セキュリティ・AI・テクノロジー 週次ニュースまとめ（2026年8月3日）

はじめに

今週は、ハードウェアウォレットのファームウェア脆弱性を突かれた約88億円規模のBitcoin窃取インシデントを筆頭に、サプライチェーン攻撃や最大深刻度のRCE脆弱性など、金融・インフラを直撃するセキュリティ事案が重なりました。一方でAI分野では、数学・理論計算機科学の未解決問題を次々と突破する新モデルの登場が相次ぎ、技術的な閾値が一段階上がったことを実感させる週でもありました。今回は以下の3点を中心にお届けします。

• 🔐 COLDCARDウォレット大規模窃取：RNGファームウェア脆弱性により41分以内に1,196ウォレットが標的に。ハードウェアウォレットへの信頼が揺らぐ重大インシデント
• ⚠️ Adobe Campaign Classic CVSS 10.0 RCE：ユーザー操作不要で任意コード実行が可能な最大深刻度の脆弱性。即時パッチ適用が必須な状況
• 🤖 OpenAI「Astra」ティーザー公開：未解決の数学・理論計算機科学問題を10件突破。次世代モデルの推論能力が新たなベンチマークを塗り替えつつある

今週の注目ニュース3選

COLDCARDウォレットのRNG脆弱性が招いた8,800万ドル相当のBitcoin盗難（原題: COLDCARD wallet RNG flaw likely linked to $88 million Bitcoin theft）

概要 ハードウェアウォレット「COLDCARD」のファームウェアに、乱数生成器（RNG）の欠陥が存在していました。この脆弱性により、ウォレットのシード生成時に十分なランダム性が確保されず、攻撃者は数千ものウォレットから推定8,860万ドル相当のBitcoinを窃取しました。被害は欠陥のあるファームウェアでシードを生成したウォレットに集中しています。

注目ポイント 今回の問題の核心は、「ハードウェアウォレットは安全」という前提が崩れた点にあります。RNGの欠陥によって生成されたシードは、見かけ上ランダムでも予測可能な値になります。攻撃者がそのパターンを把握していれば、秘密鍵を総当たりではなく絞り込みによって導出できます。ハードウェアウォレットはソフトウェアウォレットより安全とされてきましたが、今回はファームウェアレベルの実装不備が直接的な資産流出につながりました。被害規模（数千ウォレット・約130億円相当）は、この種の脆弱性が単発の攻撃にとどまらず、継続的・組織的に悪用されていたことを示しています。

押さえておきたい理由 COLDCARDウォレットを利用しているエンジニアやセキュリティ担当者は、まず自身のウォレットのシードが生成されたファームウェアバージョンを確認する必要があります。脆弱なバージョンでシードを生成している場合、ファームウェアの更新だけでは不十分で、新しいシードを安全な環境で再生成し、資産を移動させる対応が求められます。また、より広い視点では、暗号資産管理システムの設計・監査において「乱数の品質保証」を明示的にセキュリティ要件として定義することの必要性を、このインシデントは具体的な損害額とともに示しています。RNGの品質はテストで見落とされやすい領域だけに、実装レビューのチェックリストへの組み込みを検討する価値があります。

参照 Bleeping Computer

Adobe Campaign Classicに深刻度MAXの脆弱性——認証不備でコードが遠隔実行される（原題: Adobe Campaign Classic CVSS 10.0 Flaw Could Run Code Without User Interaction）

概要 Adobeは、エンタープライズ向けマーケティング自動化プラットフォーム「Adobe Campaign Classic（ACC）」に、CVSSスコア10.0（最大値）の脆弱性（CVE-2026-48449）が存在することを公表し、セキュリティアップデートをリリースしました。この脆弱性は「不正な認可処理（incorrect authorization）」に起因するもので、攻撃者がユーザーの操作を一切必要とせず、任意のコードをリモートから実行できる状態にあります。Adobeはすでに修正パッチを提供しており、対象ユーザーへの早急な適用を求めています。

