Rustパッケージがビルド時に不正コードを実行するよう改ざんされた事案について、piyologがまとめた記事へのリンクを含むセキュリティ関連ニュースダイジェスト。ページ自体はTomcatやOpenSSL、NSDの脆弱性情報、Chrome 152のリリースなど他の話題も併載しており、Rust関連の改ざんは供給チェーン攻撃の一種として言及されている。
ニデックは6月に公表した台湾子会社（ニデックCCI）へのランサムウェア攻撃について第2報を発表。6月22日に不正アクセスが判明し一部サーバがランサムウェア感染、外部専門機関によるフォレンジック調査を実施中。ダークウェブ上には流出したとみられるフォルダ・ファイル名のリストの一部が公開されている。
ブロードリーフの「.cシリーズ」「.NSシリーズ」と連携するメディア4uのSMS配信サービス「Aurora SMS CONSOLE」に第三者からの不正アクセスが判明し、ブロードリーフが8月3日に発表した。メディア4uのSMS送信システムへの攻撃は他社サービス（エンバーポイントの「SMSPublisher」等）にも影響が広がっており、今回はその連鎖の一つ。
コンテナのハードニングイメージを提供していたMinimusが事業終了を発表。移行猶予は60日で、2026年10月22日にレジストリが停止しCVE修正も止まる。競合のDockerは無料移行支援を提供し、Docker Hardened Images（DHI）への切り替えはFROM行の変更程度で済むとしている。
フロントエンド開発用テンプレートリポジトリ next-template の設定紹介。pnpm のサプライチェーン攻撃対策（minimumReleaseAge 等）、TypeScript 7.0 strict 追加設定、Oxlint/Oxfmt、ls-lint、Knip、Lefthook、GitHub Actions の SHA 固定、Dependabot cooldown、Next.js 16 の Cache Components、Playwright、AGENTS.md でのエージェント運用ルールなど、AI コーディングエージェント時代を意識したツールチェイン構成をまとめている。
crates.ioで公開されているarrayref、internment、append-only-vecの3クレートが改ざんされ、依存関係にタイポスクワットパッケージproc-macro1が追加された。ビルドスクリプト経由でビルド時にペイロードが実行され、C2通信・永続化・ブラウザのログイン情報列挙を行うバックドアが展開される。Rustプロジェクトは通報から1〜2時間程度で該当クレートを削除し、悪意あるyankも取り消した。WizはインフラがDPRK系キャンペーンと重複すると報告している。
Docker Hubの検証済みパブリッシャー（DVP）プログラムがセルフサーブ化され、営業担当への問い合わせなしに直接申請できるようになった。承認されたパブリッシャーはバッジ表示・検索優先順位・利用状況分析（バージョン別トラクション、ドメイン別トラフィック等）を得られる。DVPはイメージだけでなくMCPサーバー、モデル、エージェントなどHub上の全コンテンツ種別に適用され、Google・Microsoft・AWSなど既存採用企業も紹介されている。