#thehackernews — Public Fediverse posts on home.social

ottoto @[email protected] · 2026-05-16 · 05:23 UTC

「オンプレミスのMicrosoft Exchange Serverの脆弱性CVE-2026-42897が、細工されたメールを介して悪用される」： #TheHackerNews

「マイクロソフトは、オンプレミス版のExchange Serverに影響を与える新たなセキュリティ脆弱性を公表した。同社によると、この脆弱性は既に悪用されているという。

CVE-2026-42897 （CVSSスコア：8.1）として追跡されているこの脆弱性は、クロスサイトスクリプティングの欠陥に起因するなりすましバグとされています。この問題を発見し報告したのは、匿名の研究者であるとされています。

「Microsoft Exchange Serverにおけるウェブページ生成時の入力の不適切な無効化（クロスサイトスクリプティング）により、不正な攻撃者がネットワーク上でなりすましを実行できる可能性がある」と、このテクノロジー大手は木曜日の勧告で述べた。」

https://thehackernews.com/2026/05/on-prem-microsoft-exchange-server-cve.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-05-16 · 05:23 UTC

「オンプレミスのMicrosoft Exchange Serverの脆弱性CVE-2026-42897が、細工されたメールを介して悪用される」： #TheHackerNews

「マイクロソフトは、オンプレミス版のExchange Serverに影響を与える新たなセキュリティ脆弱性を公表した。同社によると、この脆弱性は既に悪用されているという。

CVE-2026-42897 （CVSSスコア：8.1）として追跡されているこの脆弱性は、クロスサイトスクリプティングの欠陥に起因するなりすましバグとされています。この問題を発見し報告したのは、匿名の研究者であるとされています。

「Microsoft Exchange Serverにおけるウェブページ生成時の入力の不適切な無効化（クロスサイトスクリプティング）により、不正な攻撃者がネットワーク上でなりすましを実行できる可能性がある」と、このテクノロジー大手は木曜日の勧告で述べた。」

https://thehackernews.com/2026/05/on-prem-microsoft-exchange-server-cve.html

#prattohome

#prattohome #thehackernews

ottoto @[email protected] · 2026-05-16 · 05:21 UTC

「OpenClawの4つの脆弱性により、データ窃盗、権限昇格、および永続化が可能になる」： #TheHackerNews

「サイバーセキュリティ研究者らは、OpenClawに存在する4つのセキュリティ上の欠陥を明らかにした。これらの欠陥は連鎖的に利用することで、データ窃盗、権限昇格、および永続的なアクセスを可能にする可能性がある。

脆弱性はまとめて次のように呼ばれています。クローチェーン Cyera社が開発した脆弱性により、攻撃者は足がかりを築き、機密データを漏洩させ、バックドアを仕掛けることが可能になります。脆弱性の概要は以下のとおりです。

CVE-2026-44112 (CVSS スコア: 9.6/6.3)
CVE-2026-44113 (CVSS スコア: 7.7/6.3)
CVE-2026-44115 (CVSS スコア: 8.8)
CVE-2026-44118 (CVSSスコア: 7.8)
」

https://thehackernews.com/2026/05/four-openclaw-flaws-enable-data-theft.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-05-16 · 05:21 UTC

「OpenClawの4つの脆弱性により、データ窃盗、権限昇格、および永続化が可能になる」： #TheHackerNews

「サイバーセキュリティ研究者らは、OpenClawに存在する4つのセキュリティ上の欠陥を明らかにした。これらの欠陥は連鎖的に利用することで、データ窃盗、権限昇格、および永続的なアクセスを可能にする可能性がある。

脆弱性はまとめて次のように呼ばれています。クローチェーン Cyera社が開発した脆弱性により、攻撃者は足がかりを築き、機密データを漏洩させ、バックドアを仕掛けることが可能になります。脆弱性の概要は以下のとおりです。

CVE-2026-44112 (CVSS スコア: 9.6/6.3)
CVE-2026-44113 (CVSS スコア: 7.7/6.3)
CVE-2026-44115 (CVSS スコア: 8.8)
CVE-2026-44118 (CVSSスコア: 7.8)
」

https://thehackernews.com/2026/05/four-openclaw-flaws-enable-data-theft.html

#prattohome

#prattohome #thehackernews

ottoto @[email protected] · 2026-05-15 · 05:39 UTC

「Windowsのゼロデイ脆弱性により、BitLockerのバイパスとCTFMONによる権限昇格が明らかに」： #ThehackerNews

「Microsoft Defenderの3つの脆弱性を公表した匿名のサイバーセキュリティ研究者が、BitLockerのバイパスとWindows Collaborative Translation Framework（CTFMON）に影響を与える権限昇格に関する2つの新たなゼロデイ脆弱性を公表した。

このセキュリティ上の欠陥は、研究者によってそれぞれYellowKey と GreenPlasma というコードネームが付けられており、この研究者はオンライン上でChaotic EclipseとNightmare-Eclipseという別名を使用している。

