Siri AI、他社アプリの操作へ iOS 27.3 ベータで開発者に開放
Apple は iOS 27.3 などのベータで、他社のアプリが App Intents を通じて Siri AI と連携できるようにした。日本語にも対応する。一般の利用者に届くのは数か月先になる。Siri が読めるアプリを外す「除外されたアプリ」の設定もまとめた。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
危険 1警戒 2
76 本
WordPress本体にログイン不要の欠陥、CISAが悪用中と認定
WordPress Core 4.7〜7.1.3 の更新処理の欠陥 CVE-2026-119977 を CISA が KEV に追加した。更新の数秒の間にログインなしでコードを実行される。7.1.4 などの修正版への更新と、サイトの版の確認が必要だ。
mSecure、理由を言わずパスワードと2FAの作り直しを求める
パスワード管理アプリ mSecure を作る mSeven Software が「怪しい動き」を見つけたとして、今と昔の利用者にパスワード・2FA・パスキーの作り直しを求めた。中身や時期、データが漏れたかは明かしていない。
Google、学校で AI を断ると検索も止まる仕組みに
Google Workspace for Education で、Gemini・NotebookLM・Gemini in Classroom・Google 検索が、K-12 の生徒アカウントでは管理者がオンにするまで止まる。AI を抜いた検索は選べないと Google の担当者が語った。
Binance 63億ドル盗難、偽の採用面接と偽 Homebrew が入り口に
Binance が10月29日の約63.4億ドル盗難の初期報告を出した。偽の Homebrew、偽の採用面接の「課題」、社内 AI ツールの悪用、EIP-7702 の悪用までの流れと、DMM Bitcoin の件との共通点、偽の面接の見分け方をまとめる。
BlackX、更新済みWindowsのSecure Bootを越えて感染
Kaspersky の報告で、UEFI ブートキット BlackX が、更新を当てきった Windows に感染していたことが分かった。CVE-2022-21894（Baton Drop）を使い、Windows Production PCA 2011 の失効（DBX）を有効にしていない PC が対象になる。
App Store、出会い系とAIコンパニオンを18+に 11月16日から申告
Apple は App Store Connect の年齢区分の質問票に「Dating and Relationships」「Shared Location」を加える。性的・恋愛的な AI コンパニオンや出会い系は最低18+。申告の期限は2027年1月12日。保護者はスクリーンタイムで年齢区分による制限を確かめたい。
英 NCSC、AI ランサムウェアの重要インフラ攻撃は「2028年までに起きる見込みが高い」
英国の NCSC（National Cyber Security Centre）が、AI を使うマルウェアによるランサムウェア攻撃が2028年までに英国の重要インフラで起きる見込みが高いと評価した。「安上がりな IT」をやめるよう求めている。
Linux TCP 欠陥 CVE-2026-98432、Ubuntu は試験版
Linux カーネル 4.4 以降の IPv4 TCP に CVSS 9.8 の欠陥。RHEL 8/9/10・Debian・Amazon Linux は修正済み。Ubuntu 22.04/24.04/26.04 は -proposed で試験中。
Android 11月更新、200件超を修正 操作なしでコードを実行されうる欠陥も
Google の Android セキュリティ情報 2026年11月版。Framework の重大な欠陥 CVE-2026-58868 など200件超を修正した。対象は Android 14〜17。パッチレベル 2026-11-05 の確かめ方と、Pixel・Galaxy の配信状況をまとめた。
Europol・Eurojust、投資詐欺サイトの供給元を摘発 7人逮捕
Europol と Eurojust の支援で欧州などの警察がサーバー100台超を押収し、7人を逮捕した。キプロスとイスラエルの会社が、偽の取引サイトを詐欺の電話センターに貸していた疑い。日本の SNS 型投資詐欺との共通点と見分け方も載せる。
動画の背景に入る飛行機の音で撮影場所が分かる、OSINT の実演
YouTube の colsto が、動画に入るかすかなプロペラ機の音（ドップラー効果）を ADS-B の飛行記録と照らし合わせ、撮影場所を割り出す実演を公開した。SNS や配信に動画を出す人が気をつけたいことをまとめる。
Anthropic、AI 開発の劇的な加速に「間もなく達しうる」と上場書類で開示
Claude を作る Anthropic が、上場の届け出書類（S-1/A）で、自社の安全方針（RSP）が定める「AI による劇的な進歩の加速」に間もなく達しうると書いた。AI が AI を作る「再帰的自己改善」と、評価中の AI 事故の流れを整理する。
Claude Code、既存ゲームの「再現」を断るように Opus 5.5 に指示を追加
Anthropic は、Claude Code で Opus 5.5 を使うときの指示に2文を足し、特定の既存ゲームの再現を避けるようにした。オリジナルやジャンルもののゲームは引き続き作れるとしている。個人開発や同人ゲームへの影響と著作権の考え方を整理する。
Expat 2.10.0、XML 読み取り部品の欠陥4件を修正
