脆弱性

Anthropicが発表したところによると、Claudeが作成した脆弱性を利用するプログラムは特定のLinuxサーバー上でリモートコマンドを実行でき、Ubuntuの複数のバージョンの修正はまだ進行中です。

ブロックチェーン脆弱性報酬プラットフォーム Immunefi は、Immunefi Credits の開始を発表しました。提出手数料メカニズムが開始されて以来、研究者は有効な報告に対して支払われた手数料と同額の Credits を受け取ることができます。対象には、自己の有効な発見、有効な報告の重複提出、プライベートな既知の問題、および調停結果が研究者に有利な場合が含まれます。プラットフォームによれば、すでに700人以上の研究者が Credits を受け取っており、別途申請する必要はなく、額はコントロールパネルの残高に関連する Credits ページで確認できます。Immunefi は、即日より Credits をプラットフォーム内の報告提出、調停、アカウント認証などの費用に使用でき、Immunefi Studio が一般に公開された後は関連サービスにも使用されると述べています。1 Credit の価値は1ドルで、USDC で購入可能です。Credits は脆弱性報酬や監査コンペティションの報酬に代わるものではなく、有効な発見は引き続き元のルールに従って報酬を受け取り、さらに提出手数料と同額の Credits を追加で受け取ります。今回の遡及発行の Credits は即日より有効期限が12ヶ月で、その後は各 Credits が入金日より12ヶ月有効で、アカウントに紐づけられ、譲渡や現金化はできません。計上可能な状況には、脆弱性報酬で既に支払われた自己の発見、他者の有効な報告の重複、プライベートな既知の問題およびその重複、調停勝訴時の調停費用が含まれます。公開された既知の問題、無効な報告、範囲外、ポリシー違反、拒否された報告の重複、及び自己報告の重複は計上されません。アカウント認証費用は、認証後に有効な報告があり、正確率が少なくとも25%に達した場合に同額の Credits を受け取ることができます。費用メカニズムは3月24日より脆弱性報酬に適用され、4月10日より監査コンペティションに適用され、現在関連の検証は約2週間ごとに行われています。

オープンソースAIの専門家であるJun SongはXで次のように発言しました：昨日、匿名のブラックハット組織が彼に連絡を取り、強化学習のリクエストを提案し、非常に高額な報酬を支払う意向を示し、オープンソースの重みモデルに対して後処理を依頼しました。使用されるデータは脆弱性の悪用データです。Jun Songは同時に韓国のデータセンターのハードウェア輸出業務を運営し、プロジェクト0xSupergemmaを推進しています。Jun Songは、相手が持っている攻撃データの規模は彼が今まで見たことがないものであり、たとえ誰かがそれが法執行機関の潜入データセットであると言っても、彼は信じるだろうと述べました。対照として、彼が参加しているホワイトハットプロジェクトはGLM-5.3を使用しており、データ量はその規模の1%にも満たず、パフォーマンスはすでに最先端のモデルを大幅に上回っています。彼はそのリクエストを拒否し、最終的に他の誰かがこの取引を受け入れることを本当に心配していると述べました。

Solana財団のバリデーター関係責任者Tim Garciaは、Linuxカーネルの脆弱性CVE-2026-98432がLinuxカーネルで修正されたが、Ubuntuはまだパッチをリリースしていないとツイートしました。Tim Garciaは、Ubuntuを実行しているバリデーターに対し、IPv4オプションを含む受信TCPパケットを一時的にブロックし、マルチパスTCPおよびTCPリクエストソケットの移行を無効にすることを推奨しました。

Cardano エコシステムガバナンス組織 Intersect が発表した最新の週報によると、CVE-2026-98432 番号の深刻な Linux カーネルの脆弱性が、Ubuntu を含む複数の Linux ディストリビューションに影響を与える可能性があり、その CVSS セキュリティリスクスコアは 9.8 点（満点 10 点）に達しています。Intersect は Cardano ステーキングプールオペレーター（SPO）に対し、ブロック生成ノードおよびリレー ノードで使用されている Linux カーネルのバージョンを直ちに確認し、該当するディストリビューションがセキュリティパッチをリリースした後、できるだけ早くサーバーを更新および再起動するよう警告しています。現在、一部の Linux ディストリビューションは修正パッチを提供していますが、Ubuntu を含む一部のディストリビューションはまだ更新の準備を進めています。Intersect は、公式 X アカウントおよびステーキングプールオペレーターコミュニティを通じて、引き続きセキュリティガイダンスを発信すると述べています。

