コード

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開 Web アプリケーションにおいて、認証なしで利用できる深刻なリモートコード実行の脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。この脆弱性により、攻撃者は特定の Web リクエストを構築することで、root 権限でバックエンドコンテナ内でコードを実行し、ローカルの保護されたリソースや外部ネットワークにアクセスできる可能性があります。XBOW は、EAC が公表した脆弱性開示ポリシーに基づいてこの問題を報告し、EAC チームによって検証された後、この脆弱性はアメリカ合衆国の中間選挙の前に修正されたと述べています。

IT之家 10 月 30 日報道によると、開発者が DeepSeek の公式サイトのフロントエンドコード内で Cyber ネットワークセキュリティモデルに関連する申請入口とインターフェースロジックを発見しました。申請ページのルーティングは /usage/model-application に指向されており、feature gate スイッチが設定されており、権限のないアカウントがアクセスすると使用量ページにリダイレクトされます。コード内には Cyber Key の作成や限度管理に関連するインターフェースも登場しています。コード内のモデル識別子は cyber-personal-v3 と cyber-enterprise-v4 です。個人版は個人のセキュリティ専門家を対象としており、申請には身分証明書情報を提供し、顔認証を完了する必要があります。企業版は企業主体を対象としており、実名資料に加えて営業許可証と委任状を提出する必要があります。両方のチャネルの共通のハードルには、アカウントが実名認証を完了し、状態が正常で、中国本土に登録されており、本土の携帯電話番号がバインドされていること、過去90日以内に違反記録がないことが含まれます。申請プロセスは申請書を記入し、審査を提出することです。審査が通過した後に Cyber Key が作成されます。現在、この入口は DeepSeek の公開メニューには表示されておらず、グレイテストテスト状態にあります。ユーザーからのフィードバックによると、グレイテストに覆われたアカウントのみが使用量ページで関連セクションを見ることができ、権限があるときには「DeepSeek Flash Cyber ネットワークセキュリティ専用 API」エリアが表示されます。報道時点で、DeepSeek の公式はこのモデルについて正式な発表を行っておらず、関連情報は公式サイトの JavaScript コードの観察とグレイテストユーザーのフィードバックから得られています。

10月30日、安全研究者のPaul McCarty（6mile）がOpenSource Malwareブログで発表したところによると、AnthropicのClaude Code VS Code拡張がその日に改ざんされ、悪意のあるバージョン2.1.313がOpen VSXレジストリに公開された。この拡張は外部でanthropic.claude-code@2.1.313として識別され、主なJavaScriptパッケージの前に66行のローダーが挿入されている。研究者は、現在分析されたOpen VSXバージョンが悪意のあるサンプルであることのみ確認されており、慎重を期してMicrosoft VS Codeマーケットの同バージョンに脅威報告を提出した。記事によると、展開された拡張およびバンドルされたバイナリファイルは正常なバージョンと一致しており、違いはextension.jsのみにある。拡張はVS Codeの起動後およびWebviewが開かれたときにこのファイルをロードし、ユーザーはClaudeとの対話を開始することなくトリガーを引くことができる。ローダーはユーザーのSSH設定にsvc-telemetryとしてラベル付けされた攻撃者のキーを書き込み、ローカルSSHサービスを有効にしようとし、134.209.82.225に対してリバーストンネルを確立し、macOS、Linux、Windows上で持続化を設定し、その後暗号化されていないHTTPを介してそのアドレスの8099ポートにホスト偵察情報を送信する。注入段階では追加の実行可能ファイルやスクリプトはダウンロードされない。研究者によると、影響を受けたOpen VSX拡張の所有者はAnthropicの従業員Igor Kofmanであり、彼のアカウントが利用されたのか、他の配布プロセスが利用されたのかは不明である；Dean Hardcastleは事件発生時に彼に通知した。記事は、分析されたディレクトリの出所はまだ確立されておらず、関連する発見はAnthropicの公式マーケットまたは配布インフラが侵害されたことを単独で証明するものではなく、攻撃者の身元とインフラの帰属もまだ確認されていないと明記している。文中では、関連するファイルパス、キー注釈、起動項目を検索し、134.209.82.225の22および8099ポートを遮断し、クリーンなシステム上で影響を受けたアカウントがアクセスできる資格情報をローテーションすることを推奨している。

