かみーゆ🍥セブ島ノマドエンジニア

幼稚園:坊主の説法に論理的矛盾指摘→怒られる | 13歳:生きたいように生きて死にたいように死ぬ→人生の目標 | 頭のネジ数本瀬戸内海に忘れてセブ移住 | 忖度ナニソレオイシイノ？ | 5G接続で便利すぎて困る→未接種 | 人生の指針:楽しい or かっこいいかで決断 | 耳障りのいいことなんて一切言わないよーーん

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

私はフィリピンに来て、人付き合いが減って、物欲も減った

日本に比べて、手を伸ばせばすぐ欲しいものは手に入らない

多少の不便じゃ困らないし、死なない

結果、節約できるようになった

微かだけど親にもサポートできた

これが1番フィリピンに感謝していること

[SOU⚡️投資ニュース / 米国株・日本株・仮想通貨・AI @SOU_BTC]

🇺🇸 米国家安全保障局長官が、Claude Mythosに機密システムを���ぼ全部抜かれたと認める：The Economist

NSAとサイバー軍のトップ、Joshua Rudd将軍が、AnthropicのClaude MythosがNSAの機密システムのほぼ全てに侵入することに成功したと告白。数週間ではなく、数時間で。The Economistが報じている。

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

ブログ更新しました

散歩、ジャーナリング、読書の中に見つけた境地
きっかけは更年期対策とドーパミンコントロール
読書でインプット
プラスジャーナリングでアウトプット

ジャーナリングと読書の掛け算で意識レベルをハックする「書く瞑想」の効果 https://t.co/jKzUUeKMNn

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

Claudeの共有チャット機能がClickFix攻撃の配信基盤に転用されていた実態が、7週間・6波にわたる追跡分析で明らかになりました。日本でも201件の確認済みインタラクションが報告されており、被害者トラフィックの67.4%がアジア太平洋地域に集中（台湾30.5%）とのこと。AIツールの偽Google広告から利用者を正規ドメイン上の共有チャットに誘導し、ターミナルコマンドの実行を促す手口で、計106件の悪性ホスト名が確認され、Wave-6だけで61件の共有チャットIDが使用されています。

【要点の整理】

・2026年4月8日から6月14日までの活動を追跡した分析では、Wave-1（初期展開、18ホスト名）からWave-6（Claude上に完全移行、61の共有チャットID）まで6段階の進化が記録されている。各波で標的AIブランド・地理的ターゲティング・配信手法が反復的に変化しているとの報告

・Wave-1〜4はGitLab-Pages上の92のサブドメインでClaude・ChatGPT-Codex・Perplexity・Cursor-IDE・JetBrainsの6ブランドを偽装。Wave-5以降でClaudeの共有チャットへ移行し、Wave-6��は全活動がClaude上に集約された経緯が記録されている

・正規ドメインでホストされるため、ドメインや証明書の信頼性に依存する対策では判別しにくい構成。偽の「Apple-Support」ペルソナ等がターミナルコマンドの貼り付けを誘導し、base64デコード経由でMacSync系インフォスティーラーを展開する流れとの報告

・ロシア語キーボードレイアウト有効環境での実行回避が確認されている。Mac向けユーティリティ詐欺も同一インフラで並行運用されており、同一運用主体が関与した可能性がある多角化との分析

・報告を受けたAnthropicは該当アカウントの停止と悪意ある共有チャットの無効化を実施。共有チャット機能への追加的な悪用防止策の実装を進めているとのことである

正規AIプラットフォームの共有機能を配信基盤に転用し、ドメインや証明書の���頼性に依存する対策では判別しにくい手法です。攻撃者が週次でインフラを入れ替えながらAIブランドのキーワードを入れ替えて反応を比較していた運用実態も示されており、AIツールの導入時は公式サイトへの直接アクセスが引き続き重要です。

詳細は以下を参照：

https://t.co/FoIgFOaEtM

[yousukezan @yousukezan]

