Ostorlab

Ostorlab vs MobSF：アナリスト主導とAI主導のモバイルセキュリティテスト（2026年）

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

モバイルアプリのセキュリティテストにおけるOstorlabとMobSF（Mobile Security Framework）の比較です。静的解析と動的解析、端末の要件、エクスプロイトによる実証、認証付きテスト、連携、デプロイ、コストを取り上げ、代替ツールとFAQも紹介します。

Ostorlab vs Oversecured：モバイルアプリのセキュリティテストを比較（2026年）

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

モバイルアプリのセキュリティテストにおけるOstorlabとOversecuredを、iOSとAndroidのカバレッジ、エクスプロイトによる実証、認証付きテスト、API、連携、デプロイ形態、価格の観点で比較します。比較表、代替ツール、FAQも掲載しています。

SnykとCheckmarxの代替ツール：Ostorlab、Snyk Code、Checkmarx One、GitHub Advanced Securityの比較（2026年）

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

2026年におけるSnyk Code、Checkmarx One、GitHub Advanced SecurityのSAST代替ツールと、対応言語、開発者ワークフロー、誤検知、エクスプロイトによる実証、ロジックバグ、デプロイ形態、価格の観点でOstorlabがどう比較されるかを解説します。

自社のバックログのために作ったAIエージェントを、今度はあなたのチームに

Bilal Harras — Tue, 06 Oct 2026 09:00:00 +0200

バグチケットをプルリクエストに変える小さなエージェントが、どのようにしてOstorlabのチケットエージェントになったのか。仕事、モデル、実行ルールを与えるだけで動くAIのチームメイトを紹介します。

誤検知の真のコスト：ノイズの多いスキャナーが課すエンジニアリング税を計算する

Sohaib Harraoui — Mon, 28 Sep 2026 10:00:00 +0200

誤検知は、スキャナーの品質だけの問題ではなく、エンジニアリングのキャパシティの問題です。そのコストを計測し、実証エクスプロイトテストのROIを評価する方法を学びましょう。

Ostorlabを使うべきなのは誰か：最適なチーム、ユースケース、他の選択肢を選ぶべきとき

Abir Jelti — Mon, 28 Sep 2026 08:00:00 +0200

Ostorlabは、つながり合うモバイル、Web、API、コードのアセットをリリースごとにテストするチームに適しています。適する場面、選ぶべきプラン、他のツールの方が適するケースを解説します。

Ostorlab vs. ペンテスト会社：2026年のコストと深さの比較

Youssef Mabrouk — Fri, 25 Sep 2026 16:00:00 +0200

Ostorlabとペンテスト会社を、コスト、テスト頻度、深さ、修復の観点で比較し、AIペンテスト、コンサルタント、またはその両方をいつ使うべきかを解説します。

APIセキュリティテストだけではクロスアセット攻撃チェーンを見逃す理由

Bilal Harras — Fri, 25 Sep 2026 14:00:00 +0200

APIだけを対象とするスキャナーは、モバイルアプリ、Webバンドル、コード内のシークレットやルートから始まる攻撃チェーンを見逃します。実際の2つのチェーンと8ステップのテストチェックリストを紹介します。

SOC 2向けAIペンテスト：6社のプロバイダーを比較

Youssef Mabrouk — Fri, 25 Sep 2026 10:00:00 +0200

SOC 2向けのペンテストについて、Ostorlab、XBOW、Aikido、Intruder、Escape、Pentiを、エクスプロイトのエビデンス、人間によるレビュー、サンプルレポート、再テスト、価格の観点で比較します。

2026年のアプリケーションペネトレーションテストの費用はいくらか

Abir Jelti — Fri, 25 Sep 2026 08:00:00 +0200

2026年の手動アプリペンテストの費用は$3,000〜$50,000+、公開されているAIペンテストは$499〜約$8,000です。価格を左右する要素、見積もりの除外項目、比較方法を解説します。

モバイルアプリのシールディングバイパスをテストするための最適なツール

Youssef Mabrouk — Wed, 23 Sep 2026 12:00:00 +0200

手動テスト向けのApktool、JADX、Ghidra、Frida、Objection、LLDBを、OstorlabによるAndroid・iOSのモバイルシールディングおよびRASPの自動評価と比較します。

Deep Agentic Scanが現実の厄介な脆弱性を捕捉する仕組み

Oussama Bakri — Wed, 23 Sep 2026 10:00:00 +0200

OstorlabのDeep Agentic Scanが、Web、モバイル、ソースコードにまたがる複雑な脆弱性をどのように発見し、実際に実行して実証するのかを、4つの実例で解説します。

AIエージェントはSASTの検出結果を実行時に実証できるか

Mohammed Lachhab — Wed, 23 Sep 2026 10:00:00 +0200

静的解析はバグの可能性を指摘できても、それを実証することはできません。実行時検証によって、Langflowの認証済みRCEを実証し、libxml2の解放後使用について報告されていたトリガー条件を修正しました。

地図と窓：エージェント型スキャンがドキュメントの漏えいを認証情報の窃取へとつなげた方法

Aziz Elbelaychy — Wed, 23 Sep 2026 10:00:00 +0200

OstorlabのAgentic Deep Scanが、重大度「中」のOpenAPI仕様の露出とSSRFの脆弱性を連鎖させ、ループバック制限をバイパスしてデータベースの認証情報を抽出した過程を紹介します。

2026年版APIセキュリティテストツールのおすすめ：4製品を比較

Bilal HARRAS — Tue, 22 Sep 2026 14:00:00 +0200

2026年のおすすめAPIセキュリティテストツールとして、StackHawk、42Crunch、Escape、OstorlabをDAST、BOLA/BFLAテスト、APIディスカバリー、CI/CDの観点で比較します。

ポストモーテム：自律型AIエージェントがスコープを逸脱する理由と、その封じ込め方

Bilal Harras — Fri, 18 Sep 2026 12:00:00 +0200

承認済みのAPI評価の最中にAIエージェントがテストスコープの外へ逸脱したインシデントについて、その経緯と原因、そして当社が自律型エージェントをどのように封じ込めているかを解説する技術的なポストモーテムです。

SOC 2コンプライアンス向けに監査対応のペンテストレポートを最速で入手する方法

Sohaib Harraoui — Wed, 16 Sep 2026 10:00:00 +0200

B2B SaaSスタートアップが、コンサルティング会社による4週間の待ち時間を回避し、監査対応のSOC 2ペンテストレポートと証明書（Letter of Attestation）を数週間ではなく数日で入手する方法を解説します。

