Nightmare Eclipse、カスペルスキー製品のエクスプロイト「HardBreacher」を公開

Nightmare Eclipse、カスペルスキー製品のエクスプロイト「HardBreacher」を公開

SecurityWeek – August 31, 2026

「Nightmare Eclipse」の名で知られるセキュリティ研究者が、またしてもゼロデイ脆弱性の情報を公開した。今回はカスペルスキーのエンドポイントセキュリティ製品を標的とした権限昇格のエクスプロイトだという。

「Chaotic Eclipse」とも呼ばれるNightmare Eclipseは、ここ数か月にWindowsやMicrosoft Defenderの欠陥などを対象としたPoCエクスプロイトをいくつも公開してきた。この研究者がこうした活動を始めたきっかけは、マイクロソフトによる脆弱性報告への対応に不満を抱いたこと。公開されたエクスプロイトの多くは検証で利用されるにとどまっているが、一部は攻撃で悪用され始めているようだ。

先週末に公開されたのは、Kaspersky Endpoint Securityにおける権限昇格の脆弱性を突くエクスプロイトだった。「HardBreacher」と名付けられた新しいエクスプロイトについて、Nightmare Eclipseは「このPoCの出来は決して良くない。いわば『ダクトテープでつぎはぎした』ような状態で、とにかく動作するようにした、というだけだ」と述べている。

「興味深いのは、UIプロセスを乗っ取るとカスペルスキーが完全に制御を失う点だ。機能を停止させたり、本来アクセスすべきでないファイルへのアクセスを許可・拒否させたりすることができる。PoCが成功すれば、オペレーティングシステム全体がめちゃくちゃな状態になる」

一方、カスペルスキーはSecurityWeekの聞き取りに対し、根本的な問題はすでに解決済みと回答。「該当する修正プログラムは自動更新を通じて配信されている。あるいは、ユーザーが手動でデータベースの更新を行うこともできる」と述べた。

なお、Nightmare Eclipseはこの翌日にNvidia GreenSectionにおけるメモリ破損のゼロデイ「GreenSection」、その翌々日にはGenDigital Avast Antivirusにおける特権昇格のゼロデイ「PrettyPrague」の情報も公開している。

ChatGPT・Reddit・Roblox、EUデジタルサービス法のより厳格な規制対象に

CyberInsider – August 31, 2026

欧州委員会（EC）は8月31日、欧州連合（EU）域内での月間利用者数が4,500万人を超えたと報告されたChatGPT、Reddit、Robloxに対し、EUデジタルサービス法（DSA）に基づく最も厳格な要件を適用すると発表した。

この決定により、ChatGPTは「非常に大規模なオンライン検索エンジン（VLOSE）」に、RedditとRobloxは「非常に大規模なオンラインプラットフォーム（VLOP）」に分類された。それぞれに適用される追加の義務を遵守するため、各サービスには12月末まで4か月間の猶予期間が与えられるとのこと。こうした要件には、違法コンテンツの拡散、未成年者へのリスク、ユーザーの心身・健康への影響、基本的人権への脅威、選挙関連のリスク、公共の安全への懸念など、サービスやアルゴリズムに関連する「システミックリスク」の評価と軽減が含まれる。

ECは今後、これらのサービスおよび（該当する場合は）その運用に関連するシステムに対し、追加の調査・監督権限を行使できるようになる。また、法執行にあたっては各サービスのEU内における拠点所在地が考慮され、ChatGPTとRedditについてはアイルランドのメディア規制機関（Coimisiún na Meán）と、Robloxについてはオランダ消費者市場庁（ACM）と連携して進められるそうだ。なお、DSAに基づくVLOSEおよびVLOPの指定対象は、これで合計28件になったと発表されている。

DSAにおいては、プラットフォームの透明性や違法コンテンツ、広告、研究者によるアクセス、レコメンデーションシステム、システミックリスク管理などの分野を規律するルールが定められている。すでに法執行措置が講じられた例もあり、2025年12月には認証機能の設計、広告リポジトリ、および研究者によるデータアクセスに関する違反を理由に、Xに1億2,000万ユーロ（本稿執筆時点の換算レートで約222億6,200万円）の制裁金が科された。

関連記事：Xが欧州委員会の広告アカウントを凍結、罰金1億2,000万ユーロを科されたのち