Fortinet製ファイアウォール約7万5000台分のVPN認証情報が流出していたことが判明した。研究者Bob Diachenkoが公開状態のサーバー上でデータを発見し、Kevin BeaumontとHudson Rockが分析した結果、実際に有効な認証情報が多数含まれていたという。

Beaumontによると、データは約7万5000台のFortinet機器に関連し、その大半が現在もオンライン状態だ��た。認証情報にはユーザー名、メールアドレス、平文パスワードが含まれ、一部組織では実際にログイン可能であることも確認された。Hudson Rockによると、対象は194カ国、7万3932件のファイアウォールURL、2万1632件のドメインに及び、Foxconn、Samsung、Comcast、Siemens、Lenovo、PwC、Accenture、Oracleのほか政府機関や重要インフラ事業者も含まれていた。

Diachenkoはさらに、攻撃者が誤って公開していたディレクトリからツールやログを発見した。そこには32万7777台のFortiGate機器に対する約11億6000万回の認証試行と、16万3650台のMicrosoft SQL Serverに対する約21億回の試行記録が残されていたという。攻撃グループはSSL VPN認証ハッシュを取得し、45基のGPUクラスタで解析して平文パスワードを復元していたとされる。

流出データは単なる認証情報収集ではなく、機器設定のエクスポートから取得された可能性が高い。各レコードには業種、売上高、従業員数、国などの情報も付与されており、Beaumontは初期アクセス販売市場で一般的な形式だと指摘した。侵入経路は不明だが、��知または未知のFortinet脆弱性が悪用された可能性があるという。
https://t.co/bRNZhd7JJg

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

AI時代に、未経験エンジニアはどう生き残るか？という記事を書きました

バツイチ子持ち高卒の圧倒的に弱者だった私だから見つけたサバイバル哲学

https://t.co/32QUorMkvG

[yousukezan @yousukezan]

AI駆動開発のセキュリティ、結局どこまでやればいい？ https://t.co/aDl1Y0eppb #Qiita @MyAYBCuZwxUTmMQより

[yousukezan @yousukezan]

ユーロポール、サイバー攻撃で得た暗号資産のマネーロンダリングを行っていたグループを摘発。警察庁も捜査に協力 - INTERNET Watch https://t.co/UriQRZxmkW

[Brandon K. Hill | CEO of btrax 🇺🇸x🇯🇵/2 @BrandonKHill]

シリコンバレーで今、急速に注目されている職種がある。
営業でもない。
マーケターでもない。
エンジニアでもない。
その全部をAIでやる「GTMエンジニア」。昔は10人で回していた営業・マーケ・オペレーションを1人で設計する。その知られざる実態をこちらにまとめました👇
https://t.co/tEE9G0cZwC

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

巧妙化するAIサイバー犯罪を
データで可視化しました
https://t.co/53d50fO5SI

[yousukezan @yousukezan]

AIコーディングエージェントを通常の開発作業の中で乗っ取る「Agentjacking」が公��された。公開されたSentry DSNだけで偽のエラーを注入し、開発者がAIに調査を依頼すると、正規のMCP出力に見える指示を実行させられるという新たな攻撃手口である。

Tenet SecurityのThreat Labsは、Sentryのイベント取り込み機構とSentry MCPサーバーの組み合わせを悪用する手法を検証した。SentryのDSNはフロントエンドJavaScriptに埋め込んでも安全とされ、ソースコードやCensys、GitHub検索から見つけられるという。

攻撃者はDSNを取得後、細工したエラーイベントをSentryへ送信する。Sentryはこれを正規のアプリケーションエラーと同様に処理し、MCP経由でAIエージェントに返す。ペイロードは見出しやコードブロックを使い、Sentryの出力に似せられていた。