Ostorlab Neutron、CyberGymベンチマークで96.7%を達成

Abir Jelti — Mon, 14 Sep 2026 17:42:00 +0200

Ostorlab NeutronはCyberGymで検証済みエクスプロイト解決率96.7%を達成し、ベンチマークの脆弱性再現タスク1,507件のうち1,458件で実際に動作する差分概念実証を生成しました。

2026年のおすすめWebアプリケーションセキュリティテストツール

Abir Jelti — Fri, 11 Sep 2026 10:00:00 +0200

Ostorlab、Burp Suite DAST、Invicti、InsightAppSec、AppScan、XBOW、OWASP ZAPを比較し、DASTで十分な場合とエージェント型ペンテストが必要な場合を解説します。

2026年のおすすめエンタープライズ向けモバイルアプリベッティングプラットフォーム

Abir Jelti — Thu, 10 Sep 2026 10:00:00 +0200

Android・iOSアプリのベッティングについて、Ostorlab、NowSecure、Quokka、Zimperium、Appknox、Data Theoremを運用モデル、リスクスコアリング、監視の観点から比較します。

2026年のおすすめAIペンテストプラットフォーム

Abir Jelti — Wed, 09 Sep 2026 00:00:00 +0200

2026年の主要なAIペンテストプラットフォームを、アセットのカバレッジ、自律的な悪用、攻撃チェーン、エビデンス、コンプライアンス、デプロイ形態の観点で比較します。

自律型ペンテスト対従来型ペンテスト

Sohaib Harraoui — Tue, 08 Sep 2026 14:00:00 +0200

従来型ペンテスト、PTaaS、自律型AIテストを比較します。エージェントがカバレッジとエビデンスで勝る領域、人間が依然として主導する領域、そしてそれらを組み合わせる方法を解説します。

Multi-Asset Deep Agentic Scanのご紹介：アプリケーション全体をつなぐテスト

Abir Jelti — Wed, 02 Sep 2026 10:00:00 +0200

Multi-Asset Deep Agentic Scanは、関連するモバイル・Web・API・ネットワーク・ソースコード・ドキュメントのアセットを、つながった一つのエージェント型調査で評価します。

モバイルアプリシールディングの回避：検知の先で強制が破綻する場所

Mohammed Lachhab — Wed, 12 Aug 2026 10:20:00 +0200

検知と強制は別々のセキュリティ特性です。4つの商用シールディング製品で保護された本番環境の銀行アプリ5本を調べたところ、検知は高度でしたが、強制は脆弱でした。

スタートアップのためのペネトレーションテスト完全ガイド2026年版（費用、プロセス、ベンダー選定）

Bilal Harras — Sun, 09 Aug 2026 10:30:00 +0200

ペネトレーションテストとは何か、2026年のスタートアップにとっての費用、5つのステップからなるテストのプロセス、そして自社の技術スタックに合ったベンダーの選び方を解説する包括的なガイドです。

Ostorlab Platform MCP Serverのご紹介

Abir Jelti — Sat, 08 Aug 2026 15:55:00 +0200

OstorlabがMCPに対応しました。AIアシスタントやエージェントが、権限で制御された形でセキュリティデータとワークフローにアクセスできます。

Risk Rerunsの紹介：Agentic Deep Scanのきめ細かな制御

Bilal Harras — Fri, 07 Aug 2026 18:50:00 +0200

Agentic Deep ScanにRisk Rerunsが登場しました。アセットの再アップロードや最初からのやり直しなしに、エフォートレベル、AIモデル、パラメーターをカスタマイズして特定のリスク調査を再実行できます。

AIは攻撃を実行できる。その結果を信頼できるか

Mohammed Lachhab — Thu, 06 Aug 2026 13:35:00 +0200

AIは数秒で説得力のあるエクスプロイトのストーリーを作り出せます。そのストーリーがセキュリティチームの信頼できる検出結果になるかどうかは、実行時の実証、ネガティブコントロール、そして人間によるレビューが決めます。

SOC 2はAIが実施したペネトレーションテストを受け入れるか

Aziz Elbelaychy — Thu, 06 Aug 2026 10:00:00 +0200

SOC 2は必須のテスト手法を指定していないため、監査人が評価するのはツールではなくエビデンスです。AIが実施したペネトレーションテストがSOC 2 Type II監査を満たすために実際に必要なものを解説します。

Agentic Scan Knowledgeの紹介：決して忘れないスキャナー

Abir Jelti — Wed, 05 Aug 2026 09:58:00 +0200

Agentic Scan Knowledgeは、Ostorlabのセキュリティエージェントに永続的なアプリケーションコンテキストを与え、すべてのスキャンがゼロから始め直すのではなく、過去のテストの上に積み重ねられるようにします。

Ostorlab Mobile Shielding Scanのご紹介

Abir Jelti — Tue, 04 Aug 2026 18:39:00 +0200

Ostorlab Mobile Shielding Scanは、root検知、改ざん防止、証明書ピンニング、難読化など、AndroidとiOSの保護機能を実際のバイパス手法に対してテストします。

Ostorlabのオンプレミス脆弱性スキャナーを発表

Bilal Harras — Tue, 04 Aug 2026 13:37:00 +0200

自社のローカルインフラ内に潜むセキュリティ上の欠陥を特定し、そのコンテキストを明らかにするために設計された、Ostorlabオンプレミス脆弱性スキャナーの一般提供開始を発表します。

Ostorlab vs Aikido：AppSecプラットフォーム比較

Bilal HARRAS — Mon, 03 Aug 2026 18:00:00 +0200

SAST、WebとAPIのペンテスト、モバイルバイナリのテスト、クラウドの態勢管理、BYOK、修復の観点でOstorlabとAikidoを比較します。比較表とFAQ付きです。

Ostorlab vs Appknox：事実関係を正す

Bilal HARRAS — Wed, 29 Jul 2026 14:00:00 +0200

Appknoxの「Top 10 MAST Tools」リストにOstorlabが回答します。誤っていた点、KnoxIQとAgentic Deep Scanの違い、フルスタックのカバレッジ、デプロイと価格について解説します。

XBOW vs Ostorlab：AIペンテストの比較

Bilal HARRAS — Tue, 28 Jul 2026 11:29:00 +0200

XBOWとOstorlabを、対象範囲の設定、モバイルとAPIのカバレッジ、アセットをまたいだエクスプロイトチェーン、CI/CDテスト、エビデンス、修復ワークフローの観点で比較します。