韓国聯合ニュースの報道によると、マイクロソフトの脅威インテリジェンスが29日に発表した報告書は、北朝鮮のハッカー組織が人工知能を利用して韓国のユーザーに対するサイバー攻撃を加速させていることを示しています。カスタマイズされたフィッシング文書、偽の求人、身分の偽装から、悪意のあるコードの開発やソフトウェアサプライチェーン攻撃にまで拡大しています。マイクロソフトは、8つの北朝鮮関連のハッカー組織のAIの採用レベルを評価しました。その中で3つは、四段階の中で最高の「運用定型」段階に達しており、AIを日常の攻撃プロセスに組み込んでいます。さらに4つは「加速」段階にあり、1つは「拡張」段階にあります。報告書によると、組織は今年の8月から9月にかけて、異なるターゲットに対して100以上のPDFフィッシング文書をカスタマイズして生成し、数分以内に数十件を大量に生産する事例が見られました。今年の6月8日から12日には、3社の偽装会社を利用して、AI、ブロックチェーン、サイバーセキュリティの専門家に対して偽の求人を発信するケースも発生しました。さらに、マイクロソフトは北朝鮮のハッカーがCursorなどのAIプログラミングツールを利用してコード生成、デバッグ、検出回避を支援している可能性があると分析しています。北朝鮮の情報総局傘下の「Onyx Sleet」（韓国側では安達利尔と呼ばれる）と「Pearl Sleet」は、10月下旬から実戦でオープンソースのAIペネトレーションテストフレームワークARTEXを使用しています。マイクロソフトは、上記の組織はAIを利用して攻撃の速度と効率を向上させているものの、完全に自律的な攻撃段階には達しておらず、企業に対して求職者の身分確認、フィッシング防止、悪意のあるコード検出を強化することを推奨しています。

公開された弁護士の手紙によると、Pump.fun の背後にある実体 Bracket Company Inc. は 2026 年 10 月 29 日に弁護士事務所 Brown Rudnick を通じて、Eliza Labs の創設者 Shaw Walters（X アカウント @shawmakesmagic）に対して侵害停止警告書を送付しました。Pump.fun は Walters が無断でそのソースコードをコピー、逆コンパイルし、公開する計画を立てていると主張し、これはアメリカの著作権法およびプラットフォームサービス利用規約に違反しています。弁護士の手紙では、Walters が 10 月 27 日から 28 日の間に X プラットフォームで一連の投稿を行い、Pump.fun の契約集の 97.6% のソースコードを逆コンパイルしたと主張し、そのうち 80% が元の契約とバイト単位で一致していると述べ、前後のコードをコードベースに追加し、貢献者にプロジェクトトークン $PMUP を報酬として提供する計画を立てていることが指摘されています。Pump.fun は Walters に対し、関連行為を直ちに停止し、ソースコードを公開しないよう要求し、このような逆コンパイルは違法行為であることを明確に指摘しています。

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開Webアプリケーションにおいて、認証なしで悪用可能な深刻なレベルのリモートコード実行脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。

Android Authority は 10 月 27 日に、Google Wallet バージョン 26.42.1003171897 において開発中の Overseas QR payments 設定を発見したと報じました。この設定内の「もっと詳しく」リンクは、Google Wallet のサポートページに向けられており、ページではこの機能を Traveler QR と呼んでいます。Google はサポートページで、携帯電話がユーザーがカバーエリアにいることを検出すると、関連オプションが自動的に表示されると説明しています。現在、ページで明示的に挙げられている目的地はシンガポールのみで、Alipay+ のパートナーネットワークに対応しています。Android Authority は、支付宝が主に中国で使用され、Alipay+ が東南アジアの多くの決済システムを接続していると紹介しています。この発見はアプリのインストールパッケージの解析から得られたもので、解析中に現れた機能が必ずしも公開バージョンに入るわけではなく、現在も Traveler QR の正式なリリース発表は見られていません。

研究者は東京で開催された安全会議で、Telegramの絵文字スタンプ機能にゼロクリックの脆弱性が存在することを明らかにし、攻撃者がユーザーのいかなる操作も必要とせずにiOSデバイス上でコードを実行できることをデモしました。しかし、Telegramはこの脆弱性のリスク評価に異議を唱えました。

イーサリアムの機関プライバシー技術機関 EthSystems は、そのプライバシープール（shielded pool）について、文書化された仕様から Sepolia テストネットでのバイトコードの実行までの形式的検証を完了したことを発表しました。検証は層ごとに異なるツールを使用して行われました：モデル、回路、ハッシュには Lean を、契約には Halmos と Kontrol を、ウォレットには Aeneas と Verus を、検証者とデプロイにはバイト単位の再構築による照合を使用しました。二重支払いと価値保存は Lean 定理機械によって検証されました。検証中に6つの問題が発見され、そのうち3つは検証ツール自体に起因していました。チームは同時に依存している仮定を列挙しました：ハッシュの衝突がないこと、検証者が偽造証明を拒否すること、契約の動作がモデルと一致すること。

