oidong

@flatt_security Growth | OWASP Global AppSec APAC Speaker | ex-AbemaTV PM ← SFC ← 聖光 | 毎週末は家で🍣を握るのが趣味

[GMO Flatt Security株式会社 @flatt_security]

ソフトウェアサプライチェーン攻撃について、開発チームやシステム部門のマネージャー・CxOの方向けに組織的な対策指針を解説するウェビナーを開催します。

・日時：2026/07/15(水) 12:00~13:00
・視聴方法：オンライン
・登壇者：CTO米内 @lmt_swallow

▼お申込はこちら
https://t.co/cL577vSlvD

[Kyohei - OSS, 外資IT @labelmake]

動画を更新しました！昨日登壇したイベントの振り返りと、当日来れなかった人のために自分の登壇をリプレイしましたw
---
OSS開発者は今何をするべきか？ソフトウェアサプライチェーン侵害対策を考える のイベントに登壇しました！ https://t.co/k45Ewrqara @YouTubeより

[GMO Flatt Security株式会社 @flatt_security]

セキュリティエンジニア 佐藤 @Nick_nick310 のブログを公開しました！

GitHub Actionsのセキュリティを全4回で体系的に解説するシリーズを開始します。
第1回は、tj-actionsやnxなどの侵害事例をもとに、初期アクセスの攻撃手法とリスク、防御策を整理しています！

https://t.co/TTvu6U72HW

[oidong @ryoidong]

はじまりました #oss_supplychain

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

🚨【要対応】Mastra のパッケージ群 [@]mastra/<pkg-name> が侵害されています。

・1~2時間前から侵害が起こっています。
・Takumi Guard では公開 10min 前後でブロック済。
・ユーザー被害は今のところ無し。

C2 IPs:
・23[.]254[.]164[.]92
・23[.]254[.]164[.]123

続報、本日ブログ化します

[GMO Flatt Security株式会社 @flatt_security]

セキュリティリサーチャー RyotaK @ryotkak の技術ブログを公開しました。

今回、Claude Code GitHub Actions の権限制御を外部の GitHub Issue 経由でバイパスし、ワークフロー権限を悪用できる脆弱性、並びにそれに付随する設定ミスを発見・報告しました。

当該の脆弱性は v1.0.94 で修正済みですが、設定ミスについては各リポジトリにて対応が必要であるため、当該製品を利用されている場合は設定の見直しと実行ログの確認を推奨します。

https://t.co/6hjfE6xrsb

[GMO Flatt Security株式会社 @flatt_security]

https://t.co/HnCJ6dSZIZ

[GMO Flatt Security株式会社 @flatt_security]

2026年5月22日に発生したLaravel-Langへのソフトウェアサプライチェーン攻撃を掘り下げて解説するウェビナーを開催します。

・日時：5月28日(火) 12:00~13:00
・視聴方法：オンライン
・登壇者：CTO米内 @lmt_swallow

▼お申込はこちら
https://t.co/RQutxaoiHc

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【要対応】GitHub 社に対する侵害が、社員のデバイス内の VSCode Extension 経由で発生し、内部 ~3,800 レポに流出可能性ありとんこと。我々も、まず優先して①拡張機能の最小化＆自動更新無効化、②念のためシークレットのローテ、に取り組んだほうがよさそうです。

[GMO Flatt Security株式会社 @flatt_security]

https://t.co/L6gAe5DN3n

[atpons (あとぽんず) @atpons]

Flatt Security の Ultra Thinking に @lmt_swallow & @ryoidong & @ryusei_ishika
からご招待いただきお話させていただきました。まさに Mini Shai-Hulud の第二波が出た当日で、パッケージマネージャ大変だよねの話から、セキュキャンの様々な話まで、ぜひご覧ください！

[GMO Flatt Security株式会社 @flatt_security]

🎬 Ultra Thinking #14 公開 🧠

ゲストに@atpons さんをお迎えし、驚きの幼少期の思い出からソフトウェアサプライチェーンの話題まで、幅広く話しました！

✅ セキュリティ・キャンプ2026の注目ゼミ
✅️パッケージマネージャーのクレデンシャル管理の難しさ

🔗本編URLはスレッドのリンクから 👇

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【注意】TanStack Router その他 200+ npm パッケージ が侵害されています。流石に影響広そうなので、是非一読＆影響確認ください。なお Takumi Guard ユーザーへの被害は確認されていません。
https://t.co/gkxRpcC6ks

[GMO Flatt Security株式会社 @flatt_security]

本日 5/12 (火) 早朝に発生した、TanStack Router 等の著名 npm パッケージへの侵害（Mini Shai-Hulud 第二波）に関し、概要と対応指針を整理しました。

今回は、第一波に比して影響範囲が大変広い他、余波がまだ続いております。ご注意ください。記事は随時更新いたします。
https://t.co/OYnAOdLh3e

[GMO Flatt Security株式会社 @flatt_security]

昨日発生したBitwardenのnpmパッケージに対するマルウェア混入（ソフトウェアサプライチェーン攻撃）に関して、その概要と対応指針を整理しました。

パスワードマネージャに関連するパッケージ侵害であり、注意が必要です。確認の上、皆様の対応にお役立てください。
https://t.co/fhXp61DEAj

[GMO Flatt Security株式会社 @flatt_security]

🎬 Ultra Thinking #13 公開 🧠

今回は、Anthropicが発表したMythosから、RubyKaigi で今公開中のクイズの実況プレイまで。今週気になった話題を話しました。

✅ 強力なAIモデルはオープンにすべき？
✅ GET権限だけでKubernetesで任意コード実行

🔗本編URLはスレッドのリンクから 👇

[oidong @ryoidong]

RubyKaigi、出展してます&今年います！

[GMO Flatt Security株式会社 @flatt_security]

💎 Takumi GuardがRubyGemsに対応しました！

1コマンドのBundler設定だけで、悪性gemを自動ブロック。
当機能は無料でお使いいただけます。

RubyKaigiのブースではTakumi Guardの通知登録で限定Tシャツを贈呈中！
ぜひお立ち寄りください！

👇 リリースノート
https://t.co/56tXmZq5OJ

[GMO Flatt Security株式会社 @flatt_security]

本日発生したaxiosのnpmパッケージに対するマルウェア混入（ソフトウェアサプライチェーン攻撃）に関して、その概要と対応指針を整理しました。

間接的な依存も多く、広い範囲に影響が出ています。確認の上、皆様の対応にお役立てください。

https://t.co/hesoDSe0fD

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【注意】axios 1.14.1 + 0.30.4 としてマルウェアが公開されています。公開は 9:21 頃で、Takumi Guard でも 11:31 から観測＆ブロックを開始しています。一部ユーザーがダウンロードしてしまっているのも確認しています。何卒ご自衛＆ご確認を🙇

※ 諸都合で初報飛びすぎました、すみません……