北朝鮮系ハッカー、偽の技術面接でSVG画像にマルウェアを隠す新手口を発見
ワンポイントSVG国旗画像にマルウェアを隠す新手口、全AVが未検知
Elastic Security Labsは、北朝鮮系とみられる攻撃グループによる新キャンペーン「REF9403」を報告しました。偽の求人とコーディング課題を通じて開発者を狙い、SVGのフラグ画像にステガノグラフィで隠したマルウェアで認証情報や暗号資産ウォレットを窃取する手口です。同社の調査時点でどのアンチウイルス製品も検知できていなかったといいます。
Archive
記事アーカイブ
トピック別に新着順で読めます。「あのアップデート何だっけ」はキーワード・期間からも探せます。
すべて1303AI・LLM618セキュリティ369開発ツール261DevOps・CI/CD232OpenAI198Vercel172GitHub116Hugging Face100Node.js / ランタイム96Cloudflare95サーバーレス87Next.js78データベース76Redis73TypeScript69Anthropic64Model Context Protocol61Python61クラウド58フロントエンド58Kubernetes57Google DeepMind50AIベンチマーク49AWS49JavaScript49オープンソース49AI セキュリティ48Docker40Transformers39GitLab35LangChain35React32ベクトルデータベース27pnpm24テスト24Azure22Deno19PostgreSQL15PyTorch15Rust15Go13Terraform13Django12Git12Google Cloud12.NET12nginx12ロボティクス12Vite12Bun11Elastic10OpenTelemetry10Ruby10AIコンテキスト管理9mise9Nuxt9Supabase9Elasticsearch8Ollama8GraphQL7LLVM7Prisma7Prometheus7Vitest7vLLM7Erlang/OTP6Hono6Mojo6Svelte6Grafana5PHP5Playwright5Polars5Rails5Remix5Vue5LlamaIndex4Meilisearch4Astro3Bevy3Elixir3FastAPI3Foundation3モバイル3MobX3OCaml3RabbitMQ3TensorFlow3Turborepo3Zed3Airflow2Angular2Ant Design2Apache Kafka2Biome2Crystal2date-fns2DuckDB2esbuild2htmx2Hugo2Jaeger2Jenkins2JupyterLab2Mantine2Material UI2NumPy2Poetry2Qwik2Rolldown2SolidJS2uv2Webpack2ArgoCD1Celery1Dart1Drizzle ORM1Effect1Flask1Framer Motion1Godot Engine1Ionic1Jest1Jotai1Kotlin1Lodash1Lua1pandas1Pinia1pytest1Ruff1scikit-learn1shadcn/ui1Spring1SQLAlchemy1Storybook1TanStack Query1Zod1
Next.js、8月26日に「Critical」脆弱性を修正するセキュリティリリースを予告
ワンポイントNext.js、8月26日にCritical脆弱性1件を修正予定
Next.jsチームは公式Blueskyアカウントを通じて、2026年8月26日に予定するセキュリティリリースを事前告知しました。深刻度「Critical」の脆弱性1件を修正し、バージョン16.3.2および15.5.24として公開されます。7月から始まった事前告知の取り組みの一環です。
Elastic Cloud on Kubernetes 3.5がリリース、名前空間管理やmTLSなど運用機能を強化
ワンポイントECK 3.5で名前空間管理やmTLS対応など運用機能が強化
ElasticがKubernetes向け公式オペレーター「Elastic Cloud on Kubernetes(ECK)」の最新版3.5を公開しました。ラベルセレクターによる動的な名前空間管理や、メンテナンス時に安全に処理を止められるポーズ機能、全スタック間のmutual TLS対応などが追加され、運用面の使い勝手が向上しています。
Cloudflare、WordPressの深刻な脆弱性2件に対しWAFルールを緊急展開
ワンポイントWordPressの深刻な脆弱性2件、Cloudflareが即座にWAFで保護
