ソフトウェアサプライチェーン

オープンソースのコラボレーションが世界的に拡大し、メンテナーへの負担が増大

開発者たちは、GitHubがこれまでほとんど目にしたことのないペースで、経済圏の垣根を越えてコードのプッシュやプルリクエストの送信を行っています。あるエコノミーの開発者から別のエコノミーの公開リポジトリに対して送られたgitプッシュとプルリクエストの合計を示す「アウトバウンド・コラボレーション」は、最

gbhackers.com 1日前 22:18

署名の可変性を悪用し、攻撃者が検証済みGitHubコミットの複製を生成可能に

攻撃者はGitのコミット署名フォーマットにおける署名の可変性（signature malleability）を悪用することで、「検証済み（Verified）」とされたGitHubコミットを密かに複製できます。内容は同一でありながらバイト単位では異なるコミットを作成し、有効な署名を保持したまま、新しいハッシュ値のもとで

cyberpress.org 1日前 22:06

GitHub「Verified」バッジ、同一の署名済みコミットで複数のハッシュに表示される問題

新たに発表された研究論文により、GitHubの「Verified」バッジはコミットハッシュが署名済みコンテンツを一意に識別することを保証しないことが明らかになりました。この事実は、ソフトウェアサプライチェーン全体でハッシュベースのセキュリティ制御を支えてきた根本的な前提を揺るがすものです。 Jacob Ginesin

darkreading.com 2026年7月2日 21:53

アンソロピックのAIがバグを発見、IBMは50億ドルを賭けてそれを修正する

Red Hatとその親会社であるIBMは、驚くべき50億ドルをProject Lightwellに投じることを発表しました。これは、本番環境でオープンソースソフトウェアを更新する際の中断リスクを負えない、事業継続に不可欠なシステムを運用する企業向けの、サブスクリプション型パッチ提供サービスです。オープンソースソフトウェ

helpnetsecurity.com 2026年7月2日 13:09

GitHubの新ツール、高額な損害を招くオープンソースライセンス違反の防止を支援

GitHubのOpen Source Program Office(OSPO)は現在パブリックプレビュー中の新機能「GitHub License Compliance」を利用し、数千件に及ぶオープンソース依存関係を管理するとともに、ライセンスの確認が必要な依存関係を特定しています。この機能はGitH

darkreading.com 2026年6月19日 05:10

ノボノルディスクの情報漏えいが示すソフトウェア開発パイプラインのリスク

ノボノルディスクで最近発生した大規模とみられる情報漏えいは、攻撃者が単一のGitHubアクセストークンを足がかりに侵入したと報告されており、コードリポジトリや開発者環境が、知的財産・認証情報・ソフトウェアサプライチェーン資産を狙う攻撃者にとっての主戦場となっている実態を改めて浮き彫りにしています。オゼンピックやウゴー

helpnetsecurity.com 2026年6月18日 14:46

開発者エンドポイントにおける認証情報の可視化：セキュリティチームの取り組み

以前の分析でも述べたように、攻撃者はすでに開発者のマシンに機密情報が存在することを把握しています。問題は、セキュリティチームがそれを認識しているかどうかです。2026年のサプライチェーン攻撃は、休むことなく続いています。Megalodonは6時間で5,500件のGitHubリポジトリにバックドアを仕込

helpnetsecurity.com 2026年6月16日 18:39