GrapheneOSプロジェクトがPixel 11向けの移植作業を1週間行ったが、ソフトウェア・ファームウェア・ハードウェアいずれもARMのメモリタギング拡張(MTE)に対応していないため移植を完了できないと報告。コスト削減のためGoogleがセキュリティ機能を削った可能性を指摘している。
GCCのネスト関数はコールバックとして渡す際、トランポリンと呼ばれる実行可能スタック上のコード片を経由して呼び出される。著者は、トランポリンから静的チェーンとコードアドレスを直接抽出し__builtin_call_with_static_chainで呼び出すことで、実行可能スタックを要求せずにネスト関数を間接呼び出しする手法を解説している。これはGCC 17で導入予定の新組み込み関数の機能を、古いGCCでも疑似的に実現するフォールバックとなり、呼び出し後にpatchelfでスタックの実行属性を解除できる。さらにトランポリン自体を関数記述子として扱い、呼び出し側で簡易インタプリタ的に解釈するアイデアにも触れている。
Dovecot 2.4.5とPigeonhole 2.4.5がリリースされ、Sieveの任意コード実行(CVE-2026-42007)やSMTPスマグリング(CVE-2026-33604)、認証回避(CVE-2026-42008)など多数の脆弱性を修正する大規模セキュリティアップデートとなった。heredoc構文の追加やML-KEM対応などの新機能も加わっている。
Discordのようなチャットサーバーを自前でホストできる「Chatto」が公開された。メモリ消費が数十MB程度と軽量で、メッセージ本文はChaCha20-Poly1305で暗号化して保存し、ユーザーごとの暗号鍵とアカウント削除時のCrypto Shreddingにより復号不能化できる。画面共有・全文検索・通知・PWA・バックアップ・ロール権限管理・SSO・音声/ビデオ通話（LiveKit）・GraphQL API・NATS連携など機能が充実しており、Windows/macOS/Linux向けクライアントとDocker版サーバーが用意されている。
POWBlockはリバースプロキシの背後で動く軽量なプルーフオブワーク型のbot/DDoS対策ゲートウェイ。C言語とEPOLLで実装され約1MBの単一バイナリで依存なし。VarnishやOpenresty、Haproxy+Lua等と連携し、クライアントにJavaScriptでSHA-256/512のハッシュ計算を課してCookieトークンを発行する仕組み。月間10億リクエスト規模の本番環境で運用実績があり、Anubis等の既存ツールより高性能・省サイズを謳う。無料版は主要機能を提供するが、企業向け機能はソース非公開のシェアウェアとして1ライセンス50ドルで販売される。
picoCTFのForensics問題「RED」のWriteup。赤一色に見えるPNG画像のexif/stringsからPoemのテキストを抽出し、各行頭文字を繋げると「CHECK LSB」というヒントが浮かぶ。zstegでLSBを解析するとBase64文字列が見つかり、CyberChefでデコードしてフラグを取得する手順を解説している。
Claude Codeのスキルやカスタムコマンド内のインラインシェル構文（`!`command``）は、ドキュメント上はBashツール呼び出しと別扱いに見えるが、実際にはpermissions.denyの許可チェックを通ることを検証した記事。deny設定したtouchコマンドをスキル内で実行させるとエラーで拒否されることを確認し、さらにインラインシェル実行自体を無効化する`disableSkillShellExecution`設定の挙動も検証している。
Claude Code v2.1.250〜v2.1.251の更新まとめ。シンボリックリンク差し替えやBash算術式代入の自動承認など権限チェックをすり抜ける経路の修正が中心で、プロジェクト設定のenvからCLAUDE_CONFIG_DIR等が設定不可になる破壊的変更やCLAUDE_CODE_SUBAGENT_MODELの優先順位変更もある。新機能としてPreModelSwitch/PostModelSwitchフック、/costへのプロンプトキャッシュ表示追加なども紹介。
