Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25 If you’re running WordPress and want to check if your instance is vulnerable, you can use our tool we’ve hosted here: https://wp2shell.com/. We held off on publishing this issue to give defenders a chance to upgrade their WordPress instances over the weekend, but during that time, Calif and Hacktron were ab
こんにちは、エンジニアリンググループSREチームGeneral Managerの横本(@yokomotod)です。 この記事はSREチームブログリレーの4日目の記事です。前回は山本さんによるAWS DevOps Agentの記事でした。手書きの図が上手過ぎじゃないですかね。 www.m3tech.blog さて、Claude Code や Codex のサンドボックス機能*1は使われていますでしょうか。安全かつ快適に使いこなすためにも、どういう仕組みによって隔離されているのか気になりますよね。 サンドボックスの実現方法はOSによって異なりますが、この記事ではLinuxでのサンドボックス化に使われている bubblewrap *2がどんな仕組みで動いているのか知るために、自分で作って動かしてみました。 ソースコードの全体は以下のリポジトリで公開しています。 github.com そもそもサン
Earlier this week, we detected and responded to an intrusion into part of our production infrastructure. This one was different from anything we had handled before in one important way: it was driven, end to end, by an autonomous AI agent system - and we detected and dissected it largely with AI of our own. We identified unauthorized access to a limited set of internal datasets and to several cred
Half a Second The Backdoor That Almost Broke the Internet, and the Invisible Labor Beneath It On March 29, 2024, a Microsoft engineer running a routine benchmark at home noticed that logging into a test machine was taking about half a second longer than it should. Almost anyone would have written it off as noise. He chased it instead, and found a backdoor: a hidden, deliberately built way into XZ
Take a look at this Claude conversation. Notice anything suspicious? Looks innocuous, but by the time Claude finished responding, it had already sent my full name, current employer, and the answers to my security questions to an attacker, without any indication that anything had happened. I've been exploring AI memory systems for a while now, and I've noticed that the security side of things is co
2026年1月頃、圧縮ソフト「7-Zip」を装った非公式サイトで配布されていた偽インストーラーを実行すると、端末がレジデンシャルプロキシのノードとして悪用される事案を、国内外のセキュリティベンダーや研究者らが相次いで報告しました。Infobloxは2026年7月、この活動の背後にいる攻撃者を「Lurking Lizard」と呼称し、WireVPNを含む複数のブランドを長期にわたり使い分けてきたとする分析を公表しています。ここでは関連する情報をまとめます。 Lurking Lizardとは何か 非公式サイトを通じて7-Zipになりすました改変版インストーラーを配布し、実行した端末をレジデンシャルプロキシのノードとして悪用する手口である。マルウェア自体は研究者のLuke Acha氏が命名した「upStage Proxy」という呼称があり(出典: 3)、Infobloxはこの手口を長期にわたり展
2026年7月9日、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、委託先担当者(以下「当該担当者」)の個人用GitHubリポジトリを通じて同庁のAWS認証情報などが長期間インターネット上に公開状態にあった事案について、対応の経緯と教訓をまとめた記事を公表しました。ここでは関連する情報をまとめます。 外部からの通報で発覚 GitGuardianの自動監視システム「Public Monitoring」は2026年5月13日までに、当該担当者が保有する個人用GitHubリポジトリ「Private-CISA」を検知し、同社の自動プログラム「Good Samaritan」がコミット作成者宛てに9通の通知メールを送信していた。(出典: 3) 同社の研究者Guillaume Valadon氏は5月14日にリポジトリの内容を精査し、「最初は偽物(でっちあげ)ではないかと思う
防衛省・陸上自衛隊は、中部方面総監部(兵庫県伊丹市)が使用していたUSBメモリについて、2025年2月にマルウェアが含まれていることを検知した事例があったと公表しました。確認されたマルウェアによる情報の窃取や外部への通信、システムへの拡散は確認されておらず、陸自システムへの影響や外部への情報流出もなかったとしています。ここでは関連する情報をまとめます。 問題のUSBメモリ、2024年4月から使っていた 陸上自衛隊中部方面総監部は、能登半島地震への災害派遣対応に際して物品登録し利用していたUSBメモリを2024年4月以降使用していた。陸上幕僚長は6月30日の定例記者会見で「陸上自衛隊中部方面総監部において、令和6年4月以降使用していたUSBメモリに、マルウェアが含まれていることを、令和7年2月に検知した事例がありました」と言及。つまり使用開始から検知までは約10か月を要したことになる。*1
