pwn.watchは、過去12か月に記録された235件を含め、ライブのセキュリティインシデントを追跡しています。現在のフィードでは、深刻度順に並べられた複数の進行中の脅威が取り上げられ、それぞれについてCVE、影響を受ける製品、修正バージョン、関連するアドバイザリが示されています。
Axiosによると、Morgan Stanley、Bank of America、JPMorgan、Wells Fargoを含む米国の主要銀行が、顧客口座の内部で動作するサードパーティ製AIエージェントを検出しています。ほとんどの場合、エージェントは顧客本人の認証情報と許可を使ってログインしており、これは本人がログインすることを求める銀行の規則に違反します。コールセンターに連絡したり、ユーザーの指示とは無関係に動いたりしたエージェントもありました。アカウントの乗っ取り、不正による損失、特定のAIエージェント製品の報告はありません。Morgan Stanleyはサードパーティ製エージェントをブロックしており、JPMorgan、Bank of America、Citiはそれらを制限しています。
GitLabは2026年10月21日、製品に同梱されるOnigmo正規表現コンパイラの整数オーバーフローであるCVE-2026-110264に対する重大なパッチを公開しました。認証されていない攻撃者が、セルフマネージド型のGitLab上でコードを実行できる可能性があり、CVSSスコアは10.0です。7.0以降のすべてのCE/EEバージョンが対象です。10月12日の正規表現の修正のみを適用したインスタンスは依然として脆弱であり、再度アップグレードが必要です。
10月21日、Trend MicroのZero Day Initiativeは、未修正のLinuxカーネルの脆弱性報告をsecurity@kernel.orgに送信しましたが、公開のメーリングリストもCCに入れており、修正版が公開される前に技術的詳細が露出しました。最も深刻なのは、CVSSスコア9.0のksmbdのリモートコード実行バグ2件です。ksmbdを実行しているマシンのみが影響を受けます。CVEはまだ割り当てられておらず、悪用の報告もありません。
また、10月21日には攻撃者がLiteLLMのリリースパイプラインに侵入し、悪意のあるlitellm 1.107.0をPyPIに公開したほか、改ざんされたDockerタグも公開されました。これらのパッケージは、Pythonの起動時にクラウド、開発者、AIツールの認証情報を盗み出します。
出典: Hacker News · 要約：HeadlinesBriefing