今週のセキュリティ最前線 🔐💻（2026年7月7日ニュース）

今週のサイバーセキュリティ界隈では、政府機関のインフラ侵害からOSレベルの深刻な脆弱性まで、多岐にわたる脅威と対策が相次いで報じられました。企業や開発者はAIエージェントの普及に伴う新たな攻撃経路への警戒を強めると同時に、ゼロトラストやパスワードレス認証への移行を着実に進めています。また、開発プロセスにセキュリティチェックを組み込むDevSecOpsの動きも加速し、左側シフトの重要性がさらに高まっています。これらの動向は単なる技術的なアップデートではなく、組織全体のセキュリティ成熟度を問う重要な転換点と言えるでしょう。セキュリティ戦略を再構築する上で、今週の報道は多くの示唆に富んでいます 🛡️🌐

DHSがHSIN侵害を確認、数週間検知されず

米国国土安全保障省は、政府機関間で機微な情報を共有するプラットフォーム「HSIN」がハッキングを受け、数週間という長期間にわたり検知されなかったと発表しました。攻撃者はSharePointシステムなどを標的とし、作戦上重要な報告書にアクセスした可能性が指摘されています。今回のインシデントは緊急対応インフラの脆弱性を浮き彫りにし、信頼された政府プラットフォームへの攻撃が公衆のデジタルシステムへの信頼を揺るがす事態となっています。当局は現在詳細なフォレンジック調査を実施中ですが、未分類ながらも機密性の高いデータが流出した恐れは否定できません。今後の調査結果次第では、広範なセキュリティ見直しが求められる可能性があります。 DHS Confirms Breach of Homeland Security Information Network

Azure CLIを標的に8100万回以上のパスワードスプレー攻撃

Huntressの調査によると、攻撃者は6月12日から26日にかけてAzure CLIのサインイン経路を狙い、8100万回以上のパスワードスプレー攻撃を仕掛けました。この攻撃はROPCフローを利用しており、マルチファクタ認証をバイパスして78の組織で少なくとも78アカウントを侵害することに成功しています。Conditional Accessポリシーが特定のアプリや管理者のみに限定されていたり、レポートのみのモードで放置されていたりすることが被害を拡大させました。管理者はすべてのクラウドアプリと標準ユーザーをポリシー対象に含め、レガシー認証のブロックとクレデンシャルのローテーションを急ぐ必要があります。この事態は設定漏れが致命傷になり得ることを改めて警告しています。 Azure CLI Password Spray Attack Exposes Microsoft 365 MFA Gap

Linuxカーネルに悪用成功率99％の脆弱性「Bad Epoll」

ソウル大学校の研究チームにより、LinuxカーネルのepollサブシステムにUse-After-Free脆弱性「Bad Epoll」が発見されました。この脆弱性は競合状態に起因しますが、巧妙なタイミング拡大手法により最大99％という極めて高い成功率でroot権限の昇格が可能です。Android端末やChromeブラウザのレンダラープロセスからも誘発可能であり、修正カーネルへの更新が唯一の現実的な回避策となります。競合バグの検出難しさや修正の遅れが示すように、カーネルレベルのセキュリティパッチ管理の重要性が再確認されました。インフラ管理者は影響を受けるディストリビューションのバージョン確認を直ちに行うべきです。 悪用成功率99％、Linuxカーネルに新ゼロデイ「Bad Epoll」が見つかる

OpenSSH 10.4が複数脆弱性を修正し耐量子署名を追加

The OpenBSD ProjectはOpenSSH 10.4/10.4p1をリリースし、悪意あるSFTP/SCPサーバによる意図しない場所へのファイル書き込みや認証前DoS、クライアント側のuse-after-freeなど複数の深刻なセキュリティ問題を修正しました。さらに実験的な機能として、ML-DSA 44とEd25519を組み合わせた耐量子署名アルゴリズムが追加され、将来的な量子コンピュータ攻撃への備えが進められています。ワイルドカード照合処理のNFA化やseccomp制約の厳格化も図られ、リモートアクセスの基盤として堅牢性がさらに強化されています。システム管理者は可能な限り早期にアップグレード計画を立てる必要があります。 「OpenSSH 10.4／10.4p1」リリース ─ 複数のセキュリティ問題を修正

オーストラリアで急増するAI駆動型ID攻撃とサプライチェーンリスク

豪州のセキュリティ機関への報告の42％が侵害されたアカウントやクレデンシャルに関連しており、攻撃者はネットワーク突破ではなく「ログイン」を優先する戦略へ移行しています。生成AIはフィッシングキャンペーンの自動化や深偽音声の作成、ITヘルプデスクへのなりすましに悪用され、AIエージェントや自動化ワークフローが作成する非ヒューマンIDの管理が新たな課題となっています。エッジデバイスやサプライチェーン、マネージドサービスプロバイダーの脆弱性が連鎖的な侵入を招くため、アイデンティティガバナンスの董事会レベルでの対応が急務です。従来のペリメータ防御では太刀打ちできない現状が明確に示されています。 Why Australia Is a Prime Target for AI Identity Attacks

