最新記事一覧
GitHubは、組織内のコードに潜む脆弱性をワンクリックで可視化する無料スキャン機能「Code Security Risk Assessment」を発表した。ライセンスや設定が不要で、数分で結果を得られる。
()
ボストンで開催されたIBMの顧客イベント「Think Boston 2026」。会場の熱気とは裏腹に、同社はかつてない逆風にさらされていた。米Anthropic「Claude Mythos」は、メインフレームの脆弱性を容易に特定し、IBMの牙城を根底から揺るがす。「SaaSの死」という言葉が飛び交い、IBMの株価は30％近く急落した。この「Anthropicショック」に対し、IBMはどう立ち向かうのか。レガシーをAI時代の資産へと変える「4つの武器」と、反撃に向けた逆転のシナリオを現地から詳報する。
()
Anthropicが発表したAIモデル「Mythos」が波紋を広げている。システムの脆弱性を自動で網羅的に特定できるため、悪用されれば甚大な被害が出かねない。IMFが警告する、世界規模の金融崩壊のシナリオとは。
()
Cloudflareは、Anthropicのセキュリティ特化型AIモデル「Claude Mythos Preview」を用いた検証結果を公開した。複数の脆弱性を組み合わせて攻撃手法を構築し、実証コードまで自動生成する能力は、従来の自動スキャナをはるかに超え「シニア研究者」の域に達している。
()
Claude Mythos Previewに代表される高性能AIによる脆弱性発見の高速化を背景に、政府はついにAI時代のサイバー攻撃を前提とした新たな防衛戦略に乗り出した。国家横断で始動した「Project YATA-Shield」は、日本の重要インフラをどう守るのか。
()
Cloudflareは、Anthropicの新型LLM「Claude Mythos Preview」を自社インフラで動かして検証した。同社が「単純な性能向上ではなく、脆弱性探索ツールとして別種の能力を備えた」と評価するこのAIモデルの実力を細かくみていこう。
()
Cloudflareは、AnthropicのLLM「Mythos Preview」を50超の自社リポジトリー検査へ投入した結果を公表した。脆弱性連鎖の推論やPoC自動生成で高性能を示した半面、誤検知抑制や運用基盤整備の必要性も示した。
()
米セキュリティ企業のCalifが、米Appleが5年がかりで開発した最先端のセキュリティ対策「MIE」を突破するエクスプロイト（攻撃プログラム）を、わずか5日間で開発したと発表した。利用したのはAnthropicのAIモデル「Mythos」のプレビュー版だった。
()
Cloudflareは、AnthropicのAIモデル「Mythos Preview」を用いた脆弱性テスト結果を公開した。同モデルはエクスプロイトチェーン構築やPoC生成で高い能力を示した一方、ガードレールの誤作動も確認された。同社はタスクを細分化するパイプラインの構築や防御層の再構築の必要性を指摘している。
()
Linuxカーネルの深部で見つかった欠陥が、想像以上に危険な波紋を広げている。一般ユーザー権限しか持たない攻撃者が、わずかな“終了処理の隙”を突くことでroot専用情報に到達可能だという。PoCも公開済みのため要注意だ。
()
MicrosoftはExchangeのOWAに影響する重要脆弱性を公表、CISAも悪用を確認した。自動配信される緩和策の確認方法や閉域網向け手順を解説する。また、適用後にカレンダー印刷や画像表示が不全になる既知の不具合の回避策、恒久パッチの配信条件をまとめる。
()
IPAが実施したASMツールによる診断では、調査対象の中小企業126社全てで何らかの脆弱性が見つかった。放置されたデータベースや設定不備など、“見えていないIT資産”のリスクが浮き彫りになった形だ。
()
米国CISAとG7各国・EUは、AIシステム向けSBOMの最小構成要素を定めた指針を公表した。AIモデルや学習データ、インフラなどを7分類で整理し、AI供給網の透明性向上や脆弱性管理、サイバーリスク低減を支援する。
()
MicrosoftはWindows DNS Clientに深刻なRCE脆弱性「CVE-2026-41096」が存在すると公表した。細工されたDNS応答によってメモリ破損が発生し、条件次第で認証不要の遠隔コード実行に至る恐れがある。
()
Linuxカーネルに権限昇格が可能になる脆弱性「Fragnesia」が見つかった。直近話題になったゼロデイ脆弱性「Dirty Frag」の亜種とみられる。公開済みの実証コードでは/usr/bin/suのページキャッシュを改変してroot権限を奪取することが分かっている。
()
「NGINX」に、認証不要で悪用可能な“危険すぎる欠陥”が見つかった。たった一つのHTTPリクエストが、サーバ停止や遠隔コード実行（RCE）につながる可能性もあるという。問題は標準構成にも潜み、影響範囲は想像以上に広い。運用担当者が今すぐ確認すべきポイントとは。
()
AppleはiOS 26.5とiPadOS 26.5を公開した。カーネル権限取得やメモリ破損、情報漏えい、Safari異常終了など多数の脆弱性に対処しており、WebKitやWi-Fi、Accountsなど広範囲の機能に修正を加えた。ユーザーには早期更新が求められる。
()
Microsoftは、WindowsやOffice、Azure関連の5月分の修正を発表した。CVSS9.8以上の重大欠陥4件を含み、DNSクライアントやNetlogonなどで遠隔攻撃の恐れがあるとして、迅速な適用を呼びかけた。
()
Microsoftは2026年5月12日（米国時間）にWindows 11 24H2／25H2向け更新プログラム「KB5089549」を公開した。本更新は137件もの脆弱性修正に加え、特定のタスクでCPUクロックを引き上げる新機能や低遅延プロファイルの導入など、パフォーマンス面での大幅な改善を含んでいる。2026年6月に迫るセキュアブート証明書の期限切れ対策としても重要な更新が含まれている。
()
Mandiantは年次レポート「M-Trends 2026」を発表した。2025年に実施した50万時間以上のインシデント調査では、サイバー犯罪の分業化と連携の進展により、初期アクセスから攻撃実行グループへの引き継ぎ時間が2022年の8時間超から2025年には22秒に短縮されたことが明らかになった。
()
Googleは、AI悪用によるゼロデイ探索や自律型マルウェア、LLM不正利用基盤、AI関連サプライチェーン侵害が拡大中だと公表した。中国、北朝鮮、ロシア系集団の活動例を示した。
()
