睦月@多分 SRE

@ITSec_JP の中の人。最近長年使ってたアイコン変えました。ネットワークとセキュリティの動向を調べるのが好き。フォロー等はご自由に。
座右の銘は'Take it easy!'

[なる @nalltama]

いやマジで、生理痛体験による電気ショック体罰がOKなら

他の生徒に暴力を振るった生徒を殴り飛ばして「痛いだろ？お前に殴られた子も同じ思いをした。」
っていう昭和の鉄拳制裁も認められないと変なんだよね。何もしてない男子にそれやってるのが生理痛体験じゃん。暴力体験の方がまだマシぞ

[Haruhiko Okumura @h_okumura]

「チャットGPT 日本語」でGoogle検索すると2番目に偽サイトが出て、GIGA端末では本物のChatGPTがフィルタリングされているので、偽サイトにアクセスせざるを得ないということかorz

[ナザレンコ・アンドリー🇯🇵🤝🇺🇦 @nippon_ukuraina]

大事なこと言い忘れた。免許証に国籍•本籍欄を戻して！！
結局、会社の保険証、マイナンバー、免許証等、持っている身分証はどんどん増えるけど、どれ一つでも自分の国籍を証明できない。銀行とか役所とかで面倒。

日本人に成りすます奴に優しく、本名で生きる人に不便な制度、マジでやめてほしい

[宇佐美典也 @usaminoriya]

オレが一番懸念してることは、
せっかく暇空が相討ちの形で政治家と結びついてポリコレ糾弾繰り返し民間権力化してた圧力団体を無力化したのに、
また議員立法でいい加減な広告規制作ってうっかりその手の団体にお墨付き与えて復活してくることなんだよな。

[知念実希人【公式】 @MIKITO_777]

だって法案を提出した本人が

『エロ広告だけを規制するとか嘘でした〜。
私たちが気に入らない表現、なんでも青少年に有害ってレッテル貼って規制しますよ〜』

ってゲロってるんですよ

[睦月@多分 SRE @mutsuki99]

嫁「...（スッ）」
ワイ「なんで片手で飛んでる蚊を捕まえられるんですか」
嫁「静かにつかめばいいんだよ。急ぐとだめ」
ワイ「それは達人の領域なんよ」
嫁「できると思うけどなー」

できませんでした...

[piyokango @piyokango]

米国CISAが悪用を確認した脆弱性 #KEV をカタログに追加しました。（7/16追加）

CVE-2026-25089
Fortinet FortiSandbox OS Command Injection Vulnerability
✅概要
・深刻度：緊急 9.8 (CVSS Base) / Fortinet, Inc. (CNA)
・種別：OSコマンドインジェクション (CWE-78)
・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Fortinet FortiSandbox、FortiSandbox Cloud、FortiSandbox PaaS に存在する OS コマンドインジェクションの脆弱性です。
FortiSandbox の start vnc 機能における JSON 入力処理に問題があり、未認証のリモート攻撃者が細工した HTTP リクエストを送信することで、不正なコマンドを実行できる可能性があります。
✅ChatGPTによる脆弱性評価
・国内影響度：高
・悪用難易度：低
✅CISA 評価
・攻撃自動化：自動化は可能
・技術的影響：完全制御
・BOD 26-04 対処期限（露出あり）：2026年7月19日
・BOD 26-04 対処期限（露出なし）：2026年7月30日
✅攻撃前提条件
・Fortinet FortiSandbox、FortiSandbox Cloud、または FortiSandbox PaaS を使用している
・影響を受けるバージョンを使用している
・攻撃者が対象の FortiSandbox WEB UI へネットワーク経由でアクセスできる
・攻撃者は認証情報を必要としない
・修正済みバージョンへ更新されていない
✅悪用時影響
・FortiSandbox 上で任意の OS コマンドを実行される可能性がある
・FortiSandbox の管理機能または分析基盤を不正操作される可能性がある
・セキュリティ分析基盤を侵害され、検知回避や追加侵害の足掛かりに利用される可能性がある
・機密性、完全性、可用性に高い影響が生じる
✅悪用事例等に関する公開情報
・PoC/Exploit：一部公開（技術情報のみ）
・ITW：確認済み（Defused）
・概要：Defused Cyber が共有した脅威インテリジェンスでは、CVE-2026-25089 を含む FortiSandbox 脆弱性群に対する悪用開始を報告。
✅関連情報
・https://t.co/ofo3igPdS6
・https://t.co/3kNYJ9qliu
・https://t.co/RyduZBNp1I
・https://t.co/ZOhTFy1Y8m
・https://t.co/qr4w705Weg
・https://t.co/60FoYX7igJ
・https://t.co/Sc4oZmofXD