git.kernel.orgはAIクローラーによる過剰トラフィックに悩まされており、Anubisチャレンジを回避する33%のリクエストの大半がスクレイパーで、正規アクセスは全体の約2%に過ぎないとRyabitsevが報告。住宅用プロキシを使った回避や、クローンではなくWebインターフェースを叩き続ける非効率な挙動、AIによる正当な調査アクセスとの区別の難しさなどがコメント欄で議論されている。
「GitHub CI/CD実践ガイド」の書評記事。生成AIによるコード量産時代に品質を支えるCI/CD設計を、ワークフロー実行制御・ログ運用・リリース自動化・セキュリティと権限管理の観点から体系的に学べる一冊として、書籍構成とオススメポイントを紹介している。
リップルはXRPレジャーの未使用コードXChainBridge関連1万行超の削除を提案する一方、新設の融資機能「Lending Protocol V1.1」をAIのみのセキュリティレビューにかけた。前世代機能では人間参加型のアタッカソンやAIレッドチームで多数の脆弱性を発見してきた実績があり、研究者は不変条件の取り違えなど微妙なバグには人間検証が重要と指摘。2026年上半期の被害統計ではコード脆弱性は件数が多いが損失額は小さく、鍵・ウォレット侵害は件数少なく損失額が大きいため、コード監査強化だけでは対策範囲が限定的である点も論点となっている。
AWSとセキュリティ初心者向けのオンライン勉強会「mini Security-JAWS」第52回の告知。2026年9月19日10時から開催され、5-7月頃のAWS最新アップデートをチェックする内容。
ゼロトラストの基本概念から、アイデンティティ・デバイス・ネットワーク・リソースの各セキュリティ、監視・運用・自動化、導入プロセス、実装モデル、課題までをフルカラー図解で解説する書籍。2026年9月7日発売予定、技術評論社刊。
Ubuntu 26.10（stonking）はFeature Freeze期に入ったが、OpenSSL 4対応やGolang/LLVM移行などFFeを伴う作業が多く残り不安定な状態が続く。並行して26.04 LTS初のポイントリリース26.04.1がSRU Freezeを経てリリース準備中。またCanonicalはUbuntuとZephyr RTOSをプリインストールしたデュアルプロセッサーボード「Arduino VENTUNO Q」（299ドル）の予約開始を発表し、ローカルLLM/VLM実行やROS 2対応を訴求している。加えてUbuntu ProのCIS Benchmarks Level 1準拠機能（usgコマンド）がAIエージェント実行環境のハーデニング手段として紹介されている。
Apple SiliconのVirtualization.frameworkとPCC research VM基盤を利用し、仮想iPhoneを起動するCLIツール「vphone-cli」の紹介。ファームウェア準備からDFUリストア、CFWインストール、初回起動までの一連のパイプラインをコマンド一つで自動化する。ジェイルブレイクを含む5段階のパッチバリアントを提供し、SSH/VNC接続や画面キャプチャ・タッチ操作を行う自動化ソケットも備える。
化粧品ラボの研究者が、偽造品が横行するコスメ業界を対象に、AI（Google Gemini）が本物と偽物のパッケージを画像から識別できるかを検証した記事。「Rhode Peptide Lip Tint」の本物・偽物パッケージ各3点を撮影し、Geminiに真贋判定と根拠の指摘をさせた結果、誤字脱字や規制表示の不一致、バッチ番号など複数の的確な指摘ができた一方、照明の反射を印刷ミスと誤認するなど、写真特有のノイズに起因する誤判定も複数見られた。
スマートTV（特にLG製品）がEDID経由でOSにドライバやブロートウェアを勝手にインストールし、監視・広告収益化に利用される実態を告発する記事。対策としてEDIDブロッカーやダミープラグでモニター情報を偽装するハードウェア的回避策を紹介している。
Sesame はローカルファースト・オープンソース（AGPL-3.0）のパスワードマネージャーで、Windows 向けにパブリックベータを公開。パスワード・2FAコード・復旧情報・添付書類を端末上で管理し、ボールトはサーバーに送信されない設計。15形式のインポートに対応し、セキュリティチェック機能やWindows Hello/PIN解除もベータで利用可能。ブラウザ拡張・同期・モバイル対応・パスキーは今後の予定。