LayerX Securityは、Claude for Chromeに外部拡張機能からAI操作を乗っ取れる脆弱性「ClaudeBleed」が存在すると公表した。送信元検証不備が原因で、GmailやGoogle Driveの操作が可能となり、修正版を公開した後も問題は残存しているという。
()
Palo Alto NetworksはPAN-OSに深刻な脆弱性が存在することを発表した。認証不要でroot権限のコード実行が可能だという。CISAが同脆弱性をKEVカタログに追加していることから悪用が懸念されるため注意してほしい。
()
Windows環境の脆弱性管理において、月例アップデートの適用がうまくいかないという声がある。本稿は、脆弱性管理において情シスが抱える具体的な課題と、取るべき改善策を紹介する。
()
Googleが、AIを使ったサイバー攻撃の過去3カ月における急速な進化を報告した。最先端AIモデルが従来のセキュリティスキャンでは判別できない脆弱性を発見。犯罪グループは一般提供されているAIモデルを使い、自律的に攻撃を行わせるエージェント化を進めている。
()
米グーグルは、AIによるサイバー攻撃が本格化している実態に警鐘を鳴らす調査結果を公表した。AIがシステム開発者よりも先に脆弱性を発見し、企業のサーバーから機密情報を盗んだり、製造設備を停止させたりするなど、被害を発生させる事例が広がりつつある。
()
GitHubは自社の「Advisory Database」のデータを基に、2025年のOSSの脆弱性動向に関するレポートを発表した。
()
JVNは11日、スマートフォンアプリ「くら寿司 公式アプリ」に証明書検証不備の脆弱性が存在すると公表した。
()
主要Linuxディストリビューションでroot権限を奪取可能なゼロデイ脆弱性「Dirty Frag」が見つかった。情報漏えいによってパッチ提供前の緊急公開となっている。
()
「Docker Engine」に認可プラグインをバイパスしてホストシステムに不正アクセスできる深刻な脆弱性が公表された。修正版となる「Docker Engine 29.3.1」が公開され、アップデートが推奨されている。
()
2026年のゴールデンウイーク前後に発生した「はてな」の巨額詐欺被害や「マネーフォワード」の情報漏えい、そしてLinuxの深刻な脆弱性「Copy Fail」を解説。一見すると限定的に思えるリスクが、さまざまな攻撃手法と組み合わさることで脅威へと変化します。
()
オープンソースソフトウェア（OSS）の脆弱性に懸賞金をかけて発見を促し、対応を支援してきた米セキュリティ企業のHackerOneが、新規の報告受け付けを停止している。AIで生成された質の低い脆弱性報告の激増が原因といい、影響は主要OSSプロジェクトに及ぶ。同様の懸賞金プログラムを提供してきたGoogleも対応を強いられるなど、AIの影響が深刻化している現実が浮き彫りになった。
()
Apache Software Foundationは、Apache HTTP Server 2.4.67を公開した。HTTP/2処理欠陥による任意コード実行懸念を含む複数の脆弱性を修正した他、認証回避や権限昇格、メモリ破損、DoS誘発といった問題に対処している。
()
Googleは2026年5月のセキュリティ情報を公表し、無線ADB機能の深刻な脆弱性の存在を明らかにした。対象はAndroid 14以降で、近距離から認証を回避しシェル権限でコードを実行される恐れがある。
()
高性能AIの登場により、脆弱性発見のスピードが劇的に加速している。英NCSCは、蓄積された「技術的負債」がAIによって一気に暴かれ、かつてないパッチ適用サイクルが到来すると警告。情シス部門が考えるべきことは？
()
Googleは、AndroidとPixelの月例セキュリティアップデートを公開した。FrameworkやSystemなど計46件の脆弱性が修正され、一部では悪用の兆候も確認されている。Pixelシリーズ向けには、ワイヤレス充電の速度低下やカメラのフリーズ、ディスプレイのノイズなど、特定の条件下で発生するバグの修正が行われた。
()
TXOne Networksは、評価およびエンタープライズ統合管理ツール群「Sennin」ファミリーを発表した。
()
CISAは悪用が確認された2件の脆弱性をカタログに追加した。ConnectWise製ツールとWindows Shellに存在する脆弱性で、遠隔操作やなりすましの恐れがある。防御態勢の維持が強く推奨される。
()
＠ITで公開された記事の中から、特に注目を集めた10本をランキング形式で紹介します。何が読者の関心を引いたのでしょうか。
()
Linuxカーネルに約9年間にわたり見過ごされてきた致命的なローカル権限昇格の脆弱性「Copy Fail」が突如浮上した。この脆弱性を悪用すれば、一般ユーザーが極めて簡単にroot権限を取得できる。さらにこの発見を後押ししたのはAIだという。
()
Anthropicが発表したAI「Claude Mythos」は、数千のゼロデイ脆弱性を自動で特定し攻撃手順まで生成する。一般公開が制限されるほどの破壊力を前に、情シスは「発見」より「修復」の速度を問われる時代に突入した。低リスクの欠陥を連鎖させ致命的な攻撃に変えるAIの脅威に、組織が取るべき生存戦略を解説する。
()
Tenableは脆弱性管理製品NessusとNessus AgentのWindows版に任意ファイル削除の脆弱性があると公表した。SYSTEM権限で削除が可能で悪用時にコード実行の恐れがある。修正版への迅速な更新が推奨されている。
()
Claude Codeの利用中に生成される設定ファイルに、APIキーなどの認証情報がそのまま記録され、npm公開時に外部流出する恐れがあることが分かった。しかも多くの開発者がその存在に気付いていない。なぜこの見落としは起きるのか。
()
CrowdStrikeは、最先端AIによる脆弱性発見の加速に対応するため、業界連合「Project QuiltWorks」を設立した。AIと専門家を組み合わせた継続支援により、評価から優先順位付け、修正に至るまでを一貫して対応することで、企業のリスク把握と対処能力の強化を図る。
()
「AIなんて発明されなければよかった」――最新調査でCIOの半数が本音を漏らすほど、AI導入に伴うセキュリティリスクが深刻化している。Copilotが悪用され既存の脆弱性が自動攻撃の道具と化すなど、情シスは利便性の代償として肥大化する攻撃面とガバナンス不足という、かつてない難題に直面している。
()
Microsoftは、ASP.NET Coreの暗号署名検証に起因する権限昇格の脆弱性（CVE-2026-40372）を公表した。未認証の攻撃者がSYSTEM権限を取得する恐れがある。修正版への更新が推奨される。
()
Oracleは、複数製品の脆弱性に対応するため、481件のセキュリティ修正を含む定例アップデートを公開した。既存の欠陥が攻撃に使われる事例が報告され、迅速な適用とサポート対象版の利用を呼びかけている。
