私たちのブログへようこそ。

wfx-lootキャンペーンにより、CIシークレット窃取ツールが数万のリポジトリに拡散

乗っ取られたアカウントが相次いでおり、CIシークレット窃取ツールが拡散されています。自身が影響を受けているかどうか、何が盗まれるのか、そしてどのシークレットを更新すべきかを確認してください。

Checkmarx 対 Fortify：SAST 、カスタムルール、および是正措置

Checkmarx 対 Fortify：エンタープライズ向けSAST の比較

CheckmarxとOpenText Fortifyを、SAST の分析深度、言語対応、スキャン性能、CI/CD との統合、レポート機能、および導入オプションの観点から比較します。

Orca Security 対 Wiz：クラウドのリスク、是正措置、およびコスト

Orca Security 対 Wiz：CNAPPプラットフォームの比較

エージェントレスなクラウドスキャン、攻撃経路、ワークロードの可視化、優先順位付け、および企業導入における考慮事項について、Orca SecurityとWizを比較検討してみましょう。

Grype 対 Trivy：コンテナのスキャンと是正措置

Grype 対 Trivy：オープンソーススキャナーの比較

GrypeとTrivy、どちらを選ぶ？セキュリティチーム向けのコンテナおよびパッケージのCVE検出機能、SBOM のサポート、IaCスキャン、CI統合、およびメンテナンス機能を比較してみましょう。

Revenera 対 Snyk：SCA 、ライセンスおよび依存関係の修正

Revenera 対 Snyk：SCA とサプライチェーンのセキュリティ

オープンソースのインベントリ、ライセンスコンプライアンス、脆弱性の検出、SBOM、および是正ワークフローについて、Revenera FlexNet Code InsightとSnykを比較してください。

Checkmarx 対 Veracode：SAST 、ワークフロー、および価格

Checkmarx 対 Veracode：SAST とAppSecの比較

プラットフォームを選択する前に、SAST 、SCA 、開発者のワークフロー、デプロイメント、トリアージ、およびエンタープライズ要件について、CheckmarxとVeracodeを比較検討してください。

Burp Suite 対 OWASP ZAP：どちらがテストワークフローに適しているか？

Burp Suite 対 OWASP ZAP：DAST ツールの比較

Webアプリケーションのテスト、自動化、拡張性、価格設定の観点から、Burp SuiteとOWASP ZAPを比較検討しましょう。商用版またはオープンソース版のDAST がどのような場合に適しているかを確認してください。

Astrix Security 対 GitGuardian：シークレットとNHI Security

Astrix Security 対 GitGuardian：シークレットおよび NHI Security

非人間によるアイデンティティのセキュリティ、シークレットの検知、脆弱性の発見、是正措置、および開発者のワークフローについて、AstrixとGitGuardianを比較します。

gemリストでさえ、他人のコードを実行してしまう可能性がある

Rubyのgemは、インストール時や「gem」コマンド（「gem list」を含む）を実行するたびにコードを実行することがあります。データ漏洩を引き起こす可能性のある4つのgemを確認し、インストール時の実行を無効にしてください。

リポジトリから漏洩した鍵を削除しても、セキュリティは確保されません

GitHubで流出した管理用キーは、数時間以内に削除されたものの、数ヶ月後にLiteLLMで情報漏洩を引き起こしました。Gitの履歴がシークレットを保持し続ける理由と、キーをローテーションしなければならない理由について解説します。

2026年末までサイバーセキュリティを乗り切る

CodeRabbit 対 Greptile：あなたのチームに最適なAIコードレビューツールはどちらか？

CodeRabbit 対 Greptile：AIコードレビューの比較

PRのレビューの深さ、コードベースの文脈、フィードバックの質、連携機能、価格といった観点から、CodeRabbitとGreptileを比較し、最適なAIレビューツールを選びましょう。

LinuxカーネルのTCP脆弱性に重大な脆弱性が存在し、リモートからのコード実行を許す恐れがある（CVE-2026-98432）

Linux カーネルの TCP RCE 脆弱性「脆弱性」（CVE-2026-98432）：修正

CVE-2026-98432 は、深刻度 9.8 と評価された Linux カーネルの TCP に関する重大な脆弱性であり、リモートからのコード実行を許す可能性があります。影響を受けるシステム、修正方法、および今すぐ取るべき措置についてご確認ください。

KubernetesにおけるAIエージェントのセキュリティ：なぜ「プロンプトインジェクション」という用語は適切ではないのか

KubernetesにおけるAIエージェントのセキュリティ | Aikido セキュリティ

Googleのエンジニアであり、シニア・クラウド・デベロッパー・アドボケイトを務めるアブデル・スギウアール氏は、プロンプトインジェクションは「プロンプトポイズニング」と呼ぶべきだと考えている

Googleのエンジニアであり、シニア・クラウド・デベロッパー・アドボケイトを務めるアブデル・スギウアール氏は、プロンプト・インジェクションは「プロンプト・ポイズニング」と呼ぶべきだと考えている。

バイナンスのハッキング事件：開発者のノートPCが侵害されたことが、63億ドルの被害につながる経緯

バイナンスのハッキング事件：開発者のノートPCが、いかにして63億ドルを危険にさらしたのか

バイナンスによると、今回のハッキング事件は、開発者のノートパソコンが不正アクセスを受けたことが発端だった可能性があるという。それがどのように資金の盗難につながったのか、またそれを防ぐ方法について解説します。

バイナンスは、DevOps担当者のノートPCが不正アクセスを受けたことが、63億ドル規模のハッキング事件の発端となった可能性があり、その後、さらなる侵入経路が判明したと述べている。ここでは、1台のノートPCがどのようにして資金を移動させるサービスへとつながるのか、そしてその連鎖の起点となるデバイスをどのように保護すべきかについて解説する。

シェル脆弱性とは？ PHP2Shell、Node2Shell（HTTP2Shell）、React2Shell、Log4Shellについて解説

シェルの脆弱性とは？ | Aikido セキュリティ

シェル脆弱性とは何か、そしてそれらをどのように管理すべきかについて解説します：PHP2Shell、Node2Shell（HTTP2Shell）、React2Shell、Log4Shell