OCaml の cohttp に path traversal 脆弱性が見つかり、著者が修正 PR を公開した直後（わずか10分後）に実際の攻撃プローブが観測された。著者自身も脆弱性の概要を伝えただけで自分のエージェントに exploit を作らせることができ、平均攻撃到達時間（mean time to exploit）は既にマイナス、つまりパッチ公開より攻撃が先行する事態になっている。従来のセキュリティエンバーゴが機能しなくなった背景には、LLM エージェントが「バグの噂」程度の情報だけで独自に脆弱性を発見・悪用できる能力を持ったことがある。著者は対策として、（1）AI の目が届かない場所での秘匿パッチ開発、（2）エンバーゴをやめて継続的デプロイで即座に修正を配信、（3）プロトコル層での動的な仮想パッチ配布、という3方向を提案し、フロンティアモデルへのアクセス格差（Project Glasswing 等）が小規模 OSS メンテナの防御力を制約している点も指摘している。
Greg Kroah-Hartmanが8系統の安定版Linuxカーネル（7.2.2、7.1.12、6.18.48、6.12.107、6.6.155、6.1.186、5.15.219、5.10.268）をリリース。いずれもCVE-2026-80590の単一修正を含む。IPv4/IPv6フラグメントをGSOとしてマークできる脆弱性で、非特権ユーザーがカーネルパニックを引き起こせる。Linux 2.6.27以降存在していた不具合で、ユーザーにはアップグレードが推奨される。
各種Linuxディストリビューション（AlmaLinux、Debian、Fedora、Mageia、Oracle、SUSE、Ubuntu）向けに8月28日前後に公開されたセキュリティ更新情報のまとめ。kernel、httpd、chromium、openssl、pamなど幅広いパッケージが対象。
30人規模スタートアップがGitHub Enterpriseを新規契約し、Base permissionsをNo permissionに変更してTeamベースの最小権限アクセス管理へ移行した実践記録。Team↔リポジトリ割り当て、All Employees Teamでの全社共通リポジトリ管理、業務委託メンバーのOrganization Member/Outside Collaborator使い分け、CI/BotなどNHIの棚卸し、会社ドメインアカウントへの統一と2FA必須化、Owner権限の最小人数運用、gh CLIを使った権限棚卸しコマンド例、切り替え手順とロールバック手順までを網羅している。
AWS DevOps AgentのDirected Actions（エージェントアクション）機能を検証した記事。アクションロール登録とエージェントアクション有効化の2ステップで設定し、ロール権限は「天井」に過ぎず実行時はセッションポリシーとオペレーター承認により操作範囲が絞られる仕組みを解説。サポート対象外の`authorize_security_group_ingress`はブロックされたが、NAT Gatewayのルート修正シナリオでは承認フローを経て緩和計画の実行完了まで確認できた。
イーサリアム開発者が、将来の量子コンピュータによる暗号攻撃に備える新提案EIP-8394を検討している。バリデータのデポジットコントラクトを再設計し、可変長公開鍵に対応させ、BLS署名による新規バリデータ登録を段階的に終了させる仕組みを導入する。現在約4240万ETH（約1040億ドル）がステークされており、この大規模基盤の将来的な耐量子移行への布石となる。既存バリデータの鍵移行は対象外で、代替の耐量子方式自体は今後の別EIPで定義される。米国政府もPQC移行を加速させる大統領令に署名しており、世界的な量子対策強化の流れと一致する。
IAM Identity CenterのAccount Access Managerを使い、委任管理アカウントから別メンバーアカウントの既存IAMロールを割り当てる運用を検証した記事。信頼ポリシーに必要なActionはAssumeRole/SetContext/SetSourceIdentityの3つで、SetSourceIdentityが無いとValidationExceptionになる。信頼ポリシーへのaws:SourceIp条件によるIP制限はAssumeRoleの呼び出し元がサービスプリンシパルになるため機能せず、CloudTrailで実証している。ロール自体は許可セットのように自動展開されず各アカウントで個別管理が必要という運用上のトレードオフも整理している。