Ostorlab対NowSecure：モバイルAppSecの比較

Bilal HARRAS — Mon, 27 Jul 2026 16:47:00 +0200

Ostorlab対NowSecureを6つの領域で比較します。コストとスケール、CI/CD連携、ビジネスロジックのカバレッジ、フレームワークのサポート、対象を絞ったスキャン、地域制限アプリです。

2026年のおすすめSASTツール：ソースコードスキャンツールを比較

Youssef Mabrouk — Mon, 27 Jul 2026 10:00:00 +0200

2026年のおすすめSASTおよびソースコードスキャンツールであるOstorlab、GitHub Code Security（CodeQL）、Semgrep、Snyk Code、Checkmarx One、SonarQube、Veracode、Black Duck Coverity、OpenText Fortifyを、対応言語、CI/CD、誤検知、AIによる修正、価格の観点から比較します。

Ostorlab Threat CenterがEU脆弱性データベースに対応

Abir Jelti — Fri, 24 Jul 2026 09:09:00 +0200

Ostorlab Threat CenterはNVDのデータに加えてEUVDのインテリジェンスも提供するようになり、EUサイバーレジリエンス法への準備を進めるセキュリティチームに、より広範な脆弱性の可視性をもたらします。

検出結果だけでなくエビデンスを生み出すAIペンテストのプロンプト

Mohammed Lachhab — Thu, 23 Jul 2026 16:00:00 +0200

構造化された出力、検証ゲート、制御された実行を通じて、スコープを限定したエビデンスをレビュー可能な検出結果へと変える、AI支援型セキュリティテストのワークフロー設計に関する実践ガイドです。

AIスキャナーはいつAIペンテストになるのか

Abir Jelti — Wed, 22 Jul 2026 17:50:00 +0200

AIを活用したスキャンとAIペンテストを分けるものは何か、そしてOstorlab Deep Agentic Scanがエビデンスをたどって実際の攻撃経路をどのように検証するのかを解説します。

ソースコードセキュリティ：シグナルから検証済みのリスクへ | Ostorlab

Abir Jelti — Thu, 16 Jul 2026 12:13:00 +0200

ソースコードセキュリティテストの仕組み、従来のSASTが誤検知を生む理由、そしてエージェント型分析がスキャナーのシグナルをすぐ対応に着手できる検出結果へと変える方法を解説します。

GoPhish最新版を徹底分析：Ostorlab Agentic Deep Scanによるソースコード評価

Sohaib Harraoui — Thu, 16 Jul 2026 10:00:00 +0200

GoPhish最新版が信頼をどのように扱っているか（アイデンティティ、信頼できないコンテンツ、オブジェクトの所有権、認証情報のライフサイクル、外向きリクエスト）を検証した技術評価です。Ostorlab Agentic Deep Scanによるソースコード解析で、レポートレベルの8件の検出結果、PoC、修復の優先順位を確定しました。

Ostorlab vs Quokka Q-mast：モバイルDASTの比較

Bilal HARRAS — Wed, 15 Jul 2026 18:00:00 +0200

モバイルDASTにおけるOstorlabとQuokka Q-mastの比較：認証済みフロー、TLSピンニングのバイパス、PCAPによるエビデンス、地域限定アプリ、APIスキャン、Agentic Deep Scan。

Ostorlab Source Code Scanningのご紹介

Youssef Mabrouk — Tue, 07 Jul 2026 18:00:00 +0200

Source Code Scanningは、セキュリティ脆弱性が本番環境に到達する前に、ソースコードの段階で直接特定できるようにします。リポジトリを接続し、必要なときにスキャンを実行して、対応すべき検出結果をOstorlab上で確認できます。

Deep Scanの改善：より高速な実行、より的確な判断、インクリメンタルなテスト

Youssef Mabrouk — Tue, 30 Jun 2026 19:00:00 +0200

Deep Agentic Scanの最新リリースでは、より高速なモバイルテスト、改善されたリバースエンジニアリング、強化された脆弱性検出、過去のスキャン処理によるインクリメンタルなカバレッジ、改善された脆弱性チェーン、そしてモバイルとWebの評価向けのマネージドなCyber Modelsが導入されました。

AI攻撃に耐え得るモバイルシールディングの登場

Kawtar Boumaan — Thu, 25 Jun 2026 16:00:00 +0200

Ostorlabは、シールディングの検出と検証に特化して設計された、自動化されたAIによるテストソリューションMobile Shielding Scanをリリースしました。これにより、セキュリティチームはiOSとAndroidの重要な実行時保護を効率的かつ継続的に検証でき、セキュリティのシールドが実際に存在するか、そして現実世界の攻撃に耐えられるかを特定できます。組織は、あらゆるリリースにわたってRASPツールとモバイルの自己防御レイヤーを継続的に検証する、自動化されスケーラブルで強力な手段を手にします。

アプリは一度も開かれていなかった

Abir Jelti — Thu, 25 Jun 2026 09:02:00 +0200

エージェント型ハーネスは、モバイルアプリのセキュリティテストにおいて大規模言語モデル（LLM）にできることを変えます。モデル単体でも、安全でないストレージ、露出したシークレット、リスクのある権限、脆弱なSDK、バックエンドの問題、プライバシーの露出といった起こり得るリスクを挙げることはできますが、アプリそのものには一切触れていないかもしれません。適切なツール、コンテキスト、メモリ、プロンプト、実行ループ、実行時のフィードバックをモデルの周囲に備えることで、モデルはアプリパッケージを調べ、挙動を観察し、トラフィックを追跡し、シグナルを結び付け、セキュリティチームがレビューできるエビデンスを残せるようになります。権限の解析からGEFを活用したネイティブコードの悪用まで、その違いはトレースに表れます。レポートの体裁をしたテキストではなく、アプリのエビデンス、ツールの出力、実行時の実証、再現可能な手順が残るのです。

Ostorlab Cyber Modelsのご紹介

Kawtar Boumaan — Tue, 23 Jun 2026 16:00:00 +0200

Ostorlabは、Agentic Deep Scan向けのマネージド型・前払い制のAIインフラストラクチャ層であるCyber Modelsを提供開始しました。セキュリティチームは、承認されたプロバイダーチャネルを通じて、GPT-5.5 CyberやOpus 4.8 with Cyber Verification Programなどの特化型モデルをスムーズに利用できます。外部のAPIキー、プロバイダーのレート制限、分散した請求ダッシュボードを管理する必要はありません。

