技術 2026年5月13日(水) 約5分 RubyGemsが500件超の悪性パッケージ対応で新規登録を一時停止 RubyGems.orgは悪性スパム投稿への対応として新規アカウント登録を停止した。500件超の悪性パッケージはyank済みで、既存ユーザーのgem installとpushは影響なし。新規gem採用や公開アカウント作成時の確認対象を絞る。 セキュリティ サプライチェーン マルウェア
技術 2026年5月12日(火) 更新 約7分 NIST NVDの優先度付きenrichmentでSCAツールごとに見落とし方が変わる 2026年4月15日のNIST NVD運用変更で、KEV・米連邦利用ソフト・EO 14028 critical software以外のCVEはDeferredで止まる。Snyk・Trivy・Dependabot・OSV-Scanner・Grypeが何を見ているか、NVD APIでvulnStatusを確認するコマンド、実際にDeferredになったCVE例までまとめた。 セキュリティ 脆弱性 CVE CISA
技術 2026年5月12日(火) 更新 約22分 Mini Shai-HuludがTanStack・Mistralのnpmへ拡大、CVE-2026-45321とTeamPCPの連続キャンペーン 2026年5月11日UTCのTanStack汚染（42パッケージ84バージョン、CVE-2026-45321 CVSS 9.6）からUiPath系60超・Mistral・OpenSearch・guardrails-ai・Checkmarx Jenkinsまで広がるTeamPCPの連続キャンペーン。トークン失効ワイプの順序、SLSA provenance付き悪性パッケージ初観測、Vectランサムウェア（実体はwiper）二次攻撃まで追跡。随時更新 セキュリティ npm サプライチェーン マルウェア GitHub Actions
技術 2026年5月12日(火) 約6分 GhostLockはSMB共有を暗号化なしで業務停止させる GhostLockのPoCと分析を読む。CreateFileWのdwShareMode=0だけでSMB共有上の大量ファイルを排他ロックし、従来のランサムウェア検知が見ていないNASセッション指標を突く話。 セキュリティ Windows ランサムウェア
技術 2026年5月11日(月) 約5分 OllamaのCVE-2026-7482は公開API化したローカルLLMのメモリを読む Ollama 0.17.1未満のGGUFローダーに境界外読み取り脆弱性。公開API化したローカルLLMでは、環境変数、APIキー、system prompt、会話断片の漏えいまで疑う必要がある。 Ollama セキュリティ 脆弱性 CVE ローカルLLM LLM
技術 2026年5月9日(土) 約6分 PAN-OSのCVE-2026-0300悪用でUser-ID Authentication Portalからroot RCEに到達 PA-Series / VM-SeriesでUser-ID Authentication Portalを公開している環境向け。CVE-2026-0300は国家支援型グループCL-STA-1132がroot RCEを成功、AD列挙とトンネリングまで確認済み。パッチは5月13日以降順次 セキュリティ CVE 脆弱性 RCE ネットワーク
技術 2026年5月9日(土) 約7分 PCPJack Credential Stealerが5件のCVEでクラウド認証情報を盗む Docker・Kubernetes・Redis・RayMLが露出したクラウド環境を横断して.envやSSH鍵、APIキーを窃取するPCPJack。SentinelOneのレポートから5件のCVEと横展開の手口、確認すべきIOCを整理した セキュリティ クラウド マルウェア CVE TeamPCP
技術 2026年5月9日(土) 約6分 GoogleのAndroidアプリ公開検証は署名済みの別物を見つける仕組み Googleが2026年5月以降のAndroidアプリにBinary Transparencyを拡大。署名は出自を示すが本番リリースかは別問題で、公開ログがその穴を埋める。対象はGoogle製のみ、検証はADB+CLIの研究者向きツール。 Android Google セキュリティ サプライチェーン
技術 2026年5月9日(土) 約8分 Dirty FragはCopy Fail対策後も残るLinuxページキャッシュ権限昇格だった Dirty FragはLinuxのESPとRxRPC経路でページキャッシュを書き換えるローカル権限昇格。Copy Failのalgif_aead無効化だけでは塞がらず、IPsecやAFSを使う環境では暫定緩和の副作用も残る。 Linux セキュリティ CVE カーネル コンテナ
技術 2026年5月9日(土) 約4分 CVE-2026-0073はWireless ADBの証明書比較ミスで隣接ネットワークRCEになる Android 14〜16/16-qpr2のWireless ADBに入ったCVE-2026-0073を、2026年5月のAndroidセキュリティ情報とAOSP差分から確認。EVP_PKEY_cmpの戻り値誤用で、同一LAN付近からshellユーザーのRCEに届く。 Android セキュリティ CVE 脆弱性 RCE
技術 2026年5月8日(金) 約6分 Next.js 16.2.6と15.5.18はMiddlewareバイパスとRSC DoSを同時に塞ぐセキュリティ更新 Next.js 16.2.6 / 15.5.18のセキュリティ更新を確認した。App Router、Middleware / Proxy、RSC、self-hosted Node.js serverで影響が変わるので、アップグレード前に見る場所を絞る。 Next.js React セキュリティ 脆弱性
技術 2026年5月4日(月) 約5分 CursorのCVE-2026-26268はGit hooksでAIエージェントのサンドボックスを抜ける Cursor 2.5未満で修正されたCVE-2026-26268は、AIエージェントが保護不足の.git設定やGit hooksを書き換え、次のGit操作でサンドボックス外RCEにつながる脆弱性だった。 セキュリティ Cursor AI Coding AIエージェント CVE 脆弱性