慢雾によると、そのセキュリティチームは日常の脅威インテリジェンス調査の中で、Udeskカスタマーサービスシステムに関連するスクリプトudeskApi.2026-10-16.cached.jsが悪意のあるローダーに埋め込まれていることを発見しました。このローダーは16進数でエンコードされたアドレスを隠し、非同期でリモートスクリプトdeeps.jsをロードします（ソースはudeskqlobal[.]comで、ドメイン名はqで始まります）。このスクリプトは、ページでアクセス可能なCookie、localStorage、sessionStorageを読み取り、フォームやログイン、認証リクエストを傍受し、データをudeskqlobal[.]com/c.phpに送信します。攻撃者はこれを利用してセッションを偽装したり、アカウントを乗っ取ったりする可能性があります。このデータ収集行為は、ターゲットサイトのルールに制限されず、一致しないページも影響を受ける可能性があります。慢雾の分析によると、このスクリプトはmgbx[.]com、bikingex[.]およびbitxex[.]ioの3種類のサイトにも対応しており、200ミリ秒ごとにチャージページをスキャンし、識別されたチャージアドレスを事前設定されたBTC、EVM、TRON、Solana、LTC、DOGEのアドレスに置き換えます。同時に、スクリプトはクリップボードAPIをラップし、コピーボタンを置き換え、コピーイベントを傍受することで、ユーザーが見ることができ、コピーするのは改ざんされたアドレスだけになります。ユーザーがこのアドレスに送金すると、資金は攻撃者のアドレスに流れます。

腾讯の消息によると、10月27日、Tencent傘下のクロスボーダー決済プラットフォームTenPay Globalは、韓国のSamsung WalletおよびWoori Bankと提携し、クロスボーダーQRコード決済の相互接続を推進することになりました。韓国のユーザーが中国に来た際には、Samsung Wallet内のSamsung Wallet Money電子財布を使用して、WeChat Payの受取コードをスキャンしたり、商店に支払いコードを提示したりして、中国国内の数千万のWeChat Pay加盟店で消費することができます。

Bitcoin.com Newsによると、タイの共同プロジェクトがデジタルウォレットアプリWORPTを発表し、外国人観光客がUSDT、USDCなどのステーブルコインをタイバーツに交換し、タイのQR PromptPayネットワークを通じて地元の商人に支払いを行うことを可能にします。このアプリはタイ証券取引委員会の観光客向けDigipay規制サンドボックスプログラムの下で発表され、Waan ExchangeとWipayが共同開発し、USDT発行元のTether、The Mall Group、Visaが協力しています。サンドボックスの設計により、地元の商人は暗号通貨を直接受け取らず、支払いはタイバーツで標準的な決済システムを通じて清算されます。WORPTは、実体と仮想のVisaプリペイドカードを発表する計画もあり、ユーザーは同じタイバーツ残高を使用してQRコード決済とカード取引を行うことができます。このプロジェクトは2026年11月に正式な発表イベントを行う予定で、サンドボックスの要件に従った本人確認、取引監視、マネーロンダリング防止規則を遵守する必要があります。

AnthropicはナスダックにIPO申請を公開し、株式コードは「ANT」です。Anthropicの上半期の収益は163億ドルです。Anthropicは将来的に利益を実現または維持できない可能性があります。Anthropicは2026年6月30日までの6ヶ月間の純損失が807億ドルであることを報告しました。ゴールドマン・サックスとモルガン・スタンレーがAnthropicのIPOを主導しています。Anthropicは、2033年までにGoogleに最大約1145億ドルを支払うと予想しており、Broadcomとのリース契約に基づき、リース期間中に約1612億ドルの賃料（利息を除く）を支払うとしています。Anthropicは、計算およびインフラストラクチャの費用が絶対額で増加し続け、可視的な未来において会社の最大の運営支出となると予想しています。会社は、現在の利用可能な現金および現金同等物が少なくとも今後12ヶ月の運転資金およびその他のニーズを満たすのに十分であると信じていますが、現在の予想よりも早く追加の資金調達を求める必要があるかもしれないと警告しています。安全性の面では、Anthropicは最近、新世代の最先端基盤モデルの事前トレーニングを1ヶ月以上遅らせ、安全対策を強化し、モデルの重みの漏洩を防ぐことを発表しました。会社は、AIシステムが徐々にAI研究開発の自動化を実現するにつれて、関連するリスクが増加すると指摘しています。

