OpenSSL Projectが「OpenSSL 4.0.2/3.6.4/3.5.8/3.4.7/3.0.22」をリリースし、QUICサーバの二重解放、CMSのヒープバッファオーバーフロー、CMPのDoSなど最大11件の脆弱性を修正した。最も深刻度が高いものはModerate評価で、他にDTLS・OCSP・AEAD暗号関連の問題も修正されている。あわせて3.0系は2026年9月7日、3.4系は10月22日、3.6系は11月1日にサポート終了予定であることも案内されている。
HashiCorp Cloud Platform（HCP）がSCIMプロビジョニングに対応し、Entra ID・Okta等のIdPからユーザー/グループのライフサイクル管理を自動同期できるようになった。手動管理を排除し、アクセス権限をIdP側の状態と一致させることでセキュリティとコンプライアンスを向上させる。
LWN.netによる水曜日恒例のセキュリティアップデートまとめ。AlmaLinux、Debian、Fedora、Gentoo、Oracle Linux、SUSE、Ubuntuなど主要ディストリビューションにおける、kernel・openssl・curl・firefox・chromium・containerd・runc・sssd・python等のパッケージに対する多数のセキュリティパッチ情報を一覧化している。
AWSアクセスキーは有効期限がなく漏洩時の被害が大きいため、開発者はaws login、AWSリソースはIAMロール、CI/CDはOIDC、外部サーバーはIAM Roles Anywhereといった一時クレデンシャルへの移行を提案。移行できない場合の対策として、gitleaksやPush Protectionによる予防、最小権限やローテーションによる防御、GuardDutyによる検知という3段構えの防御策と、漏洩時は即座に無効化すべきことを解説している。
筆者の隔離検証環境でSliver C2をGoプログラムから操作する方法を検証した記事。Sliverコンソールとgrpcを比較し、operator configを用いてGoのCustom ClientからSliver Serverへmtls接続し、GetSessions()でセッション取得、Execute()でwhoamiを実行する手順とサンプルコードを示している。コンソール操作は文字列解析が必要だが、grpcはProtocol Buffers定義のフィールドとして構造化データを扱える点が利点として整理されている。
Redmine 7.0.1、6.1.4、6.0.11がリリースされた。APIによるセッション不正操作、Textileフォーマッタのストアド型XSS、ネストされたissue関連エンドポイントでの可視性バイパス、子プロジェクトのメンバー管理権限バイパスなど複数の脆弱性を修正。7.0.1ではRailsを8.1.3.1に更新し、添付ファイルが多い場合のテキスト整形性能低下やOAuth2認証済みユーザー削除の不具合なども解消した。
AI アプリケーションはDAST・AIペネトレーションテスト・AIレッドチームという3つの異なる観点を組み合わせないと、個別ツールが安全と判定してもコンポーネント間を横断する「連鎖リスク」を見逃すという指摘。DASTは公開面をマッピングし、AIペネトレーションテストはコンポーネント境界での悪用可能性を検証し、AIレッドチームは目的志向で複数層を横断する攻撃連鎖を実証する。3つを孤立した個別業務として発注するのではなく、共有アーキテクチャの下で統合的なテストハーネスとして運用することで、各評価が次の評価を高速化・低コスト化・高精度化できると提案している。
AWS Secrets Managerのシークレットをどんな粒度で分けるべきかを調査した記事。公式ドキュメントには明示的な粒度の指針はないが、最小権限の原則とローテーション推奨から「用途とライフサイクルが異なる秘密情報は1シークレットにまとめるべきではない」と結論づけている。粒度を誤った場合の弊害として、過剰な権限付与（不要な情報まで読み取り可能になる）と、IaCでの差分確認のしづらさ（CloudFormationは変更セットで行単位の差分が見えるがTerraformはsensitive値としてマスクされ内訳が分からない）を、CloudFormationとTerraformでの実検証を交えて解説している。
バイナリファイルの構造を可視化するWebツール「binvis.io」の紹介。ELF、PE32、PDFなどのバイナリをアップロードすると、バイト分布を画像として表示し、ファイル構造の視覚的分析ができる。作者はAldo Cortesi。