OnKey 創業者 Yishi は X プラットフォームで、古い iPhone を暗号資産のコールドウォレットとして使用することには安全リスクがあると警告しました。iPhone 4S から iPhone X には BootROM 内の checkm8 脆弱性が存在し、今年 6 月に公開された usbliter8 脆弱性の影響範囲には iPhone XS、XR、11 シリーズおよび第 2 世代 SE が含まれ、いずれもデバイスの基盤となる起動コードに関わっており、iOS システムの更新では修正できません。攻撃者がデバイスの物理的アクセス権を取得した場合、USB ポートを介して iOS 起動前にコードを実行でき、飛行機モードにしてもこの種の攻撃を防ぐことはできません。Yishi は、iPhone 11 およびそれ以前のモデルを助記詞の保存に使用しないことを推奨しています。すでにこのようなデバイスで助記詞を保存しているユーザーは、信頼できる環境で新しい助記詞を生成し、資産を移行するべきであり、単に元の助記詞のウォレットアドレスを変更するだけでは不十分です。さらに、ユーザーはシステムを迅速に更新し、より複雑なデバイスおよびウォレットのパスワードを使用し、公共の USB ポートでの充電を避け、自身の制御から長時間離れている間に物理的攻撃を受ける可能性に警戒する必要があります。以前、OneKey 創業者 Yishi は X プラットフォームで、ユーザーに iPhone をコールドウォレットとして使用することを提案しましたが、iPhone 17 以降のモデルのみを推奨しました。

慢雾セキュリティチームの分析によると、クロスチェーンプロトコル zkLink が攻撃を受け、約 78.3 万ドルの損失が発生しました。攻撃者は、一時的なストレージに残る検証値を利用して、出金検証に必要なバッチルートを偽造し、その後 12 回の出金を完了しました。これには 1 回の ETH 出金と 11 回の ERC-20 トークン出金が含まれます。攻撃者は、最初に実際のクロスチェーンメッセージを通じて検証値を取得し書き込み、その後同じ取引の後続呼び出しでその値を再利用し、中継およびゲートウェイコントラクトを利用して偽造されたバッチルートを書き込みました。関連するコントラクトは、中継者が外部呼び出しのターゲットとパラメータを指定できることを許可しており、検証値は現在の呼び出しに対してクリアされず、バインドされていません。バッチルートの更新はゲートウェイの身元のみを検証し、独立した証明検証が欠けています。

プライバシー公チェーン Iron Fish の公式発表によると、当日正式に Iron Fish ネットワークへの全ての残りのサポートを終了することを発表しました。チームは、数日前に wIRON とクロスチェーンブリッジ ChainPort に関する異常な活動を観察し、ChainPort と協力してそのログをレビューした結果、原因は Iron Fish ブロックチェーン自体にインフレーションの脆弱性が存在することを確認しました。公式によると、この脆弱性は2019年初頭の Merkle ツリーの実装における一回のコミットに遡ることができます。当時、開発者は標準的な Merkle ツリーを実装しましたが、チケットの nullifier の計算方法に細かい違いがあったため、攻撃者は同じチケットを何度も使うことができ、その後関連するチケットをまとめて ChainPort クロスチェーンブリッジを通じて転送しました。公式は、このコードパスは外部および内部監査の範囲に含まれていたが、審査時には発見されなかったと述べています。チームは、ironfish コードベースを閉鎖しアーカイブする前に脆弱性パッチを提出し、関連する PR に事後説明を添付したと述べています。Iron Fish メインネットは2023年4月20日に立ち上げられ、開発会社はその後 Coinbase に買収されました；財団は2026年4月にメンテナンスモードに移行することを発表しました。

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開 Web アプリケーションにおいて、認証なしで利用できる深刻なリモートコード実行の脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。この脆弱性により、攻撃者は特定の Web リクエストを構築することで、root 権限でバックエンドコンテナ内でコードを実行し、ローカルの保護されたリソースや外部ネットワークにアクセスできる可能性があります。XBOW は、EAC が公表した脆弱性開示ポリシーに基づいてこの問題を報告し、EAC チームによって検証された後、この脆弱性はアメリカ合衆国の中間選挙の前に修正されたと述べています。

ネットワークセキュリティ会社 XBOW は、アメリカ合衆国選挙援助委員会（EAC）の公開Webアプリケーションにおいて、認証なしで悪用可能な深刻なレベルのリモートコード実行脆弱性を発見したと発表しました。このアプリケーションは、リソースと物流の計算に使用されており、投票機や有権者登録システムではありません。

