新着記事
PHPの重大な脆弱性「PHP2Shell」を狙う攻撃を検証、公開サーバーがHTTP500エラーを44回返した原因はメモリ不足だった
公開PHPサーバーに届いたPOSTでメモリ不足とHTTP500が44件発生。エラーログとmultipartの本文から、どの処理が止まり、PHP2Shellとどう関係するのかを追う。
Lean言語で権限逸脱が起きないことを数学的に証明、「Nyxis」が保証する安全性とは
Lean言語で認可の安全性を証明するNyxis。DB操作を認可層に通す構造と、1回の操作から要求の繰り返しへ証明を広げる仕組みを解説する。
BOLAとは？他人のデータにアクセスできる認可不備と対策
BOLAが起きる仕組みを請求書の例で解説。利用者・データ・操作ごとの権限確認、IDORとの違い、修正後の確認方法を整理する。
「PHP2Shell」の攻撃POSTを解析、中身はサーバーをDDoS攻撃の踏み台にするボットの取得命令
PHP2Shellを名乗るPOSTが、観測用に公開したPHPサーバーに届いた。本文には外部プログラムの取得命令があり、配布先の実行ファイルを静的解析すると、指示を受けてUDPを繰り返し送るDDoSボットだった。サーバー上での実行の形跡も調べた。
OSSに注意！AI開発用「LiteLLM」にAPIキーを盗むコード混入、同じ環境の別のPythonプログラムにも影響
AI開発用OSSのLiteLLM1.107.0にAPIキーなどを盗むコードが混入。同じPython環境の別プログラムも影響を受け得る。対象の配布物と、環境の再構築・認証情報の失効と再発行を整理する。
インドの認証局eMudhraで秘密鍵8個が実質たった1バイト、証明書を偽造できる欠陥が判明
インドの認証局eMudhraで8個の中間CA秘密鍵の値が実質1バイトに収まる欠陥が判明。証明書の偽造リスクと、Goの更新・再ビルド、Python環境の証明書更新を整理する。
修正が出ても被害は続く？「ゼロデイ」と「N-day」の違いと対処法
ゼロデイとN-dayの違い、修正公開後も未更新の環境に残るリスクを解説。PHPの緊急メンテナンスを予防対応の例に、対策時の考え方と確認の優先順位を整理する。
Node.jsに重大な脆弱性！遠隔からコード実行のおそれ、更新先と今すぐ確認すること
Node.jsの2026年10月セキュリティ更新で、遠隔からコードを実行されるおそれがある脆弱性などを修正。22・24・26系の更新先と、本番サーバー、コンテナ、開発PC、CI、委託先で確認することを整理する。
「Strix」とは？単一URLのAI診断が約78秒で完了！検証の条件
Strixは、生成AIがWebアプリやコードを調べる診断用エージェント。2026年10月8日の単一URLの検証結果を基に、約78秒の実行に含まれる範囲、診断前に用意する情報、人が確認する証拠を整理する。
「GLM-5.3」とは？AIが既知の脆弱性を悪用！NIST評価で分かった能力と条件
Z.aiのAIモデルGLM-5.3を紹介。NISTとAnthropicによる既知の脆弱性の評価を基に、AIと検査用ツールの役割、得点率と成功件数の違い、開発・運用で確認したい点を図と表で整理する。
攻撃してきたのはBotかAIか？おとりサーバーで見分ける手がかりを探してみた
おとりサーバーのCowrieが返すメッセージに指示を置き、AIが従うかを隔離環境で検証。操作ログとAIの最終報告を照合し、BotとAIを見分ける手がかりと判定の限界を調べた。
おとりサーバー「ハニーポット」を公開！どんなサイバー攻撃が来るのか検証してみた
おとりサーバーのCowrieを約40時間公開し、ログイン後の操作を観測。同じコマンドの反復、環境確認、ファイルの持ち込み、AI向けの指示への反応と運用費用を調べた。
おとりサーバーへの攻撃を追跡~48時間の観測記録~
T-Potで48時間に記録した242,474件のログを、時間・ハニーポット・接続元の推定地域ごとに再生。接続1回とログ件数の違い、地図から分かることと限界を紹介する。
「PHP2Shell」は本当に悪用できる？PoCと修正前後のPHPを検証
PHP2Shellの公開PoCを手元の環境で動かし、修正前後のPHPを比較。3つの経路で確認した結果、悪用の成立条件、公式勧告に基づく対策を整理する。
PHPの重大な脆弱性「php2shell」で緊急メンテナンス相次ぐ！停止予定と今すぐ確認すること
PHPの重大な脆弱性「php2shell」への対応で、BASE、ツイキャス、はいチーズ！などが緊急メンテナンスを告知。5社の当初の停止予定・影響範囲と、確認できた再開報告、利用者・運用担当者の確認事項を整理する。
「ARTEX」とは？AIで侵入テスト、派生ツールでペネトレーションテスト以外にも用途が拡大
ARTEXはAIエージェントで侵入テストを行うツール。公開当時の使い方、本家の公開停止、派生ツールで加わったログ調査・検知ルール評価や「武器庫」の機能を、公開資料から解説する。
「A2B攻撃」とは？アプリに脆弱性がなくても情報漏洩する理由と自社APIで確かめる対策
A2B攻撃とは、公開Androidアプリの解析結果を悪用して接続先サーバーを狙う手法だ。NICTの注意喚起を基に、情報漏洩につながる認可などの不備、AIによる解析の効率化と、自社のAPIとバックエンドで確かめるA2B攻撃の対策を、点検から暫定対策・修正まで解説する。
ゼロデイ攻撃の事例をまとめて読む「Project Zero」とは？
Googleのセキュリティ研究チーム「Project Zero」は、ゼロデイ脆弱性の原因や防御への提言を公開する。研究事例と公開方針、企業の点検に使える知見を紹介する。
「REA」とは？AIがリバースエンジニアリングでアプリを完全再現！？
REAは、AIエージェントにリバースエンジニアリングの解析機能を提供するOSS。電卓やゲームの機能を再現する公式例、解析できる対象、導入前に確認する権限とAIへのデータ送信を解説する。
なぜAIハッキングによるサイバー攻撃は、既存のセキュリティ対策で防げないのか
脆弱性診断やペネトレーションテストで対策してきたはずなのに、なぜ防げないのか。検査の対象外、正規の認証や権限の悪用、診断後の変更から、既存の対策で防ぎきれない理由と、生成AIが残る弱点を狙いやすくする仕組みを説明する。
