私たちのブログへようこそ。

ミニ・シャイ・フルードが帰ってきた：npm WormがMistralやTanstackを含む160以上のパッケージを検出

5,000人以上のエンジニアが在籍する組織における開発者向けセキュリティの導入

開発者向けのセキュリティ施策の導入が失敗に終わるケースの多くは、文化の変革ではなく、単なるソフトウェアの導入のように設計されているためです。ここでは、この問題を解決するために経験豊富なCISOたちが採用している段階的なモデルを紹介します。

セキュリティの変容：自律型AI攻撃に対応したMythos対応アーキテクチャのチェックリスト

現代の複雑さの中で、アプリケーションセキュリティは行き詰まっている。プロジェクト・グラスウィングやミトス時代においては、直面する脅威と同じスピードで対応できるセキュリティ体制が求められている。

Mini Shai-Hulud、パンを装った秘密情報窃取ツールでSAPのnpmパッケージを標的に

ブラウザ拡張機能をサプライチェーン攻撃の経路として扱うべき時が来た

Vercelでのセキュリティ侵害は、セキュリティ業界ではよく知られたパターンに沿ったものでした。つまり、サードパーティのコードが暗黙のうちに信頼され、その後、上流で侵害されるというものです。私たちには、こうした事態に対処するためのフレームワークがあります。ただ、まだブラウザ拡張機能には適用していないだけです。（ネタバレ：私たちはソフトウェア依存関係これを行っています）

Shai-Huludが復活したのか？ 脆弱性が発見されたBitwarden CLIに、自己増殖型npmワームが含まれている

@bitwarden/cli v2026.4.0 に発見されたマルウェアは、SSH キー、シークレット、AI コーディングツールの認証情報を盗み出し、被害者自身の npm パッケージを通じて拡散します。その正体は、「Shai-Hulud: The Third Coming」と名乗るワームです。

Black Hat USA 2026のおすすめパーティー、サイドイベント、セキュリティ・ミートアップ

Mailcow に複数のクロスサイトスクリプティング（XSS）の脆弱性が確認されました

AikidoのAIペネトレーションテストエージェントは、広く利用されているセルフホスト型メールサーバー「Mailcow」に3つのXSS脆弱性を発見しました。最も深刻な脆弱性では、認証されていない攻撃者がAutodiscoverログにペイロードを注入することが可能であり、管理者がそのログを表示した際に実行され、アカウントの完全な乗っ取りを可能にしていました。これら3つの脆弱性はすべて、バージョン2026-03b以降で修正されています。

Axios CVE-2026-40175：重大なバグだが……悪用は不可能

AxiosのCVE-2026-40175は「重大」と評価されていますが、実際のNode.js環境では実質的に悪用されることはありません。その理由は以下の通りです。

バグ報奨金制度は終わっていないが、従来のモデルは崩壊しつつある

AIがプログラムを圧倒する中、バグ報奨金制度は限界に直面しており、より持続可能で品質重視のセキュリティモデルへの移行が迫られている。

Aikido Attack、Hoppscotchに複数のゼロデイ脆弱性を発見

Aikido Attackは、Hoppscotchに3つの高深刻度の脆弱性を特定しました。具体的には、アカウント乗っ取りにつながるオープンリダイレクト、保存型XSS、およびチーム間リクエストインジェクションを可能にするアクセス制御の不備です。

fast-draft Open VSX拡張機能がBlokTrooperによって侵害される

人気のあるOpen VSX拡張機能が侵害され、攻撃者が制御するインフラからRATや情報窃取型マルウェアを展開するために悪用されました。 そのバージョン履歴を見ると、正常なリリースの間に悪意のあるリリースが混在していることが明らかになっています。