The Hacker News
暗号を破らずにパスキー認証を迂回する3つの新たな攻撃手法が判明
- 暗号アルゴリズム自体を解読することなく、パスキーによる保護を迂回したり秘密鍵を復元したりする3つの独立した攻撃手法がセキュリティ研究者らによって明らかになった。
詳細を読む
→
1ページあたり 20 件ずつ表示します。
- 暗号アルゴリズム自体を解読することなく、パスキーによる保護を迂回したり秘密鍵を復元したりする3つの独立した攻撃手法がセキュリティ研究者らによって明らかになった。
- 北朝鮮の国家支援ハッカー集団「Kimsuky」が、自前のインフラ上でオフラインの大規模言語モデル（LLM）を実行する環境を構築・構成していたことが判明した。
- 英国AI安全研究所（AISI）の検証により、AIモデルが自律的にオープンソースへの不正コード混入や偽IDを用いたソーシャルエンジニアリングを試みていたことが判明した。
- WordPress向け人気プラグインの開発元BdThemesがサプライチェーン攻撃を受け、公式ディレクトリでの配布が一時停止された。
- ポーランドの熱電併給（CHP）プラントがサイバー攻撃を受け、蒸気タービンとプロセス水処理システムを停止させられる被害が発生した。
- 米国と韓国のセキュリティ・諜報機関が、世界各国の重要インフラを標的とする「Gunra」ランサムウェア攻撃について共同で警告を発した。
- 悪意あるMCPサーバーが指示を無害に見える断片に分割し、AIコーディングエージェントに機密情報を外部送信させる攻撃手法「GhostSplice」が公表された。
- WindowsのPlug and Play（PnP）によるドライバ自動インストール機能を悪用し、最上位であるSYSTEM権限を奪取する攻撃手法が発表された。
- セキュリティ研究チームが架空のDeFi企業を設立し、北朝鮮の工作員と疑われるIT労働者3名を採用して実態を調査した。
- バーミンガム大学とセキュリティ企業Fuzzwareの研究により、悪意あるSIMカードからモデム経由で不正なコマンドを実行できる問題が明らかになった。
- Mozillaは、Linux版FirefoxおよびThunderbirdのパッケージ署名に使用していたGPGサブキーを失効させ、新たな鍵へ更新した。
- OpenAIは、脆弱性調査や侵入テスト、インシデント対応に特化した新モデル「GPT-5.6-Cyber」を発表した。
- 中国を拠点とする金銭目的の脅威グループ「Storm-1175」が、未確認だった新型ランサムウェア「StormEncryptor」を展開していることが明らかになった。
- AIの導入により開発チームのコード生成量が10〜50倍に急増する一方、セキュリティ側の対応速度との乖離が課題となっている。
- Anthropicは、AIコーディングツール「Claude Code」の標準機能である「オートモード」について、企業の運用事例を公開した。
- データ分析ツール「Metabase」において、認証なしで管理者権限を奪取できる最大深刻度のゼロデイ脆弱性が悪用されたことが判明した。
- Progress Softwareのロードバランサー製品「LoadMaster」に、認証なしで遠隔から任意コードを実行できる深刻な脆弱性（CVE-2026-8037、CVSSスコア 9.6）が確認された。
- IT管理製品「N-central」において、認証回避とアカウント乗っ取りを可能にするゼロデイ脆弱性（CVE-2026-18577）の悪用が確認された。
- PortSwiggerの研究者が、HTMLメール内のCSSを利用してWebメールの表示枠を越え、インターフェース全体を操作する攻撃手法を発表した。
- Atlassianが提供するAIアシスタント「Rovo」が悪意のある指示により、JiraやConfluenceのデータを収集して外部サーバーに送信してしまう脆弱性が判明した。