研究者は YellowKeyを「これまで発見した中で最も驚くべき発見の一つ」と評し、BitLockerのバイパス機能はバックドアのようなものだと指摘した。」

https://thehackernews.com/2026/05/windows-zero-days-expose-bitlocker.html

#prattohome

#thehackernews #prattohome

Alex Diker @[email protected] · 2026-05-09 · 09:56 UTC

I don't use it anyway but #TheHackerNews: [#cPanel, #WHM Release Fixes for Three New #Vulnerabilities — Patch Now]Source: 🔗(https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html) #security #updates #patches

#whm #vulnerabilities #thehackernews #security #updates #patches

Alex Diker @[email protected] · 2026-05-09 · 09:56 UTC

I don't use it anyway but #TheHackerNews: [#cPanel, #WHM Release Fixes for Three New #Vulnerabilities — Patch Now]Source: 🔗(https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html) #security #updates #patches

#whm #vulnerabilities #thehackernews #security #updates #patches

Alex Diker @[email protected] · 2026-05-09 · 09:56 UTC

New post in #TheHackerNews: [#cPanel, #WHM Release Fixes for Three New #Vulnerabilities — Patch Now]Source: 🔗(https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html)

#thehackernews #vulnerabilities #whm

Alex Diker @[email protected] · 2026-05-09 · 09:56 UTC

I don't use it anyway but #TheHackerNews: [#cPanel, #WHM Release Fixes for Three New #Vulnerabilities — Patch Now]Source: 🔗(https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html) #security #updates #patches

#whm #vulnerabilities #thehackernews #security #updates #patches

ottoto @[email protected] · 2026-05-05 · 05:48 UTC

「Progressパッチ：MOVEitオートメーションの重大なバグ（認証バイパスの有効化）」： #TheHackerNews

「Progress Softwareは、MOVEit Automationにおける2つのセキュリティ上の欠陥に対処するためのアップデートをリリースしました。これには、認証を迂回される可能性のある重大なバグが含まれています。

MOVEit Automation（旧称Central）は、セキュアなサーバーベースのマネージドファイル転送（MFT）ソリューションであり、カスタムスクリプトを必要とせずに、企業環境におけるファイル移動ワークフローのスケジュール設定と自動化に使用されます。

問題となっている脆弱性は、認証バイパスの脆弱性であるCVE-2026-4670 （CVSSスコア：9.8）と、権限昇格を許してしまう可能性のある不適切な入力検証の脆弱性であるCVE-2026-5174 （CVSSスコア：7.7）です。」

https://thehackernews.com/2026/05/progress-patches-critical-moveit.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-04-29 · 05:35 UTC

「『マイソス』のその後：ゼロ・ウィンドウ時代に向けた新たなプレイブック」： #TheHackerNews

「AIの進歩を追っている方ならご存知でしょうが、脆弱性が明らかになった後、組織がパッチを適用して保護するために頼っていた短い猶予期間である「エクスプロイトウィンドウ」は、急速に縮小しています。

Anthropic社の新しいモデル「Claude Mythos 」と「Project Glasswing」は、オペレーティングシステムやブラウザにおける悪用可能な脆弱性や防御の微妙な隙間を見つける作業（かつては専門家が数週間を要した作業）が、AIを使えば数分で完了できることを示しました。その結果、パッチ適用の機会はほぼゼロにまで縮小しました。」

https://thehackernews.com/2026/04/after-mythos-new-playbooks-for-zero.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-04-14 · 08:09 UTC

「ShowDocのRCE脆弱性CVE-2025-0520が、パッチ未適用サーバーで積極的に悪用されている。」： #TheHackerNews

「中国で人気の文書管理・コラボレーションサービスであるShowDoc に影響を与える重大なセキュリティ脆弱性が、実際に悪用されていることが明らかになった。

問題となっている脆弱性は CVE-2025-0520 （別名CNVD-2020-26585）で、CVSSスコアは10点満点中9.4点です。

これは、ファイル拡張子の検証が不適切であることに起因する、ファイルアップロードの制限がないことに関する事例であり、攻撃者が任意のPHPファイルをアップロードしてリモートコード実行を可能にするものです。」

https://thehackernews.com/2026/04/showdoc-rce-flaw-cve-2025-0520-actively.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-04-02 · 09:43 UTC

「Chromeの新たなゼロデイ脆弱性CVE-2026-5281が現在悪用されていることが判明 ― パッチがリリースされました」： #TheHackerNews

「Googleは木曜日、 Chromeウェブブラウザのセキュリティアップデートをリリースし、21件の脆弱性に対処した。その中には、実際に悪用されているゼロデイ脆弱性も含まれているという。

深刻度の高い脆弱性である CVE-2026-5281 （CVSSスコア：該当なし）は、 WebGPU標準のオープンソースかつクロスプラットフォームな実装であるDawn における、解放済みメモリ使用（use-after-free）のバグに関するものです。」

https://thehackernews.com/2026/04/new-chrome-zero-day-cve-2026-5281-under.html

#prattohome

#thehackernews #prattohome

UmWerker 🕊 ☮️ 🤘 @[email protected] · 2026-03-25 · 08:42 UTC

I have #TheHackerNews in my #RSS feed, but I'd like to add two or three similar sources. Also, I can't find any decent sources on #whistleblowing anymore.