()
CrowdStrike Falcon LogScaleに認証不要で任意ファイルの閲覧が可能な脆弱性が見つかった。CVSSの評価は9.8、深刻度「緊急」に該当する。SaaSは対策済みで被害確認なし、自社運用版は更新が必要だ。
()
米Anthropicは、最新AIモデル「Claude Mythos（クロード・ミトス）」を発表したものの、一般公開を見送った。ミトスはかなりの速度で脆弱性を見つけ、自律的に判断できることから、サイバーセキュリティを根本から変える可能性がある。
()
英国はAIによる自動攻撃に対抗すべく「国家サイバーシールド」構築に乗り出す。人間が20年以上見逃した脆弱性をAIが即座に看破する現状に、既製品を導入するだけの対策はもはや通用しない。政府は企業に、セキュリティを経営の義務と位置付ける誓約を求めている。情シスが直面する、AI時代の新たな防衛線とは。
()
OX Securityは、AnthropicのMCPに設計起因の脆弱性があると公表した。悪用すれば対象システムで任意のコマンドを実行できる。影響範囲は広く、関連するソフトウェアのダウンロード数は1億5000万件を超えるため要注意だ。
()
住信SBIネット銀行は、マルチクラウド環境のセキュリティリスクを一元管理する「Cloudbase」を導入した。定期診断による「点」の監視から脱却し、設定ミスや脆弱性を継続的に可視化する体制を構築している。
()
VPN機器などの脆弱性を突くのではなく、堂々と正面突破してくるサイバー攻撃の脅威が高まっている。闇市場で安価に調達できる「インフォスティーラー」を使い、攻撃者はユーザーの認証・認可情報を容易に窃取して侵入する。どんな企業であっても、このインフォスティーラーを正しく理解し、正しく恐れることが必須になっている。
()
Akamaiのレポート「インターネットの現状」（SOTI）によると、AIの普及がサイバー攻撃を変えつつある。APIが主要な攻撃対象となり、バイブコーディングが新たなリスクを招きかねないという。その実態とは。
()
NISTは、急増する共通脆弱性識別子（CVE）に対応するため脆弱性情報データベース（NVD）の運用方針を変更すると発表した。これによって限られた資源を最適化し、データベースの持続可能性を確保する。
()
2025年、英国の小売大手M&Sなどがサイバー攻撃を受け、数百億円規模の被害が発生した。攻撃の手口はどの職場にもある電話を使ったものだった。その手口と対策を整理する。
()
Aikido SecurityはAxiosの脆弱性「CVE-2026-40175」を分析し、重大とされた攻撃シナリオは「Node.js」の仕様によって成立しにくいと指摘した。ライブラリ自体の不備は認めており、修正版への更新など適切な対応を求めている。
()
Microsoftは、月例セキュリティ更新で160件超の脆弱性を修正した。8件が重大、2件がゼロデイ脆弱性で、SharePointのなりすましやDefenderの権限昇格を含む。攻撃確認済みの問題もあり、迅速な更新適用が必要だ。
()
MCPにシステム的な脆弱性が存在し、ダウンストリームのフレームワークやツールのユーザーが危険にさらされているとセキュリティベンダーのOX Securityが指摘している。
()
Active Directoryにリモートコード実行の脆弱性が見つかった。認証済み攻撃者が細工したRPC通信でサーバ上の処理を実行可能となる問題で、同一ドメイン内で成立する。修正対応は必須と位置付けられている。
()
NISTは、脆弱性データベース「NVD」の運用を大きく見直す。CVEの急増により従来の“全件分析”が限界に達したためだ。今後は優先度に応じた対応へと転換する。この変更は、脆弱性管理の前提そのものを揺るがす可能性がある。
()
Anthropicが公開した新型AI「Claude Mythos Preview」は、主要ソフトから数千件の高深刻度脆弱性を検出し、攻撃コードの生成も可能だという。誰が使えるのか。
()
脆弱性診断を外部委託に頼る運用は、コストやスピードの面で限界を迎えつつある。セキュリティ品質と開発スピードをどう両立させるか。Webセキュリティの第一人者と、「ハイブリッド型・脆弱性診断」の提唱者が議論する。
()
Microsoftは2026年4月14日（米国時間）にWindows 11 24H2／25H2向け更新プログラム「KB5083769」を公開した。165件の脆弱性修正に加え、2026年6月に期限を迎えるセキュアブート証明書の更新確認機能が追加されており、全ユーザーに早急な適用を推奨する内容である。またエクスプローラーの利便性向上やAIコンポーネントの刷新も含まれている。
()
Anthropicは、AIによる脆弱性悪用の高速化を受け、企業の防御指針を発表した。パッチ適用の迅速化やAIによる開発・運用体制の強化、侵入前提の設計、資産削減などの対策を推奨した。
()
Adobeは、AcrobatとReaderに任意コード実行の恐れがある深刻な脆弱性が存在すると発表した。細工されたPDFファイルを開くだけで攻撃が発動することが分かっており、実際の悪用も確認されている。
()
Adobeは、「Adobe Acrobat」および「Adobe Acrobat Reader」に重大な脆弱性が存在し、実際に悪用が確認されていると公表した。細工されたPDFにより任意コード実行の恐れがあり、最新版への更新を強く求めている。
()
Googleは、AndroidとPixel向けの4月分月例アップデートを公開した。Android全体では深刻な脆弱性を修正。Pixel向けには、バックアップメニューの消失やQuick Share、特定ゲームのクラッシュといった不具合の改善が含まれる。
()
Appleは、iPhone、iPad、Mac向けOSの最新版「26.4.1」をリリースした。iCloudのデータ同期に関する不具合が修正された。また、企業向け端末で「盗難デバイスの保護」機能が自動で有効化されるよう変更された。セキュリティに関する公開済みの脆弱性修正は含まれていない。
()
Windowsの未修正ゼロデイ脆弱性「BlueHammer」のPoCが公開された。Defender更新処理の仕組みを悪用することで、一般権限からSYSTEM権限へ昇格できる恐れがある。パッチ未提供であるため、既存の検知を回避する可能性があるため注意が必要だ。
()
OpenSSLに複数の脆弱性が見つかった。特定の条件下で不適切な処理により情報漏えいにつながるものもあるという。影響範囲は複数バージョンに及び、プロジェクトは修正済みバージョンへの更新を呼び掛けている。問題の背景には何があるのか。
()