OpenSSLに9件の脆弱性(CVE-2026-14457等)が公開され、4.0.2/3.6.4/3.5.8/3.4.7/3.0.22/1.1.1zi/1.0.2zrがリリースされた。内容はNULLポインタ参照、QUIC/CMS/CMP関連の二重解放・バッファオーバーフロー・メモリ増大によるDoS、およびAEAD偽造(空暗号文でのタグ未検証)など。深刻度は概ねLow〜Moderate。
10年以上運用してきたTUNAGのメインリポジトリでCodeQLの実行時間が平均20分と長く、CIの必須クオリティゲートに組み込めない問題があった。Gitの履歴を調査した結果、約8年前に導入された100MB超のサードパーティー製UIライブラリ（Bootstrap 4ベース、担当者不在）が原因と判明し、これを別リポジトリへ分離。結果としてCodeQLの実行時間が3分に短縮され、PRの必須チェックとして組み込めるようになりDXとセキュリティが両立した。
セキュリティ企業ReliaQuestが、実在の担当者を装い偽SSOページへ誘導する電話攻撃を受けたと公表。従業員1名の認証情報とプッシュ承認が窃取されたが、デバイストラスト制御により業務システムへの到達は阻止された。ShinyHuntersが関与を主張し恐喝サイトに同社を掲載したが、実データの流出は確認されていない。
Kubernetes 1.37 のセキュリティ関連変更19件を解説する記事。SELinuxMount のStable昇格やnftables既定化などの破壊的変更、gRPCプローブTLS対応・Pod単位のcheckpoint/restore・volumeマウントへのnoexec等のオプション追加といった新機能、kubelet rootless化やAPIサーバーのwebhook認証既定有効化などデフォルトで有効になるセキュリティ機能、ClusterTrustBundleやPod証明書のStable昇格までを網羅している。
セキュリティホール memo 2026年8月分。韓国株の急落や龍谷大学野球部の活動停止といった雑多なニュースに加え、Apache Tomcat・OpenSSL・NSD・Chrome 152の脆弱性修正、Rustパッケージの改ざん、英国発電施設へのサイバー攻撃、AI企業によるサイバー攻撃対策の共同声明など、セキュリティ関連の話題を幅広くリンク集としてまとめている。
セキュリティホールmemoの2026年8月分まとめ。Windows 11/Server 2025の外字（EUDC）表示・印刷不具合修正、Apache Tomcat・OpenSSL・NSDの脆弱性公表、Chrome 152で327件の脆弱性修正、Oracle月例パッチ、コナミ『メタルギアオンライン3』のヒープバッファオーバーフロー脆弱性(CVE-2026-19874)、産業インフラ（英国発電施設・米国水道）を狙うサイバー攻撃、AI企業各社によるサイバー攻撃防御の共同声明、Rustパッケージ改ざん事案などを含む雑多なセキュリティ・社会ニュースの日次リンク集。
Windows 11 26H2から「Windows settings backup and restore」機能がポリシー未設定時にデフォルトで有効になる。不要な組織・IT管理者は事前に無効化しておく必要がある。
「セキュリティホール memo」2026年8月分のまとめ。Apache Tomcat・OpenSSL・NSD・Chrome 152・Oracle CPU(2026年8月)など複数製品の脆弱性情報に加え、警察庁の匿名・流動型犯罪グループ対策技術的措置に関する有識者検討会（通信内容把握のための法制度検討）、Rustパッケージ改ざん事案、ソーシャルエンジニアリング事例、英国発電施設へのサイバー攻撃、ネパール・チベットの土石流災害など幅広いニュースを日次で列挙している。
台湾検察がNVIDIAとSupermicroの従業員ら9人を、中国へAIサーバーを密輸したとして起訴した件を報じるニュース。輸出規制の抜け穴を突いた不正な半導体・AIサーバー取引に関連する疑いが持たれている。
セキュリティホールmemoの2026年8月分ダイジェスト。表題の「Windowsのペイント/MicrosoftフォトのAI生成画像に電子透かしが埋め込まれていた」件のほか、Apache Tomcat・OpenSSL・NSDの脆弱性情報、Chrome 152のセキュリティ更新、英国発電施設へのサイバー攻撃、AI大手による サイバー防御共同声明、Rustパッケージの改ざん、ネパール・チベットの大規模土石流など多岐にわたるニュースを列挙している。
