被害状況

攻撃者

脆弱性

被害状況

攻撃者

脆弱性

脆弱性

1. Datadog Security Labsが、GitHub APIを通して企業のGitHub組織、リポジトリ、ユーザーアカウントを列挙する一連のキャンペーンに警告している。
2. 攻撃者は、GitHubのAPIを利用して、企業のGitHub組織やユーザーアカウントを列挙し、一部のケースではプライベートリポジトリをクローンしている。
3. 攻撃者は、他のリクエストと同期しながら企業のGitHub組織を移動し、最終的には列挙からクローニングに切り替えることもある。
4. GitHubのAPIの大部分は認証なしでアクセス可能であり、この情報を利用することで、企業のGitHub関連の活動を調査し、組織図を作成することができる。
5. 数少ないケースでデータへのアクセスが確認されており、攻撃者は1つの組織に属するプライベートリポジトリをクローンする手順を踏んでいる。

被害状況

攻撃者

脆弱性

1. DuckDuckGoブラウザがYouTubeの動画広告をブロックする機能を追加
2. UbiquitiがUniFi OSの深刻な脆弱性を警告
3. CISAが金曜日までにColdFusionの深刻な脆弱性を修正するよう連邦政府に命令
4. Tendaルーターファームウェアに隠しバックドアが見つかり管理者アクセスを提供
5. MicrosoftはAIで発見された脆弱性からより多くのWindowsセキュリティ更新プログラムを期待

1. npm 12のリリースでは、デフォルトでインストールスクリプトが無効化され、GATs（granular access tokens）が廃止された。
2. npm 12の変更点：
   • allowScriptsがオフになり、依存関係のライフサイクルスクリプト（preinstall、install、postinstall）や暗黙のnode-gypビルドは、明示的に許可されるまで実行されない。
   • --allow-gitがデフォルトでnoneになり、Git依存関係が明示的に許可されるまで解決されない。
   • --allow-remoteがデフォルトでnoneになり、リモートURL（例：https tarballs）からの依存関係が明示的に許可されるまで解決されない。
3. npm 12の新機能：
   • GATsが2FAをバイパスするように設定されている場合、感​​度が高いアカウント、パッケージ、および組織の管理アクションを実行できなくなった。
   • GATsは直接公開する機能を保持しなくなり、人間の2FA承認後にパッケージが公開されるようになった。
4. これらの変更は、2026年8月初旬および2027年1月にそれぞれ有効になる予定。
5. 開発者は、信頼できる公開（OIDC）または人間の承認ステップを持つステージング公開に自動的な公開を移行することが推奨されている。

被害状況

攻撃者