🏆 Today's Briefing
🔐 Security
Pwn2Own Automotive 2026で76件のゼロデイ脆弱性が報告され、ハッカーが104万ドル超の賞金を獲得
セキュリティコンテスト「Pwn2Own Automotive 2026」にて、研究者らが76件のゼロデイ脆弱性を発見しました。対象は車載システムやEV充電器に及び、賞金総額は100万ドルを突破。自動車のコネクテッド化が進む中、ソフトウェアの脆弱性が物理的な安全に直結するリスクが浮き彫りになっています。
自動車業界におけるソフトウェアの脆弱性が深刻なレベルに達していることを示す象徴的なイベントです。特にEV充電器やIVIシステムへの攻撃成功は、今後の社会インフラ全体のセキュリティを考える上で重要な指標となります。
何があった？
自動車のセキュリティ脆弱性を発見するコンテスト「Pwn2Own Automotive」で、3日間で76件もの未知の脆弱性（ゼロデイ）が報告されました。EV充電器や車載インフォテインメントシステムなどが対象となり、発見者には総額104万ドル以上の賞金が支払われました。
影響を受ける範囲
自動車メーカー、関連部品サプライヤー、そしてコネクテッドカーを利用する全てのユーザーが影響範囲です。特に、ソフトウェア更新を頻繁に行わない車両や、サードパーティ製アプリを搭載したシステムはリスクが高まります。
どこが重要？
発見された脆弱性の数が非常に多い点が重要です。これは自動車のソフトウェアがまだ成熟しておらず、多くの攻撃経路が存在することを示唆しています。サーバーの脆弱性とは異なり、物理的な安全に直結するため、より高度な対策が求められます。
今後の注目点
今回報告された脆弱性に対し、各メーカーがどのように修正パッチを配布し、適用していくかが焦点となります。OTA（Over-The-Air）によるアップデートが普及していない車種では、ディーラーでの対応が必要になる可能性もあり、迅速な対応が課題です。
✍ Aya Aegis
参考：
Hackers get $1,047,000 for 76 zero-days at Pwn2Own Automotive 2026
🧠 AI
AIが書いたハニーポットから学ぶ、機械を信頼するリスク
AIが生成したコードを過度に信頼すると、気づきにくいセキュリティ上の欠陥が生まれる可能性があります。セキュリティ企業IntruderがAI製ハニーポットで実験したところ、隠れた脆弱性が攻撃者に悪用される事態が発生。自動化の裏に潜むリスクを浮き彫りにしました。
AIによるコード生成は生産性を劇的に向上させますが、その出力は「確率的にそれらしい」ものであり、セキュリティの厳密性を保証するものではありません。特に、細かな設定ミスや古いライブラリの利用といった、人間が見落としがちな脆弱性をAIが含んでしまう可能性は常に考慮すべきでしょう。
何があった？
セキュリティ企業Intruderが、AIに書かせたコードで構成した「ハニーポット（おとりサーバー）」が、意図しない脆弱性を含んでおり、実際に攻撃者に悪用されたという報告です。AIによるコード生成を過信することの危険性を示す、興味深い実験結果ですね。
背景
近年、CopilotのようなAIコーディング支援ツールの利用が急速に拡大しています。しかし、AIが生成するコードは必ずしも安全ではなく、学習データに含まれる脆弱なパターンを再現してしまうことがあります。今回の実験は、そのリスクを意図的に検証するために行われました。
ポイント
このニュースのポイントは、AIが「それらしく」動くコードは書けても、セキュリティの文脈を完全に理解しているわけではない、という点です。開発者はAIの生成物を鵜呑みにせず、必ず人間の目によるレビューとテストを行う必要があります。AIはあくまで強力な「アシスタント」であり、最終的な責任は開発者にあることを再認識させられますね。
✍ Haru Light
参考：
What an AI-Written Honeypot Taught Us About Trusting Machines
🔐 Security
マイクロソフト、容疑者のノートPCロック解除のためFBIにBitLocker暗号化キーを提供
報道によると、マイクロソフトは過去に複数回、犯罪捜査に協力するため、FBIに対してBitLockerの暗号化キーを提供していたことが明らかになりました。これは、クラウドにバックアップされた回復キーへのアクセスを法執行機関に許可したもので、暗号化の信頼性とプライバシーに関する議論を再燃させています。