セキュリティホールmemoの2026年8月まとめ。Apache Tomcat・OpenSSL・NSDの脆弱性情報、Google Chrome 152公開（327件の脆弱性修正）、Oracle月例パッチ、コナミ『メタルギアオンライン3』のヒープバッファオーバーフロー脆弱性など複数のセキュリティ更新情報を集約。加えてネパール・チベットの大規模土石流、山中横浜市長の辞職、AI企業各社によるサイバー攻撃防御の共同声明などの関連ニュースも含む。
Bitwardenが「fill assist」機能を発表。ユーザーがオートフィルに問題があるサイトを報告すると、Bitwardenエンジニアが専用の入力ルールを作成しGitHub上のデータベースに追加、拡張機能側でオプトイン設定を有効にすると同期・適用される。拡張機能の新バージョンを待たずに即日改善が反映される点が特徴。データはローカル保存でBitwarden側へは送信されない。現在は第一段階で、今後は企業向けポリシーや組織独自データベース、将来的にはデフォルト有効化も予定されている。
セコムトラストシステムズが9月16日・17日にオンライン無料セミナー「他社はどう失敗したのか？～EDR導入前・導入後・見直し時に陥りやすい失敗事例8選～」を開催する。EDR導入前・導入後・見直し時によくある失敗事例8選と、選定で失敗しないためのチェックポイントを解説する内容。参加費無料、定員100名。
原田産業が運営するECサイト「ビールの縁側」に不正アクセスがあり、一部顧客の個人情報が漏えいした可能性があると8月18日に発表された。
環境機器株式会社が運営する通販サイト「虫退治ドットコム」で第三者による不正アクセスが発生し、決済ページに不正プログラムが設置された。2026年8月11日から18日まで稼働しており、クレジットカード情報が漏えいした可能性がある。同社は8月18日に不正プログラムの除去と脆弱性対策を完了している。
ヨネックス株式会社は8月7日、台湾子会社である優乃克股份有限公司の一部サーバへの不正アクセスを発表した。8月3日に第三者による不正アクセスを確認し、台湾子会社では一部業務に影響が出ている。
シンアイ産業は8月5日、利用を予定していたWebシステムへの不正アクセスを発表した。システムの管理会社から第三者による不正アクセス確認の報告を受けたもので、一部顧客情報が閲覧された可能性を否定できないとしている。
名鉄協商は7月に発表したランサムウェア攻撃に関連し、カーシェアサービス「カリテコ」の顧客情報が漏えいした可能性があると8月4日に発表した。同社では7月2日にもシステム障害を公表しており、新規入会等に影響が生じていた。
東海大学は、研修厚生施設「東海大学山中湖セミナーハウス」ウェブサイトへの不正アクセス（4月22日に改ざんを確認）を8月5日に発表し、宿泊予約に関する情報が漏えいした可能性を否定できないとして当該サイトを一時停止した。
ブロードリーフの「.cシリーズ」「.NSシリーズ」と連携するメディア4uのSMS配信サービス「Aurora SMS CONSOLE」に第三者からの不正アクセスが判明し、ブロードリーフが8月3日に発表した。メディア4uのSMS送信システムへの攻撃は他社サービス（エンバーポイントの「SMSPublisher」等）にも影響が広がっており、今回はその連鎖の一つ。
IPAとJPCERT/CCが、NICT提供の音声翻訳アプリ「VoiceTra」（Android/iOS版9.1.3・9.2.0）に接続先の制限が不適切な脆弱性（CVE-2026-72506）があるとJVNで発表した。攻撃者が制御するサーバに接続させられ、入力データの窃取や誤った翻訳結果の提示につながる恐れがあり、最新版への更新が呼びかけられている。
HENNGE株式会社は8月20日、クラウドセキュリティサービス「HENNGE One」が、株式会社ディーバの連結会計システム「DivaSystem LCA Cloud」とのシングルサインオン連携に対応したと発表した。IP制限やデバイス証明書などの多要素認証によるアクセス制御機能を維持しながら、複数ID・パスワード管理の負担を軽減できる。
IPAとJPCERT/CCは、Sky株式会社のIT資産管理ツールSKYSEA Client ViewおよびSKYMEC IT Managerに、認可処理の欠如・パストラバーサル・スタックベースのバッファオーバーフロー・インストール時の不適切なファイルアクセス権設定という複数の脆弱性が存在すると発表した。悪用されるとSYSTEM権限での任意コード実行や、同一ネットワーク上の他端末での任意コード実行につながる可能性があり、開発者提供のパッチ適用が呼びかけられている。