明後日は：PHP2Shellの後、事態はさらに悪化し、その後、防御側が勝利する

PHP2Shell や Brocolli2Shell は、今後発生するであろう多くの脆弱性の前兆である可能性があります。しかし、私たちはそれに備えることができます。

セキュリティチームや開発チームにとって、ここ1週間ほどは厳しい日々が続いています。当初の予測では「脆弱性」による大波が押し寄せると思われていましたが、実際には毎週のように「天が崩れ落ちるような」危機感に襲われています。確かに状況は悪化していますが、それでも防御側の優位性は変わらないと考えています。

「PHP2Shell」の闇：なぜ、情報開示とパッチ適用が連携して加速し始めるのか

PHP2Shellは、AIがいかに迅速にバグを「エクスプロイト」へと変えてしまうかを示しました。なぜこのような形で情報開示が二度とあってはならないのか、そしてなぜそれでもなお繰り返されてしまうのか、その理由を解説します。

Aikido 外部ネットワークのペネトレーションテストを開始

Aikido 外部ネットワークのペネトレーションテストを開始 | Aikido セキュリティ

Aikido 外部ネットワークのペネトレーションテストを開始：AIエージェントが外部からインターネットに接続されたシステムを攻撃し、実際に発見された問題のみを報告しますエクスプロイト。

PHP2Shellを無料で修正する方法 Aikido 画像

PHP2Shellのパッチを無料で適用する Aikido 画像（PHP 5.5～8.5）

PHP2Shell（CVE-2026-109618 および CVE-2026-109619）のパッチを、無料の Aikido PHP 5.5～8.5 向けのイメージをご利用ください。バックポートされた修正プログラムを適用して、現在のバージョンを維持してください。

製品の更新情報

追加 Aikido 既存のセキュリティ体制にAIペネトレーションテストを導入する

追加 Aikido 既存のセキュリティスタックへのAIペネトレーションテストの導入 | Aikido セキュリティ

Aikido SecurityのAIペネトレーションテストは、お客様がすでに運用しているシステム環境にシームレスに統合されます。AIペネトレーションテストを追加することで、決定論的ツールでは見逃されがちな複雑なロジックの欠陥を検出することが可能です。

Aikido SecurityのAIペネトレーションテストは、お客様がすでに運用しているシステム環境にシームレスに統合されます。現在のコードやクラウドセキュリティツールを継続して利用する場合でも、その上にAIペネトレーションテストを追加することで、決定論的ツールでは見逃されがちな複雑なロジックの欠陥を検出することができます。

Node2ShellがHTTP2Shellへと進化しました。Brotliの脆弱性（CVE-2026-111497）の影響範囲は、HTTPを使用する多くのライブラリやアプリに及んでいます。

Node2ShellのBrotli脆弱性（CVE-2026-111497）は、HTTPを使用するライブラリやアプリケーションが影響を受けることから、HTTP2Shellへと発展しています。

Node2Shellの背景にあるBrotliの脆弱性（CVE-2026-111497）は、Brotliまたはbrotlicffiがインストールされており、HTTPを使用している多くのライブラリやアプリケーションに影響を及ぼします。バージョンを確認し、修正済みのバージョンにアップグレードしてください。

Node2Shell の背景にある Brotli の脆弱性（CVE-2026-111497）は、Brotli または brotlicffi がインストールされている Python アプリケーションに影響を及ぼします。バージョンを確認し、修正版にアップグレードしてください。

Node2Shell：Node.jsのBrotli脆弱性にリモートコード実行の脆弱性（CVE-2026-111497）

Node2Shell：Node.jsのBrotli脆弱性にリモートコード実行の脆弱性（CVE-2026-111497）が発見され、修正が適用されました

Node.jsのCVE-2026-111497（Node2Shell）は、Brotliの脆弱性であり、リモートからのコード実行を可能にする恐れがあります。影響を受けるシステム、パッチが適用されたバージョン、および修正方法についてはこちらをご覧ください。

eMudhra CAの脆弱性：8つの秘密鍵のうち、1つが「4」である - CVE-2026-111943

eMudhra CA の脆弱性：8つの脆弱な秘密鍵 - CVE-2026-111943

8つのeMudhra CAキーは、最大256回の試行で推測可能であり、そのうちの1つは単に「4」という数字そのものです。影響を受けるのは誰か、なぜcurlがブラウザの動作を遅くしたのか、そしてその対処法について解説します。

8つのeMudhra中級CA鍵は、最大256回の試行で復元できるほど脆弱に生成されていた。

2026年に向けたソフトウェア・サプライチェーン・セキュリティのベストプラクティス

2026年に向けたソフトウェア・サプライチェーン・セキュリティのベストプラクティス | Aikido セキュリティ

このガイドでは、過去18か月間に発生した攻撃を防ぐことができたであろう、サプライチェーンのセキュリティに関するベストプラクティスについて解説します。

LiteLLMが再び侵害される：バージョン1.107.0から情報窃取型マルウェアとRATが発見された

LiteLLMが侵害される：PyPI 1.107.0に情報窃取型マルウェアとRATが混入

LiteLLM 1.107.0 には情報窃取型マルウェアとRATが含まれており、PyPIはこのパッケージを隔離しました。影響を受けているかどうか、どのような情報が盗まれるのか、そしてどのパッケージを更新すべきかを確認してください。

LiteLLM 1.107.0 にセキュリティ上の脆弱性が発見されました。PyPI に公開されているコンパイル済みホイール7つすべてに、認証情報を盗み出す情報窃取型マルウェアと、永続的なリモートアクセストロイの木馬が含まれています。

PHP2Shell：PHPの重大な脆弱性、影響を受けるバージョン、および修正方法 | CVE-2026-109618 および CVE-2026-109619

PHP2Shell：パッチとフリー画像を用いたPHPのRCEの修正方法

PHPの重大な脆弱性により、攻撃者はパッチが適用されていないサーバー上でリモートからコードを実行できてしまいます。影響を受けるバージョン、パッチ、対策、および自身のシステムが影響を受けているかを確認する方法については、こちらをご覧ください。現在、2つのPHP RCEの脆弱性（CVE-2026-109618、CVE-2026-109619）が悪用されています。更新すべきバージョンや、今日中にパッチを適用できない場合の対処法については、以下をご覧ください。