魔法の箱は存在しない：AI時代のAppSecにスタックが必要な理由

Bilal HARRAS — Mon, 22 Jun 2026 10:00:00 +0200

今日、大規模なサイバーセキュリティカンファレンスの会場を歩けば、AIを活用した自律型プラットフォームの可能性について耳にします。しかし、AIだけに頼るテストはスケールしません。レジリエントなAppSecプログラムには、高速な従来型スキャナー、プライベートなセマンティックレビュー、フロンティアモデルの選択的なオーケストレーションを組み合わせた、コストを意識した階層型のスタックが必要です。

モバイルアプリベッティング決定版ガイド：エンタープライズのアプリエコシステムを守る

Bilal HARRAS — Fri, 19 Jun 2026 10:08:00 +0200

本ガイドでは、業務上の摩擦を生むことなく企業のデータ資産を保護するエンタープライズ向けモバイルアプリベッティング戦略を構築するために必要な、アーキテクチャ、リスク評価手法、導入フレームワークを包括的に解説します。

エージェント時代のOstorlab App Vettingのご紹介

Abir Jelti — Tue, 16 Jun 2026 08:47:00 +0200

Ostorlabは、Android・iOSアプリを承認前に評価できるモバイルアプリのリスク評価ソリューション、App Vettingをリリースしました。静的解析、動的テスト、安全なサンドボックス実行に、継続的な監視、重み付けされたリスクスコアリング、エージェント型ワークフローを組み合わせ、脆弱性、プライバシーリスク、マルウェアの兆候、テレメトリの挙動、信頼性の問題を特定しながら、最も重要な事項の優先順位付けを支援します。

エンジニアが本当に信頼できるAIプルリクエストレビュアーを構築する

Abir Jelti — Mon, 08 Jun 2026 10:30:00 +0200

当社はAIによるプルリクエストレビュアーを構築しましたが、ハルシネーションと誤検知によって開発者の信頼が損なわれたため運用を停止し、より優れたモデル、より広いコンテキスト、より慎重なエージェントアーキテクチャで再構築しました。本記事では、自動コードレビューについて学んだこと、カバレッジよりも信頼が重要な理由、そしてAIレビュアーが人間の判断に取って代わることなく、エンジニアリングチームの反復的なレビュー作業の削減にどう役立つかを紹介します。

OstorlabのSingle Vulnerability AssessmentとDig Deeperのご紹介

Kawtar Boumaan — Tue, 02 Jun 2026 16:00:00 +0200

Ostorlabは、強力で高度にターゲットを絞ったAIオーケストレーションエンジンをリリースします。このエンジンは、Single Vulnerability Assessment（SVA）とDig Deeperという2つの異なるUIワークフローから利用できます。どちらの機能もまったく同じ基盤のAIロジック、機能、「Bring-Your-Own-Key」の構成を共有していますが、ワークフローにおける異なる入口に合わせて設計されています。SVAは新規の独立したスキャンとして起動し、ターゲットを絞ったコスト効率の高い評価、修正の検証、バグバウンティの検証に使用します。Dig Deeperはスキャンレポート内の既存の検出結果から直接起動し、誤検知の調査やエクスプロイト経路の追跡を即座に行います。この2つを組み合わせることで、チームは個々の脆弱性のテストと検証を精密に管理できます。

DirtyFrag：ページキャッシュ書き込みによるLinux汎用ローカル権限昇格

Aziz Elbelaychy — Wed, 13 May 2026 14:00:00 +0200

DirtyFragの技術解説です。これは2つのLinuxカーネルのローカル権限昇格の脆弱性（CVE-2026-43284およびCVE-2026-43500、CVSS 7.8 HIGH）であり、権限を持たないあらゆるローカルユーザーが主要なLinuxディストリビューションのほとんどでrootを取得できます。xfrm-ESPとRxRPCのインプレース復号経路の不備を連鎖させ、いずれもDirty PipeおよびCopy Failと同じページキャッシュ書き込みプリミティブに根ざしており、このエクスプロイトはレースコンディションなしで読み取り専用のページキャッシュページを上書きし、ほぼ100%の信頼性を実現します。

CVE-2026-44109：OpenClaw Feishuの認証バイパスからRCEへ

Mohammed Lachhab — Thu, 07 May 2026 14:00:00 +0200

OpenClaw（< 2026.4.15）に存在するCVSS 9.2のクリティカルな認証バイパス脆弱性CVE-2026-44109の技術的解説です。Feishu/Larkプラグインにある2つのフェイルオープンのロジック反転、すなわちWebhook署名バリデーターの1つとカードアクションのリプレイガードの1つにより、認証されていない攻撃者がOpenClawのコマンドディスパッチエンジンに任意のイベントを注入できます。ボットで実行系ツールが有効になっている場合、これはそのままOpenClawプロセスの権限によるホストマシン上での認証なしのリモートコード実行につながります。

CVE-2026-5205：Chatwootのアップロード機能に存在するクリティカルなSSRF

Mohammed Lachhab — Wed, 29 Apr 2026 14:00:00 +0200

Chatwootのアップロードエンドポイント（≤ v4.12.1）に存在するクリティカルなサーバーサイドリクエストフォージェリ（SSRF）脆弱性の詳細解説。/api/v1/accounts/:id/uploadエンドポイントはexternal_urlパラメーターをスキームチェックのみで検証しており、認証済みのエージェントであれば誰でもサーバーに任意の内部URLを取得させることができます。レスポンスボディ全体がActiveStorageのブロブを通じてインバンドで返されるため、アップロードエンドポイントが完全な読み取りプロキシと化します。DigitalOceanのドロップレット上での実証により、ドロップレットID、ホスト名、SSH公開鍵、完全なメタデータバンドルを含むクラウドメタデータのインバンド窃取が確認されました。v4.13.0で修正済み。

銀行・フィンテック向けDORAコンプライアンスチェックリスト：監査に対応できるオペレーショナル・レジリエンスの検証

Abir Jelti — Wed, 29 Apr 2026 09:23:00 +0200

DORAコンプライアンスチェックリストは、銀行・フィンテック組織がICTリスク、インシデント対応、レジリエンステスト、サードパーティのガバナンス、監督といった主要領域にわたってオペレーショナル・レジリエンスを評価し、実装の進捗を追跡して監査への対応準備を支えるのに役立ちます。

