Agile Cat

Agile Cat という、クラウド情報ブログです。

[iototsecnews @iototsecnews]

Anthropic／Google／OpenAI コーディング・エージェントの欠陥：ハーネスが引き起こす RCE など
https://t.co/LYxpAWGrO3
Anthropic の Claude Code／Google の Gemini CLI／OpenAI の Codex における脆弱性の動向を紹介する記事です。この記事が指摘するのは、中核的な問題は、AI モデル自体ではなく "ハーネス" にあるという点です。つまり、各エージェントの周辺で、ツール権限／実行／サンドボックス化を管理するコードに問題があると主張しています。自動化された開発環境において実行権限や入出力の制限に不備があり、未認証の外部入力から意図しない操作を実行される問題が存在していました。この問題を放置すると、認証情報の漏洩やソースコードの改竄とい���た深刻な被害を受ける危険があります。���ステムを安全に利用するためにも、自動実行ツールの権限設定を見直し、外部から与えられるデータを信頼しない運用を徹底することが推奨されます。
#AIAgent #Anthropic #Google #OpenAI #SupplyChain #Vulnerability

[iototsecnews @iototsecnews]

Meta AI Model による実環境への攻撃：OpenAI／Anthropic に続く 2件目の事例
https://t.co/YsFEpwc18r
Muse Spark 1.1 のテスト中に発生した、インシデントの動向を紹介する記事です。安全評価を行う環境で設定の不備が生じ、インターネットへ接続されたモデルが外部システムへ不正に進入する問題が判明しました。このようなネットワーク制御の不足を放置すると、想定外の自動操作や情報漏洩などの被害を引き起こす恐れ���あります。システムを安全に利用するためにも、隔離環境における構成設定の再点検とアクセス制御の厳格化を徹底することが推奨されます。
#CyberAttack #Meta

[iototsecnews @iototsecnews]

Agents of Chaos は賞金 10万ドルのコンテスト：AI Red Teaming ための新たな試み
https://t.co/otU4C3MEut
CrowdStrike が開催するコンテストとAI をめぐるセキュリティ動向を紹介する記事です。自律型 AI が普及する中で、システムの正常な動作と攻撃者による悪質な誘導の識別が難���くなっています。指示文を操作して予期せぬ動作を引き起こす手法への理解を深める取り組みが進められています。放置すると、権限を悪用したデータ漏洩や誤動作のリスクが高まるため、システムを安全に利用するためにも、入力内容の検証や挙動の継続的な監視を行うことが推奨されます。
#AgentsofChaos #AIRedTeaming #AI #ML #CrowdStrike

[iototsecnews @iototsecnews]

Linux Kernel STP の脆弱性 CVE-N/A：制御フロー・ハイジャックの PoC がリリース
https://t.co/xM0qgf10c9
Linux Kernel のソフトウェア・ブリッジ実装における脆弱性の動向を紹介する記事です。ネットワーク接続を制御する内部タイマーの解放処理に不備があり、すでに破棄されたメモリへ���正にアクセスできてしまう状態が存在しています。この問題が悪用されると、ローカル環境からシステムの制御権限を奪われ、カーネル内部で任意の処理を実行される危険があります。システムを安全に利用するためにも、修正用コミットが適用された最新のカーネル環境へ速やかに更新することが推奨されます。
#LinuxKernelSTP #Vulnerability

[iototsecnews @iototsecnews]

Cisco IOS XE Software の複数の脆弱性が FIX：深刻なコマンド・インジェクションなどの恐れ
https://t.co/BvsbOm0lJm
Cisco IOS XE Software のセキュリティアップデート情報と、脆弱性 CVE-2026-20267／CVE-2026-20268／CVE-2026-20269／CVE-2026-20270／CVE-2026-20271／CVE-2026-20272／CVE-2026-20273 について解説��る記事です。機器を制御するプログラムの処理に不備があり、認証の回避や命令の不正実行を許してしまう構造的な欠陥が存在しています。この問題を放置すると、外部から管理権限を乗っ取られ、ネットワーク基盤全体を掌握される危険があります。回避策がないため、システムを安全に利用するためにも、対象の修正済みバージョンへ速やかにアップデートすることが推奨されます。
#Cisco #CVE202620267 #CVE202620268 #CVE202620269 #CVE202620270 #CVE202620271 #CVE202620272 #CVE202620273 #IOSXESoftware #Vulnerability

[iototsecnews @iototsecnews]

