Xen Orchestra に認証回避の欠陥、悪用中。6.9.1 / 6.10.0 へ
Xen Orchestra と XOA の認証回避の欠陥（VSA-2026-062、CVE 未採番）が悪用されている。修正版は 6.9.1（stable）と 6.10.0（latest）。公開状況の確かめ方と侵入の跡を整理する。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
警戒 12
- 警戒Xen Orchestra に認証回避の欠陥、悪用中。6.9.1 / 6.10.0 へ
- 警戒シェアフルに不正アクセス、最大750万アカウントの情報漏れか
- 警戒FreeSWITCH CVE-2026-116779 が悪用され CISA KEV に追加
- 警戒Fireworks AI の侵害、Notion AI の会話が流出した恐れ
- 警戒ラフールサーベイ旧システムから2.4万人分漏えい、ストレスチェックも
- 警戒住友生命Vitality、NTTデータ受託システムで約8万人漏えい
- 警戒Vanderbilt 大学、BYOD ランサムウェア集団が暗号化と窃取を主張
- 警戒セガのメルマガ宛先219万件が流出 アララ経由、偽メールに注意
- 警戒N-able N-central の欠陥30件超が公開、クラウド版は停止
- 警戒Qubole 連携の AWS ロールが悪用、秘密情報が盗まれる（Wiz）
- 警戒IBM Aspera Faspex の認可欠陥 CVE-2026-123218、CISA が悪用を確認
- 警戒仏政府、冷蔵設備攻撃をイラン IRGC 系の犯行と断定
191 本
iVerify 報告：犯罪者のスパイウェアが一般の iPhone にも
iVerify の Advanced Mobile Threat Report 2026 によると、検知の75%は犯罪者によるもの。DarkSword・Coruna という iOS 攻撃ツールと Android の遠隔操作アプリの実態と備えをまとめる。
GPUStack に認証回避の欠陥、CVE-2026-102894 で乗っ取りも
AI 基盤 GPUStack 0.7.1 以上 2.2.2 未満で、署名を確かめない SAML 応答により管理者を含むアカウントを乗っ取れる欠陥。2.2.2 で修正。悪用は未確認。
Fireworks AI 侵害が拡大、請求情報とモデルの重みの一部も
AI 基盤 Fireworks AI が11月9日に更新した発表で、請求情報・データセット・未完成のモデルの重みの一部への影響を認めた。LLMjacking との関与、Notion への波及、確認点を整理する。
eBay が外部の AI エージェントを遮断か、Meta Muse も
eBay が Meta の Muse など外部 AI エージェントを遮断したようだと The Verge が報道。eBay は確認せず。利用規約の AI 購入代行の禁止条項と、AI 買い物代行の利用者への影響を整理。
Ring Drone Cam 発表、家の中を飛んで巡回する AI カメラ
Amazon の Ring が屋内用ドローン「Ring Drone Cam」（249.99 ドル）を発表した。AI Pilot はクラウド処理を使う。映像の扱い、過去の FTC 和解、日本での発売の有無を整理する。
iOS 26・27 のサンドボックス破りが公開、Binance が警告
iOS 26.0〜26.7.2 と 27.2 で別アプリのデータを読める手法 worse_query が GitHub で公開。Binance がウォレット鍵の流出に警告。修正は未確認。Binance と研究者は悪用を報告していない。
SAP 11月パッチ、CVSS 10.0 が4件 NetWeaver・Web Dispatcher
SAP が2026年11月の月例パッチで CVSS 10.0 の欠陥4件を修正。NetWeaver AS ABAP、Web Dispatcher、Gateway、SAML2 が対象。確認先と優先点を整理する。
シェアフルに不正アクセス、最大750万アカウントの情報漏れか
スキマバイトのシェアフルが社内管理システムへの不正アクセスを発表。最大約750万の個人アカウントの氏名・住所・給与振込用口座などが漏れた可能性。確かめ方と備えを整理。
iOS 27.2.1 で iMessage グループ参加の欠陥を修正
Apple が iOS・iPadOS 27.2.1 で iMessage グループチャットに外から参加できる欠陥（CVE-2026-113961）と Bluetooth ペアリングの欠陥を修正。悪用の記載なし。
FreeSWITCH CVE-2026-116779 が悪用され CISA KEV に追加
IP 電話基盤 SignalWire FreeSWITCH 1.11.2 以前の欠陥 CVE-2026-116779（CVSS 9.8）が実際に悪用された。1.11.3 で修正。公開事業者の確認点をまとめる。
Fireworks AI の侵害、Notion AI の会話が流出した恐れ
AI 推論基盤 Fireworks AI が侵入され、Notion の一部ワークスペースの Notion AI チャットが流出した恐れ。Fireworks の発表と Notion の案内から、影響範囲と鍵の入れ替えを整理する。
Signal の暗号を DeepMind が形式検証、AlphaProof Code