インドの証明書発行機関eMudhraの暗号セキュリティの脆弱性が、EthereumクライアントTekuとBesuに影響を及ぼしています。研究者は、eMudhra傘下の8つの中間証明書発行機関の秘密鍵がランダム性不足のために推測される可能性があることを発見しました。攻撃者はこれにより証明書を偽造し、修正されていないソフトウェアを利用して悪意のあるサービスを信頼させることができます。Tekuは26.1.3バージョンをリリースし、Besuは26.1.2バージョンをリリースしました。どちらもDockerイメージ内で関連証明書への信頼を削除しました。攻撃者が中間者攻撃を実施した場合、一部のバリデーターがブロック手数料の報酬を攻撃者のアドレスに送信するよう誘導される可能性があります。外部署名器を使用する特定の構成では、リスクがさらに高まる可能性があります。Tekuチームは、デフォルト構成のEthereumメインネットTekuノードは影響を受けず、行動を取る必要はないと述べており、現在のところ脆弱性が悪用されたという報告はありません。ホスト上で直接TekuまたはBesuを実行し、Dockerを使用していないオペレーターは、クライアントを更新するだけでは不十分な場合があり、Javaおよびその信頼された証明書リストを手動で更新する必要があります。サポートが終了したJava 26を使用しているオペレーターは、Java 25に移行する必要があります。

Bitcoin Coreは3つの新しい脆弱性を発見しました。そのうちの1つの脆弱性は、攻撃者がリモートでノードをクラッシュさせることを可能にします。この脆弱性は、メモリを使い果たすことで、Windows、macOS、またはBSDを実行しているノードに影響を与えますが、Linuxノードはこの攻撃の影響を受けません。もう1つの脆弱性は、ノードのメモリを徐々に使い果たすことができ、3つ目はブロックチェーンの取り消しデータを損傷させる可能性があります。

研究者は東京で開催された安全会議で、Telegramの絵文字スタンプ機能にゼロクリックの脆弱性が存在することを明らかにし、攻撃者がユーザーのいかなる操作も必要とせずにiOSデバイス上でコードを実行できることをデモしました。しかし、Telegramはこの脆弱性のリスク評価に異議を唱えました。

Bitcoin News の監視によると、Electrum は 2026 年 10 月 24 日に 4.8.3 バージョンをリリースし、実際の攻撃に使用されたセキュリティ脆弱性を修正しました。悪意のあるサーバーはユーザーに偽の取引を表示し、ユーザーが代替手数料（RBF）を使用して取引を加速しようとする際に、攻撃者のアドレスへの支払いを署名するように誘導します。攻撃者はユーザーの秘密鍵を取得する必要はありません。Electrum は関連する報告を 2 件受け取ったと述べており、そのうちの 1 人のユーザーは手数料を引き上げた後にビットコインを失ったと報告しており、ユーザーに 4.8.3 バージョンへの更新を推奨しています。

ビットコインのセキュリティ専門家 Jameson Lopp は、ネットワーク攻撃が「指数関数的」なペースで増加していると述べています。彼は、過去2ヶ月半で脆弱性の発見数が指数関数的に増加しており、攻撃者が未検証のAIモデルを先に採用しているため、セキュリティ研究者は「十分な休息を得られていない」と指摘しました。Lopp は、Bitcoin Core がセキュリティポリシーを調整した理由を説明しました。AIは簡単なプロンプトで脆弱性を発見できるため、セキュリティ対策は年に一度の監査からリアルタイム防御に移行し、開発プロセスに組み込む必要があります。彼はまた、PHPのリモートコード実行脆弱性を分析し、実際の影響は予想よりも小さいと考えています。さらに、Lopp はGoogleの50万量子ビットの推定が物理量子ビットと論理量子ビットの違いに関わることを指摘しました。もし量子脅威の時間窓が10年未満であれば、業界は後れを取ることになります。現在利用可能な量子ビットは数百個しかなく、量子のアップグレードはTaproot、コンセンサスルール、未検証の暗号学のために数年を要します。約30%のアドレスには公開鍵が露出しており、攻撃者はこれらのアドレスを優先的に狙います。修復不可能なハードウェアの問題や「レンチ攻撃」は700件を超えています。

Initiaの監視によると、10月23日に発見された脆弱性に対して、安全修復策が策定され、現在安全パートナーと監査を行っています。監査が完了次第、Initiaは影響を受けた資産のサポートをどのように回復し、Initia L1およびRollupネットワークを秩序正しく再起動するかについて具体的な計画を発表します。このプロセスは今後数日以内に完了する見込みです。