Jenkins の深刻な脆弱性 CVE-2026-70426 が FIX：任意のコード実行の可能性
https://t.co/0VRlajOBov
Jenkins における脆弱性 CVE-2026-70426 について解説する記事です。エージェントとコントローラの間でデータを受け渡す仕組みに不備があり、安全性を高めるための制限が一部で機能しない状態になっています。この問題を突かれると、中央のシステム内部で悪意のプログラムを動かされ、保管されている鍵情報やソースコードなどの重要資産が奪われる���険があります。システムを安全に利用するためにも、対象製品を最新版へ速やかに更新し、接続権限の見直しを進めることが推奨されます。
#CVE202670426 #Jenkins #Vulnerability

[iototsecnews @iototsecnews]

OWASP が GenAI LLM Top 10 をリリース：近代的でセキュアな AI アプリを作成するために
https://t.co/fxM87mofq6
OWASP Top 10 for LLM Applications 2026 が、最新のセキュリティ動向やリスクに対応するかたちでアップデートされました。AI アプリケーションや自律型エージェントの導入が進む中で、プロンプト・インジェクションや不正確な出力による自動処理の誤作動など、予期せぬ挙動や情報流出のリスクが高まっています。このガイドラインは、モデルの侵害を前提とした防御構造やアクセス権限の最小化といった、設計指針を示すものです。システムを安全に利用するためにも、入力／出力の厳格な検証やサプライチェーンの安全確保を速やかに推進することが推奨されます。
#AI #ML #GenAILLMTop10 #OWASP #SecTools

[iototsecnews @iototsecnews]

Cloudflare OS のオープンソース化：AI エージェントによる内部データへの安全なアクセスを実現
https://t.co/HXE1kGhX4Y
Cloudflare OS におけるオープンソース化の取り組みと、セキュリティ・モデルを紹介する記事です。従来型の API キーにおいては、過剰な権限が付与されやすい状況があり、AI エージェントの利用により、認証情報の流出やアクセス制御に不備が生じることが懸念されています。この製品では、デフォルト拒否の設計が採用され、厳格な権限分離と細やかな監視機構により、不審なデータ���出や不正なリソース操作の防止が試みられています。システムを安全に利用するためにも、制御された実行環境の構築とアクセス権限の適切な設定が推奨されます。
#Cloudflare #OpenSource #OS #OSS

[iototsecnews @iototsecnews]

Paperclip の脆弱性 CVE-2026-41679 などが FIX：Admin アクセス奪取の恐れ
https://t.co/yZBXCuTwIf
AI エージェント運用の効率化を担う Paperclip において、権限管理や認証処理の不備に由��する深刻な問題が明らかになりました。権限の検証が不十分なインポート処理や信頼設定の弱点を突かれると、外部から不正に権限を奪われ、システム上で任意のコマンドを実行される恐れがあります。この事態により、内部データや機密情報の流出、開発環境の乗っ取りといった重大な被害へ繋がる危険性があります。対策として、公開された修復済みのバージョンへ速やかにアップデートを実施することが重要です。また、不要なアカウント登録の制限や、設定ファイルの厳格な確認を徹底し、安全に利用するためにも運用体制を再点検することが求められます。
#CVE202641679 #Paperclip #Vulnerability

[iototsecnews @iototsecnews]

CISA KEV 警告 26/08/05：TeamCity の脆弱性 CVE-2026-63077 を登録
https://t.co/OZOBSzV1nH
開発の基盤となる JetBrains TeamCity において、認証を経ずにリモートから任意のコードが実行される問題 CVE-2026-63077 が判明し、CISA KEV カタログに追加されました。この事象を放置すると機密情報の漏洩やビルドデータの改ざんを引き起こし、サプライチェーン全体に広範な悪影響が及ぶ恐れがあります。オンプレミス版を利用している場合は、影響を受けない最新バージョンへのアップデートを実施するか、緊急用の専用プラグインを導入して対応してください。
#CISA #CVE202663077 #Exploit #JetBrains #KEV #TeamCity #Vulnerability

[iototsecnews @iototsecnews]