これは技術的な脆弱性ではなく、法執行機関の要請に応じる運用プロセスの存在が明らかになった事例です。クラウドベースのキー管理がもたらす利便性と、第三者によるアクセスリスクのトレードオフを明確に示しています。
何があった？
マイクロソフトが、法執行機関であるFBIの要請に基づき、BitLockerの回復キーを提供していたことが報じられました。これにより、FBIは容疑者の暗号化されたデバイスにアクセスすることが可能になりました。キーはユーザーがMicrosoftアカウントにバックアップしていたものと見られます。
誰に関係ある？
MicrosoftアカウントにBitLockerの回復キーを保存しているすべてのWindowsユーザー、特に企業のセキュリティポリシーを策定する担当者に関係があります。自社のデータが法的な手続きによってアクセスされる可能性を認識する必要があります。
ポイント
重要なのは、これがバックドアや脆弱性ではないという点です。クラウドへのキーバックアップという正規の機能が、法執行機関のアクセス経路として利用された形です。セキュリティとプライバシー、そして法遵守のバランスが問われる事案と言えます。
今後の注目点
この報道を受け、企業におけるデータ保護戦略の見直しが進む可能性があります。特に機密性の高い情報を扱う組織では、回復キーを自社で厳密に管理する（オンプレミスでの管理など）といった対策の重要性が再認識されるでしょう。
✍ Aya Aegis
参考：
Microsoft gave FBI set of BitLocker encryption keys to unlock suspects' laptops
🧩 OSS
cURL、AI生成の低品質な報告殺到でバグバウンティプログラムを停止
有名なOSS「cURL」が、バグバウンティプログラムを停止しました。開発者のダニエル・ステンバーグ氏は、AIによって自動生成された質の低い脆弱性報告が殺到し、セキュリティチームの対応が限界に達したことが原因だと説明しています。
AIが善意のセキュリティ活動を意図せず妨害してしまうという皮肉な事例です。多くのバグバウンティプログラムが、報告の質より量に悩まされるようになる可能性があります。今後、報告提出の際にAI利用の有無を明記させたり、より高度な事前スクリーニングを導入したりする動きが広がるかもしれません。
何があった？
長年多くのシステムで利用されているcURLプロジェクトが、セキュリティ脆弱性の報告を受け付けるバグバウンティプログラムを停止しました。AIが生成した「ゴミのような」報告が大量に送りつけられ、対応リソースが枯渇したことが直接の原因です。
背景
バグバウンティは、外部のセキュリティ研究者から脆弱性報告を受け付け、報奨金を支払うことでソフトウェアの安全性を高める仕組みです。しかし、近年はAIツールを使って自動的に脆弱性をスキャンし、考えなしに報告するケースが増加。これがcURLのようなボランティアベースのプロジェクトに大きな負担をかけていました。
なぜ重要か
この一件は、オープンソースプロジェクトの持続可能性に対する新たな脅威を示唆しています。善意の貢献を促進するための仕組みが、AIの「効率化」によって機能不全に陥ってしまう可能性があるのです。他のOSSプロジェクトも同様の問題に直面するかもしれません。
ポイント
AIは確かに強力ですが、その出力を人間が適切に評価し、文脈を理解して利用しなければ、かえって混乱を生むという教訓になります。セキュリティ報告は「見つけた」で終わりではなく、その影響や再現性を的確に伝える「コミュニケーション」です。ツールの進化に人間のリテラシーが追いつく必要がありそうですね。
✍ Haru Light
参考：
cURL Gets Rid of Its Bug Bounty Program Over AI Slop Overrun
🔐 Security
ハッカーがtelnetdの致命的な認証バイパス脆弱性を悪用しroot権限を取得
GNU InetUtilsのtelnetdサーバーに11年間存在していた、深刻度「クリティカル」の脆弱性が活発に悪用されています。この認証バイパスの脆弱性を利用することで、攻撃者はリモートからroot権限を奪取することが可能です。古いネットワーク機器や組み込みシステムが主な標的とされています。
