モート

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開 Web アプリケーションにおいて、認証なしで利用できる深刻なリモートコード実行の脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。この脆弱性により、攻撃者は特定の Web リクエストを構築することで、root 権限でバックエンドコンテナ内でコードを実行し、ローカルの保護されたリソースや外部ネットワークにアクセスできる可能性があります。XBOW は、EAC が公表した脆弱性開示ポリシーに基づいてこの問題を報告し、EAC チームによって検証された後、この脆弱性はアメリカ合衆国の中間選挙の前に修正されたと述べています。

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開Webアプリケーションにおいて、認証なしで悪用可能な深刻なレベルのリモートコード実行脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。

Bitcoin Coreは3つの新しい脆弱性を発見しました。そのうちの1つの脆弱性は、攻撃者がリモートでノードをクラッシュさせることを可能にします。この脆弱性は、メモリを使い果たすことで、Windows、macOS、またはBSDを実行しているノードに影響を与えますが、Linuxノードはこの攻撃の影響を受けません。もう1つの脆弱性は、ノードのメモリを徐々に使い果たすことができ、3つ目はブロックチェーンの取り消しデータを損傷させる可能性があります。

OpenAIはXプラットフォームで投稿し、最近のレッドチーム演習で、広く使用されている圧縮ライブラリBrotliに、認証なしでリモートコードを実行できる脆弱性が存在することを発見したと述べています。Node.js、Bun、Envoyなどのソフトウェアにはこのライブラリが組み込まれています。攻撃者は悪意のある圧縮データを送信することで、パッチが適用されていないサーバーを乗っ取ることができ、また、悪意のあるサーバーを通じて圧縮データを受け取るクライアントを乗っ取ることも可能です。OpenAIは、この問題の根本原因が今年の2月にBrotliのソースコードで修正されたが、その時点ではセキュリティ脆弱性として認識されていなかったと述べています。Brotliを内蔵しているソフトウェアはすべて、同期して更新する必要があります。The Hacker Newsによると、この脆弱性の識別番号はCVE-2026-111497で、Node.jsは10月21日に修正バージョンをリリースしました。

中国工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が監視したところ、PHPに2つのリモートコード実行の超危険な脆弱性が存在し、深刻な危害をもたらすことが判明しました。PHPは、Web開発に広く使用されているオープンソースのサーバーサイドスクリプト言語であり、認証されていない攻撃者がこれらの脆弱性を利用してリモートで任意のコードを実行し、サーバーの制御、機密情報の漏洩、業務の中断などの危害を引き起こす可能性があります。影響を受ける範囲は、8.5シリーズの8.5.12未満、8.4シリーズの8.4.27未満、8.3シリーズの8.3.36未満、8.2シリーズの8.2.35未満、及び8.1シリーズおよびそれ以前のバージョンを含みます。PHPセキュリティチームは脆弱性を修正し、安全に関する公告を発表しました。NVDBは関連する機関とユーザーに対し、直ちに調査を行い、最新の安全バージョンにアップグレードするか、一時的にオフラインにする、セッションアップロード進捗機能を無効にする、ネットワーク隔離、ネットワークアクセス制限などの一時的な防護措置を講じることを推奨し、監視と管理を強化し、アカウント、パスワード、キーなどの証明書を適時修正するように呼びかけています。

腾讯云安全中心監視によると、PHPにリモートコード実行の脆弱性が公開されました。脆弱性番号はそれぞれCVE-2026-109618、CVE-2026-109619で、コードネームは「php2shell」です。この脆弱性により、認証されていないリモート攻撃者が特製のmultipart POSTリクエストを送信することで、メモリ破壊を引き起こし、最終的にリモートコード実行を実現し、サーバーを完全に制御するなどの危害をもたらす可能性があります。腾讯云安全は、影響を受ける範囲にある場合は、迅速に安全な自己点検を行い、適時に更新修正を行い、外部攻撃者による侵入を避けることを推奨します。

