倉 -🇯🇵/🇻🇳

captured in Tokyo

[International Cyber Digest @IntCyberDigest]

‼️ BREAKING: New research shows you can copy any signed GitHub commit into a second one that looks identical, without the author's secret key, creating a distinct commit with an identical tree, identical metadata, a valid signature, and a "Verified" badge from GitHub.

On GitHub, a green "Verified" badge is supposed to mean two things: a trusted author signed it, and its ID is a one-of-a-kind fingerprint for that exact code. A new Carnegie Mellon preprint from Jacob Ginesin says the second promise, the unique fingerprint, does not hold.

Why it matters: security teams and package systems (behind tools like Go, Nix, and GitHub Actions) trust that ID as a unique handle for code. Block or pin the "bad" version, and an attacker can re-issue the same signed code under a fresh, still-verified ID that slips past. The author says Git and GitHub have not fixed it.

PoC: https://t.co/b2CevCtpcd

[倉 -🇯🇵/🇻🇳 @kura]

ベネズエラの地震、映像みたら、想像してた地震のレベルじゃなかった。

[倉 -🇯🇵/🇻🇳 @kura]

怪我なく・怪我させず、不利な判定があったとしても・むしろある前提で、ブラジルを凌駕して勝ち進んで欲しい！頑張れニッポン。

[倉 -🇯🇵/🇻🇳 @kura]

今朝から発生源不明の若干ケミカルな匂いがする。窓を開けると暑いのと、アニマルな匂いがするので、天井に組み込まれた換気扇ぽいものを全部つけている。家の中で対流してるだけな気もするけど。

[倉 -🇯🇵/🇻🇳 @kura]

キーパーが凄すぎない？全体的に。

[倉 -🇯🇵/🇻🇳 @kura]

AI によるセキュリティ地獄絵図は本当か検証してみた。
https://t.co/TyilDZa5se

[倉 -🇯🇵/🇻🇳 @kura]

まぁそうなるよねと思いつつ、素人リサーチ w/ AI は、コンサル不要な程正確なのか？恣意的にならないのか？網羅的な結果を出せるのか？などとても疑問。もしかすると、そもそも正確なリサーチなど必要なく、仮説を後押ししてくれるようなそれっぽいリサーチなら何でも良かったのかという気もする。
https://t.co/Oq5qQxZcP2

[yousukezan @yousukezan]

MariaDB Community Serverに複数の脆弱性が見つかり、うち1件はCVSSスコア10.0の最高評価を受けた。
最も深刻な脆弱性は「CVE-2026-49261」で、CVSS基本値は10.0。詳細な技術情報は現時点で公開されていない。

このほか、「CVE-2026-48165」と「CVE-2026-48163」の2件もCVSS 8.0の高リスク脆弱性として報告された。対象となるのはMariaDB Community Server 11.8.8未満、11.4.12未満、10.11.18未満、10.6.27未満の各バージョン。

記事では、これらの問題への対策として、ベンダーが提供する保守アップデートを速やかに適用することを推奨している。また、クエリログを継続的に監視し、不審な管理操作の兆候を早期に検知することも勧めている。
https://t.co/Pr55v6Wvr4

[倉 -🇯🇵/🇻🇳 @kura]

完成するのか。
https://t.co/91ehGa2z0t

[iwashi / Yoshimasa Iwase @iwashi86]

自分のドメインのサブドメインが、GitHub Pages で見知らぬ人に使われていたという話だった。

仕組みはこんな感じ。

・前提①：筆者はDNSの設定で「*.immersivepoints.com へのアクセスは、すべてGitHubに向ける」というワイルドカード設定をしている

・前提②：GitHub Pagesでは、誰でも自分のページに好きなドメイン名を紐づける設定（CNAME）ができる
・この状態で、攻撃者は自分のアカウントで「kafka\.immersivepoints\.comは自分のページだ」と勝手に設定して待ち構える

・誰かが、そのアドレスにアクセスすると、被害者の設定（前提①）によって強制的にGitHubへ
・GitHub側は「このアドレスを使いたいと設定しているユーザー（前提②）」を見つけ、そのまま攻撃者の詐欺ページを表示してしまう

・この現象はサブドメイン乗っ取りとして知られている
・悪用可能なドメインを探すツールまで存在している
・調べた結果、他にも複数のサブドメインが勝手に作成され乗っ取られていたことが判明した

https://t.co/23wMXYSYeq

[NEAR DevHub @NEARDevHub]

@github

[OpenAI @OpenAI]

Introducing Daybreak: frontier AI for cyber defenders.

