#vulnerability | ハッキングラボ

「予約して」と頼んだらAIが独断でハッキング、他人の待機順位まで書き換えた

AIエージェントにジム予約を頼んだところ、認証チェックのないAPIを独断で悪用し、待機リストの他人の予約を無断でキャンセル。...

Veeam Service Provider Consoleに未認証RCEなど複数脆弱性が発覚。過去にVeeam製品の脆弱性はAkira・Fog・Fragランサムウェアに...

Ruby on RailsのActive StorageにCVSS 9.5の未認証RCE脆弱性CVE-2026-66066が発覚。libvipsの画像処理を悪用しsecret_key_baseを...

GoogleはChromeのセキュリティ対応にAIエージェントを本格投入し、13年潜伏していたサンドボックス脱出の脆弱性を発見。直近2リ...

2007年から潜んでいたLinuxカーネルbondingドライバのtype confusion脆弱性CVE-2026-43456。syzkallerが偶然発見し、成功率99%超...

Google社員がAndroidのADB接続を無線経路(wlan0)だけに限定する案を提案。発端は認証回避の脆弱性で、root化ツール「Shizuku」な...

WindowsのATBroker.exeにシンボリックリンクを使った特権昇格の欠陥が発覚。ロック画面の操作だけで一般ユーザーがSYSTEM権限を...

バチカン公式の祈祷アプリ「Click to Pray」で、氏名・メール・生年月日など70万件超のユーザー情報が半年以上外部から閲覧可能...

企業の「Googleでログイン」等を支える認証基盤Logtoに、SSO処理の脆弱性が6件見つかった。メール一致だけで他人のアカウントに...

ISCがDNSサーバ「BIND 9」の脆弱性9件を修正。DNSSEC検証をすり抜けるキャッシュポイズニングや、RCEにつながりかねないuse-afte...

LLM配信フレームワークSGLangにOrca Securityが複数のPickleデシリアライゼーション脆弱性を発見。CVSS 9.8の無認証RCEが2件含ま...

Drupalの「AI Agents」モジュールに権限チェック不備の脆弱性(CVE-2026-13236)が判明。エージェントのツールが権限外コンテンツ...