セキュリティプロ・フリーランス編集部– Author –
-
CISAがScreenConnectとWindows ShellをKEV登録、ゼロクリックでNTLMハッシュ流出の恐れ
「CISAのKEVカタログに新しい脆弱性が追加されたって聞いたけど、自社のWindows環境は大丈夫？」「ScreenConnectなんて使ってないし、関係ないよね？」 ボス、CISAが急にKEVカタログに2件も追加したでしゅよ！しかも対応期限が5月12日って、ゴールデンウィ... -
GlassWormのスリーパーVSCode拡張73件がOpen VSXで活性化、開発者を狙うサプライチェーン攻撃
「VSCodeの拡張機能を入れたら、開発環境ごと乗っ取られるって本当?」「ダウンロード数が多い拡張なら安全だと思ってたのに、なぜ騙されるの?」 ボス、エンジニアのみんなが使ってるVSCodeの拡張機能まで信用できないんでしゅか? 残念ながらだ。GlassWorm... -
McGraw Hillで1350万件流出、Salesforce設定ミスを突くShinyHuntersが300社超を侵害
「Salesforceの設定ミスで1350万人のデータが流出するなんて、何が起きたの?」「日本企業もSalesforceは使ってるけど、自社は大丈夫?」 ボス、ShinyHuntersってあの常連さんでしゅよね…McGraw Hillまでやられたんでしゅか? ふふふ。McGraw Hillだけじゃな... -
Tropic Trooper APTがホームルーター経由で日本企業を侵害、SumatraPDF偽装でAdaptixC2展開
「家のWi-Fiルーターから会社のPCまで侵入されるの?」「PDFリーダーの偽更新で、どうやってAPTが日本企業に入り込むの?」 ボス、Tropic TrooperってどこかのAPTで聞いたでしゅ…今回の手口、また進化してるんでしゅか? そうだな。中国系として知られるグル... -
LMDeploy SSRF脆弱性CVE-2026-33626が公開13時間で悪用、AI推論基盤からクラウド認証情報窃取
「LLMの推論サーバーから内部ネットワークがスキャンされるって、どういうこと?」「公開13時間で悪用って早すぎない?なぜそんな速さで攻撃できるの?」 ボス、画像読み込みの脆弱性で、AWSの認証情報まで取られたって本当でしゅか? 本当だ。SSRFという古典... -
日本政府が金融AIセキュリティタスクフォース設置、Mythos AIが暴く脆弱性に官民で警戒態勢
「金融庁が動くほどのAI脅威って、いったい何が起きているの?」「Anthropicの新モデルが脆弱性を大量発見したと聞いたけど、自社にも影響あるの?」 ボス、金融庁と日銀がそろってAIセキュリティ会議って、ちょっと物々しくないでしゅか? ふふふ。逆に言え... -
CAMPFIREで最大22.5万件の個人情報漏洩、GitHubアカウント不正アクセスから始まった侵害の全容
「クラファンサイトのアカウントから情報が漏れたらしいけど、自分の口座番号は大丈夫？」「GitHubアカウントが乗っ取られただけで、なぜ22万人もの個人情報が抜かれるの？」 ボス！CAMPFIREの口座情報まで漏れたって本当でしゅか？支援した友達に「フィッ... -
セキュリティコンサルタントの年収はいくら？年代別相場と1,000万円超えを叶える3つのキャリア戦略【2026年版】
「セキュリティコンサルタントの年収って、実際どれくらいなんだろう？」そんな疑問を抱えている方は少なくないはずです。 自分の年収が相場と比べて高いのか低いのか分からない 年収1,000万円を超えるにはどんなキャリアを歩めばよいのか知りたい フリー... -
Chrome 147が19件の脆弱性を修正、DevTools・GPUの高リスク欠陥に早期更新を推奨
「Chromeの自動更新は走ってるはずだけど、業務PCは大丈夫？」「19件まとめての修正って、何が一番ヤバいの？」 ボス、またChromeのアップデートが出てるでしゅ！19件って結構多くないでしゅか？ うむ、DevToolsのUAFとGPUのメモリ不正参照に高リスクが含... -
Indirect Prompt Injectionが実攻撃で観測、AIエージェントが金銭詐欺・破壊指示の踏み台に
「ウェブページに隠した命令で、本当にAIエージェントを操れるの？」「うちのCopilotやClaude利用、無防備のままでは？」 ボス、AIエージェントが勝手にAPIキーを漏らしたって本当でしゅか…？ うむ、Indirect Prompt Injectionが研究と実害の両面で確認さ...
