#セキュリティ

元Googleエンジニア3名がイランへの機密転送で起訴された事件と、NetEase製MuMu PlayerがmacOSで30分ごとに17種のシステム偵察コマンドを実行していた問題。ソフトウェアと人への信頼が揺らいだ週の記録。

AIコーディングツールClineのIssueトリアージボットがプロンプトインジェクション・キャッシュポイズニング・認証情報の混在という3段階の攻撃チェーンで悪用され、実際に約500万ユーザーを対象にした未承認パッケージ発行が発生した事案を解説する。

Chrome Zero-dayのUAF脆弱性、VS Code拡張機能4つの重大脆弱性、Microsoft Copilotの機密メール漏洩バグ。開発者の日常ツールに潜むセキュリティリスクを整理する。

CISAが2026年2月のKEVカタログ更新で、Google ChromeのUAF（CVE-2026-2441）を含む4件の脆弱性を追加。17年前のMicrosoft脆弱性も再浮上した。

Dell RecoverPoint for VMsのCVSS 10.0脆弱性が、中国関連の脅威グループUNC6201によって1年半以上にわたり悪用されていたことが判明した。

Microsoft OfficeのOLE緩和策をバイパスするゼロデイ脆弱性が実際に悪用されており、緊急パッチがリリースされた。

Notepad++のアップデーター（WinGUp）がホスティングプロバイダの侵害を通じてハイジャックされ、特定ユーザーに悪意あるバイナリが配布されていた事件の解説。

PHPUnitのPHPTテストランナーに安全でないデシリアライズの脆弱性が発見された。CI/CDパイプラインへの攻撃リスクとその対策をまとめた。

OpenSSL 3.0〜3.6 に高深刻度のスタックバッファオーバーフロー脆弱性が発見された。CMS AuthEnvelopedData の処理で認証なしに攻撃可能。今すぐアップデートを。

GitHubのフォーク機能とコミット表示仕様を悪用し、公式リポジトリのURLでマルウェアを配布する新たな攻撃手法について解説する。

2026年1月に公開されたSvelte/SvelteKitエコシステムの脆弱性5件をまとめた。DoS、SSRF、XSSと深刻なものが含まれる。

2026年1月のセキュリティアップデートで修正されたDolbyデコーダの脆弱性。音声ファイルを受信しただけで任意コード実行が可能だった。