merci :D

ローカルで動くセキュリティツールをRustで作っている個人開発者。
veil-rs：秘密情報/PIIを手元で検出するCLI
veil-warden：eBPFで外への通信を制御する実験
脆弱性情報も一次情報つきで流します。
電脳年齢121歳・月在住🌙

[merci :D @rMATLAB_x]

ローカルで動くセキュリティツールを作っている個人開発者です。
・veil-rs：秘密情報/PII検出CLI。不完全なスキャンは成功扱いにしない設計
・veil-warden：eBPFで外への新規接続を制御する実験
脆弱性情報も一次情報つきで流します。
https://t.co/L7BZRTD8Yt

[merci :D @rMATLAB_x]

A secret scanner's own output can become a leak.

Print the found key into CI logs, and everyone who can read the logs now has it.

veil-rs can mask findings in its output. Finding and not showing go together.

https://t.co/iXN9hAVUOx

[merci :D @rMATLAB_x]

スキャナーの出力そのものが、漏洩経路になることがあります。

見つけた鍵をCIログにそのまま出せば、ログを読める人全員に渡ります。

veil-rsは検出結果をマスクして出せます。見つけることと見せないことは、セットです。

https://t.co/iXN9hAVUOx

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

【更新情報】
米国時間2026年10月27日、Android向けChromeの更新プログラムが公開されました。
本件更新(156.0.8078.73)には、セキュリティ修正が含まれています。更新が配信されましたら忘れずにアップデートしてください。
https://t.co/mP1k1CSyBw

[merci :D @rMATLAB_x]

バックアップ製品Veeam Backup & Replication 13に重大な脆弱性CVE-2026-108142（CVSS 9.1）。ログイン不要で権限チェックをすり抜けられる。対象は13.0/13.1系（12.x系は対象外）。13.1.2.57か13.0.3.63へ更新を。悪用は未報告。
#Veeam #脆弱性

[The Hacker News @TheHackersNews]

🚨 Veeam patches a CRITICAL 9.1-rated flaw in Backup & Replication 13.

→ Unauthenticated attackers could bypass access controls.
→ Enterprise backup infrastructure at risk.
→ Three additional security flaws fixed.

Patches are available - https://t.co/wK5iEZlfDQ

[merci :D @rMATLAB_x]

I started the veil series to make data-leak news a little rarer. I began 3 projects and stopped all 3.

QUIC consensus, the macOS sudo wall, signature design: here's why I stopped each one.

https://t.co/v0sI8wKFer

[merci :D @rMATLAB_x]

情報漏洩を減らしたくて作り始めたveilシリーズ、3つ作りかけて3つ止めました。

QUICの合意、macOSのsudoの壁、署名検証の設計。止めた理由を全部書いてます。

作らない判断も、ちゃんと記録に残したかった。

https://t.co/v0sI8wKFer

[merci :D @rMATLAB_x]

ECサイト基盤Adobe Commerce／Magentoのファイルアップロードの欠陥（CVE-2026-48356、深刻度Critical）を、攻撃への悪用を確認したとしてCISAが登録。修正は7月に公開済み。2.4.8-2026-julなどへ未更新の店舗は今すぐ更新を。#Magento #脆弱性

[CISA Cyber @CISACyber]

🛡️We added Adobe Commerce vulnerability CVE-2026-48356 & Google Brotli vulnerability CVE-2026-111497 to our KEV Catalog. Visit https://t.co/myxOwap1Tf & apply mitigations to protect your org. #Cybersecurity #InfoSec

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

【更新情報】
米国時間2026年10月26日、Apple Safariの更新プログラムが公開されました。
本件更新（Safari27.2）には、セキュリティ修正が含まれています。忘れずにアップデートしてください。
https://t.co/H8A3DBZlXi

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

【更新情報】
米国時間2026年10月26日、GoogleからChromeOSのセキュリティアップデート情報が公開されました（バージョン名:150.0.7871.287）。
更新が配信されましたら忘れずにアップデートしてください。
https://t.co/V19Wumj9Kh

[merci :D @rMATLAB_x]

ルーター等の管理画面に組み込まれるWebサーバー「GoAhead」に脆弱性。OpenSSL版では失効させた証明書でもmTLS接続が通る（開発元評価9.1、mTLSと失効リストを設定した構成のみ）。修正版は6.1.1。機器はメーカーのファーム更新を確認。
#脆弱性 #IoT

[International Cyber Digest @IntCyberDigest]

‼️ Palo Alto Networks, Comcast, D-Link, HP, Canon, Honeywell, GE, Oracle, Siemens, Rockwell, Digi, Lockheed Martin and Boeing use the GoAhead web server, which has been accepting revoked certificates, FoxIO says.

Its maker says it runs in hundreds of millions of devices.