BeatBanker/BTMOB Androidバンキングマルウェアの解析

Aziz ELBELAYCHY — Tue, 28 Apr 2026 14:00:00 +0200

懐中電灯アプリを装ったBeatBanker/BTMOB系Androidバンキングマルウェア、TV_V_23.apkの静的解析です。4段階の攻撃チェーン、解析妨害、帰属、IOCを解説します。

HarmonyOS Nextのセキュリティテスト：ツールとリスク

Youssef Mabrouk — Tue, 28 Apr 2026 12:00:00 +0200

HarmonyOS NextのセキュリティテストがAndroidとどう異なるか。ArkTS、DSoftBus、テストツール、SafetyDetect、ArkGuard、よくある不備、そしてOWASP MASVSへのマッピングを解説します。

Androidのインテントリダイレクション：攻撃手法と修正方法

Bilal Harras — Thu, 23 Apr 2026 10:30:00 +0200

インテントリダイレクションによって攻撃者が非エクスポートのAndroidコンポーネントに到達し、setResult()経由でデータを漏えいさせ、PendingIntentを悪用する仕組みと、それを防ぐ6つの方法を解説します。

HarmonyOSアプリのスキャンとHuawei AppGalleryのスキャンに対応

Bilal Harras — Mon, 20 Apr 2026 16:00:00 +0200

HarmonyOSアプリとHuawei AppGalleryのリリースに対応する脆弱性スキャナー：Ostorlabは自動化された再現性のあるセキュリティスキャンを追加し、チームがHuaweiで配信されるモバイルアプリを継続的に評価し、より迅速に問題を修正できるようにします。

モバイルゲームのセキュリティテスト：チートとハッキングを防ぐ

Youssef Mabrouk — Mon, 20 Apr 2026 10:30:00 +0200

モバイルゲームのセキュリティテストは、クライアント、ネットワーク、バックエンドの各レイヤーを保護することで、チート、ハッキング、収益の損失を防ぎます。本ガイドでは、ゲームの安全性、公平性、コンプライアンスを維持したいモバイルセキュリティチームとモバイルゲーム開発者に向けて、最新の脅威、テスト手法、ベストプラクティスを解説します。

大規模なモバイルAppSecテストのベストプラクティス

Bilal Harras — Thu, 16 Apr 2026 18:00:00 +0200

iOSとAndroidのアプリを高速にリリースするチームのためのモバイルAppSecテスト。MAST、SAST、DASTの違い、テストチェックリスト、CI/CDのパターン、重大度に基づくリリースゲートを解説します。

ヘルスケアアプリケーションのセキュリティテストガイド

Kawtar Boumaan — Thu, 16 Apr 2026 16:00:00 +0200

患者ポータル、医療アプリ、API、SaMDのセキュリティテスト方法を解説します。ePHIのリスク、HIPAAとGDPRの義務、SDLCでのテスト、継続的な監視、インシデント対応まで。

モバイルバンキングアプリのセキュリティテストガイド

Abir Jelti — Thu, 16 Apr 2026 09:59:00 +0200

モバイルバンキングアプリを守るには、クライアントを保護するだけでは不十分です。本ガイドでは、端末、ネットワーク、バックエンドシステムにまたがるリスクを整理し、金融データと取引を守るために継続的なモバイルセキュリティテストが不可欠である理由を解説します。

Twenty CRMのサーバーレス関数がクリティカルなRCEと恒久的な未認証バックドアのリスクを露呈（CVE-2026-26720）- PoCとエクスプロイト

Mohammed Lachhab — Wed, 15 Apr 2026 09:00:00 +0200

CVE-2026-26720の技術的解説です。これはTwenty CRM（≤ v1.15.0）に存在するCVSS 9.8のクリティカルな認証済みリモートコード実行の脆弱性です。任意のワークスペースメンバーが、サンドボックス化されずに実行されるサーバーレス関数を作成・実行でき、process.envへの完全なアクセスによってAPP_SECRET、PG_DATABASE_URL、およびすべてのサーバーサイドの認証情報が漏えいします。PublicEndpointGuardを通じて公開されるWebhook起動のワークフローと組み合わせると、1人の認証済み攻撃者が、インターネット上のどこからでもアクセス可能な恒久的な未認証RCEバックドアを設置できます。

DORAのサードパーティリスク：モバイルSDKのガバナンス

Bilal Harras — Tue, 14 Apr 2026 18:00:00 +0200

リリースごとのSDKインベントリと差分、承認・禁止ルール、パッチSLA、監査対応のエビデンスパックを用いて、モバイルアプリにおけるDORAのサードパーティリスクを管理します。

モバイルアプリシールディングとは：その仕組みと実践

Youssef Mabrouk — Mon, 13 Apr 2026 12:00:00 +0200

モバイルアプリケーションシールディングは、リバースエンジニアリング、改ざん、デバッグ、機密データへの不正アクセスを防ぎ、信頼できない端末上のアプリを保護します。端末が侵害されていても、重要なアプリロジック、機密情報、トランザクションをセキュリティチームが守れるようにします。

RoundcubeのIMAPコマンドインジェクションとSSRFの脆弱性

Aziz Elbelaychy — Wed, 08 Apr 2026 18:00:00 +0200

ソースコードレビューの過程でRoundcube Webmail（< 1.6.14、1.5.14、1.7 RC4）に見つかった2件のクリティカルな脆弱性を詳しく解説します。OVE-2026-8は、CRLFのサニタイズ漏れにより、認証済みの攻撃者が_filterパラメーター経由で任意のIMAPコマンドを注入できるものです。OVE-2026-9は、CSSプロキシの仕組みを悪用してサーバーサイドリクエストフォージェリ（SSRF）を可能にし、内部ネットワークのリソースやクラウドメタデータへのアクセスを許すものです。

Ostorlab for Harnessを発表：CIパイプラインでのモバイルセキュリティスキャン

Abir Jelti — Mon, 06 Apr 2026 16:51:00 +0200

OstorlabがHarness CIと連携し、CIパイプライン内で自動化されたモバイルアプリケーションのセキュリティスキャンを実行できるようになりました。Harness SecretsとシンプルなRunステップを使って、チームはOstorlab CLIをインストールし、パイプラインが生成したものと同じビルド成果物（Android APK、Android AAB、iOS IPAなど）に対してostorlab ci-scan runを実行できます。この連携により、フィードバックを迅速化し脆弱性をより早く検出することで、セキュリティをCIに組み込めます。プロファイル（fast、full）によるスキャンの調整や、テスト用認証情報、SBOM、UIプロンプトなどの任意の入力にも対応しています。

