#セキュリティ

セキュリティチームのHacktron AIが、Discourseのlibheif脆弱性とOpenAI SSOの不備を連鎖させ、72時間足らずで従業員アカウントと社内モノレポopenai/openaiへ侵入した経緯を公表した。未パッチの画像パーサ、Claude Opus 5によるエクスプロイト自動化、外部ツールの侵害が本体組織へ波及する認証境界の盲点を整理した。

Nintendo Switchのローカル無線通信機能にあるCVE-2026-82079は、システムバージョン23.0.0未満が対象。本体またはテレビのQRコードを悪意ある第三者が直接読み取れることが攻撃条件で、23.0.0への更新が必要になる。

1991年のRSA素因数分解チャレンジで残っていた862ビットのRSA-260が2026年9月3日に分解された。投稿された130桁の素因数をM4 Mac miniのPythonで検算し、計算方法が未公表の現状、広まった「7ヶ月手作業」という話の元、前記録RSA-250の2700コア年から一般数体篩で見積もった規模、RSA-1024とRSA-2048の場合の数字をまとめた。

OCamlのcohttpでパストラバーサル修正のPRを公開した約10分後、同じパターンのプローブがメンテナのサーバーへ届いた。悪用までの平均時間がマイナス7日まで落ちたM-Trendsの数字、AI由来の悪用は増えていないとするVulnCheckのデータ、メンテナ側の容量を論じたbugonomicsの論文を突き合わせた。

MITREが7月31日に却下したSQLiteの捏造CVE6件を8月17日にGitHub Advisory Database APIで直接確認すると、6件ともunreviewedのままCVSS9.8などの表示が残っていた。

2026年8月6日公開のWordPress 7.0.3は、ログイン画面の未認証XSS（CVE-2026-64638、XSS2Shell、CVSS 8.9）を含む脆弱性群を修正した。空白入りの`< area`がstrip_tagsを素通りしてKSESで実タグに戻る判定差を起点に、管理者のクリック一回でプラグインアップロードによるPHP実行まで繋がる連鎖と、全バージョンが影響し修正が4.7まで遡る対応範囲を整理した。

JFrogが55件の脆弱性報告のうち54件を捏造と判定した調査を追った。CVE-2026-51296から51304の6件は存在しない関数や行番号を挙げたままNVDでCritical掲載まで通過。スキャナーがこの番号を検出しても誤検出として扱ってよい。

Palo Alto Networks Unit 42が公開したPass-ta-key攻撃3種を整理した。前提はWindows上のChromeとマルウェアの先行感染だが、全パスキーを暗号化するマスター鍵がプロセスメモリに平文で載り、抜かれても失効させる方法がない。返ってきたUVフラグを確かめていないサービス側の問題も扱った。

2026年8月4日のkeyv侵害を調べた。汚染版にはGitHub Actions署名のprovenanceが付いたままで、34分のあいだに8組織へ広がった。npmレジストリとGitHub側を実際に叩いて確認した現状と、失効を先にやると起動条件を満たす監視デーモンの除去順序まで書いた。

Rails 7.2.3.2、8.0.5.1、8.1.3.1で修正。15形式をpngという名前でlibvipsに読ませ、8.1.3と8.1.3.1の実アプリで同じ添付を解析させた記録。公開された攻撃チェーンの入口matload、BMP・ICO・PSDの変換画像が壊れる条件、libvips 8.13未満で起動しなくなる環境まで扱う。

Fastjson 1.2.68〜1.2.83でCVE-2026-16723が公開され、攻撃観測も出た。Spring Boot executable fat-JAR、SafeMode無効、Object/Map型フィールドの有無まで確認する。

Zimbra Classic UIの保存型XSSを使うロシア系スパイ活動を国際共同アドバイザリで確認。10.1.20への更新、mailbox.log、ZimbraWebアプリ固有パスワード、2FAスクラッチコード、IMAP設定、DNS・HTTPS流出痕跡の確認点を整理。