Daybreak brings together the most capable OpenAI models, Codex, and our security partners to accelerate cyber defense and continuously secure software.

A step toward a future where security teams can move at the speed defense demands.

[Cyber Security News @The_Cyber_News]

⚠️ Azure AD Conditional Access Bypassed Via Phantom Device Registration and PRT Abuse

Source: https://t.co/ewHl9UnrRn

Cloud identity security relies heavily on Microsoft Entra ID (formerly Azure AD) Conditional Access. It acts as the primary digital gatekeeper, checking user locations, calculating risk scores, and verifying device health before granting access.

Starting with a single set of valid credentials, often purchased for just a few hundred dollars on cybercriminal markets, researchers successfully compromised a production tenant containing over 16,000 users.

This attack required no interaction with corporate endpoints. It deployed no malware, highlighting severe gaps in default device registration and compliance validation.

#cybersecuritynews #Azure

[倉 -🇯🇵/🇻🇳 @kura]

https://t.co/MBtK5GW0vL

[倉 -🇯🇵/🇻🇳 @kura]

https://t.co/1RysyPxYaD

[ハカセ アイ(Ai-Hakase)🐾最新トレンドＡＩのためのＸ 🐾 @ai_hakase_]

【Intelの本気】LLMを爆速・超軽量化する「auto-round」が凄すぎる！

Intel開発の最新量子化ツール「auto-round」が登場！
AIモデルの精度を維持しながら、驚異的なメモリ節約を実現します。

・200Bの巨大モデルを20GBのGPUで動作可能に
・Intel CPU/XPUやNVIDIA GPUなど幅広く対応
・vLLMやllama.cpp、GGUF形式もフルサポート

低スペックPCでも高性能なAIが動かせる、まさに革命的なツールです！✨

#生成AI #LLM

[yousukezan @yousukezan]

脆弱性対応の手間を劇的に削減する新ツール「CVE MCP Server」が登場した。複数サイトを横断して調査していた作業を自然言語1回で完結させ、AIが実務レベルの分析を行う点が注目されている。

このプロジェクトは開発者Mahipalが公開したもので、AnthropicのClaudeとModel Context Protocolを組み合わせ、27種類のセキュリティツールを統合する。NVDやEPSS、CISA KEV、GitHub、VirusTotal、Shodanなど21の外部APIに横断的にアクセスし、単一の自然言語クエリで情報を取得できる。
最大の特徴はCVSSだけに依存しないリスク評価で、EPSS35%、KEV30%、CVSS20%、PoC15%の重み付けにより優先度を算出する点にある。スコア76以上は緊急対応対象とされ、現場の判断を自動化する。
また依存関係の脆弱性検査やGitHubアドバイザリ検索、URL分析にも対応し、DevSecOps用途にも拡張されている。8つの機能はAPIキー不要で即利用可能であり、段階的に機能拡張できる設計となっている。
https://t.co/IWg3jla0US

[Wiz @wiz_io]

🚨 BREAKING: Wiz Research discovered Remote Code Execution on https://t.co/SvN2lGsnbO with a single git push

The flaw in @github allowed unauthorized access to millions of repositories belonging to other users and organizations 🤯

[りゅう@Obsidianガチ勢 @obsidianstudio9]

【速報】
Obsidian公式がAIエージェント用スキルを正式リリース😳

CEOのkepano自らが作ったobsidian-skillsが公開された。

Claude CodeにObsidianの使い方を教えるスキル集👇

・Markdown構文の正しい扱い方
・Bases（データベース機能）の操作
・JSON Canvasの生成と編集
・CLIでのvault操作
・Webコンテンツの取り込み

5つのスキルが1セットになってる。

つまりObsidian公式が「AIエージェントにvaultを任せる」前提で設計し始めた。

この流れは確実に加速する🔥
https://t.co/vDqBqHsPOz

[すみか@Skillsオタク @sumika45379]

https://t.co/OKTDEHWZol