I'm sure you have some recommendations for me, right?

#thehackernews #rss #whistleblowing

UmWerker 🕊 ☮️ 🤘 @[email protected] · 2026-03-25 · 08:42 UTC

Ich habe #TheHackerNews im #RSS-Feed, würde aber gerne noch zwei oder drei ähnliche Quellen ergänzen. Zudem finde ich keine vernünftige Quelle zum Thema #Whistleblowing mehr.

Ihr habt doch bestimmt Empfehlungen für mich, oder?

#thehackernews #rss #whistleblowing

ottoto @[email protected] · 2026-03-11 · 07:14 UTC

「5 つの悪意ある Rust クレートと AI ボットが CI/CD パイプラインを悪用して開発者の秘密を盗む」： #TheHackerNews

「サイバーセキュリティ研究者は、時間関連のユーティリティを装って .env ファイルデータを脅威の攻撃者に送信する悪意のある Rust クレートを 5 つ発見しました。

crates.io に公開されている Rust パッケージは以下のとおりです。

chrono_anchor
dnp3times
time_calibrator
time_calibrators
time-sync

Socketによると、これらのクレートはtimeapi.ioを偽装しており、2026年2月下旬から3月上旬の間に公開された。盗まれたデータを隠すために、同じ抽出手法と類似のドメイン（「timeapis[.]io」）が使用されていることから、単一の脅威アクターによる犯行であると評価されている。」

https://thehackernews.com/2026/03/five-malicious-rust-crates-and-ai-bot.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-03-10 · 05:36 UTC

「OpenClawインストーラーを装った悪意のあるnpmパッケージがRATを展開し、macOSの認証情報を盗む」： #TheHackerNews

「サイバーセキュリティ研究者は、 OpenClaw インストーラーを装ってリモートアクセストロイの木馬 (RAT) を展開し、侵害されたホストから機密データを盗む悪意のある npm パッケージを発見しました。

「 @openclaw-ai/openclawai 」という名前のパッケージは、 2026年3月3日に「openclaw-ai」というユーザーによってレジストリにアップロードされました。現在までに178回ダウンロードされています。このライブラリは執筆時点でまだダウンロード可能です。

システム認証情報、ブラウザデータ、暗号通貨ウォレット、SSHキー、Appleキーチェーンデータベース、iMessage履歴を盗むほか、リモートアクセス機能、SOCKS5プロキシ、ライブブラウザセッションのクローン作成機能を備えた永続的なRATをインストールする」

https://thehackernews.com/2026/03/malicious-npm-package-posing-as.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-02-24 · 07:37 UTC

「アントロピックによると、中国のAI企業が1600万件のクロードクエリを使用してモデルをコピーしたという。」： #TheHackerNews

「アンスロピックは月曜日、ディープシーク、ムーンショットAI、ミニマックスの3つの人工知能（AI）企業が、自社のモデルを改良するためにクロードの能力を違法に抽出する「産業規模のキャンペーン」を展開していることを確認したと発表した。

蒸留攻撃により、約2万4000の不正アカウントを通じて、同社の大規模言語モデル（LLM）とのやり取りが1600万件以上発生し、利用規約と地域アクセス制限に違反しました。3社はすべて中国に拠点を置いており、「法的、規制的、およびセキュリティ上のリスク」により、同国ではサービスの利用が禁止されています。」

1600万と言う例は十分にAIをトレーニングできる数です。

https://thehackernews.com/2026/02/anthropic-says-chinese-ai-firms-used-16.html

#prattohome

#thehackernews #prattohome

ottoto @[email protected] · 2026-02-20 · 06:09 UTC

「マイクロソフト、Windows Admin Center における権限昇格脆弱性 CVE-2026-26119 を修正」： #TheHackerNews

「Microsoft は、攻撃者が権限を昇格できる可能性がある、Windows Admin Center のセキュリティ上の欠陥 (現在は修正済み) を公開しました。

Windows Admin Center は、ローカルに展開されるブラウザベースの管理ツールセットであり、ユーザーはクラウドに接続することなく、Windows クライアント、サーバー、クラスターを管理できます。

CVE-2026-26119 として追跡されているこの重大度の高い脆弱性は、 CVSSスコアが最大10.0のうち8.8となっている。」

https://thehackernews.com/2026/02/microsoft-patches-cve-2026-26119.html

#prattohome

#thehackernews #prattohome