CloudflareはWordPressセキュリティチームから報告を受けた深刻度の高い脆弱性2件に対応するため、新たなWAFルールを2件デプロイしました。対象バージョンのWordPressを利用するすべてのCloudflare顧客が保護対象となりますが、パッチ適用済みリリースへの早急なアップデートも呼びかけられています。
Cloudflare、WordPressの未公開の重大脆弱性2件にWAF保護を先行提供
ワンポイントWordPressの未公開の重大脆弱性2件に先行してWAF保護を配信
Cloudflareは、WordPressに存在する未認証のリモートコード実行(RCE)とSQLインジェクション(SQLi)という2つの重大な脆弱性について、公式な脆弱性情報が公開される前にWAF(Web Application Firewall)による保護ルールを配信したと発表しました。攻撃者に悪用される前にサイト側の防御を先回りして強化する取り組みです。
Cloudflare、ボット対策を「一度きりの採点」から「継続的な信頼評価」へ転換
ワンポイントボット判定、一度きりの採点から継続的な信頼評価へ転換
Cloudflareは、ボットやAIエージェントの検知手法を、アクセス時点でのリスクスコアリングから継続的なトラスト評価へと移行させています。新システム「BotBase」と「Precursor」がボット・エージェントの良い/悪い振る舞いを評価し、カーソルの動きを人間かボットか判定するシミュレーション「Precursor Trace」も公開されました。
GitHub、組織単位でのプルリクエスト数上限設定に対応
ワンポイント組織単位で外部ユーザーのPR上限数を一括設定可能に
GitHubは、組織レベルでプルリクエストの上限数を設定できる新機能を追加しました。書き込み権限を持たないユーザーが同時に開けるオープンなプルリクエスト数を制御できるようになります。オープンソースプロジェクトなど外部コントリビューターを受け入れるリポジトリの運用に役立つ機能です。
Cloudflareがボット対策を刷新、「一時点のリスク評価」から「継続的な信頼性評価」へ
ワンポイントボット判定を一発勝負から継続評価へ、Cloudflareが方針転換
Cloudflareは、ボットや自律型エージェントへの対策方針を見直し、これまでのリスクの一時点評価から継続的な信頼性評価へと移行することを発表しました。新たに導入される「BotBase」と「Precursor」という仕組みにより、ボットやエージェントの挙動を継続的に監視・判定していくとしています。
Cloudflare、ウェブトラフィックの主役が「人からAIへ」と指摘 新指標「Agent Readiness」と「AEO」を発表
ワンポイントリクエストの半数超がAI由来、Cloudflareが新指標AEOを発表
Cloudflareは公式Blueskyアカウントで、ウェブサイトへのリクエストのうち半数以上がすでに人間ではなくAIエージェントなどの機械からのものになっていると発表しました。これに合わせ、AIエージェントによるサイトの発見・読み取りやすさを測る「Agent Readiness」と、AIアシスタントがどれだけ自社サイトを推薦しているかを追跡する「Answer Engine Optimization(AEO)」という2つの新しい取り組みを紹介しています。
GitLab Dedicated、AIゲートウェイをテナント内で完結できるように
ワンポイントAIゲートウェイもDedicated環境内で完結、データが域外に出なくなった
GitLabは、シングルテナントSaaSである「GitLab Dedicated」の環境内で、GitLab Duo Agent Platform用のAIゲートウェイを稼働できるようにしました。これにより、AI推論処理を含むデータが顧客の選択したリージョンとテナントの境界内に留まるようになります。監査要件の厳しい企業でもエージェント型のソフトウェア開発を導入しやすくなる点が特徴です。
Elastic、金融業界における信頼できる自律型AI構築のカギは「信頼できるコンテキスト」と提言
ワンポイント金融AIエージェントの要はモデルより「信頼できるコンテキスト」
Elasticが公開したブログ記事で、金融サービス領域でエージェント型AIをスケールさせるための土台は強力なAIモデル単体ではなく「信頼できるコンテキスト」であると指摘しています。統合されたデータ、可観測性、エンタープライズ検索、ガバナンスの4要素が、自律的な業務遂行を安全に支えると説明されています。
GitLabが脆弱性の大量放置に対応、19.3でバックログ一括修復機能を追加
ワンポイント脆弱性バックログをGitLabが一括でトリアージ・自動修復