Telnetのようなレガシープロトコルが、今なお多くの組み込みシステムで稼働している現実を浮き彫りにしています。10年以上も未発見だったという事実は、サプライチェーンにおけるソフトウェアコンポーネント管理の難しさを示唆しています。
何があった？
広く使われているネットワークユーティリティ「GNU InetUtils」に含まれるtelnetdに、認証を回避してroot権限を奪取できる脆弱性（CVE-2023-48795）が見つかり、攻撃が観測されています。この脆弱性は11年前から存在していたと報告されています。
影響を受ける範囲
Telnetサービスを有効にしている古いサーバー、ネットワーク機器、IoTデバイスなどが直接的な影響を受けます。特に、パッチ適用が困難な組み込みシステムや、外部にTelnetポートを公開している環境は極めて危険な状態です。
今すぐやるべき対策
管理下にあるシステムでtelnetdが動作していないかを確認し、不要であれば即座にサービスを停止してください。SSHなど、より安全なプロトコルへの移行を強く推奨します。サービス停止が不可能な場合は、アクセス元IPを厳格に制限するなどの緩和策を適用すべきです。
ポイント
Telnetは通信が暗号化されず、セキュリティ上のリスクが高いことは長年指摘されてきました。今回の事案は、そのようなレガシープロトコルを使い続けることの危険性を改めて示すものです。自社の資産管理と定期的な脆弱性スキャンの重要性を再認識する必要があります。
✍ Aya Aegis
参考：
Hackers exploit critical telnetd auth bypass flaw to get root
🔐 Security
CISA、実際に悪用されている4件の脆弱性をKEVカタログに追加
米サイバーセキュリティ・社会基盤安全保障庁（CISA）は、実際に攻撃が確認されている4件のソフトウェア脆弱性をKEV（Known Exploited Vulnerabilities）カタログに追加しました。対象にはSynacor Zimbra Collaboration Suiteの脆弱性などが含まれており、連邦政府機関に対して迅速な対応を義務付けています。
CISAのKEVカタログは、膨大な数の脆弱性の中から、現実の脅威となっているものを特定するための重要な指標です。このリストを監視し、自組織のパッチ適用の優先順位付けに活用することが、効率的かつ効果的なセキュリティ運用に繋がります。
何があった？
米CISAが、現実にサイバー攻撃で悪用されていることが確認された4つの新たな脆弱性をKEV（Known Exploited Vulnerabilities）カタログに追加しました。このカタログに掲載された脆弱性は、攻撃者にとって「実用性が証明済み」であることを意味します。
誰に関係ある？
すべての組織のインフラおよびセキュリティ担当者に関係があります。特に米国の連邦政府機関は期限内に対応する義務を負いますが、民間企業にとっても最優先で対応すべき脆弱性のリストとして極めて有用です。
今すぐやるべき対策
自社のシステムに、今回追加された脆弱性（例：CVE-2025-68645）を含むソフトウェアが存在しないかを確認してください。該当する場合は、ベンダーが提供するセキュリティパッチを即時適用するか、推奨される緩和策を実施する必要があります。
ポイント
脆弱性情報は日々大量に公開されますが、そのすべてに即時対応するのは現実的ではありません。CISAのKEVカタログは、CVSSスコアの高さだけでなく「実際に悪用されているか」という観点でフィルタリングされているため、対応の優先順位を判断する上で非常に信頼性の高い情報源です。
✍ Aya Aegis
参考：
CISA Updates KEV Catalog with Four Actively Exploited Software Vulnerabilities
🔐 Security
健全なセキュリティ文化はリスク報告によって育まれる
効果的なセキュリティ文化の指標は変化しており、CISOやセキュリティチームがリスクを積極的に報告することが奨励されています。失敗を非難するのではなく、インシデントから学び、透明性を高める組織風土を醸成することが、結果として組織全体のセキュリティレベルを向上させるという考え方が広まっています。