PHPの2つの重大なRCE脆弱性（CVSS 9.2）に対してパッチが公開され、すでに悪用事例が報告されています。パッチを適用していないすべてのPHPバージョンが影響を受けます。更新方法および無料のパッチ適用済み Aikido 画像の活用方法については、こちらをご覧ください。

2026年のメールセキュリティソフトウェアプラットフォームベスト10

フィッシング、BEC、自動応答機能に加え、研修、デバイス、AIの活用を通じた従業員保護の観点から、10のメールセキュリティプラットフォームを比較します。

2026年に注目すべきフィッシングシミュレーションツール9選

メール、音声、SMS、ディープフェイクを用いたリアルな演習、適応型トレーニング、および従業員全体の保護を実現する9つのフィッシングシミュレーションツールを比較します。

2026年に注目すべきKnowBe4の代替ツール9選

2026年に注目すべきKnowBe4の代替サービス・競合他社9選

意識向上トレーニング、フィッシングシミュレーション、AIガバナンス、従業員保護のための9つのKnowBe4代替ソリューションを比較し、実用的な移行アドバイスもご紹介します。

2026年に注目すべきセキュリティ意識向上トレーニングプラットフォーム8選

役割に応じた学習、AIによる脅威、フィッシングシミュレーション、および全従業員を対象とした保護機能を備えた、8つのセキュリティ意識向上トレーニングプラットフォームを比較します。

2026年に注目すべきMimecastの代替サービス8選

2026年に注目すべきMimecastの代替サービス・競合他社8選

メールセキュリティ、AIガバナンス、従業員研修、アーカイブ機能を提供する8つのMimecast代替ソリューションを比較し、移行計画に役立つ実践的なアドバイスをご紹介します。

Aikido 「Noon」をリリース：すべての従業員を対象とした労働力セキュリティ

Aikido 人材セキュリティ事業「Noon」を立ち上げました。AIガバナンス、デバイスおよびメールの保護、AIを活用したフィッシングやディープフェイク対策のトレーニングを提供します。

私たちは Aikido 開発者を守るために構築しました。本日、AIを活用したフィッシングやディープフェイクから、セキュリティチームには検知できないAIツールに至るまで、その他すべての人々を守るために「Noon」をリリースします。

年1回のペネトレーションテストでは対応しきれない。同じ予算でテストの回数を増やそう | Aikido セキュリティ

76％のチームが毎週大規模な変更をリリースしていますが、リリースごとにテストを行っているのはわずか21％に過ぎません。ここでは、セキュリティ予算を増やすことなく、AIを活用したペネトレーションテストがそのギャップを埋める方法をご紹介します。

AIを活用したペネトレーションテストにより、セキュリティチームは予算を増やすことなく、より頻繁にテストを実施できます。定額料金制とコスト予測によって、コストを予測可能に保つ仕組みについてご紹介します。

そのCVEにはアクセス可能です。しかし、実際に悪用される可能性はあるのでしょうか？

アクセス可能なCVEであっても、アプリでは安全である可能性があります。「アクセス可能性」と「悪用可能性」の分析を比較することで、どの依存関係の脆弱性を優先して修正すべきかを判断する手助けとなります。

2026年の攻撃的セキュリティ分野における、Escape.techの主要な代替ツール

2026年のEscape.techの主要な代替サービス

2026年の攻撃的セキュリティ分野における、Escape.techの主要な代替サービスを比較します： Aikido Security、XBOW、RunSybil、Terra、Burp Suite Professional、Invicti、StackHawk、Hadrian、Pentera

2026年のAIペネトレーションテスト向けHorizon3の代替ツールトップ | Aikido セキュリティ

2026年のHorizon3の代替ツールトップ3

2026年のAIペネトレーションテスト向け、Horizon3の主要な代替ツールを比較します： Aikido Security、Pentera、RidgeBot、XBOW、Hadrian、RunSybil、Terra

Drataおよび Aikido：コンプライアンス・ワークフローに組み込まれた、監査対応型のペネトレーションテスト

Drataと Aikido AIペネトレーションテストをコンプライアンスワークフローに導入しましょう。検証済みの調査結果、監査対応済みのレポート、そして最大4,000ドル分の無料ペンテストクレジットを獲得できます。

Drataと Aikido Drataを活用して、AIペネトレーションテストをコンプライアンスワークフローに組み込みましょう。検証済みの調査結果、監査対応済みのレポートに加え、Drataを初めてご利用のお客様には、最大4,000ドル分のペンテスト無料クレジットが提供されます。

Aikido セキュリティ部門は、CRESTの認定を取得しました

Aikido Securityは、ペネトレーションテストのCREST認定を取得しました | Aikido セキュリティ

銀行や政府機関への販売をお考えですか？ Aikido 現在、CREST認定のペネトレーションテストに加え、監査の合間に行われるAIペネトレーションテストも提供しています。

脆弱性の修復とは？ | Aikido セキュリティ

脆弱性の修復とは何ですか？

脆弱性による修正が各種類の欠陥に対してどのように機能するか、また、依存関係をアップグレードしたことでビルドが失敗した場合や、アップグレードが不可能な場合の対処法について学びましょう。

2026年のエンタープライズチーム向け、開発者向けセキュリティツールトップ6

2026年、エンタープライズチーム向け開発者向けセキュリティツールトップ6 | Aikido セキュリティ

エンタープライズチーム向けの主要な開発者向けセキュリティツールを、シグナルの品質、ガバナンス、および是正措置の観点から比較します： Aikido Security、Snyk、GitHub Advanced Security、SonarQube、Checkmarx、およびEndor Labs