慣れ親しんだ「C」「C++」への依存は、メモリ脆弱性による重大な事故リスクを抱え続けることと同義だ。レガシー言語の延命は優秀な人材の離脱も招く。学習の代償を払ってでも「Rust」に移行すべき決定的理由とは。
()
昨今のサイバー攻撃は、脆弱性ではなく「アカウント」を起点に静かに侵入する時代に移行しています。気付かないうちに奪われ、売買され、悪用される認証情報の実態と、見過ごされがちなリスクの核心に迫ります。
()
ミラクシア エッジテクノロジーは、「Japan IT Week 春 2026」内の「第29回 組込み・エッジ・IoT開発 EXPO」において、同社が提供する欧州サイバーレジリエンス法（CRA）に対応可能な脆弱性可視化サービスの無償PoCを10社限定で募集すると発表した。
()
Anthropicは未公開のAIモデルが脆弱性発見能力で優れた能力を発揮した現状を受け、主要企業や各種組織と連携し防御目的で活用する枠組みを発表した。
()
AIツールの普及で開発スピードが劇的に向上する裏で、ソフトウェアの脆弱性が前年比で2倍に急増していることが明らかになった。AIツールの台頭に伴うOSSのリスクとは。
()
数年以上更新のないOSSを用いている商用ソフトウェアが大量に出回っている。開発者の意欲が削がれ、保守が止まったOSSは「第2のLog4j」のような深刻な脆弱性を生む。AI時代にOSSを救うための4つの処方箋とは。
()
Googleは、21件の脆弱性を修正したChromeの最新版を公開した。うち1件はすでに悪用が確認されており、米当局も注意を喚起している。Edgeなどにも影響する恐れがあり、迅速な更新が求められる。
()
監視ツールとして広く使われるZabbixで、低権限ユーザーからでもデータベース内部に迫れる脆弱性が明らかになった。直接データを盗めないはずの“読み取り専用”攻撃が、なぜ重大リスクへと変わるのか。
()
Amazon Threat Intelligenceは、商用生成AIサービスを悪用した脅威アクターが「FortiGate」デバイスを大規模に侵害した事例を観測した。侵入された要因は機器の脆弱性ではないという。
()
ChatGPTに脆弱性が見つかった。コード実行環境において、DNSを使った外部通信経路が成立し、入力テキストやファイル内容、要約結果などが選択的に抽出され、外部に送られる恐れがあるという。
()
Check Pointは、ChatGPTのコード実行環境に潜むDNS経由の情報流出経路を報告した。単一の不正プロンプトで会話内容や生成結果が外部へ送信され得る問題があるとしている。
()
Vimプロジェクトは、特定ファイルを開くだけで任意のOSコマンドが実行される不具合を公表した。tabpanel設定の検証漏れと自動コマンド登録処理の欠陥が連鎖し、サンドボックス外で処理が動作する問題がある。
()
ClaudeのChrome拡張機能に、閲覧しただけでAIが不正操作される脆弱性「ShadowPrompt」が見つかった。設計上の不備と外部部品のXSSを突いたものだという。
()
Synologyは、DSMなどのOSに任意のコマンドを遠隔で実行される重大な脆弱性が存在することを公表した。CVSSスコア9.8と深刻で、認証なしに悪用される恐れがある。対象製品の速やかなアップデートと、Telnetの無効化が強く推奨される。
()
TP-Linkは無線LANルーター「Archer NXシリーズ」に複数の脆弱性があると公表した。認証不要で管理操作が可能となる欠陥やコマンド実行の問題、設定暗号の不備が含まれる。対象バージョンには更新版ファームウェアの適用が推奨されている。
()
Anthropicが新機能「Claude Code Security」の限定プレビュー版の提供を開始した。人間のセキュリティ研究者と同じ手法でコードの脆弱性を解析し、人間によるレビュー用の修正パッチを提案するという。
()
The Shadowserver Foundationは51万台以上の旧式Microsoft IIS稼働を確認し、その内22万台が延長支援も終了した無防備な状態だと明かした。これらは内部侵入の足掛かりとなる恐れがあり、迅速な移行や資産管理が急務となっている。
()
生成AI活用で開発が加速する一方、AIが書いたコードのブラックボックス化等のリスクも顕在化している。本稿では静的解析ツール「SonarQube」で脆弱性ゼロと工数削減を実現したWorkXを取材。AI時代の死角をなくし、品質とスピードを両立させた実態に迫る。
()
人気の無料対戦ゲーム「僕のヒーローアカデミア ULTRA RUMBLE」について、X上でセキュリティ面の甘さを指摘する投稿がユーザーの注目を集めている。
()
OSSのセキュリティスキャンツールTrivyに対するサイバー攻撃により、クレデンシャル情報窃取マルウェアが拡散するインシデントが発生した。脆弱性の発見で人気のツールはどう侵害されたのか。本記事ではその経緯をまとめた。
()
Appleは、iPhone向け最新OS「iOS 26.4」の配信を開始した。「Apple Music」に「コンサート」検索やオフライン曲識別機能が追加されたほか、8個の新絵文字や「Apple Creator Studio」へのフリーボード統合が行われた。また、「Siri」経由の情報漏洩を含む38件の脆弱性が修正されており、全ユーザーにアップデートを推奨している。
()
ツールを入れれば安心という幻想が情シスの工数を奪い、予算を溶かしている。脆弱性診断ツールの実力と導入後に陥りがちな「重複コスト」や「スキル不足」という死角を解説する。
()
Jenkins CIはコアおよびプラグインの脆弱性を公表した。アーカイブ展開時の任意ファイル書き込みやCLIの検証不備、APIキーの平文保存などが含まれる。RCEの恐れもあり、最新版への速やかな更新と認証設定の再確認が求められる。
()
Kubernetesのingress-nginxに、Nginxへの構成注入を許す脆弱性が公表された。特定のアノテーション操作でコード実行や機密情報が漏えいする可能性がある。CVSSのスコアは8.8で、修正版への迅速な更新が推奨される。
()
GNU Inetutilsのtelnetdに、未認証の遠隔攻撃者によって任意のコード実行が可能となる脆弱性が発見された。TELNETは通信内容が平文で送信される旧来のプロトコルで、現代のセキュリティ要件には適さないが、産業分野や政府系システムでは依然として使用されているため注意が必要だ。
()
Ubuntuの標準環境に権限昇格の脆弱性「CVE-2026-3888」が見つかった。通常権限の利用者がシステム内部の仕組みを悪用し、最終的にroot権限に到達する可能性がある。
()
マツダは、タイからの調達部品の倉庫業務に利用する管理システムにおいて、不正アクセスを確認したと発表した。2025年12月中旬に発生し、システムの脆弱性を悪用した第三者が従業員692件分の個人情報にアクセスした可能性がある。一般顧客への影響はないとしている。
