日本語版 — Security
日本語版: Cybersecurity, vulnerabilities, breaches, and defensive research.
-
Meta、DNSで露出したリンクを差し替えた後にMuseのアーティファクト共有を復元
David Singletonは、この欠陥はチャット共有ではなく共有アーティファクトに影響を与えたと述べている。Metaは古いリンクを差し替え、現在は訪問者に送信者に新しいリンクを依頼するよう案内している。
-
独占：FoxIOの研究者は、5月に報告したサーバーをクラッシュさせるHTTP/3の脆弱性についてBunが一切回答しなかったと述べる
Sébastien FéryはRuntimeWireに対し、FoxIOがBunのセキュリティポリシーにあるチャネルを通じて脆弱性を報告したが、「連絡はなかった」と語った。Bunは木曜日、FoxIOやその報告に言及していないリリースでHTTP/3のセキュリティ修正を公開した。
-
RemoteThreat、攻撃的サイバープラットフォームの販売強化のためにプロダクト責任者とマーケティング責任者を追加
Joe CastellanosとTaylor Pettisは、RemoteThreatの700万ドルのプレシードから3週間後に合流し、創業者のChris Thompsonはオペレーター主導のプラットフォームを支えるチームを構築している。
-
Semperis、Prince of Persiaのコマンドサーバーを米国の共有ホスティングに突き止める
Semperisの研究者であるTomer Barは、Prince of Persiaが8月に米国でホストされているインフラストラクチャに戻り、Cloudflareの背後に移動する前に共有ホスティングを使用していたと述べている。
-
MicrosoftはARTEXの攻撃を2,250以上のConnectWiseテナントに関連付けた
Storm-0940 はクラウドアクセスのために侵害された ConnectWise アプリケーション識別情報を使用した。Microsoft によれば、一部の標的は3時間未満で特権アクセスに達したという。
-
PHPの重大なセキュリティリリースの後、Laravelは稼働中のすべてのLaravel Cloudアプリにパッチを適用した
Taylor Otwell は、Laravel のチームが徹夜で対応したと述べた。PHP は、これらの脆弱性により認証されていないリモートでのコード実行が可能になるおそれがあると警告したが、Laravel Forge のユーザーは依然として自分でサーバーを更新する必要があった。
-
Railway、顧客の環境変数が流出した可能性を受けてデプロイを一時停止
Railwayは、不正な第三者が暗号化された変数およびその一部の復号済み内容にアクセスした可能性があると述べ、すべての顧客に保存されている認証情報をローテーションするよう促しました。
-
OpenAIのモデルがウェブサーバーに影響を与える重大なPHP脆弱性2件の発見に役立つ
PHPは、2か月間にわたる協調的な是正対応の後、10月21日に未認証のリモートコード実行脆弱性2件に対する修正をリリースした。
-
研究者らは、PHP 8.5.12 のパッチが不完全かもしれないと述べている
Xへの投稿は、このセキュリティ修正が不完全である可能性があるが、さらに検証が必要だとしている。PHPは8.5.12が2件の重大な脆弱性を修正していると述べており、主張されている残りの経路が悪用可能であることを示す公的な確認はない。
-
PHPが重大なセキュリティ修正をリリースする中、GitHubがサービスの低下を報告
10月21日、GitHubはActions、pull requests、およびwebhooksに問題があると警告する一方、PHPはリモートコード実行を可能にする2件の脆弱性に対する修正を公開した。
-
PingCAP、盗まれた認証情報が内部システムにアクセスしたことでTiDB Cloudのデータ流出を確認
9月から10月にかけての侵入によりアカウント、SQLエディタ、および請求記録が流出した。一方で、別の攻撃者が「10.6 TBを窃取し平文のAPIキーを入手した」と主張しているが、この主張は未確認のままである。
-
ThreatLocker、デフォルト拒否モデルを基盤にしたAIエージェント制御を発表