2026年のFedRAMP準拠セキュリティツールトップ

2026年のFedRAMP準拠セキュリティツールランキング | Aikido

2026年のFedRAMP準拠セキュリティツール上位製品を比較します： Aikido 政府向けには、Checkmarx One for Government、Qualys、Rapid7 InsightGovCloud、Snyk for Government、Tenable、Wiz for Government

TensorLakeのNPMパッケージがShai Huludワームに感染した

TensorLake 0.5.144 で悪意のあるコードが検出されました

どのように Aikido が、SOC 2 タイプ1およびタイプ2の要件を満たすのにどのように役立つか

SOC 2 タイプ1およびタイプ2への準拠 Aikido

SOC 2 タイプ 1 およびタイプ 2 監査への対応方法について Aikido SLAの追跡、CI/CD のゲート、およびエクスポート可能な監査証拠を生成するクラウドチェックを通じて、SOC 2 Type 1およびType 2監査にどのように対応しているかをご確認ください。

2026年の脆弱性対策ツール・トップ | Aikido

2026年の脆弱性対策ツール・トップ選

2026年の脆弱性向け主要な是正ツールを比較します： Aikido Security、Snyk、GitHub Advanced Security、Tenable、Qualys、およびWiz

2026年の主要な脅威インテリジェンス・フィード | Aikido セキュリティ

2026年の主要な脅威インテリジェンス・フィード

2026年の主要な脅威インテリジェンス・フィードを比較します： Aikido Intel、Socket Threat Feed、Snyk Security Database、OSV.dev、およびSpectra Intelligence（ReversingLabs）

2026年の開発者向けトップエンドポイントセキュリティツール

2026年の開発者向けトップエンドポイントセキュリティツール | Aikido

2026年の開発者向けエンドポイントセキュリティツール上位製品を比較します。今回取り上げるのは Aikido Security、GitGuardian Developer Endpoint Protection、Koi Security、Socket、CrowdStrike Falcon

Aikido Node.jsのセキュリティ対策に資金を提供

Aikido OpenJSによるNode.jsのセキュリティ対策への資金提供の取り組みに加わる

Aikido OpenJSの「セキュリティ・スチュワードシップ・プログラム」の創設パートナーであり、Node.jsのバグ報奨金制度やメンテナー支援に資金を提供しています。

Aikido OpenJSの「セキュリティ・スチュワードシップ・プログラム」に創設パートナーとして参加し、Node.jsのセキュリティ強化に向け、バグ報奨金やメンテナー支援に資金を提供しています。

Aikido セキュリティ部門がFedRAMP「中程度」の認定を取得

Aikido FedRAMP「Moderate」認証を取得し、AIネイティブかつ自動化された脆弱性の修正機能を米国連邦政府機関に提供することとなった。

2026年のCodeQLの主要な代替ツール | Aikido

2026年のCodeQLの主要な代替ツール

ノイズ、修正状況、コストなどの観点から比較した、CodeQLの主要な代替ツール： Aikido Security、Semgrep、Snyk Code、SonarQube、Checkmarx、Veracode

2026年のGreptileの代替サービストップ | Aikido

2026年のGreptileの代替サービストップ

2026年のGreptileの主要な代替ツールを、カバー範囲、ノイズ、レビューの詳しさなどの観点から比較します： Aikido Security、CodeRabbit、Qodo、Graphite、SonarQube、CodeAnt AI

新たな「supplychain.local Go」ワームが出現

MemTensorのnpmおよびPyPIリポジトリが「supplychain.local」マルウェアの被害を受ける

「supplychain.local」：MemTensorのnpmプラグイン（0.1.21、0.1.23）およびPyPIのMemoryOS（2.0.34）から悪意のあるコードが発見されました。

「サイバーレジリエンス法」がついに施行！よくある誤解と第一印象

「サイバーレジリエンス法（CRA）」の最初の期限が、2026年9月11日に迫りました。新たな「単一報告プラットフォーム」の概要と、CRAに関する4つのよくある誤解を解き明かします。

GitLabにメールを送信し、mainブランチにプッシュする

GitLabでは、イシューを作成するための専用のメールアドレスが提供されます。このメールアドレスが漏洩した場合、それを入手した者は誰でも、公開プロジェクトおよび非公開プロジェクトを問わず、コードをプッシュしたり、CI/CD のジョブを実行したり、IP制限を回避したりすることが可能になります。

Graphalgoの取り組みが、TerraformプロバイダーやGoモジュールにも広がっている

マルウェア「Graphalgo」がTerraformとGoに拡散

Aikido TerraformプロバイダーおよびGoモジュール内に、Graphalgoに関連するGoマルウェアを発見した。このマルウェアは、標的を絞ったトリガー、Slack、およびブロックチェーンを介したC2通信を利用していた。

マルウェア「Graphalgo」は、Go言語にも拡散しており、2つのTerraformプロバイダーと2つのGoモジュールに検出されています。

Aikido そしてDeel：一度設定すれば、すべての採用が安全に

Deelを通じて人材を採用すれば、コード、クラウド、デバイスに関する対応が自動的に行われます。

ご紹介 Aikido Altar：主権的なセキュリティインテリジェンスを実現するモデル

Aikido Altar：主権の安全保障のためのオープンウェイトAI

Aikido Altarは、国家のセキュリティインテリジェンス向けに構築された、圧縮型でオープンウェイトのAIモデルであり、 Aikido Machineのオンプレミス型、エアギャップ環境でのペネトレーションテストを支えています。

Altarは、当社初のオープンウェイトAIモデルであり、主権的なセキュリティインテリジェンスに向けた第一歩です。これは顧客自身のインフラ内で完全に稼働し、 Aikido Machineの自律型ペネトレーションテストを可能にし、コードが社外へ流出することは一切ありません。

2026年のオンプレミスAIペネトレーションテストツールランキング

2026年オンプレミスAIペネトレーションテストツールランキング | Aikido セキュリティ

規制対象チーム向けの2026年最高のオンプレミスAIペネトレーションテストツール――エアギャップ対応、ホワイトボックスの深度、アプリケーションのカバー範囲を比較

規制対象チーム向けの2026年最高のオンプレミスAIペネトレーションテストツールを、エアギャップ対応、ホワイトボックスの深度、アプリケーションのカバー範囲の観点から比較しました。各ツールがどのような場面に適しているかをご覧ください。