()
企業のIT資産に潜む脆弱性を外部の専門家が発見し、報酬をやりとりする「バグバウンティプログラム」。自社でプログラムを運営する、もしくはプラットフォームを利用する場合のポイントやメリットを整理する。
()
Linux Foundationは、Anthropic、AWS、GitHub、Google、Google DeepMind、Microsoft、OpenAIから総額1250万ドル（約20億円）の助成金を受領した。資金は「Alpha-Omega」等を通じて、AIによる脆弱性報告の急増に直面するオープンソース保守担当者の支援に充てる。
()
MicrosoftはWDSの自動展開機能における脆弱性対策を発表した。応答ファイルの傍受を防ぐため、2026年4月から同機能は既定で無効化される。管理者は段階的な仕様変更への早期対応や代替手法への移行が求められる。
()
サイバー攻撃の原因は単なるシステムの問題ではない。多くの企業が高価なセキュリティ製品に投資する一方で、見過ごされがちなのが“ヒューマンレイヤー”の穴だ。これを解消するためのセキュリティ文化の育て方を解説する。
()
SentinelOneは、FortiGateの脆弱性や設定ファイルの可逆暗号を悪用し、Active Directory環境を侵害する攻撃者の最新手口を公表した。サービスアカウントを盗み、RMMツールや不正端末登録で権限を拡大するという。
()
Appleは、iPhoneやiPadの旧モデル向けに「iOS 15.8.7」と「16.7.15」を公開した。大規模な悪用が確認されている攻撃キット「Coruna」による脆弱性を修正する。悪意あるWebコンテンツによるメモリ破損やカーネル権限でのコード実行を防ぐため、対象ユーザーには早急な更新やロックダウンモードの利用が推奨されている。
()
Microsoftは、Active Directory Domain Servicesの権限昇格の脆弱性「CVE-2026-25177」を公開した。Unicode文字でSPNやUPNの重複登録を成立させ、Kerberos認証の誤処理によってSYSTEM権限取得やサービス障害を招く恐れがある。
()
Microsoftは、.NETにサービス停止を引き起こす脆弱性CVE-2026-26127の修正を公開した。境界外メモリ読み取りに起因し、認証不要の遠隔攻撃でアプリ停止の恐れがある。.NET 9.0と10.0などに更新版が提供された。
()
Microsoftは2026年3月10日（米国時間）、Windows 11 24H2／25H2向け更新プログラム「KB5079473」を公開した。タスクバーからのネットワーク速度測定ツールの起動や、Emoji 16.0への対応、Sysmonの標準搭載など、利便性を高める新機能が多く追加された。合計83件の脆弱性修正も含まれるため、早急な適用を推奨する。
()
OpenAIはアプリケーションの脆弱性を検出するAIエージェント「Codex Security」を公開した。プロジェクトを解析して脅威モデルを生成し、重大度の高い問題を抽出し修正案を提示する。高精度な分析でOSS開発を支援するという。
()
Windows Remote Desktop Servicesのゼロデイ脆弱性を悪用するコードがダークウェブ市場で高額流通されていることが分かった。同脆弱性はSYSTEM権限奪取が可能で広範なOSに影響するという。
()
CiscoはSecure FMCのWebインタフェースに認証回避の脆弱性があると発表した。未認証の攻撃者がroot権限を取得できる。CVSS v3.1のスコアは10.0、深刻度「緊急」（Critical）だ。回避策はないため修正版への速やかな更新が求められる。
()
ゼロデイ攻撃の様相は大きく変化している。専門業者が台頭し、企業ITインフラ製品の標的化が進む。2026年はAIを活用した脆弱性発見レースが加速する――。Googleのセキュリティ部門がこうした内容のレポートを発表した。組織が取るべき対策についても詳しく説明している。
()
SAPシステムのセキュリティ不備は経営に直結するリスクです。本稿では「アーリーウォッチ・アラート」（EWA）を活用した効率的な脆弱性診断や、テストの標準化による「システムの塩漬け」脱却など、即座に取り組める具体的な処方箋を紹介します。
()
建設会社の奥村組土木興業は、トレンドマイクロのEPP／EDR／CREMを採用した。全国の現場に分散する端末の可視化と24時間監視体制を構築し、データに基づく脆弱性対策によって予防型セキュリティを実現したという。
()
Check PointはClaude Codeに見つかった脆弱性の詳細な分析を報告した。悪意ある設定ファイルによって遠隔コード実行やAPIキー流出の恐れがある。同社は不審なプロジェクトを開くだけで攻撃が始まる恐れがあると警告している。
()
米国CISAは、Fortinet製品における認証バイパス脆弱性「CVE-2026-24858」が悪用されているとして注意喚起を行った。影響範囲は複数製品に及び、早急な対策が求められるという。
()
Googleは、WinRARの重大な脆弱性が国家支援型グループから金銭目的の攻撃者まで広範に悪用されていると報告した。既に修正済みだが、Windowsのスタートアップフォルダにマルウェアを配置する手法で攻撃は継続されている。
()
SBOMの必要性は理解していても、専門人材の不足や膨大な資産を前に「なかなか手がつけられない」と立ち止まる企業は多い。日々新たなセキュリティの脅威や脆弱性が発見される中で、SBOM管理を実践しつつ、“形だけ”の台帳管理にしないためにはどうすればいいだろうか。その現実解となる、真に機能する防衛策を考える。
()
Check PointはClaude Codeに重大な脆弱性があり、不正なリポジトリー設定を開くだけで遠隔コード実行やAPIキー窃取が可能だったと公表した。修正は完了しているが、AI開発基盤の供給網に新たなリスクが浮上している。
()
Ciscoは2026年のAI脅威報告書の中で、自律型エージェントの普及で攻撃が高度化するAI主導時代の到来を強調した。サプライチェーンなどの脆弱性や国家による悪用を受け、防御戦略の抜本的転換と重層的な対策に言及している。
()
Moxa製組み込み機器でTPM2_NV_Read実行時にLUKS鍵がSPIに平文出力される欠陥が見つかった。物理接触下でバス監視によって復号鍵を取得できるという。TPMが正しく認証を実施していても、ホストとの通信経路が保護されていなければ鍵が露出し得る。
()
生成AIを悪用したロシア語話者の脅威アクターが、世界600台超のFortiGateに不正アクセスしたことが分かった。脆弱性ではなく管理ポートの不備を突き、AIで攻撃を自動化・大規模化したのが特徴だ。基本対策の徹底が防御の鍵となる。