Cisco Catalyst SD-WAN の複数の深刻な脆弱性が FIX：不適切な入力検証やアクセス・コントロール
https://t.co/6Ols4j7Tpz
Cisco Catalyst SD-WAN Software において、入力検証の不備やアクセス制御の問題などに起因する複数の深刻な脆弱性が発見されました。対象となる CVE は CVE-2026-20303／CVE-2026-20304／CVE-2026-20310 (CVSS：9.9)、CVE-2026-20312 (CVSS：8.8)、CVE-2026-20313 (CVSS：7.7) です。これらを悪用されると、機密情報の露出や不正なファイルアクセスなど、システム全体へ甚大な被害が及ぶ恐れがあります。回避策となる設定変更が存在しないため、修正済みバージョンへのアップデートが必要です。運用環境の更新状況を確認し、迅速に対応を進めてください 。
#CatalystSDWAN #Cisco #CVE202620303 #CVE202620304 #CVE202620310 #CVE202620312 #CVE202620313 #Vulnerability

[iototsecnews @iototsecnews]

npm パッケージ 400件以上を侵害した ChainDrop ワーム：月間インストール数は 20 億
https://t.co/Aaq1QVIC7n
管理者のアカウント乗っ取りを起点に keyv や flat-cache といった人気の npm パッケージ群へワーム型悪意コードが混入されました。自動化された開発���イプラインの信頼性が悪用された結果、ビルド環境内の重要な認証情報や各種トークンが外部へ流出する深刻な被害が懸念されます。影響を防ぐには、該当ライブラリのバージョンを直ちに特定して破棄した上で、システム上で管理しているアクセスキーやトークン類を速やかに変更することが求められます。あわせて、不正な操作が行われていないかログを分析し、依存関係の完全性を確かめる検証ロジックを導入して開発基盤の強度を高める手順が有効です。
#npm #Repository

[iototsecnews @iototsecnews]

OVSwrap Open vSwitch の脆弱性 CVE-2026-64531 が FIX：Linux root 権限奪取の恐れ
https://t.co/IAruXErPqJ
Linux カーネルの Open vSwitch (OVS) 実装における、整数ラップアラウンドの欠陥 CVE-2026-64531 を悪用する権限を持たないユーザーにより、最高権限である root 権限が奪取される恐れがあります。この影響を防ぐため、修正が含まれる最新のカーネルへのバージョンアップを実施する必要があります。更新が困難な状況では、不要な OVS モジュールのアンロードおよびブラックリスト登録を行い、非特権ユーザー名前空間の作成権限を制限することで被害を回避できます。製品を安全に利用するためにも、迅速な環境整備と設定の見直しが推奨されます。
#CVE202664531 #OpenvSwitch #OVSwrap #Vulnerability

[iototsecnews @iototsecnews]

TP-Link Omada ZTP の 15件の脆弱性が FIX：root 権限でのコード実行やルーター・ハイジャックの恐れ
https://t.co/C8qMF2yuyh
ネットワークを集中管理する TP-Link Omada ZTP において、暗号鍵の固定化やプロビジョニング時の認証不備などの問題が明らかにされました。これらの影響で攻撃者に通信を傍受されたり管理者権限を奪われたりすると、接続された全機器へ被害が拡大する恐れがあります。該当する脆弱性は CVE-2025-15628／CVE-2025-15627／CVE-2025-15630／CVE-2025-9289／CVE-2025-7850／CVE-2025-7851 です。TP-Link が提供する最新パッチの適用に加えて、強力なパスワード設定や多要素認証などの導入が推奨されます。
#CVE202515627 #CVE202515628 #CVE202515630 #CVE20257850 #CVE20257851 #CVE20259289 #OmadaZTP #TPLink #Vulnerability

[iototsecnews @iototsecnews]

Django 4件の脆弱性が FIX：RCE／ SSRF／DoS／XSS の恐れ
https://t.co/mHrMcphSW1
Web フレームワークである Django において、複数の脆弱性が判明しました。攻撃者によってサーバー上でファイルを操作されたり、システムが停止させられたりする危険性があります。今回修正されたのは CVE-2026-15307／CVE-2026-15337／CVE-2026-15830／CVE-2026-15920 の 4 件です。不正なデータの処理や過剰な負荷により、不正アクセスやサービス中断を引き起こす恐れがあります。システムを安全に利用するためにも、Django 6.0.8 や 5.2.17 以降の安全なバージョンへの迅速なアップデートが推奨されます。
#CVE202615307 #CVE202615337 #CVE202615830 #CVE202615920 #Django #Vulnerability

[iototsecnews @iototsecnews]

