※2026/03/25（水）「GitHub Actions・Docker Hub・npm・PyPIに波及：Trivyサプライチェーン攻撃の影響確認ガイド」を追加で公開しています。 注意: 本レポートは 2026年3月22日 23:00 JST（14:00 UTC）時点の情報に基づく。本インシデントは調査が続いており、情報が更新される可能性がある。最新の状況は Aqua Security の公式アドバイザリ（https://github.com/aquasecurity/trivy/security/advisories/GHSA-69fq-xp46-6x23 ）を参照されたい。 1. Trivy サプライチェーン攻撃（第2波・3/19発生）調査結果 2026年3月19日、Trivy に対する2回目のサプライチェーン攻撃が発生した。本攻撃は2026年2月28日の初回攻撃で窃取されたクレデンシ

Intro Web サービスをデプロイする際に、CA から証明書を取得し HTTPS で暗号化するのが一般的となった。 かつては "SSL 証明書" として、メールでやり取りし有料で購入するのが常識だったが、自動/無料で取得することが増えた。かつては 5~10 年あった有効期限もどんどん短くなり、今では 6 日の証明書も発行されている。 このように、証明書を取り巻く変遷は目覚ましく、それは Web を取り巻く環境の劇的な変化を色濃く反映した結果と言える。 http:// が https:// になった裏で何が起こり、これからどうなっていくのか。まとめていく。 (極力ソースを付記するが、既に消えて WebArchive にも残っていないものも多く、筆者の記憶に頼る情報も多い。) 黎明期 (90 年代後半~2010 年頃) 90 年代の終わり頃、当時は TLS の前身にあたる SSL のデプロ

【読売新聞】　【ワシントン＝中根圭一】米国のトランプ大統領は１９日、ホワイトハウスで会談した高市首相に対し、「私はあなた（高市氏）の言語を習得していない。次にあなたが（ワシントンに）来る時には、言語を習得するようにする」と述べ、日本

DNSの完全性を確保しても、公衆Wi-FIの偽アクセスポイント（Evil Twin）を用いたMITM攻撃の緩和はできないです。その理由は、DNSの操作をしなくてもMITM攻撃はできるからです。 私の以前のブログ記事が参考になると思います。 https://blog.tokumaru.org/2013/09/cookie-manipulation-is-possible-even-on-ssl.html HTTPSを使ってもCookieの改変は防げないことを実験で試してみた寺田さんのブログエントリ「 他人のCookieを操作する 」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えるこ... blog.tokumaru.org

レッド5 @fw11_red5 私は昔から裏通りです。肉多めぐらいにはしますが。裏を見ないで水加減適当な奴に限って隠し味とか入れがちで、そんな奴は嫌いです。#カレー x.com/monko1215/stat… 2026-03-14 11:58:20 Fラン社畜 @fran_syatiku @monko1215 みんな「我がレシピこそ最高のカレー」を言うけど バーモンドカレーを箱の裏通りに作りました っていうキッチンカ―やれば 絶対流行ってそこそこ稼げるんじゃないかなと思ってる 「美味しい」ではなく 「これこれ、こういうやつ」って客が言うやつ 2026-03-14 12:52:35

トルコ・イスタンブールでサッカーの試合中、ボールが空を飛んでいたカモメに直撃する珍しい瞬間がカメラに捉えられた。会場が騒然となる中、選手の1人がすぐに駆け寄り、救助活動を開始。心肺蘇生など迅速な対応を行ったことでカモメは回復し、医療チームへ引き渡された。 試合中ボールがカモメに直撃する不運トルコ・イスタンブールで2月に行われたサッカーの試合中に撮影されたのは、ゴールキーパーが蹴ったボールがカモメに直撃した瞬間だった。 不運な事態が起きたのは、試合開始から30分頃だった。 ゴールキーパーが勢いよくボールを蹴りだすと、カモメに命中してしまった。 とても珍しい瞬間だった。 実況席も驚き、「カモメに（ボールを）当ててしまいました！」と伝えていた。 選手がカモメに救助活動…徐々に回復そんな中、1人の選手が即座にカモメのもとへ向かった。 実況が伝えていたのは「現在カモメには心臓マッサージが行われていま

