#CVE

Vitest UIやapi有効化時に立つWebSocket APIのOrigin検証不足で、悪意あるWebページからsaveTestFileとrerunを叩かれる。CVE-2025-24964の影響範囲、修正版、隣のCVE-2025-24963との違い、ローカル開発環境で見る設定を確認する。

Android 14〜16/16-qpr2に入るCVE-2025-48595は、Googleが限定的標的型悪用の兆候ありと書いたFrameworkの権限昇格。2026-06-01と2026-06-05のパッチレベル差、CISA KEVの期限、端末側で確認する日付を整理する。

HTTP/2のHPACK圧縮とフロー制御停止を組み合わせると100Mbps回線1本で32GBのメモリを枯渇させられる。Envoyで5,700倍、Apacheで4,000倍の増幅が出る仕組みと、nginx・Apache・Envoy・IIS・Pingoraの修正状況を追った。

RedSunとUnDefendとして先に出ていたMicrosoft Defenderの2件がCVE-2026-41091とCVE-2026-45498として公開され、CISA KEVにも入った。エンジン1.1.26040.8とプラットフォーム4.18.26040.7まで更新できているかを確認する。

2026年2月24日以前にKnowledgeDeliverを入れてweb.configのmachineKeyを変えていない環境が対象。ViewStateデシリアライズの仕組み、Godzillaのメモリ内実行、JS改ざんによるCobalt Strike配布までの攻撃チェーンと、Event ID 1316からの追跡手順

Riftの後、5月後半にnginxからもう2件出た。njsのjs_fetch_proxy脆弱性CVE-2026-8711と、rewriteモジュールの第2のヒープオーバーフローCVE-2026-9256。どちらも未認証RCEに届く可能性があり、発火条件と確認ポイントを設定ファイルベースで書いた

Dirty Pipe（CVE-2022-0847）を2026年のページキャッシュ汚染系CVEと並べて読み直す。pipe_buffer.flags、splice、修正済みカーネル判定、コンテナとCIでの扱いまで。

YellowKeyはまだパッチ前だが、MSRCがWinRE内のautofstx.exe無効化とTPM+PIN追加を案内した。TPM-only BitLocker端末で何を変えるか、前回のPoC公開時点から変わった判断を整理する。

CVE-2026-31635のNVD本文はDoS寄りだが、DirtyDecrypt PoCはローカル権限昇格を実証。CONFIG_RXGK有効のFedora・Arch・Tumbleweedが対象、Ubuntu LTS・Debianは標準カーネルで対象外。確認コマンドとコンテナ・CIでの判断を扱う

Chaotic Eclipseがcldflt.sysのHsmOsBlockPlaceholderAccessのレースコンディションでSYSTEMシェルを取るMiniPlasmaを公開。2020年にProject ZeroのJames Forshawが報告しMicrosoftが修正したはずのCVE-2020-17103が、フルパッチWindows 11 May 2026 updateで再現。Will Dormannも動作確認、Insider Canaryでは動かず。BlueHammer・YellowKey・GreenPlasmaに続くシリーズの位置づけと、5年前のパッチが再発している意味を整理する。

Chaotic Eclipse (Nightmare-Eclipse) が5月Patch Tuesday翌日にYellowKeyとGreenPlasmaのPoCを公開。USBに置いた FsTx フォルダとCTRLキーでBitLocker暗号化ドライブが開く挙動、WinREだけに存在する不審なコンポーネント、CTFMON経由のSYSTEM昇格、RedSunサイレント修正問題までまとめる。

OpenClaw 2026.4.22で修正されたClaw Chain（CVE 4件の連鎖）を、対応優先度・検知ログ・ローテーション対象まで整理。OpenShellのTOCTOU、heredoc展開、MCPループバックのowner偽装を、AIエージェント基盤の運用視点でつなげて読む。