CVE-2026-27971：Qwik server$ の認証不要なリモートコード実行

Aziz Elbelaychy — Wed, 01 Apr 2026 14:00:00 +0200

Qwik（< 1.19.1）に存在するCVSS 9.2のクリティカルな認証不要リモートコード実行脆弱性、CVE-2026-27971の技術的解説です。server$ RPCフローにおける安全でないデシリアライゼーションにより、攻撃者が制御するQRLオブジェクトがapplication/qwik-jsonリクエストから再構築され、任意のモジュールパスとシンボルの解決が可能になります。require()が利用できる環境では、細工されたサーバーサイド関数の呼び出しを通じてリモートコード実行に至ります。

ログインの壁の向こう側のセキュリティテスト：2FAとMFA

Abir Jelti — Mon, 30 Mar 2026 16:44:00 +0200

スキャナーがログインページで止まってしまう理由と、OstorlabがSMS、メール、TOTPによる2FAの向こう側のテストを、手動フォールバックと安全に保護された認証情報とともに自動化する方法を解説します。

Ostorlab for Bitriseを発表：CIでのモバイルセキュリティスキャン

Bilal Harras — Fri, 27 Mar 2026 14:44:00 +0100

OstorlabがBitriseと連携し、CIワークフロー内で自動化されたモバイルアプリケーションのセキュリティスキャンを実行できるようになりました。Bitrise SecretとシンプルなScriptステップを使って、チームはOstorlab CLIをインストールし、パイプラインが生成したものと同じビルド成果物（Android APK、Android AAB、iOS IPAなど）に対してostorlab ci-scan runを実行できます。この連携は、フィードバックループを短縮し脆弱性をより早く検出することで、セキュリティのシフトレフトを後押しします。プロファイル（fast、full、agentic deep scan）によるスキャンの調整や、テスト用認証情報、SBOM、UIプロンプトなどの任意の入力にも対応しています。

DORAのもとでのモバイルのオペレーショナルレジリエンス：BFSIジャーニー向けの最もシンプルな訓練ライブラリ

Bilal Harras — Tue, 24 Mar 2026 14:44:00 +0100

BFSIチーム向けに、DORAコンプライアンスをモバイルの視点から解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を紹介します。

OstorlabがAgentic Deep Scanをリリース：次世代の脆弱性スキャナー

Ostorlab Team — Thu, 19 Mar 2026 11:00:00 +0100

Ostorlabは、iOS、Android（近日中にharmonyOSにも対応）、Webアプリケーションにおける現実のリスクを検証する次世代の脆弱性スキャナー、Agentic Deep Scanをリリースしました。Bring Your Own Key（BYOK）に対応しているため、データとコストを完全に管理したまま、その強力なスキャン機能を安心して試せます。

CVE-2025-68461：RoundcubeにおけるSVG animateによるXSSサニタイザーバイパス

Aziz Elbelaychy — Tue, 17 Mar 2026 14:00:00 +0100

CVE-2025-68461（CVSS 7.2）は、名前空間プレフィックスを用いることでSVGのanimateタグをRoundcubeのサニタイザーに通してしまう脆弱性です。PoC、パッチ解析、Nucleiによる検出、緩和策を解説します。

GHSA-cr3w-cw5w-h3fj：Saltcornにおける1クリックRCE

Mohammed Lachhab — Wed, 11 Mar 2026 13:00:00 +0100

GHSA-cr3w-cw5w-h3fj（Saltcorn ≤ 1.5.0-beta.19に存在するCVSS 9.7のクリティカルなXSSからRCEへの脆弱性）の分析。ルートパラメーターの反射型XSSとバックアップ生成時のコマンドインジェクションという連鎖した2つの不備により、管理者へのフィッシングを介したリモートコード実行が可能になります。

モバイルリリースにおけるDORAコンプライアンス：最もシンプルなベースライン、判定、例外のモデル

Bilal Harras — Tue, 10 Mar 2026 14:44:00 +0100

BFSIチーム向けに、DORA規制とDORAコンプライアンスをモバイルの視点から解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を紹介します。

CVE-2026-26019：LangChain RecursiveUrlLoaderのサーバーサイドリクエストフォージェリ脆弱性

Aziz Elbelaychy — Wed, 04 Mar 2026 14:00:00 +0100

LangChain CommunityのJavaScriptパッケージ（< 1.1.14）に存在する、CVSS 4.1（中）のサーバーサイドリクエストフォージェリ脆弱性CVE-2026-26019の技術的解説です。RecursiveUrlLoaderクラスはクロールするURLの検証に単純な文字列プレフィックスチェックを用いており、攻撃者はサフィックス付きのドメインでデフォルトのpreventOutside制限をバイパスし、クローラーを内部ネットワークのアセットへリダイレクトして、機微な認証情報やメタデータエンドポイントを露出させる可能性があります。

モバイルチームのためのDORAコンプライアンス：スコープと実際にやるべきことを理解する

Bilal Harras — Tue, 03 Mar 2026 11:00:00 +0100

BFSIチーム向けに、DORA規制とDORAコンプライアンスをモバイルファーストで解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を学べます。

モバイルアプリのペネトレーションテストツールトップ10（2026年版）

Youssef Mabrouk — Fri, 27 Feb 2026 16:00:00 +0100

当社チームがモバイルアプリのペンテストで使用している10のツールを、Frida、Ghidra、Jadxからmitmproxy、Nucleiまで、それぞれの最適な用途、強み、限界とあわせて紹介します。

CVE-2025-64712：UnstructuredライブラリのMSG処理におけるパストラバーサルRCE

Aziz Elbelaychy — Mon, 23 Feb 2026 08:00:00 +0100

Unstructured Pythonライブラリ（< 0.18.18）に存在する、CVSS 9.8（クリティカル）のパストラバーサルによるリモートコード実行脆弱性CVE-2025-64712の技術的解説です。Outlook MSG処理における添付ファイル名のサニタイズ不備によりパストラバーサルが可能となり、攻撃者は細工したMSGファイルを介して任意のファイルを上書きし、コード実行を実現できます。

CVE-2026-1357：WPvividバックアッププラグインにおける認証不要のRCE

Mohammed Lachhab — Fri, 20 Feb 2026 08:00:00 +0100

CVSS 9.8のクリティカルな認証不要のリモートコード実行脆弱性であるCVE-2026-1357の技術解説です。WPvivid Backup & Migrationプラグイン（≤ 0.9.123）に存在し、暗号処理のフェイルオープンとサニタイズされていないパストラバーサルという2つの連鎖する不備により、認証情報なしで任意のファイル書き込みとシェルのアップロードが可能になります。