Aikido アプリケーションセキュリティ分野におけるAWSセキュリティコンピテンシーを取得

AWSは Aikido 「アプリケーションセキュリティ」分野のセキュリティ・コンピテンシーを授与し、 Aikido コードからクラウド、そして実行環境に至るまで、アプリケーションをどのように保護しているかを裏付けるものです。

AWSが私たちの取り組みを評価し、私たちは正式に「アプリケーションセキュリティ」分野のAWSセキュリティ・コンピテンシー・パートナーに認定されました。

AIを活用したコード支援ツールのトップQodo代替案

2026年のQodoの代替サービス比較

2026年にAIコードレビューを行う上で最適なQodoの代替ツールを、ノイズ、セキュリティ、コストの観点から比較しました。これにより、チームに最適なツールを選ぶことができます。

2026年のクラウドネイティブセキュリティにおける、Aqua Securityの主要な代替ソリューション

2026年のAqua Security代替サービストップ6の比較

2026年のAqua Securityに代わる最良の代替製品を比較： AikidoWiz、Prisma Cloud、Sysdig、Orca、CrowdStrikeを、カバー範囲、導入方法、価格、適合性という観点から比較します。

Dependabot 対 Renovate (2026)：どちらを使うべきか？

Dependabot 対 Renovate

Dependabot と Renovate を、セットアップ、モノリポジトリ、プラットフォーム、セキュリティの観点から比較するとともに、自動更新では実際に悪用可能な箇所を見逃してしまう理由についても解説する

大手ソフトウェア企業で相次ぐCVEの急増は、是正措置に関する問題である

大手ソフトウェア企業各社でCVEの件数が増加しており、連邦政府の監査によると、NISTでさえその対応に追いつけていないことが明らかになりました。ここでは、開示件数ではなく、是正措置のスピードこそが、実際に重要な指標である理由を解説します。

今月、21社の主要ソフトウェア企業においてCVEが急増していることを示すグラフが話題となり、業界はこの意味を巡って二つの陣営に分かれて議論を繰り広げた。しかし、どちらの陣営も、実際にリスクを決定づける数値、すなわち「重要な脆弱性がどれほどの速さで修正されるか」という点を看過している。

ジェイソン・ハディックス：AIによるペネトレーションテストを恐れるのはやめよう

ジェイソン・ハディックス：ペネトレーションテストの90％はAIによって行われるようになる

ジェイソン・ハディックスが、手動によるペネトレーションテストが追いつかない理由、最初に失われるもの、そしてAIによるペネトレーションテストが機能する理由として「人間による手法」が重要な理由について語る

pub.dev に掲載されている改ざんされた Flutter パッケージに、XCSSET マルウェアが含まれている

pub.dev上で、改ざんされたFlutterパッケージ内にXCSSETマルウェアを検知しました。ここでは、感染の連鎖、拡散モジュール、およびパッケージ内で確認された情報窃取ロジックについて、詳細に解説します。

Shai-Huludのnpmペイロードが111日後に戻ってきた

シャイ・フルード、111日ぶりに蘇る

既知のShai-Huludワームのペイロードが111日間休眠状態にあった後、npmに再公開され、これを検知するためのマルウェアスキャンをすり抜けてしまった。

5月に公開された「Shai-Hulud」のペイロードが、npmに再び出現しました。ハッシュ値は同じで、変更点もなく、本来なら検知されるはずだった公開時のスキャンをすっぽりとすり抜けてしまいました。

StyleSmugglerの修正：MagentoおよびAdobe CommerceのRCEに対するパッチ適用

StyleSmugglerの修正：MagentoおよびAdobe CommerceのRCEに対するパッチ

StyleSmugglerは、MagentoおよびAdobe Commerceを標的とする認証不要のRCE攻撃であり、現時点でCVEは割り当てられておらず、Adobeによるパッチもまだ公開されていません。 Aikido すでに修正済みです。

StyleSmugglerが現在、MagentoとAdobe Commerceを襲っており、Adobeは依然として修正プログラムを公開していません。ここでは、すでに用意されているパッチとその仕組みについてご紹介します。

Dirty Frag (CVE-2026-43284)：読み取りアクセスからroot権限を取得してしまうLinuxカーネルのバグ

Dirty Frag (CVE-2026-43284): Linux での権限昇格 | Aikido

「Dirty Frag」は、権限の低いLinuxアクセスをroot権限に変換し、コンテナからの脱出も可能にします。影響を受けるCVE、脆弱性の有無を確認する方法、および修正方法について解説します。

2026年のコンテナおよびクラウドスキャン向け、Trivyの主要な代替ツール

2026年の「Trivy」に代わるおすすめアプリ：比較

2026年版として、コンテナスキャン、IaC、SAST 、優先順位付け、修正といった観点から、Trivyの代替ツール6つを比較し、それぞれが実際にどのような場面に適しているかを検証しました。

SLA違反をなくす：修正プログラムがリリースされる前に脆弱性を修正する方法

SLAの期限が迫っており、その依存関係にはパッチが適用されていません

使用方法 Aikido ライブラリを活用して、脆弱性のある依存関係にパッチを適用し、セキュリティSLAを満たす方法。

依存関係の脆弱性に対するセキュリティSLAを満たす方法について、 Aikido Libraries を活用し、安全でバックポートされたパッチを適用することで、依存関係の脆弱性に対するセキュリティSLAを満たす方法を学びましょう。

「メッチャ・カメレオン」はRCEから隠れることはできない

MECCHA CHAMELEONにおいて、2件目の遅延型RCEを発見しました。悪意のあるカスタムマップを使用すると、システム上の任意の場所にファイルを書き込んだり、再起動後にコードを実行したりすることが可能でした。これはバージョン4.0.0で修正済みです。

2026年のDSPMツールランキング：比較・順位付け

2026年のトップDSPMツール

2026年の主要なDSPMツールを比較： Aikido、Wiz、Cyera、Varonis、Orcaの各ツールについて、データアクセス、是正措置、および脆弱性の特定方法の観点から比較します

