Outlook ゼロデイ CVE-2026-124194、悪用確認・11月パッチで修正
Microsoft Outlook（Microsoft 365 Apps・Office LTSC 2021/2024）の欠陥 CVE-2026-124194 は悪用が確認され CISA KEV 入り。NTLMv2 ハッシュ漏えいの内容と更新の確かめ方。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
危険 1警戒 11
- 危険ニトリに不正アクセス、最大3,762万件の情報流出か
- 警戒Outlook ゼロデイ CVE-2026-124194、悪用確認・11月パッチで修正
- 警戒CVE-2026-125350 Chrome の欠陥が悪用され CISA KEV に
- 警戒Xen Orchestra に認証回避の欠陥、悪用中。6.9.1 / 6.10.0 へ
- 警戒シェアフルに不正アクセス、最大750万アカウントの情報漏れか
- 警戒FreeSWITCH CVE-2026-116779 が悪用され CISA KEV に追加
- 警戒Fireworks AI の侵害、Notion AI の会話が流出した恐れ
- 警戒ラフールサーベイ旧システムから2.4万人分漏えい、ストレスチェックも
- 警戒住友生命Vitality、NTTデータ受託システムで約8万人漏えい
- 警戒Vanderbilt 大学、BYOD ランサムウェア集団が暗号化と窃取を主張
- 警戒セガのメルマガ宛先219万件が流出 アララ経由、偽メールに注意
- 警戒N-able N-central の欠陥30件超が公開、クラウド版は停止
197 本
ニトリに不正アクセス、最大3,762万件の情報流出か
ニトリHDは2026年11月9日、不正アクセスで会員・ネット注文者の氏名・住所・電話・生年月日など最大3,762万件が漏れた可能性を公表。偽メール対策をまとめた。
ニューヨーク州 RAISE Act、OpenAI・Anthropic に登録と開示
ニューヨーク州の AI 安全法 RAISE Act は 2027年1月1日に適用開始。大手 AI 開発者の安全方針の公開、72時間以内の事故報告、違反時の罰金、日本への影響を整理する。
Git の欠陥 CVE-2026-111760、再帰クローンでコード実行のおそれ
Git に、サブモジュール付きの悪意あるリポジトリを再帰クローンするとコードが動くおそれのある欠陥。修正版は 2.56.1 など。影響条件と確かめ方を整理する。
CVE-2026-125350 Chrome の欠陥が悪用され CISA KEV に
Chromium の XML 部分の use-after-free（CVE-2026-125350）が悪用確認済みとして CISA KEV に登録。Chrome 157.0.8103.50 以降への更新と Edge の確認方法を整理。
AI 眼鏡の盗撮懸念、ノルウェーと EU が規制へ動く
Meta の Ray-Ban など カメラ付き AI 眼鏡のプライバシー問題で、ノルウェー政府は公共の場での一時禁止を表明、EU の EDPB は声明 1/2026 を出した。日本の状況と対策。
Xen Orchestra に認証回避の欠陥、悪用中。6.9.1 / 6.10.0 へ
Xen Orchestra と XOA の認証回避の欠陥（VSA-2026-062、CVE 未採番）が悪用されている。修正版は 6.9.1（stable）と 6.10.0（latest）。公開状況の確かめ方と侵入の跡を整理する。
iVerify 報告：犯罪者のスパイウェアが一般の iPhone にも
iVerify の Advanced Mobile Threat Report 2026 によると、検知の75%は犯罪者によるもの。DarkSword・Coruna という iOS 攻撃ツールと Android の遠隔操作アプリの実態と備えをまとめる。
GPUStack に認証回避の欠陥、CVE-2026-102894 で乗っ取りも
AI 基盤 GPUStack 0.7.1 以上 2.2.2 未満で、署名を確かめない SAML 応答により管理者を含むアカウントを乗っ取れる欠陥。2.2.2 で修正。悪用は未確認。
Fireworks AI 侵害が拡大、請求情報とモデルの重みの一部も
AI 基盤 Fireworks AI が11月9日に更新した発表で、請求情報・データセット・未完成のモデルの重みの一部への影響を認めた。LLMjacking との関与、Notion への波及、確認点を整理する。
eBay が外部の AI エージェントを遮断か、Meta Muse も
eBay が Meta の Muse など外部 AI エージェントを遮断したようだと The Verge が報道。eBay は確認せず。利用規約の AI 購入代行の禁止条項と、AI 買い物代行の利用者への影響を整理。
Ring Drone Cam 発表、家の中を飛んで巡回する AI カメラ
Amazon の Ring が屋内用ドローン「Ring Drone Cam」（249.99 ドル）を発表した。AI Pilot はクラウド処理を使う。映像の扱い、過去の FTC 和解、日本での発売の有無を整理する。
iOS 26・27 のサンドボックス破りが公開、Binance が警告
iOS 26.0〜26.7.2 と 27.2 で別アプリのデータを読める手法 worse_query が GitHub で公開。Binance がウォレット鍵の流出に警告。修正は未確認。Binance と研究者は悪用を報告していない。