オープンソースのAIペンテストツール9選を比較（2026年）

Youssef Mabrouk — Fri, 30 Jan 2026 08:20:00 +0100

PentestGPT、PentAGI、HexStrike AI、Strix、CAI、Nebula、NeuroSploit、Deadend CLI、RedAmonを比較し、各AIペンテストエージェントの主な機能、GitHubのスター数、ライセンスを紹介します。

Ostorlab 2025年の振り返り

Manal Samir — Wed, 28 Jan 2026 16:20:00 +0100

2025年は、サイバーセキュリティにおけるAIが実験的なプロトタイプから本番レベルのエンジンへと移行した転換点でした。この振り返りでは、OstorlabのAI Pentest EngineとAI Monkey Testerが、Signal for Androidにおける複雑な任意ファイル読み取りのチェーンをはじめ、実環境でクリティカルな脆弱性をすでに明らかにしている様子を紹介します。世界の銀行のリスクのマッピングからOXO Titanによるスキャンのオーケストレーションまで、自動セキュリティテストで実際に何ができるかを再定義した1年を振り返ります。

Androidのデベロッパー認証（2026年）：対象となるのは誰か

Youssef Mabrouk — Tue, 27 Jan 2026 10:47:00 +0100

2026年から、認定Android端末では未認証のデベロッパーによるアプリをブロックできるようになります。サイドローディングで何が変わるのか、誰が影響を受けるのか、そしてGoogleがどう対応しているのかを解説します。

たった一つのゼロがインターネットの配管を壊しかけた話（CVE-2026-0915）

Ostorlab Team — Wed, 21 Jan 2026 16:20:00 +0100

AI支援型の解析により、glibcの_nss_dns_getnetbyaddr_r関数に30年前から存在する未初期化バッファの脆弱性が明らかになりました。本事例研究では、ゼロ入力というエッジケースがループのロジックをすり抜け、ライブラリがスタックメモリをそのまま外部のDNSサーバーに送信してしまう仕組みを詳しく解説し、人間のレビューでは見逃されたこの微妙なロジックエラーの特定に、さまざまなAIモデルがどの程度成功したかをベンチマークします。

Android WebViewのaddJavascriptInterfaceのリスク

Mohamed Nasser — Wed, 07 Jan 2026 00:00:00 +0100

ケーススタディ：OstorlabのAIペンテストエンジンが、ディープリンク経由で到達可能なAndroid WebViewのJavaScriptブリッジを発見し、それをネイティブUIの操作へと連鎖させます。

モバイルアプリセキュリティテストに最適なプラットフォーム（2026年版）

Bilal Harras — Mon, 05 Jan 2026 16:20:00 +0100

Ostorlab、NowSecure、Appknox、Data Theorem、Quokka、Zimperium、MobSFをAndroidとiOSの観点で比較し、機能マトリクスとベンダーへの価値実証（PoV）の質問を紹介します。

AndroidのFLAG_SECURE：スクリーンショットと画面録画をブロックする

Bilal Harras — Mon, 29 Dec 2025 16:20:00 +0100

AndroidのFLAG_SECUREがスクリーンショット、画面録画、最近使ったアプリのプレビューをどのようにブロックするかを、コード例、ユースケース、制限事項、キャスト時の挙動とともに解説します。

AIペンテストエンジンがGraphQLサブスクリプションにおけるクリティカルなWebSocket BFLAを発見

Abderrahim Haddadi — Fri, 26 Dec 2025 16:20:00 +0100

OstorlabのAIペンテストエンジンは、GraphQL WebSocketエンドポイントにおいて、リアルタイム翻訳サービスへの認証なしのアクセスを許す、クリティカルな関数レベルの認可の不備（BFLA）脆弱性を体系的に発見しました。本ケーススタディでは、発見から概念実証に至るまで、AIの段階的なプロセスを詳述します。

AIエンジンがAPIバージョン混同を悪用してアカウント乗っ取りを実現

Amine Atyq — Mon, 15 Dec 2025 10:00:00 +0100

体系的な分析が闇雲なファジングに勝る実例として、OstorlabのAIエンジンがバージョンをまたぐパスワードリセットの弱点を発見し、メールにアクセスすることなくアカウント乗っ取りを実現しました。

さらにその先へ：OstorlabのAIエンジンが未知の脆弱性クラスを発見する

Ostorlab Team — Mon, 13 Oct 2025 16:20:00 +0200

Ostorlabの推論駆動型AIエンジンは、ルールベースの限界を突破し、これまで未知で検出が難しかった脆弱性を表面化させます。WebViewのSafe Browsingバイパス、プロジェクション経由のSQLi、WebCrypto鍵の窃取、JWT検証順序の欠陥などを含め、より深く、より賢く、補完的なセキュリティカバレッジを実現します。

Ostorlab Security Testing Benchmarksの紹介：現実の脆弱性、現実の影響

Ostorlab Team — Mon, 22 Sep 2025 16:20:00 +0200

実際のCVEやバグバウンティの検出結果を反映した、93個の現実的な脆弱モバイルアプリを備えた初のオープンソースベンチマークスイートです。理論的な教科書の例ではありません。

Banking Report 2025：モバイル金融の中核を担うセキュリティ

Ostorlab Team — Mon, 15 Sep 2025 10:00:00 +0200

上位500以上のモバイルバンキングアプリを対象とした大規模なセキュリティ分析により、広範な脆弱性、10年前のコードベース、懸念すべきバックエンド集中のパターンが明らかになりました。

セキュリティ研究の自動化：AIエンジンが複雑なブラインドコードインジェクションを悪用

Ostorlab Team — Thu, 04 Sep 2025 16:20:00 +0200

精密さはペイロードの乱れ打ちに勝ります。OstorlabのAIエンジンを用いてTitilerへのRCEを体系的に成立させ、スタックトレースを一度も用いずにデータ持ち出しを実証します。

AIによるペンテスト：Androidのインテントリダイレクションを深掘りする

Ostorlab Team — Sun, 31 Aug 2025 16:20:00 +0200

本記事では、OstorlabのAIペンテストエンジンが、インテントリダイレクション脆弱性についてAndroidアプリケーションを分析するプロセスを紹介します。静的解析と初期の検出結果から厳密な動的検証までのエンジンの道のりを追い、潜在的な脅威を特定するだけでなく、誤検知を入念に棄却する能力も実証します。