password_maxlength.md 2012年版 https://gist.github.com/mala/4129717 https://togetter.com/li/2716116 15文字に切り詰めてパスワードを入力せよという案内を元に、なぜかパスワードが平文で保存されているという主張をする人がいる。これは全く発生している事象と関連がなく、根拠がない。 パスワードを任意の長さに切り詰めることが出来るということは平文あるいは復号可能な形式で保存されているからという推測のようだが、そもそも常識的に考えて、元々長かったパスワードが登録されていたところに、サーバー側で15文字の短いパスワードに勝手に更新する必要性がどこにあるというのか。そのような仕様変更を何のために行うというのか。 ファクトチェック 以前は15桁に制限されていて最近仕様が変更されたのはSBIベネフィットシステムズで
目的 本声明の目的は、筆者を筆頭とするチーム (以下、当該脆弱性発見者という。) がソニー株式会社 (以下、当該製品開発者という。) 製 FeliCa RC-S915 (以下、当該製品という。また、FeliCa Standard 製品群を以下、当該製品群という。) に存在する、任意のノードの鍵を特定できる脆弱性 (以下、当該脆弱性という。) を発見及び公表したことに係る、以下の声明への批判である。 当該製品開発者による声明「2017 年以前に出荷された一部の FeliCa IC チップの脆弱性に関する指摘について」(https://www.sony.co.jp/Products/felica/business/information/2025001.html, 以下、声明 A という。) 経済産業省・独立行政法人情報処理推進機構 (以下、IPA という。)・一般社団法人 JPCERT コー
家庭用PCでも数秒でサーバを“落とせる”、HTTP/2の脆弱性をCodexが発見 さくらインターネットも対策 米セキュリティ企業のCalifが6月3日（現地時間）、少しの通信量でWebサーバに過剰な負荷をかけ停止させるDoS攻撃手法「HTTP/2 Bomb」に注意喚起したことをきっかけに、その深刻さが話題になっている。国内では、さくらインターネットも対応に追われており、6月4日夜に緊急メンテナンスを実施。暫定措置としてWebサーバを「HTTP/2」から「HTTP/1.1」へ切り替えた。 Califは、米OpenAIのコーディング支援ツール「Codex」によりこの脆弱性を発見した。同社によると、100Mbps程度の回線があれば、家庭用PCでも脆弱なサーバを数秒で停止に追い込めるという。標的になるのは「nginx」「Apache httpd」「Microsoft IIS」「Envoy」「Clo
When a compromised dependency in a CI/CD job steals your cloud credentials and leaks them, would you catch it? Would you have the logs to investigate afterward? cicd-sensor is an open-source sensor that lets every team answer both. Detection: Detects supply-chain attacks at runtime using process ancestry (e.g. credential access from a process descended from npm install) and correlation across sign
Auth book This is my personal auth book. It is a collection of guides, recommendations, and examples for implementing auth in web applications based on my personal opinion. It is completely free with zero ads. I hope this is useful for anyone looking to learn more about auth, security, and the web in general. As the name implies, this book focuses heavily on the authentication and login system for
LoLやってて、開発者の人に伝えたい事象 tauriでアプリ開発してたらファイルがロックされてて全くもってアプリをビルドできなくなった。 色々調べてたら原因Vanguardだった。 TL;DR Windowsで cargo build や tauri dev 実行時に failed to remove file foo.exe (os error 32) が出る。 プロセスは何も握ってないように見えるのにロックされている。 原因は Riot Games のアンチチート Vanguard がカーネルモードでビルド成果物をスキャンしてるため。Valorant / LoL / TFT / 2XKO をやってる開発者は注意。 何が起きるか ビルド時にこういうエラーで止まる。 error: failed to remove file `D:\...\target\debug\my-app.exe`
YellowKey Bitlocker Bypass Vulnerability Been a while since I saw a bitlocker bypass around, my turn. This is one of the most insane discoveries I ever found, almost feels like backdoor but what do you know, maybe I'm just insane. How to reproduce : Copy the FsTx folder to "YourUSBStick:\System Volume Information\FsTx" as is and make sure to use a filesystem that's compatible with Windows (NTFS is
yes, as in singular one. Back in April 2026 Anthropic caused a lot of media noise when they concluded that their new AI model Mythos is dangerously good at finding security flaws in source code. Apparently Mythos was so good at this that Anthropic would not release this model to the public yet but instead trickle it out to a selected few companies for a while to allow a few good ones(?) to get a h
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
