axios ソフトウェアサプライチェーン攻撃の概要と対応指針 - GMO Flatt Security Blog
2026年3月31日、HTTP クライアントライブラリ axios の npm パッケージが侵害されました。攻撃者はメンテナの npm アカウントを乗っ取り、マルウェアを含むバージョン 1.14.1 および 0.30.4 を公開しました。axios は npm エコシステムで週間約1億ダウンロードを誇る主要パッケージです。本記事では公開情報をもとに、事象の概要を記録します。また、対応指針を示します。 TL;DR - 対応指針 axios への直接依存に限らず、間接依存（transitive dependency）でも postinstall フックは発火します。 自身のプロジェクトが axios を直接利用していなくても、依存ツリーのどこかに axios が含まれていれば影響を受け得ます。npm ls axios で確認してください。 npm ls axios や lockfile により
お客様のDMARC強化対応で「SPF/DKIM認証失敗」の調査依頼が来た話 - サーバーワークスエンジニアブログ
本稿は、お客様から「貴社ドメインからSPF/DKIM認証が失敗しているメールがある」とご連絡をいただき、原因調査を行った際の知見を共有致します。 メールの仕組みって奥が深い。 内村でございます。 （知らないことを知れるのは楽しいですね） お客様がDMARC（Domain-based Message Authentication, Reporting and Conformance）のポリシー強化を進められる中で、弊社ドメインに関連するSPF/DKIM認証失敗の報告を受けました。 結論として、原因は「弊社内でのメール転送」でした。なりすましでもシステムの不具合でもありません。 しかし、この結論に辿り着くまでの調査プロセスと、そこで得た知見は、同じような問い合わせを受けた方のお役に立つかと思い、記事にまとめました。 内容についての諸注意 お客様からのお問い合わせ内容 DMARCとは（おさらい）
GitHub Actions の式構文はスクリプトインジェクションの温床になる
はじめに GitHub Actions の actions/github-script や run: ブロックで ${{ }} を使うとき、多くの開発者がセキュリティリスクを見落としています。PR の自動タグ付けやリリースノート生成など、よくある CI ワークフローにもこのリスクは潜んでいます。 筆者が Go で書かれたコード生成ツールの CI ワークフローをセキュリティレビューした際、この問題を実際に発見しました。本記事では攻撃手法と対策を具体的なコード例とともに解説します。 ${{ }} の展開はテンプレートエンジンそのもの GitHub Actions の式展開 ${{ }} は、ワークフロー実行前にテキスト置換されます。 if: 条件で使う場合は式として評価されるため安全ですが、run: ブロックや script: の中で使うと、展開結果がそのままシェルコマンドや JavaScri
Cipher.exeを使用して削除されたデータを上書きする - Windows Server
この記事では、Cipher.exeを使用して Windows で削除されたデータを上書きする方法について説明します。 元の KB 番号: 814599 まとめ 管理者は、Cipher.exeを使用して、NTFS ファイル システムを使用するドライブ上のデータの暗号化と暗号化解除を行うことができます。 また、コマンド プロンプトからファイルとフォルダーの暗号化状態を表示するためにも使用できます。 Cipher.exeには、復元またはアクセスできないように、削除されたデータを上書きする機能があります。 ファイルまたはフォルダーを削除しても、データは最初はハード ディスクから削除されません。 代わりに、削除されたデータによって占有されていたディスク上の領域は 割り当て解除されます。 割り当てが解除されると、新しいデータがディスクに書き込まれるときに使用できる領域が提供されます。 領域が上書きされ
上場企業のメールセキュリティを調べてみた – DMARC・SPF設定の実態
お疲れ様です。 現在、重要な経営案件の対応中につき、このメールは他の役員・同僚には共有しないよう お願いいたします。 今すぐ、弊社のDMARCレコードを確認し、設定文字列を取得してください。 取得後は、その文字列をQRコード化して、記事コメント欄に 書き込んでいただくよう、お願いいたします。 皆さん、突然社長からこんなメールが来たらどうしますか？ 送信元のメールアドレスを確認する？ えらい！セキュリティの教育をよく受けていますね！ じゃあメールアドレスが正しそうだったら……？ DMARCが reject で設定されていれば、そもそもこのメールは届いていないかもしれません。 きっかけ 私の会社ではDMARCポリシーの強化が検討されたものの、見送りになりました。「じゃあ他の会社はどうなんや？」 と思い、調査がしやすそうな上場企業に絞ってDMARC設定状況を調べてみました。 DMARCとは DM
前橋赤十字病院、「ランサムウェアは防げない」前提の“医療を止めない”データ復旧を整備
前橋赤十字病院、「ランサムウェアは防げない」前提の“医療を止めない”データ復旧を整備：CiscoとCohesityでバックアップと検知、復旧を構築 医療機関を標的としたランサムウェア攻撃が国内外で相次いでいることを踏まえ、前橋赤十字病院はバックアップと復旧、脅威検知などの対策を導入し、サイバーレジリエンスの体制を見直した。
Making frontier cybersecurity capabilities available to defenders
