1. Datadog Security Labsが、GitHub APIを通して企業のGitHub組織、リポジトリ、ユーザーアカウントを列挙する一連のキャンペーンに警告している。
2. 攻撃者は、GitHubのAPIを利用して、企業のGitHub組織やユーザーアカウントを列挙し、一部のケースではプライベートリポジトリをクローンしている。
3. 攻撃者は、他のリクエストと同期しながら企業のGitHub組織を移動し、最終的には列挙からクローニングに切り替えることもある。
4. GitHubのAPIの大部分は認証なしでアクセス可能であり、この情報を利用することで、企業のGitHub関連の活動を調査し、組織図を作成することができる。
5. 数少ないケースでデータへのアクセスが確認されており、攻撃者は1つの組織に属するプライベートリポジトリをクローンする手順を踏んでいる。

被害状況

攻撃者

脆弱性

1. DuckDuckGoブラウザがYouTubeの動画広告をブロックする機能を追加
2. UbiquitiがUniFi OSの深刻な脆弱性を警告
3. CISAが金曜日までにColdFusionの深刻な脆弱性を修正するよう連邦政府に命令
4. Tendaルーターファームウェアに隠しバックドアが見つかり管理者アクセスを提供
5. MicrosoftはAIで発見された脆弱性からより多くのWindowsセキュリティ更新プログラムを期待

1. npm 12のリリースでは、デフォルトでインストールスクリプトが無効化され、GATs（granular access tokens）が廃止された。
2. npm 12の変更点：
   • allowScriptsがオフになり、依存関係のライフサイクルスクリプト（preinstall、install、postinstall）や暗黙のnode-gypビルドは、明示的に許可されるまで実行されない。
   • --allow-gitがデフォルトでnoneになり、Git依存関係が明示的に許可されるまで解決されない。
   • --allow-remoteがデフォルトでnoneになり、リモートURL（例：https tarballs）からの依存関係が明示的に許可されるまで解決されない。
3. npm 12の新機能：
   • GATsが2FAをバイパスするように設定されている場合、感​​度が高いアカウント、パッケージ、および組織の管理アクションを実行できなくなった。
   • GATsは直接公開する機能を保持しなくなり、人間の2FA承認後にパッケージが公開されるようになった。
4. これらの変更は、2026年8月初旬および2027年1月にそれぞれ有効になる予定。
5. 開発者は、信頼できる公開（OIDC）または人間の承認ステップを持つステージング公開に自動的な公開を移行することが推奨されている。

被害状況

攻撃者

脆弱性

脆弱性

1. AIが攻撃をどれだけ速く動かすかが変わった
2. Mythosのようなモデルを使用し、攻撃者は個別の罠を作成し、標的を選択し、着地するものをテストして最初のアラートをクリアする前に次のホストに移動する
3. AI駆動の攻撃者は人間の速度で動作する攻撃者のために構築されたツールやランブックが間に合わない
4. AI駆動の攻撃が室内に入る方法、室内にあるときに何をするか、ネットワークベースの防御が一歩遅れて着陸し続ける理由
5. 攻撃を停止する：攻撃者が到達できる範囲を縮小する、デザインによる横方向の移動を阻止する、早期に発見する

脆弱性