Veeam ONE 6件の深刻な脆弱性が FIX：RCE や SQLi などの恐れ
https://t.co/IBGjCicquV
システムの監視や運用状態の把握を担う Veeam ONE には、高度な制御権限や広範囲なデータアクセス領域が集中しやすい構造が存在します。そうした特性に起因するセキュリティ上の未実装部分が突かれ、攻撃者による不認証での遠隔操作や機密領域の閲覧、権限の昇格が生じる危険性があります。放置するとネットワーク内部での侵入拡大や情報漏洩を招くため、速やかに修正プログラムの適用を進めることが重要です。安全に利用するためにも、対象プロダクトの脆弱性 (CVE-2026-64633／CVE-2026-58075／CVE-2026-58074／CVE-2026-64631／CVE-2026-64634／CVE-2026-64630) に対処した最新版の Veeam ONE 13.1.0.7034 への移行が推奨されます。
#CVE202658074 #CVE202658075 #CVE202664630 #CVE202664631 #CVE202664633 #CVE202664634 #Veeam #Vulnerability

[iototsecnews @iototsecnews]

7-Zip のデフォルト設定：Mark of the Web (MotW) コントロールの喪失という問題
https://t.co/vpxiOptd3t
アーカイブ展開時に、Web 由来を示す識別情報が失われる問題により、セキュリティ機能の検証が回避され、不正なファイルが警告なしで実行される恐れがあります。7-Zip の設定不足や脆弱性 CVE-2025-0411／CVE-2026-58052 が要因となり、不審なプログラムの潜入を許すリスクが生じます。対策として、最新版への更新や各種設定の最適化を速やかに実施し、安全に利用するためにも、適切な権限管理と運用手順の確認が必要となります。状況に応じて代替手順を検討し、監視体制を整えることが推奨されます。
#7Zip #CVE20250411 #CVE202658052 #Vulnerability #SmartScreen #MotW #MisConfiguration #OpenSource

[iototsecnews @iototsecnews]

Gitea の深刻な脆弱性 CVE-2026-59774 が FIX：：サーバー上のファイル読み取りとコード実行の恐れ
https://t.co/3igV8S0wO6
オープンソースのソフトウェア開発プラットフォームである Gitea において、外部からの不正操作を可能にする重大な不具合が特定されました。外部の第三者が認証を経ずにサーバー内部の重要なファイルを直接閲覧でき、そこからシステム全体を管理する権限を奪取される危険性があります。組織の機密情報や重要な設定データが外部へ漏洩するだけでなく、不正なプログラムが実行される恐れがあるため注意が必要です。この問題 CVE-2026-59774 (GHSA-6v53-hr58-556r) の対策として、開発元が配信している修正済みバージョン v1.27.1 以降へ迅速に更新してください。ご利用のチームは、ご注意ください。
#Gitea #CVE202659774 #Vulnerability #Repository #OpenSource #RCE

[iototsecnews @iototsecnews]

CISA KEV 警告 26/08/03：N-able における認証バイパスの脆弱性 CVE-2026-18577 を登録
https://t.co/GTBqrDwOFh
CISA が、N-able N-central の脆弱性 CVE-2026-18577 を KEV カタログに���加しました。この認証迂回の脆弱性が悪用されると、管理下の端末への不正アクセスが生じ、バックドアを仕掛けられる恐れがあります。影響を受けるバージョンでは、至急ホットフィックスの適用が必要です。最新版へ更新するとともに、ログやアカウントの動作を点検し、不審なリモート接続がないか確認してください。システムを安全に利用するためにも、早期のパッチ適用と多要素認証の導入が推奨されます。
#Nable #NCentral #CVE202618577 #CISA #KEV #Vulnerability #Exploit #AuthNAuthZ

[iototsecnews @iototsecnews]

Flowise の 6件の脆弱性：AI Workflow サーバ上での RCE の恐れ
https://t.co/QEHFT9Eq69
Flowise バージョン 3.1.1／3.1.2 において、リモート・コード実行 (RCE) が可能となる 6 件の深刻な脆弱性が発見されました。AI ワークフロー構築の需要が高まる中、設定やコードの不完全な検証を突かれ、サーバ制御権奪取や情報漏洩に至るリスクが存在します。過去の修正不備や既存制限の回避も確認されているため、影響範囲の精査が必要です。安全に利用するためにも、該当製品を最新版へ速やかに更新する必要があります。あわせて外部露出エンドポイントの監査、不要なカスタムコード実行ノードの停止、ならびに安全なプロトコル設定への変更が推奨されます。
#Flowise #AI #ML #MCP #Vulnerability #RCE #OpenSource #CVE202622709 #CVE202641264