The critical flaw, CVE-2026-115881, lets a stolen device keep its access where client certificates are checked against a revocation list. FoxIO does not say which products are affected.

A second bug, a 2018 typo in GoAhead's Mbed TLS builds, shrinks a 2048-bit encryption number to one byte, leaving 8 possible secrets.

Anyone who recorded a TLS 1.2 session could decrypt it, if the connecting app accepts the broken number.

Earlier this month, browsers cut off Indian certificate authority eMudhra after one of its private keys turned out to be the number 4.

A third bug lets oversized certificate chains through on older LibreSSL builds.

GoAhead fixed the first two in version 6.1.1 in August. Proof-of-concept code is public.

Any fix for their devices has to come from the 13 firms.

[merci :D @rMATLAB_x]

放置アプリ「Popcorn Time」(Time4Popcorn版)の更新機能に欠陥(CVE-2026-30612)。暗号化も署名確認もなく、Win/Macでは最高権限で更新を実行。開発終了でパッチなし。研究者が約200万台で更新を止めたが本体も古く危険。入っていたら削除を。
#セキュリティ

[SecurityWeek @SecurityWeek]

Dead Popcorn Time Updater Put Millions of Computers at Risk of Takeover https://t.co/TrGVIPNPWk

[merci :D @rMATLAB_x]

New Zenn post (in Japanese): veil-arena, a disposable-VM test bed for the Veil tools, and what v0.4.0 verified. Research stage.

Honest note: on AWS and GCP, XDP wouldn't attach to the real NIC.

https://t.co/PHS0v9bKNp

[merci :D @rMATLAB_x]

Zennに記事を書きました。

壊してよいVMの中でVeilを試す検証環境「veil-arena」の紹介と、v0.4.0で確かめた範囲です（研究段階）。

AWS・GCPの実NICではXDPを装着できなかったことも正直に書いています。

https://t.co/PHS0v9bKNp

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

【更新情報】
米国時間2026年10月26日、AppleからiOSおよびiPadOSのセキュリティアップデートが公開されました（Golden Gate 27.2）。
忘れずにアップデートしてください。
https://t.co/E1NoB0Ibgl

[merci :D @rMATLAB_x]

リモート保守製品BeyondTrust Remote Support（自社運用版）に認証回避の脆弱性CVE-2026-102764（CVSS 9.3）。ゼロデイ悪用されCISA KEV掲載。26.2.3以前はBT26-05-RSパッチを適用（24.3.1未満は先に更新）。侵害調査と認証情報の再発行も。
#脆弱性

[OpenVPN Inc. @OpenVPN]

A China-linked group exploited a BeyondTrust Remote Support zero-day (CVE-2026-102764) for ~7 weeks before disclosure. Patch, ship logs off the appliance, and rotate stored credentials.

#cybersecurity

https://t.co/Cc0AzjvjIm

[merci :D @rMATLAB_x]

veil-rs runs a weekly dogfood check on its own repo.

This week's OpenSSF Scorecard: 3.3/10. That's low.

For a security tool, I'd rather keep the number in the repo and raise it one check at a time than hide it.

https://t.co/iXN9hAVUOx

[merci :D @rMATLAB_x]

veil-rs は週1回、自分のリポジトリを自分で点検しています（dogfood）。

今週のOpenSSF Scorecardは 3.3/10。正直、低いです。

セキュリティツールを名乗る以上、この数字も隠さずリポジトリに残して、一つずつ上げていきます。

https://t.co/iXN9hAVUOx

[merci :D @rMATLAB_x]

iPhone XS／XS Max／XR、iPad 第7世代の人へ。Appleが10/26にiOS 18.7.11を公開し、悪用報告のある画像描画の脆弱性CVE-2026-86950を旧機種にも修正。細工されたファイルの処理で不正なコードを実行される恐れ。今すぐ更新を。
#脆弱性 #iPhone

[Officer's Notes @officer_secret]

Update your @Apple device right now!

Update with a fix for an actively exploited vuln(s):
iOS 18.7.11 and iPadOS 18.7.11

For:
iPhone XS, iPhone XS Max, iPhone XR, iPad 7th generation

Released:
26 Oct 2026

[merci :D @rMATLAB_x]

veil-arena v0.4.0 (source) is out: a VM test bed for Veil tools, now with a 2-VM interrupt/recovery test, an isolated-VM Warden test, and more validation logs. Not a production-protection claim; parts unverified.
https://t.co/tPN0mCMEcs

[merci :D @rMATLAB_x]

veil-arena v0.4.0（ソース版）を公開。他のVeil試験用のVM基盤に、2 VMの中断→復帰試験とWardenの隔離VM試験を追加し、Mac/Linuxの検証記録を載せました。本番保護の認定ではなく、agent側停止など未検証も明記。
https://t.co/tPN0mCMEcs
#eBPF