慢雾安全予警は、PHPが10月20日に安全公告を発表し、リモートコード実行（RCE）を引き起こす可能性のある2つの深刻なセキュリティ脆弱性、番号はそれぞれCVE-2026-109618とCVE-2026-109619で、CVSS v4スコアはどちらも9.2であることを明らかにしたと述べています。現在、PHP公式は修正パッチをまだ発表しておらず、脆弱性の具体的な影響を受けるバージョンや利用条件はまだ確認されていません。既存の情報によると、PHP公式は10月21日14:00 UTC（北京時間22:00）に安全更新を発表する予定です。慢雾は関連機関に対し、サーバーおよび業務システム内のPHPバージョンを早急に調査し、特に公に露出しているPHPサービスに注意を払い、パッチが公開された後に迅速にアップグレードすることを推奨しています。暫定的にアップグレードできないシステムは、アクセス元を制限し、必要に応じて隔離措置を講じるべきです。

网易 UU リモートは GitHub で第三者アプリ接続プロトコルを公開しました。開発者は自分の iOS、Android アプリにコンピュータのリモートコントロールの入口を追加できます。AI プログラミングアシスタントに「仕事用コンピュータに接続」ボタンを追加する例を挙げると、ユーザーが初めてクリックすると UU リモートにリダイレクトされ、自分の Windows または Mac を選択してバインドします。その後、再度クリックすることで直接リモートコントロールを開始でき、デバイスを繰り返し探す必要はありません。リモートコントロールは全画面表示とピクチャーインピクチャーをサポートしており、ユーザーはスマートフォン上の他のアプリを使用しながら、UU リモートの浮遊ウィンドウを通じてコンピュータを操作できます。外出中に自宅の Mac 上の Claude Code または Codex がタスクを完了しているかを確認するために、第三者アプリから直接リモートコントロールを呼び出すことができます。開発者はウィンドウモードの接続結果を取得し、デバイスがオフラインか、接続が失敗したかを判断できます。今回オープンされたのはアプリ間呼び出しプロトコルであり、リモートコントロールエンジンのソースコードではなく、AI が自動的にコンピュータを操作するためのインターフェースではありません。第三者アプリは、インストール済みの UU リモートクライアントを呼び出す必要があり、実際のリモートコントロールは网易によって行われます。現在、制御されるデバイスは Windows と macOS のみをサポートしており、モバイル端末は UU リモート 4.42.0 またはそれ以降のバージョンを使用する必要があります。

SolanaFloor の報道によると、TOKEN2049 の参加者がシンガポール警察に報告書を提出し、TOKEN2049 の期間中に行われた「Don't Get Played」という暗号セキュリティ関連イベントに関与しているとのことです。自称 Apex Accelerator と Stone Venture の主催者がこのイベントを推進しています。主催者は現場で参加者に圧力をかけ、悪意のあるソフトウェアをインストールさせるよう誘導したとされています。このソフトウェアは主催者が参加者のコンピュータを完全に遠隔操作できるようにするものです。

Cointelegraphの報道によると、BTCPayサーバーは、Lightning Network Daemon (LND) ソフトウェアを実行しているLightning Networkノードへの公共リモート接続を一時的に制限しました。これは、攻撃者が深刻な脆弱性を利用して認証情報を取得し、資金を移転したためです。BTCPayは、この制限により、Zeusなどの外部ウォレットがBTCPayサーバーのドメインを介して接続するのを防ぐことができると述べています。BTCPayは、Lightning支払いは引き続き行えるとし、安全だと判断した際にリモートアクセスオプションを復元する計画です。