日本プルーフポイントが「Proofpoint OEMプログラム」を開始。パートナー企業が自社製品にプルーフポイントの脅威インテリジェンス機能を統合できる枠組みを提供し、第一弾として「Proofpoint Active Exploits Protection」を導入する。
警察庁がサイバー警察局便りで、家庭用のストリーミング端末やデジタルフォトフレームなどのIoT機器が不正送金の踏み台「レジデンシャルプロキシ」として悪用されていると注意喚起した。2026年の不正送金手口の44%（1,918件）がこの手口によるもので、海外からの攻撃が国内個人宅からのアクセスに偽装されるため捜査協力を要請するケースもあるという。提供元不明のソフト・無料VPN・無料ストリーミングデバイス・未更新の古いIoT機器の使用に注意するよう呼びかけている。
コンテナのハードニングイメージを提供していたMinimusが事業終了を発表。移行猶予は60日で、2026年10月22日にレジストリが停止しCVE修正も止まる。競合のDockerは無料移行支援を提供し、Docker Hardened Images（DHI）への切り替えはFROM行の変更程度で済むとしている。
GitHubブログの記事。LLMを本番導入する前の評価手法について、secret scanningの誤検知削減事例をもとに解説。ベンチマークだけでなく製品判断の明確化、オフライン評価の統合テスト的運用、本番環境に近いデータ構成、production labelの信頼性検証、synthetic/公開データによるカバレッジ補完、エラー分析、LLM-as-judgeによる人手レビューの絞り込みという8つの実践知を紹介している。
Google PlayがNCII(非同意性的画像)対策として生成AIアプリへの安全対策を強化。多層防御戦略（アプリライフサイクル全体の審査・収益化経路の遮断・専門機関との連携）を導入し、開発者向けにはレビュー円滑化のためのテストアカウント公開やセーフティプロンプトの文書化、モデルの入出力モデレーション実装、敵対的プロンプトへの耐性テストなどのベストプラクティスを提示している。
Percona Server for MongoDBがバージョン7.0.39-21、8.0.28-12、8.3.7-1以降でSBOM（CycloneDX形式）とVEXドキュメントを提供開始。SBOMをGrypeやOWASP Dependency Trackでスキャンすると多数の脆弱性が検出されるが、Go実装限定の脆弱性やビルド時無効化された機能、独自パッチ適用済みコードなど誤検知が多く含まれる。PerconaはVEXドキュメントを公式提供し誤検知を除外可能にした。ランタイムでリンクされる共有ライブラリ（libc, OpenSSL等）は別途SBOMスキャンが必要と注意喚起している。
DeNAの内製IdP移行連載第3回。移行完了後の運用フェーズで発生したアクセスポリシー起因のログイントラブルとその解決、SPアプリ追加依頼やログ検索クエリ作成にGoogle GeminiのGemを活用した効率化、資産管理連携によるアカウント無効化や私物PC制限などのセキュリティ強化、MFAセットアップキー対応による利便性向上といった継続的改善活動を紹介している。
Claude Code v2.1.221（2026-08-03）以降、auto modeやbypass permissions mode有効時にRead/Edit/WriteよりBashのcat/sed等を優先させる指示がシステムプロンプトに無告知で追加されていたことをバイナリgrepで実測した記事。changelogや公式ドキュメントに記載がなく、/rewindの追跡対象外になる不具合やsedによるデータ損失などの実害もGitHub issueで報告されている。
1Password SSHエージェントが2011年作成のRSA 2048bit鍵をサポート対象外（公開指数が65,537未満）として拒否したため、Ed25519鍵を新規作成して置き換えた個人の対応記録。
マイクロサービス間で認可判定の結果をどう安全に伝播させるかという課題について、IETFで標準化中のTransaction Tokens（Txn-Token）と、LayerXが自作したCapability Assertionという仕組みを比較した記事。どちらも短命な署名付きJWTで発行元・処理内容を伝え自己申告の認可を排除する点で設計思想が一致する一方、Txn-Tokenが処理内容全体を保護対象とするのに対しCapability Assertionは判定済みリソースIDに限定するという違いがある。
