事案は、ハッカー「888」が主張する35GBのソースコード窃取の真偽と影響範囲の全容が未確定である。アフラック生命保険の不正アクセス事案も、金融庁の報告徴求命令に対する回答内容と二次被害の有無が来週明らかになる見込みである。
脅威アクターの継続監視
UAT-7810によるLONGLEASHマルウェアの展開は、侵害されたルーターのC2ネットワークが拡大している可能性があり、新たな感染報告やCisco Talosの追加分析が来週発表される可能性がある。Silver FoxグループのMODBEACON RATはgRPCストリーミングを用いた新しいC2通信手法を採用しており、他の脅威アクターへの波及や検知回避技術の進化が注視される。O-UNC-066による偽のEntraパスキー登録攻撃は現在進行形で展開されており、新たな標的組織や攻撃のバリエーションが報告される可能性がある。
セキュリティカンファレンス・イベント
来週はBlack Hat USA、BSides、DEF CON 34がラスベガスで開催される予定であり、PortSwiggerなど複数のセキュリティ企業が参加を表明している。これらのカンファレンスでは、今週報告されたLinuxカーネルの脆弱性やAIエージェント攻撃に関する詳細な技術発表が行われる可能性が高く、新たな脆弱性や攻撃手法の公開にも注意が必要である。