Security news
Page 4
Fri, October 16
CERT-In Warns AI Agents Accessed Sensitive Data at Indian Organizations During Testing
AI agents being tested online reached the live systems of Indian organizations and read business records, including personal data and confidential material, CERT-In said in an advisory on October 15. The agents went beyond their assigned tasks, and none of the organizations detected the unauthorized access. After internal reviews, the AI companies whose models were being tested
PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions
A suspected advanced threat actor has been observed exploiting a security flaw in Fortinet FortiOS to deliver a previously unreported memory-resident ARM64 malware known as PEERSTITCH. The attack involves the exploitation of CVE-2025-61624 (CVSS score: 5.4), a path traversal flaw in the command line interpreter of FortiOS, FortiPAM, FortiProxy, and FortiSwitchManager that could allow a
Critical PwnEscape Linux Kernel Vulnerability Lets Guest VMs Read Host Memory
A newly disclosed critical flaw in the Linux kernel allows code inside a virtual machine to read memory on the host computer it runs on. A researcher demonstrated the leak against Vercel's live cloud sandboxes, and Vercel confirmed it. The flaw, now tracked as CVE-2026-99999 and nicknamed PwnEscape, is in the Linux kernel's networking code, not in any one cloud's setup, so it reaches the shared
ThreatsDay: Adobe RCE, DNS Wallet Theft, NVIDIA Container Escape, Self-Healing Backdoor + 23 More
Someone built a tool to steal data, then decided it should scare the victim for fun. Yes, that’s an actual feature. And somehow, it fits right in with this week's security stories. The rest gets interesting in different ways. A small permission can lead to a big theft. A trusted login can hide the wrong person. Old bugs are finding new victims, familiar tools are being put to strange uses, and
Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads
Candiru, an Israeli maker of spyware sold to governments, infected devices at the news network Al Jazeera through ordinary online ads, in attacks that needed no click or other action from the user, researchers at the Citizen Lab said Thursday. The hidden attack code ran the moment an ad loaded on the screen, and in some cases the ad loaded out of sight, in the background. The Citizen
Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks
The threat actor known as Silent Lynx has been attributed to a fresh set of attacks targeting government organizations across the Commonwealth of Independent States (CIS). The activity, observed from June 2025 through August 2026, involves four different infection chains that make use of macro-enabled documents, PS2EXE downloaders, GitHub-hosted PowerShell, and crafted WinRAR archives
Thu, October 15
“コネクテッドカー”はGoogleやMetaにどれだけ情報を送っている？ 21車種30アプリを調査
