技術 2026年4月16日(木) 約6分 NIST NVDがCVE全件エンリッチメントを断念、優先トリアージ制へ移行 NISTがNVDの運用方針を転換。CVE全件へのエンリッチメントをやめ、CISA KEV・連邦政府ソフト・EO 14028重要ソフトの3カテゴリのみ優先対応する。 セキュリティ CVE 脆弱性 NIST
技術 2026年4月16日(木) 約6分 nginx-uiのMCPエンドポイント認証欠如(CVE-2026-33032)が実攻撃に、パッチなし Webベースのnginx管理ツールnginx-uiにCVSS 9.8の認証バイパスが見つかり、実攻撃が確認された。MCPの/mcp_messageエンドポイントが認証をスキップするため、未認証のリモート攻撃者がnginx設定を自由に書き換えられる。 セキュリティ CVE nginx MCP 認証バイパス 脆弱性
技術 2026年4月15日(水) 約11分 LLMの安全フィルタの仕組みとabliteratedモデルの実態 LLMの安全性はRLHF・Constitutional AI・システムプロンプト・入出力フィルタの多層構造で成り立っている。クラウド各社の温度差、abliteratedとuncensoredの違い、ローカルLLMのデフォルト検閲レベルを整理した。 AI LLM ローカルLLM セキュリティ Gemini Claude Ollama
技術 2026年4月15日(水) 約10分 Cloudflare MeshとエンタープライズMCP参照アーキテクチャ Cloudflare Agents Week 2026の4月14日発表から2本。AIエージェントをプライベートネットワークに接続するMeshと、MCPをエンタープライズスケールで管理するMCP参照アーキテクチャの設計を整理した。 Cloudflare AIエージェント MCP ネットワーク セキュリティ Workers Zero Trust エンタープライズ
技術 2026年4月15日(水) 約6分 2026年4月Patch Tuesday、163件パッチでSharePointゼロデイとBlueHammer PoC公開に対応 史上2番目の規模となったMicrosoft 4月Patch Tuesday。SharePoint Server XSSゼロデイ(CVSS 6.5)が実攻撃で悪用されCISA KEV入り、Windows DefenderのBlueHammer(CVSS 7.8)はフルPoC公開済み。IKEワーム化RCE(CVSS 9.8)を含む高CVSSも多数。 セキュリティ Microsoft Windows SharePoint CVE 脆弱性 CISA KEV
技術 2026年4月14日(火) 約9分 CISA KEV、Fortinet・Microsoft・Adobe 7件を一斉追加(4月13日) FortiClient EMSのSQLインジェクション(CVSS 9.1)を含む7件が実悪用確認でKEV入り。連邦機関はFortinetのみ4月16日、残り6件は4月27日が期限。 セキュリティ CISA CVE Fortinet Microsoft Adobe 脆弱性 KEV
技術 2026年4月14日(火) 約6分 ShowDocのファイルアップロードRCE(CVE-2025-0520)が5年越しで実攻撃に 2020年に公開されたShowDocのCVSS9.4ファイルアップロード脆弱性が、2026年4月にVulnCheck Canariesのハニーポットで初の実悪用を確認。2,000以上の露出インスタンスが中国を中心に残存する。 セキュリティ CVE RCE ShowDoc 脆弱性
技術 2026年4月13日(月) 約5分 axiosがprototype pollutionのgadgetとしてHTTPヘッダ注入を許していた CVE-2026-40175 CVE-2026-40175: 3月のサプライチェーン侵害とは別件。axiosの設定マージがprototype pollution経由の汚染値をHTTPヘッダに流し、CRLF注入からSSRFまで連鎖する。1.15.0で修正済み。 セキュリティ npm Node.js CVE
技術 2026年4月12日(日) 約5分 Adobe Acrobat Reader、悪用中のゼロデイにパッチ配布(CVE-2026-34621 / APSB26-43) 2025年12月から悪用が続いていたAdobe Acrobat ReaderのプロトタイプPollution RCEに、2026年4月11日にパッチが配布された。CVSS 8.6、Priority 1。72時間以内の適用が推奨される。 セキュリティ Adobe 脆弱性 RCE PDF ゼロデイ パッチ
技術 2026年4月12日(日) 約7分 AIエージェントベンチマーク8本を「1問も解かず」ほぼ満点にした手口の全容 UC BerkeleyのRDIチームがSWE-benchやWebArenaなど主要8ベンチマークを、タスクを一切解かずにほぼ満点まで操作できることを実証。7つの脆弱性パターンと自動攻撃ツールBenchJackも公開された。 AI AIエージェント ベンチマーク セキュリティ
技術 2026年4月11日(土) 約7分 Chrome 146のDBSCがセッションクッキー窃取をTPMで無効化する仕組み GoogleがChrome 146のWindows版でDevice Bound Session Credentials(DBSC)を正式リリース。TPMに秘密鍵を封じ込め、情報窃取マルウェアが盗んだクッキーを別デバイスで使えなくする仕組みを解説する。 Chrome セキュリティ 認証 TPM Web
技術 2026年4月11日(土) 約9分 GlassWormがZigコンパイルのネイティブドロッパーで全IDEに感染する新手口 GlassWormキャンペーンの最新波がZig言語でコンパイルしたネイティブバイナリをVS Code拡張機能に同梱し、マシン上のVS Code・Cursor・Windsurf・VSCodium・Positron全てに第2段ペイロードをサイレントインストールする。 セキュリティ サプライチェーン VS Code マルウェア Zig