注目ポイント CVSSスコア10.0は理論上の最高値であり、「悪用の難易度が低く・ユーザー操作が不要で・影響範囲が広い」という3条件がすべて揃っているため、この数値に到達します。今回の脆弱性はその条件を満たしており、攻撃者がネットワーク越しに標的サーバーへ到達できれば、被害者側の行動を一切必要とせず侵害が成立します。Adobe Campaign Classicは顧客データや大規模メール配信インフラを扱う基幹システムであるため、侵害が発生した場合は個人情報の漏洩やスパム配信インフラへの悪用といった二次被害に直結する点が、他の脆弱性より深刻です。

押さえておきたい理由 Adobe Campaign Classicを自社環境またはクラウド上で運用しているセキュリティ担当者は、まず現在使用しているバージョンをAdobeの公式セキュリティアドバイザリと照合し、対象バージョンであれば即時のパッチ適用を優先対応として扱う必要があります。パッチ適用までの間は、ACCサーバーへの外部からのアクセスをファイアウォールやネットワークセグメンテーションで制限することが有効な緩和策になります。また、マーケティング部門が主管するシステムはIT・セキュリティ部門の監視対象から外れがちな傾向があるため、今回を機に組織内のACC運用状況を棚卸しし、パッチ管理プロセスの対象に明示的に含めることが重要です。

参照 The Hacker News

広告配信スクリプトへの改ざんで、複数サイトの仮想通貨ウォレットアドレスが書き換えられた（原題: Hackers Poison Adform Script to Swap Crypto Wallet Addresses Across Customer Sites）

概要 攻撃者は、広告テクノロジー企業Adformが配信するJavaScriptファイルを改ざんし、ブラウザ上で動作する暗号資産ウォレットアドレス書き換えツールへと変えました。2026年7月27日、Adformが不正なコードを検出・削除し、影響を受けたクライアントへの通知と当局への報告を実施しました。この日に改ざんされたスクリプトを読み込むサイトを訪問し、Bitcoinなどのウォレットアドレスをコピーしたユーザーのアドレスが、攻撃者の管理するアドレスに差し替えられた状態になっていました。

注目ポイント このインシデントは「クリップボードハイジャック（アドレス置換）」手法そのものは既知ですが、攻撃対象が個々のサイトではなく、多数のサービスに横断的に読み込まれる広告配信サードパーティスクリプトである点が問題の核心です。Adformのスクリプトを採用している全顧客サイトが同時に感染媒体となったことで、1つのファイル改ざんが広範囲のエンドユーザーに影響を及ぼすサプライチェーン攻撃として機能しました。ユーザーは自分が訪問したサイト自体が侵害されているとは気づきにくく、正規の決済フローの中でアドレスが静かに置き換わるため、被害の発覚が遅れるリスクがあります。

押さえておきたい理由 自社サービスがサードパーティの広告・アナリティクス・タグ管理スクリプトを外部CDNから直接読み込んでいる場合、今回と同様のリスクを抱えています。エンジニア・セキュリティ担当者は以下の対応を確認してください。

• Subresource Integrity（SRI）の導入：外部スクリプトにハッシュ値を付与し、ファイルが改ざんされた場合にブラウザが読み込みをブロックするよう設定する
• Content Security Policy（CSP）の厳格化：許可する外部スクリプトのソースを明示的に制限し、意図しないドメインからの実行を防ぐ
• サードパーティスクリプトの棚卸し：現在稼働中のサービスで読み込んでいる外部スクリプトの一覧を把握し、インシデント発生時に即時特定・無効化できる体制を整える

暗号資産を扱うサービスでは特に、ウォレットアドレスの表示・コピー機能が攻撃のターゲットになることを前提とした実装レビューが必要です。

参照 The Hacker News

カテゴリ別まとめ

セキュリティ

ホテルWi-Fiを乗っ取ったブラウザ偽アップデートでスパイウェアを配布（原題: Hijacked Hotel Wi-Fi Pushes Fake Updates to Deliver Surveillance Malware）

概要 Microsoftのレポートによると、ロシア系APTグループ「Midnight Blizzard」のサブクラスターと評価される「Storm-2945」が、ホテルのWi-Fiを侵害し、接続ユーザーに偽のブラウザアップデートを表示させる手口でRAT（遠隔操作型マルウェア）「CornFlake」を配布していたことが明らかになりました。CornFlakeはWebカメラの映像・マイク音声・キーストロークを収集する機能を持ち、研究者たちはこの一連の作戦を「CaptiveCrunch」として追跡しています。