SAP 11月パッチ、CVSS 10.0 が4件 NetWeaver・Web Dispatcher
SAP が2026年11月の月例パッチで CVSS 10.0 の欠陥4件を修正。NetWeaver AS ABAP、Web Dispatcher、Gateway、SAML2 が対象。確認先と優先点を整理する。
シェアフルに不正アクセス、最大750万アカウントの情報漏れか
スキマバイトのシェアフルが社内管理システムへの不正アクセスを発表。最大約750万の個人アカウントの氏名・住所・給与振込用口座などが漏れた可能性。確かめ方と備えを整理。
iOS 27.2.1 で iMessage グループ参加の欠陥を修正
Apple が iOS・iPadOS 27.2.1 で iMessage グループチャットに外から参加できる欠陥（CVE-2026-113961）と Bluetooth ペアリングの欠陥を修正。悪用の記載なし。
FreeSWITCH CVE-2026-116779 が悪用され CISA KEV に追加
IP 電話基盤 SignalWire FreeSWITCH 1.11.2 以前の欠陥 CVE-2026-116779（CVSS 9.8）が実際に悪用された。1.11.3 で修正。公開事業者の確認点をまとめる。
Fireworks AI の侵害、Notion AI の会話が流出した恐れ
AI 推論基盤 Fireworks AI が侵入され、Notion の一部ワークスペースの Notion AI チャットが流出した恐れ。Fireworks の発表と Notion の案内から、影響範囲と鍵の入れ替えを整理する。
Signal の暗号を DeepMind が形式検証、AlphaProof Code
Google DeepMind が AlphaProof Code で Signal の libsignal（PQXDH と Triple Ratchet）を Lean で形式検証。何を証明し何は対象外か、利用者への意味をまとめる。
マイナカードのコンビニ交付障害、戸籍謄本が取れず
2026年11月10日朝から、コンビニ交付で戸籍謄本・附票の写しが発行できない障害。富士フイルムシステムサービスのシステムの通信異常と知多市が発表。攻撃かは未確認。
Claude Opus 5.5 の推論低下の指摘、1400件分析の中身
Claude Code を使う開発者が、Opus 5.5 の考え方が11月3日ごろ変わったと指摘。1400セッションの分析の方法と限界、Anthropic の説明の有無、自分で確かめる方法をまとめる。
Claude Fable 5.2 とサイバー試験：76.3%の数字の読み方
Anthropic が 2026年11月9日に発表した Claude Fable 5.2 と Mythos 5.2。多段階の攻撃試験 CyScenarioBench の結果と、安全対策、守る側が使える仕組みを整理する。
ラフールサーベイ旧システムから2.4万人分漏えい、ストレスチェックも
ラフールが2026年11月9日に公表した「ラフールサーベイ」旧システムへの不正アクセス。182社2万4232人分の氏名やサーベイ回答、一部ストレスチェック結果が対象。確認方法と偽メール対策。
Instagram の AI 年齢推定、日本でも適用開始 保護者が確認すること
Meta は Instagram のティーンアカウント保護を、AI が10代と推定した利用者にも日本で適用すると発表した。何が変わるか、誤判定の扱い、保護者が見る設定を整理する。
病院へのサイバー攻撃、患者への害を整理した論文（JMIR）
Journal of Medical Internet Research の系統的レビュー。病院攻撃での患者被害316件を整理し、周辺病院の救急患者や入院患者の結果悪化を紹介。日本の病院と患者の備えも解説。
Vanderbilt 大学、BYOD が SSN 100万件超の窃取を主張
米 Vanderbilt University の攻撃で、ランサムウェア集団 BYOD が社会保障番号など100万件超の窃取を主張。大学は窃取を確認していない。発表と主張を分けて整理する。
住友生命Vitality、NTTデータ受託システムで約8万人漏えい
NTTデータが住友生命から受託した Vitality体験版・企業型、Vitalityスマートの申込システムに不正アクセス。約8万人分の氏名・住所・メール・カード番号（一部伏せ）などのいずれかが漏れた。
REA などAI改造ブーム、スマート家電の危険
AIエージェントで Reverse Engineer Anything（REA）を使いテレビや Lululemon Mirror を改造する動きが拡大。保証・乗っ取り・脆弱化の懸念と、試す前の確認点を整理する。
Vanderbilt 大学、BYOD ランサムウェア集団が暗号化と窃取を主張
Vanderbilt University が「進行中のサイバー事案」を公表。新手のランサムウェア集団 BYOD が学生・職員・研究データの窃取を主張。大学の発表と集団の主張を分けて整理する。
セガのメルマガ宛先219万件が流出 アララ経由、偽メールに注意
セガとセガ フェイブのメールマガジン11件の配信先メールアドレス2,196,044件が、委託先アララ社への不正アクセスで流出。対象範囲、確かめ方、偽メールへの備えを整理する。