セキュリティ脆弱性のニュースと分析

セキュリティ脆弱性に関する製品動向と業界分析を全9件掲載しています。

Visual StudioとSSMSのCopilotで、末尾のピリオドが保護ファイルの検査をすり抜けリモートコード実行に至る。MicrosoftはCVE-2026-103572を10月の更新で修正した。

Anthropicは10月8日、オープンソースプロジェクト向けに無料の脆弱性スキャンサービスを公開。生成された報告は人の審査を経ずそのままメンテナーに届く。

マイクロソフトの年次報告書は、脆弱性の武器化が24時間未満に短縮される一方、修正には30~60日かかると指摘した。

Muse Mac版の未文書化の隠し設定は誰でも書き換え可能で、音声データや連携iPhoneへのアクセスが奪われる恐れがあった。MetaはCVE申請なしで修正した。

Trail of Bitsが1PasswordのAIパッチベンチマークを再採点したところ、成功率は26%ではなく86%になった。原因はモデルの実力ではなく採点方法にあるという。

ワンタップのroot化脆弱性で、Pixelの安全チップに偽造写真へ正規のC2PA署名をさせられる。Googleは修正不可能と判断した。

TeamPCPのサプライチェーン攻撃がNx Consoleなどを悪用し、GitHub、OpenAI、Mistralの開発者認証情報を狙った。

CVE-2026-25874は、Hugging Face LeRobotのPolicyServerに到達できる攻撃者がpickle反序列化経由でコードを実行できる問題だ。

サプライチェーンセキュリティレポートが、AnthropicのMCPプロトコルにおける設計レベルの欠陥を指摘。1億5000万以上のダウンロードと約20万台のサーバーに影響が及ぶ可能性があるが、Anthropicは修正を拒否し「想定内の動作」としている。