Google DeepMind が AlphaProof Code で Signal の libsignal（PQXDH と Triple Ratchet）を Lean で形式検証。何を証明し何は対象外か、利用者への意味をまとめる。
マイナカードのコンビニ交付障害、戸籍謄本が取れず
2026年11月10日朝から、コンビニ交付で戸籍謄本・附票の写しが発行できない障害。富士フイルムシステムサービスのシステムの通信異常と知多市が発表。攻撃かは未確認。
Claude Opus 5.5 の推論低下の指摘、1400件分析の中身
Claude Code を使う開発者が、Opus 5.5 の考え方が11月3日ごろ変わったと指摘。1400セッションの分析の方法と限界、Anthropic の説明の有無、自分で確かめる方法をまとめる。
Claude Fable 5.2 とサイバー試験：76.3%の数字の読み方
Anthropic が 2026年11月9日に発表した Claude Fable 5.2 と Mythos 5.2。多段階の攻撃試験 CyScenarioBench の結果と、安全対策、守る側が使える仕組みを整理する。
ラフールサーベイ旧システムから2.4万人分漏えい、ストレスチェックも
ラフールが2026年11月9日に公表した「ラフールサーベイ」旧システムへの不正アクセス。182社2万4232人分の氏名やサーベイ回答、一部ストレスチェック結果が対象。確認方法と偽メール対策。
Instagram の AI 年齢推定、日本でも適用開始 保護者が確認すること
Meta は Instagram のティーンアカウント保護を、AI が10代と推定した利用者にも日本で適用すると発表した。何が変わるか、誤判定の扱い、保護者が見る設定を整理する。
病院へのサイバー攻撃、患者への害を整理した論文（JMIR）
Journal of Medical Internet Research の系統的レビュー。病院攻撃での患者被害316件を整理し、周辺病院の救急患者や入院患者の結果悪化を紹介。日本の病院と患者の備えも解説。
Vanderbilt 大学、BYOD が SSN 100万件超の窃取を主張
米 Vanderbilt University の攻撃で、ランサムウェア集団 BYOD が社会保障番号など100万件超の窃取を主張。大学は窃取を確認していない。発表と主張を分けて整理する。
住友生命Vitality、NTTデータ受託システムで約8万人漏えい
NTTデータが住友生命から受託した Vitality体験版・企業型、Vitalityスマートの申込システムに不正アクセス。約8万人分の氏名・住所・メール・カード番号（一部伏せ）などのいずれかが漏れた。
REA などAI改造ブーム、スマート家電の危険
AIエージェントで Reverse Engineer Anything（REA）を使いテレビや Lululemon Mirror を改造する動きが拡大。保証・乗っ取り・脆弱化の懸念と、試す前の確認点を整理する。
Vanderbilt 大学、BYOD ランサムウェア集団が暗号化と窃取を主張
Vanderbilt University が「進行中のサイバー事案」を公表。新手のランサムウェア集団 BYOD が学生・職員・研究データの窃取を主張。大学の発表と集団の主張を分けて整理する。
セガのメルマガ宛先219万件が流出 アララ経由、偽メールに注意
セガとセガ フェイブのメールマガジン11件の配信先メールアドレス2,196,044件が、委託先アララ社への不正アクセスで流出。対象範囲、確かめ方、偽メールへの備えを整理する。
PyPI のプロジェクトページ刷新、出どころ表示を強化
PyPI が新設した「Security タブ」と出どころ（provenance）の警告表示の見方を解説。Trusted Publishing や attestation の有無で、パッケージの素性を確かめる。
PwC「AI 店長」実験、2 週間で 24 万円の赤字
PwC Japan が社内の仮設店舗で行った AI 自律運営の実験を整理。粗利は人間運営を上回ったが収支は赤字で、現場の報告も減った。AI に判断を任せる際の注意点。
N-able N-central の欠陥30件超が公開、クラウド版は停止
IT 管理ツール N-able N-central の未修正の欠陥が、研究者により30件超まとめて公開された。N-able はクラウド版を停止。オンプレ版の停止と、MSP への確認事項を整理する。
Qubole 連携の AWS ロールが悪用、秘密情報が盗まれる（Wiz）
Wiz は、Qubole 関連の AWS アカウントの認証情報が使われ、顧客の AWS 環境の IAM ロールに入られ、シークレットや S3 データが盗まれたと報告。確認方法と鍵の入れ替え手順。
IBM Aspera Faspex の認可欠陥 CVE-2026-123218、CISA が悪用を確認
IBM Aspera Faspex 5.0.0〜5.0.19 の認可の欠陥 CVE-2026-123218 が CISA の KEV に追加。認証済みユーザーが管理者権限を得られる。修正は 5.0.19 PL1。
仏政府、冷蔵設備攻撃をイラン IRGC 系の犯行と断定
フランスが10月の冷蔵・冷凍制御機器への攻撃を、イラン IRGC 系の Shahid Kaveh によるものと断定。報道では火災15件以上。脆弱な機器の一部は Danfoss 製とされる。