#セキュリティ

2026年3月、イランの報復攻撃でAWSバーレーン・UAEリージョンが物理的に破壊された。force majeure条項により補償はゼロ。止まっているのにRIは課金され続ける。クラウドの物理リスクとDR戦略を考える。

ロシア系APT28がieframe.dllのURLバリデーション欠陥（CVE-2026-21513、CVSS 8.8）を2026年1月に悪用開始。LNKファイル経由でMark-of-the-Webをバイパスし、ブラウザサンドボックス外でコードを実行する攻撃チェーンの技術的仕組みを整理した。

Chrome 145でのJPEG-XL復活とcjxlの使い方、RSA→楕円曲線→PQCの暗号変遷とMerkle Tree Certificates、WebMCPの実装例、Chromeゼロデイの動向、カスタマイズ可能なselect要素まで。

W3C WebAuthn L3共同エディターのTim Cappalli氏がPRF拡張による暗号化鍵導出のリスクを警告。認証器を失うとデータが永久に復元不能になる構造的問題と、Bitwarden・WhatsApp等の実装状況、推奨されるEnvelope Encryptionパターンを整理した。

Trend MicroがAIエージェント経由の新しいAMOS配布手法を分析。OpenClaw上の悪性SKILL.mdが偽CLIインストール命令を仕込み、AIを仲介者として人間を操作する。

Firefox 148がSanitizer APIを初搭載。setHTML()でinnerHTMLを置き換えることで、XSSをブラウザレベルで根絶できる標準手段が整った。

Anthropicが発表したClaude Code Securityの技術的アプローチ、偽陽性対策、GitHub Action、競合ツールとの比較、そしてサイバーセキュリティ株$15B吹き飛びの背景を整理する。

Socketが19個の悪意あるnpmパッケージを使ったアクティブな攻撃キャンペーンを報告。Claude・Cursor・VS CodeなどのAI開発環境を特に標的とし、SSH鍵・npmトークン・APIキーを窃取したうえでワーム伝播する。

AIエージェントのメモリファイルを汚染するMINJA・InjecMEM・ToxicSkillsキャンペーンの手法と防御策、そしてOpenAIとParadigmが公開したEVMbenchでGPT-5.3-Codexが72%のexploit成功率を記録した事実。AIが「攻撃の標的」にも「攻撃の武器」にもなる構造を整理する。

「本当にReactが要るのか」というWebコンポーネント再評価論と、「DependabotをオフにしてGo脆弱性チェックに切り替える」という主張。どちらも長年の標準とされてきたツール選択を、技術的根拠をもとに問い直している。

DeepSeekとClaudeを駆使して106カ国のFortiGateを自動スキャンしたキャンペーン、MFAを無効化するリバースプロキシ型PhaaS Starkiller、AnthropicのClaude Code Securityが本番OSSで500件超の脆弱性を発見、そしてPayPalがコードミスで6ヶ月間SSNを露出していた事実。

同じ週にCISA KEVカタログへ追加されたChromium CSSエンジンUAF、Roundcubeの10年潜伏RCE、BeyondTrustのランサムウェア悪用RCE、Daguのデフォルト認証なしRCE。4件すべてで即時パッチ適用が必要。