GitLabは最新版19.3で、既存の脆弱性バックログに対して「SAST誤検知判定」と「エージェント型SAST脆弱性修復」を一括実行できる機能を追加しました。開発がAIによって高速化する一方、攻撃側もAIで脆弱性の悪用を加速させている状況を踏まえた対応です。GitLab Duo Agent Platformの無料トライアルで試すことができます。
GitHub、エンタープライズ管理設定でMCPサーバーの許可リストを導入
ワンポイントエンタープライズ管理設定でMCPサーバーの許可・拒否リストが可能に
GitHubはCopilotクライアントが実行できるMCP(Model Context Protocol)サーバーを、エンタープライズ管理者が一元的に制御できる新機能を発表しました。新設された**allowedMcpServers**と**deniedMcpServers**というキーを使い、組織全体でMCPサーバーの利用可否を管理できます。セキュリティガバナンスを強化したい企業向けの機能です。
tech/ai news
Next.js、2026年8月26日に定例セキュリティリリースを予告
ワンポイントNext.jsが8月26日に定例セキュリティリリースを予定
Next.jsの開発チームが、2026年8月26日に予定されているセキュリティリリースについて公式ブログで予告しました。現時点では対象となる脆弱性の詳細は公開されておらず、リリース日の告知にとどまっています。
tech/ai news
OpenAI、「Astra」に関するサイバーセキュリティ評価の予備結果を公開
ワンポイントOpenAIがAstraのサイバーセキュリティ評価結果を初公開
OpenAIは、Astraと呼ばれる取り組みに関する予備的なサイバーセキュリティ評価結果を公表し、あわせて安全対策とセキュリティ管理を強化する方針を明らかにしました。AIの持つサイバー能力が高度化する中での対応強化の一環です。
Cloudflare OAuth、全か無かの同意から「タスク単位」の同意へ
ワンポイントOAuth同意が全か無かからタスク単位で選べる方式に進化
Cloudflareは自社のOAuth実装に**オプショナルスコープ**のサポートを追加しました。これにより、ユーザーはアプリに与える権限をタスク単位で細かく選べるようになり、開発者はより安全な同意フローを設計しやすくなります。
GitHubのSecret Scanning、Push Protectionの対象拡大と新パートナー追加でカバレッジ強化
ワンポイントPush Protectionの検知対象が拡大、新パートナーLovable Labsも追加
GitHubがSecret Scanningのカバレッジ更新を発表しました。Push Protectionでブロックされるシークレットの種類が増加し、新たなパートナーとしてLovable Labsが加わったほか、アラートのメタデータも充実しました。誤って機密情報をリポジトリにプッシュしてしまうリスクをさらに抑える内容です。
tech/ai news
v0はどうやってSnowflakeのOAuthトークンを守りながら認証するのか
ワンポイントAI生成コードにOAuthトークンを渡さずSnowflake認証を実現
Vercelは、AIが生成したアプリがSnowflakeに接続する際にユーザーのOAuthトークンを一切サンドボックスへ渡さない仕組みを解説しています。プレースホルダートークンとリクエストプロキシを組み合わせ、認証フィールドにのみ資格情報を注入することで、プロンプトインジェクションによる漏洩リスクを防いでいます。本番投入から15日で約1万3000件のリクエストを処理し、プレースホルダー悪用による漏洩は0件だったと報告されています。
Cloudflareが自社Workers基盤で実証可能なSpectre攻撃を発見、既に対策済みと公表
ワンポイントCloudflareがWorkers向けSpectre攻撃を発見・既に修正済みと公表
Cloudflareは、自社のサーバーレス実行環境「Cloudflare Workers」に対してリモートから成立する投機的実行の脆弱性(Spectre系攻撃)を確認したと発表しました。同社によると、この問題は既に修正済みで、実際の悪用は確認されていないとのことです。詳細を解説したブログ記事と技術論文も公開されています。
OpenAI、サイバーセキュリティ特化モデル「GPT-5.6-Cyber」をDaybreak Redで提供開始
ワンポイントOpenAIがサイバー特化モデル「GPT-5.6-Cyber」をDaybreak Redで提供
OpenAIは、サイバーセキュリティに特化した新モデル「GPT-5.6-Cyber」を発表しました。認可された脆弱性調査やエクスプロイト検証、セキュリティテスト向けに、既存プログラム「Daybreak」の一部である「Daybreak Red」を通じて提供されます。記事タイトルからは、サイバー防御に許された対応時間が狭まる中でのDaybreakの拡張という位置づけがうかがえます。