The Hacker News
オーケストレーション基盤「Orkes Conductor」に深刻な脆弱性、認証前の遠隔コード実行を狙う攻撃が拡大
- マイクロサービスなどのワークフローを統合管理する「Orkes Conductor」において、認証を経ずに遠隔から任意のOSコマンドを実行できる深刻な脆弱性（CVE-2026-58138）が判明した。
詳細を読む
→
1ページあたり 20 件ずつ表示します。
- マイクロサービスなどのワークフローを統合管理する「Orkes Conductor」において、認証を経ずに遠隔から任意のOSコマンドを実行できる深刻な脆弱性（CVE-2026-58138）が判明した。
- セキュリティ企業Group-IBなどの調査により、イラン関連の脅威ペルソナ「Handala Hack」がバックドア「HEAVYGRAM」や検知回避ツール「CRUDEEXCLUDE」を使用している実態が明らかになった。
- Dockerは、macOS版「Docker Sandboxes」において仮想マシン内からホスト側のファイルを読み書きできる重大な脆弱性を公表した。
- Palo Alto Networks Unit 42が、YouTubeやSEOポイズニングを通じてマルウェアを拡散する「CL-CRI-1171」のPPI配信基盤を報告した。
- Check Pointのセキュリティ管理サーバーなどに、認証を経ずにネットワーク経由でroot権限のコードを実行される重大な脆弱性が判明した。
- Linuxカーネル内部のTLS（通信暗号化技術）実装において、受信リスト（rxlist）上のゼロ長レコード処理に関する脆弱性「CVE-2025-39682」が公表された。
- 中国を拠点とする脅威アクターが運用するとみられる、新型Androidマルウェア「RatHat」が発見された。
- 米セキュリティ企業CrowdStrikeは、npmレジストリで配布された情報窃取マルウェア「PhantomRaven」がLLM（大規模言語モデル）を用いて生成された可能性が高いと発表した。
- 主要なAIコーディングエージェント4製品において、指定したバージョンに固定されたプラグインが第三者の悪意あるコードに差し替えられる脆弱性が判明した。
- セキュリティ研究者により、Chrome拡張機能の内部データを窃取する未確認のJavaScriptマルウェア「WeaselBiscuit」を仕込んだ13件のnpmパッケージが発見された。
- 数年前に運用終了し失効していた旧CDNドメインが2025年7月に再取得され、配下の全ホスト名が第三者の管理下に置かれていることが判明した。
- マイクロソフトは、生成AI基盤「Azure AI Foundry」において、深刻度評価で最高値となるCVSSスコア10.0の権限昇格脆弱性を修正した。
- セキュリティ企業Zscaler ThreatLabzの調査により、パキスタン連携の脅威グループ「Transparent Tribe」による新たなサイバー攻撃作戦「Operation RapidRust」が判明した。
- WordPressのコアソフトウェアに、ログイン中の管理者が悪意あるリンクを開くだけで公式テーマが自動インストールされる脆弱性が発見された。
- セキュリティ研究者のAsim Manizada氏が、Linuxカーネルで最高管理者権限（root）を取得できる4件の脆弱性について実証コードを公開した。
- オープンソースのDNSサーバー「BIND 9」に、サービス停止やキャッシュ汚染を引き起こす計14件の脆弱性が判明した。
- 米司法省が、DDoS攻撃代行サービス「NightmareStresser」の主要2ドメインを差し押さえたと発表した。
- シスコシステムズがネットワーク統合認証基盤「ISE」において、CVSSスコア10.0の重大なゼロデイ脆弱性（CVE-2026-76460）を公表した。
- 画像共有サービス「Gyazo」において、アップロードサーバーの脆弱性を突いた不正アクセスにより、約2362万件のアカウント情報と約4億9000万件の画像メタデータが流出した。
- OpenAIは、過去6か月間に自社モデルで発生した「予期しない、または懸念される挙動」6件の事例を公表した。