()
Anthropicはコード中の脆弱性を検出する「Claude Code Security」を発表した。脆弱性発見だけでなく、修正案も提示する。この機能の登場によって、米国市場ではセキュリティ関連銘柄が一時下落した。一体どこが革命的なのか。
()
米AnthropicはClaude Codeの新機能として、複雑な脆弱性も発見できる「Claude Code Security」をリサーチプレビューとして提供開始したことを発表しました。
()
OX SecurityはVS Code用の拡張機能4件に重大な脆弱性を確認した。Live Serverなどに遠隔ファイル流出やRCEの恐れがあり、Cursorなどにも影響する。開発環境の防御は急務であり、審査制度の整備を提言している。
()
Chromiumに見つかったゼロデイ脆弱性「CVE-2026-2441」の悪用が確認されたとして、CISAは「既知の悪用された脆弱性カタログ」にこれを追加した。CSSエンジンの不具合により任意コード実行の恐れがあるため、緊急でアップデートが必要だ。
()
Microsoftの「Active Directory」に関して、再度新たな複数フェーズを持つ脆弱性対策が見つかりました。ここでセキュリティ強化を一気に進めると、情報システムの利用不可といった障害につながる恐れがあります。
()
AIブラウザはWebブラウジングの在り方を変え、情報収集や業務効率を大きく高める可能性を持つ。一方で、AIによる自律的な外部アクセスに伴うデータ漏えいや認証情報の悪用、未知の脆弱性など重大なリスクも抱えており、現時点では使用を控えるべきだとGartnerは警鐘を鳴らしている。
()
「現場のスキル頼み」のセキュリティ管理は、企業の拡大とともに限界を迎える。TRUSTDOCKが直面した運用崩壊のリスクと、打ち出した解決策とは何か。
()
Appleは、「macOS」や「iOS」などに影響するゼロデイ脆弱性（CVE-2026-20700）を修正した。この脆弱性を悪用し、任意のコードを実行する高度な攻撃も既に確認されている。早急なアップデートが推奨されている。
()
Palo Alto Networksは、PAN-OSのADNS機能に未認証で再起動を誘発可能なDoS脆弱性を公表した。特定バージョンが影響を受け、速やかな修正版への更新が求められている。
()
Appleは「iOS 26.3」をリリースした。新機能「Androidに転送」により、eSIMや写真等のデータを無線で「Android 16」以降の端末へ直接移行できる。またEU圏では他社製スマートウォッチへの通知転送にも対応。悪用の恐れがあるゼロデイ脆弱性を含む39件の修正も行われる。
()
Claudeの拡張機能にカレンダーの予定から任意のコードを実行されるゼロクリック脆弱性が判明した。サンドボックスを介さない特権動作やコネクター間の信頼設計に構造的欠陥があり、現在も未修正のため注意を要する。
()
Claude Opus 4.6はサイバーセキュリティに関する能力も大きく向上している。Anthropicの発表によれば、Claudeはオープンソースソースソフトウェアから500件を超える脆弱性を発見したという。Claudeは何を試し、何を考え、どのようにして脆弱性を見つけたのだろう。そして悪用リスクにどう対処しているのか。
()
Microsoftは2026年2月10日（米国時間）、Windows 11（24H2／25H2）向けの月例更新プログラム「KB5077181」をリリースした。緊急8件を含む計59件の脆弱性が修正された他、セキュアブート証明書の有効期限切れに対応するための機能が含まれており、早急な適用が推奨されている。
()
FortinetはFortiClientEMSにSQLインジェクションの脆弱性が存在すると発表した。CVSSスコアは9.8と高く、未認証でリモートコード実行の恐れがある。影響を受けるユーザーは速やかな更新が求められる。
()
用途に合わせて最適なサービスを使い分ける狙いで採用されたマルチクラウド戦略が、かえって管理コストの増加や脆弱性の発生を招く場合がある。マルチクラウド戦略を見直し、インフラ管理を簡素化するには。
()
GoogleらはLLMを使った脆弱性解析手法「Co-RedTeam」を提案した。レッドチーム活動を模倣してコード解析から実行検証、成功／失敗パターン記憶を再利用するという。
()
Googleは、AndroidおよびPixel向けの2月の月例アップデートを公開した。今月は小規模で、Android共通の脆弱性修正はなく、Pixel向けのVPUドライバに関する脆弱性1件の対処に留まった。Pixel 7a以降のAndroid 16搭載機が対象で、新機能追加はない。
()
エレコムは旧型の法人向け無線LANアクセスポイント2機種に脆弱性が見つかったと公表した。すでにサポートが終了しており修正対応が不可能なため、利用者に即時の使用中止と代替製品への切り替えを求めている。
()
ESETは、生成AIがサイバー攻撃に与える影響に関する分析を公開した。AIにより今後2年間でサイバー脅威の頻度と強度が増すと警告。ランサムウェア構築支援やプロンプトインジェクションなど、AIが悪用される5つの主要な手口を解説している。
()
Fortinet製品のFortiCloud SSOに認証回避の重大な脆弱性が見つかった。CVSSの評価は9.8、深刻度「緊急」（Critical）であり、攻撃者による悪用も確認されている。インターネットに公開されている約328万件の資産が影響を受けるという。
()
TP-Linkは同社製品のArcher MR600 v5にコマンドインジェクションの脆弱性が存在すると公表した。認証済み攻撃者が管理インタフェースからシステムコマンドを実行し、機器を制御する恐れがある。同社は最新版への更新を推奨している。
()
OpenSSLプロジェクトは、OpenSSLにおける複数の脆弱性を発表した。深刻度「High」のCVE-2025-15467はコード実行やサービス停止を招く恐れがあり、特に注意が必要だ。各系統の最新版への更新が強く推奨される。
()
Microsoftは2026年1月26日、Wordに存在するセキュリティ機能のバイパス脆弱性（CVE-2026-21509）に対応するOffice 2016向けの更新プログラム（KB5002713）を公開した。
()
アシュアードは2026年1月8日、弥生による脆弱性管理クラウド「yamory」の活用事例を公開した。弥生は30チーム以上の開発組織で脆弱性やEOLリスクを一元管理し、セキュリティ体制の強化と属人化の解消を実現したという。
()