CoinDeskの報道によると、大量のAI支援による脆弱性報告が寄せられ、Solanaの検証クライアントFiredancerチームは、研究者が脆弱性報告を提出するたびに1枚のSOL（約100ドル）を永久に消却することを要求しています。これは、ゴミ報告を抑制するためです。この費用は返金不可で、報告が無効、範囲外、または重複していても同様です。SOLが消却されていない報告は、報酬を受け取る資格がありません。4月9日から5月9日までの100万ドルの監査コンペティションには、162名の研究者が809件の報告を提出し、127件の独自のセキュリティ発見が生まれました。ほぼ半数の有効な提出は重複していました。Jump Cryptoは、ほぼすべての提出にAIエージェントが発見または執筆に関与していると考えています。未処理の報告は一時299件に達しました。その間、Jumpは報酬基準を引き上げ、条件を満たす発見は11月20日までに標準報酬の2倍を得ることができ、Alpenglow特定の脆弱性は3倍、重要な発見は最高30万ドルとなります。

CoinDesk の報道によると、イーサリアムの開発者は Glamsterdam アップグレードの中で発見された脆弱性を修正しました。この脆弱性は、オペレーターがステーキングサービスを利用して新しいバリデーターのための ETH を持ち去る可能性がありました。修正はバリデーターの預金処理ルールを変更し、月曜日に統合されましたが、開発者は一週間前にこの修正を拒否していました。研究者 avsetsin は、オペレーターが特定の公開鍵を使用してビルダーとして登録し、その後ステーキングサービスが同じ鍵を使用して ETH を預けてバリデーターを起動した場合、草案ルールが両方の預金をビルダーに記録することを発見しました。avsetsin は、これは条件付きコードの発見であり、確認されたリアルタイムの脆弱性の利用ではないと述べています。既存のチェックが攻撃を防ぐことができ、現在のところ損失の報告はありません。新しいルールは、引き出し証明書に基づいて預金の順序を処理し、バリデーターの預金が依然としてバリデーターに帰属するようにします。Glamsterdam は Sepolia テストネットで稼働していますが、Hoodi テストネットの立ち上げは延期されており、メインネットの立ち上げ前に新しい日付を決定する必要があります。

脆弱性報酬プラットフォーム Immunefi の CEO ミッチェル・アマドールは、インターネットユーザーが PHP の脆弱性によって引き起こされるネットワーク攻撃のリスクに直面していると警告しました。特に、緊急アップグレードが遅い小規模なウェブサイトは、修正に数週間かかる可能性があります。彼は「脆弱性の終末」が計画通りに到来しており、脆弱性を発見するコストが低下する一方で、脆弱性を修正するコストは依然として高いと述べました。彼は、ユーザーに対して今後数週間、ログインしたすべてのウェブサイトを攻撃されている可能性があると見なし、パスワードの使い回しを避け、暗号ウォレットを接続する際には注意を払い、認識できないトークンの権限を取り消すように勧めました。以前、PHP財団はリソース不足のため、2024年に初めて発見された深刻なセキュリティ脆弱性の修正を遅らせたことを認めました。PHP開発者は同日に2つの深刻な脆弱性のための緊急パッチをリリースしましたが、各ウェブサイトは自らアップグレードを行う必要があります。CloudflareのCEO マシュー・プリンスは、PHPの脆弱性が公に開示された24時間以内に、ネットワーク上で数百万回の悪用試行が記録され、開示前にも数千回の試行があったと述べました。W3Techsの推計によれば、PHPは約69%の既知のサーバーサイドプログラミング言語を持つウェブサイトをサポートしており、これらの脆弱性は攻撃者がマルウェアを広めたり、ウェブサイトに悪意のあるスクリプトを注入したりすることを可能にする可能性があります。アメリカ連邦捜査局のサイバー部門も、これらの脆弱性が悪意のある行為者に「PHPコア内でリモートコードを実行させる可能性があり、敏感なデータやネットワークを危険にさらす可能性がある」と警告しています。アマドールは6月にCointelegraphのインタビューで、最先端のAIモデルの普及がサイバーセキュリティの状況を変え、攻撃者に有利な状況をもたらし、「脆弱性の終末」を引き起こし、DeFiのハッキング攻撃の再発を引き起こしていると警告しました。Immunefiは世界最大の脆弱性報酬プラットフォームであり、これまでに650のプロトコルに対して1.4億ドルの報酬を支払っています。

研究者は PHP の脆弱性を利用して「私のビットコインを盗む」（Steal My Bitcoin）チャレンジを成功裏に攻略しました。このチャレンジの賞金は 0.02511679 BTC でした。しかし、チャレンジ運営側は後にサーバーに保存されていたのが誤ったウォレットキーであることに気付き、最終的に手動で賞金をその研究者に転送せざるを得ませんでした。