開発者がClaude Code、Cursor、Codexなどに未解決issueの修正を依頼すると、エージェントが攻撃者指定のnpxコマンドを端末の権限で実行する。Tenetによると、AWSキー、GitHubトークン、Sentry認証トークン、git認証情報などが外部送信される可能性がある。

Tenetは2388組織で注入可能なDSNを確認し、検証で100以上の組織のAIエージェントが注入エラーに反応したとしている。
https://t.co/1NL6KBFgOK

[エバンジェリスト 西脇資哲 @waki]

衝撃の速報！！！

"アンソロピック、Fable 5などミュトス級AIモデルを公開停止　米国政府が指令" https://t.co/FiMdfhvWtg

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

Vite+EJSで実現するモダンなHTML量産環境の構築（pnpm対応・静的ルーティング）
RewritegulpからVite に大幅に書き換えた
2026年仕様
https://t.co/nScLIt4LaN

[connect24h @connect24h]

2週間で2度目のMS npm汚染。今回73パッケージにcredential stealer。AIエージェントがパッケージを開いた瞬間に自己複製・感染するという設計で、「インストールしてから実行」という従来の感染モデルが完全に崩れた。 https://t.co/QnjJMcxJtr #セキュリティ

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

最悪やー😭
うるさくなる

[yohei_koyama 🇵🇭 cebu philippines @yohei_koyama]

【スグボ・メルカド移転先が正式決定！】🍢🍔🌮

���ブ最大級の人気ナイトマーケット「Sugbo Mercado」が移転へ📢

📍新所在地
Skyrise 5（ITパーク内）

これまでのバスターミナル近くの場所から、JPモルガンや38 Park Avenue近くのエリアへ移転します🏙️

[かみーゆ🍥セブ島ノマドエンジニア @LirioY]

リニューアルでの気づきをブログにしました
『7割文脈が伝われば御の字。完璧を捨てた文書が小さな組織を救う』
自分が倒れたら？メンバーはソースコードを開くことすらできない——。 文書を残す労力と手間は、今後起こり得る「会社機能停止」というリスクヘッジ

https://t.co/uDgnIJev4e

[フィリピンのニュースあれこれ @pharekore]

いやいや、フィリピン人が中国に反感を抱く理由は「誤解や偏見」ではない。オンライン詐欺拠点（POGO）を巡る犯罪増加や違法滞在中国人の問題、そして南シナ海での威圧的な行動が原因だ。国際交流を増やせば解決するような話ではない。

中国のジン・チュアン駐フィリピン大使は、ボラカイ島とボホール州を訪れる中国人観光客向けのビザ免除制度について、フィリピン政府と協議を進めていると明らかにした。
人々が互いの国をより頻繁に訪れるようになれば、「誤解や偏見」を解消すると強調。中国人のフィリピン渡航者数は今年に入り前年同期比63％増加したという。
https://t.co/IsNwIFEg34

[m4rio @m4rio_eth]

🚨 TL;DR: Attackers are sending fake Sentry bug alerts to projects using public Sentry DSNs. The fake alert is designed to trick AI agents into running a malicious `npx` command that looks like a Sentry profiling diagnostic.

Do NOT run commands from Sentry issues/logs/alerts unless verified.

These are not legitimate Sentry fix commands. The malicious package reportedly steals environment variables/secrets and sends them to advisory-tracker[.]com.

[yousukezan @yousukezan]

SolarWindsのファイル転送ソフト「Serv-U」の高深刻度脆弱性が、公開から数日で実際の攻撃に悪用されていることが判明した。認証不要でサーバーを停止させられるため、CISAは緊急の更新対応を呼びかけている。

CVE-2026-28318は、Serv-Uに存在するリソース消費の不備に起因するサービス拒否（DoS）脆弱性である。攻撃者は特別に細工したPOSTリクエストを送信するだけで、認証なしにServ-Uサービスをクラッシュさせることができる。