ESET Management Agentのdpapi.dllを偽装しERAAgent.exeへサイドロードされる新種のパッシブバックドア「SLEEPWALKER」の解析記事。固定のC2サーバーには接続せず、プロミスキャスモードでネットワークを常時監視し、特定のマジックパケットやDNSクエリを受信した際のみAES-256-CCMで復号して起動する。23命令からなる独自バイトコード言語を持ち、スケジューリング、ステージ配送、メモリ内シェルコード実行、SMB名前付きパイプ経由の横展開、VMCIチャネル通信などをサポートする。実装には粗い点もあり初期バージョンの可能性があるが、攻撃者の特定には至っていない。
IaC検出ツールの精度をprecision/recallで定量評価する手法の紹介。ラベル付きフィクスチャ（bad.tf/good.tf/labels.json）を用意し、特にgood.tfに「一見あやしいが正常」な紛らわしいケース（443限定の全公開、社内レンジ向けSSH開放、暗号化済みgp3ボリューム、スコープされたIAMポリシー等）を仕込むことで誤検知（false positive）を検出可能にする。検出結果と正解を突き合わせてprecision/recallを算出し、しきい値割れでCIを失敗させる仕組み。
キャディの小林明斗氏がクラウドネイティブ会議で、生成AIによるコード生成量増加で人手レビューが限界を迎える中、Production Readiness ChecklistをPolicy as Code化した取り組みを紹介。ConftestとRegoでTerraform、KyvernoでKubernetesを検証し、Google Cloud Organization Policyで実環境も統制する多層防御を構築。既存負債の1684件の違反を警告→トリアージ→段階的強制→エラーブロックの順で移行し、レビュー負荷削減とSREへの信頼構築を実現した。
GoogleがAndroid Automotive OS for Software Defined Vehicle (AAOS SDV) のセキュリティ設計を解説。仮想化によるドメイン分離、UIDベースのプロセス分離とSELinuxによるdeny-by-default、APEXパッケージによる署名検証・dm-verity・アトミックロールバック、新規コンポーネントでのRust採用によるメモリ安全性、DICEベースのTLSによるVM間の相互認証とメッシュ内アクセス制御など、多層防御によるセキュアバイデザインのアーキテクチャを紹介している。
MinIOは2026年2月にアップストリームでアーカイブされ、新規リリースやセキュリティパッチの提供が終了した。Docker HardenedイメージのExtended Lifecycle Support（ELS）は、MinIOを含むEOLソフトウェアを最大5年間ビルド・パッチ提供し、SBOMやVEX、SLSA Build Level 3のプロビナンスなど監査証跡を維持することで、移行を急がせず監査対応を可能にする有償アドオン。
iOS 26.4以降のStolen Device Protection（SDP）は、慣れた場所以外でのデバイス接続にパスコードに加えて生体認証を要求するようになった。この記事はデジタルフォレンジックにおける「同意抽出」概念を4種類（実際の同意・強制開示・強制生体認証・偽装された同意）に整理し、各国の法制度（RIPA、フランス、オーストラリア、香港、ドイツ、オランダ、米国、カナダ、インド等）がパスコードと生体認証を異なる法的扱いとしている実態を比較。国家が本人に操作を命じるか身体に直接作用するかという判例上の区分、SDPが「慣れた場所」で緩和される地理的裁定の問題、再起動によるAFU/BFU遷移などのタイムリミット、同意の範囲の限界にも言及し、Elcomsoftが開発したペアリング不要のサイドローディング手法（パスコードのみで対応可能な国では有効だが、ドイツ・オランダ・カナダには効果がない）を紹介している。
.envファイルによる環境変数管理の基礎を解説する記事。機密情報の漏洩防止と設定値の環境ごとの切り替えという2つの理由から、DB接続情報やAPIキーをコードから分離すべきだと説明している。
「セキュリティホール memo」8月分のリンク集記事。Apache Tomcat・OpenSSL・NSDの脆弱性情報、Chrome 152のセキュリティ更新、Rustパッケージ改ざん事件、OpenAI/Anthropic/GoogleによるAIサイバー攻撃防御の共同声明、英国発電施設へのサイバー攻撃、ソーシャルエンジニアリング事例など、セキュリティ関連ニュースを中心に政治・経済・災害（ネパール土石流）などの話題も雑多にまとめている。