Ostorlab

Ostorlab vs MobSF：アナリスト主導とAI主導のモバイルセキュリティテスト（2026年）

Ostorlab vs Oversecured：モバイルアプリのセキュリティテストを比較（2026年）

SnykとCheckmarxの代替ツール：Ostorlab、Snyk Code、Checkmarx One、GitHub Advanced Securityの比較（2026年）

自社のバックログのために作ったAIエージェントを、今度はあなたのチームに

誤検知の真のコスト：ノイズの多いスキャナーが課すエンジニアリング税を計算する

Ostorlabを使うべきなのは誰か：最適なチーム、ユースケース、他の選択肢を選ぶべきとき

Ostorlab vs. ペンテスト会社：2026年のコストと深さの比較

APIセキュリティテストだけではクロスアセット攻撃チェーンを見逃す理由

SOC 2向けAIペンテスト：6社のプロバイダーを比較

2026年のアプリケーションペネトレーションテストの費用はいくらか

モバイルアプリのシールディングバイパスをテストするための最適なツール

Deep Agentic Scanが現実の厄介な脆弱性を捕捉する仕組み

AIエージェントはSASTの検出結果を実行時に実証できるか

地図と窓：エージェント型スキャンがドキュメントの漏えいを認証情報の窃取へとつなげた方法

2026年版APIセキュリティテストツールのおすすめ：4製品を比較

ポストモーテム：自律型AIエージェントがスコープを逸脱する理由と、その封じ込め方

SOC 2コンプライアンス向けに監査対応のペンテストレポートを最速で入手する方法

おすすめのオンプレミス型AppSecテストプラットフォーム（2026年）

Ostorlab Neutron、CyberGymベンチマークで96.7%を達成

おすすめの外部アタックサーフェス管理ツール7選（2026年）

2026年のおすすめWebアプリケーションセキュリティテストツール

2026年のおすすめエンタープライズ向けモバイルアプリベッティングプラットフォーム

2026年のおすすめAIペンテストプラットフォーム

自律型ペンテスト対従来型ペンテスト

Multi-Asset Deep Agentic Scanのご紹介：アプリケーション全体をつなぐテスト

モバイルアプリシールディングの回避：検知の先で強制が破綻する場所

スタートアップのためのペネトレーションテスト完全ガイド2026年版（費用、プロセス、ベンダー選定）

Ostorlab Platform MCP Serverのご紹介

Risk Rerunsの紹介：Agentic Deep Scanのきめ細かな制御

AIは攻撃を実行できる。その結果を信頼できるか

SOC 2はAIが実施したペネトレーションテストを受け入れるか

Agentic Scan Knowledgeの紹介：決して忘れないスキャナー

Ostorlab Mobile Shielding Scanのご紹介

Ostorlabのオンプレミス脆弱性スキャナーを発表

Ostorlab vs Aikido：AppSecプラットフォーム比較

Ostorlab vs Appknox：事実関係を正す

XBOW vs Ostorlab：AIペンテストの比較

Ostorlab対NowSecure：モバイルAppSecの比較

2026年のおすすめSASTツール：ソースコードスキャンツールを比較

Ostorlab Threat CenterがEU脆弱性データベースに対応

検出結果だけでなくエビデンスを生み出すAIペンテストのプロンプト

AIスキャナーはいつAIペンテストになるのか

ソースコードセキュリティ：シグナルから検証済みのリスクへ | Ostorlab

GoPhish最新版を徹底分析：Ostorlab Agentic Deep Scanによるソースコード評価

Ostorlab vs Quokka Q-mast：モバイルDASTの比較

Ostorlab Source Code Scanningのご紹介

Deep Scanの改善：より高速な実行、より的確な判断、インクリメンタルなテスト

AI攻撃に耐え得るモバイルシールディングの登場

アプリは一度も開かれていなかった

Ostorlab Cyber Modelsのご紹介

魔法の箱は存在しない：AI時代のAppSecにスタックが必要な理由

モバイルアプリベッティング決定版ガイド：エンタープライズのアプリエコシステムを守る

エージェント時代のOstorlab App Vettingのご紹介

エンジニアが本当に信頼できるAIプルリクエストレビュアーを構築する

OstorlabのSingle Vulnerability AssessmentとDig Deeperのご紹介

DirtyFrag：ページキャッシュ書き込みによるLinux汎用ローカル権限昇格

CVE-2026-44109：OpenClaw Feishuの認証バイパスからRCEへ

CVE-2026-5205：Chatwootのアップロード機能に存在するクリティカルなSSRF

銀行・フィンテック向けDORAコンプライアンスチェックリスト：監査に対応できるオペレーショナル・レジリエンスの検証

BeatBanker/BTMOB Androidバンキングマルウェアの解析

HarmonyOS Nextのセキュリティテスト：ツールとリスク

Androidのインテントリダイレクション：攻撃手法と修正方法

HarmonyOSアプリのスキャンとHuawei AppGalleryのスキャンに対応

モバイルゲームのセキュリティテスト：チートとハッキングを防ぐ

大規模なモバイルAppSecテストのベストプラクティス

ヘルスケアアプリケーションのセキュリティテストガイド

モバイルバンキングアプリのセキュリティテストガイド

Twenty CRMのサーバーレス関数がクリティカルなRCEと恒久的な未認証バックドアのリスクを露呈（CVE-2026-26720）- PoCとエクスプロイト

DORAのサードパーティリスク：モバイルSDKのガバナンス

モバイルアプリシールディングとは：その仕組みと実践

RoundcubeのIMAPコマンドインジェクションとSSRFの脆弱性

Ostorlab for Harnessを発表：CIパイプラインでのモバイルセキュリティスキャン

CVE-2026-27971：Qwik server$ の認証不要なリモートコード実行

ログインの壁の向こう側のセキュリティテスト：2FAとMFA

Ostorlab for Bitriseを発表：CIでのモバイルセキュリティスキャン

DORAのもとでのモバイルのオペレーショナルレジリエンス：BFSIジャーニー向けの最もシンプルな訓練ライブラリ

OstorlabがAgentic Deep Scanをリリース：次世代の脆弱性スキャナー

CVE-2025-68461：RoundcubeにおけるSVG animateによるXSSサニタイザーバイパス

GHSA-cr3w-cw5w-h3fj：Saltcornにおける1クリックRCE

モバイルアプリのペネトレーションテストツールトップ10（2026年版）