hamayanhamayan

Webセキュリティ愛好家

[GMO Flatt Security株式会社 @flatt_security]

セキュリティエンジニア 佐藤 @Nick_nick310 のブログを公開しました！

GitHub Actionsのセキュリティを全4回で体系的に解説するシリーズを開始します。
第1回は、tj-actionsやnxなどの侵害事例をもとに、初期アクセスの攻撃手法とリスク、防御策を整理しています！

https://t.co/TTvu6U72HW

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

🚨【要対応】Mastra のパッケージ群 [@]mastra/<pkg-name> が侵害されています。

・1~2時間前から侵害が起こっています。
・Takumi Guard では公開 10min 前後でブロック済。
・ユーザー被害は今のところ無し。

C2 IPs:
・23[.]254[.]164[.]92
・23[.]254[.]164[.]123

続報、本日ブログ化します

[GMO Flatt Security株式会社 @flatt_security]

セキュリティエンジニア 大塚 @Alphe_ のブログを公開しました！

AIを使ったバイブコーディングで、誰でもブラウザ拡張機能をつくれる今。
拡張機能の仕組みを整理したうえで、開発時に注意したい代表的な7つのリスクと対策をまとめました！

https://t.co/bx1Y7Tu13I

[hamayanhamayan @hamayanhamayan]

一昨日、Proいらんやろと思って、iPhone 17買って今日届きました。iPhoneはWWDC見てから買いましょう。

[GMO Flatt Security Inc. @flatt_sec_en]

We've published a new blog post by RyotaK @ryotkak.

He discovered a vulnerability in Claude Code GitHub Actions that allows external attackers to bypass its permission controls via a GitHub issue and abuse the workflow's permissions, along with related misconfigurations.

The vulnerability itself has been fixed in v1.0.94, but the misconfigurations require remediation on each repository. If you use this product, we recommend auditing your configuration and reviewing your workflow run logs.

https://t.co/FmgOhQc3eT

[GMO Flatt Security株式会社 @flatt_security]

kurenaifさん(@fwarashi )の動画で、TakumiのAI診断機能をご紹介いただきました！

AI診断の強みとその限界・選び方を解説いただいたほか、執行役員 @toyojuni とソフトウェアエンジニア @Sz4rny がインタビューで開発の裏側をお話ししています。

ぜひご覧ください！

#pr
https://t.co/SigGp2dMG1

[atpons (あとぽんず) @atpons]

Flatt Security の Ultra Thinking に @lmt_swallow & @ryoidong & @ryusei_ishika
からご招待いただきお話させていただきました。まさに Mini Shai-Hulud の第二波が出た当日で、パッケージマネージャ大変だよねの話から、セキュキャンの様々な話まで、ぜひご覧ください！

[とよじゅに(育休) @toyojuni]

エッセイ漫画家になるのが夢なので、出産(見守り)レポ漫画を描きました。気が向いたら続きを描きます

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【注意】TanStack Router その他 200+ npm パッケージ が侵害されています。流石に影響広そうなので、是非一読＆影響確認ください。なお Takumi Guard ユーザーへの被害は確認されていません。
https://t.co/gkxRpcC6ks

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

4/29 頃から確認されているソフトウェアサプライチェーン侵害事案（Mini Shai-Hulud）に関して記事書きました。止まりませんね…。
https://t.co/fJ7vzJiuMz

[GMO Flatt Security株式会社 @flatt_security]

【緊急開催・本日12:00から】
4月23日（木）に発生したBitwardenの侵害を受け、これまでの事例と異なる特徴や備えについて解説します。

・日時：4月28日（火）12:00~13:00
・視聴方法：オンライン
・登壇者：CTO米内 @lmt_swallow

▼ 視聴申込はこちらから
https://t.co/91uNv15fWw

[GMO Flatt Security株式会社 @flatt_security]

セキュリティエンジニア石川 @ryusei_ishika の技術ブログを公開しました！

日々脆弱性診断・ペネトレーションテストに取り組む一方で社内随一のClaude Codeオタクである石川が、バイブコーディング時のリスクを「よくない操作・持ち出し・出荷」の観点で解説しています。

https://t.co/tt8oA6Wc5V

[hamayanhamayan @hamayanhamayan]

定期的にSOUL’d OUTを聞いてしまうが、今回のきっかけはCMでした

[GMO Flatt Security株式会社 @flatt_security]

昨日発生したBitwardenのnpmパッケージに対するマルウェア混入（ソフトウェアサプライチェーン攻撃）に関して、その概要と対応指針を整理しました。

パスワードマネージャに関連するパッケージ侵害であり、注意が必要です。確認の上、皆様の対応にお役立てください。
https://t.co/fhXp61DEAj

[GMO Flatt Security株式会社 @flatt_security]

💎 Takumi GuardがRubyGemsに対応しました！

1コマンドのBundler設定だけで、悪性gemを自動ブロック。
当機能は無料でお使いいただけます。

RubyKaigiのブースではTakumi Guardの通知登録で限定Tシャツを贈呈中！
ぜひお立ち寄りください！

👇 リリースノート
https://t.co/56tXmZq5OJ

[hamayanhamayan @hamayanhamayan]

24karats GOLD LEGACY feat. 松本孝弘
良い。MV、3秒に1回くらいTAK出てくるし、全部弾いてるし、リフがマジで全部良い

[hamayanhamayan @hamayanhamayan]

最近、初めてCVEを取った。CVE-2026-3429(Keycloak), CVE-2026-28871(WebKit)

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【ソフトウェアサプライチェーン・やるべきことスレ】おすすめの文献・設定があれば、メンションでぶら下げてくれませんか。リンクペタっとでOKです。

僕も axios の件のガイダンス＆対応を終えたら参加します＆まとまったガイド文書を出そうと思います。

Trivy事案、LiteLLM事案も含め、ソフトウェア業界全体が不安定なタイミングです。何卒！

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【注意/TeamPCP】Trivy/LiteLLM 侵害と同じアクターによる、telnyx の PyPI パッケージ侵害が確認されています。対象 4.87.1 / 4.87.2 です。

公開数時間でテイクダウンされていて、Takumi Guard ユーザーには公開後３日の検疫期間内なので侵害影響ありません。利用されてない方、影響調査ください。

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【続き】Trivy の件に続いて発生した TeamPCP の CanisterWorm（npm マルウェア）、Flatt でもリサーチしていて、Takumi Guard で対応済です。ちょっとでも Blast radius 小さくしたいので、是非この手の自衛や、minimumReleaseAge 系の自衛をされてください🙇