CVE-2026-39808
Fortinet FortiSandbox OS Command Injection Vulnerability
✅概要
・深刻度：緊急 9.8 (CVSS Base) / Fortinet, Inc. (CNA)
・種別：OSコマンドインジェクション (CWE-78)
・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Fortinet FortiSandbox に存在する OS コマンドインジェクションの脆弱性です。
FortiSandbox の API エンドポイントにおける入力処理に問題があり、未認証のリモート攻撃者が細工した HTTP リクエストを送信することで、不正なコードまたはコマンドを実行できる可能性があります。
✅ChatGPTによる脆弱性評価
・国内影響度：高
・悪用難易度：低
✅CISA 評価
・攻撃自動化：自動化は可能
・技術的影響：完全制御
・BOD 26-04 対処期限（露出あり）：2026年7月19日
・BOD 26-04 対処期限（露出なし）：2026年7月30日
✅攻撃前提条件
・Fortinet FortiSandbox 4.4.0 から 4.4.8 までの影響を受けるバージョンを使用している
・攻撃者が対象の FortiSandbox API エンドポイントへネットワーク経由でアクセスできる
・攻撃者は認証情報を必要としない
・FortiSandbox 4.4.9 以降へ更新されていない
✅悪用時影響
・FortiSandbox 上で不正なコードまたは OS コマンドを実行される可能性がある
・root 権限でコマンドを実行される可能性がある
・FortiSandbox の分析結果や管理機能を不正操作される可能性がある
・セキュリティ分析基盤を起点に追加侵害へつなげられる可能性がある
・機密性、完全性、可用性に高い影響が生じる
✅悪用事例等に関する公開情報
・PoC/Exploit：公開済み
・ITW：確認済み（Defused）
✅関連情報
・https://t.co/NOKV8UkHuB
・https://t.co/sYk1vwkftt
・https://t.co/DZBGRtnIgS
・https://t.co/8A2kPu3Pat
・https://t.co/Mj3j3JTxNg

CVE-2026-58644
Microsoft SharePoint Deserialization of Untrusted Data Vulnerability
✅概要
・深刻度：緊急 9.8 (CVSS Base) / Microsoft Corporation (CNA)
・種別：信頼できないデータのデシリアライゼーション (CWE-502)
・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Microsoft Office SharePoint に存在する、信頼できないデータのデシリアライゼーションに起因するリモートコード実行の脆弱性です。
未認証の攻撃者がネットワーク経由で悪用することで、SharePoint 上でコードを実行できる可能性があります。
✅ChatGPTによる脆弱性評価
・国内影響度：高
・悪用難易度：低
✅CISA 評価
・攻撃自動化：自動化は可能
・技術的影響：完全制御
・BOD 26-04 対処期限（露出あり）：2026年7月19日
・BOD 26-04 対処期限（露出なし）：2026年7月30日
✅攻撃前提条件
・Microsoft SharePoint Enterprise Server 2016、Microsoft SharePoint Server 2019、または Microsoft SharePoint Server Subscription Edition を使用している
・SharePoint Enterprise Server 2016 で 16.0.5556.1005 未満を使用している
・SharePoint Server 2019 で 16.0.10417.20153 未満を使用している
・SharePoint Server Subscription Edition で 16.0.19725.20384 未満を使用している
・攻撃者が対象 SharePoint Server へネットワーク経由でアクセスできる
・攻撃者は認証情報を必要としない
・修正済み更新プログラムが適用されていない
✅悪用時影響
・SharePoint Server 上でリモートコード実行につながる可能性がある
・SharePoint Server 上の機密情報へ不正アクセスされる可能性がある
・SharePoint Server 上のデータを改ざんされる可能性がある
・SharePoint Server の可用性に影響が生じる可能性がある
・オンプレミス SharePoint 環境を起点に追加侵害へつなげられる可能性がある
✅悪用事例等に関する公開情報
・PoC/Exploit：公開情報確認できず
・ITW：未確認
✅関連情報
・https://t.co/Jcz1ol1lUA
・https://t.co/0Kdqw1PCuS
・https://t.co/5gheAyoESq
・https://t.co/Z42csMN9qv
・https://t.co/MHW6EDlTUq

https://t.co/ApzzrIsin4
#vulnerability

[connect24h @connect24h]

Piyokangoさんの渾身のBlog。ぜひ、ニチレイの事例もお願いします。厚労省のTeamsで、行政文書に該当する一部チャットが「復元困難」になった。攻撃ではない。LANシステム更改中の設定ミスで、2026年4月25日にチャットデータ等が削除された。委託先は東芝、厚労省の公表は6月12日。これはかなり重い。