実務的な示唆 攻撃の起点がホテルWi-Fiという点は、出張者・外交官・企業幹部など「移動中に公共ネットワークを使わざるを得ない人物」を狙い撃ちにしていることを示しています。Midnight Blizzardはこれまでも標的を絞った諜報活動を展開してきており、CaptiveCrunchも不特定多数へのバラマキ型ではなく、特定の宿泊施設を選定した上で仕掛ける高度な標的型攻撃と見るべきです。

現場レベルでは、「ブラウザのアップデートは公式サイトまたはOSの正規更新機能以外からは行わない」というルールを組織全体に徹底することが直接的な防御になります。加えて、ホテルなどの外部ネットワーク利用時はVPNを必須とするポリシーを設けることで、Wi-Fi自体が侵害されていた場合でも通信の盗聴や偽コンテンツの挿入を防ぐ層を確保できます。エンドポイント側では、正規プロセス以外からのexeやインストーラ起動をブロックするアプリケーション制御ポリシーが、偽アップデートによるマルウェア実行の最終防衛線として機能します。

参照 The Hacker News

中央アジア政府機関を標的にした新たいサイバー攻撃キャンペーンを確認（原題: Suspected Chinese-Speaking Hackers Target Central Asian Governments With OctLurk and SilkLurk）

概要 中国語話者によるものとみられる脅威アクターが、2025年1月以降、アフガニスタン・キルギスタン・タジキスタン・ウズベキスタン・カザフスタン・シリアの政府機関を主な標的とするサイバー攻撃キャンペーンを展開しています。攻撃対象は政府機関にとどまらず、医療・研究機関など複数のセクターに及んでいます。

実務的な示唆 今回の攻撃では「OctLurk」「SilkLurk」という2種類のマルウェアが使用されており、いずれも未知または既存ツールをカスタマイズしたものである点に注意が必要です。中央アジアの政府・公共機関と連携している日本企業や研究機関は、当該地域のカウンターパートを経由した侵入経路（サプライチェーン・メール起点の標的型攻撃）を想定したリスク評価を行う必要があります。また、OctLurkおよびSilkLurkのIOC（侵害の痕跡）が公開された際には、自組織のEDR・SIEMルールへの即時反映を検討してください。攻撃者が医療・研究セクターも標的に含めていることから、機微な研究データや個人情報を保有する組織は特にラテラルムーブメント（横断的侵害）の検知体制を強化することが求められます。

参照 The Hacker News

AI

OpenAIが次世代モデル「Astra」を予告——数学・理論計算機科学の未解決問題10件を自律的に解決（原題: OpenAI teases Astra, its next major AI model, after it solves 10 long-standing math problems）

概要 OpenAIは、複雑かつ長時間にわたるタスクの自律実行を目的とした未公開モデル「Astra」を発表しました。同モデルの内部バージョンが、数学および理論計算機科学の分野で長年未解決とされてきた問題10件を独力で解くという成果を上げたことが、今回の発表の契機となっています。

活用・注目ポイント Astraが際立っている点は、単に正解を出力するだけでなく、「長時間にわたる複雑なタスクを自律的に実行する」設計思想にあります。従来のLLMが苦手とする「複数ステップにわたる推論の連鎖」や「長期的なコンテキスト保持」に正面から取り組むモデルとして位置づけられており、研究支援・コード生成・システム設計といった高度な知的作業への応用が現実的な射程に入ってきます。

数学・理論計算機科学の未解決問題を解いたという事実は、ベンチマークスコアの向上とは質的に異なります。既存の訓練データに存在しない問題に対して新たな解法を導き出せるとすれば、AIが「既知の知識を整理・検索するツール」から「未知の領域を開拓する推論エンジン」へと役割を変えつつある段階に差し掛かっていることを示します。

セキュリティ・エンジニアリング領域への影響も看過できません。自律的な長時間タスク実行能力は、脆弱性探索や攻撃チェーンの構築にも転用できるため、Astraの能力水準は防御側の想定脅威レベルを直接引き上げる要因になります。モデルの公開前から、レッドチーム演習や検知ルールの見直しを始めるタイミングとして捉えることが実務上の優先事項です。