【読売新聞】　携帯大手「楽天モバイル」の通信回線を不正契約するためのウェブサイトを運営したなどとして、警視庁が、東京都練馬区の無職の男（１９）ら２人を電子計算機使用詐欺ほう助などの容疑で逮捕したことがわかった。サイト登録者は１００人

楽天アカウントのID・パスワード（PW）を不正に入手し、正規の顧客を装って契約を繰り返したとして、警視庁は9日までに、高等専門学校生の男（20）=北海道旭川市=を電子計算機使用詐欺、無職の少年（19…

勤務先のファイルサーバーに強制的にシャットダウンさせるプログラムを組み込むなどしたとして、大阪府警サイバー犯罪捜査課は5日、偽計業務妨害容疑などで滋賀県長浜市の元IT会社社員の男（38）を逮捕したと発表した。容疑を認め「社長に対する不満と復讐（ふくしゅう）心からやった。社員のセキュリティー意識の低さを知らしめたかった」と供述しているという。 逮捕容疑は昨年8月、大阪市内のIT会社のファイルサーバーに、ランサムウエア（身代金要求型ウイルス）に感染したと誤信させる偽の警告画面を表示させたり、起動から3時間後に自動でシャットダウンするプログラムを組み込んだりして業務を妨害したとしている。 同課によると、男は当時、この会社のシステム担当者で、後に自主的に退職していた。会社は業務を停止して原因調査などを余儀なくされ、データ復旧の委託料などで少なくとも約2千万円の被害が生じたという。自身の業務用パソコ

経緯 脆弱性診断やバグバウンティを始めたいです．そのためには，脆弱性の発生原理を知ることが先決でしょう．Webセキュリティに関する王道的な教科書というと徳丸本ですが，ページ数も演習量も多いため，できれば輪講形式で進めたいです．そこで，この話をt_hに持ち掛けてみたところ割と乗り気だったので，ページ割りを組んで，さっそく開始することにしました． 開催形態 人数 本輪講の参加者はHoriK，t_h，YoshidaLTI氏，yamamoto-23氏の４名です．いずれもセキュリティとネットワークに関して多少の前提知識を持っています．HoriKやt_hは研究周りでWebセキュリティ技術を学習しています．YoshidaLTI氏は熱心なWebアプリケーションの開発者です．yamamoto-23氏は最近とあるWebアプリケーションの管理者となりました． 形式 発表者は，ホワイトボードを用いて担当範囲の内容

こんにちは！エーアイセキュリティラボのはるぷです。 2026年2月下旬、オープンソース界隈を揺るがす自動攻撃キャンペーンが実施されました。ターゲットとなったのは、誰もが名前を知るような大手企業のプロジェクトを含む主要なリポジトリ群。攻撃の主導者は 「hackerbot-claw」 と呼ばれる、AI（Claude-Opus-4.5）を搭載した自律型セキュリティ調査エージェントです。 このボットはわずか1週間で、7つのターゲットのうち少なくとも4つでリモートコード実行（RCE）に成功し、書き込み権限を持つGitHubトークンを外部へ流出させました。 このStepSecurityの解析レポートを読み、私は自分のテスト用リポジトリ(private)で、攻撃手法を実際に再現・検証しどの程度簡単にできてしまうのかを調べてみました。 脆弱性の仕組みとリスクが大きくなる条件 実際にGitHub上で、多くの

リチウムイオン電池からコバルトを追放する。その夢に、東北大学が物理学の深淵から答えを引き上げた。 500回充放電しても、劣化しない東北大学 材料科学高等研究所（WPI-AIMR）の研究チームが、安価なマンガンを主体とした正極材料で驚異的な成果を達成した。500回の充放電サイクル後も容量低下ゼロ ──これがその数字だ。2026年2月11日、米国化学会誌『Journal of the American Chemical Society（JACS）』に掲載された論文がその全貌を明らかにしている。 「ゼロ」という数字の重みを理解するには、少し前提が要る。マンガンを使った正極は数十年前から研究されてきたが、充放電を繰り返すと急速に容量が落ちる。数十サイクルで使い物にならなくなるものも珍しくなかった。それが500回でゼロ。桁が違う、というより次元が違う。 この成果を支えたのが「界面軌道工学」（inte