SaaSなら戻せる、委託先に任せればよい、は通用しない。現場で見るべきはretention policy、eDiscovery hold、監査ログの保存期間、export手順、復元テストの5点。変更承認に「削除範囲」と「rollback可否」を必須項目として入れてほしい。

Teams更改を控える組織は、この5点を作業前チェックリストとして保存推奨。#セキュリティ

[まよねこの勤労🐈💨 @HigurashiNapon]

リモートワーク廃止にあたり、あまり言及されない論点

[睦月@多分 SRE @mutsuki99]

健康診断で引っかかったので久しぶりに大きな病院の予約したんだけど、予約webがとんでもない認証形式で、流石にこれは IPA 案件じゃなかろうかとモニュモニュしている。
普通に検査受けたいだけなのに…

[yousukezan @yousukezan]

多層防御 vs 最先端のサプライチェーン攻撃 ―― freee の大規模障害訓練の舞台裏 - freee Developers Hub https://t.co/fPAT7JqKft

[フモト @SFumoto]

サッカーワールドカップで、日本アンチのブラジル人が「日本は児童ポルノが盛んな性犯罪大国なんだろ？」と煽ったところ、日本人から「ブラジルの性犯罪率は日本の18倍以上で、そのうち約7割が13歳未満を被害者とする事件」というデータを突き付けられ、わからせられた事件を覚えている方も多いと思います。

では、なぜあのようなブラジル人や、一部の外国人は「日本は性犯罪大国」という誤った認識を持っているのでしょうか。

理由は、日本国内の極左やラディカルフェミニストが海外に向けて、

「日本のアニメや漫画は児童ポルノ」
「日本の性犯罪は世界一深刻、その証拠が女性専用車両」
「日本の性犯罪は警察が取り締まらない（暗数が多い）」
「日本は男尊女卑が世界一ひどく、女性が奴隷のように扱われている」

といった主張を繰り返し発信しているからです。

これらは、海外からの外圧を利用して自らの主張を既成事実化しようとするプロパガンダであり、日本国内の実態とは大きくかけ離れているものがほとんどです。
しかし、日本の実情を知らず、事実確認もしない日本アンチの外国人にとっては、それらは「日本を攻撃するための根拠」として都合よく利用されます。

だからこそ、日本で犬猫食がほとんど存在しないにもかかわらず「犬猫食禁止法」を成立させれば、その法律は日本アンチの外国人にとって「日本には犬猫食文化があった」という風説を世界へ拡散するための格好の材料になりますし、この法案を推進する側、市役所に嫌がらせをしてクマ駆除を妨害していたような過激な動物保護団体が喜ぶ事になります。

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

Linux基礎からカーネルエクスプロイトまでを、ブラウザ上の実行環境で手を動かしながら無料で学べる教材が公開されています。Arizona-State-Universityのセキュリティ研究チームが運営しており、同大学の正規科目（CSE-365/466/598）の成績評価基盤としても使われている構成です。

脆弱性研究を始める人の基礎教材としてだけでなく、マルウェア解析者がエクスプロイト側の前提知識を補う用途にも活用できます。

【要点の整理】

・入門は4ドメインで構成。Linuxの基本操作（Linux-Luminarium、17モジュール/128チャレンジ）、アセンブリやデータ表現（Computing-101、13モジュール/130チャレンジ）、プログラムとの対話（Playing-With-Programs、4モジュール/116チャレンジ）を段階的に経てからコアカリキュラムへ進む設計。

・コアカリキュラムはWhite→Orange→Yellow→Green→Blueの帯制。サイバーセキュリティ入門（Orange、7モジュール/183チャレンジ）、プログラムセキュリティ（Yellow、リバースエンジニアリング・メモリ破壊・シェルコード等、5モジュール/159チャレンジ）、システムセキュリティ（Green、6モジュール/93チャレンジ）、ソフトウェアエクスプロイト（Blue、ROP・ヒープ・フォーマット文字列・競合状態等、5モジュール/90チャレンジ）という進行。Blue-Belt到達者には実物の帯が送付される仕組み。コアだけで約900チャレンジ。

・コミュニティ制作ドメインが50近く公開されており、カーネルエクスプロイト、ARM（2種）、XNU（macOS/iOSカーネル）、ファジング（80チャレンジ）、権限昇格（557チャレンジ）、暗号（59チャレンジ）、Webセキュリティ（55チャレンジ）、コンテンツインジェクション、Windows、x86エクスプロイト、Linux-Firmware-Rehosting、DOS、Adversarial-ML、プログラミング言語入門（25モジュール/253チャレンジ）、シェル操作（The-Art-of-the-Shell、55チャレンジ）、Pwntools入門、Red-Team、過去の公式教材アーカイブ（232チャレンジ）、過去のCTF問題アーカイブ（834チャレンジ）など。コミュニティ含め全体で数千チャレンジ規模。