ThreatLocker CEO Danny Jenkins は、サイバー攻撃でクライアントの事業がほとんど壊滅しかけた後に構築したセキュリティアプローチを拡張しています; その製品の主張は独立して検証されていません。
-
PHP、10月21日に重大なセキュリティリリースを予定
このリリースは、いずれもCVSS v4.0で9.2と評価された2つの重大な脆弱性に対処しています。PHPはユーザーにアップグレードの準備をするよう呼びかけています。
-
独占：AnthropicのClaude Desktopがローカルスキル向けの休眠中のセキュリティスキャンを同梱
デフォルトでオフになっているこの制御は、アプリを通じて扱われるスキルを組織が設定した Claude モデルによるレビューのために保留し、合格したスキルは解放され、警告のあるスキルは注意を付して使用可能なままにし、不合格のスキルはブロックします。
-
GitHubが、回避されるとパッケージを阻止できないnpmファイアウォールのプレビューを公開
GitHubの10月20日付のチェンジログ項目（10月21日に公開）は、GitHub Enterprise Cloudの顧客向けの無料パブリックプレビューの詳細を伝えています。ファイアウォールはそれを経由するnpmトラフィックに対してポリシーチェックを適用します。一般提供時には従量課金制が適用されます。
-
TeamUpdraftの流出したUpdraftCentralキーにより、攻撃者がWordPressのバックドアをインストール可能に
TeamUpdraftは、攻撃者が10月17日から18日にかけて同社のウェブサイトにアクセスしたと述べた。PatchstackとNethembaは、攻撃を有効なリモート管理キーに遡及して特定し、被害者のサイト設定に欠陥はなかったと確認した。
-
GMO、ARTEXハッキングツールを約20社の日本企業を標的とした攻撃に関連付け
そのセキュリティ企業は、標的にされた8社が9月と10月にデータ漏洩を公表したと述べる一方で、自社の把握は観測したインフラに限られると警告した。
-
eMudhraの8つの脆弱なCA鍵が、より広範なソフトウェア信頼ストアのクリーンアップを引き起こした
創設会長のVenkatraman Srinivasanが率いるeMudhraは、鍵生成スクリプトが主要プラットフォームが信頼する証明書に弱い鍵を組み込んだと述べている。
-
WSJは、Muskがウクライナのドローンを妨害したStarshieldの減速を承認したと報じている
ウクライナは、時速160キロの速度制限が軍用ドローンの作戦を混乱させたと述べた; Muskは米国政府がStarshieldを管理していると言い、Trumpはその制限を命じたとすることを否定した。
-
判事、サウジの保釈金提供にもかかわらず元OpenAIエンジニアの拘束を継続
10月19日の審理で、Alfozanの弁護士はサウジ政府が100万ドルを保証すると述べたが、裁判官はそれが彼の逃亡を防げるかどうかを疑問視した。
-
ProjectDiscoveryが50ドル未満でモデルのバックドアを構築し、Codexにペイロードを実行させた
10月6日のデモンストレーションで、ProjectDiscoveryは、隠されたトリガーによりCodex CLIがコードを実行し、ダミーのプロジェクト資格情報をコレクターに送信したと述べています。
-
米国、Google AIの窃盗事件に関連する資金提供を理由にMiraclePlusを制裁
10月19日の措置は、ファンドが上海のスタートアップZhisuanに約70万ドルを投資したことを受け、Lu Qiのベンチャー企業とその関連3社を名指しした。
-
OVHcloud、改ざんされたCLIバージョンがローカルのシークレットを盗む可能性があると警告
創業者兼CEOのOctave Klaba氏は、攻撃者が開発者のGitHubアカウントを使ってOVHcloud CLIのバージョン0.11.0から0.15.0にかけて認証情報を窃取するバイナリを追加したと述べた。彼はユーザーにシークレットをローテーションするよう促した。
-
検察、OpenAIの録音装置事件をサウジの採用活動と渡航支援に結び付ける
新たな法廷提出書類は、名の明かされていないサウジ王族がAbdulrahman AlfozanにサウジのAIイニシアチブへの参加を促し、サウジの軍関係者が彼の逮捕後に家族の航空券代を支払ったと主張している。