2026年の主要なDSPMツールを比較します。 Aikido、Wiz、Cyera、Varonis、Orcaについて、データアクセス、是正措置、および脆弱性の検出方法の観点から比較します

文字列ベースのルールでは、すでに確認されているマルウェアしか検知できません。サプライチェーン攻撃を発見するには、行動分析による検知が有効です。

サプライチェーン検知の闇

Docker イメージのセキュリティ確保：強化、パッチ適用、およびメンテナンス

Dockerイメージのセキュリティ対策

コンテナの脆弱性のほとんどは、ベースイメージに起因しています。Dockerイメージを強化する方法、強化作業が継続的なものである理由、そしてすでに実行中のベースイメージにパッチを適用する方法について解説します。

TeamPCP、さようなら。さあ、ここからが本番だ。

TeamPCPによる逮捕は、同組織が浮き彫りにしたサプライチェーンのリスクを解決するものではない

AFP、FBI、およびワシントン州警察は、「TeamPCP」の背後にいるとされる2人の男を起訴した。チャーリー・エリクセンが、今回の逮捕によって「TeamPCP」が暴いた問題が解決されたわけではない理由について解説する。

オーストラリア連邦警察（AFP）、FBI、西オーストラリア州警察による数ヶ月にわたる国境を越えた共同捜査の結果、TeamPCPのメンバーとされる2人の男が起訴された。 Aikidoチャーリー・エリクセン記者が、なぜ今回の摘発だけではTeamPCPが露呈させたソフトウェアサプライチェーンの脆弱性が解消されないのかを解説する。

Minimusはサービスを終了します。 Aikido、Chainguard、Docker Hardened Images、RapidFort、Echoを比較し、再びロックインされないような強化イメージの代替サービスを選んでください。

2026年のMinimusの代替製品トップ

Aikido セキュリティ部門、AIガバナンスに関するISO 42001:2023認証を取得

Aikido ISO 42001認証を取得 | AIガバナンス

Aikido セキュリティ部門は、AIガバナンスに関する国際規格であるISO 42001の認証を取得しました。この認証は、AIペネトレーションテスト、コードセキュリティ監査、および詳細なPRレビューを網羅しています。

ソフトウェアのサプライチェーンセキュリティには、デフォルト設定ではなく、適切な判断が求められる

ソフトウェア・サプライチェーンのセキュリティ：デフォルト設定ではなく、意思決定を

ほとんどのソフトウェアは、誰も決定していないことの上に成り立っています。ゲート処理、ピンニング、バックポート、そしてSBOM の維持管理が、実際に誰かが責任を持って管理している場合にのみ機能する理由について話し合います。

xz-utils のバックドア。lodash のビルド不具合。これらはいずれも、バージョン番号を「選択肢」ではなく「既定値」として扱ってしまうという同じ習慣に起因しています。ここでは、デフォルト設定を鵜呑みにするのではなく、自ら判断を下すために実際に何が必要かについて、私たちの考えを述べます。

Aikido Androidアプリ向けのエージェント型ペネトレーションテストを開始

Androidのペネトレーションテスト、エージェント型かつ自律型に | Aikido

Aikidoペンテストの担当者が、Androidアプリとそのバックエンドを1回のホワイトボックス評価で検証します。再現可能な検証結果、AutoFix、および各問題に対する再テストが提供されます。

Aikido 現在、攻撃者が行うのと同じ手法でAndroidアプリの自律型ペネトレーションテストを実施しており、1回の評価でアプリとそのバックエンドを網羅し、AutoFix機能と再テスト機能も組み込まれています。

私たちは、ネット上で話題になったAIジムハッキングを、管理された環境下で再現しました。OpenClaw上でOpus 4.6を実行したところ、このモデルは10回の試行のうち9回で予約システムの脆弱性を悪用しました。

どのようにして Aikido Mythosの半分のコストで、より多くの脆弱性を発見する

どのようにして Aikido Mythosを活用することで、Claude Securityよりも多くの脆弱性を、半分のコストで発見できる

Aikido AI Code Auditは、Mythosを活用したClaude Securityよりも8件多くの脆弱性を発見し、そのコストは半分以下でした。設計の活用が、1ドルあたりのカバレッジ向上にどのように寄与するか。

Aikido Code Security Auditは、Mythosを使用したClaude Securityよりも8件多くの脆弱性を発見し、そのコストは半分以下でした。設計の活用が、1ドルあたりのカバレッジをどのように高めるかをご覧ください。

シャイ・フルードは、サプライチェーンのセキュリティにとって最高の出来事だった

npm Trusted Publishingは、リリース後しばらくの間、ほとんど利用されませんでした。その後、Shai-Huludをはじめとする14件のサプライチェーン攻撃が発生したことで、その採用率は3.4倍に跳ね上がりました。チャーリーがその背景にあるデータを分析しています。

npm Trusted Publishingは2年間、ほぼ利用されない状態が続いていました。その後、Shai-Huludをはじめとする14件のサプライチェーン攻撃が発生し、その採用率は3.4倍に跳ね上がりました。チャーリーがその背景にあるデータを分析します。

2026年版主要なイメージハードニングツール：7つの製品を比較

2026年の主要なイメージハードニングツール

2026年のイメージハードニングツールの比較： Aikido、Chainguard、Docker、RapidFort、Echo、Minimus、およびWiz

2026年のアプリケーションセキュリティに最適なエンタープライズ向けAIペネトレーションテストツール

2026年のエンタープライズ向けAIペネトレーションテストツールベストセレクション

2026年のエンタープライズ向けAIペネトレーションテストツールのトップ製品を比較： Aikido、XBOW、NodeZero、Pentera、Hadrian、Cobalt。

CVEの修正とは、使用しているソフトウェアの既知の欠陥を修正することです。アップグレードが失敗しがちな理由、修正作業の具体的な内容、そしてバックポートがどのように問題を解決するのかについて解説します。