AIの高性能化に伴うサイバー攻撃リスクの高まりを受け、OpenAI・Anthropic・Googleなど先端AI企業がAWSやMicrosoft、Mastercard等とともに、重要インフラ防御のためAIを活用したサイバー防御力の底上げを呼びかける共同声明を発表した。
Spring Boot向けにPQC(耐量子暗号)を段階導入する4パターンを解説。JDK 24ならJCE標準でML-KEM/ML-DSAが使え、それ以前はBouncy CastleベースのPqcStarterLibを利用可能。銀行のサービス間通信暗号化(Kyber+AES-GCM)、DB上のPII/KYCフィールド暗号化(ただし本番化には鍵をKMS/Vaultで管理する必要あり)、長期保存文書・監査証跡へのDilithium署名、Core Banking向けOAuth2サービストークンのDilithium署名化を扱う。HNDL(Harvest Now, Decrypt Later)攻撃への対策として、寿命の長いデータ(署名文書・長命トークン)から優先的に移行すべきと主張している。
Android 17でSNIを暗号化するECHが導入され、通信先ドメインの秘匿性が向上した。LAN内機器への無断アクセスを制限するLocal Network Protection、証明書の不正発行を検知しやすくするCertificate Transparencyの標準化、偽基地局による2G誘導詐欺を防ぐための通信会社側での2G無効化機能も追加された。
BLE マルチポイントヘッドホンの音声フォーカス切替不良を調査していた開発者が、AliExpress のページが常時無音の音声ストリームを維持していることを発見。難読化解除の結果、Alibaba の AWSC 不正対策スイート内に Web Audio API を用いたオーディオフィンガープリンティング処理（collina.js / fireyejs.js）が組み込まれていたことが判明した。ゲインをゼロにしたオーディオグラフをハードウェア出力に直結することで、OS のアイドル状態遷移を妨げ、Bluetooth のマルチポイント切替を阻害していた。Brave は「farbling」による疑似ランダムノイズ注入、Firefox は数値の丸め処理でこの手法に対抗しているが、AudioContext の初期化には権限プロンプトや可視インジケーターが無く、W3C 仕様上の構造的な穴が指摘されている。
Google DeepMindは、AIモデルの性能評価においてAIや開発企業によるカンニングを防ぐため、業界初の「二重盲検評価」を試験導入した。Google Cloudの機密コンピューティング技術を用いて仮想マシン内でテストプロンプトとモデルの重みを双方非公開のまま処理し、外部評価機関と開発企業のどちらもデータ漏洩リスクを負わずに評価できる仕組み。シンガポールAI研究所やMLCommons、AVERIなどと共同でGemini 2.5 Flash-Liteを用いた初期パイロットテストを実施済み。
MCPのコアメンテナーが更新版ロードマップを公開。2026年7月の仕様改訂でセッション廃止・水平スケーラビリティ・認可強化を実現した後、次の優先領域として非同期通信の基本要素、HTTPネイティブなトランスポート統一、エージェントIDとエンタープライズ向けセキュリティ（DPoP、Workload Identity Federation等）、ツール呼び出しの基本要素改善、SDK開発者体験向上の5つを掲げた。今後の仕様変更提案（SEP）はこれらの優先領域が審査で優先される。
Apple PayとGoogle Payのセキュアエレメント実装方式の違いを技術面から解説。Apple PayはeSE+Secure Enclaveによるダイナミックロード/アンロードでカード枚数制限を事実上撤廃した一方、AndroidのGoogle PayはHCE+TEE/LUK方式とFeliCa向けeSE方式が混在している。2026年秋登場予定の「Androidのマイナンバーカード」はFeliCa SE前提の現行方式からStrongBoxベースの実装に移行し、券面情報確認やVCによる本人確認証明が可能になるが、対応機種はメーカー実装依存でホワイトリスト方式は継続する見込み。