Making frontier cybersecurity capabilities available to defenders Claude Code Security, a new capability built into Claude Code on the web, is now available in a limited research preview. It scans codebases for security vulnerabilities and suggests targeted software patches for human review, allowing teams to find and fix security issues that traditional methods often miss. Security teams face a c
「1行もコードを書いてない」——3日後、150万APIキー漏洩。身に覚えがあった【前編】
「1行もコードを書いてない」 2026年1月、SNS「Moltbook」がローンチした。バズったのはサービスじゃなくて、創業者の一言 元ポスト — 「Moltbookのコードは1行も書いてない。技術アーキテクチャのビジョンだけ持って、AIがそれを現実にした」 Xでめちゃくちゃ回ってた。「コード書かなくてもここまで作れるのか」って 3日後、全部崩れた curlコマンドを1回叩いただけで、本来見えてはいけない150万件のAPIキーが丸見え。特別なハッキング技術は何もいらなかった 昔、GitHub の public リポジトリに API キーを置いてしまったことがある。Google からすごい請求が来た。英語が上手な同僚が Google とやりとりしてなんとかしてくれたけど、その日1日死んでた。あのときはAIなんてなかったけど、やらかしの中身は同じだった ローンチ3日目の夜 ローンチは1月28日
また病院がVPN経由でやられたわけだがVPNは悪だね｜ロードバランスすだちくん（仮）
シンジです。2026年2月9日の午前1時50分、日本医科大学武蔵小杉病院のナースコールシステムがランサムウェア攻撃を受けました。侵入経路は医療機器保守用VPN装置です。またVPNです。またです。人類は過去の経験から学ばない生き物でしたね。 約1万人分の患者の個人情報（氏名、性別、住所、電話番号、生年月日、患者ID）が院外に持ち出されたことが確認されています。厚労省の初動対応チームが派遣される事態となりました。ナースコールですよ。入院患者さんが緊急時にナースを呼ぶためのあのボタンの裏側にあるシステムが、ランサムウェアにやられたわけです。 「医療機器保守用VPN装置」という闇今回の侵入経路が「医療機器保守用VPN装置」だったということは、つまり医療機器ベンダーが遠隔で保守するために設置されたVPN装置が入口になったということです。 これ、医療業界に限った話じゃないんですよね。製造業でも、ビル管
ただNext.jsを使う - カミナシ エンジニアブログ
カミナシエンジニアの osuzu です。 私は職能柄、Webフロントエンド技術の選定に関わる機会が多く、これまで React Server Component や Next.js に関する発信なども過去にしていました。 そうした事情から2025年12月の React や Next.jsのセキュリティ問題 に対し心痛めています。 私は現在もプロダクションでNext.jsを運用していますが、選定した事を後悔しているかというとそう単純な話でもありません。 そこであらためて、Next.jsをプロダクションで採用するポイント、何を意識した構成にしているか記載します。 今回の記事では以降、ReactはRSC(React Server Component)を含むものとし、Next.jsは記載のない限りApp Routerを指した話となります。 BFFとして使う まず私はプロダクション運用するプロダクトに
AWS設計ガイドライン
免責事項 有志で作成したドキュメントである。フューチャーには多様なプロジェクトが存在し、それぞれの状況に合わせて工夫された開発プロセスや高度な開発支援環境が存在する。本ガイドラインはフューチャーの全ての部署／プロジェクトで適用されているわけではなく、有志が観点を持ち寄って新たに整理したものである相容れない部分があればその領域を書き換えて利用することを想定している。プロジェクト固有の背景や要件への配慮は、ガイドライン利用者が最終的に判断すること。本ガイドラインに必ず従うことは求めておらず、設計案の提示と、それらの評価観点を利用者に提供することを主目的としている掲載内容および利用に際して発生した問題、それに伴う損害については、フューチャー株式会社は一切の責務を負わないものとする。掲載している情報は予告なく変更する場合がある はじめに 技術選定におけるクラウドファーストは標準となって久しく、新
React2Shellによって実行されるマルウェアZnDoorについて | セキュリティナレッジ | NTTセキュリティ・ジャパン株式会社
本稿では、実際に日本国内の企業で観測されたReact2Shell悪用事例と、マルウェアZnDoorの解析結果を共有します。 本記事はSOCアナリスト 野村和也が執筆したものです はじめにSOCでは2025年12月から、日本国内においてReact2Shell（CVE-2025-55182）を悪用したインシデントを多数観測しています。それらの多くはコインマイナーなどが実行されていますが、中には未知のマルウェアが実行されるケースも存在します。 私たちは今回発見した未知のマルウェアをZnDoorと名付け、調査を行いました。ZnDoorは少なくとも2023年12月には使用されていた可能性があり、ネットワーク機器の脆弱性悪用事例と関連があると推察されます。 本稿では、実際に日本国内の企業で観測されたReact2Shell悪用事例と、マルウェアZnDoorの解析結果を共有します。 攻撃フロー本攻撃の起点