USBメモリ作成ツール「Rufus」の4.11以前に、競合状態を利用した権限昇格の脆弱性が確認された。悪用されると、一時ファイルを介して管理者権限で任意のコードを実行される恐れがある。
()
Anthropicが公開したAIエージェントのプレビュー版「Claude Cowork」に、ローカルファイル流出の脆弱性が存在することが分かった。巧妙な間接的プロンプトインジェクションを駆使しているという。
()
GCVE initiativeは、公開型の脆弱性助言データベース「db.gcve.eu」の提供を開始した。CVEに強く依存する体制の緩和を目的としている。25以上の公開情報を集約し、識別子を整理した検索可能な情報基盤を整備するという。
()
CloudflareはACME検証ロジックの不備により、WAFをバイパスしてオリジンに到達可能な脆弱性を修正した。特定のパスで制限が評価されず内部情報が露出する恐れがあるという。
()
サイバー攻撃の主戦場は、もはや電子メールでも脆弱性でもない――。攻撃者は“正規ユーザー”を装い、誰にも気付かれず内部に入り込む時代へと移行している。なぜアイデンティティーが狙われるのか。その変化の裏側と、次に起きるリスクの正体に迫る。
()
Depth Securityは、Windows SMBの脆弱性CVE-2025-33073を悪用したNTLMリフレクション攻撃の調査結果を公表した。修正プログラム未適用の環境が多く、SMB署名が有効でも他のプロトコルへのリレー攻撃によって権限昇格を招く恐れがある。
()
Palo Alto Networksは、PAN-OSのGlobalProtect機能におけるDoS脆弱性を発表した。未認証の攻撃によってファイアウォールが停止する恐れがある。回避策や緩和策は存在しないとされている。
()
Googleの簡易ペアリング「Fast Pair」に対応するイヤフォンやヘッドフォンに、第三者が強制ペアリングを行える脆弱性「WhisperPair」が判明した。マイクによる盗聴や大音量での嫌がらせ、さらには「Find Hub」網を悪用した位置追跡の恐れがある。解決にはメーカーが提供するファームウェアの更新が必須だ。
()
Microsoft Copilot Personalにおいて、正規URLをクリックするだけで個人情報を窃取する新手法「Reprompt」が見つかった。URL経由で指示を自動実行させ、安全機構を回避して段階的にデータを送信させるという。
()
Fortinetは「FortiSIEM」や「FortiClientEMS」をはじめとする複数製品に影響する重大な脆弱性を修正した。悪用可能な問題を含んでおり、未認証のコマンド実行やSQL注入の恐れがある。利用者は迅速な更新や回避策の適用が推奨されている。
()
Dockerは1000種類以上の「Docker Hardened Images」をApache 2.0ライセンスで公開すると発表した。脆弱性を大幅に削減した強化版イメージを無償で提供する。
()
Node.jsは、全サポート系統を対象に複数の脆弱性を修正するセキュリティアップデートを公開した。重要度が高いVMモジュールのメモリ初期化不備や権限回避、HTTP/2の停止問題などへの対応が含まれる。利用者は速やかに最新版への更新が求められる。
()
Hikvisionは監視機器やアクセス制御製品の探索機能に2件の脆弱性があると発表した。同一LAN内から細工されたパケットによって機器が誤動作する恐れがある。
()
Microsoftは2026年1月13日（米国時間）、Windows 11（24H2／25H2）向けの月例更新プログラム「KB5074109」をリリースした。緊急8件を含む計114件の脆弱性が修正された他、NPU搭載PCの電力管理不具合やWSLのネットワーク信頼性向上が図られている。セキュリティ保護のため、早急な適用が推奨される。
()
React Routerは、Node.js用パッケージなどに深刻な脆弱性が存在すると報告した。署名なしCookieとの併用時に、指定外のファイルを読み書きされる恐れがある。CVSSスコアは9.1と高く、開発者は最新版への更新が推奨される。
()
Trend Microはオンプレミス版のApex Centralの脆弱性3件を修正するパッチを公開した。最大深刻度はCVSS 9.8で、SYSTEM権限でのコード実行やDoS攻撃の恐れがある。速やかな最新版への更新が求められる。
()
Akamai Security Intelligence Groupは、2025年12月に情報公開されたNoSQLデータベース「MongoDB」の脆弱性（CVE-2025-14847）について、公式ブログで解説した。
()
富士キメラ総研の調査によると、ネットワークセキュリティ関連の国内市場は、ゼロトラストやWebアプリケーション脆弱性検査、セキュリティ教育・トレーニングなどの分野を中心に高成長する。
()
TRENDnet製のWi-Fi中継機に認証不要のコマンドインジェクション脆弱性が判明した。root権限で任意コマンドが実行可能なため、機器の完全制御や踏み台悪用の恐れがある。
()
MongoDBに未初期化メモリが外部に漏えいする脆弱性が見つかった。特定の圧縮処理に起因し、認証前でも影響が及ぶ。複数の主要バージョンが対象となり、修正版への更新が必要とされている。
()
macOSのVoiceOver内部機構に存在する欠陥が見つかった。特定の権限確認処理の不備によって任意のAppleScript実行が可能となり、結果としてTCCの保護構造が崩れるとう。
()
MITREはソフトウェアにおける危険な脆弱性タイプをまとめた「CWE Top 25 Most Dangerous Software Weaknesses」の2025年版を発表した。Webアプリケーション関連の脆弱性がTop 3を独占する結果となった。
()
MongoDBに潜む脆弱性「MongoBleed」が牙を剥く。認証前に機密データがメモリから盗み出されるという、Heartbleed再来の危機だ。パッチ以外の必須対策とは何か。
()
年1回の形式的なセキュリティ研修では、巧妙化する攻撃から企業を守れない。「義務だから受ける」だけの従業員を、いかにして「自ら守る盾」に変えられるのか。
()
Red Hatは、GNU Wget2の脆弱性情報を公開した。特定条件下で想定外のファイル操作が生じ得る。攻撃者は内容閲覧や改変によって認証回避や停止を招く可能性がある。
()
2025年のMicrosoft製品の脆弱性報告は3500件を超え、依然として高水準で推移している。月例更新プログラムでの対応が続く中、23件のゼロデイ攻撃も確認された。攻撃の巧妙化やOffice 2016／2019のサポート終了によりリスクが増大する一方、IT管理者は更新時の不具合回避と迅速な適用の間で難しい判断を迫られている。2025年のMicrosoft製品に対する脆弱性の動向をまとめてみた。