Go言語製のエンタープライズ向けSSI（分散型ID）フレームワーク「TrustBloc」を解説する記事。W3C VC Data Model・DID Core・SD-JWT・BBS+署名など幅広い標準仕様への準拠状況を、vc-go/did-go/vcs等の主要リポジトリ構成とともに紹介し、Credo-TSやwalt.id、SpruceID DIDKitといった類似フレームワークと比較している。ブロックチェーンに依存しない独自DIDメソッド「did:orb」の仕組みも解説。実際にvc-goでVCを構築・シリアライズ・パースするGoコードのデモと実行結果を示し、標準ライブラリ(encoding/json)とのベンチマーク比較（VCパースで約4.9倍遅いが絶対時間は約23µsで実用上問題なし）も行っている。
AIモデルの高性能化に伴いAIを悪用したサイバー攻撃のリスクが高まる中、OpenAI・Anthropic・Googleなど先端AI企業がAWS、Cisco、IBM、Microsoft、Mastercard、VISAなどと共同で防御力強化を呼びかける声明を発表した。重要インフラを担うセキュリティチームへのAI提供拡大や、企業・セキュリティ企業・政府それぞれが取るべき対策を提示している。
トランプ大統領は国家安全保障上のリスクを理由に、武器禁輸・制裁対象国が設計・製造した電力関連設備やソフトウェア、デジタルサービスの米国内での取得・輸入・設置を禁止する大統領令に署名した。バックドアによる遠隔操作やサプライチェーンリスクを懸念事項として挙げており、既存設備についても継続使用や更新に条件が課され、場合によっては交換・撤去が必要になる可能性がある。同種の大統領令は1期目にも発効されバイデン政権下で撤回された経緯があり、中国系ハッカー集団による重要インフラへの侵入事例も背景にある。
Claude Code v2.1.248では、コマンド実行系ツールとWebFetchを一括制限しユーザー設定を無視する`--restricted`フラグが新設され、CIやコードレビュー用途での権限管理が簡素化された。また`/ultrareview`やクラウドセッションが認証情報を含むファイルを誤ってアップロードする脆弱性が修正されたほか、長時間セッションでのプロンプトキャッシュミス、Claude Desktop/Coworkセッションの30日消失、worktreeバックグラウンドセッションのチェックアウト消失など多数の不具合も解消された。
TLS証明書とSAML署名証明書はどちらもX.509形式だが信頼モデルが異なる。TLSは不特定多数が検証するため公的CAへの信頼が必要だが、SAMLはメタデータで事前に公開鍵を共有するため公的CAは必須ではない。TLS証明書の最大有効期間は2029年に47日まで短縮予定で、NIIなどのフェデレーション機関はSAML用証明書について自己署名証明書への移行を案内している。ただし自己署名証明書でも鍵更新は不要にならず、メタデータを使った計画的なロールオーバーが重要と説明する。
Webセキュリティの必読書『徳丸本』が8年ぶりに改訂され第3版が刊行予定。個人情報漏えいから事業被害へのシフトを背景に、セキュリティ要件の章新設、CORS/CSP/TLS等のブラウザセキュリティ、レースコンディション（TOCTOU競合）、HTTPリクエストスマグリング（HRS）、JWTのセッション管理リスクなど最新トピックを追加。実習環境もDocker Compose化しBurp Suiteを採用、OWASP ASVS 5.0等の最新基準にも準拠する。
セキュリティホールmemoの2026年8月分まとめ。Apache Tomcat・OpenSSL・NSD・Chrome 152など多数の脆弱性情報に加え、Rustパッケージ改ざん、コナミ製品のヒープバッファオーバーフロー(CVE-2026-19874)、AIによるサイバー攻撃防御に関するOpenAI・Anthropic・Google等の共同声明、ネパール・チベットの土石流災害、AI恐怖症の米国世論など幅広いニュースを収録。
セキュリティホールmemoの2026年8月分まとめ。Apache Tomcat・OpenSSL・NSDの脆弱性情報、Chrome 152のセキュリティ更新、Rustパッケージ改ざん事件、ネパール・チベットの土石流災害、英国発電施設へのサイバー攻撃、AI企業によるサイバー防御共同声明など、セキュリティ関連ニュースと時事ネタを日付ごとにリンク集形式で紹介している。
