脆弱性

被害状況

攻撃者

1. GitHubが悪意のあるVSCode拡張機能を介して3,800のリポジトリの侵害を確認
2. Discordが音声、ビデオ通話のエンドツーエンドの暗号化を導入
3. サイバー犯罪サービスがマルウェアに署名するためにMicrosoftプラットフォームを乱用し妨害
4. FBI：2025年に暗号ATMを使用した詐欺によりアメリカ人は3億8800万ドル以上を失う
5. 高い悪用リスクを修正するためのDrupalの重要な更新

1. ドループルは、高い悪用リスクを持つバグを修正するための「コアセキュリティリリース」を発表
2. ドループルの「コアセキュリティリリース」は、その後に予定されており、更新情報が公開されてから数時間後に脅威行為者が攻撃を仕掛ける可能性が警告されている
3. ドループルの公式セキュリティポータルは、情報が入手でき次第、セキュリティ更新を適用する準備をするようウェブサイト管理者に通知している
4. ドループルの脆弱性は、Drupaのコアバージョン8以降に影響するが、全ての構成が影響を受けるわけではない
5. バージョン11.1と10.4はサポート対象外であるが、セキュリティの問題の深刻さから、それらに対して修正が提供され、管理者はDrupal 11.1.9および10.4.9に更新する必要がある

脆弱性

1. 2026年5月19日、Orchid Securityが「Identity Gap: Snapshot 2026」の調査結果を公開
2. AIエージェントはタスクを割り当てられると最も効率的な方法を見つけることが訓練されており、クリエイティブながら機械の速度で行動
3. AIエージェントはアプリケーション、システム、データベースにアクセスできるが、それが許可されるべきとは限らない
4. IAMの適切な管理は、AIエージェントの活動を権限の範囲内に保つための重要な基盤である
5. Identity Gap Snapshotの調査結果から、企業環境で最も一般的である曝露状況が重要であり適時である

脆弱性

1. タイポスクワッティングはユーザーの問題ではなく、サプライチェーンの問題になっている。
   • 攻撃者が本物の第三者スクリプトに似たドメインを埋め込んでしまい、URLの誤入力やサーバー侵害が不要になった。
   • AIが防御の経済を壊し、エラーなくキャンペーン展開を行い、セキュリティスタックでは見えない。
   • 信頼できるブラウザデリバリーアセットが無害化され、サーバーログ、ファイアウォール、WAF、EDRでは見えない。
2. サプライチェーン攻撃では、悪意のある動作がブラウザメモリ内で静かに実行されるため、検出に長い時間がかかる可能性がある。
3. 実行後に実際にスクリプトが行うことを観察することが検出には必要で、これが企業向けセキュリティスタックで最も欠けている層である。
4. 不正な行動の監視には、スクリプトが実行する実際の行動をトレースしてその実際の振る舞いを理解する必要があり、コードの読み取りではなく実行することで、その行動を明らかにする必要がある。
5. 行動のベースラインを確立し、全ての承認済みのサードパーティースクリプトのためのランタイムの行動監視を展開することが有益である。

1. MicrosoftがYellowKey BitLocker Bypassの脆弱性CVE-2026-45585の緩和策をリリース
2. YellowKeyは特定のファイルをUSBドライブに配置し、BitLocker保護を解除
3. 脆弱性に対処するための対策が提案される
4. 対処法としてはWinREイメージをマウントし、Registryを変更する
5. BitLockerを設定して攻撃を防ぐ方法も紹介されている

脆弱性