・課題の解法（writeupや動画）のインターネット上への公開は控えるよう求められており、大学の教育基盤として維持するための方針との説明。質問・議論はDiscordサーバーで受け付けているとの案内。

詳細は以下を参照：
https://t.co/lD5JvdNJUx

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[くられ @reraku]

接客を一度もしたことない人の中には店員を人だと思わず、怒鳴ったり命令したり、失礼な態度をとる人がいるようなもので、文章を書いたことが無い、絵を描いたことが無い、映像を作ったことが無い、そういう人は、作品の裏側で命を削ってモノづくりしてる気持ちがわからないので、メチャクチャな注文を付けてたりするんだろうなぁ。
　ゲームのアップデート情報とか見に行くとと、すげえヤバいのがいきなり大声で〜をナーフしろクソカスみたいに吠えてて頭痛くなる。しかし、それらは暫くすると、みんなにスパブロとかミュートとかされまくるのか、知らない間に消えてて、それもまたSNSらしい生態系を感じる。

　結果的にヤバい人はヤバい人としかコミュニケーションできないので、どんどん人生が閉じていく。年寄り作家のアドバイスだが、「好き」を発信したほうがお得だぞ。

[connect24h @connect24h]

この論文、CSIRTにはかなり重要です。

AIエージェントがペネトレーションテストやセキュリティ運用を担う時代、「何ができるか」より「何をやらせてはいけないか」が課題になります。

新しい論文 ScopeJudge は、その答えの一つ。

エージェントがツールを実行する前に、軽量LLMが「その操作はスコープ内か？」を判定し、危険な実行を止める仕組みを提案しています。さらに約4,900件の実運用に近いデータセットで評価まで実施。(arXiv)

CSIRTで言えば、

✔ AIの承認フロー
✔ 変更管理
✔ 四眼原則（Four Eyes Principle）

をAI時代向けに実装したような発想です。

AIエージェントにはアクセルだけでなく、ブレーキも必要。

これからのセキュリティは「賢いAI」を作る競争ではなく、「暴走しないAI」を設計する競争になりそうです。

https://t.co/t6LUB4uOzx

#AIエージェント #CSIRT #ペネトレーションテスト #LLM #CyberSecurity #生成AI

[スルメデラロチャ@夏休み中 @surumelock]

誰ひとり取り残さない沖縄県知事

[ひろゆき @hirox246]

沖縄県議会は辺野古の女子高生死亡事故を、調べて欲しくない様子。

[イチケン @ichiken_make]

USB充電器の故障事故は他人事ではない。
使い方を見ると
・常時60W程度で使用
・使用期間は3~4年ほど
使用条件としてはかなり厳しい。

以下は考察と推測
この製品のどこが壊れたのかは不明であるが、真っ先に壊れるのが、電解コンデンサなどの寿命がある部品。
USB充電に使われる電解コンデンサは105℃4,000~10,000時間等がよく使われる。

Anker Nano II 65Wはフルパワー使用時に表面温度は76度まで上昇する。
内部温度は85℃程度はあるだろう。

電子部品の寿命推定はアレニウスの法則が有名
これは「使用温度が10℃低下すると寿命は2倍になる」というもの。
定格105℃4,000時間の電解コンデンサを85℃環境で使うと、寿命は4倍の16,000時間に伸びる。
これを1日8時間使ったと仮定すると、寿命は約5.5年となる。
1日12時間では3.6年となる。

最近の小型のUSB充電器が使われる環境は利用者が思っているよりも厳しい。
特に常時フルパワーで使う場合は故障を待たずに、3~4年程度で充電器を交換するのが良いだろう。
逆にパソコンなどに付属している大型のACアダプタは熱的に余裕があるので、小型のUSB充電器度ほどは厳しい環境にはない。

[nekono_nanomotoni @nekono_naha]

国内メールサービス事業者への不正アクセスやメール基盤製品のゼロデイ攻撃が去年から多い印象だった改めて整理したら思ってたより連続してて流石に不穏すぎる。特定勢力が意思を持ってあちこち探ってる雰囲気もするので要点検/警戒かも。詳細は以下Webアプリでどうぞ
https://t.co/wDftKqAc2M

[Hiromitsu Takagi @HiromitsuTakagi]

悪いAI活用例がこれ。統計作成等とは何か、AIに聞いて調べたらしい。0:48から。
「統計作成等」は改正案の法定用語（2条13項）だよ。あんたら、レベル低すぎるよ。法律について議論する資格なし。