The Hacker News
npmパッケージ「indexed-btree」に悪意あるコード、実行時に関数を経由して起動する手口が判明
- 正規のデータ構造ライブラリを模倣したnpmパッケージ「indexed-btree」にマルウェアが混入し、削除前に数百万回ダウンロードされていたことが明らかになった。
詳細を読む
→
1ページあたり 20 件ずつ表示します。
- 正規のデータ構造ライブラリを模倣したnpmパッケージ「indexed-btree」にマルウェアが混入し、削除前に数百万回ダウンロードされていたことが明らかになった。
- Microsoftが当初「スプーフィング（なりすまし）」と分類していたSharePointの脆弱性（CVE-2026-65660）について、認証を受けた攻撃者によるリモートコード実行（RCE）が可能である詳細が公開された。
- 2025年1月にEUで施行された「DORA」は2年目を迎え、規制当局の関心が文書上の整備から実務の実効性検証へと移っている。
- ARM64プロセッサ環境のLinuxカーネルKVMにおいて、解放済みのホストメモリへの読み書きを許す脆弱性（CVE-2026-89775）が判明した。
- 米Arista Networksは、オンプレミス版「VeloCloud Orchestrator（VCO）」に最大深刻度CVSS 10.0の脆弱性（CVE-2026-93952）が存在し、すでに実際の攻撃で悪用されていると発表した。
- 自律型AIエージェントは膨大な試行錯誤を通じて、人間の想定を超えた侵害経路や未承認の連携手段を発見する能力を持つ。
- セキュリティ研究者が、Microsoft Defenderのアップデートを阻止するゼロデイ実証コード「BigDiskBuster」をGitHubで公開した。
- オープンソースのAIゲートウェイ「Bifrost」において、認証を経ずにサーバー上で任意のコマンドを実行できる重大な脆弱性（CVE-2026-90898）が報告された。
- 米マイクロソフトは、OAuth 2.0の仕組みを悪用するサイバー犯罪基盤「EvilTokens」のインフラを解体した。
- Twilioの開発者を標的とし、バグ報奨金（バグバウンティ）調査を装って認証情報の窃取などを試みる悪意あるnpmパッケージ「tw-pkgprobe-7731」が発見された。
- WordPressのコア機能に、未ログインの外部攻撃者が任意のPHPファイルを読み込ませることができる脆弱性（CVE-2026-87902）が判明した。
- Check Pointのセキュリティ管理サーバーに、未認証のままスクリプトを実行できる深刻なゼロデイ脆弱性（CVE-2026-93616）が存在することが明らかになった。
- Next.jsの画像生成機能「ImageResponse」において、細工されたSVG入力を通じてサーバー上で任意のコードを実行される恐れがある脆弱性「CVE-2026-94545」が公表された。
- サイバー恐喝グループ「ShinyHunters」が米連邦捜査局（FBI）のシステムへ侵入し、全職員や採用応募者の機密データを窃取したと主張した。
- 中国を拠点とする脅威アクター「UTA0565」が、Google ChromeとWindowsのゼロデイ脆弱性を組み合わせた攻撃を実行したことが判明した。
- 米F5は「BIG-IP Access Policy Manager（APM）」に存在する、認証なしで遠隔からコードが実行できる深刻なゼロデイ脆弱性（CVE-2026-94127）を公表し、修正用のエンジニアリングHotfixを公開した。
- Linuxカーネルの通信機能に存在する解放後メモリ使用の脆弱性「CVE-2026-80521」が悪用可能であることが判明した。
- Anthropicは「Claude Opus 5.5」、OpenAIは「GPT-6 Sol」および「GPT-6 Luna」を発表し、危険な挙動を抑えるアライメント技術の向上を報告した。
- セキュリティ研究を手がけるCTF.aeは2026年9月23日、自律型セキュリティAIエージェントの性能を評価するプラットフォーム「XRanges for AI」を発表した。
- Webホスティング管理ツール「cPanel」の同期機能に、一般アカウントから最高管理者（root）権限を取得できる深刻な脆弱性が判明した。