2026年のCVE対策とは何でしょうか？

2026年のCVE対策とは？

最適なサイバーAIモデルを見つけるために、117億トークンをバーンしました

最適なサイバーAIモデルを見つけるため、117億トークンをバーンしました | GLM5.3とDeepSeekが新たな最先端となりました

32件の新規CVEに対して10種類のAIモデルをテストしました。DeepSeek V4 Proは28件を検出しており、3回の簡易実行だけで、Opus 5やGrokの1回の実行を上回る検出率を達成しました。

AIペネトレーションテストの評価チェックリスト：AIペネトレーションテストベンダー選びのポイント

AIペネトレーションテスト業者選定チェックリスト：注目すべきポイント

検証、コードへのアクセス、スコープ管理、信頼性といった観点から、AIペネトレーションテストベンダーを評価するためのチェックリストに加え、本物のプラットフォームと単なる見栄えの良いデモを見分けるための危険信号について解説します。

GogsでまたしてもRCEが発生しましたが、今回は修正されました！

CVE-2026-52813 | ある Aikido ペネトレーションテスト用エージェントにより、Gogsにおけるパストラバーサルが検出されました。これを完全なRCE（リモートコード実行）にエスカレートさせ、さらに2つのバグを報告しました。これらはすべてバージョン0.14.3で修正されています。

2026年の主要なエンタープライズ向けSCA ツール

2026年版エンタープライズ向けSCA ツールランキング | Aikido

2026年のエンタープライズ向けSCA ツールの比較： AikidoSonatype、Snyk、Endor Labs、Checkmarx、Black Duck、Veracodeの各製品を、インテリジェンス、是正措置、コンプライアンスの観点から比較。

2026年の主要なエンタープライズ向けDAST ツール

2026年の企業向けDAST ツール・トップ | Aikido

2026年の主要なエンタープライズ向けDAST ツールを、認証済みカバレッジ、API 検出、エクスプロイト検証、ガバナンス、コンプライアンス、およびAIペネトレーションテストの観点から比較します。

2026年のトップ統合セキュリティツール | Aikido

2026年のトップ統合セキュリティツール

2026年のトップ統合セキュリティツールを比較： AikidoCortex Cloud、Wiz、Checkmarx、Snyk、Orcaの各製品を、対象範囲、相関分析、ガバナンス、コストの観点から比較します。

Hugging FaceからFableまで：この夏は、AIの「制御」が「信頼」よりも重要であることを示している

AIセキュリティ：なぜ「制御」が「信頼」よりも重要なのか

Hugging Faceでの自律型AIによるセキュリティ侵害と、Anthropicによる「Fable」の運用停止は、同じことを示している。つまり、ベンダーを信頼することと、自ら制御していることとは別物だということだ。

あるAIエージェントが、自力でHugging Faceに侵入した。あるAIベンダーのアクセス権限が一夜にして消滅した。これらに共通する点とは何か。

実際に必要なセキュリティテストツールはどれでしょうか？

各段階で脆弱性を発見する：何を、いつ実行すべきか

SAST、「Deep PR Review」、「Code Security Audit」、そして「AIペンテスト」は、それぞれ異なる段階で異なる脆弱性を検出します。ここでは、それぞれの活用タイミングとその理由について説明します。

SAST、「Deep PR Review」、「Code Security Audit」、そして「AIペンテスト」は、それぞれ異なる段階で脆弱性を検出します。ここでは、それぞれをいつ、どのような理由で活用すべきかについて説明します。

ハーネス・エンジニアリングとは？ | AIハーネスとAIセキュリティへの影響

AIハーネスエンジニアリングとは何ですか？

ハーネスエンジニアリングとは、AIモデルをエージェントとして機能させるためのコードのことです。ハーネスの役割、モデルを単に選ぶよりも優れている理由、そしてその構築方法について解説します。

この攻撃の背後にいたのは誰だったのか？　おそらく誰もいないのだろう

この攻撃の背後にいたのは誰か？　おそらく誰もいない | Anthropic、OpenAI、およびAISIによる自律エージェントによる攻撃

この夏、人間の関与が一切ない状態でAIエージェントが実際の組織を攻撃した事例が3件報告された。インシデント対応の枠組みには、まだこうしたケースに対応する項目が設けられていない。

The Aikido Machine：ネットワーク外に出ることのないオンプレミス型AIペネトレーションテスト

Aikido マシン：オンプレミス型AIペネトレーションテストサーバー | Aikido セキュリティ

クラウドを利用できないチーム向けの継続的なAIペネトレーションテスト。この Aikido Machineは、モデル、コード、結果をすべてお客様のネットワーク内に完全に保持します。

規制の厳しい組織のネットワーク内で実施される継続的なAIペネトレーションテスト。ベルギーの銀行・保険会社であるベルフィウスが、これを導入した最初の企業となった。

Keyvとその仲間たちがnpmのサプライチェーン攻撃の被害に遭った

2026年8月4日、攻撃者がメンテナンス担当者のGitHubアカウントを乗っ取ったことを受け、keyvおよび関連する8つのnpmパッケージに「Mini Shai-Hulud」マルウェアが仕込まれた。

ありがとうございました！あなたの投稿は受理されました！

あれ！フォームの送信中に何か問題が発生しました。

2026年7月14日

•

ガイドラインと推奨事例

サプライチェーン攻撃に対する防御策：実践的なチェックリスト

最近のソフトウェアサプライチェーン攻撃の急増に対する、優先順位付けされた30の防御策。「重大」、「高」、「中」の3段階で評価されている。

タグ/

#ソフトウェアサプライチェーンセキュリティ

#オープンソース

2026年7月13日

•

ニュース

AIによるコード生成や「バイブ・コーディング」を活用して、コード品質基準を維持する方法

Vibe Codingは機能を迅速にリリースし、レビューの遅れを解消します。ルールごとのコード品質チェックをベンチマーク化することで、プルリクエストやリポジトリを問わず、チームに一貫した結果を提供する仕組みをご覧ください。