参照 Bleeping Computer

テクノロジー / 開発

ChromeがポリシーインストールされたNew Tabハイジャック拡張機能をデフォルトでブロックする方向へ（原題: Google Chrome may soon block New Tab hijacker extensions by default）

概要 GoogleはChromeに新しいセキュリティ機能を実装する準備を進めており、グループポリシー経由でインストールされた拡張機能がNew Tabページを乗っ取ったり、デフォルト検索エンジンを変更したりする動作をデフォルトでブロックする方針を示しています。この変更は、企業環境で管理者権限を悪用してブラウザ設定を強制変更する手口を制限することを目的としています。

開発者・技術者への示唆 今回の変更が影響するのは、MDMやグループポリシーを通じてエンドポイントに展開されている拡張機能です。企業の社内ツールや管理系拡張機能の中に、New Tabページのカスタマイズや検索エンジンの置き換えをポリシー経由で行っているものがある場合、Chrome側の制御が優先されてこれらの機能が無効化されるリスクがあります。拡張機能の開発・管理を担当するチームは、該当機能がChrome Web Storeの正規APIおよびユーザー同意フローに準拠した実装になっているかを今のうちに確認しておく必要があります。また、セキュリティ担当者の視点では、この制限はポリシーを悪用したブラウザ設定の無断変更（いわゆるNew Tabハイジャック）に対する防御レイヤーが一段強化されることを意味しており、エンドユーザー端末の設定管理フローを見直す契機として活用できます。

参照 Bleeping Computer

Rails の Active Storage に任意ファイル読み取り・RCE につながるクリティカル脆弱性、修正パッチ公開（原題: Rails patches critical Active Storage flaw with RCE potential）

概要 Ruby on Rails の Active Storage フレームワークにクリティカルな脆弱性が発見され、Rails 開発チームが修正パッチをリリースしました。認証なしの攻撃者がアプリケーションサーバー上の任意ファイルを読み取れるほか、条件次第でリモートコード実行（RCE）にまで escalate できる危険性があります。

開発者・技術者への示唆 Active Storage はファイルアップロード機能を手軽に実装できるため、Rails アプリケーションで広く採用されています。今回の脆弱性は「認証不要で外部から攻撃できる」という点で、本番環境への影響が直接的です。攻撃者がサーバー上の設定ファイルや秘密鍵（credentials.yml.enc、.env など）を読み取れた場合、データベース接続情報や API キーの漏洩につながります。さらに RCE まで到達された場合、サーバーを完全に掌握される恐れがあります。

対応として、Rails を使用しているプロジェクトはただちに修正済みバージョンへのアップグレードを優先してください。Active Storage を実際に使用していないプロジェクトでも、Rails 本体に依存して gem がロードされているケースでは影響を受ける可能性があるため、バージョン確認は必須です。また、今回の件はサードパーティ製フレームワークのコンポーネントが攻撃経路になり得ることを改めて示しており、bundler-audit などのツールによる依存ライブラリの脆弱性チェックを CI/CD パイプラインに組み込むことが、同種のリスクを継続的に検出する現実的な手段となります。

参照 Bleeping Computer

今週の総括

今週最も重い事案は、COLDCARDのRNGファームウェア脆弱性を起点とした約88億円のBitcoin窃取です。「ハードウェアウォレットに資産を移せば安全」という前提が崩れた点で、被害額以上のインパクトがあります。乱数生成の品質保証はウォレットセキュリティの根幹であり、今回のインシデントはファームウェア検証や独立したRNGの監査プロセスが製品ライフサイクルのどこに組み込まれていたかを問い直す事例になりました。広告配信スクリプトへのサプライチェーン攻撃も今週確認されており、「信頼できるサードパーティ」経由での侵害という構図が金融・インフラ領域で繰り返されています。

セキュリティアップデート面では、Adobe Campaign ClassicのCVSS 10.0 RCEとRails Active Storageのクリティカルパッチが同週に重なりました。いずれもユーザー操作を必要としない、あるいは広く使われているフレームワークを直撃する性質のものです。加えてTLS 1.2のフィーチャーフリーズ（RFC 9851）が正式化されたことで、TLS 1.3移行の先送りが技術的負債として顕在化するタイミングが近づいています。自社サービスのTLSバージョン分布を今週中に確認しておくことを推奨