SolarWindsは6月に公開した「Serv-U 15.5.4 Hotfix 1」で修正を提供したが、その直後にCISAは実際の悪用を確認し、既知悪用脆弱性（KEV）カタログへ追加した。米連邦政府機関には6月19日までの対応が求められている。

Shodanでは1万2000台以上のServ-Uサーバーがインターネットへ公開されていることが確認されており、影響範囲は広い。パッチを適用できない場合、SolarWindsはアクセス制限や「Content-Encoding」を含むPOSTリクエストの遮断を推奨している。

Serv-Uは過去にもCVE-2021-35211やCVE-2024-28995など複数の脆弱性が攻撃に悪用されており、ランサムウェアや国家支援型攻撃グループの標的となってきた。
https://t.co/0AVEKxTnYN

[yousukezan @yousukezan]

MicrosoftのVS Codeで、GitHubアクセストークンを窃取できる実証コードが公開された。被害者が細工されたリンクを1回クリックするだけで認証情報が盗まれる可能性があり、研究者はMicrosoftの脆弱性対応への不満から非公開報告を経ずに公開へ踏み切った。開発者向け環境を狙う攻撃の増加も懸念されている。

セキュリティ研究者のAmmar Askar氏は、VS Codeに存在する脆弱性の動作するエクスプロイトコードを自身のブログ���公開トラッカーで公開した。問題はGitHubアクセストークンの窃取につながるもので、被害者が悪意あるリンクをクリックするだけで攻撃が成立するという。

Askar氏は公開の約1時間前にGitHubのセキュリティ担当へ通知したが、今後VS Code関連の脆弱性について���Microsoftへの事前報告を行わず公開すると表明した。その理由として、過去に報告した脆弱性がMicrosoftによって修正されたにもかかわらず、研究者としての功績が認められず、セキュリティ上の影響も否定されたと主張している。

今回の公開は、TeamPCPが悪意あるVS Code拡張機能を利用してGitHubの内部リポジトリ数千件へ侵入した事件から数週間後に発生した。VS Codeは開発者の認証情報やソースコードを狙う攻撃者の標的となっている。

同様の動きは他の研究者にも広がっており、「Nightmare Eclipse」として知られる研究者も近年、Microsoftとの調整を行わず複数のWindowsゼロデイを公開している。当初Microsoftはこうした公開を強く非難したが、その後「研究者への法的措置を取る意図はない」と説明を修正し、一部の対応が不十分だったことを認めた。Microsoftは記事掲載時点で、この問題への詳細なコメントやCVE付与の有無について回答していない。
https://t.co/AGwPSonfii

[yousukezan @yousukezan]

人気のJavaScriptテストフレームワーク「Vitest」に複数の深刻な脆弱性が見つかった。開発環境を標的にリモートコード実行や機密ファイル窃取が可能になる恐れがあり、数千万規模の利用環境へ影響する可能性がある。

最も深刻な問題の一つであるCVE-2026-47428は、Webインターフェースにおけるスクリプトインジェクションの脆弱性だ。攻撃者は細工したURLを通じて任意のJavaScriptを実行し、認証トークンを窃取できる。その後、vite.config.tsなどの設定ファイルを書き換え、Node.js経由で任意コードを実行できる可能性がある。

さらにCVE-2026-47429では、Windows環境でパストラバーサルが発生し、認証なしでプロジェクト外のファイルへアクセスできる恐れがある。また別の脆弱性では、Chrome DevTools Protocolへのアクセス���御不備を悪用し、プロジェクト��へ不正ファイルを配置してコード実行につなげられるという。

Vitestは週5,300万回以上ダウンロードされる人気プロジェクトであり、開発者PCやCI/CD環境が主な影響対象となる。

開発チームは修正版として4.1.6および5.0.0-beta.3を公開した。新たにallowWriteやallowExecなどの制御機能が追加され、公開ネットワークへバインドされた環境では危険な操作が既定で無効化される。利用者には速やかな更新が推奨されている。
https://t.co/TXCVKcJsQf