シンガポールが推進するパスキー認証と企業の導入課題

シンガポール政府は国家デジタルID「SingPass」にパスキーを導入し、パスワードに依存しないデバイスバインド型の認証への移行を本格化させています。Microsoftの分析によると、TPM 2.0チップによるハードウェア保護がなければ、見た目は同じでもフィッシング耐性は大幅に低下する可能性があります。Windows 11の普及率は高いものの、古いデバイスや無効化されたTPM、レガシーなポリシー設定がセキュリティギャップを生む懸念が残っています。パスワードレス化は単なる技術導入ではなく、ハードウェア、ポリシー、ユーザー教育を統合した多層防御として設計する必要があります。企業の導入ペースはインフラ整備状況に大きく左右される見込みです。 Singapore’s Shift to Passkeys Reveals a Password Problem

AnthropicがClaude Code向けセキュリティガイダンスプラグインを公開

Anthropicはコーディングエージェント「Claude Code」にセキュリティガイダンスプラグインを追加し、インジェクションや安全でないデシリアライゼーション、DOM脆弱性などをプルリクエスト到達前に自動検出する仕組みを提供しました。このプラグインはフック機構を基盤とし、ターン終了時やコミット時に別のClaudeインスタンスが中立なレビューを実施することで、コードレビュー時のセキュリティ指摘コメント数を30〜40％削減したことが実証されています。開発者はセキュリティチェックと開発フローをシームレスに統合し、脆弱性を左側にシフトする新しい開発文化を構築できます。今後は類似のツールが標準的な開発環境として定着していくでしょう。 後工程で発覚する脆弱性を4割減 「Claude Code」の新プラグインの仕組み、導入方法

AWS WAFがBedrock AgentCore Gatewayの保護を開始

AWSはAmazon Bedrock AgentCore Gateway向けにAWS WAFの保護機能を一般提供し、エージェンティックAIワークロードを一般的なウェブ脆弱性や悪意あるボットから保護する基盤を提供しました。Gatewayレベルで一度設定を適用すれば背後の全ターゲットに保護が展開され、IPベースのアクセス制御やレート制限、既知の不正入力に対するマネージドルールグループが活用可能です。AIエージェントが実運用フェーズへ移行する中で、ゲートウェイ層における一貫したカスタマイズ可能な保護はエンタープライズ規模のAI導入に不可欠なセキュリティレイヤーとなります。運用チームは設定の一元管理によるセキュリティ効率化を享受できます。 AWS WAF、Amazon Bedrock AgentCore Gatewayのサポートを開始

Xenベースのセキュアランタイム「Edera」がKVMサポートを発表

KubeCon Europe 2026にて、XenハイパーバイザーをRustで書き直したセキュアコンテナランタイム「Edera」がKVMサポートを発表しました。タイプ1ハイパーバイザーとしてゲストOSとホストOSを完全に分離し、共有メモリを排除することで攻撃対象領域を最小限に抑えます。Rustのメモリセーフ特性とGPU分割機能を組み合わせ、生成AIが支配するワークロード時代におけるアイソレーションの新しい標準を提示しています。AppleがmacOSで同様のハイパーバイザー分離を採用したこともあり、コンテナセキュリティのパラダイム転換が現実味を帯びています。インフラチームは既存環境への統合可能性を評価する段階に入っています。 KubeCon Europe 2026、セキュアなランタイムを提供するEderaのコアメンバーにインタビュー

BleachBit 6.0.2が管理者権限の脆弱性を修正

オープンソースのシステムクリーニングソフト「BleachBit 6.0.2」がリリースされ、Windows版で管理者権限によるクリーニング時に任意のファイルが削除される可能性のある脆弱性CVE-2026-55567を修正しました。今回のアップデートではVisual Studio CodeやCursorなどの開発ツール向けクリーナーが追加され、Google Chromeが保存したAIモデルのクリーニングや開発者向けディープスキャンにも対応しています。ファイル名の抹消処理の高速化とインストール容量の約47％削減により、プライバシー保護とシステム最適化の両立がさらに実現されています。セキュリティ意識の高いユーザーは速やかにバージョンアップを実施すべきです。 「BleachBit 6.0.2」リリース ─ Windows・Linux対応のシステムクリーニングソフト

考察

今週報道された一連のセキュリティ動向は、攻撃の的が従来のネットワーク境界からアイデンティティとAIインフラへと明確にシフトしていることを示しています。パスワードスプレー攻撃やAI駆動型のフィッシングがMFAをすり抜ける現実を前に、企業は単なる認証ツールの導入ではなく、Conditional Accessの網羅的な見直しとデバイスバインド型クレデンシャルの徹底が必要に迫られています。同時に、AIエージェントの自律的な実行が新たな権限昇格経路やデータ漏洩リスクを生むため、ワークフロー設計段階からガバナンスを組み込むDevSecOpsの文化が競争力の源泉になりつつあります。技術的な防御層を積み上げるだけでなく、組織全体のセキュリティ成熟度を底上げする戦略的アプローチが不可欠です 🔍🛑

これらの課題に対処するには、ゼロトラストの原則を非ヒューマンIDやサプライチェーン、エッジデバイスまで拡張し、アイデンティティガバナンスを董事会レベルで議論する企業が増えています。また、LinuxカーネルやOpenSSHのような基盤ソフトウェアの脆弱性管理や、AIコード生成の左側シフト検査は、インシデント発生後の対応から予防的セキュリティへのパラダイム転換を促しています。今後はAIの利便性とセキュリティをトレードオフではなく相乗関係として設計する組織が、次世代のデジタルインフラを安全に運用できるでしょう。企業は技術導入のスピードとリスク評価の厳格さを両立させる新しいバランスを模索し続ける必要があります 🌐🔐

＼ Get the latest news ／