タグ/

#コード品質

#Vibe Coding

#AI

2026年7月9日

•

脆弱性と脅威

改ざんされた @injectivelabs/sdk-ts は、偽のテレメトリを通じてウォレットの鍵を外部へ流出させる

@injectivelabs/sdk-ts の悪意のあるリリースでは、「使用状況のテレメトリ」と表示されたコード内にウォレットキー窃取コードが隠され、さらに17のnpmパッケージに拡散されました。その仕組みと、プロジェクトを確認する方法について説明します。

タグ/

#マルウェア

#オープンソース

2026年7月9日

•

ガイドラインと推奨事例

AIペネトレーションテスト購入ガイド：AIペネトレーションテストベンダーの評価方法

実用的な選定基準、1,000件以上のAIペネトレーションテストに関する調査結果、および評価チェックリストを活用して、AIペネトレーションテストベンダーを評価する方法をご紹介します。

タグ/

#AI ペネトレーションテスト

2026年7月6日

•

脆弱性と脅威

Rocket.Chat における MongoDB の ObjectId の継続的な予測

AikidoのAIペネトレーションテスターが、Rocket.Chatにこのファイルアクセス上の脆弱性を発見しました。MongoDBのObjectId()を詳しく調べたところ、悪用を可能にするランダム性の低さが明らかになりました。

タグ/

#脆弱性

#AI ペネトレーションテスト

#オープンソース

2026年7月4日

•

脆弱性と脅威

phpBBのデフォルト設定における認証バイパス

当社のAIペンテスト、phpBBの重大な認証バイパス（CVE-2026-48611）を発見しました。認証されていないリクエストを1回送信するだけで、任意のアカウントにログインできてしまいます。エクスプロイト修正方法についてはこちらをご覧ください。

タグ/

#AI ペネトレーションテスト

#脆弱性

2026年7月1日

•

ニュース

そしてもう一つ。GitHubが「緊急時の認証情報無効化」機能を提供開始

GitHub Enterpriseでは、1回の操作でアカウントのすべての認証情報を無効にできるようになりました。Trivyによる攻撃や、マイクロソフト自身が経験したdurabletaskの侵害事例は、この機能がなぜこれほど長く待たれていたのかを如実に示しています。

タグ/

#GitHubのセキュリティ

2026年6月26日

•

ニュース

npmは現在、リスクの高いアカウント変更が行われた場合、影響の大きいアカウントを凍結するようになっています

npmの新しい「72時間のアカウント凍結」について、その発動条件、凍結によって制限される内容、および「trusted publishing」や「staged publishing」との連携の仕組みを解説します。

タグ/

#NPM

#オープンソース

2026年6月25日

•

ニュース

みんな、自分でも読めないコードを送り合っている

AIのおかげで、今では誰もが開発者となり、熟練した目による入念なレビューを経ずに多くのコードがリリースされています。

タグ/

#AI

#Vibe Coding

2026年6月24日

•

脆弱性と脅威

改ざんされた GitHub アクション「codfish/semantic-release-action」がCI/CD シークレット盗み出す

codfish/semantic-release-action は 2026年6月24日に侵害されました。攻撃者は、v2～v5 のタグを、CI/CD シークレット標的とした Miasma の認証情報窃取ペイロードにリダイレクトしました。以下に、発生した事象と、影響を受けているかどうかを確認する方法について説明します。

タグ/

#オープンソース

#マルウェア

2026年6月23日

•

会社の最新情報

Aikido x Drydock | メンテナンス担当者がマルウェアのリリース前にそれを検知する方法

Aikido はDrydockと提携し、npmおよびPyPIのメンテナーが、リリースが公開される前にその内容を正確に確認できるようにしています。マルウェアは、公開後ではなく、公開前に検知しましょう。

タグ/

#NPM

#PyPI

#お知らせ

#オープンソース

2026年6月18日

•

Aikido

Aikido x OWASP：個人会員向けに200クレジットを無料提供

OWASPの個人会員は200を無料で利用できます Aikido クレジットを無料で受け取り、コード監査を実行できます。2つのステップで受け取る方法は以下の通りです。

タグ/

アイテムが見つかりませんでした。

製品・会社の最新情報

2026年10月20日

•

会社の最新情報

Aikido 「Noon」をリリース：すべての従業員を対象とした労働力セキュリティ

2026年10月6日

•

会社の最新情報

Aikido セキュリティ部門がFedRAMP「中程度」の認定を取得

Aikido FedRAMP「Moderate」認証を取得し、AIネイティブかつ自動化された脆弱性の修正機能を米国連邦政府機関に提供することとなった。

2026年9月21日

•

会社の最新情報

ご紹介 Aikido Altar：主権的なセキュリティインテリジェンスを実現するモデル

脆弱性と脅威

2026年11月12日

•

脆弱性と脅威

wfx-lootキャンペーンにより、CIシークレット窃取ツールが数万のリポジトリに拡散

マルウェア

2026年11月2日

•

脆弱性と脅威

LinuxカーネルのTCP脆弱性に重大な脆弱性が存在し、リモートからのコード実行を許す恐れがある（CVE-2026-98432）

2026年10月22日

•

脆弱性と脅威

eMudhra CAの脆弱性：8つの秘密鍵のうち、1つが「4」である - CVE-2026-111943

DevSecツールと製品比較

2026年8月28日

•

DevSecツールと製品比較

2026年版Software Composition Analysis (SCA) ツールトップ10

SCAツールは、オープンソースセキュリティにおける最善の防御策です。本記事では、2026年版のオープンソース依存関係スキャナートップ10を解説します。

ツール

SCA

2026年8月25日

•

DevSecツールと製品比較

2026年版主要なSonarQubeの代替ツール

2026年に静的コード解析、バグ検出、クリーンコードの実現に役立つ、SonarQubeの主要な代替ツールを探ってみましょう。

ツール

2026年8月19日

•

DevSecツールと製品比較

2026年の動的アプリケーションセキュリティテスト（DAST ）ツールトップ10

2026年のダイナミック・アプリケーション・セキュリティ・テスト（DAST ）ツール、トップ10をご紹介します。機能、長所、短所、連携機能を比較して、最適なDAST ソリューションを選びましょう。

ツール

DAST

ガイドラインと推奨事例