Vitalik Buterin は、CROPS AI に関連する複数の進展を更新し、「CROPS イーサリアム接続層」と「CROPS AI」には明らかな交差点があると指摘しました。彼は、ゼロ知識証明方式を通じてリモートの大規模言語モデルに対して有料呼び出しを行うことができれば、イーサリアムのプライベート RPC 読み取り問題を解決するためにも使用できると述べました。同時に、Deepseek v4 がリリースされ、2ビット量子化バージョンは 90 GB 内で動作可能ですが、現在は Apple ハードウェア上でより高速です；メッセージアプリ messa は Telegram Alpha 機能をサポートしました；モデル実行ツール luceb は、計算集約型モデルを実行する際により高い効率を示しました；ローカル AI 録音ツール VoxTerm は引き続き開発中です。Vitalik Buterin はまた、特定のアプリケーションに向けて微調整された大規模言語モデルが安全なコード作成能力を向上させるのに役立つと述べ、イーサリアム関連のシナリオにも相応の微調整モデルが必要であるとしました。

攻撃者は、JavaScriptで最も人気のあるHTTPクライアントライブラリAxiosの主要メンテナーのnpmアクセス令牌を盗み、その令牌を利用してクロスプラットフォームのリモートアクセス型トロイの木馬（RAT）を含む2つの悪意のあるバージョン（axios@1.14.1とaxios@0.3.4）を公開しました。これらはmacOS、Windows、Linuxシステムを対象としています。悪意のあるパッケージはnpmレジストリ上で約3時間生存した後に削除されました。セキュリティ会社Wizのデータによると、Axiosの週あたりのダウンロード数は1億回を超え、約80%のクラウドおよびコード環境に存在しています。セキュリティ会社Huntressは、悪意のあるパッケージが公開されてから89秒後に最初の感染を検出し、露出ウィンドウ期間内に少なくとも135のシステムが侵害されたことを確認しました。注目すべきは、Axiosプロジェクトは以前にOIDC信頼できる公開メカニズムやSLSAトレーサビリティ証明などの現代的なセキュリティ対策を導入していたにもかかわらず、攻撃者はこれらの防御を完全に回避しました。調査の結果、プロジェクトはOIDCを設定する際に従来の長期有効なNPM_TOKENを保持しており、npmは両者が共存する場合、デフォルトで従来のトークンを優先して使用するため、攻撃者はOIDCを突破することなく公開を完了できました。

慢雾の監視によると、Apifox デスクトップクライアントはサプライチェーン攻撃に遭い、その公式 CDN がホスティングするフロントエンドスクリプトファイルに高度に難読化された悪意のある JavaScript コードが注入されました。影響を受けたユーザーは、認証情報の盗難、機密データの漏洩、リモートコマンドの実行などのリスクに直面する可能性があり、悪意のあるコードは自動的に実行され、高度に隠蔽されています。慢雾はユーザーに対し、すべてのトークンを直ちに取り消し、パスワードをリセットし、ログアウトして再ログインしてセッションを無効にし、*.apifox.it.com ドメインをブロックし、ローカルストレージをクリアし、API ログと異常な活動を確認することを推奨しています。

GoPlus 日本語コミュニティは X プラットフォームで警告を発表し、北朝鮮のハッカーが npm レジストリに 26 の悪意のあるパッケージを公開したと伝えています。これらの悪意のあるパッケージには、インストール中に自動的に実行されるインストールスクリプト ("install.js") が添付されており、"vendor/scrypt-js/version.js" にある悪意のあるコードを実行します。悪意のあるコードは、同じ悪意のある URL を通じてリモートアクセス型トロイの木馬（RAT）をダウンロードして実行し、キーボードの入力を記録したり、クリップボードを盗んだり、ブラウザの認証情報を収集したり、TruffleHog を使用して Git リポジトリの秘密をスキャンしたり、SSH キーを盗んだりするなどの悪意のある行為を実施します。この事件は、「Famous Chollima」と呼ばれる北朝鮮のハッカー活動に関連しています。

GoPlus Security は、PromptSpy という新しい Android マルウェアに注意するようユーザーに警告しています。このマルウェアは、フィッシングサイト（銀行のウェブサイトを装ったものなど）を通じてユーザーに APK ファイルをダウンロードさせ、アクセシビリティ権限を取得した後にデバイスをリモートで制御します。PromptSpy の特異性は、Google Gemini API を利用してデバイスのインターフェースを分析し、攻撃戦略を策定することで、異なるスマートフォンブランドやシステムバージョンにより適応し、攻撃の隠密性と成功率を高める点にあります。