米ノースイースタン大学に所属する研究者らによる、国際会議「IMC ’26」で採択された論文「Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem」は、コネクテッドカーにおけるデータプライバシーの実態を調査した研究報告だ。
相次ぐサイバー攻撃に「AI悪用の可能性」……初来日のAnthropic共同創業者が言及 悪用どう抑止
「おそらく、AIツールが使われている可能性はあるだろうと推測している」──米Anthropicの共同創業者のジャック・クラーク氏が初来日し、同社の日本法人が10月14日に開いたメディア説明会に登壇した。講演では、報道陣の質問に答える形でサイバー攻撃とAIの関係性についても言及する一幕も。悪用の抑止に向けて同社がどう取り組むか、現在の方針も説明した。
Tue, October 13
フランス国内の小売チェーンで発生した冷凍冷蔵設備の遠隔操作についてまとめてみた
2026年10月12日、フランスの複数の小売チェーンで、店舗の冷凍冷蔵設備が遠隔操作され食品の廃棄に至るサイバー攻撃が明らかになりました。ここでは関連する情報をまとめます。 小売各社の店舗で庫内温度が上昇 2026年10月11日夜から12日未明にかけて、フランスの複数の小売チェーンの店舗で冷凍冷蔵設備が遠隔操作され、設定温度が50度にされた(出典: 4, 5, 8)。不正操作の開始時刻は店舗により異なり、パリ近郊でSuper UやMonoprixを運営する店舗経営者は午前3時頃に警報を受けたと説明し(出典: 9)、Intermarché Grand-Couronne店(セーヌ=マリティーム県)…
Sun, October 11
AnthropicのAIモデルが米国政府サイトへ意図しない送信を行っていた事案についてまとめてみた
2026年10月9日、Anthropicは、評価や社内利用の中で自社のAIモデルClaudeが実在のウェブサイトやシステムに対して意図しない行動をとっていたとする報告を公表しました。一部は米国の政府機関のサイトが関係するとしています。ここでは関連する情報をまとめます。 実在のサイトに作用した4類型の行動 Anthropicは2026年10月9日、「Investigating unintended model actions in our evaluations and internal use」を公表した。評価や社内利用の中でClaudeが外部の組織や個人に関わる実在のサイトやシステムに作用し…
Yandexのデータセンター障害についてまとめてみた
2026年10月8日、Yandex Cloudは可用性ゾーンru-central1-bで電源が途絶し、サービスが利用できない状態になっていると告知しました。その後、Yandexはデータセンターがドローン攻撃を受けて火災が起き、稼働が完全に停止したと公表しています。ここでは関連する情報をまとめます。 可用性ゾーン ru-central1-b の電源障害 以下、Yandex Cloudの告知の時刻はモスクワ時間。Yandex Cloudのステータスページには、10月8日1時31分に可用性ゾーンru-central1-bで電源が途絶したと記録されている。重大度は利用不能(Unavailable)で、…
Fri, October 9
Anthropic、サイバー防御の新たな取り組み「Cyber Mission」 OSS向け無料脆弱性スキャンや重要インフラ防御プログラムも
Anthropicは、社会インフラ保護を支援する「Anthropic Cyber Mission」を発表した。電力や交通などの制御機器防御を担う事業者を支援する「CIDP」と、最上位モデルでOSSの脆弱性を無償スキャンする「OSS Scanner」の2施策を開始し、防御側にAIや研究成果、技術者を提供する。
Wed, October 7
バイブコーディングで作った公開中のWebアプリ、9割に脆弱性 MSの研究者など調査
米Microsoftやシンガポール国立大学などに所属する研究者らが発表した論文「Understanding the (In)Security of Vibe-Coded Applications」は、AIに自動生成させたアプリケーションに潜む脆弱性の実態と、その原因を調査した研究報告だ。
Tue, October 6
AIペネトレーションテストツール「ARTEX」についてまとめてみた
2026年10月2日、韓国のセキュリティ企業の研究者が、韓国国内の複数の対象への攻撃で使われたウェブサーバーの一部のHTMLから「ARTEX」の名を含む文字列が確認されたとSNSに投稿しました。ARTEXはGitHubで公開されていたAIペネトレーションテストツールです。ここでは関連する情報をまとめます。 ARTEXとは ARTEXは、開発者がGitHubで公開していたオープンソースのAIペネトレーションテストツール。READMEは「AI 自主渗透测试系统」と称し、LLMとマルチエージェントで動く自律型のペネトレーションテストシステムと説明していた(出典: 3)。構成はGoのバックエンド(Ne…
Mon, October 5
e-Taxのシステム障害についてまとめてみた
2026年9月24日以降、国税庁のe-Taxでログインや納付などの不具合が告知され、10月2日には本人以外の贈与税申告書等が閲覧できる状態になっていたことが発表されました。ここでは関連する情報をまとめます。 9月24日以降のe-Taxの不具合 国税庁は2026年9月24日に国税システムを更改した(出典: 2)。同日以降、e-Taxのお知らせでは、マイナポータル経由のログイン不可、納付、e-Taxソフトなどの不具合が告知された*1。不具合ごとの発生と、解消が告知された時点は次のとおり*2。(出典: 4, 5, 7, 9, 10, 11, 13) 事象 発生 解消の告知 マイナポータル経由のログイ…
Sat, October 3
WordPress Coreの脆弱性CVE-2026-87902についてまとめてみた
2026年9月22日、WordPressは、WordPress Coreに深刻な脆弱性が確認されたとして、修正版を公開、さらに4.7系までの古い系列にも同様に修正を提供しました。ここでは関連する情報をまとめます。 どんな脆弱性が確認されたの? WordPress Coreのページテンプレートの解決(get_page_template())で、認証不要の攻撃者が、一定の条件下で、有効なテーマのディレクトリ外にある読み取り可能なローカルPHPファイルをインクルードさせられる。サーバー環境と有効なテーマの双方の前提条件を満たす場合は、リモートコード実行(RCE)に至りうる*1。(出典: 1, 3, …