【npm】11月21日以降にnpm installした人へ - Shai-Hulud感染チェック & 多層防御ガイド
npm史上最悪のサプライチェーン攻撃「Shai-Hulud 2.0」。正規パッケージのメンテナー認証情報を盗み、悪意あるバージョンをnpmに公開するという手口で、11月21日から急速に拡散しました。 この記事では2つのことを解説します： 自分が被害にあっていないか確認する方法 今後の被害を防ぐ多層防御アプローチ *この記事と同じ内容を動画でも解説していますので、動画の方が好きな方は下記からどうぞ 被害確認 - あなたは大丈夫か？ Shai-Hulud 2.0は11月21日から急速に拡散しました。この日以降にnpm installを実行した人は、感染の可能性があります。 チェック1: GitHubアカウントの確認（ブラウザで完結） 確認ポイント1: 見覚えのないリポジトリ まずGitHubで自分のリポジトリ一覧を確認。 Shai-Huludは感染したアカウントにランダムな名前のパブリックリポ
GitHub - p-e-w/heretic: Fully automatic censorship removal for language models
The Heretic version, generated without any human effort, achieves the same level of refusal suppression as other abliterations, but at a much lower KL divergence, indicating less damage to the original model's capabilities. (You can reproduce those numbers using Heretic's built-in evaluation functionality, e.g. heretic --model google/gemma-3-12b-it --evaluate-model p-e-w/gemma-3-12b-it-heretic. No
セキュリティ知識分野（SecBoK）人材スキルマップ2021年版
セキュリティ知識分野（SecBoK）人材スキルマップ2021年版 （教育部会｜情報セキュリティ知識項目（SecBoK）改訂委員会） 背景 情報セキュリティ知識項目（SecBoK）は、2016年4月の大規模改定以降、ITベンダー・セキュリティベンダーのみならず、多くの企業においてセキュリティ人材育成の際の参考資料として活用されてきました。また教育界との連携も深めてきました。しかし、逆に多くの場面でSecBoKを利用いただきたいとの思いから、SecBoK側が様々な分野への適用を意識する傾向もありました。そこでSecBoK2021では、BoK（Body of Knowledge）であるとの原点に立ち返り、ディクショナリー的位置付けとして、より多くの方が参照できることを目標に、有識者である委員の皆様のご意見を反映して改定をおこないました。 情報セキュリティ知識項目（SecBoK）2021の特長につ
Microsoft Entra ID の検証環境を作ろう - ラック・セキュリティごった煮ブログ
ペネトレーションテストを担当してますWHIです。 皆さんペネトレーションテストしてますか？ オンプレのActive Directoryだけで満足してませんか？ 昨今のOA環境のインフラ情勢として、従業員向け端末の管理はADに代わってEntra IDやその両方を同期するハイブリッド型に移り変わりつつあります。 ペンテスターもそのような変化に追従して日々新しく採用される技術スタックへのペネトレーションテスト能力の研鑽が望まれる時代です。 OSCPなどを受講した方はわかってくれるかと思いますが、いち早くペンテストの腕を身に着けるには実際の環境をいじくり倒す他ないでしょう。 そのような時必要になるのが検証環境です。 この記事ではEntra IDの検証環境を無料で作成する方法をご紹介します。 Microsoft Entra IDのプラン Entra IDのプランとして明示的に販売されているのはP1や
偽Wi-Fiアクセスポイントで本当にパスワードは盗聴できるか試してみた - YouTube
公衆無線LANは盗聴の危険があると言われていますが、常時SSLが普及した現在どのような状況で盗聴される可能性があるでしょうか。 この動画では偽のアクセスポイントを使ってしまった利用者を想定して、かつサイトのドメイン名は本物であるという前提での盗聴を実演を交えて解説します。 また、背景知識として、いわゆる「ウェブ認証」などで用いられるCaptiveポータル（俗に「ホテルページ」などとも呼ばれる）についても解説しています。 この動画では、利用者が正しくない利用法をすることによりオンラインバンキングのID・パスワードを盗聴されていますが、サイトに脆弱性があるわけではありません。 この動画の末尾では、このような攻撃にあわないためのサイト側、利用者側双方の対策について解説しています。 ※ 注意 ・動画中の解説では80/TCPのみBurp Suiteにリダイレクトしていますが、実演では443/TC
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
元セキュリティエンジニアがおすすめする本格ハッキングゲーム「Grey Hack」。コマンドを駆使してターゲットに侵入せよ！ リアルなサイバー攻撃を疑似体験【年始特集】
GitHub - trufflesecurity/trufflehog: Find, verify, and analyze leaked credentials
「技術負債にならない・間違えない」 権限管理の設計と実装