慢雾首席情報セキュリティ責任者 23pds は X プラットフォームで、"graphalgo" という名前の偽の採用活動がリモートアクセス型トロイの木馬（RAT）を利用して暗号通貨開発者を攻撃していると警告しています。

xAI は暗号通貨金融専門家（Crypto Finance Expert）を募集しています。時給は 45 ドルから 100 ドルで、この職種は完全リモート勤務です。このポジションの仕事内容は、量子暗号戦略における複雑な問題を解決することです。具体的には、オンチェーンデータと資金フローの分析、DeFi の収益と流動性モデリング、永続契約と資金費率戦略、CEX/DEX のクロスマーケットアービトラージ、暗号市場のミクロ構造と MEV 研究、機械学習駆動の暗号アルファ信号、そして 7×24 時間の高ボラティリティ市場におけるポートフォリオ管理とリスクコントロールを含みます。また、AI モデルのトレーニングとベンチマーク評価のために、テキスト、音声、動画形式で専門的な分析を提供する必要があります。候補者に求められる主要な資格：量子金融、コンピュータサイエンス、統計学などの関連分野での修士または博士の背景、または同等のレベルの量子暗号通貨トレーダー、システムストラテジスト、またはオンチェーンアナリストとしての専門的な経験。優れた英語の書面および口頭コミュニケーション能力、暗号通貨のデータソースとツールに精通し、優れた分析能力、細部への注意、情報が不完全な状況で合理的な判断を下す能力を持っていること。

据 The Hacker News 报道，Cyata 研究员披露 Anthropic 维护的 mcp-server-git 存在三项严重安全漏洞（CVE-2025-68143/44/45），可被利用执行路径穿越与参数注入，甚至实现远程代码执行。这些漏洞可通过提示注入被武器化，攻击者仅需控制 AI 助手读取恶意内容即可触发攻击。漏洞已在 2025 年 9 月与 12 月版本中修复，官方已移除 git_init 工具并增强路径校验，建议用户尽快更新至最新版。

Anthropic が管理する公式 mcp-server-git に 3 つのセキュリティ脆弱性が発見されました。これらの脆弱性は、プロンプトインジェクション攻撃手法を通じて悪用される可能性があり、攻撃者は被害者のシステムに直接アクセスすることなく、悪意のある README ファイルや損なわれたウェブページを介して脆弱性を引き起こすことができます。これらの脆弱性には、CVE-2025-68143（制限のない git_init）、CVE-2025-68145（パス検証のバイパス）、および CVE-2025-68144（git_diff におけるパラメータインジェクション）が含まれます。これらの脆弱性をファイルシステム MCP サーバーと組み合わせて使用すると、攻撃者は任意のコードを実行したり、システムファイルを削除したり、任意のファイル内容を大規模言語モデルのコンテキストに読み込むことができます。Cyata は、mcp-server-git が repo_path パラメータに対してパス検証を行っていないため、攻撃者がシステムの任意のディレクトリに Git リポジトリを作成できると指摘しています。さらに、.git/config にクリーンアップフィルターを設定することで、攻撃者は実行権限なしにシェルコマンドを実行することができます。Anthropic は 2025 年 12 月 17 日に CVE 番号を割り当て、修正パッチを提出しました。ユーザーには mcp-server-git を 2025.12.18 以降のバージョンに更新することを推奨します。

据 a16z 普通合伙人 Ali Yahya 发文指出，隐私将成为加密货币领域最重要的护城河。Ali 表示，由于秘密信息难以迁移，隐私功能足以使新链与其他链区分开来，并创造链上锁定效应。当用户在公共区块链上时，可以轻松与其他链上的用户交易，但在私有区块链上，用户选择的链更为重要，因为一旦加入某条链，用户不太可能冒险暴露自己而转移到其他链。Ali 认为，这将创造赢家通吃的动态，由于隐私对大多数现实世界用例至关重要，少数隐私链将占据加密货币生态的大部分市场。