()
FortinetはLDAP認証設定の差異に起因し特定条件下で2要素認証が回避される悪用が確認されたと発表した。該当する場合には対策や更新の実施が望まれる。
()
RustFSプロジェクトは、「RustFS」に組み込まれていたgRPC通信の認証方式に致命的な設計不備があることを発表した。外部から容易に管理機能に到達可能であり、情報漏えいや破壊的操作が成立する危険性があるという。
()
Net-SNMPの開発者らはsnmptrapdに細工済み通信で異常終了を招く欠陥があることを公表した。全版が影響を受けて深刻度は極めて高い。修正版の導入と通信制御の徹底が必要だ。
()
Fortinetは、過去に公表した認証欠陥が特定条件下で悪用された事例を示し、大小文字の扱いと設定不備により2要素認証が回避され得る点、対策設定と更新の必要性を示した。
()
社内を守るはずのUTMが、攻撃者の踏み台に――。「WatchGuard Firebox」で発覚した深刻な脆弱性は既に攻撃への悪用も確認されている。今、情シスが打つべき手とは。
()
Google Threat Intelligence Groupは、React2Shell脆弱性の悪用事例を観測したと報告し、侵害の検出方法と推奨対策を紹介した。
()
セキュリティ専門家は、さまざまな「Webブラウザの脆弱性」の悪用について警鐘を鳴らしている。具体的にはどのような脆弱性なのか。2つの例を取り上げて説明する。
()
Fortinet製品に深刻な脆弱性が発覚した。SSOを悪用し、攻撃者が管理者として侵入するリスクが現実味を帯びている。攻撃コードも出回る中、今すぐ実施すべき防衛策を説明する。
()
Cisco Talosは、Cisco Secure Email製品を標的とした攻撃キャンペーンを確認した。攻撃者は深刻な脆弱性を悪用し、Python製バックドアで永続化を図った可能性がある。
()
Next.jsとReactの脆弱性を悪用し、短期間で数万台のサーバを侵害した大規模攻撃キャンペーン「PCPcat」が確認されている。攻撃は無差別に公開アプリを探索し、侵入後は認証情報を窃取して踏み台化する危険なキャンペーンだという。
()
Fortinetは複数製品に影響する深刻な脆弱性を公表した。FortiCloud SSOの実装不備により、細工されたSAML応答で管理GUIへ不正アクセスされる恐れがある。影響範囲は広く、早急な更新と設定確認が求められている。
()
再委託先がVPNの脆弱性を突かれてランサムウェアに感染、自社サービスが停止――。そうした自組織の外側から迫る脅威に警戒しなければなりません。特に金融業界を狙った攻撃の手口と、求められる対策を解説します。
()
Fortinet製品に、認証をバイパスされる深刻な脆弱性が発覚した。情シスが今すぐ組織内に発信すべき、実践的な注意喚起の文面とともに、具体的な対策を公開する。
()
自律型AIペンテスター「Shannon」が登場した。ソースコード解析に基づきWebアプリの攻撃経路を特定し、実際のWebブラウザ操作で脆弱性を悪用・検証する。評価の結果、人間のテスターより高い成功率を記録したことが分かっている。
()
Appleが公開した最新のセキュリティアップデートで、WebKitのゼロデイ脆弱性が修正された。Safariを含む複数のOSに影響し、悪用も確認されているため迅速な更新が推奨される。
()
React Teamは、React Server Componentsに関する新たな脆弱性を公表した。DoSやソースコード露出の恐れがあり、影響範囲は複数パッケージに及ぶ。対象環境の確認と迅速な対応が利用者に求められている。
()
セキュリティアラートが発せられたとき、社内で情報を共有するにはどうすればいいのか。Adobe製品の具体的な脆弱性を取り上げ、社内通知用のメール文面を作成した。
()
2025年12月初め、JavaScriptライブラリ「React」に脆弱性「React2Shell」が見つかり、現在、攻撃活動が広がりつつある。JPCERT/CCによると、日本でも被害が確認されている。
()
1カ月で2度目となるCloudflareのシステム障害が発生した。原因は攻撃ではなく、深刻な脆弱性を防ぐためのセキュリティ対策だったという。複雑化するシステム運用において、変更管理のリスクをどう最小化すべきか。
()
CISAは2025年版「CWE Top 25」を公表した。攻撃に悪用されやすいソフトウェア弱点を整理し、設計初期からの対策で被害低減と開発コスト抑制を促す狙いと、関係者別の指針を示している。
()
Webブラウザは今や「業務OS」だ。「Google Chrome」「Microsoft Edge」は共に同じエンジンを積むが、選択を誤れば脆弱性対応の遅れや管理の複雑化を招く。4つの決定的な違いを解説する。
()
MicrosoftはWindows PowerShellにリモートコード実行の危険を伴う脆弱性「CVE-2025-54100」を発表した。影響範囲は広く、Microsoftは各環境への更新プログラムを公開し、迅速な適用を呼びかけている。
()
Google Gemini Enterpriseに深刻な脆弱性「GeminiJack」が見つかった。GeminiJackは、外部コンテンツに埋め込まれた指示がAIに誤って命令として解釈され、機密情報が外部に流出し得る脆弱性だという。
()
人の心理的な脆弱性を狙うサイバー攻撃が深刻化する中、「真面目で従順」であることを従業員に求めがちな国内企業の“常識”が、逆にセキュリティの弱点になり得るという。それはなぜなのか。求められる対策とは。
()
Microsoftによる同社製品の脆弱性修正が後を絶たない。2025年、公開されたパッチは1100件を超えた。こんなに脆弱性が多い理由と、今、特に注意が必要な3つの脆弱性を取り上げる。
()
「React」のサーバコンポーネントに深刻な脆弱性が発表された。Reactのバージョン19や「Next.js」などは至急更新する必要がある。
()
Reactの深刻な脆弱性「CVE-2025-55182」により、RSCを利用する公開サービス215万件超が影響を受ける可能性が判明した。国家支援とされる脅威グループによる悪用も観測され、早期対策が求められている。
()
ReactおよびNext.jsにCVSS 10.0の脆弱性が見つかった。悪用されると認証不要でリモートコード実行が可能になる。多数のアプリケーションや公開サーバに影響する可能性があり、速やかなバージョン更新が求められている。
()
Check Point Software Technologiesは、「Microsoft Teams」でメッセージ改ざんや発信者偽装を可能にする4件の脆弱性を発見した。
()