アメリカ証券取引委員会（SEC）の開示文書によると、Cryptex Digital Market Cap ETFは10月23日に第六回目の有効前S-1修正案を提出し、取引コード「BAGZ」でナスダックに上場する予定で、発起人はCryptex Financeです。このファンドは、Cryptex Digital Market Cap Indexの構成および比率に基づいて、さまざまな暗号資産を直接保有する計画であり、指数に応じて再バランスを行います。文書に記載された初期の資産は、ファンドの純資産価値の5％以上に達する可能性があり、BTC、ETH、XRP、HYPE、DOGE、SHIB、ADAおよびCTXが含まれ、具体的な構成と比率は時間とともに変化します。この提出は登録申請の更新に該当し、SECがこの製品を承認したり、取引が開始されたことを示すものではありません。

Paradigmの最高技術責任者Georgios Konstantopoulosがツイートしました。今週、SolarのEVMコード生成（codegen）機能が発表される予定で、solcよりも100倍以上速く、アセンブリコードを一切書かずにガス効率の高いバイトコードを生成できるとのことです。

OpenAIはXプラットフォームで投稿し、最近のレッドチーム演習で、広く使用されている圧縮ライブラリBrotliに、認証なしでリモートコードを実行できる脆弱性が存在することを発見したと述べています。Node.js、Bun、Envoyなどのソフトウェアにはこのライブラリが組み込まれています。攻撃者は悪意のある圧縮データを送信することで、パッチが適用されていないサーバーを乗っ取ることができ、また、悪意のあるサーバーを通じて圧縮データを受け取るクライアントを乗っ取ることも可能です。OpenAIは、この問題の根本原因が今年の2月にBrotliのソースコードで修正されたが、その時点ではセキュリティ脆弱性として認識されていなかったと述べています。Brotliを内蔵しているソフトウェアはすべて、同期して更新する必要があります。The Hacker Newsによると、この脆弱性の識別番号はCVE-2026-111497で、Node.jsは10月21日に修正バージョンをリリースしました。

Zipcoinは運営を停止すると発表し、プロジェクトのコードリポジトリおよび関連するキーが全面的に侵害されたと述べました。攻撃者はプロジェクトのウォレットおよびインフラストラクチャを制御している可能性があります。チームは、過去12時間以内にコードの移行および証明書のローテーションを試みたが、実行可能な安全な解決策を見つけられなかったと述べています。Zipcoinはまた、プロジェクトが10月15日にUNCX事件の影響を受け、ハッカーがZC、PAAL、EDGENなどを含む複数のイーサリアムトークンからそれぞれの供給量の約1.1%に相当するトークンを盗み、公開市場で販売したことを明らかにしました。チームはその後、市場でトークンを買い戻し、将来のチームの約束に対応するトークンの不足を補うことを試みました。

中国工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が監視したところ、PHPに2つのリモートコード実行の超危険な脆弱性が存在し、深刻な危害をもたらすことが判明しました。PHPは、Web開発に広く使用されているオープンソースのサーバーサイドスクリプト言語であり、認証されていない攻撃者がこれらの脆弱性を利用してリモートで任意のコードを実行し、サーバーの制御、機密情報の漏洩、業務の中断などの危害を引き起こす可能性があります。影響を受ける範囲は、8.5シリーズの8.5.12未満、8.4シリーズの8.4.27未満、8.3シリーズの8.3.36未満、8.2シリーズの8.2.35未満、及び8.1シリーズおよびそれ以前のバージョンを含みます。PHPセキュリティチームは脆弱性を修正し、安全に関する公告を発表しました。NVDBは関連する機関とユーザーに対し、直ちに調査を行い、最新の安全バージョンにアップグレードするか、一時的にオフラインにする、セッションアップロード進捗機能を無効にする、ネットワーク隔離、ネットワークアクセス制限などの一時的な防護措置を講じることを推奨し、監視と管理を強化し、アカウント、パスワード、キーなどの証明書を適時修正するように呼びかけています。

腾讯云安全中心監視によると、PHPにリモートコード実行の脆弱性が公開されました。脆弱性番号はそれぞれCVE-2026-109618、CVE-2026-109619で、コードネームは「php2shell」です。この脆弱性により、認証されていないリモート攻撃者が特製のmultipart POSTリクエストを送信することで、メモリ破壊を引き起こし、最終的にリモートコード実行を実現し、サーバーを完全に制御するなどの危害をもたらす可能性があります。腾讯云安全は、影響を受ける範囲にある場合は、迅速に安全な自己点検を行い、適時に更新修正を行い、外部攻撃者による侵入を避けることを推奨します。