株式会社アドバンテスト（本社：東京都千代田区、代表取締役 Group CEO：Douglas Lefever、以下「当社」）は、当社ネットワーク内の一部システムに影響を及ぼした可能性のある、ランサムウェアを伴うサイバーセキュリティインシデントが発生したことをお知らせいたします。なお、現在も本件に関する調査は継続しており、新たな事実が確認され、また、事実関係に変化が生じた場合には、本報告の内容に変更が生じることにご留意ください。 当社は、2026年2月15日(日本時間)、当社IT環境内において異常な動きを検知しました。直ちに社内の危機管理体制を立ち上げ、影響を受けたシステムを隔離するとともに、調査および被害拡大防止を進めるため、外部の主要なサイバーセキュリティ専門機関と連携を開始しました。 現時点における暫定的な調査の結果、権限のない第三者が当社ネットワークの一部に不正アクセスし、ランサムウ

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 調べた経緯 先日、とあるウェブサイトの脆弱性診断の結果を読んだ際に「X-Frame-Optionsは非推奨になっています。CSP frame-ancestoresの利用を検討していください。」と言われました。対応しないと思っていた中で一応MDNのページを調べてみたところ、X-Frame-Optionsに非推奨の項目が見つからず、戸惑ったのが調べた経緯になります。 ※2026/2/15日時点 X-Frame-Optionsとは？ iframe によって別のサイトに埋め込みを可能にするかを設定するHTTPのレスポンスヘッダーです。昔からある

「セキュリティ、ちゃんとやってる？」 この質問、正直めちゃくちゃ怖い。 SQLインジェクション対策？　やってる。XSS対策？　エスケープしてる。CSRF？　トークン入れてる。 ——でも、「ちゃんと」って何だ？ OWASPのチェックリストを上から順に潰して、ESLintのセキュリティプラグインを入れて、dependabotのアラートを処理して。やることはやっている。はずだった。 自分のコードに自律型AIハッカーをけしかけるまでは。 はじめに セキュリティは「そこそこ意識している」つもりだった。 でも今は、コードを書くときの思考回路がまるっきり変わった。守る側の視点だけでコードを書いていた頃には、絶対に気づけなかったことがある。 きっかけは、GitHub Trendingで爆発的に伸びていた「shannon」という自律型AIハッキングツールだった。1日で+3,000スター以上。AIエージェント

さくらのクラウド、ガバメントクラウドの条件クリアまであと3つまで到達。残りは統制やセキュリティ認証、オブジェクトストレージなどの一部に デジタル庁はガバメントクラウドの構築に関して、さくらのクラウドの開発計画の進捗状況を1月30日付けで公表しました。 5つのクラウドがガバメントクラウドに選出 ガバメントクラウドは日本政府共通のクラウドサービスの利用環境となるクラウドであり、国内企業と外国企業を問わず「最新かつ最高レベルの情報セキュリティを確保できること」や「データ保存の安全性を確保できること」などの基準を満たすことが必須とされています。令和5年度の調達では305項目の技術要件が示されました。 現時点でガバメントクラウドには、Amazon Web Services、Google Cloud、Microsoft Azure、Oracle Cloud Infrastructure、さくらのクラウ

「日本はカモにされていた」Metaがいかにして日本政府を欺いていたのか、その「工作」を明らかにする【プラットフォーマーに問う①】 終わりの見えない「なりすまし詐欺広告」の洪水。前澤友作氏や堀江貴文氏、森永卓郎氏といった著名人の写真が無断で使用され、架空の投資話に誘導される被害が後を絶たない。被害者本人が声を上げ、政府がプラットフォーム事業者に要請を行っても、状況は一向に改善しない。 そんな中、詐欺の舞台の一つFacebookを運営するMetaが意図的に対策を怠っていたのではないかという調査報道スクープをロイターが報じた。取材したのはジェフ・ホーウィッツ記者。 今回、スローニュースは彼に独占インタビューを行った。日本の規制当局がMetaの手玉に取られた経緯と、その結果として日本市場が世界の詐欺集団にとっての「無防備なATM」と化してしまったという、衝撃的な話を明かした。 日本政府はこの事態に