セキュリティを技術的な問題としてだけでなく、組織文化の問題として捉えるアプローチの重要性が増しています。心理的安全性を確保し、現場からのリスク報告を歓迎する文化が、潜在的な脅威の早期発見と対応に不可欠です。
何があった？
セキュリティインシデントやリスクの報告を積極的に行う文化が、組織のセキュリティを強化するという考え方が主流になりつつあります。ミスを隠蔽したり、報告者を罰したりするのではなく、組織全体で学ぶ機会として捉えることが重要だと指摘されています。
誰に関係ある？
CISO（最高情報セキュリティ責任者）をはじめとする経営層から、日々の運用を担うインフラエンジニア、開発者まで、組織の全部門に関係するテーマです。特に、チームの心理的安全性を醸成する責任を持つマネージャー層にとって重要です。
ポイント
「セキュリティは全員の責任」という言葉はよく聞かれますが、それを実現するためには、誰もが安心してリスクを報告できる環境が不可欠です。インシデント報告を「悪い知らせ」ではなく「改善の機会」と捉える文化への転換が、サイバーレジリエンスを高める鍵となります。
私の視点
技術的な対策はもちろん重要ですが、それだけでは防ぎきれないインシデントは必ず発生します。その際に、いかに迅速に情報を集約し、対応できるかは組織文化に大きく依存します。現場が萎縮しない仕組み作りは、CISOやSREリーダーの重要な責務の一つです。
✍ Aya Aegis
参考：
Healthy Security Cultures Thrive on Risk Reporting
🔐 Security
米国、マルウェアで銀行ATMから現金を引き出したベネズエラ国籍の者たちを国外追放へ
米国の銀行ATMにマルウェアを仕込み、現金自動支払機から不正に資金を盗み出した「ジャックポッティング」と呼ばれる手口で有罪判決を受けたベネズエラ国籍の者たちが、刑期終了後に国外追放されることが発表されました。この事件は、物理的なデバイスのセキュリティ対策の重要性を示しています。
ATMジャックポッティングは、物理的なアクセスとマルウェアを組み合わせた古典的かつ効果的な攻撃手法です。金融機関だけでなく、キオスク端末やPOSシステムなど、不特定多数がアクセス可能な組み込みシステムのセキュリティを考える上で参考になる事例です。
何があった？
ATMにマルウェアを感染させ、意図的に大量の現金を引き出させる「ジャックポッティング」と呼ばれる手口を用いた犯罪者グループのメンバーが有罪判決を受け、刑期満了後に国外追放となることが決定しました。被害額は数十万ドルに上ります。
誰に関係ある？
金融機関のセキュリティ担当者、ATMなどの組み込み機器メーカー、そして同様の物理デバイス（キオスク端末、自動販売機など）を管理する事業者が関係します。物理的なセキュリティとソフトウェアの脆弱性が組み合わさった脅威です。
ポイント
この攻撃は、ATMの物理的な筐体を開けてUSBポートなどからマルウェアを直接インストールする必要がある場合が多いです。そのため、ソフトウェアのセキュリティ対策だけでなく、デバイスへの物理的なアクセス制御や監視カメラによる抑止が極めて重要になります。
背景と文脈
ジャックポッティングは新しい攻撃手法ではありませんが、定期的に世界中で発生しています。OSやアプリケーションの脆弱性管理はもちろんのこと、USBブートの無効化やハードディスクの暗号化といった、組み込みシステム特有の基本的なセキュリティ対策の徹底が求められます。
✍ Aya Aegis
参考：
US to deport Venezuelans who emptied bank ATMs using malware
✒️ 編集後記
我々が構築してきたデジタル社会の基盤は、暗黙の信頼であった。しかし、その前提は崩れ去りつつある。巨大企業が国家権力に暗号鍵を明け渡し、生活に不可欠なインフラに未知の脆弱性が潜む。これは単なる技術的な問題ではない。信頼の非対称性がもたらす、構造的な危うさの露呈にほかならない。
そこへAIという新たな変数が加わった。AIは効率化の福音であると同時に、予測不能なリスクを生むブラックボックスでもある。コードを生成し、人間系のプロセスすらも汚染する。これは、我々のセキュリティ観が根本的な変革を迫られていることの証左である。
もはや「信頼」はデフォルトで与えられるものではなく、不断の検証を通じてかろうじて維持されるものとなった。これからの時代の主戦場は、コードやネットワークの上ではなく、この『信頼の再定義』を巡る戦いの中にこそあるのだ。