XML パーサ libexpat の2.10.0で、CVE-2026-113351、115506、117610、118370 の4件を修正した。影響は2.9.0までの版。Python、Debian、Ubuntu など同梱する製品への修正はまだ途中。
Snapchat の Snap、10代の依存・うつ訴訟で陪審の前に和解
Snapchat を運営する Snap が、ロサンゼルスの州裁判所で10代の2人と和解した。訴えは、うつや摂食障害の原因は依存させる設計だというもの。条件は非公表。Meta・YouTube・TikTok の訴訟の動きと、保護者向けの機能も整理する。
LLMjacking、盗んだAPIキーでAIを無断利用 1日10万ドル超の請求も
Google の GTIG と Mandiant が LLMjacking の手口を報告した。漏れたクラウドの認証情報などで Bedrock や Gemini API が無断で使われ、1日10万ドル超、累計100万ドルの請求に達した組織もあった。
Android TV ボックス130万台がボットネットに Google が停止、メーカーを締め出し
Google が XCPE ボットネットを止めた。Videostrong（深圳）の TV ボックスなどに工場出荷時から裏口が入っていたとされる。Synthient は MECOOL などの182の機種名を公開した。
Polymarketの「気温の賭け」でパリ空港の温度計に細工の疑い
予測市場 Polymarket の最高気温の賭けで、パリ・シャルル・ド・ゴール空港の Météo-France のセンサーに異常な値が出て、Météo-France が告訴した。羽田の気温の賭けもある。日本から賭ければ賭博罪になりうる。
Apple、99か国の iPhone 利用者に傭兵型スパイウェアの攻撃を通知
Apple が「Apple Threat Notification」（脅威通知）を99か国の利用者に送った。本物の通知の見分け方、ロックダウンモード、通知を受けたときの相談先をまとめる。
ChatGPT と Codex、使用量の枠が一つに Instant は数えない
OpenAI は、ChatGPT のチャットと Work のタブを一つにまとめ、ChatGPT と Codex が同じ使用量の枠を使う形にする。Instant は数えない。残りの量は「設定」の「使用量」で確かめられる。
欧州スーパーの冷凍庫が再び遠隔操作され食品廃棄 ベルギー・スウェーデンなど
2026年11月2日未明、ベルギー・スウェーデン・アイルランドなどのスーパーで冷蔵・冷凍設備が外から操作され、温度が上がった。10月のフランスでの攻撃に続く2度目。Danfoss AK-SM・Copeland XWEB などの遠隔制御機が焦点になっている。
Ford が車のデータで「プライバシーの約束」 GM の和解の直後
Ford が、コネクテッドカーのデータを守り、共有を利用者に選ばせるとする「privacy promise」を発表した。GM は運転データの販売をめぐり2.2億ドルで和解している。Ford が約束したこと、していないこと、日本の車で設定を確かめる方法をまとめる。
Polymarket 続報：DebugBear は登録業者経由で DNS を乗っ取られたと説明、返金は390万ドル
Polymarket に置かれた DebugBear の RUM スクリプトがすり替わった件の続報。DebugBear はドメインの登録業者を通じて DNS の記録を書き換えられたと説明した。Polymarket は返金の総額を390万ドルとした。外部スクリプトを使うサイトの備えも書く。
Synology NAS に C3RB3R ランサムウェア 古い DSM が狙われている
Synology は、古い DiskStation Manager（DSM）を動かす NAS が、2024年12月に直した欠陥を突かれて攻撃されていると警告した。報道では C3RB3R ランサムウェアとされる。版の確かめ方と対策をまとめる。
@cosme（アットコスメ）に不正アクセス、約300万人の住所・電話番号などが漏えい
アイスタイルが運営する@cosmeで、@cosme共通IDの会員約300万人分の名前・住所・電話番号・生年月日・肌質などが漏えい。退会者も対象。パスワードとカード情報は含まれないとされる。偽メールに注意。
Claude の旧モデルにも透かし、11月3日から AI が書いた印が文章に
Anthropic は、Claude Opus 4.7・Opus 4.6・Sonnet 4.6・Mythos 5 の文章にも、目に見えない透かしを入れるとされる。API とアプリの両方が対象で、世界のどこで使っても入る。見分けられるのは審査を通った組織だけだ。
GMOトラスト・ログインで4.5万人分漏えい ロゴ用の公開領域に顧客ファイル
GMOグローバルサインのシングルサインオン「GMOトラスト・ログイン」で、2,492社・45,030人分の氏名やメールアドレスが公開領域から取れる状態だった。期間は2017年11月から2026年9月まで。
RAGTAG運営元に不正アクセス、会員情報のべ約120万件が漏えいのおそれ
ワールドの子会社ティンパンアレイ（ブランド古着のRAGTAGを運営）の業務サーバーが侵入された。氏名・住所・電話番号・生年月日・性別・メールアドレスのべ約120万件が漏れたおそれがある。決済情報の漏えいは確認されていない。
クラブツーリズムに不正アクセス、ネット会員約432万件が漏えいの可能性
クラブツーリズムのネット会員の氏名・国籍・住所・電話番号・メールアドレス・緊急連絡先など約432万件が漏えいの可能性。同社はホームページを停止したと発表。対象かどうかの確かめ方、窓口、旅行会社をかたる偽メール・偽電話への備えをまとめた。