「セキュリティホール memo」8月28日分の記事。ITエンジニア必読書『徳丸本』が8年ぶりに改訂され第3版が刊行予定であることを筆頭に、Apache Tomcat・OpenSSL・NSDの脆弱性情報、Chrome 152のセキュリティ更新、Rustパッケージ改ざん事案、英国発電施設へのサイバー攻撃、AI大手各社によるサイバー防御共同声明など、セキュリティ関連ニュースをまとめたリンク集。
セキュリティホールmemoの2026年8月分ダイジェスト。Apache Tomcat・OpenSSL・NSD・Chrome 152などの脆弱性情報に加え、ネパール/チベットの土石流災害、横浜市長のパワハラ辞職、インフルエンザ流行入り、Rustパッケージ改ざん事案、AI企業によるサイバー防御共同声明など多岐にわたるニュースをまとめたリンク集。
セキュリティホール memoの2026年8月28日分エントリ。Apache Tomcat・OpenSSL・NSD・Google Chrome 152・Oracle月例パッチなど複数のソフトウェア脆弱性情報に加え、インフルエンザ全国流行入りやネパール大規模土石流、横浜市長辞職などの一般ニュースも雑多に掲載する個人運営のリンク集記事。
セキュリティ関連ニュースまとめサイトの2026年8月分の記事。Tomcat・OpenSSL・NSD・Oracle等の脆弱性情報、Chrome 152公開、コナミ製品の脆弱性、ネパール・チベットの土石流災害、メタ訴訟、韓国株暴落、AI企業によるサイバー攻撃対策共同声明など、多岐にわたるニュースリンクを日付順に列挙している。
セキュリティホールmemoの2026年8月28日分。Apache Tomcat・OpenSSL・NSD・Chrome 152など複数のセキュリティ更新情報に加え、AI関連（Meta従業員解雇とAI代替計画の頓挫、OpenAI/Anthropic/GoogleによるAIサイバー攻撃防御の共同声明）、Rustパッケージ改ざん、ソーシャルエンジニアリング事例、ネパール土石流、うるう秒廃止など多岐にわたるニュースをまとめたリンク集。
セキュリティホールmemoの2026年8月28日分。実在のセキュリティ担当者を装って電話をかける新手のソーシャルエンジニアリング攻撃事例をpiyologがまとめた記事のほか、Apache Tomcat・OpenSSL・NSDの脆弱性情報、英国発電施設や米国水道インフラへのサイバー攻撃、OpenAI・Anthropic・GoogleによるAIサイバー攻撃防御の共同声明、RustパッケージのビルドDIサプライチェーン改ざん事案などを紹介している。
英国の発電施設がサイバー攻撃で操業停止した事案について、トレンドマイクロが解説。米国の水道インフラへの攻撃と時期が重なったが、両者を同一キャンペーンとみなす根拠は無い。産業制御システム（ICS）やSCADAなどOT環境を狙う攻撃は増加傾向にあり、米連邦機関はインターネット公開されたPLCの継続的な悪用について警告を更新している。
OpenAI・Anthropic・GoogleなどAI大手が、AIを悪用したサイバー攻撃への防御に関する共同声明を発表したというニュースが取り上げられている。詳細な声明内容の記載はなく短報として紹介されている。
個人運営のセキュリティ関連ニュースまとめブログ「セキュリティホール memo」の2026年8月分。Apache Tomcat・OpenSSL・NSDの脆弱性情報、Chrome 152のセキュリティ更新、Rustパッケージ改ざん事件、AI企業によるサイバー攻撃防御の共同声明などIT/セキュリティ系トピックに加え、うるう秒廃止方針、ネパール大規模土石流、横浜市長辞職など時事ニュースへのリンクと寸評が混在するリンク集記事。
オーストラリアの通信障害はTelstraのNTPサーバがシャーシ交換の保守作業後に日付を2006年へ誤設定したことが原因。未文書化の設計変更とソフトウェア未更新が重なり、Stratum設定の切り替えに起因すると説明された。あわせてTomcatやOpenSSLの脆弱性、Chrome 152公開、ネパール・チベットの土石流被害、Meta従業員解雇計画の頓挫など複数のセキュリティ・ITニュースをまとめたリンク集記事。