技術 2026年4月6日(月) 約11分 Google DriveのAIランサムウェア検出が正式版になったがファイル常時監視のリスクも考えたい Google DriveのAIランサムウェア検出・復元機能が正式版に。検知能力14倍向上の一方、Googleの自動スキャンによる誤BANの歴史を振り返り、メインストレージとして使うリスクを考える。 Google セキュリティ ランサムウェア Google Drive
技術 2026年4月6日(月) 約19分 オープンソースMCPサーバー50件をスキャンして見つかった脆弱性の実態 50件のオープンソースMCPサーバーを自動スキャンした結果、61%で入力バリデーション欠如が見つかった。Playwright MCPやPuppeteer MCPなど有名サーバーでの脆弱性事例を整理し、MCPサーバーを使わずCLIで直接叩くべき場面との使い分けも考える。 セキュリティ MCP AIエージェント サプライチェーン
技術 2026年4月5日(日) 約10分 Claude Codeが23年間潜んでいたLinuxカーネルのヒープバッファオーバーフローを発見した Anthropicの研究者が自社のClaude Codeでカーネルソースを全走査し、NFSv4.0に潜む23年もののリモート悪用可能なヒープオーバーフローを掘り当てた。技術的な内容と、一般ユーザーが同じことをやる場合のコスト面を考える。 Linux セキュリティ Claude Code Anthropic カーネル NFS
技術 2026年4月5日(日) 約12分 偽Strapiプラグイン36個がRedis RCEとPostgreSQL窃取で暗号資産取引所を狙い撃ちにしていた npmレジストリにStrapi CMSプラグインを装った36の悪性パッケージが公開された。8種のペイロードがRedis経由のcrontab注入、PostgreSQL直接接続、リバースシェル、永続インプラントを展開。標的は暗号資産取引所Guardarianとみられる。 セキュリティ npm サプライチェーン マルウェア Redis
技術 2026年4月5日(日) 約7分 axiosは単発ではなかった、UNC1069は「Openfort」名義でFastifyやLodash、dotenvのメンテナまで狙っていた axios侵害の続報。GitHub issue、Socket、Google、Microsoftの公開情報を突き合わせると、UNC1069/Sapphire SleetはMocha、Fastify、Lodash、dotenv、Node.jsコア関係者まで同じソーシャルエンジニアリングで接触していた。確認できた標的と共通パターンを整理する。 セキュリティ npm Node.js サプライチェーン ソーシャルエンジニアリング
技術 2026年4月4日(土) 約14分 Claude全ティアがジェイルブレイクされた AFL攻撃と憲法的安全性の構造的破綻 4つの短いプロンプトでClaude Opus 4.6のポリシー評価を迂回し、本番インフラへの攻撃コードを生成させたAFL手法の全容。サンドボックスからの915ファイル窃取も。 セキュリティ Claude Anthropic LLM安全性 ジェイルブレイク AIエージェント
技術 2026年4月3日(金) 約8分 axiosメンテナが語った北朝鮮UNC1069の手口、偽Slackに招待されTeams会議でRATを踏んだ axiosポストモーテムでメンテナJason Saaymanが語ったソーシャルエンジニアリングの全容。偽企業のSlackワークスペース、偽Teams会議、RAT経由の端末掌握。2FAもOIDCも突破された。 セキュリティ npm サプライチェーン ソーシャルエンジニアリング RAT
技術 2026年4月3日(金) 約7分 React2Shell悪用キャンペーン UAT-10608が766台のNext.jsホストから認証情報を大量窃取 Cisco Talosが追跡する攻撃グループUAT-10608がCVE-2025-55182（React2Shell）を使って766台のNext.jsホストを侵害。DBクレデンシャル、SSHキー、AWS/Stripe/GitHubトークンを自動収集するNEXUS Listenerの実態を解説する。 セキュリティ Next.js React 脆弱性 サプライチェーン
技術 2026年4月3日(金) 約8分 OpenClawのSSHサンドボックスにシンボリックリンク経由の脱出、CVSS 8.8 OpenClawのSSHサンドボックス同期処理にシンボリックリンクのバリデーション不備が見つかり、AIエージェントが任意のローカルファイル読み書きでサンドボックスを脱出できる脆弱性。GHSA-fv94-qvg8-xqpw、CVSS 8.8。 セキュリティ OpenClaw AIエージェント CVE Sandbox
技術 2026年4月2日(木) 約26分 CloudflareがWordPress後継のサーバーレスCMS「EmDash」をベータ公開 Astro 6.0ベースのフルスタックサーバーレスCMS「EmDash」が登場。V8 isolateによるプラグインサンドボックスでWordPressのプラグイン脆弱性問題に終止符を打つ。 Cloudflare CMS WordPress Astro セキュリティ サーバーレス
技術 2026年4月2日(木) 約6分 Chrome 146のDawnにuse-after-free、2026年4件目のゼロデイが実環境悪用 WebGPU実装DawnのUAF脆弱性CVE-2026-5281がin-the-wildで悪用確認。Chrome 146.0.7680.177/178へのアップデートが必要。 Chrome セキュリティ ゼロデイ WebGPU CVE
技術 2026年4月1日(水) 約9分 Adobe Creative Cloudがhostsファイルを勝手に書き換えている Adobe CCのWAMコンポーネントがWindowsのhostsファイルにdetect-ccd.creativecloud.adobe.comのエントリを無断で追加し、ブラウザからインストール検出を行っている。仕組みの解析と、大手ソフトがOSの主導権を奪うパターンの整理。 Adobe Windows セキュリティ
